适用产品： 本政策适用于由保定市卷积网络科技有限公司提供的以下产品，以下合称“本产品”：
| # | 产品 | 形态 |
|---|---|---|
| ① | 安心 WiFi 感知器 | 硬件设备（型号以机身标签为准）+ annest.cn 上的账号、实时看板与订单页面 |
| ② | 安巢老人智能守护软件 | Android 应用，包名 com.elderguard.care |
| ③ | 安巢电视端老人守护软件 | Android TV 应用，包名 com.elderguard.care.tv |
| ④ | 安巢 TV Box 守护套装 | 电视盒子 + USB 广角摄像头 |
| ⑤ | annest.cn 网站 | 产品展示、在线下单、看板与客服 |
「安巢」与「安心」是两个产品，不是两个公司，也不是买了两样东西。
- 安心 是一台没有摄像头、没有麦克风的小盒子——它读的是您家路由器本来就在发的 WiFi 信号，只判断「这个房间此刻有没有人在活动」。它没有能力看到或听到屋里发生的任何事，不是我们不愿意，是硬件里没有这些部件。
- 安巢 是带摄像头的手机版 / TV 版软件与 TV Box 套装，靠在设备本地分析画面与声音来判断跌倒与求救。
请您按手上那一样对应的章节读。若某一节没有标注，则该节对两者都适用。
一、我们如何处理您的信息（一句话概览）
| 您手上的东西 | 它靠什么工作 | 会不会看到 / 听到屋里 |
|---|---|---|
| 安心 WiFi 感知器 | 读家里路由器本来就在发的 WiFi 信号，看信号被人挡住后的强弱变化 | 不会。 没有摄像头、没有麦克风，也不采集声音 |
| 安巢守护软件（手机版 / TV 版 / TV Box 套装） | 在设备本地分析摄像头画面与麦克风声音，判断跌倒与求救 | 会，但画面与声音只在设备里处理，不上传、不留存 |
安心 的承诺： 我们不接触、也不存储您家里的画面与声音——因为这台设备根本没有采集它们的部件。它上传到服务器的只有秒级的 WiFi 信号强度统计量（见 2.7 节）。
安巢 的承诺： 原始视频与音频不会离开您的设备，不会上传到我们的服务器，我们也不会存储、查看或分享这些内容。
我们仅处理维持守护功能所必需的最少信息，具体如下。
二、我们收集与处理的信息
2.1 在设备本地处理、不上传的信息（仅安巢软件）
| 信息类型 | 具体内容 | 处理方式 |
|---|---|---|
| 摄像头画面 | 实时视频帧 | 仅在设备内存中逐帧分析，提取人体姿态关键点后立即丢弃原始帧，不上传、不留存 |
| 麦克风音频 | 实时声音 | 仅用于本地关键词识别，识别完成后丢弃音频，不上传、不留存 |
| 人体姿态数据 | 由画面推导的关键点坐标 | 仅用于跌倒判定，判定结束后丢弃，不长期留存 |
技术说明： 上述处理全部通过设备本地模型（离线语音识别引擎、本地姿态分析模型）完成，不产生网络请求。
2.2 为实现告警功能而上传的信息（仅安巢软件）
当检测到跌倒或语音求救时，为向您指定的紧急联系人发出告警，我们会传输以下最少必要信息：
| 信息项 | 内容 | 用途 |
|---|---|---|
| 告警事件 | 事件类型（跌倒/语音求救）、发生时间 | 让联系人了解发生了什么 |
| 设备标识 | 设备生成的随机标识 | 多设备场景下区分是哪台设备 |
| 紧急联系人邮箱 | 您自行填写的收件邮箱 | 作为告警接收方 |
| 紧急联系人手机号 | 您自行填写的接收号码 | 作为短信告警接收方（仅在您开启短信告警时） |
我们不会在告警内容中附带任何画面、录音或姿态数据。
2.3 您主动提供的配置信息（仅安巢软件）
| 信息项 | 用途 | 存储位置 |
|---|---|---|
| 紧急联系人姓名、邮箱 | 告警接收 | 仅存储在您的设备本地 |
| 紧急联系人手机号 | 短信告警接收 | 仅存储在您的设备本地 |
| 灵敏度、告警开关等设置 | 功能配置 | 仅存储在您的设备本地 |
| 激活码 | 授权校验 | 本地校验；如涉及链上凭证，见 2.5 |
2.4 设备与日志信息（仅安巢软件）
- 应用崩溃与运行日志：默认仅存储在本地，用于您自行排查问题。
