隐私政策

录音与同意

本应用仅在用户自行开始的以下情形使用麦克风：(1) 点击录音按钮开始的录音期间；(2) 在设置的“注册说话人的声音”中录制声音样本期间（最长6秒）；(3) 通过“向Hime询问这段录音”与Hime对话期间。仅打开应用不会使用麦克风，也不会持续录音。请遵守当地法律，并在需要时告知参与者或取得同意。

设备内数据

音频、文字记录、说话人姓名、摘要、待办、重点、照片备注、粗略地区名和标题保存在应用受保护区域。恢复manifest含时间、音频路径、大小和SHA-256完整性信息，直到用户删除。

AI处理

仅在您允许AI分析的情况下，通过AVR Pro或使用您自己的API密钥的方式（个人密钥方式，请参阅“个人API密钥”）使用AI功能时，会将以下数据经由本公司（NextCode）的AI中继服务器（HIME管理API，运行于Vercel东京区域）以TLS加密发送至OpenAI（美国）或Google（Gemini API，美国）。 【发送至OpenAI的数据】(1) 实时对话（选择OpenAI时）：录音中的音频（HIME Live模式下为整个录音期间；隐私模式下为设备检测到“Hime”之后），以及会议摘要、最近的发言和专有名词。使用“向Hime询问这段录音”时，还包括该录音的摘要、文字记录末尾、专有名词以及您说话的音频。(2) 正式转写：整个会议的音频（包括为确认准确度而截取的部分片段）、专有名词词典，以及所有已注册说话人的声音样本和注册姓名（请参阅“已注册说话人的声音”）。(3) 摘要：包含说话人姓名和时间的文字记录，以及所选模板和自定义指示。(4) 就所有录音向Hime提问：问题文本，以及最多30条录音的标题（含地区名）和包含说话人姓名与时间的文字记录。(5) 中文文字校正：正式转写中的部分发言和专有名词词典。 【发送至Google（Gemini API）的数据】(6) 实时对话（在设置中选择Gemini Live时）：与(1)相同的数据，发送至Google而非OpenAI。(7) 正式转写的交叉核对：如果您在个人密钥方式中登记了Gemini API密钥，在对30分钟以内的录音进行正式转写时（精度优先的重新分析，或未登记说话人声音时），会将整个会议的音频和语言设置发送至Google，与OpenAI的结果进行核对，并采用其中一个结果（如设置了预计说话人数，则采用更接近该人数的结果）。音频会临时上传到Google的文件存储，并在处理结束时要求删除。已注册说话人的声音样本不会发送至Google。(8) 会议重现：在录音详情中使用“会议重现”时，会将说话人姓名、发言文本（文字记录）和语言设置发送至Google，为每位说话人生成合成语音。 在个人密钥方式中，使用您自己的Gemini API密钥发送至Google。截至2026年9月14日，本公司不提供使用本公司密钥的Gemini额度。开始提供前，本公司将先更新本政策。 这些数据包含参与录音的其他人的声音和发言。如不允许AI分析，或既不使用AVR Pro也不使用个人密钥方式，仅可使用录音、播放、编辑、搜索、导出和设备端转写（支持的语言），不会向外部AI发送数据。设备端转写（Apple语音识别）仅在设备内处理，不会将音频发送到Apple服务器。对于设备端语音识别不支持的语言，录音会被保存，但不会进行设备端转写。

已注册说话人的声音

用户可以选择为本人或会议参与者登记声音样本（每人2至6秒，最多4人）和姓名。声音样本用于根据声音特征区分说话人，因此属于可识别本人的生物特征相关信息（根据当地法律，可能被视为生物识别信息或声纹）。

・保存位置：保存在此iPhone的受保护区域，不纳入iCloud备份和加密同步。

・发送：每次在已允许AI分析的AVR Pro或个人密钥方式中执行正式转写时，会将所有已注册说话人的声音样本和注册姓名经由HIME管理API（Vercel东京区域）以TLS发送至OpenAI（美国），用于按注册姓名识别说话人。未参与该录音的人的样本也会发送。说话人识别由OpenAI的模型在正式转写处理过程中进行，本公司（应用和HIME管理API）不会生成、接收或保存将声音特征数值化的数据。HIME管理API仅在处理期间处理声音样本，不会保存到数据库、音频存储或日志中。不会发送至Google（Gemini API）。

・保存期限：自最后使用之日（登记之日或最后一次用于正式转写之日中较晚者）起1年。

・销毁：超过1年的声音样本不再发送，并在下次打开应用时从此iPhone删除。在此之前，也可在设置的“注册说话人的声音”中逐一删除。执行“彻底删除所有录音”或删除应用时也会删除。

