谁负责你的数据
Drip 由 王卓 以个人开发者身份发布和运营，也是本政策下数据处理的责任方。与本政策或你的数据有关的任何问题，请联系 359867620@qq.com。
原音永远不离开你的设备
录音原文件只保存在设备上 App 自己的容器内。Drip 的服务器不存在任何能接收音频的接口：发往云端 AI 的请求在结构上只有六个字段（记录 ID、内容版本、同意版本、整理器版本、语言、文本），没有任何字段能承载字节流或文件引用。这一点由自动化测试守着——一旦有人改动这个结构，构建就会失败。
这不是一条承诺，而是一个结构性事实：即使代码出错，也没有可以让音频离开设备的通道。
只有转写文本会在你明确同意后离开设备
开启「第三方 AI 整理」后，被整理的那一条思绪的转写文本会发送到 Drip 的 AI 网关，再转发给模型处理方 DeepSeek（api.deepseek.com）处理，返回整理后的文本、分类和待办项。同时发送的还有记录 ID、内容版本、同意版本、整理器版本和语言设置。
不会随文本发送的内容：你的 Apple ID、邮箱、姓名、设备标识符、位置，以及除当前这一条以外的任何记录。
这项功能默认关闭，需要同时满足三个条件：你已登录、你明确同意过当前版本的这份说明、且账户有可用额度。任何一项不满足，请求都不会发生，App 会退回到完全在本机运行的规则整理。
DeepSeek 是位于中国大陆的服务提供方，因此启用这项功能意味着这段文本会被传输到中国大陆处理。如果你不接受这一点，请保持它关闭——不开启它不影响录音、播放、转写、历史和导出。
Drip 不持久化保存这些文本：AI 操作只存在于服务进程的内存中，进程重启即消失，数据库里没有任何一张表存放它们。
服务器上到底存了什么
只有账号与计费必需的标识符、金额和摘要。没有任何一张数据库表存放转写文本、标题或音频：
- 一个随机生成、无法反推到你的账号 ID
- 你 Apple 身份的 SHA-256 摘要（不保存明文标识符），以及加密保存的 Apple 刷新令牌
- App Store 交易的标识符与凭据摘要，用于保证额度只发放一次并支持退款对账
- 一份只增不改的额度账本
两条互不相干的删除路径
一、本地内容（录音、转写、整理结果）：在 App 内删除即刻生效，不经过任何服务器，离线也能用——因为 Drip 的服务器从来没有过副本。删除 App 会一并移除全部本地内容。请注意：iCloud 同步目前未启用，所以删除只作用于这一台设备。
二、账号：在「设置 → 删除账号数据」中删除。这会向 Apple 撤销刷新令牌、删除身份绑定记录，并把账号标记为已删除。已经签发的登录凭证没有宽限期——删除之后的下一个请求就会被拒绝，而不是等凭证自然过期。
删除账号后仍会保留什么，以及为什么
额度账本和 App Store 交易记录不会被删除；数据库层面直接禁止对账本的修改和删除。
这是有意的：它们是真实资金的财务记录，涉及退款对账与税务、审计义务。删掉会让这些义务无法履行，也会让删号后重新注册的账号再次领取已经发放过的额度。
这些记录以那个随机账号 ID 为键。删除账号时，连接它与你 Apple 身份的摘要已被删除、刷新令牌已被撤销，因此留下的是一份无法再关联到你的金额记录，其中不含任何转写文本、标题或音频。
需要如实说明的一点：目前没有针对这些财务记录的自动清除期限。
我们不收集什么
位置、通讯录、日历、照片、健康数据、浏览或搜索历史、广告标识符，以及任何设备指纹信号——代码中不存在读取它们的路径。App 里没有任何分析或归因 SDK，也不做跨 App 跟踪。
我们不出售你的内容，不为广告画像跟踪你，也不用你的录音或文本训练通用模型。
你的选择
你可以随时在设置中撤回第三方 AI 同意，撤回后立即不再有文本被发送。你可以导出原音与文本。没有账号、没有同意或没有额度时，录音、播放、本地转写、历史和导出照常工作——云端 AI 是增强项，从来不是记录和保存思绪的前提。
这份说明变更时
当这份说明的实质内容发生变化时（例如更换模型处理方），我们会提升同意版本号。你需要重新确认之后，云端 AI 才会继续工作——针对旧版本说明作出的同意不会被沿用到新的处理方式上。
联系我们
隐私相关的问题、数据访问或删除请求，请发送至 359867620@qq.com。这个邮箱由 王卓 本人管理。