- 我们不采集设备唯一标识（IMEI、Android ID、OAID）、通讯录、短信内容、位置信息、应用列表。
2.5 关于区块链授权（如您使用该模式，仅安巢软件）
若您选择“链上凭证”激活方式，授权校验会在公开区块链网络上进行。该过程仅涉及授权凭证的核验，不包含任何个人身份信息、画面、音频或联系人数据。区块链上的公开记录具有不可删除特性，请您知悉后再选择该激活方式。
2.6 短信告警的通知对象与授权（仅安巢软件）
本节适用于您开启短信告警的情形。短信与邮件可同时开启，也可只开启其一。安心不发短信，它的提醒只走邮件（见 2.7 节）。
（1）短信告警会把信息发给谁
短信告警的接收方是您自行填写的紧急联系人——这是一个独立于设备使用者本人的第三人。因此该行为构成《个人信息保护法》意义上的「向第三方提供个人信息」，我们为此设置了三重前置条件。
（2）三重授权，缺一不发
| 环节 | 要求 | 未满足的后果 |
|---|---|---|
| ① 设备使用者知情同意 | 激活守护功能时，应用会弹窗明示「您的跌倒、求救等异常事件将通过短信和/或邮件通知您指定的紧急联系人」，并记录您的同意时间 | 不同意则不开启告警通道 |
| ② 紧急联系人本人同意 | 绑定手机号后，系统向该号码发送一条确认短信，联系人需按短信提示完成确认 | 未确认的号码不会接收任何告警短信 |
| ③ 可随时退出 | 联系人可回复退订指令，或联系 support@annest.cn 要求移除；设备使用者可在应用内随时删除该联系人 | 退出后立即停止发送 |
（3）短信里到底有什么
| 会包含 | 不会包含 |
|---|---|
| 事件类型（如「检测到疑似跌倒」） | 摄像头画面、截图、视频 |
| 发生时间 | 麦克风录音、语音内容 |
| 您为设备设置的称呼（如「爸爸」） | 人体姿态数据 |
| 设备随机标识 | 位置信息 |
| 任何可推断病情的健康结论 |
（4）短信由谁实际发出
短信通过腾讯云短信服务（腾讯云计算（北京）有限责任公司）投递。我们向其提供的仅为：接收号码 + 上述告警文本，不提供任何其他个人信息。腾讯云作为受托处理方，不得将这些信息用于其他目的。
（5）发送频率限制（防骚扰承诺）
为避免误报打扰联系人，我们做了三重限制，并承诺严格执行：
- 同类事件去重：同一台设备的同一类事件，10 分钟内只发送 1 条；
- 单设备日上限：每台设备每天最多发送 10 条告警短信，超出部分仅记录不发送；
- 不发送营销内容：告警短信中永远不会包含任何推广、活动或产品推荐信息。
（6）短信费用
告警短信由我们承担费用，不向您或联系人收取任何费用。
2.7 账号、绑定码与实时看板（仅安心）
实时看板需要知道「这台设备归谁看」，所以我们要一个账号。账号可以用邮箱注册，也可以用 Google 账号登录。两种方式拿到的信息不同，下面分别说清。
（1）邮箱注册
| 我们保存 | 用途 | 保存期限 |
|---|---|---|
| 邮箱地址 | 登录名，以及找回密码、发送告警邮件 | 账号存在期间 |
| 密码的不可逆哈希 | 校验登录。我们看不到也无法还原您的原密码 | 账号存在期间 |
| 注册时间、最后登录时间、登录 IP | 安全审计、防止暴力破解 | 最近 90 天 |
（2）用 Google 账号登录
选择这条路径时，认证发生在 Google 自己的页面上：我们不接触、不保存您的 Google 密码，也拿不到您的 Gmail 内容、通讯录或任何其他 Google 数据。
| Google 会给我们 | 用途 |
|---|---|
| 邮箱地址 | 作为账号标识 |
| 该邮箱「是否已验证」的标记 | 未验证的邮箱不予登录——否则谁抢注了这个邮箱，谁就能接管这台设备的看板 |
| 昵称 | 登录后在页面上显示为「谁在看」 |
Google 返回的访问令牌只用于一次性换取上述三项身份信息，用完即弃，不写入数据库、不写入日志。我们申请的权限范围仅为 openid email profile，即最低限度的身份识别，不包含任何 Google 服务的内容读取权限。
无论走哪条路径，账号里都不会存您的音视频、人体姿态、位置或健康结论——那些数据要么只在设备本地处理，要么根本不采集（详见 2.1、2.2）。
（3）绑定码与设备归属