・同意：本公司不提供直接从被登记声音者本人取得同意的机制。登记他人的声音前，请说明目的和发送对象，并取得本人同意。

云端保留与加密同步

HIME管理API将正式转写用的音频分段保存到非公开的临时存储（Vercel Blob），无论处理成功与否，均在处理结束时删除。未执行转写的分段也会在3小时内自动删除。仅在用户开启可选设备/Web/电脑加密同步时，应用会先用AES-256-GCM加密文字记录、摘要、说话人、待办、备注、地区、标题、音频和照片，再把密文存入Supabase。加密的仅是内容，同步管理所需的以下信息不加密保存在Supabase中：每条录音的ID、更新时间和删除时间、数据格式版本、加密所用的随机数（nonce），以及音频和照片各分段的ID、编号、大小、存储路径和保存时间。此外，首次同步时会通过Supabase的认证功能创建同步账户。同步账户中记录由同步代码计算得出的识别值和认证值（认证值以哈希形式保存，两者都不是同步代码本身）、开始同步的设备的安装ID、创建时间以及最近一次同步通信的时间。安装ID与设备验证记录和购买状态（商品ID、原始交易ID、有效期限）相关联。使用相同同步代码的另一台iPhone可以双向同步这些数据。同步代码和解密密钥不会发送到服务器，因此我们无法解密加密内容。密文会保留到用户在设置中执行“彻底删除云端密文”；仅卸载应用不会删除密文。对于可指定保存设置的OpenAI请求（实时对话、摘要、提问、中文文字校正），设置store: false。即使设置store: false，OpenAI为监控滥用而进行的保存（最多30天）仍然适用（请参阅“向外国第三方提供”第3项）。

位置

录音开始时可将位置转换为省、市等粗略地区名用于自动命名，不保留精确纬度和经度。拒绝位置权限也可录音。为转换为地区名，会将录音开始时获取的大致位置的纬度和经度分别四舍五入到小数点后两位（约1公里）后，再发送至Apple的地名转换服务。不会发送四舍五入前的坐标。不会将位置坐标发送至本公司服务器。

个人API密钥

选择个人密钥方式时，您自己的OpenAI API密钥和Gemini API密钥会保存在此iPhone的钥匙串（Keychain，设置为仅在此设备使用）中。保存密钥时，为确认连接，设备会将密钥直接发送至OpenAI或Google（不发送录音内容）。使用AI功能时，密钥以TLS发送至HIME管理API（Vercel东京区域），由HIME管理API使用该密钥向OpenAI或Google发出请求。密钥不会保存到HIME的数据库、音频存储或日志中。在正式环境中，服务器对个人密钥方式的请求也要求通过App Attest进行设备验证（设备验证记录保存在Supabase）。使用您自己的密钥处理的请求不消耗AVR Pro的使用额度（使用本公司密钥处理的请求会消耗额度）。费用由您自己的OpenAI或Google账户承担。所发送数据的处理方式（保存期限、人工查看、用于训练或改进产品）取决于您与OpenAI、Google的合同及账户设置。使用Gemini免费服务的密钥时，Google会将内容用于改进产品，并可能由人员阅读（请参阅“向外国第三方提供”第3项）。可随时在设置中删除密钥。

删除

可彻底删除设备内音频、文字、摘要、待办和照片备注。临时云端音频自动删除。设置中“管理同步代码”里的“彻底删除云端密文”会完全删除同步密文、同步管理信息和同步账户，并同时从此设备删除同步代码。卸载应用会删除设备内的数据和设置。但同步代码（用于解密密文的密钥）保存在设备的钥匙串（Keychain）中，卸载应用不会删除它。若要在此设备上停止同步，请在卸载应用前，在“管理同步代码”中执行“从此设备删除同步代码”。如需同时删除云端密文，请改为执行“彻底删除云端密文”。仅卸载应用不会删除云端密文。已注册说话人的声音样本可在设置中逐一删除，执行“彻底删除所有录音”时也会删除。自最后使用之日起超过1年的样本会自动删除。个人API密钥也保存在设备的钥匙串中，卸载应用不会删除。如需删除密钥，请在卸载应用前，在设置的个人API密钥栏中删除。

追踪与安全

不进行广告或行为追踪，不向广告商出售数据。使用与锁屏录音兼容的iOS数据保护，不在诊断日志中记录密钥和完整文字记录。

第三方服务

AI处理使用OpenAI（美国）和Google的Gemini API（美国，用于选择Gemini Live时的实时对话、正式转写的交叉核对和会议重现），API运行使用Vercel Inc.（美国）的Vercel（东京区域），正式转写期间的临时音频存储使用Vercel Blob，设备验证记录、购买状态、AI使用量记录以及可选加密同步数据（密文、同步管理信息和同步账户）的保存使用Supabase（东京区域）。地区名转换使用Apple的地名转换服务。关于向OpenAI、Google、Vercel和Supabase提供数据，请参阅“向外国第三方提供”。各服务的隐私政策同时适用。

