隐私政策

4.1 您向我们提供的信息

当您创建账户并使用服务时，您可能会提供：

• 身份和个人资料信息：姓名、用户名、电子邮件地址、出生日期、出生时指定的性别（如您选择提供）、头像照片、横幅图片和个人简介、身高、体重、身体围度（例如腰围、臀围和胸围）、体型和骨架大小，以及惯用手。
• 联系信息：您的电子邮件地址。我们不收集您的电话号码。
• 认证信息：密码（以加盐、不可逆的哈希形式存储）、第三方登录令牌（Sign in with Apple、Google），以及在您启用双因素认证的情况下，您的认证器应用密钥和经哈希处理的恢复代码。生物特征解锁（Face ID、Touch ID 或指纹）完全由您的设备处理；PX 绝不会接收您的生物特征数据。
• 健康和生活方式信息：您的训练历史和活动水平；损伤、近期手术、活动受限情况和疼痛模式；您告知我们的已确诊病症（例如癫痫或惊厥发作、心脏疾病、高血压、青光眼、惊恐障碍或其他慢性病症）；过敏和不耐受；无障碍需求；通常的睡眠时长；饮食模式、食物偏好和营养目标；压力水平；目标和生活背景；以及您在引导流程中或在与 AI Coach 的持续对话中提供的任何其他背景信息。
• 生殖和月经健康信息（当您选择提供或启用周期追踪时）：周期日期和周期长度、您记录的症状和备注、怀孕和哺乳状态、避孕方式、更年期阶段以及更年期激素治疗状态。您的日常周期记录（经期日期以及您每天记录的症状和备注）存储在您的设备上，并同步镜像至您的账户，以便在您更换手机或重新安装应用后得以保留；该记录以滚动窗口方式保留您最近 180 天的每日报告，更早的报告将被自动删除。个人资料字段和您当前的周期阶段存储在您的账户中，以便 AI Coach 调整您的训练和营养安排。您可随时通过应用中的“重置周期记录”删除周期记录，此操作会将其从您的设备和您的账户中一并删除。
• 社会人口统计与生活背景：职业、文化背景、生活境况、家庭类型、照护责任、工作压力水平、长期愿景、您的“一句话初衷”、行为改变阶段以及偏好的沟通风格。
• 日程信息：时区、起床和就寝时间、偏好的训练时间和日期，以及免打扰时段。
• 记录的活动：锻炼（包括心率、费力程度、卡路里、地点描述和备注）、餐食和餐食照片、补水、计划餐食、食谱和购物清单、快速记录（包括您附加的任何照片、视频或文档）、方案和补充剂、Mind 训练、心情、日记条目、快速标记（例如生病、旅行中或不堪重负）、生活事件（例如比赛、婚礼或手术），以及您在服务中记录的任何其他活动。
• 身体扫描（选择启用）：您拍摄的进展照片（默认存储在您的设备上，或在您选择云同步时存储在您的私人云存储中），以及由此得出的身体成分快照。关于扫描的可选 AI 叙述，参见第 6.7 节。
• 您上传供 AI Coach 阅读的文件，例如血液检测结果、物理治疗报告、医生信函或训练计划。文本或图像仅作瞬时处理，且仅用于为您的指导提供背景信息（参见第 6 节）。
• 已保存的训练地点：您选择保存的训练地点的名称、精确地图坐标、地图链接和可用器材。
• 对话内容：您发送给 AI Coach 的消息，包括您使用语音功能时的语音转写文本，以及 PX 生成的对话摘要和您对 AI Coach 单条消息的评分和评论。
• 社区内容：帖子（文本、照片和视频）、评论、点赞、转发、收藏、关注和关注请求、屏蔽、静音、举报、您与其他会员分享的会话，以及（如果您选择发布）一句关于您正在努力实现的目标的简短陈述。该陈述默认关闭，仅可由已能查看您个人资料的人阅读，并在您撤回时被删除。您附加到帖子的媒体文件和您的头像照片存储在可公开读取的存储空间中，以便其他会员能够看到。如果您的个人资料为私密，您的帖子、个人简介、统计数据和活动将对您未批准的人隐藏，但您的姓名、用户名、头像照片、主要支柱以及您的个人资料为私密这一事实仍可在会员搜索中被找到，以便他人请求关注您。已暂停的会员，以及您已屏蔽或已屏蔽您的会员，不会显示在搜索结果中。
• 支付信息：当您通过 Apple 或 Google 订阅时，由其直接收集您的支付详情。我们会收到交易确认、订阅状态、购买历史以及用于标识该交易的令牌（通过 RevenueCat）；我们绝不会看到或存储您的银行卡号。
• 支持信息：您在联系我们的支持团队、报告错误或请求功能时提供的任何信息，以及随请求附带的基本设备详情。
• 账户生命周期反馈：您在暂停、取消或删除您的账户或订阅时给出的原因，以及您添加的任何备注。
• 您的同意和偏好：您对《使用条款》的接受、AI 数据同意、健康数据（信息采集）同意、营销偏好、隐私设置、使用分析偏好和通知偏好。

