一、适用范围与联系我们
kiki 由李浩（个人开发者）提供和运营。个人信息保护、账号及服务问题，请联系 2114581274@qq.com。官网及账号服务域名为 https://kiki.group/，独立语聊服务域名为 https://furby.top/。本政策适用于当前 iOS 应用及官网，不代表规划中的其他客户端已经上线。
本服务仅向已满 18 周岁的成年人开放。首次使用时需要您主动确认年龄条件并阅读、同意本政策及用户协议。我们不会因您未同意而初始化音视频或即时通信服务；您仍可查看协议与官网介绍。
二、账号、资料与使用记录
当前版本仅支持通过 Apple 账户登录。您主动发起登录并通过系统授权后，Apple 向本应用提供用于本开发者团队的用户标识、身份令牌和一次性授权码；我们将必要的授权凭据通过 HTTPS 提交 Apple 完成真实性验证，用已验证的用户标识关联内部账号，并保存加密的刷新令牌以核验授权状态及在注销时撤销授权。服务端不接收您的 Apple 密码；本版本不主动请求或保存 Apple 姓名、邮箱，也不将令牌中的可选姓名、邮箱用于账号匹配。系统 Keychain 保存本应用会话和 Apple 用户标识，不采集硬件设备序列号。旧版 ID 登录已停止，旧内测账号不会自动迁移为 Apple 账号。
首次使用时，您需在阅读用户协议与隐私政策后主动点击“同意并继续”，同时声明自己已满 18 周岁。应用会通过自有账号服务获取当前完整协议正文和版本，安装包内文本与已保存文本仅供离线阅读；联网核对成功后才可确认当前版本。本机会保存您对当前版本的确认，正常重启、退出后重新登录或取消 Apple 登录无需重复确认；协议更新或您撤回同意后需要重新确认。Apple 登录本身不用于验证真实年龄。服务端以短期、一次性登录挑战及令牌校验防止登录凭据重放；失败或取消系统授权不会据此创建业务账号。Apple 提供的用户标识不会作为公开昵称展示。
首次进入需填写昵称。您可选填简介，选择预设头像或上传相册中自行选中的照片。账号服务保存这些资料，并在您进入语聊时向独立语聊服务同步必要的公开用户标识、昵称、简介与头像地址，以便展示成员和执行房间权限；不向语聊服务传送 Apple 身份令牌、授权码或刷新令牌。昵称、头像、房间名称以及您主动发布的房间内容可能被其他使用者看到；请勿填写或展示身份证号、住址等不宜公开的信息。
为提供房间列表、收藏及历史记录，语聊服务保存您创建的房间名称、类别、背景风格、状态、关联公开账号标识和创建时间，以及收藏和访问的房间标识、相应时间。历史记录保留最近 20 个房间。当前语聊房间与使用记录采用自建服务的数据集，旧语聊会话不会在新版自动恢复。通知偏好由账号服务保存，用于控制当前账号的系统消息提醒及是否隐藏消息内容；关闭系统提醒或隐藏内容不删除站内消息。
当前版本提供站内公开用户主页、关注、粉丝与互关关系。已登录、完成昵称并同意当前协议的使用者可以查看必要的公开昵称、简介、头像、关系数量及您正在主持的可加入房间；不提供定位、访客跟踪或年龄性别筛选。关注关系、站内通知及已读状态由账号服务保存；语聊房间状态和个人拉黑由语聊服务作为权威来源，两者以专用签名接口同步必要状态，不交换 Apple 身份凭据。公开资料的范围不包含 Apple 账号或私聊正文。
为识别真实使用而非仅持有登录会话，账号服务在应用进入前台使用时记录内部账号标识、自然日及必要活动时间；语聊服务按实际房间连接记录参与、上麦与短时在线观察，用于生成去重活跃、回访和累计停留的汇总。账号及语聊活动记录最多保留 35 天，语聊参与观察最多保留 30 天；统计从功能启用后起算，不追补未知历史。服务端续租及后台自动刷新不作为账号前台活跃。撤回或注销时清理关联的可识别活动记录。未接入第三方商业分析 SDK。
