MeetMi 隐私政策
版本：managed-ai-apple-pages-v8
生效日期：2026-11-14（v7：2026-11-06，v6：2026-11-01，v5：2026-10-04，v4：2026-09-27，v3：2026-09-26，v2：2026-09-19，v1：2026-08-29）
适用范围：通过 Apple App Store 分发的 MeetMi Managed AI，macOS 与 iPhone 版。两者是同一条 App Store 记录、共用一份订阅，适用同一份政策。
MeetMi 的开发者是 Jin Lu，即 App Store 页面上列出的开发者和销售方。隐私相关的问题和请求请发邮件到 support@meetmi.ai。
1. 适用范围
本政策适用于通过 Apple App Store 分发的 MeetMi Managed AI。
MeetMi Local 是独立的 BYOK 产品：使用不同 App 身份、数据目录、偏好、日志和 Keychain，由用户自己的 API Key 直连用户选择的服务（OpenRouter、其他 HTTPS Responses endpoint 或 Claude API），不经过 MeetMi Worker，也没有 MeetMi Credit 或订阅权益。
2. 设备端处理
- 麦克风和 macOS 系统音频只在用户主动开始会议后用于转写。
- 原始音频不由 MeetMi 保存，也不上传到 MeetMi Worker、OpenRouter 或模型上游。
- 语音识别与字幕翻译使用 Apple 设备端能力完成。
- 会议转写、建议、分析、纪要、工作区索引和文档缓存默认保存在设备或用户明确选择的工作区。
- iCloud 同步打开时（默认打开，可以在设置里关掉），会议记录——每场会议的转写、建议、分析、纪要、标记和标题——还会存进用户自己的 iCloud 私有数据库，同步到用同一个 Apple 账户登录、装了 MeetMi 的其他设备。这用的是 Apple 的 CloudKit，按 Apple 的 iCloud 条款处理；开发者读不到这个数据库，同步的内容也不经过 MeetMi Worker。工作区也会同步：名字和它的 AGENTS.md 副本（每场会议也存着当时用的 AGENTS.md），还有里面资料的文件名和 MeetMi 从中提取出的文字；后面这两样用户可以在同一处单独关掉。原文件本身、文件夹在各台设备上的位置与访问授权、文档索引、缓存与语义向量、设置和 Key 都不同步；工作区的文件夹在 iCloud 云盘里时，它在用户 iCloud 云盘里的位置（例如「客户/ACME」）也会同步，让其他设备不用重新选择就能打开同一个文件夹。关掉同步只是让这台设备不再同步，已经在 iCloud 里的不会被删掉。
- iPhone 版默认只使用麦克风；iOS 26 上这也是唯一的音源。自 1.0.1 版起，在 iOS 27 上用户还可以打开系统音频：每场会议开始时由 iOS 弹出系统自己的共享选择框，用户同意后 MeetMi 才会收到这台手机正在播放的声音（视频、讲座、播客）。只使用声音，屏幕画面帧到达即丢弃，不保存也不上传。iOS 不会把通话声音（电话、FaceTime、微信、Zoom 等）交给任何 App，所以这种方式听不到通话。用户已开始的会议在锁屏或切到其他 App 后继续转写，直到用户结束或暂停。自 2.0 版起，会议进行时锁屏和灵动岛会显示 MeetMi 正在听，以及最新建议里的关键词（最多三个），不显示建议原文或转写；用户可以在设置里关掉关键词。这些只显示在这台设备上。
3. Managed 云端 AI
在用户明确同意后，App 可能发送设备端生成的会议转写、用户问题和明确表达的关注点、已有分析、AI 按需读取的相关工作区文档片段，以及严格工具调用和结构化输出所需的协议数据。
1.3 版起的数据接收方：
MeetMi（App Store 版，macOS 或 iPhone）→ MeetMi Worker → Anthropic（Claude Haiku 5.5）
只在 Claude 答不了时： MeetMi Worker → OpenRouter → DigitalOcean、Morph、CoreWeave 或 Together（DeepSeek V4 Flash）
1.2 及更早的版本只走 OpenRouter 这条路线。
Worker 先把每个请求发给 Anthropic 的 Claude API。Claude 答不了时（服务中断、超时，或 Claude 拒绝回答），Worker 把同一个请求经 OpenRouter 发给 App 内数据说明列出的服务商之一，由它来回答。