4.2 我们自动收集的信息

当您使用服务时，我们会自动收集：

• 设备信息：设备型号、平台、操作系统及版本、应用版本和构建号、语言和区域设置、时区、您的设备上次活跃的时间，以及您的推送通知令牌和权限状态。
• 使用信息：您使用的功能、开始和完成的会话、查看的屏幕、单次访问的持续时长、在应用内执行的操作、您打开和关闭应用的时间（用于预测指导提示何时对您最有用），以及向您展示了哪些社区帖子（展示记录）。我们使用 PostHog, Inc.（美国）进行产品分析，以了解 PX 的哪些部分得到使用以及会员在何处遇到阻碍。这些产品分析事件与您的账户 ID（而非您的姓名或电子邮件）关联记录。您可随时在应用的“设置 → 隐私 → 使用分析”（“共享使用分析数据”）中关闭产品分析。
• 产品分析绝不包含的内容：任何类型的健康数据（无论是您的体重、心率、HRV、心情、周期数据还是身体扫描）；您撰写的任何文本、任何照片，以及任何电子邮件地址或姓名；任何广告标识符；以及任何根据您的 IP 地址推断出的位置，因为基于 IP 的定位已被关闭，且您的 IP 地址会被丢弃。我们不会录制您的屏幕。
• 诊断信息：错误日志、崩溃报告和性能追踪记录，通过 Sentry 收集，并与您的账户 ID（一种假名化标识符）而非您的姓名或电子邮件关联，且已剔除认证详情。Sentry 仅用于崩溃、错误和性能方面；产品分析已在上文说明。
• AI 使用遥测数据：对于每次 AI 请求，所使用的模型、token 数量、成本和延迟，以便我们监测可靠性和成本。当您的账户被删除时，此遥测数据将与您的用户 ID 解除关联。
• 安全事件：登录和双因素认证事件，用于保护您的账户。
• 网络信息：IP 地址以及据此推断的大致位置（仅限城市或地区级别）。产品分析属于例外：它不会根据您的 IP 地址推断任何位置，且您的 IP 地址会被丢弃。除非您使用基于位置的功能，否则我们不会收集精确位置，此类功能包括：结合天气情况的规划（您的坐标会发送至 Apple WeatherKit，并在作为后备方案时先取整至约 1 公里再发送至 Open-Meteo）；已保存的训练地点（您选择保存的精确坐标）；地点搜索（您的搜索文本和大致位置会发送至 OpenStreetMap 的 Nominatim 服务）；以及通勤时间估算（仅临时使用，不予存储）。
• 推荐与合作伙伴归因：在 Android 上，为 Google Play 安装来源标识（install referrer），以便将推荐邀请记在发出邀请的会员名下，并使我们知悉您是通过哪项合作伙伴推广活动（如有）而来（例如合作伙伴的名称和级别）。在 iOS 上，如果您点击 PX 合作伙伴的链接后从 App Store 安装 PX，我们的深度链接提供商 Branch Metrics, Inc. 会将该链接一直衔接至应用。为此，Branch 会接收链接点击和应用打开事件，以及您的 IP 地址、用户代理、操作系统和应用版本、时间、链接自身的参数（例如合作伙伴的名称、级别和素材）以及 Branch 生成的标识符。点击与应用打开之间的匹配是基于概率的。Branch 不会接收任何广告标识符，PX 不会请求 App Tracking Transparency 权限，也不会为此目的收集任何设备标识符。我们会存储您是通过哪位合作伙伴（如有）而来——无论是通过链接、安装来源标识还是您输入的代码——以及相应时间。该记录在您首次购买时即予固定，相同的归因信息也会作为订阅者属性传递给 RevenueCat，仅用于报告目的。我们仅向合作伙伴告知数量和金额，绝不会告知您的身份。
• 订阅事件：当您通过 Apple 或 Google 订阅、续订、取消或获得退款时，我们会从 RevenueCat 收到相应事件，并将其与您的账户关联存储。您的订阅状态（试用已开始、已转化、已续订、已取消或已过期，以及相应的产品、商店、价格和币种）也会从我们的服务器发送至我们的产品分析提供商 PostHog。
• Cookie 及类似技术：在网站上，我们按第 17 节所述使用 Cookie。

