PlateGoal（下称「本 App」）尽量少收集数据：不需要注册账号，饮食记录只存在你的手机里。下面按《个人信息保护法》的要求写清楚我们处理什么、为什么、怎么处理、存多久，以及你的权利。首次打开本 App 时我们会请你阅读并同意本政策；你也可以不同意，只使用不联网的手动记录功能。
| 信息 | 何时 / 为什么 | 存在哪里、存多久 |
|---|---|---|
| 你拍摄或选择的菜单 / 餐盘照片 | 仅在你主动点「拍菜单」「拍餐盘」并单独同意后，用于这一次热量估算 | 不保存：服务器处理完即丢弃，不写入日志；手机上只保留识别结果，不保留照片 |
| 饮食记录、目标、身体数据（性别、年龄、身高、体重、活动量，均可不填）、体重记录 | 计算每日目标、显示今日剩余与趋势 | 只在你的手机上；删除 App 即全部删除。我们拿不到 |
| 安装标识（随机生成的 UUID，存于系统钥匙串） | 统计每日免费识别次数、关联已验证的订阅，防止重复刷免费次数 | 服务器保存「标识 + 日期 + 当日次数」及订阅关联，次数记录保留 30 天；不与姓名、手机号等关联 |
| IP 地址 | 防滥用限流（同一网络每日上限） | 按日计数；访问日志最多保留 7 天后自动删除 |
| App Store 交易信息（交易 ID、商品、到期时间） | 你购买或恢复 Pro 时，由 Apple 签名的交易凭证在服务器端校验，确认 Pro 权益 | 服务器保存至订阅结束后 1 年（用于退款、争议处理）；我们拿不到你的付款信息 |
| 匿名使用事件（如「打开 App」「识别成功」「打开付费墙」） | 了解功能是否好用（每天每个事件的总次数） | 只上传事件名，不带任何标识、不带内容；按天汇总计数 |
| 崩溃与性能诊断（Apple MetricKit） | 修复崩溃与卡顿 | 只含 App / 系统版本与调用栈摘要，不含个人内容；保留 90 天 |
识别需要把照片（缩小到长边约 1024 像素并压缩）经加密连接（HTTPS）发送到我们的识别服务，再由识别服务转交模型服务商估算热量：
第一次识别前，App 会单独弹窗说明上述内容，只有你点「同意」后才会上传。不同意也可以用「手动添加」记录（内置常见中餐热量表，免费不限次）。你可以随时在「我的 → 隐私与 AI」关闭「允许 AI 识别照片」撤回同意；撤回不影响撤回前已完成的处理。
识别结果由人工智能生成，仅供参考，你可以随时修改。
识别服务部署在 。服务器位于中国香港，识别时照片会发送到位于中国内地的 DeepSeek 处理，不会保存。访问日志只记录请求时间、IP、接口与结果状态，不记录图片内容、访问令牌或密钥，按天存放，最多保留 7 天后自动删除（定期清除）。
订阅由 Apple 处理，我们拿不到你的银行卡信息。管理或取消订阅：App 内「我的 → 管理订阅」，或 设置 → Apple ID → 订阅。
本 App 不面向 14 周岁以下儿童；未成年人请在监护人指导下使用。体重目标计算不适用于孕期、哺乳期、未成年人及患有疾病的人群。
热量和营养数据为 AI 估算或参考《中国食物成分表》的估算值，仅供参考，不构成医疗或营养诊疗建议。
政策更新会修改本页的生效日期；涉及处理目的、方式或种类的重大变化，会在 App 内重新请你同意。