隐私政策 — Converloop

我们不收集什么

没有广告、没有埋点或分析 SDK、没有第三方追踪，我们也从不出售你的数据。App 从不索要你的姓名、邮箱、电话或 Apple 账户（只有你给我们发邮件时，我们才会看到你的邮箱地址）；我们不收集广告标识符、位置、通讯录、日历或健康数据。我们不保存你的对话记录、纠错记录、掌握度或学习档案的副本；Converloop AI 的每次请求只带上那项任务需要的部分，详见下文。如果你只用 Apple 智能或自带密钥、从不连接 Converloop AI，App 不会向我们的服务器发送任何东西。

数据保存在哪里

• 对话、纠错证据、掌握度、查过的表达和学习档案保存在设备本地的数据库中。
• 偏好设置（界面语言、外观、强调色，以及你选的模型与朗读服务）保存在设备本地的偏好设置中；为了离线也能使用，购买与订阅状态也在这里缓存一份。
• 你填写的 API 密钥，以及这台设备连接 Converloop AI 所用的凭据，保存在 iOS 系统钥匙串，访问级别为 AfterFirstUnlockThisDeviceOnly：不会通过 iCloud 同步，不会转移到别的设备，也不会包含在导出的备份文件里。
• 这些数据受 iOS 自身的文件保护机制保护。Converloop 没有在应用层对本地数据库做额外的整体加密，我们不作此宣称。

由你选择的 AI 模型服务

回复、批改、讲解、翻译、查词以及 App 里其他 AI 功能，都由语言模型生成。每次请求，App 都会发送你输入或口述的文字、对话里最近的一段，以及这项任务需要的学习上下文——比如你的语言与水平、学习目标与练习偏好，以及学习记录里相关的条目。发给谁，取决于你在引导中或「设置 → AI 服务 → 语言模型」里选择的服务：

• Apple 智能：使用本机模型时，内容不离开这台设备。私有云计算会把请求发到 Apple 的服务器，由 Apple 处理；按 Apple 的说法，这些数据只用于完成这次请求，不会被保存。「自动」（可用时的默认选项）优先使用私有云计算，网络不好或云端不可用时改用本机模型；选择「本机模型」即可让内容完全留在本机。这些请求不经过我们，适用 Apple 的隐私政策。
• 自带 API 密钥：请求用你的密钥从设备直接发给你配置的服务商，不经过我们，我们也看不到内容；相关使用受该服务商自己的隐私政策和条款约束，请在填写密钥前阅读。当前可选的服务商包括 OpenAI 与 OpenAI 兼容端点、Anthropic、Google Gemini、DeepSeek、OpenRouter、Qwen、Moonshot (Kimi)、Zhipu GLM，以及任何你自填地址的兼容端点。
• Converloop AI：经你同意后，请求发送到我们运行的服务，再转给设置页写明的模型服务商。下一节完整说明。