4.3 来自第三方的信息

在获得您明确许可的情况下，我们会从您连接的可穿戴设备集成及其他第三方服务接收信息：

• Apple HealthKit（只读——PX 绝不会向 Apple Health 写入数据）：步数、步行和跑步距离、活动能量、心率、静息心率、心率变异性、睡眠分析、呼吸频率、身高、体重、膳食能量、蛋白质、碳水化合物和脂肪、饮水量、正念时段，以及——仅当您标识为女性或启用周期追踪时——月经量。您在连接 Apple Health 时可选择授予其中哪些权限。
• Google Health Connect（只读——PX 绝不会向 Health Connect 写入数据）：步数、距离、活动和总卡路里、运动会话、心率、静息心率、心率变异性、血压、血糖、血氧（SpO₂）、体温、呼吸频率、体重、身高、体脂、基础代谢率、骨量、瘦体重、功率、速度、营养、补水、睡眠、正念会话以及月经。您在连接 Health Connect 时可选择授予其中哪些权限。
• Terra：来自您通过 Terra 聚合器连接的可穿戴设备和健康应用的数据——包括 WHOOP、Garmin、Fitbit、Polar、Withings、Oura、Coros、Suunto、Ultrahuman、Strava、TrainingPeaks、Zwift、Wahoo、MyFitnessPal、FatSecret、MapMyFitness、RideWithGPS、Decathlon、Dexcom 及其他。Terra 提供活动、睡眠、每日、身体、月经和激素等数据类型。我们将 Terra 发送给我们的原始数据载荷保留 30 天，此后予以脱敏处理，并在 90 天后删除；从中提取的结构化指标则保留在您的账户中。
• Bluetooth 心率监测器：会话期间来自胸带或处于广播模式的手表的实时心率和卡路里估算值。此功能仅在应用处于前台时有效，且除 Bluetooth 标识符外，PX 不会存储有关该监测器的任何信息。
• 日历集成：当您连接 Google Calendar、Outlook（通过 Microsoft Graph）或 Apple Calendar 时，PX 会读取您的日历事件——包括事件的名称、开始和结束时间、忙/闲状态以及地点——以在应用中显示您的日程安排，并围绕您现有的安排来规划 PX 会话。PX 在您的设备本地处理此信息，不会读取参与者或事件备注/描述。此信息不会传输至 PX 的服务器，不会用于训练或提示 AI Coach，且 PX 绝不会访问事件参与者、备注或描述。数据最小化已在网络层强制执行，因此参与者、备注和描述甚至根本不会返回至设备。我们对 Microsoft Graph 日历数据的使用同样仅限于读取相同的事件详情，以显示您的日程安排并规划会话，并与 Microsoft 的 API 条款保持一致；Apple Calendar 数据则通过 EventKit 在设备本地读取。
• 认证提供商：当您使用 Apple 或 Google 登录时，提供商会告知我们您经过验证的电子邮件地址，以及（在您许可的情况下）基本的个人资料信息。

