隐私政策 / 生效日期 2026-10-18

你的阅读，
有自己的边界。

小书童是以本机阅读档案为中心的 iPhone / iPad 应用，由独立开发者 Sofish 开发和运营。本政策说明小书童处理哪些信息、为什么处理、交给谁处理、保存多久，以及你如何控制它们。

先说结论

• 笔记、书单、记忆与对话保存在你的设备上；本机阅读档案不会整体上传到小书童服务器；会员启用跨设备同步后，所选范围会写入你自己的 iCloud。
• 不投放广告，不做跨 App 或跨网站追踪，不接入第三方统计或广告 SDK。
• 云端只处理登录、书童回答、点数、订阅、对话同步与朗读所必需的信息。把资料交给 AI、把图片交给 AI、生成朗读，都需要你另行同意或主动发起。
• 联网查询需要独立同意，每题最多搜索一次。搜索由我们运营的内部自建服务处理，搜索数据不用于模型训练。
• 你可以随时在 App 内导出资料、关闭对话同步，或删除云端账户。

保存在你设备上的信息

书籍、划线、想法、阅读状态、读完记录、你确认的记忆和对话保存在设备的应用目录。纸书拍照的划线识别、框选和文字识别在设备上完成，扫描原图不上传。Kindle 的 My Clippings.txt 由你选择后在本机读取，小书童不连接 Amazon 账户。系统整机备份可能包含这些资料。旧版 iCloud 阅读备份为既有读者保留补入式恢复：保存手动书籍、阅读状态、Kindle 与手动笔记及配图，不重复保存原始 My Clippings.txt，不覆盖本机编辑；不包含微信读书资料、密钥、记忆或对话。新的会员跨设备同步范围见下文，启用后停止旧备份通道。可在系统 iCloud 设置关闭小书童的云盘访问，已有备份在 iCloud 中自行管理。删除 App 会移除本机资料；请先核对备份状态，或在「设置 → 资料 → 备份与导入」导出 JSON。

本机资料不随 Apple 登录切换。退出书童服务保留本机资料；删除账户时，支持资料去留选择的版本可保留或一并删除 Kindle、手动和纸质阅读资料，完整范围见下文。共享同一台设备的人可能看到保留的资料。

微信读书密钥

微信读书个人 API Key 默认只保存在当前设备的钥匙串，仅用于由你的设备直接连接微信读书官方接口，不会发送给小书童服务器或 AI，也不写入 JSON 备份。你可以在首次配置时或之后主动开启 iCloud 钥匙串同步，由 Apple 以端到端加密在同一 Apple 账户的设备间同步。断开连接会移除所选保存方式的密钥，但不会撤销微信读书授权；需要彻底失效时，请在微信读书中撤销密钥。小书童不是微信读书官方应用。

云端处理的信息与用途

账户

新版普通使用无需注册或 Apple 登录。云端服务使用 Apple 签名的 App Store 身份和设备校验建立会话；服务端保存按应用与商店环境隔离的身份映射，用于点数、购买与请求限额，不保存完整签名凭证或设备校验标识。Apple 登录保留用于恢复旧账户；使用此入口时，我们保存 Apple 提供的用户标识，以及你在授权时选择分享的电子邮件地址（可能是 Apple 的隐藏转发地址）和姓名，用于建立账户、恢复登录与必要的服务联系；另保存登录会话和一次性登录校验信息（5 分钟内失效）。

书童回答、每日启发与图片提问

在你同意资料用于云端处理后，书童会把你的问题、当前会话最近 4 轮对话，以及有数量和大小限制的候选笔记发送到云端检索和生成回答；开启每日启发后，App 每天一次发送当天「今日相逢」里的笔记与想法（最多 10 条）和设备时区；如果你另外允许「大致位置」，还会发送在设备上取整到约 50 公里的位置，只用于这一次判断当地季节与天气（天气按同一网格向 MET Norway 查询），不写入数据库、不写日志。只有你主动选择并另行同意时，才会发送最多三张压缩后的图片。服务端不保存整份输入材料或原图，但会保存生成的回答、启发、其中引用的书摘和内容指纹，用于重新查看、防止重复扣点和结算。