MeetMi Worker 不主动持久化或记录转写、问题、文档片段、请求正文、上游错误正文或流式响应内容；回答在 Worker 内存里只留到它完整为止。各家 AI 服务按自己的条款处理收到的内容：
- Anthropic 会在 30 天内删除 Claude API 的输入和输出，不用它们训练模型。被 Anthropic 自动安全系统标记的内容最多可能保留 2 年，法律要求时可能更久。
- 走 OpenRouter 时，OpenRouter 和处理请求的服务商按各自的条款处理。
上游看到的是 Worker 的网络地址，而不是用户设备直接连接时的公网 IP。为了让 Anthropic 的安全处置只落在单个用户身上，而不是整个 MeetMi，Worker 会用一个由购买或下载记录派生的不透明标识（不含姓名、邮箱或 Apple ID）在 Anthropic 那里登记每个用户，并在这个用户的请求上带上它。Worker 发给 OpenRouter 的每个请求也带着同一个标识，任何版本的 App 都一样，OpenRouter 只把它的哈希值交给服务商。
App 会在发送前展示中转域名、路线和模型、数据范围和 policy 版本。接收方、模型、服务商、数据范围或政策发生实质变化时，旧同意失效，需要重新同意。
4. 联网检索
联网检索默认关闭，并与录音须知、Managed AI 同意分开保存，可以单独撤回。它只在「深入研究」和「与 MeetMi 讨论」中使用；实时建议与会议纪要永不联网，这一点由服务端强制，不只是 App 内的设置。
服务商与域名。 搜索服务商是 Exa（api.exa.ai）。请求由 MeetMi Worker 转发，Exa 看到的是 Worker 的网络地址，而不是用户设备直接连接时的公网 IP。这条链路独立于 AI 推理链路，不经过 OpenRouter。
发送什么。 只发送由模型从会议内容中提炼出的检索词；需要读取原文时，另外发送结果页网址，由 Exa 抓取正文后返回。会议转写全文、工作区文档原文和用户提问不会发给 Exa。
保留与训练。 Exa 的公开条款说明：发给它的检索词可能被保留，并用于改进和训练它自己的模型。检索词由会议内容提炼，可能包含会中出现的公司名、人名等专有名词。用户在第一次开启联网检索时必须明确确认这一条之后功能才会启用。Exa 的条款见 https://exa.ai/privacy-policy。
跨境处理。 Exa 是美国服务商，请求在其服务器处理。
重新同意。 搜索服务商、域名或联网检索政策版本发生变化时，已有的联网检索同意即失效，需要重新确认。该变化不影响录音须知与 Managed AI 同意。
启用时机。 联网检索随订阅提供；免费周额度不含联网检索，持免费额度令牌的检索请求会被中转服务拒绝。它默认关闭，需用户自行开启并确认上面的保留与训练说明后才生效。
5. Apple 购买、权益与 Credit
- 购买和订阅通过 Apple StoreKit / App Store 处理；MeetMi 不在 App 内处理完整银行卡信息。
- App 会把必要的 StoreKit transaction JWS 和匿名关联值发送给 MeetMi Worker，用于验证订阅、退款、撤销、恢复和签发短期访问令牌。
- 免费周额度不需要购买。为了发放它，App 会把 App Store 签名的下载记录（StoreKit
AppTransaction）发给 MeetMi Worker；Worker 验证 Apple 的签名后，保存由下载标识派生的不透明 subject、当周的额度、第 6 节所说的不含正文的请求记录，以及（1.3 版起）第 3 节所说的 Anthropic 不透明登记的编号，不会收到 Apple ID 或邮箱。 - JWT 不包含 Apple ID、邮箱、完整交易 JWS 或 OpenRouter key。
- 服务端以不透明 subject 保存权益、额度和无正文 usage 账本。
- 不付费也能用：每个 Apple Account 每周免费获得 250 Managed AI 额度，每周一 00:00 UTC 重置，Mac 与 iPhone 版共用；没用完的不累积到下周。月订阅（自 2.0 版起分三档，只有额度多少不同）提供更多、随订阅周期重置的额度，并可联网检索。订阅是通用购买：一份订阅同时覆盖 Mac 与 iPhone 版，额度是两端共用的同一个池。
- MeetMi 不出售 Credit 加购。若未来通过 consumable IAP 购买 Credit，该余额将与月度额度分账，不会仅因月份重置而过期。
- 额度耗尽、权益失效或后端不可用时，新的 AI 请求停止，本地转写、翻译、历史和导出继续。
6. Credit 计量