我们记录适用协议版本、文档校验值、同意时间以及年龄条件确认和撤回情况，用于识别您已确认的文本、执行授权选择并处理相关争议。此项记录不包含您的真实出生日期。为使网络重试能够确认撤回结果，撤回请求的旧会话令牌 SHA-256 摘要可在 24 小时内用于幂等确认；过期记录在后续撤回请求或服务启动时清理。撤回记录不额外保存 IP 地址或硬件设备信息。
三、房间通信与设备信息
当前版本使用 LiveKit 开源客户端连接本服务自建的信令、媒体与房间业务节点，提供语音房间、八麦与听众、排队审批、文字互动和公告。开麦时处理您的实时声音；发送房间文字时处理正文、发送者公开标识及必要时间和房间信息，并传输给相应房间成员。房间提供五种预设背景，随设备的深浅色模式适配；房主可在创建或编辑房间时选择。当前未开放视频直播或音效。关闭麦克风或离开房间可停止相应实时采集。最小化为应用内悬浮球不表示退出，已开启的音频会话可在后台继续；需要停止交流时请明确关闭麦克风或退出。
您可在已登录社区内关注其他使用者、查看公开资料并发起文字私聊，无需互相关注。对方首次回复前，每名发送方最多发送 5 条；对方回复后双方可继续交流。公开昵称、简介、头像、关系和必要时间会向有权限的使用者展示；私聊正文仅向对应会话参与者提供，运营人员不能随意浏览所有私聊。关注或取消关注不影响私聊权限；清空本人聊天历史只影响本人一侧的可见记录，不影响对方，也不重置首次联系限额。为执行该限额，服务器保存双方已发送条数与是否已有回复的最小状态；该状态在正常使用期间保留，撤回隐私同意或注销时删除，私聊正文过期不会重新开放发送额度。已有历史在保留期内仍可查看；任一方拉黑会隐藏相应社交资料、通知及私聊，公开语音房间的接收规则仍按本政策下文说明执行。
私聊消息采用最长 30 天的滚动保留；社交通知和本人举报状态最长保留 30 天，支持已读查询，经您主动允许通知后，可以通过 Apple 推送通知服务（APNs）接收私聊和站内互动提醒；系统通知不替代应用内的真实已读状态或内容权限。已被举报且为调查按需保留的文字证据最多保存 30 天。已下线功能的历史业务记录及媒体仅作为受限回滚资料保留，不再通过在线功能提供；受限备份的清理规则见本政策第六部分，不能将功能下线或前台删除理解为数据库 WAL 及历史备份在同一时刻全部物理销毁。
为向已授权设备发送系统提醒，应用取得 Apple 为本应用提供的设备推送令牌，并生成随机安装编号；账号服务保存与当前业务账号及有效登录会话关联的令牌、安装编号、开发或正式环境、授权状态和必要更新时间。随机安装编号不是硬件序列号或广告标识。推送令牌仅用于本应用消息送达，在线保存时加密，不作为公开资料或运营人员可浏览的设备清单展示。
系统推送由账号服务器通过 Apple APNs 投递，不经过独立语聊媒体服务器。默认可显示发送者当前昵称、私聊文字正文或站内互动摘要；您可在应用“设置 → 通知”中开启“隐藏消息内容”，之后发送的提醒改用固定通用文案，不含正文或发送者昵称。推送不包含照片、图片内容或房间名称；具体展示仍受 iOS 通知预览设置控制。载荷另包含用于登录后核验并跳转的随机事件标识及必要角标。Apple 会为完成通知投递处理设备推送令牌、应用标识、上述推送载荷及其服务所需信息。点击通知后仍须由账号服务核验当前账号、协议和内容权限，通知本身不授予访问权。
系统推送设备绑定最长保留至对应会话失效或连续 30 天未更新，以较早者为准；待发送提醒最长保留 24 小时，终态投递记录及用于点击核验的随机事件最多 7 天。为防止退出或换号前的旧请求迟到后重新绑定，服务端按随机安装标识派生的不可公开索引保留必要绑定版本水位，最长 30 天，不在该水位中保存原始安装编号或推送令牌。退出清理相应会话绑定，撤回和注销清理该账号的绑定及待发送记录；已被 Apple 接收的通知及受限备份按其实际处理规则清理。
