隐私政策
本隐私政策说明您使用 Luma 移动应用、luma-app.space 法律网站及相关服务时，Luma 如何收集、使用、存储、共享和保护信息。
1. 范围
本政策适用于 Luma Android 应用、云端功能、AI 处理、可选奖励广告和订阅、luma-app.space 法律网站，以及与 Luma 有关的支持或法律沟通。
2. 我们收集的信息
2.1 账户和个人资料数据
- 电子邮件地址和 Firebase Authentication 账户元数据
- 登录提供商信息,例如电子邮件或 Google 登录
- 名字、姓氏、年龄确认状态、性别选择、个人资料图片
- 语言、时区、通知设置和个性化选择
- 选定的 AI 角色和 Pro 或资费状态
2.2 用户创建的内容
- 聊天消息和近期对话上下文
- 使用语音功能时的语音通话记录或语音派生的文本
- Organizer 事件、笔记、计划、词典、记忆和成长工作区
- 自定义 AI 角色、反馈、支持工单、错误报告和功能请求
- 用户附加到聊天或个人资料流程的图像
聊天记录默认本地存储在用户设备上。除非用户选择同步、共享、备份、导入或以其他方式上传聊天内容或相关上下文的功能,否则 Luma 不会将聊天记录存储为服务器端聊天记录。但是,当用户向 Luma AI 发送消息时,消息和相关上下文会传输到 Luma 后端和云 AI 提供商以进行处理,以便生成响应。
功能相关数据
- 使用语音交互时，麦克风音频会在设备上临时处理以生成转录文本。转录文本会发送到 Luma 后端和云端 AI 服务；使用文本转语音时，回复文本、所选声音和语言会发送到 Microsoft Edge 语音服务。
- 对于 Nearby、导航和 Travel 工具，只有在用户启动相关功能时，我们才可能处理精确或大致位置、地点搜索、目的地、路线信息和场所详情。Luma 不会创建持续的位置历史记录。
- Nearby 会收集个人资料、年龄确认、可选头像和简介、兴趣、聚会、参与者、聊天、评价、屏蔽和举报数据。部分个人资料和聚会信息会按功能说明向符合条件的 Nearby 用户或聚会参与者显示。
- Travel 工作区可能包含目的地和住宿、所选坐标、日期、保存地点、预算、同行人员、语言以及食品、饮食和行动偏好。它们仅对帐户私有，不会与 Nearby 共享。
- 屏幕捕获由用户通过 Android MediaProjection 发起。捕获和裁剪内容临时存储在设备上；只有当用户在聊天中附加并发送图片时，所选图片才会发送给 Luma AI。
- Pro 用户共享已同步聊天快照时，Luma 会存储所选消息和元数据、发送者的显示名称和邮箱以及访问代码。除非所有者撤销或替换，链接可在 24 小时内导入；接收者会获得本地副本。
- 词典和图片搜索可能将单词或查询、语言和常规请求元数据直接发送给 DictionaryAPI.dev、Wiktionary 或 Wikimedia Commons、Pixabay 或 Pexels。用户输入的可选 Pixabay/Pexels API 密钥会本地存储在 Android SharedPreferences 中，并仅发送给所选提供商。
- Security Agent 会处理目标 URL 或 Git 仓库、授权确认、扫描元数据和结果。连接 GitHub 后，Luma 会请求 repo、user 和 read:user 权限，以读取个人资料和仓库列表，包括用户授权的私有仓库。GitHub 令牌可能为所请求的扫描经过 Firebase、Cloud Tasks 和隔离工作器。
2.3 计费、奖励和验证记录
- Google Play 订阅产品标识符、购买令牌、令牌哈希和到期状态
- 购买验证记录和订阅历史元数据
- Luma Coin 余额、兑换和购买历史
- 奖励广告验证记录、响应标识符、奖励状态、时间戳和反欺诈元数据
我们不接收或存储完整的支付卡号。支付由 Google Play 处理。
2.4 设备、应用和安全信息
- 用于推送通知的 Firebase Cloud Messaging 令牌
- 应用完整性信号,例如 Firebase App Check 或 Google Play Integrity 结果
- 由 Google Cloud 和相关基础设施生成的请求元数据和安全日志
- 用于反滥用、奖励验证和限制执行的应用范围安装标识符,本地存储
- 用于应用连续性和性能的基本加密本地缓存
Luma 不接收或存储原始指纹模板、面部模板或类似生物识别模板。生物识别匹配由设备或操作系统处理。
3. 我们如何使用信息
- 创建和保护用户账户
- 提供聊天、Organizer、规划、词典、记忆和 Growth Hub 功能
