隐私政策
本政策说明 SoulForge Tech LLC（下称「我们」）在你使用恩典书房 App 及相关服务时会处理哪些信息，以及你可以做出的选择。内容依据生效日期当日对 App 与服务端代码的审计写成；如果 App 的变化影响到这里的说明，我们会更新本页与日期。
一、我们收集的信息
账户信息（仅当你创建账户）
- 邮箱与密码：你的邮箱地址、你填写的昵称，以及密码——密码只以加盐哈希（Argon2id）形式保存。验证邮箱或重置密码时，我们会向该邮箱发送 6 位验证码。
- 通过 Apple 登录：Apple 发给我们的稳定用户标识、你选择分享的姓名，以及你的邮箱（或 Apple 的隐私转发地址）。我们还会加密保存一枚来自 Apple 的授权令牌，只用于一个目的：在你删除账户时结束 Apple 授权。
- 通过 Google 登录：你的 Google 账户 ID、邮箱、姓名与头像链接。
游客标识
不创建账户也能使用 App。设备上会生成一个随机标识，用来保存你的笔记与进度；之后若登录，这些内容会并入你的账户。它不与你的姓名或任何广告标识关联。
你创建的内容与在 App 内的活动
- 阅读与收听进度：每一卷你最后读到的经节，每条讲解轨的收听位置与已听完的小节，以便在任何设备上接着读、接着听。
- 高亮与笔记：高亮颜色、你写的笔记文字，以及你选中的经文。
- 与伴读的对话：你输入或说出的问题、AI 的回答，以及你当时提问所针对的经文或讲解小节。
- 记忆卡与伴读记忆：你选择保存的记忆卡，以及伴读为了更了解你而从对话中提炼的简短事实（这项长期记忆功能只在我们的服务器启用时运行）。
- 语音输入：点按麦克风时，录音会发送给语音识别服务商转成文字；录音不会保存在你的账户里。
- 支持邮件：你写给我们的内容。
技术信息
- 登录时，设备的 user-agent 字符串（设备 / 系统类型）会与该次会话的刷新令牌一起保存。会话 90 天后过期，退出登录时即撤销。
- 登录尝试的频率限制使用带密钥的哈希计数，计数器里既没有你的邮箱也没有你的 IP 地址。
- 我们的主机与网络服务商会出于安全与防滥用目的短期保留标准服务器日志（含 IP 地址）。
- 启动时 App 会向 Expo 的更新服务询问是否有新版代码。该请求标识的是 App 与平台版本，而不是你或你的账户。
当前版本不会做的事
- 没有广告，没有广告标识，不做跨 App 或跨网站的追踪。
- 没有分析 SDK。App 内含一个崩溃报告库，但除非我们在某个版本中启用，它一直处于关闭状态；当前版本不发送任何崩溃或诊断报告。若启用，本政策会写明。
- 不使用位置、通讯录、照片，也没有推送通知。
- 你为离线使用而下载的经文与讲解、最近查阅的经文、显示设置，都只保存在你的设备上。
- 圣诗搜索历史、最近播放的圣诗、以及你下载的圣诗版本只保存在你的设备上，不上传、不同步；删除账户时一并清除（已下载的圣诗文件不含任何个人信息，会保留）。
二、我们如何使用信息
- 提供 App 服务：登录，在你的各个设备之间保存并同步进度、笔记、对话与记忆卡。
- 用 AI 回答你关于经文的问题（见第三条）。
- 发送验证与重置密码的邮件。
- 保障服务安全、防止滥用、修复问题。
- 回应你的联系。
我们不出售个人信息，也不将其用于第三方广告。
三、AI 功能
当你向伴读提问时，你的消息、相关的经文或讲解文本，以及这段对话的最近几轮，会发送给第三方 AI 服务商生成回答。讲解音频与朗读使用文字转语音服务商；语音输入使用语音识别服务商。具体服务商见第四条。
AI 的回答可能出错。伴读是阅读与研习圣经的辅助工具。它可能误读一段经文、以偏概全，或把并不成立的说法讲得很肯定。请以它所引用的经文核对它的话。
它不是牧者、教会、辅导者、医生或律师，也不能替代他们。请不要在对话中提供敏感的个人信息——健康、财务、证件号码、他人的私事等。
上线初期的 AI 使用
正常使用伴读 —— 无论登录还是访客 —— 都没有普通的每日次数，App 也不会显示「剩余次数」。唯一的限制是服务稳定与防滥用保护（同一个人同一时间只生成一条回答、短时间内的连点限制，以及只针对明显自动化流量的阈值）。为了衡量服务规模与成本，我们保留匿名的聚合用量统计：每次请求记录一个单向哈希（HMAC）后的标识、时间、来自登录用户还是访客、token 数、模型、响应耗时、成功 / 取消 / 超时，以及估算成本。这些统计不包含你的问题或回答的正文、你的笔记、邮箱、令牌或 IP 地址，不出售，也不用于广告。支持购买与官网支持（见下）不会与这些统计关联，也不会改变 AI 对任何人的处理方式。