为连接、适配设备和排查质量问题，SDK 和自建服务可能处理房间及公开用户标识、设备型号、操作系统及版本、网络类型与连接状态、IP 地址及必要通信统计。客户端仅上报可取得的连接质量、音频路线和 RTT、抖动、丢包等诊断，缺失数值记为未知；服务端质量样本最多保留最近 1000 条且最长 5 分钟，位于进程内，重启清空。运维人员通过独立、分权的管理看板查看聚合运营与主机指标，不通过看板读取 Apple 凭证或实时音频正文。社区管理另行授权，获授权人员仅为处理举报查看必要的举报资料和按需保存的文字证据，并执行有记录的语聊处置。具体组件见 https://kiki.group/privacy/sdk/。
为排查创建房间、进入房间失败及使用中的错误或警告，客户端和两台业务服务器记录必要的问题事件：公开账号标识与昵称、房间标识（不含房间名称）、操作及失败阶段、预设错误代码和严重程度、发生与接收时间、耗时、HTTP 状态、随机问题与操作及请求编号、iOS 或 iPadOS 类型和应用及系统版本。此项不上传错误原文、请求地址、会话令牌、Apple 身份标识、IP 地址、设备名称或房间声音与文字正文。获授权的语聊运维人员可按公开昵称或编号查询这些事件。客户端待上传事件保存在排除系统备份的私有文件中，最多 100 条、最长 7 天；网络恢复后重试，退出登录、切换账号、撤回或注销时清理。账号服务可为语聊授权失败等事件提供受限的持久补报队列，最长 7 天，投递成功后删除事件正文；语聊服务的问题事件最长保留 7 天、全局最多 10000 条，达到上限时提前淘汰旧记录。重复质量警告会合并或限频，因此这里不是完整的使用行为流水。撤回或注销时清理关联在线事件及待补报事件，并以必要的短期授权状态记录防止撤回前的旧事件迟到后重新入库。
当前应用未提供录音、回放、AI 转写、声纹或人脸身份识别功能，未接入广告追踪或商业分析 SDK。实时音频的必要中转与短时诊断处理不等于长期保存录音。房间文字通过业务接口分配序号，提供最近 200 条、最长 2 小时的滚动历史；关房或作者撤回、注销时清理对应在线业务正文。此滚动窗口不是数据库 WAL 或受限历史备份的物理擦除期限。
您可举报房间、用户或房间消息，选择原因并补充必要说明。语聊服务核对参与记录，并按需保存举报编号、报告人及对象的公开账号标识和昵称、房间信息、提交时间、原因、说明及被举报消息的文字快照，以便调查和反馈。举报资料和文字证据最多保留 30 天，不为举报自动录音或回放语音；基础文本词条过滤不等于完整语音审核。警告和处置通知最多保留 30 天；必要的操作审计和防重复处置回执最多保留 90 天。
拉黑名单由语聊服务保存，用于在您使用时屏蔽相应用户的房间文字和音频，您可在社区安全设置中解除。拉黑不自动将对方踢出公开房间，也不能保证对方听不到您主动在公开房间发出的声音。撤回或注销时清理关联举报资料、拉黑关系、通知及不必要的审计说明和目标标识。必要语聊限制在撤回后可保留至到期，以防通过撤回来绕过限制；正式注销时清除该账号的限制状态。
社交举报可针对公开资料或本人参与的私聊消息。服务器核验内容与参与资格后，按需保留举报编号、报告人与对象的公开账号及昵称、原因、说明、文字证据，最多 30 天。独立获得社区权限的运维人员只可读取案件关联证据，并执行警告、移除违规内容、临时社交禁言、解除限制或驳回；社交禁言限制私聊发送和新增关注操作，不替代语聊封禁，也不阻止 Apple 登录、撤回或注销。相应审计和防重复回执最多 90 天。撤回或注销清理关联社交内容、会话、关系、通知及举报，并清除审计中不必要的可识别说明；有效限制在撤回后可保留至到期，注销时清除。
四、权限与选择
麦克风仅为语聊发言使用，在您主动开麦时申请系统权限。拒绝或关闭麦克风权限不影响聆听、文字资料或协议查看等不依赖收音的功能。当前版本隐藏视频直播入口，不主动申请摄像头权限。
设置头像时使用系统照片选择器，由您主动选择要提供的图片，不读取您的整个相册。只有您选择并确认保存的头像会上传；客户端和服务器将其转换为静态 JPEG、缩小并移除照片元数据。您也可以使用预设头像。当前不申请定位、通讯录、广告跟踪权限。可在 iOS 系统设置中管理已授予的麦克风、摄像头和照片相关授权；具体入口随系统版本而异。完整说明见 https://kiki.group/privacy/permissions/。