您可随时在设置中断开任何可穿戴设备集成或第三方连接。这样做将停止来自该来源的新数据流入。如果您添加 PX 主屏幕小组件，您下一个日历事件的标题和时间可能会显示在您设备上的小组件中。

4.3.1 将 PX 会话写入您的日历

当 PX 向您的日历添加会话（锻炼、冥想或恢复时段）时，PX 会直接通过您设备的日历或您的日历提供商来完成——PX 的服务器不参与创建该事件。PX 只能添加您选择保存的会话；它无法编辑或删除您现有的日历事件。

• 对于 Apple Calendar：PX 在您的设备上使用 Apple 原生的 EventKit。系统日历表单会打开，由您自行将事件保存至本地日历。
• 对于 Google Calendar 和 Outlook：PX 构建一个标准的“创建事件”链接（Google Calendar / Outlook 深度链接）并在您的设备上打开。该事件由您的 Google 或 Microsoft 账户直接创建；PX 的后端在写入事件方面不起任何作用。

PX 在本地存储的唯一内容是一个可选的设备端会话缓存，使 PX 能够在您返回时重新载入锻炼详情。PX 不会在其服务器上记录您创建了哪些日历事件。

4.4 关于他人的信息

如果您邀请好友加入 PX、使用推荐链接推荐他人、与他人分享搭档码或组织的代码，或在社区、圈子或搭档关系中与其他用户互动，我们会接收有关这些个人的个人信息（例如其电子邮件地址或用户名）。PX 不会读取或存储您将搭档码发送给了谁。我们仅将该信息用于您提供它时所对应的有限目的。

4.5 特殊类别数据

您提供或我们收集的某些信息属于 GDPR 和 UK GDPR 下的“特殊类别个人数据”、CPRA 下的“敏感个人信息”以及澳大利亚《隐私法》下的“敏感信息”。这包括：

• 健康数据，包括您分享的心理健康信息（例如心情、压力和日记条目）
• 生殖和性健康信息（周期追踪、怀孕、哺乳、避孕、更年期和激素治疗），当您选择提供时
• 身体图像（身体扫描），当您选择启用时。PX 不会使用身体扫描图像来识别您的身份，也不会将其作为生物特征标识符进行处理。
• 揭示种族或民族出身、文化背景、宗教信仰或性取向的信息（当您选择披露时——例如在您个人资料的文化背景字段中、在与 AI Coach 的对话中，或在社区内容中）

我们仅在以下情况下处理特殊类别数据：(a) 您已向我们提供明确同意，(b) 处理对于提供您所请求的服务是必要的，或 (c) 适用法律下另有其他合法依据适用。您可随时通过调整设置或联系我们撤回同意。

4.6 儿童

本服务面向年满 18 周岁及以上的人士。我们不会在明知的情况下收集任何未满 18 周岁人士的个人信息。如果我们获悉收集了未满 18 周岁人士的信息，我们将在切实可行的情况下尽快予以删除。如果您认为我们收集了未满 18 周岁人士的信息，请联系 support@pxmembership.com。

4.7 组织名额与圈子

组织名额。您所在的组织（例如您的雇主或俱乐部）可能会向您提供名额码。输入该代码后，您将获得由该组织付费的 PX 会员资格。我们会记录您在该组织持有名额、您获得名额的时间，以及（如发生）名额终止的时间。您所在的组织仅会收到汇总数量：已被领取的名额数量，以及已加入圈子的名额持有者数量。我们不会向您所在的组织提供名额持有者名单、您的活动、您的评分、您的健康数据或您撰写的任何内容。如果您所在的组织告知我们您已离开，或该组织与我们之间的安排终止，通过该名额获得的访问权限将停止。您的账户和您的数据仍归您所有，且不会被删除。 不含名额的圈子。部分组织会向其成员提供一个代码，用于加入圈子，但不为其支付会员费用。如果您以此方式加入，您的会员资格由您本人通过 App Store 或 Google Play 购买，圈子的运作方式与下文所述完全相同。 圈子。圈子是指使用同一组织的代码加入 PX、且各自选择让其他成员看到自己的一群人。持有名额并不会使您加入圈子。加入圈子是一项单独的选择，您的会员资格并不以此为条件。 如果您加入圈子，该圈子的其他成员可以看到您的姓名、用户名和头像照片、您在过去七天中有几天在 PX 中分享了内容，以及您已分享的帖子。即使您的个人资料为私密，上述规定亦同样适用：加入圈子即会使您对该圈子可见，与批准一位关注者的效果相同。圈子以外的人仍只能看到您的个人资料隐私设置所允许的内容。 圈子概况展示群体的整体情况，例如本周有多少成员到场，并按成员到场的天数对其进行分组。圈子概况不显示排名或名次。圈子成员绝不会看到您的健康数据、您的评分、您的指导对话或您未分享的任何内容。 五人最低人数要求。如果您所在组织中加入圈子的人数少于五人，任何人都完全看不到任何圈子概况。对于任何组织，均不得降低这一最低人数要求。 您可随时在“设置”中退出圈子。退出即时生效，不影响您的会员资格，且您日后可以重新加入。我们会保留您加入的时间以及您最近一次退出的时间。