- 通过后端和云 AI 提供商处理 AI 请求
- 应用个性化和 AI 角色设置
- 传送用户选择的通知和提醒流
- 验证订阅并维护 Pro 访问
- 验证奖励广告,记入奖励,并防止滥用或重复奖励
- 调试、维护、改进和保护应用
- 响应支持、删除和法律请求
4. 何时可能共享信息
我们不出售个人或敏感用户数据。
我们可能与运行 Luma 所需的服务提供商和平台共享信息,包括:
- Google Firebase 和 Google Cloud,包括 Firestore、Cloud Functions、Storage、App Check 和 Messaging
- 用于 AI 生成或审核工作流的 Google Cloud Vertex AI
- 用于订阅购买和验证的 Google Play 和 Google Play Billing
- 用户选择该登录方式时的 Google 登录
- 用于可选奖励广告的 Google AdMob 和相关 Google 系统
- 用于验证和密码重置邮件的 Resend
- 法律要求或运营必需的监管机构、当局、顾问或继任者
- 用于选定文本转语音请求的 Microsoft Edge 语音服务、用于用户请求网页查询的 DuckDuckGo 或 Yahoo，以及用于地图、地理编码、场所或路线请求的 OpenStreetMap、Nominatim 或 OSRM
- 用于崩溃诊断的 Firebase Crashlytics，以及用于 Security Agent 处理的 Google Cloud Run 和 Cloud Tasks
- 仅在服务器控制的生产 rollout 启用该路径时，为部分 AI 请求和安全审核提供服务的 OpenAI
- 用于授权仓库访问的 GitHub；用于词典或媒体查询的 DictionaryAPI.dev、Wiktionary 和 Wikimedia Commons；用户选择时使用的 Pixabay 和 Pexels；用于下载设备端语音模型的 Hugging Face 或 GitHub Releases
5. AI 处理
当用户发送聊天提示、使用语音交互、附加图像、在 Growth Hub 中工作或要求 Luma 创建结构化内容时,相关信息可能会传输到 Luma 后端和云 AI 服务,以便功能正常运行。
默认情况下,Luma 不将完整的聊天历史作为同步的服务器端对话存档保留在我们的服务器上。个别 AI 请求可能由 Cloud Functions 和云 AI 提供商瞬时处理,以生成响应、执行限制、保护服务并支持所请求的特定功能。仅当用户选择基于云的功能时(例如同步、共享、Growth Hub 导入、记忆保存、支持提交或其他需要上传或保存该内容的功能),才会发生聊天内容或聊天派生上下文的服务器端存储。
AI 输出可能不准确、不完整、过时或不适合高风险决策,即使听起来很自信。用户负责在采取行动前审查 AI 输出。
Luma 不会使用提示、图片、Travel 上下文或 Security Agent 结果训练通用 Luma 模型。默认云端 AI 提供商是 Google Vertex AI。故障关闭的服务器 rollout 可能将部分符合条件的请求发送给 OpenAI，并在可重试失败后回退到已验证的 Gemini 模型。
发送至 OpenAI 路径的请求使用 API 控制，为该请求关闭模型回复存储。AI 提供商仍可能依据其条款保留有限的安全或滥用监控记录。在支持的情况下，Luma 会发送假名化的哈希安全标识符，而不是用户邮箱。
5.1 Security Agent 与代码审计隐私
进行 Security Agent 扫描时，Luma 会将经授权的公开 HTTPS 网站或 Git 仓库及参数发送到隔离的 Google Cloud Run 工作器。对于经授权的私有仓库，可能临时包含 GitHub 令牌。工作文件保存在临时目录并在扫描完成后删除；Luma 不会有意将原始克隆文件作为持久用户内容存储。
Luma 会在 Firestore 中保存扫描任务、已验证域名、授权和审计确认、报告元数据、目标引用、使用遥测和漏洞结果，以便显示结果并防止滥用。GitHub 和 Firebase Authentication 可能按各自条款保留账户关联或授权记录。
AI 输出可能包含幻觉、编造内容、虚假事实、虚假引用、错误日期或提醒、无效计划、代码错误或其他错误。AI 输出是自动生成的，在显示给用户之前，Luma 可能不会进行独立验证。有关 AI 输出的免责声明和责任限制见服务条款。
6. 广告、广告请求数据和奖励验证