对话同步

新版会员购买或恢复后默认启用 iCloud 同步；可在「设置 → 资料 → 跨设备同步」随时关闭，续订不会重开手动关闭的同步。仅有效会员且系统云盘可用时收发资料，范围包括书目、笔记、想法、阅读状态、书籍分组及当前账户的对话与已保存配图。同步文件进入用户自己的系统 iCloud，不经过小书童服务器；本机记忆、草稿、微信读书密钥和 AI 授权不进入这些同步文件。系统 iCloud 账户变化时暂停，需再次确认；关闭同步或会员到期后停止收发，保留本机与 iCloud 原件。旧版对话同步使用小书童服务器；新版不再自动上传，可在账户设置手动取回旧记录，删除账户仍清理旧服务器副本。

联网查询

只有你独立同意联网查询后，书童才会按需提炼问题中的公开搜索词，交给我们运营的内部自建搜索服务核实公开信息，每题最多一次；需要核对书籍收录时，小书童服务器还会把书名发送到腾讯微信读书的公开搜索接口。搜索请求不会附带整段对话、笔记库、图片、账户标识或微信读书密钥。搜索词由模型提炼，仍可能包含你主动输入的私人内容，请勿在公开查询中包含私人信息。

内部自建搜索服务及其内部回退不将搜索数据用于模型训练。服务为运行维护保存搜索词、结果缓存及请求状态等记录，具体期限见下文；不将“不用于训练”等同于“不保存记录”。你可以在输入区、对话选项或「设置 → 书童 → 书童与 AI」关闭联网查询；仅使用已有知识或「只用当前资料」时不会发起这些查询。

朗读

你选择生成朗读时，所选文字会发送到语音合成服务生成音频。生成的音频保存在私有存储中，只能以你的登录身份访问，用于重播。

点数与订阅

我们保存点数余额与流水（预留、完成、退还）、每日使用次数，用于提供服务、防止重复扣点与滥用。订阅由 Apple 处理，我们不会接收银行卡资料或支付密码；服务端会验证 Apple 签名的交易，并保存商品、交易链、有效期、续订状态及账户归属。

今日选书

首页的今日选书只请求当天的公开书单，请求中不包含你的阅读资料或账户信息。

我们不做的事

不出售个人信息；不把你的资料用于广告或画像；不用你的资料训练模型；不读取你的通讯录或相册（存储分享图只申请「添加到照片」权限）；位置只在你为每日启发允许「大致位置」后读取，精度约 50 公里、用完即弃；不抓取完整书籍正文。

第三方处理方

以下服务商仅为实现上述功能处理必要的信息：

• Apple：Apple 登录、App Store 购买与订阅、可选的 iCloud 钥匙串同步，以及系统 iCloud 云盘中的阅读资料备份与会员可随时关闭的跨设备同步。
• Cloudflare：小书童后端、数据库、私有存储与 Workers AI。书童回答和图像理解使用 Cloudflare Workers AI 上运行的模型（如 Meta Llama、DeepSeek、Qwen 系列），插图生成使用 FLUX，检索使用 BGE 向量模型；这些模型由 Cloudflare 托管运行。
• Microsoft：朗读的语音合成。
• MET Norway（挪威气象局）：你为每日启发允许大致位置时，按约 50 公里的网格查询当地天气；只收到网格坐标，不收到你的身份或笔记。
• 腾讯云：位于上海的接入网关，只在内存中转发 App 的请求，不保存请求内容；访问日志只含时间、状态和耗时。
• 腾讯微信读书：同步划线时，你的设备使用你的密钥直接访问官方接口，小书童服务器不参与；你另行同意联网查询后，小书童服务器可通过公开搜索接口核对书名与收录状态，不使用你的个人密钥。