4.8 搭档

搭档是指可以看到彼此一周情况的两位 PX 会员。一位会员创建一个一次性搭档码，并自行选择发送方式；PX 不会读取或存储您将其发送给了谁。当另一位会员输入该代码后，两个账户即结为搭档。任何两位会员均可通过代码结为搭档，无论其个人资料隐私设置如何。您的搭档可以看到您的姓名、用户名和头像照片，以及您在过去七天中有几天在 PX 中分享了内容。对方绝不会看到任何排名、超出您个人资料隐私设置所允许范围的帖子、您的健康数据或您的评分。 你们任何一方均可向对方发送督促：一条推送通知，其中包含发送者的姓名和一条简短的固定消息，绝不包含任何数字或比较，且在任意 20 小时内最多发送一次。督促受您现有的推送和社交通知设置控制。你们任何一方均可随时解除搭档关系，无需征得对方许可。如果你们任何一方屏蔽了对方或删除了自己的账户，搭档关系也将终止。在您的账户存续期间，我们会保留搭档关系的创建、接受和终止时间、由谁终止，以及您收到的督促通知。

5.1.1 提供服务

• 创建和管理您的账户。
• 在您登录时对您进行身份认证。
• 通过 AI Coach 在 Move、Mind 和 Fuel 三大领域提供个性化指导。
• 生成、调整和重组锻炼、膳食计划、正念训练和恢复方案。
• 根据您提供和接收的信息计算各项评分（PX Score、长寿指标、健康寿命捕获、生物年龄走向）。
• 与您连接的可穿戴设备集成同步数据。
• 运营圈子、搭档和组织名额（包括搭档会员之间的督促），并将您的注册记在推荐人或合作伙伴名下。
• 处理订阅、付款和退款（通过 Apple、Google 和 RevenueCat）。
• 以推送通知的形式发送指导提示和提醒，这些通知由我们的服务器根据您配置的日程和免打扰时段生成。
• 发送与服务相关的通信（账户确认、账单收据、安全警报）。
• 提供客户支持并回应您的请求。

5.1.2 个性化和改进

• 随时间推移，使指导适应您的模式、偏好和目标。
• 持续保存有关您的洞察记忆，以随时间推移提升 AI Coach 的质量（您可随时在“设置 → PX 对您的了解”中查看、编辑和删除这些洞察）。
• 在您的数据中检测行为模式（例如，睡眠如何影响您次日的心情），并预测指导提示何时最有用，以便指导在有帮助的时候送达。
• 计算分析数据（包括产品分析），以了解哪些功能有效、哪些无效（您可在“设置 → 隐私 → 使用分析”中关闭产品分析）。
• 检测和防范滥用、欺诈、安全事件及违反我们《使用条款》的行为。

5.1.3 与您沟通

• 发送事务性电子邮件（账户、账单、安全）。
• 按第 13 节所述，发送产品更新、指导技巧、教育内容、优惠信息以及完成账户设置的提醒。
• 开展可选的问卷调查、研究和产品测试。

5.1.4 遵守法律并保护权利

• 遵守法律义务，包括回应主管部门的合法请求。
• 执行我们的《使用条款》及其他协议。
• 建立、行使或抗辩法律主张。
• 保护 PX、我们的用户及公众的权利、财产和安全。