绑定码印在机身底部与说明书第一页（例如 XXXX-XXXX，8 位，不含 0/O/1/I），用于把这台设备接到账号上。家人可以共用同一个绑定码，都能看到同一台设备的看板；设备归属以第一次绑定为准，之后的绑定不会改变归属。需要转移设备时，请联系 support@annest.cn，我们会核实后处理。
（4）实时看板里存的是什么
是秒级的 WiFi 信号强度统计量（最强帧、最弱帧、帧数、均值），不含画面、不含声音、不含人体姿态。它用于画出「今天什么时候有人活动」的曲线，并据此判断异常。
每台设备每天大约产生 8.6 万条这样的秒级记录，我们只留 7 天原样数据；7 天之后自动聚合成分钟级的「这一分钟有没有活动」，聚合结果留 365 天，用于画「今天 / 这周」的曲线。告警发送记录留 90 天。您可以随时要求删除某台设备的全部历史，删除后不可恢复。
（5）安心不采集什么
| 不采集 | 说明 |
|---|---|
| 画面、照片、视频 | 设备上没有任何摄像头 |
| 声音、录音、语音内容 | 设备上没有麦克风 |
| 人体姿态、行动轨迹 | 只判断「这个房间此刻有没有人在动」，不判断是谁、在哪、做了什么 |
| 精确位置（GPS） | 设备不联网定位，也不申请定位权限；服务器只知道它连的是哪个宽带出口 IP |
| 手机通讯录、相册、应用列表 | 我们的网页不申请这些权限，也没有对应代码 |
（6）安心会主动发什么邮件
只发给绑定这台设备的账号邮箱，一件事一封，不夹带任何推广：
| 触发条件 | 邮件 |
|---|---|
| 超过 4 小时没有检测到活动 | 「已经 X 小时没有动静」——这只是提醒您看一眼，不是急救通知 |
| 设备超过 15 分钟没有上报 | 「感知器离线了」，通常意味着断网、跳闸或插头被拔了 |
| 每周一 | 过去 7 天的小结 |
| 服务快到期 | 到期提醒 |
以上时长是我们的默认值；未来若调整，以页面上实际显示为准。
我们不把上述信息用于广告投放、用户画像或任何形式的出售。
三、敏感个人信息的处理（仅安巢软件）
安心不涉及本节。 它没有摄像头与麦克风，不采集人脸、人体图像或声纹，因此不存在敏感个人信息处理的场景。
依据《个人信息保护法》，以下信息属于敏感个人信息，我们单独向您告知并取得您的单独同意：
| 敏感信息 | 必要性 | 不提供的后果 |
|---|---|---|
| 人脸/人体图像（摄像头） | 跌倒检测必需 | 无法使用跌倒检测功能 |
| 声纹/语音（麦克风） | 语音求救必需 | 无法使用语音求救功能 |
重要承诺：
- 上述信息仅在您的设备本地处理，不上传、不存储于服务器；
- 我们不进行人脸识别、不建立人脸特征库、不进行身份识别，仅提取与身份无关的人体姿态关键点；
- 您可以随时在系统设置中关闭摄像头/麦克风权限，或在本产品内关闭守护，撤回同意。
关于老年用户的特别说明： 若本产品由子女为家中老人配置，配置者应确保已向老人充分说明守护功能与信息处理方式，并取得老人同意。
四、我们如何使用信息
我们仅将上述信息用于：
- 实现跌倒检测与语音求救识别（安巢软件）；
- 向您指定的紧急联系人发送告警（邮件与短信，具体通道以您的设置为准；安心只发邮件）；
- 维持守护服务常驻运行与开机自启（安巢软件）；
- 判断「这个房间此刻有没有人在活动」，并在长时间没有动静或设备离线时提醒您（安心）；
- 画出示波曲线、周报，以及核算服务到期日（安心）；
- 响应您的咨询、投诉与权利请求。
我们不会将您的信息用于：
- 广告推送或用户画像；
- 出售、出租或与任何第三方交换；
- 与本政策所述目的无关的其他用途。
五、第三方共享与委托处理
我们不向任何第三方出售或共享您的个人信息。仅在以下必要情形下发生数据传输：
| 场景 | 接收方 | 传输内容 | 目的 |
|---|---|---|---|
| 邮件告警 | 您邮箱所属的邮件服务商（如 QQ 邮箱、163 邮箱等） | 告警文本（事件类型、时间、设备标识） | 将告警送达联系人 |
| 用 Google 账号登录（仅当您主动选择该方式） | Google LLC | 浏览器与 Google 之间的登录请求；我方服务器向 Google 换取身份时的授权码。我们不向其传输您的设备数据、告警内容或看板历史 | 确认「您就是这个邮箱的主人」 |