网络和 AI 服务商会在处理请求时接触请求内容。小书童的 AI 不是完全离线的。

跨境处理

Cloudflare、Microsoft 与 MET Norway 的服务可能在中国大陆以外的地区处理数据。你同意资料用于云端处理、主动发送图片或生成朗读时，相关内容会为完成该次请求传输到这些服务；联网查询的规划与回答也由 Cloudflare Workers AI 处理，因此使用内部自建搜索不代表整个问答过程只在中国大陆处理。不同意时，本机记录、阅读、整理与导出不受影响。

保存期限

• 账户信息、生成结果、云端对话与朗读音频：保存至你删除账户。
• 每日使用计数：按日滚动，过期后定期清除。
• 登录校验信息：5 分钟内失效。
• 内部自建搜索：运行日志包含搜索词、请求时间、状态及耗时，保留最多 30 天，不记录读者 IP；搜索结果缓存默认 30 分钟。搜索请求不附带账户标识，日志与缓存按期限清理，不随删除书童账户即时删除。
• 订阅交易：删除账户后仍保留最小的交易归属记录，用于防止同一购买被重复关联、处理退款与续订通知；它不包含你的阅读资料。

你的选择与权利

• 资料用于云端处理、图片提问、联网查询、每日启发、对话同步可以分别开启或关闭（「设置 → 书童 → 书童洞见」「设置 → 书童 → 书童与 AI」与「设置 → 资料 → 跨设备同步」）；联网查询也可在输入区或对话选项关闭；大致位置可在 iPhone「设置 → 隐私与安全性 → 定位服务 → 小书童」随时关闭。
• 随时导出全部本机资料为 JSON（「设置 → 资料 → 备份与导入」）。
• 删除云端账户：「设置 → 书童 → 账户 → 删除书童账户」，会删除账户身份、登录会话、云端对话、生成记录、使用计数和朗读音频。支持阅读资料去留选择的版本会先让你选择「保留在本机，删除账户」或「一并删除资料与账户」：两种选择均清理当前系统 Apple 账户中已启用的本账户 iCloud 跨设备同步资料，并移除旧版 iCloud 阅读备份、停止自动收发；前者先完整取回 Kindle、手动和纸质阅读资料，后者从本机一并删除这些资料。微信读书来源资料、密钥与本机记忆独立保留，其他设备已有的本机资料不自动抹除。iCloud 下载或删除标记上传尚未完成时，会提示重试并保留账户。旧版删除账户仅清理小书童服务器，本机与 iCloud 阅读备份仍保留；单独卸载 App 也不清除 iCloud 备份。删除账户不会取消 Apple 自动续订，请在 App Store 的订阅管理中取消。
• 支持 Apple 授权撤销的新版在删除曾使用 Apple 登录的旧账户时，会请你使用原 Apple 身份重新确认。新授权码仅用于向 Apple 换取并撤销授权，不长期保存；撤销失败或取消时不开始清理阅读资料。普通 App Store 服务账户无需额外 Apple 登录。
• 停止使用 Apple 登录：在 iOS「设置 → Apple 账户 → 登录与安全 → 通过 Apple 登录」中移除小书童。
• 如需查询、更正或复制我们保存的云端信息，或有任何隐私问题，请写信至 happinesz+xiaoshutong@gmail.com，我们会在 15 个工作日内回复。

安全

App 与服务之间全程使用 HTTPS；登录会话使用 HttpOnly Cookie；朗读音频存放在私有存储；密钥保存在系统钥匙串。没有任何系统能保证绝对安全，如发生影响你的安全事件，我们会及时告知。

未成年人

小书童面向成年读者，不面向 14 周岁以下的儿童，也不会有意收集儿童的个人信息。如你认为我们误收集了儿童信息，请联系我们删除。

本网站

官网由 Cloudflare 提供 HTTPS 与静态资源服务，供应商会处理访问所需的网络请求信息。页面不使用广告追踪、第三方分析脚本或阅读资料上传表单；纸面内容来自公开作品的短引文，不含用户私人笔记。为避免相邻访问看到同一句，网站只在浏览器本机保存上一条引文的编号，不上传或用于追踪；清除网站数据即可移除。

政策更新

处理方式变化时，我们会更新本页和生效日期；涉及新用途或新的第三方处理时，会在 App 内另行告知并征求同意。