当前技术基线按 input token + 2 × output token 计算计费 token，并换算为 Credit。同样的文字 Claude 算出的 token 约是 1.9 倍，所以 Claude 的回答按它的 token 数除以 1.9 计量，同时不低于它的花费（每个 Credit 最多对应 $0.002 的 Claude 用量）。Claude 答不了、改由 OpenRouter 回答时，只按最后送到的那个回答计费。服务端按活动类型保存不含正文的用量：会议监听、用户提问、深入研究、参谋讨论和会议纪要。
中转服务还为每个 AI 请求保存一条不含正文的记录，订阅用户和免费用户都一样：不透明 subject 的前几位、免费还是订阅、由哪家服务商回答、活动类型、token 数、扣了多少额度、服务商向 MeetMi 收了多少钱。记录里没有会议内容、提问、资料、Apple ID 或邮箱。这些记录存放在 Cloudflare Workers Analytics Engine，保留三个月，只用于运营服务：看用量和花费，以及有多少人回来继续用。
App 可显示 Credit、周期重置、活动拆分和按当前设置估算的可用会议时长；估算不是固定承诺。Local 产品不适用 Credit。
7. 本地日志与缓存
Debug 详细日志默认关闭。用户开启后，日志可能包含会议内容、提示词和诊断信息，但认证 Header、Apple 交易凭据、JWT、License、API Key 和 Cookie 会被排除或脱敏。
用户可以清除日志和可重建文档缓存。生产 Worker 关闭请求级正文 observability，不使用 Tail、Logpush、Sentry 或其他服务记录会议正文。
8. 用户控制与删除
用户可以拒绝或撤回 Managed AI 同意，关闭或撤回联网检索同意，使用 Apple 的订阅管理与恢复购买，删除会议归档、缓存和 Debug 日志，以及删除自己工作区中的文件。
iCloud 同步打开时，在一台设备上删掉一场会议，iCloud 和其他设备上的这场会议也会一起删掉。移除工作区也会在其他设备上一起移除；任何设备上的文件夹和文件都不会被动。MeetMi 存在 iCloud 里的数据可以在 Apple 账户的 iCloud 储存空间设置里删除；各台设备上的会议记录不受影响，之后要等用户在设置里点了才会重新同步。
删除 App 不一定删除用户选择工作区中的文件；这些文件由用户在 Finder（macOS）或「文件」App（iPhone）中管理。服务端权益或用量记录删除与本地/工作区文件删除是不同流程，请发邮件到 support@meetmi.ai 申请。
9. 第三方、跨境与安全
Apple、Anthropic、OpenRouter、当前 policy 中的模型服务商，以及（在用户单独同意联网检索后）搜索服务商 Exa，可能在用户所在国家/地区之外处理相关数据，并受各自政策约束。
经 iCloud 同步的内容——会议记录、工作区和资料提取出的文字——由 Apple 按它的条款存放在用户自己的 CloudKit 私有数据库里；同步本身不会把其中任何内容发给 Anthropic、OpenRouter、模型服务商或 Exa。
MeetMi 使用最小字段白名单、服务商 allowlist、store=false、价格上限、短期 JWT、独立 Keychain、App Sandbox、加密传输和日志禁令降低风险，但任何互联网传输都不能保证绝对安全。
Anthropic 隐私信息：https://www.anthropic.com/legal/privacy
OpenRouter 隐私信息：https://openrouter.ai/privacy
Exa 隐私信息：https://exa.ai/privacy-policy
10. 录音与用户责任
会议可能包含其他人的个人信息、商业秘密或受管制数据。用户负责依据适用法律、合同、组织政策和会议约定，完成录音、转写、向 AI 发送内容所需的告知、许可和授权。
系统麦克风/屏幕录制权限、MeetMi 的录音须知和 Managed AI 同意均不等于其他参会者的同意。
11. 儿童、追踪和数据出售
MeetMi 不以儿童为目标，不进行跨 App Tracking，不出售个人信息，也不使用会议内容投放广告。
12. 地区限制
中国大陆的敏感个人信息跨境、PIPL 和 App 备案需要独立评估；在该评估完成前，MeetMi 不在中国大陆提供。App Store 的其他国家和地区都可以下载。
13. 变更与联系
政策更新会标明版本和生效日期。影响云端 AI 接收方、数据范围、购买或保留政策的实质变化，还会在 App 内要求重新同意或更新说明。
- 隐私联系：support@meetmi.ai
- 支持：支持页面
- 公开 Privacy URL：
https://meetmi.ai/zh/privacy/