Converloop AI

Converloop AI 是我们自己运行的模型服务，所以不需要你自己的密钥。它也是 Converloop 唯一会把数据发到我们服务器的部分。

• 连接设备：点「连接此设备」时，Apple 的 App Attest 会证明请求来自正版 App。我们的服务器随后为这台设备生成一个服务身份（一串随机 ID），并与这次安装的 App Attest 密钥的标识和公钥一起保存。整个过程不涉及姓名、邮箱或 Apple 账户，连接时也不发送任何对话内容。
• 先同意，再发送：在你同意之前，Converloop AI 不会发送任何内容去处理——引导里会在你连接之前写明接收方，设置里的 Converloop AI 页则有「允许 AI 处理学习内容」开关。同意之后，每次请求都会通过 HTTPS 把上文所说的文字和学习上下文发送到我们的服务器 api.converloopai.com。现有版本可能使用 api-converloop.617005.xyz，该地址连接同一服务。
• 经过谁：请求经 Cloudflare 到达我们的服务器；Cloudflare 运营通往服务器的加密入口，因此会经手传输中的数据。服务器再把每个请求经中转发给当时作答的模型服务商：OpenAI、Google、Anthropic 或月之暗面（Kimi）。中转失败时改用 DeepSeek 自己的接口。这些服务商按各自的条款处理数据，我们不承诺它们不留存任何内容。中转通过我们在各家服务商持有的账号访问它们，按这些账号适用的条款，服务商可能保存内容，并可能用来改进模型；我们无法替你关闭这一点，所以不愿让这些服务商看到的内容，请不要通过 Converloop AI 发送。它们在多个国家和地区运营，你的文字可能在你所在地之外被处理：由 OpenAI、Google 或 Anthropic 处理时在美国，由月之暗面或 DeepSeek 处理时在中国。和任何联网请求一样，你设备的 IP 地址也会被 Cloudflare 和我们的服务器看到，服务器只用它来送回结果和保障服务安全。
• 我们保存什么：服务身份与 App Attest 密钥；你是否同意处理数据，以及你同意的是哪一版说明；额度，以及订阅后的订阅记录（见「购买」）；每次请求的用量记录——请求 ID、任务类型、作答的模型、时间、耗时、Token 数和扣除的额度。请求完成后，服务器不保存你的请求原文，也不保存回复内容，只有一个例外：请求在中转环节失败时，中转会保留这次请求的副本（包括其中的文字）用于排查，只保留最近 10 次失败，每新增一次就删除最早的一次。这些记录只用于运行 Converloop AI：验证设备、计算额度、核对订阅、保障服务安全，以及处理你的支持请求。
• 保存多久：这些记录在你的服务身份存在期间一直保留。你要求删除时（见「你的控制权」），我们会删除服务身份、用量记录和同意记录，只保留我们依规必须保留的最少订阅交易记录。服务器备份 14 天后覆盖，已删除的数据最迟在这段时间内从备份中消失。
• 随时关闭：在「设置 → AI 服务 → 语言模型 → Converloop AI」里关掉「允许 AI 处理学习内容」，App 会立即停止发送、取消正在进行的请求，并在服务器上记下你已撤回同意。之后你仍然可以用 Apple 智能或自带密钥继续使用 Converloop。
• 语音另行处理：Converloop AI 的模型服务不处理音频。录音和朗读有各自的设置，见下文。

购买

所有购买都由 Apple 按 App Store 的条款处理，我们看不到你的付款信息或 Apple 账户。7 天免费试用和「永久解锁完整版」一次买断只在设备上校验，App 不会把它们发送给我们的服务器。订阅 Converloop AI 时，App 会把 Apple 签名的交易记录发送给我们的服务器，服务器核对签名后保存商品、交易标识、日期和订阅状态，用于提供服务。在另一台设备或重装后的 App 上，用同一 Apple 账户恢复购买时，也会发送签名交易，将这次安装关联到原订阅及共享余额，不会重复发放额度。每次安装的设备身份、处理同意和请求记录保持独立；恢复购买不会自动同意发送学习内容。订阅续期、到期或退款时，Apple 也会通知我们的服务器。你可以随时在 App Store 的订阅管理中取消或管理订阅。

语音输入与朗读

• 默认使用 Apple 的系统语音识别，在设备上完成，音频不外发。
• 只有当你主动在「设置 → AI 服务 → 语音转文字」里切换到远程转写服务（OpenAI 兼容接口或 Soniox，需要你自己的密钥）时，录音才会直接发送给该服务商。
• 使用 Apple 系统朗读时，朗读在设备上完成；使用自带密钥的朗读服务（OpenAI 或兼容接口、小米 MiMo、ElevenLabs、Google Gemini、MiniMax、阿里云百炼）时，待朗读的文字会直接发送给该服务商。
• 请特别注意：免费的「Converloop AI」朗读声音其实是小米 MiMo 的声音，使用 App 内置的密钥。如果你在引导中或「设置 → AI 服务 → 文字转语音」里选择它，待朗读的文字会发送给小米 MiMo 的服务，不经过我们的服务器。只有你选择它时才会使用，你也可以随时换回 Apple 系统朗读。
• 无论使用哪种服务，我们都不会收到你的录音。

iCloud

如果你登录了 iCloud，「同步学习目标与偏好」默认开启。它只会通过你自己的 iCloud 账户，在你自己的设备之间同步学习档案：母语与学习语言、当前水平、学习目标、练习偏好，以及一段关于你正在练什么的简短摘要。对话内容和详细的掌握度记录不会同步。数据存放在你的 iCloud 里，我们无法访问；你可以在「设置 → 数据与备份」里关闭同步。

