1. 谁可以使用萌芽
萌芽当前是低流量公开 Beta。符合条件的成年人可以自主注册账户，但只能为自己监护的儿童，或已得到监护人明确授权的儿童处理资料。公开注册不代表儿童数据公开，也不允许查看其他家庭的信息。
每个家庭是独立的私有空间。同一家庭的已登录成员共享该家庭的儿童档案、成长记录、图片和报告，不按上传人分别隔离；不同家庭之间不能互相查看。加入别人已经创建的家庭，仍须使用家庭所有者分享的 24 小时一次性邀请令牌。
家庭邀请令牌相当于短期进入凭据，仅家庭所有者可见，成功加入一次后立即换新。只把它发送给可信任的共同照护者；怀疑泄露时请立即更新。
2. 会处理哪些数据
- 账户数据：登录名、密码哈希、家庭内称呼、可选的找回邮箱及验证时间、条款接受记录与安全会话信息。
- 家庭数据：家庭名称、成员关系、邀请状态和家庭级 AI 选择。
- 儿童档案：称呼、可选的性别与出生日期，以及所属家庭。
- 成长记录：活动类别、文字、时长、专注与心情标记、时间和可选图片。
- AI 临时内容：教育问答的本次问题、Prompt 和回答只在请求期间处理，默认不写入业务数据库。
- 可选报告解读：只保存通过服务器校验的解读正文、所依据的聚合事实摘要、模型和生成信息，供同一家庭成员共享查看；本地事实报告本身不需要 AI。
- AI 用量元数据：家庭、操作用户、业务日、随机请求号、模型、token、估算费用、状态、安全分类和来源数量，不含问答正文。
- 运行信息：为排障和防滥用所需的请求时间、请求编号、错误与安全日志。内测期间不会用这些信息做广告画像。
请不要上传身份证件、病历、精确住址、学校班级等并非成长记录所必需的敏感信息。
3. 家庭成员和授权管理员能看到什么
同一家庭空间的已登录成员可以查看该家庭下的儿童档案、成长记录、图片和报告。不同家庭之间应当隔离；加入多个家庭的账户需要主动切换当前家庭。
家庭创建者可以邀请成员、更新邀请码、添加孩子并管理家庭级 AI 选择。界面上的隐藏按钮不能代替服务端权限校验。
少量获授权管理员为运行排障、容量统计和数据权利申请处理，可以在管理后台查看家庭名称、儿童称呼与性别、记录数量，以及近期记录的日期、类别、专注和心情分值；处理申请时还会看到申请账户、登录名、家庭角色和申请说明。日常后台不展示家庭邀请令牌、成长备注、原始图片或 AI 问答正文；任何超出该范围的生产排查都应先获得最小必要授权并留下记录。
4. 图片如何处理
上传的图片按私有媒体处理，不提供公开相册链接，也不用于广告。查看图片需要登录并通过家庭权限校验；请勿转发浏览器中获得的内容给无关人员。
原始图片和缩略图不发送给第三方 AI 服务。内测软件无法承诺零风险，请只上传记录真正需要的照片，并避免包含无关儿童、证件、地址或其他可识别敏感内容。
5. AI 教育问答：家庭默认未授权、单独同意
教育问答使用本地权威资料检索与 DeepSeek 官方 API。平台开放功能不代表家庭已经同意；家庭创建者必须在家庭设置中阅读当前专项告知并单独选择。专项告知版本变化后，旧同意自动失效。
每次主动提问可能发送给 DeepSeek 的内容仅限于：
- 你主动提交并经本地规则移除姓名、学校、地址、联系方式、链接和邀请令牌后的问题；
- 本次从教育部、国家卫生健康委、国家网信办、国家体育总局等官方资料中实际检索到的有限片段；
- 只有你额外勾选时，最多 5 条近期成长记录中的类别、日期、时长、分值及经脱敏、截断的活动与备注。
原始图片、文件路径、EXIF、儿童称呼、家庭名、账户名、登录名、学校班级、地址、联系方式、身份证样式和家庭邀请令牌不会作为问答内容发送。去标识化会降低直接识别风险，但特殊经历仍可能形成间接线索，请不要主动输入敏感资料。
每次启用教育问答并主动提交问题后，服务器会先完成上述脱敏和本地资料检索，再向 DeepSeek 发起一次请求；同一个 JSON 响应同时包含风险判断和候选回答。即使问题涉及紧急危险，或本地没有检索到足够来源，经脱敏的问题仍会在这一次请求中发送；服务器随后会丢弃模型候选回答，分别改为固定的紧急求助提示或“资料不足”提示。
系统不会为同一问题再调用第二个模型复核，也不会因超时、限流或服务器错误自动重试。服务器只做直接标识脱敏、真实引用核验、返回结构和最低限度结果检查；这些措施不能保证模型判断始终正确。