在您确认同意前，应用会仅为获取和核对最新完整协议，通过 HTTPS 访问自有账号服务的公开协议接口，不携带账号凭据、Cookie、设备标识或推送令牌，不创建账号、初始化音视频服务或申请通知权限。必要网络连接会向服务器提供网络通信所需的 IP 地址，系统可能提示网络访问选择；断网时可阅读已保存文本，联网取得当前协议后再确认。首次使用时，在您同意当前协议后、进入 Apple 登录前，应用会先通过不携带账号凭据、Cookie 或推送令牌的自有服务健康检查确认网络连接，再申请系统通知权限。系统是否展示网络访问询问及其形式由设备系统决定；无法连接时可检查网络并重试，不会据此直接认定您拒绝了权限。通知权限已被您决定后，不重复弹出系统申请；拒绝通知或系统授权请求未完成不阻止登录、站内私聊、互动和语聊。您也可稍后在消息或通知设置中开启提醒，在系统设置中更改横幅、声音及角标，或通过应用内开关停止当前账号的系统提醒。实际推送注册与设备令牌绑定仅在有效登录并允许相应提醒后进行。退出登录、切换账号、撤回或注销时会停止相应设备绑定并清理本机通知状态；已经被 Apple 接收的通知不一定能够即时撤回，可能延迟到达，点击后仍须重新校验账号和权限。
五、第三方处理与公开范围
实时语聊使用 LiveKit 开源 SDK 及其 WebRTC、原生桥接依赖；房间鉴权、信令、媒体中转和业务消息由本服务配置的自建节点处理，未配置 LiveKit Cloud 房间服务。账号服务器与语聊服务器独立，账号授权通过后端专用签名接口换取语聊凭证，App 不持有该服务间密钥或 LiveKit 管理密钥。当前正式 iOS 目标不再使用腾讯 TRTC、Room Engine、TUILiveKit 或 IM 处理新版语聊；仓库内参考工程不属于当前应用的启用范围。
Apple 账户登录使用 iOS 系统 AuthenticationServices 框架及 Apple 身份服务。我们向 Apple 提交完成验证、令牌交换、状态核验和撤销所必需的授权码、令牌与应用标识；Apple 对账户和设备的处理按其“通过 Apple 登录与隐私”说明及隐私政策进行。本应用不读取您的 Apple 密码、账户内文件或通讯录。服务说明：https://www.apple.com/legal/privacy/data/zh-cn/sign-in-with-apple/ 。
您主动在房间公开的昵称、头像、声音和文字会被相应使用者接收。我们会在公开资料或开启相应交流功能时说明展示范围并请您确认。请注意，其他使用者可能自行记录或转发看到、听到的内容，请谨慎分享。我们不会向他人出售您的个人信息；依法向有权机关提供、业务主体依法变更，或其他需要单独授权的情形，将依法律履行相应告知、授权及保护义务。
系统通知使用 Apple UserNotifications 系统框架和 APNs 服务，提供方为 Apple。必要的设备令牌、应用标识、提醒载荷和事件标识提交给 Apple，以便向用户授权的设备送达。提醒默认可含发送者昵称、私聊文字正文或站内互动摘要；开启“隐藏消息内容”后，之后发送的提醒使用通用文案。不会在推送中提交照片或图片内容。Apple 对其设备及通知服务的信息处理按其隐私政策进行：https://www.apple.com/legal/privacy/zh-cn/ 。
六、保存位置、期限与安全
业务账号、资料和头像保存在本服务的中国大陆账号服务器，房间、授权映射和使用记录保存在中国大陆独立语聊服务器及必要受限运维备份中；本机 Keychain 与图片缓存保存在设备内。Apple 登录认证及系统通知会分别访问 Apple 身份和 APNs 服务，必要授权凭据或设备令牌与提醒载荷由 Apple 按其服务规则处理，其网络和处理地点不由本应用控制，不能将自建业务节点位于境内理解为 Apple 认证及推送全程在境内完成。涉及个人信息跨境提供时，运营者按适用规则履行相应手续和告知义务。