诊断报告

iOS 会记录 Converloop 自身的崩溃与卡顿。这些报告保存在设备本地，最多 14 份，不会自动上传。要分享报告，在「设置 → 支持」里点「反馈问题」：它打开的邮件草稿会把报告作为附件带上，发送前你可以删掉。报告内容是 Apple 生成的调用栈与系统信息，不包含对话内容、学习记录或 API 密钥。开发者模式还会显示最近 AI 请求的运行日志，其中可能有失败请求的片段；它同样只保存在本机，除非你自己复制出去。

儿童

Converloop 不面向 13 岁以下儿童，也不会有意收集他们的信息。由于 App 会把你的输入发送给 AI 服务——Apple、你选择的服务商，或 Converloop AI 及其模型服务商——且 AI 生成内容不受我们完全控制，建议未成年人在监护人指导下使用。如果你认为有 13 岁以下儿童使用了 Converloop AI，请联系我们，我们会删除与那台设备服务身份关联的数据。

你的控制权

• 导出：设置 → 数据与备份 → 备份与迁移 → 导出备份，得到一个包含你全部学习数据的 JSON 文件（不含 API 密钥和其他凭据）。
• 删除本机数据：你可以在应用内单独删除对话、学习记录和诊断报告；删除 App 即清除它的本地数据。iOS 可能在删除 App 后保留它的钥匙串条目（例如 API 密钥），如果希望一并清除，请先在设置里删掉密钥。
• 停止 Converloop AI：在 Converloop AI 页关掉「允许 AI 处理学习内容」，之后不再发送任何内容，正在进行的请求也会被取消。
• 删除 Converloop AI 数据：在「设置 → 支持 → 反馈问题」里给我们发邮件——这台设备连接了 Converloop AI 时，邮件会自动带上它的服务身份。我们会按上文所述删除服务身份及与之关联的记录。
• 让 AI 和语音都留在本机：选择 Apple 智能的「本机模型」、Apple 系统语音识别和 Apple 系统朗读。
• 第三方数据：已经发送给 Apple、你配置的服务商、小米 MiMo 或 Converloop AI 背后模型服务商的内容，按各自的政策处理，我们没有能力代为删除。

政策变更

如果本政策发生实质变化，我们会更新本页顶部的「最后更新」日期，并在新版本的更新说明中提示。在 Converloop AI 把你的数据发送给本页未列出的接收方之前，我们会先更新本页和 App 内的说明，并重新征求你的同意。

反馈与支持邮件

「反馈问题」（设置 → 支持）和出错时的「报告这个问题」会在你自己的邮件 App 里打开一封发给我们的草稿。在留给你描述问题的位置下方，草稿会列出：App 与 iOS 版本、设备型号；界面语言、学习语言、水平与母语；你在用的模型与语音服务、模型名称，以及你自填接口地址的主机名；这台设备连接了 Converloop AI 时，它的服务身份和最近一次请求 ID；最近最多五次失败 AI 请求的时间、任务、错误信息和日志编号。设备上保存的崩溃报告会作为附件。草稿不含对话内容、发给模型的内容和任何 API 密钥。App 自己不会发送任何东西：你可以修改或删掉其中任何部分，只有你发出的内容才会到达我们。如果邮件里带有服务身份，你的邮箱地址就会与那台设备的 Converloop AI 记录关联起来，这正是我们处理订阅和删除请求所需要的。支持邮件保存在我们的邮箱里用于回复你，你要求时我们会删除。

联系我们

隐私相关问题、投诉或权利请求（包括删除你的 Converloop AI 数据），请发送邮件至 [email protected]。你的邮件只用于回复你。