DeepSeek 接收经 HMAC 假名化、不能直接看出家庭 ID 的 `user_id`。问题、回答、Prompt 和召回正文默认不保存；系统只保留额度、模型、token、估算费用、状态、安全分类和来源数量等最小元数据。失败尝试也可能占用一次额度和费用预留。
取消勾选并保存后停止新的第三方请求；撤回不能召回已经完成的处理。教育问答开放不会启动旧的自动日志分析、语音解析或自动周/月报告。
回答中的来源标题、机构、日期和链接由本地知识库按本次实际召回生成，不采用模型自行编写的 URL。没有足够来源、知识库故障、预算耗尽或 DeepSeek 不可用时只影响助手，成长记录等基础功能继续使用。
6. AI 报告解读：独立授权、主动触发
周报和月报的记录数、活跃日期数、类别、填写的时长、专注和心情汇总由萌芽服务器本地计算，始终不需要 AI 授权，也不会自动调用 DeepSeek。教育问答授权不等于报告解读授权；只有家庭创建者按当前报告告知版本单独同意后，家庭成员才可以在具体报告页主动点击生成。
报告解读只向 DeepSeek 发送白名单聚合统计：报告周期类型和天数、记录总数、活跃日期数、各类别计数，以及时长、专注和心情的样本数与平均值。不会发送孩子称呼、家庭名、成员或账户信息、数据库 ID、精确日期、活动文字、备注、图片、文件路径、上传人、旧报告正文或教育问答内容。
模型只提供与服务器证据键绑定的中性整理和开放式谈话问题。服务器会检查结构、证据引用和最低安全边界；未通过时整段丢弃，本地事实报告仍然可用。报告解读不会进行同龄比较、趋势或因果推断、人格能力评价、医疗心理发育诊断或惩罚建议。
通过校验的解读会单独保存，并对同一家庭成员共享。家庭创建者撤回后停止新的第三方请求，但不能召回已经完成的第三方处理；与当前本地事实仍一致的既有解读继续保留并由家庭查看，除非另行提交删除申请。刷新本地报告导致汇总事实改变后，旧解读不会继续展示。
7. 查阅、导出、更正和删除
登录后可在“账户与隐私”下载当前账户有权访问的数据副本并修改家庭内称呼；家庭创建者可修改儿童档案，同一家庭任意成员可编辑或删除共享成长记录。删除后记录立即从应用消失，记录快照和关联图片会进入上传目录外的私有回收站保留 30 天；同家庭成员可在期限内恢复，之后自动清除。申请中只写明数据位置和正确内容，不要粘贴完整档案、证件或图片。
儿童资料可能由多个家庭成员共同提交。执行更正或删除前，我们会核验申请者身份、家庭角色和对其他成员数据的影响；提交申请不代表未经核验的即时改写或硬删除。朋友内测由一名管理员处理并记录结果；若处理需要先暂停或移除登录凭据，工作人员必须在执行前与申请人约定一个经核验的安全反馈方式，不能只依赖已停用的账户页。内部目标是在 2 个工作日内查看、15 个自然日内完成或给出明确进展。
8. 安全、保存与内测限制
萌芽通过登录会话、家庭权限、私有媒体接口、请求限制和备份等措施降低风险。任何互联网服务都无法保证绝对安全；如发现异常访问、邀请码泄露或账户风险，请先退出其他设备、更新邀请码并暂停上传。
活动数据在账户参与内测期间保存；单条共享记录删除时快照和图片默认在私有回收站保留 30 天后清除。回收站只用于误删恢复，不用于广告、画像或日常查询；隔离备份只用于安全恢复，若从旧备份恢复，必须先重放已完成的删除清单再开放服务。
你可以在账户页绑定找回邮箱。邮箱验证成功后，密码重置链接只使用一次且 30 分钟内有效；找回接口不会透露某个邮箱是否注册。发送邮件时，邮件服务商会处理收件地址和一次性链接正文。
生产静态数据保护、加密异地备份与轮换、无损恢复演练，以及服务器之外的 HTTPS、证书、磁盘和备份告警属于公开注册上线门禁。门禁失效或出现安全风险时，平台可以暂停新注册或上传。建议家庭自行保留真正重要内容的副本。
9. 医疗、心理与紧急事项
萌芽是家庭记录工具，不是医疗、心理、发育诊断或紧急服务。若孩子存在持续的身心困扰、受伤风险或紧急情况，请立即联系当地紧急服务、医疗机构或合格专业人员，不要等待 AI 回复。
10. 说明更新与反馈
公开 Beta 期间，数据结构、第三方服务和人工处理流程可能变化。重要变更会在页面更新日期和产品内提示；需要重新同意时，会再次征求明确选择。
数据问题可登录后从“账户与隐私”提交申请。请不要在普通反馈中附带孩子的完整记录或敏感图片。
运营主体：吕硕士
儿童个人信息保护与数据权利联系渠道：971213887@qq.com