Luma 包含可选的奖励广告。如果用户选择观看,Google AdMob 和相关 Google 系统可能会根据 Google 自身的政策处理广告请求、设备、诊断、测量和广告相关信息。
对于奖励广告,Luma 还会存储和处理以下所需的奖励验证元数据:
- 验证奖励回调是否合法
- 防止重复奖励或奖励欺诈
- 应用按用户和按安装的反滥用限制
- 记入正确的奖励结果
此奖励验证元数据可能包括应用范围安装标识符、假名用户链接、奖励回调标识符、广告验证时间戳以及我们后端使用的反欺诈信号。
7. 本地存储和同步
默认情况下,某些内容会保留在设备本地。所选功能也可能在用户选择使用这些流程时将数据同步到云存储或基于云的数据库。
除非用户选择上传或同步功能,否则聊天记录默认仅本地。即使聊天记录仅本地,发送到在线 AI 功能的个别消息也会传输到我们的后端和 AI 提供商以进行处理和响应生成。
法律网站使用浏览器本地存储来记住语言、主题和 cookie 提示选择。目前这些法律页面不使用行为广告或分析。托管和安全提供商仍可能生成常规请求及安全日志。
8. 保留和删除
我们保留数据的时间为运营、保护和支持应用、遵守法律、防止滥用、解决争议以及维护计费或奖励完整性所合理需要的时间。
- 账户和用户内容通常在账户活跃期间保留
- 验证码生命周期短并自动过期
- 奖励和反欺诈记录可能在运营或争议窗口期间保留
- 购买和订阅验证记录可能因计费、税务、欺诈防范和合规而保留
- 在保护服务必需时,有限的假名反滥用记录可能保留
- 保持仅本地的聊天记录不会被 Luma 作为服务器端聊天记录保留,尽管个别 AI 请求可能通过我们的后端和 AI 提供商进行处理
- 共享聊天快照会在 24 小时后、撤销后或替换后停止导入；残余记录可能保留到计划清理、备份到期或账户删除
- 用户范围的网页搜索缓存最长 10 分钟后到期；提供商安全日志可能遵循其自身保留条款
应用内账户删除首先被安排。账户进入 3 天删除窗口,用户可在此期间通过再次登录恢复。如果账户被恢复,作为反滥用措施,1 天内无法再次请求删除。3 天窗口结束后,除非某些类别因欺诈防范、计费、法律合规、争议处理或服务安全需要保留,否则我们通常会删除或去识别相关的应用账户数据。
恢复期后，删除流程旨在删除或去标识主要账户、用户拥有的云内容、Travel 工作区、Nearby 资料和创建的聚会，以及 Security Agent 的任务、报告、域名和使用数据。涉及其他用户的内容可能被解除关联、去标识或保留，以保护其内容、处理安全举报、防欺诈、解决计费争议或遵守法律。删除 Luma 账户不会自动清除他人已导入或保存的副本，也不会清除第三方提供商独立持有的记录。
9. 用户选择和权利
根据所在地和适用法律，用户可能享有访问、更正、删除、限制或反对处理、数据可携、撤回基于同意的处理，以及向主管监管机构投诉的权利。
用户可在应用内管理或删除部分内容，在 Android 中撤销设备权限，并在连接提供商的设置中撤销访问。更广泛的请求、数据可携、撤回同意或删除问题请联系支持。行使法定权利不会导致歧视性待遇。
法律依据与国际处理
需要法律依据时，Luma 依据用户协议履行账户和所请求功能；在需要时依据同意处理可选权限；依据合法利益保障安全、防欺诈、诊断、审核和改进；并依据法律义务处理计费、税务、会计或合法请求。
服务提供商可能在用户所在国家以外处理数据。需要时，Luma 会采用适当合同保障，包括标准合同条款或等效机制，以及技术和组织措施。可联系支持了解与特定传输有关的保障。
Luma 使用自动化系统生成 AI 输出、防止垃圾内容和滥用、进行完整性检查、辅助审核、管理奖励和限额以及生成安全结果。若无适用法律要求的保障，Luma 不会有意作出产生法律或类似重大影响的纯自动化决定。
10. 儿童
Luma 不面向 13 岁以下儿童,或当地法律要求父母同意的更高年龄。如果怀疑儿童违反本规则提供了数据,请联系我们,我们将审查该案例。
Luma Nearby 仅面向年满 18 岁的用户。如果年龄信息不准确或不符合此要求，我们可能限制或移除 Nearby 访问权限。
11. 安全
我们使用合理的保障措施,例如认证的访问控制、HTTPS/TLS、服务器端验证、App Check、反滥用控制以及支持的情况下的加密本地存储。没有服务可以保证绝对的安全。
12. 本政策的变更
我们可能更新本政策。如果变更对个人数据使用产生重大影响，我们将按照适用法律在生效前或生效时，通过应用、网站、电子邮件或其他适当渠道通知。
13. 联系方式
对于隐私问题、账户删除请求或与数据相关的请求,请联系:
support@luma-app.space
https://luma-app.space