三之二、支持购买与官网支持
App 内（iOS）：设置里的「支持恩典书房」提供三档完全自愿的一次性应用内购买，由 Apple 处理。Apple 按其隐私政策处理付款并接收你的支付信息；恩典书房的服务器不接收交易记录，所以 App 不保存购买历史、不建立任何权益 —— 不解锁任何功能，也不改变 AI 对话的使用。
官网上：另有一个独立页面可能提供通过外部服务（Zelle、微信支付、支付宝）的自愿支持。恩典书房不在网站收集任何支付凭证。外部支付服务按各自的隐私政策处理付款；收款方可能通过这些服务看到付款方提供的交易信息。我们不要求上传付款截图，不把付款与任何恩典书房账号关联，也不将支付信息用于广告或个性化。这类支持不属于慈善捐赠，不提供税务抵扣证明。
四、我们与谁共享信息
只与帮助运行恩典书房的服务商共享，且只共享各自所需的部分：
| 服务商 | 用途 | 到达对方的内容 |
|---|---|---|
| Amazon Web Services（美国） | 应用服务器 | 所有 App 流量与存储数据都经由我们在那里的服务器。 |
| MongoDB Atlas | 数据库 | 第一条所述的账户与内容记录。 |
| Cloudflare | 服务器前的网络安全 | IP 地址等请求元数据。 |
| Vercel | 托管我们的网站（本页与登录跳转页） | 标准网页服务器日志。 |
| OpenAI | AI 回答；语音识别的备用通道 | 你的问题、经文上下文、最近几轮对话；用于识别时的语音录音。 |
| Google（Gemini） | 提炼伴读记忆与记忆卡草稿；AI 回答的备用通道 | 最近几轮对话。 |
| Fish Audio | 讲解与朗读的文字转语音 | 要朗读的文字（讲解稿、经文、你播放的 AI 回答）。 |
| 小米 MiMo；阿里云 DashScope | 语音输入的语音识别 | 你的语音录音。 |
| Resend | 验证与重置密码邮件 | 你的邮箱地址与验证码。 |
| Apple / Google | 通过 Apple / Google 登录 | 第一条所述的登录交换信息。 |
| Expo（EAS Update） | 分发 App 代码更新 | 启动时的 App 与平台版本。 |
法律要求时，或为保护用户与服务的权利、安全所必需时，我们也可能披露信息。
五、保存与删除
- 账户存在期间，我们保存你的账户与内容。游客数据保存到你在 App 内删除为止。
- 你可以在 App 内删除账户：设置 → 账号 → 删除账户。具体会删除什么，见删除账户。删除即时生效，恩典书房与 Glossa 一并删除。
- 删除后，我们会保留一条记录 30 天，其中只有你原账户的 ID、删除时间、登录方式，以及 Apple 授权是否已结束——没有姓名、没有邮箱——用于让旧的登录令牌失效。常规备份中的副本可能在有限期限内继续存在，到期后清除。
- 会话（刷新令牌）90 天过期；访问令牌 24 小时过期。
六、安全
传输全程加密（HTTPS）。密码只保存 Argon2id 哈希；Apple 授权令牌静态加密；会话可撤销。没有任何存储或传输方式是绝对安全的，我们无法保证绝对安全。
七、你的权利与选择
- 在 App 内编辑或删除你的笔记、高亮、对话与记忆卡。
- 在 App 内删除账户；若已无法登录，可发邮件请求（我们会核实请求来自该账户的邮箱）。
- 依据你所在地区的法律（例如加州 CCPA、欧洲经济区或英国的 GDPR），你可能享有访问、更正、携带、限制或反对处理个人数据的权利。写信给我们即可行使。
八、儿童
恩典书房面向一般用户，不针对 13 岁以下儿童。我们不会有意收集 13 岁以下儿童的个人信息；如你认为有儿童向我们提供了信息，请联系我们，我们会删除。
九、境外用户
我们位于美国，数据在美国存储与处理。如你在美国以外使用恩典书房，你的信息会被传输至美国处理。
十、变更
我们可能更新本政策。更新时会修改上方的生效日期；重大变更还会在 App 内另行告知。
十一、联系我们
SoulForge Tech LLC · contact@soulforgetech.com