5.2 合法依据（欧盟 / 英国）

如果您身处 EEA 或英国，我们依据 GDPR 和 UK GDPR 援引以下合法依据：

在我们以同意为依据的情况下，您可随时撤回同意。在我们以合法利益为依据的情况下，您可对相关处理提出反对——参见第 11 节。

5.3 我们不出售您的个人信息

我们不会为获取金钱而出售您的个人信息，也不会按照 CPRA 及其他美国州法律所定义的含义，为跨情境行为广告而“出售”或“共享”您的个人信息。我们不会使用您的健康数据或 AI Coach 对话来训练任何通用型 AI 模型。我们的第三方 AI 提供商均以其商用、企业或付费 API 级别接受委托，依据相关条款——除我们的语音提供商这一有限例外情形（参见第 6.4 节）外——它们不得使用您的提示词或我们的输出来训练其通用型模型，并且在任何情况下均不得将您的数据用于广告。

6.1 我们的 AI 提供商

PX 使用为数不多的第三方 AI 提供商来提供指导。我们以其商用、企业或付费 API 级别使用它们——绝不使用其面向消费者的免费产品。当您使用 AI 功能时，以下数据仅会被发送以生成您的结果：

• Anthropic, PBC（Claude）——我们的主要提供商，用于所有生成式指导：与 PX 聊天、会话和计划生成、您的每日简报、食物照片分析、您选择启用扫描时的身体扫描叙述，以及阅读您上传的文件（例如血液检测结果或训练计划）。我们会发送您的消息、您附加的任何图像或文件，以及 PX 为个性化回复而汇集的背景信息（您的目标、个人资料、健康状况和相关情况下的周期阶段，以及您分享的训练、营养、睡眠和健康数据）。PX 使用 Anthropic 的商用 API。依据 Anthropic 的商业条款（Commercial Terms），您的输入和输出不会用于训练 Anthropic 的模型；Anthropic 会在 30 天内删除 API 输入和输出，但为调查违反政策的行为或依法须保留更长时间的情形除外。
• OpenAI, L.L.C.——后备提供商，仅用于短小结构化任务——例如从您的签到、日记条目和对话中提取记忆洞察、检测消息意图、预测何时发送提示、解析食物描述或简单的食物照片，以及翻译计划——在 Anthropic 不可用时使用，或在我们启用的情况下，用于此类成本更低且已被证明同样准确的结构化任务。OpenAI 仅接收特定的结构化请求以及完成该请求所需的最少背景信息——而非您的完整对话。此后备方案目前在我们的生产版本中处于关闭状态。PX 使用 OpenAI 的 API。依据 OpenAI 的 API 条款，通过 API 提交的数据默认不会用于训练 OpenAI 的模型；OpenAI 为滥用监测目的将 API 数据保留最长 30 天，随后将其删除，但依法须保留更长时间的情形除外。
• Google LLC（Gemini API / Google Cloud）——第二后备提供商，用于与 OpenAI 相同的短小结构化任务，同样目前在我们的生产版本中处于关闭状态。Google 仅接收特定的结构化请求以及完成该请求所需的最少背景信息。PX 使用 Google Gemini API（和/或 Vertex AI）的付费级别——绝不使用免费级别。在付费级别上，Google 不会使用您的提示词或回复来训练或改进其模型；Google 仅为滥用监测目的短暂保留数据（在 Gemini API 上最长 55 天，或在 Vertex AI 上且仅当内容被标记以供审查时最长 90 天），随后将其删除。
• ElevenLabs, Inc.——用于语音教练、呼吸训练和冥想的文本转语音。我们仅发送待朗读的文本（AI Coach 的回复）；ElevenLabs 返回音频。重要提示：与上述文本提供商不同，ElevenLabs 的标准条款允许其保留所提交的内容并将其用于改进其服务。参见第 6.4 节。