| 邮件发送通道 | SMTP 服务提供商 | 同上 | 完成邮件投递 |
| 备用告警通道（主通道失败时） | 我们自建的告警转发接口 | 同上 | 保障告警送达 |
| 短信告警 | 腾讯云短信服务（腾讯云计算（北京）有限责任公司，受托处理方） | 接收号码 + 告警文本（事件类型、时间、设备称呼、设备标识） | 将告警通过短信送达联系人 |
上述传输不包含画面、音频、姿态数据或联系人以外的个人信息。
关于短信告警的通知对象： 短信告警的接收方（紧急联系人）是独立于设备使用者本人的第三人，我们为此设置了「设备使用者同意 + 联系人本人确认 + 可随时退出」三重前置条件，详见 第 2.6 节。
关于第三方 SDK： 详见《附录 A：第三方 SDK 清单》。
六、信息的存储
（1）安巢软件
| 信息 | 存储位置 | 保存期限 |
|---|---|---|
| 摄像头画面、音频、姿态数据 | 设备内存（临时） | 处理完成即丢弃，不落盘 |
| 紧急联系人、配置 | 设备本地（SharedPreferences） | 保留至您删除应用或手动清除 |
| 告警发送记录 | 设备本地 | 保留至您删除应用或手动清除 |
| 守护数据（画面、音频、姿态） | 服务器侧不存储 | — |
| 订单与授权信息 | 我们的服务器 | 保留至您申请删除，或法定留存期满 |
（2）安心 WiFi 感知器
| 信息 | 存储位置 | 保存期限 |
|---|---|---|
| 账号（邮箱、密码的不可逆哈希） | 我们的服务器（中国上海） | 账号存在期间；注销即删 |
| 设备绑定关系与绑定码 | 我们的服务器（中国上海） | 设备绑定期间；解绑即同时清除共享名单 |
| 秒级 WiFi 信号统计 | 我们的服务器（中国上海） | 7 天，之后自动聚合 |
| 分钟级活动记录（聚合结果） | 我们的服务器（中国上海） | 365 天 |
| 告警邮件发送记录 | 我们的服务器（中国上海） | 90 天 |
| 订单、收件人姓名与电话 | 我们的服务器（中国上海） | 保留至您申请删除，或法定留存期满 |
我们不在服务器上存储任何守护数据（画面、音频、姿态），不存在“守护数据的云端备份”。安心有云端账号，但那个账号里存的是设备的 WiFi 统计量和订单，不是您家里的画面——它也没有画面可存。
关于订单账户： 若您下单购买安心或安巢产品并注册了账号，我们会在服务器保存交易类信息（订单号、商品、金额、绑定码状态、服务到期日）与您的邮箱。该账户不包含任何画面、音频、姿态数据，也不包含安心以外的设备数据。
七、您的权利
依据《个人信息保护法》，您享有以下权利。安巢的部分可以直接在应用内行使，安心的部分可以在网页上看板行使，两种都可以通过 support@annest.cn 找我们：
| 权利 | 安巢软件 | 安心 |
|---|---|---|
| 查阅、复制 | 应用内「设置」「联系人」页面可查看全部信息 | 登录 annest.cn/my/ 可查看看板、设备与服务到期日 |
| 更正、补充 | 应用内直接编辑 | 看板上可给设备改名；邮箱等资料联系客服修改 |
| 删除 | 应用内删除联系人/清除数据，或卸载应用 | 可要求删除某台设备的全部历史；删除后不可恢复 |
| 撤回同意 | 系统设置关闭权限，或应用内关闭守护 | 解绑设备即停止采集与该设备的关联；退出登录即停止看板访问 |
| 注销 | 卸载应用即完成全部数据删除 | 发邮件到 support@annest.cn，我们核实身份后删除账号、绑定关系与看板历史（订单等法定留存项除外） |
| 解释说明 | 通过 support@annest.cn 咨询 | 同左 |
我们将在收到请求后 15 个工作日内答复。
八、信息安全
- 端侧处理优先：安巢的核心识别能力全部本地运行，从架构上消除音视频泄露风险；安心从硬件上就没有音视频采集部件，不存在这项风险；
- 最小化传输：安巢仅传输告警文本，不含多媒体内容；安心仅上传信号强度统计量，不含任何内容数据；
- 传输加密：告警邮件、看板数据与接口调用采用加密传输（TLS）；
- 本地权限最小化：仅申请功能必需的权限，详见《敏感权限使用说明》；
