字段一览
手机号
敏感- 场景
- 手机号登录注册 / 绑定手机号（部分登录方式首次使用时需要绑定）
- 目的
- 身份认证、账号安全、发送短信验证码；让你的记录、会员和练习进度在换设备时能找回来
- 存储
- 境内 PostgreSQL（阿里云）
- 期限
- 账户存续期间，注销后 15 天内删除
本机号码认证信息（IMSI、ICCID、网络类型、IP 地址）
敏感- 场景
- 你主动选择「本机号码一键绑定」时
- 目的
- 向运营商核验本机号码，免去手动输入和等待短信验证码；认证通过后我们仅取回你的手机号
- 存储
- 不落库（认证过程由阿里云号码认证 SDK 处理，我们仅接收认证结果与手机号）
- 期限
- 认证完成即失效
短信验证码 OTP
一般- 场景
- 登录 / 注册验证
- 目的
- 校验手机号有效性
- 存储
- 内存 / 短时缓存
- 期限
- 校验完成或 5 分钟后失效
昵称 / 头像 URL
一般- 场景
- 用户主动填写
- 目的
- 应用内识别与展示
- 存储
- 境内 PostgreSQL
- 期限
- 账户存续期间，注销后删除
微信昵称 / 头像 / 用户标识（openid、unionid）
一般- 场景
- 你主动选择微信登录并授权时
- 目的
- 微信授权登录、跨设备识别同一账号；昵称头像仅在你未设置过时用作初始资料
- 存储
- 境内 PostgreSQL
- 期限
- 账户存续期间，注销后删除
Apple 用户标识 / 身份令牌（identity token）
一般- 场景
- 你在 iOS 上主动选择 Apple 登录并授权时
- 目的
- Apple 授权登录、跨设备识别同一账号；选择「隐藏我的邮件」时我们只拿到匿名转发地址
- 存储
- 境内 PostgreSQL（授权过程在 Apple 侧完成，属境外处理）
- 期限
- 账户存续期间，注销后删除
anonymous_id
一般- 场景
- 首次访问自动生成
- 目的
- 未登录态行为关联，登录后合并到账户
- 存储
- 浏览器 Cookie + 境内 PostgreSQL
- 期限
- Cookie 12 个月；DB 行账户注销后随之清理
情绪记录 / 笔记内容
敏感- 场景
- 用户主动记录
- 目的
- 个人回顾、状态识别、内容推荐
- 存储
- 境内 PostgreSQL
- 期限
- 账户存续期间；用户可逐条删除；注销后立即删除
Crisis Event 危机线索
极敏感- 场景
- 系统检测用户输入命中关键词
- 目的
- 触发求助资源提示，匿名统计改进识别准确度
- 存储
- 境内 PostgreSQL
- 期限
- 注销时去身份化保留，原文不留存
收藏 / 播放事件
一般- 场景
- 用户点击收藏、播放音频
- 目的
- 个性化推荐、内容效果统计
- 存储
- 境内 PostgreSQL
- 期限
- 账户存续期间，注销后删除
会话令牌哈希
一般- 场景
- 登录成功
- 目的
- 维持登录态、识别异常登录
- 存储
- 境内 PostgreSQL（SHA-256 哈希）
- 期限
- 最长 30 天，退出登录立即吊销
访问日志（IP / UA / trace_id）
一般- 场景
- 每次请求
- 目的
- 安全审计、问题排查、合规
- 存储
- 境内日志系统
- 期限
- 6 个月（《网络安全法》§21）
剪贴板中的邀请链接
一般- 场景
- 登录后首次回到首页时先询问你，你点「帮我填入」才读取（整个安装周期仅询问一次）
- 目的
- 识别好友邀请链接，自动帮你填好邀请码；不是邀请链接的内容不保存、不上传
- 存储
- 仅本机识别；识别出的邀请码暂存本机，兑换完成后清除
- 期限
- 兑换完成或被拒绝即清除
随机安装标识
一般- 场景
- App 首次启动时本机随机生成；使用邀请码兑换时随请求上报
- 目的
- 排查同一安装反复兑换邀请码；不是系统设备标识符，重装 App 即变化
- 存储
- 本机存储 + 境内 PostgreSQL（随兑换记录保存）
- 期限
- 兑换记录长期保存，用于防止重复领取邀请奖励
邀请兑换记录（邀请关系、兑换时间、请求 IP）
一般- 场景
- 你使用好友邀请码兑换时
- 目的
- 发放邀请奖励、排查重复领取
- 存储
- 境内 PostgreSQL
- 期限
- 长期保存；账户注销后不再关联你的其他个人信息
登录凭据的不可逆摘要（手机号、Apple 账号、微信账号、已验证邮箱）
一般- 场景
- 你使用好友邀请码兑换时，以及此后注销账户前
- 目的
- 判断同一个人是否已经领取过邀请奖励（注销后重新注册也不能再领）
- 存储
- 境内 PostgreSQL（HMAC-SHA256 加密钥摘要，无法还原原文）
- 期限
- 账户注销后仍保留，仅用于防止重复领取邀请奖励
推荐缓存
一般- 场景
- 推荐计算
- 目的
- 加速推荐响应
- 存储
- 境内 Redis
- 期限
- 按缓存策略数分钟到 1 小时
练习前问答选项
敏感- 场景
- 部分练习在开始播放前有一个引导问答环节，你从预设选项中选择
- 目的
- 按你的选择决定该次练习呈现的具体内容分支；并随会话开始事件一并记录，以便你日后标记「这段让我不舒服」时，我们能复现出你当时听到的确切内容
- 存储
- 境内 Redis（装配后暂存）+ 境内 PostgreSQL（随会话开始事件记录）
- 期限
- Redis 暂存 30 分钟；入库后账户存续期间，注销后删除
敏感等级说明
- 一般：泄露不会对个人权益造成重大影响的数据。
- 敏感：依据《个人信息保护法》§28，泄露或不当使用可能导致人格尊严或人身、财产受损的信息（手机号、心理健康相关记录等）。 收集需单独同意。
- 极敏感：涉及生命安全风险的信息（如危机线索）。我们仅在用户自身可见的范围内提示， 并对统计数据完全去身份化处理。
不收集的字段
- 精确地理位置（GPS）
- 设备硬件标识（IMEI / IDFA / Android ID）
- 通讯录、短信、相册、文件等设备权限
- 麦克风、摄像头、运动传感器
- 生物特征（人脸、声纹、心率、呼吸数据）
- 第三方账号的好友关系、通讯录等其他信息（第三方登录仅获取上文列出的字段）