语音转文本（将您的口述内容转换为文本）使用您设备内置的 Apple 或 Google 语音识别功能，并受您的设备权限约束。您的语音录音不会发送至 PX 或我们的 AI 提供商；根据您的设备设置，Apple 或 Google 可能会依据其自身条款在其自有服务器上处理音频。如果您通过 Siri 或操作按钮启动 PX，由 Apple 处理您说出的语句；PX 仅会收到打开其语音教练的指令。您可随时在“设置 → 隐私”中撤回 AI 同意，这将禁用 AI 指导功能。

6.1.1 我们向 AI 提供商发送的内容

当您与 AI Coach 互动时，我们会向我们的 AI 提供商传输以下类别的个人信息以生成回复。作为主要提供商的 Anthropic 可能会接收所有这些信息；而 OpenAI 和 Google 后备提供商仅接收其所执行的特定结构化任务所需的子集：

• 您发送的消息（文本或语音转写文本）；
• 您附加的图像和文件（例如食物照片、健身房训练计划的照片，或血液检测结果等文件）；
• 您 PX 个人资料的相关部分（您的目标、偏好、训练背景、饮食背景、您进行追踪时的周期阶段，以及您与我们分享的健康限制）；
• 与 AI Coach 的近期对话历史；
• 我们从您先前对话和记录中提取的结构化洞察（AI Coach 所引用的“记忆”——参见第 6.6 节）；
• 您当前的生物信号（如有）（例如 HRV、睡眠评分、恢复准备度、训练负荷）；
• PX 为结合您的日程进行规划而汇集的背景信息（当地天气和您已保存的训练地点）；
• 回复所需的系统背景（正在与哪个智能体对话、当前评分状态、活跃的指导标记）。

我们不会与 AI 提供商共享的内容

• 您的姓名、电子邮件地址、支付信息、邮寄地址，或回复所不需要的任何其他可直接识别身份的个人信息；
• 您的账户凭证；
• 您的原始日历事件内容（参见第 4.3 节）；
• 回复所不需要的来自第三方服务的任何内容。

6.2 在任何 AI 处理之前取得明确同意

PX 通过引导流程中专设的 AI 同意页面取得您对本第 6 节所述数据共享的明确同意，且在向任何 AI 提供商发送任何个人数据之前完成。您必须先授予此同意，任何 AI 处理才会发生，并且在您这样做之前，您无法与 AI Coach 互动。您可随时在应用内撤回同意——在“设置 → 隐私”中、通过停止使用 AI Coach，或通过删除您的账户。撤回同意会禁用 AI 功能并停止对您数据的进一步 AI 处理；这不影响撤回前已进行的处理的合法性。

6.3 我们的 AI 提供商如何处理和保护您的数据

我们委托我们的 AI 提供商作为子处理者，并受数据保护条款约束。在我们所使用的商用和付费级别上，我们的提供商：

• 仅为生成您的结果以及为有限的滥用监测、安全和法律合规目的而处理我们发送的数据；
• 不会使用您的提示词或我们的输出来训练或改进其通用型模型——这适用于 Anthropic、OpenAI 以及我们所使用的 Google 付费级别；我们的语音提供商的情况见第 6.4 节；
• 仅在有限期间内保留您的输入和输出，随后将其删除——Anthropic 和 OpenAI 默认最长 30 天，而 Google 仅为滥用监测之目的短暂保留（在 Gemini API 上最长 55 天，或在 Vertex AI 上、内容被标记的情形下最长 90 天）——但依法须保留更长时间或为调查违反政策的行为而须保留的情形除外；
• 不会出售您的数据，也不会将其用于广告；
• 均依据数据处理附录（DPA）或同等的书面数据保护条款接受委托，并配有适当的国际传输保障措施（参见第 7 节和第 9 节）。