- 代码加固：发布包启用代码混淆与完整性校验，降低被篡改风险；
- 账号安全：密码只存不可逆哈希；第三方登录的访问令牌用完即弃；绑定码有尝试次数限制（10 分钟内 12 次），防止被逐个试出来。
安全提示： 设备本身的安全性（锁屏密码、系统更新）同样重要，建议为守护设备设置锁屏并保持系统更新。
九、未成年人保护
本产品面向家庭居家守护场景，不以未成年人为目标用户。若未成年人使用，应在监护人陪同下进行，并由监护人代为同意本政策。
十、信息出境
您的音视频与身份信息不向境外提供。但需如实告知两处涉及境外的处理：
- MediaPipe 组件会向 Google 传输不含用户身份的使用统计（平台、包名、版本号、调用统计），详见附录 A.2。
- 「用 Google 账号登录」这条路径：认证页面由 Google 提供，您的浏览器直接访问 Google 完成登录，我们拿到的只有 2.7 节列出的邮箱、验证标记与昵称。为完成这一步，我方服务器需要向 Google 换取一次身份，该请求经由我们位于日本东京的一台中转服务器转发；该节点只转发、不落盘，请求结束后不留存任何账号数据。若您不希望数据经境外处理，请使用邮箱注册，功能完全一致。
除上述两项外，我方未主动向境外传输任何可识别到个人的信息。
十一、本政策的更新
- 本政策更新后，我们会在应用内以显著方式提示，并重新征得您的同意；
- 重大变更（如新增信息收集类型、新增第三方共享）将单独弹窗告知；
- 历史版本可在 annest.cn 查阅。
十二、联系我们
如您对我们的答复不满意，可向网信、工信、市场监管等主管部门投诉举报。
附录 A：第三方 SDK 清单
A.1 当前版本包含的组件
| 组件 | 提供方 | 用途 | 是否收集个人信息 |
|---|---|---|---|
| Vosk | Alpha Cephei（开源） | 离线语音识别 | ❌ 否（纯本地推理，无网络请求） |
| MediaPipe Tasks Vision | Google（开源） | 本地姿态分析 | ⚠️ 音频/画面否；但附带使用统计上报，见 A.2 |
| Google DataTransport | MediaPipe 使用统计传输 | ⚠️ 是（仅包名/版本/调用统计，非用户数据），见 A.2 | |
| OkHttp | 开源 | 网络请求（发送告警） | ❌ 否（仅传输告警文本） |
| 腾讯云短信 SDK | 腾讯云计算（北京）有限责任公司 | 发送短信告警 | ⚠️ 是（仅接收号码 + 告警文本，用于投递） |
A.2 Google DataTransport（必披露条款，不可删除）
本产品集成的 MediaPipe Tasks Vision 组件会在后台通过 Google DataTransport（CCT） 上报使用统计，以帮助 Google 改进模型。该组件由第三方库强制加载，我方无法关闭。
Google DataTransport（Google LLC）
用途： 统计 MediaPipe 任务（如姿态识别）的调用情况与运行状况。
收集的信息： 平台类型（Android）、应用包名（com.elderguard.care/com.elderguard.care.tv）、应用版本号、任务类型与运行模式、调用次数与耗时等统计量。
不包含： 摄像头画面、麦克风音频、人体姿态数据、紧急联系人信息、设备唯一标识（IMEI/OAID/Android ID）、位置信息。
处理方式： 通过加密连接传输至 Google 服务器，涉及个人信息出境。
第三方隐私政策： https://policies.google.com/privacy
您的选择： 该上报不包含您的音视频与身份信息；如需完全阻断，可在系统设置中限制本应用的后台联网，但会影响告警邮件的及时送达。
技术说明（可向审核方提供）： 该组件由 com.google.mediapipe:tasks-core 作为传递依赖引入，其 RemoteLoggingClient 在 TaskRunner.create() 初始化阶段被无条件实例化，移除将导致姿态识别功能不可用。我方已通过本文档履行告知义务。
附录 B：相关文件
- 《敏感权限使用说明》
- 《开源组件与许可证声明》