隐私政策

关于本政策

My Royal Chef 是一个具备食材库意识的烹饪助手和食谱服务，由 Aporia Systems。本政策涵盖网站（myroyalchef.com）和 Android 应用。如果您对本政策或您的数据有疑问，请使用 联系表单 我们将尽快回复您。

账户信息

如果您创建账户，我们将存储您的用户名、电子邮件地址以及您密码的安全哈希值（绝不会存储密码本身）。如果您通过 Google 登录，我们会从 Google 获取您的姓名和电子邮件以创建或匹配您的账户。您的账户还可能记录您的计划状态（免费或 Premium）及其授予方式。

厨师聊天与保存的食谱

主厨在你的设备上运行。在网站上，它是 Royal Chef，一个小型烹饪模型，在下载一次后在你的浏览器中运行；在 Android 应用中，同一模型已内置于应用中。你的提示和主厨的回复均在设备上完成，不会发送到任何 AI 服务，我们的服务器也不会调用任何 AI 服务。访客聊天仅保存在你的浏览器或应用存储中。如果你已登录，你的对话和保存的食谱将存储在我们的服务器上，以便你在不同会话中返回查看；Android 应用还会在本地保存你的聊天副本。在网站上，语音输入由浏览器或操作系统的语音识别功能处理；我们不会接收音频。

pantry 与食谱工具

你的食材清单和保存的食材仅存储在设备上。冰箱救援和今晚烹饪由设备上的主厨回答，因此你输入的食材名称、数量和过期日期不会发送到任何 AI 服务。你的食材库不会存储在我们的服务器上。

您发送给我们的消息

如果您使用联系表单或订阅食谱书，我们将存储您提供的姓名、电子邮件和留言，以便我们回复您。

订阅与支付

Premium 通过网站上的 Gumroad 销售。Gumroad 处理您的付款——我们永远看不到您的卡信息。我们仅收到您的购买电子邮件和交易状态，仅用于将 Premium 关联到您的账户。从此网站下载的 Android 应用会打开相同的 Gumroad 结账页面，并在登录后识别您的 Premium 权益。

如果您从 Google Play 安装的 Android 应用订阅 Premium，Google 将处理支付，Google 的隐私政策适用于该支付。我们的服务器会从 Google 接收购买令牌，以便确认和续订您的订阅，并处理取消或退款。我们仅存储该令牌的 SHA-256 哈希值、产品、订阅状态及其到期日期，并将其与您的账户关联；当您删除账户时，这些数据将被移除，且续订仅在您在 Google Play 中取消时才会停止。

AI 内容报告

当您从应用举报 AI 生成的回答或食谱时，我们会存储举报类别、来源功能、简短内容标识符（例如食谱标题）或内容的 SHA-256 哈希值、您填写的可选备注，以及——仅当您已登录时——内部用户 ID。举报内容不包含您的密码、图片、广告标识符或完整聊天历史，仅用于审查和改进 AI 输出。如果您稍后删除账户，您举报中的链接将被匿名化（移除您的用户 ID），但审核记录本身可能保留。

安全日志

我们仅保留最少的技术记录（登录尝试、速率限制计数器），纯粹为了保护账户免受滥用。这些记录不用于营销或用户画像。

Cookies

会话 Cookie 让您保持登录状态，安全令牌保护表单免受伪造。两者都是严格必需的。网站还使用 Google Analytics 4 来衡量总体流量，这会设置两个可选 Cookie（_ga 和 _ga_R9KYVH815S）；您可以在浏览器中或通过 Google 的 退出插件 阻止它们。没有营销 Cookie。

Google 移动广告（AdMob）

Android 应用集成了 Google 移动广告 SDK，以便已登录的免费用户可以观看奖励广告以赚取免费的 24 小时 Premium 体验（每 7 天最多一次）。Google 可能会处理设备和广告标识符（例如广告 ID）、广告交互以及诊断、测量和防欺诈数据，以投放和衡量广告，并遵循 Google 的政策——此类处理由 Google 按其自身条款执行，我们仅从应用中收到一个小额完成声明，而非 Google 的广告数据。我们不会有意收集或在我们自己的后端存储设备广告 ID。当符合条件的已登录用户完成奖励广告时，Android 应用会向我们的服务器发送奖励完成声明，以便授予 Premium 体验：我们处理和存储有限的奖励记录（生成的奖励标识符、奖励类型、日期以及与已登录账户关联的主题键）。这些记录仅用于授予 Premium 体验、执行每 7 天一次的限制、防止重复申报和滥用。由于这些记录与已登录账户关联，因此不是匿名的。访客无法申领奖励广告带来的 Premium 体验。

该应用使用 Google 用户消息平台，以确定何处需要同意或隐私提示，并向需要这些提示的用户展示 Google 管理的同意或隐私消息。若 Google 要求提供隐私选项入口，Android 应用的“设置”中将显示“隐私选择”选项，供您查看或更改这些选择。

设备端存储与服务器处理

Android 应用将主厨、食谱工具和你家的食材库运行在你的设备上，主厨模型已内置于应用中。主厨的提示和回复不会发送到任何 AI 服务。应用还会联系我们的服务器以完成登录、检查你的订阅计划并下载最新的食谱数据。你的聊天记录、保存的食谱、食材库和缓存结果均存储在应用私有的设备存储空间中；访客聊天仅保留在设备上。Android 上的 Google 登录使用 Google 原生的系统级账户选择器——应用永远无法获取你的 Google 密码。你的会话安全地存储在设备上，并在你注销、删除账户或清除应用数据时被清除。

语音输入

聊天麦克风按钮使用 Android 语音识别将您的语音转换为输入框中的文本。语音识别可能由设备配置的识别服务或提供方（例如 Google 的语音服务）处理，而非完全在设备本地完成——因此音频可能根据该服务自身的政策进行处理。我们不会接收或存储您的音频。麦克风仅在您激活时监听，且仅在您授予的 RECORD_AUDIO 权限下工作。

• Hugging Face — 托管网站主厨的模型文件。当你在浏览器中开始聊天时，浏览器会直接从 huggingface.co 下载这些文件，本网站的服务器作为备用镜像。该请求不包含任何对话内容。
• Google（登录、移动广告、语音服务、分析） ——身份验证、广告、如上所述的设备级语音识别，以及网站上的 Google 分析 4，用于汇总流量统计。
• Gumroad ——仅限网站支付；绝不在 Android 应用内使用。

数据在适用时通过 HTTPS 传输，我们采取合理的技术和组织措施来保护所持有的数据。没有任何传输或存储方法完全安全，因此我们无法保证绝对安全。

删除您的账户

您可以随时删除您的账户——在 Android 应用中进入 设置 → 账户 → 删除账户，或登录后访问 删除账户页面。删除是永久性的：在一次操作中，我们移除您的账户、保存的食谱、聊天、使用记录以及任何与您账户电子邮件关联的待处理 Premium 授予，并清除您的应用会话。购买收据将被匿名化（移除个人标识符）并保留以符合税务和会计合规要求；速率限制和安全计数器将保留但不含个人内容；您提交的任何 AI 内容报告将保留其审核记录，但移除您的用户 ID。完整详情请参阅 删除账户页面。如果您愿意，也可以通过 联系表单 联系我们，我们将在 30 天内处理删除请求。

保留

账户数据在账户活跃期间予以保留。速率限制计数器会自动清理（通常在 24 小时内），技术日志仅保留有限时间；这些数据均不用于用户画像。