当提供商提供零数据留存或同等安排时，我们将予以采用，并更新本政策以作说明。除非本政策对特定提供商另有说明，否则适用上述默认留存期限。

6.4 语音功能（ElevenLabs）

语音功能由位于美国的语音合成提供商 ElevenLabs, Inc. 提供。当您使用语音模式时，仅 AI Coach 的回复文本（待朗读的文字）会发送至 ElevenLabs 以生成音频；您自己的消息和您的个人资料数据不会发送至 ElevenLabs，尽管回复本身可能提及您与 AI Coach 分享的细节。与我们的文本 AI 提供商不同，ElevenLabs 的标准条款允许其保留所提交的内容并将其用于改进和训练其模型，您应当假定 ElevenLabs 可能会依据其自身的隐私政策（elevenlabs.io/privacy-policy）保留并使用为语音功能而发送的文本。我们尽量减少所发送的内容——绝不发送您自己的话语，仅发送回复——如果我们采用 ElevenLabs 的零留存或训练选择退出安排，我们将更新本政策以作说明。您可以在不使用语音功能的情况下使用 PX；关闭语音后，将不再有任何数据发送至 ElevenLabs。

6.5 AI 指导情境中的健康和健身数据

您的健康和健身数据——包括您记录的数据（锻炼、餐食、补水、心情、生物特征）以及来自 Apple Health / Apple HealthKit、Google Health Connect 和通过 Terra 连接的可穿戴设备的数据（例如心率、HRV、睡眠、恢复、步数和其他指标）——在与回答您的请求相关时，可能会被纳入 PX 发送给其 AI 提供商的背景信息中。此数据仅用于生成您的指导回复并保持服务的可靠性。它绝不会被出售，绝不会被用于广告，也绝不会被用于构建广告或营销画像。通过 Apple HealthKit 获取的健康数据依据 Apple 的 HealthKit 要求处理：不会被用于广告或营销，不会被出售或披露给数据经纪商，仅用于向您提供健康和健身服务。您可控制连接哪些健康来源，并可随时在账户设置中断开其中任何一项（参见第 4.3 节）。

6.6 AI Coach 记忆

AI Coach 在您的对话中所引用的“记忆”仅存储在我们自有的基础设施上（参见第 8 节）。它通过使用上述相同的 AI 提供商、依据相同的条款，从您的签到、对话、日记条目、快速记录和会话备注中提取结构化洞察而生成——在我们所使用的级别上，您的数据不会用于训练其模型（但须遵守第 6.4 节中关于语音提供商的立场）。PX 还会以统计方式在您的数据中检测规律性模式（例如，睡眠不足往往会降低您次日的心情），并将其作为洞察存储。您可随时在“设置 → PX 对您的了解”中查看 AI Coach 存储的有关您的所有内容，对其进行搜索、编辑、补充，或删除其中任何或全部内容。删除某项洞察后，该洞察将不再纳入未来的指导背景信息。

6.7 AI Coach 不会接收的内容

为清晰和完整起见：

• PX 读取事件名称、时间、忙/闲状态和地点，以在您的设备上显示您的日程安排。此日历数据绝不会传输至 Anthropic、OpenAI、Google、ElevenLabs 或任何其他 AI 提供商。参见第 4.3 节。
• 支付信息、账户凭证和联系方式绝不会传输至 AI 提供商。
• 身体扫描图像默认存储在您的设备上，除非您另作选择，否则不会发送至任何 AI 提供商。如果您开启云同步并另外针对特定扫描选择启用 AI 叙述，该图像将发送至 Anthropic，以生成对该扫描的中性书面描述。叙述模型被明确指示绝不根据图像估计体脂、体重、年龄、族裔或健康状况。您可随时在身体扫描隐私设置中删除任何叙述、任何扫描或您的全部扫描。

6.8 AI 提供商一览

下表概述了每家 AI 提供商的使用方式，以及其是否使用您的数据来训练其模型。最后一列链接到每家提供商当前的数据使用条款（以纯文本形式显示）；我们会定期审查这些条款。如需所有子处理者的权威清单，参见第 7 节。

6.9 Google API 数据的有限使用（Limited Use of Google API data）

PX 对从 Google APIs 接收的信息的使用和向任何其他应用的传输，将遵守《Google API Services User Data Policy》（https://developers.google.com/terms/api-services-user-data-policy），包括其中的有限使用（Limited Use）要求。PX 仅将 Google Calendar 数据用于在应用中显示您的日程安排并围绕您的安排进行规划；PX 不会传输或出售此数据，不会将其用于广告，也不会允许任何人阅读此数据。Google Calendar 数据仅在设备本地处理，绝不会传输至 PX 的服务器或任何第三方。