账号资料及收藏、历史记录在提供对应服务所需期间保存，您可修改资料、取消收藏或发起注销。账号会话通常为 30 天并可在有效使用时续期；语聊业务凭证使用最长 15 分钟的可续租授权，入房凭证通常为 5 分钟。这些是凭据有效期，不表示全部业务记录届时自动删除。退出或撤回后本机先停止媒体，服务器同步撤销语聊授权；网络故障时保留清理意图重试，过期语聊租约不能由客户端自行延长。图片缓存可随系统清理或应用处理更新。
协议同意、撤回及必要安全记录仅在识别授权状态、处理争议或履行法定义务所需期间保存。本次新增的日常一致性备份在各自服务器受限保存，正常轮转周期为 7 天，并校验隔离副本的数据库及关联文件；新备份校验失败时会保留此前成功副本并发出运维告警，因此故障期间旧副本可能超过 7 天，恢复成功后清理超期的受管副本；它们不用于直接提供在线服务，也不能替代异地容灾。更早的历史手工运维备份没有统一自动清除期限；在线文字和诊断的滚动保留范围见本政策第三部分。您可通过公开邮箱请求核实、删除适用记录和备份副本，我们将结合具体记录及法定留存要求处理，并说明无法立即删除的原因。我们不会把未核实的固定天数当作已经实施的删除承诺。
业务请求使用 HTTPS，登录会话使用系统 Keychain、摘要校验及服务端访问控制保护；Apple 刷新令牌在业务库和待撤销队列中使用独立服务端密钥加密，私钥不进入 App。服务器常规访问日志已关闭，故障时仍可能产生必要错误记录，通信组件也可能生成其正常运行所需诊断信息。安全措施不能完全消除网络风险；发生个人信息安全事件时，我们会依法采取补救措施并履行通知等义务。
七、查阅、更正、撤回与注销
您可在“我”中查看及修改昵称、简介、头像，并查看收藏与历史记录；可在设置中退出登录、撤回隐私同意或发起注销。撤回后会停止需要该同意的服务并退出当前通信会话；撤回不影响此前已依法进行的处理，也不等于注销或自动删除已有数据。恢复使用时需要重新确认适用协议。 撤回同时清理系统推送绑定与待发送记录、在线社交关系、私聊会话、通知及关联举报资料；这会使另一参与者也无法再通过在线服务读取该会话。设备上已经取得的内容和受限备份按实际清理及保留规则处理。
注销会删除在线账号业务库中的账号、登录身份、会话和本人上传头像，并向独立语聊服务发送持久化清理请求，撤销语聊授权并清理该身份的资料快照、收藏、历史和本人消息。活跃房间由语聊服务按房主转交或结束规则处理；网络故障时清理意图继续重试。为保留其他成员记录完整性，已结束的房间标识及经匿名化处理的展示记录可能保留。注销同时申请撤销 Apple 授权；Apple 暂时不可用时，账号仍会删除，完成撤销所必需的加密令牌在受限队列中重试，成功后删除。历史备份和旧版第三方服务中的数据不会因此在同一时刻全部销毁；如需进一步清理，请通过 2114581274@qq.com 联系。再次 Apple 登录建立新的业务账号，不能恢复已注销资料。
如需复制、导出、删除其他个人信息，或依法请求限制处理、转移等，请发送请求至公开邮箱。为防止冒用，可能需要以已有账号信息核验身份；请勿直接发送完整身份证照片或账号秘密。我们会在核验后于合理期限内答复；依法不能满足时会说明理由，并告知可行的救济或进一步反馈方式。
八、成年人使用与政策更新
本服务不向未满 18 周岁人士开放，不以一般同意操作替代未成年人保护措施。如您尚未满 18 周岁，请勿注册、登录或提交个人信息。如发现未成年人误用，您或监护人可联系公开邮箱，我们将核实并处理相应账号及信息。
本政策发生实质变更，特别是处理目的、方式、数据类别或您的主要权利变化时，我们会更新版本并以应用内提示等方式告知，依法需要重新同意时先取得新的同意。您可从应用内或官网随时查阅当前版本，历史文本可通过页面中的版本链接查看。