向外国第三方提供

1. 接收方与所在国家

・OpenAI（美国）：“AI处理”第(1)至(5)项和“已注册说话人的声音”中所述的数据。AI处理不一定在日本境内进行。

・Google（Gemini API。美国的Google LLC，或Google条款中列为合同相对方的其他Google法人）：“AI处理”第(6)至(8)项中所述的数据。Google表示，数据可能会在Google或其代理人设有设施的任何国家被临时存储或缓存，因此无法确定处理数据的国家。第2项记载Google LLC所在国美国的制度。

・Vercel Inc.（美国）：作为本公司AI中继服务器（东京区域）和正式转写期间临时音频存储（Vercel Blob）的基础设施，处理正在处理中的上述数据（发送至OpenAI和Google的数据，以及个人密钥方式的API密钥），以及设备验证和购买状态确认的通信。

・Supabase（作为合同相对方的法人及其所在国家，本公司正在确认中）：保存设备验证记录（安装ID）、购买状态、AI使用量记录，以及可选加密同步的数据（内容的密文、未加密的同步管理信息和同步账户，请参阅“云端保留与加密同步”）。保存位置为东京区域。确认所在国家后，本公司将在本节中补充国家名称及该国的制度。

2. 美国的个人信息保护制度

（出处：日本个人信息保护委员会《外国个人信息保护制度等调查》。2021年10月时点的信息，2022年1月25日更新）

・美国没有关于个人信息保护的综合性联邦法律，而是通过《电子通信隐私法》、《格雷姆-里奇-比利雷法》（金融领域）、《健康保险流通与责任法》（医疗领域）等分领域的联邦法律以及州法律进行保护。

・美国自2012年7月25日起参加APEC跨境隐私规则（CBPR）体系。

・该调查未列出可能对本人权益产生重大影响的、要求在境内保存个人信息的制度，或要求企业协助政府信息收集活动的制度。但在美国，企业也可能依据法律被要求为犯罪调查等目的提供信息。

・对于该调查之后的制度变更，本公司每年至少确认一次，并反映在本节中。

参考：https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/

3. 接收方采取的措施（对照OECD隐私指南八项原则）

【OpenAI】

①收集限制：仅接收本公司发送的数据，不直接从本人收集（在个人密钥方式中保存密钥时，为确认连接，设备仅将密钥直接发送至OpenAI）。

②数据质量：本人可使用应用的编辑功能确认并更正文字记录和摘要中的错误。

③目的明确・④使用限制：本公司委托OpenAI进行的处理仅限于实时对话、转写、摘要、回答问题和中文文字校正。OpenAI在公开文件中表示，除非客户选择共享，否则不会将通过API接收的数据用于模型的训练或改进。

⑤安全保障：本公司AI中继服务器与OpenAI之间的通信使用TLS加密。

⑥公开：OpenAI在公开文件中说明API数据的保存期限、是否用于训练以及数据所在地。

⑦个人参与：对于经由本公司发送的数据，本人提出的公开、更正、删除、停止使用等请求由本公司受理。

【未采取的措施，或本公司尚未确认的措施】

・OpenAI在公开文件中表示，为监控滥用行为，会将实时对话、摘要、提问等请求的记录最多保存30天，并可能由人员查看（正式转写的请求被说明不在此保存范围内）。本公司未获得将本公司数据排除在这些记录之外的批准（Zero Data Retention或Modified Abuse Monitoring）。因此，使用本公司密钥处理的实时对话、摘要、提问和中文文字校正的数据（包括参与录音者的声音和发言）可能被保存最多30天，并可能由人员查看。

・在个人密钥方式中，与OpenAI的合同及数据的处理方式（保存、人工查看、是否选择共享用于训练）取决于用户本人OpenAI账户的合同和设置，本公司无法确认。

・与OpenAI的合同（数据处理附录）是否规定仅依据本公司指示进行处理、保守秘密、对再委托方施加同等义务、发生泄露等事件时通知本公司、协助处理本人请求、合同终止时删除或返还数据（对应③④⑦⑧），以及OpenAI的第三方认证和审计报告（对应⑤），本公司正在确认条款和文件。确认完成前，本公司不会声称已采取这些措施。

【Google（Gemini API）】

①收集限制：仅接收本公司发送的数据，不直接从本人收集（在个人密钥方式中保存密钥时，为确认连接，设备仅将密钥直接发送至Google）。

②数据质量：本人可使用应用的编辑功能确认并更正文字记录中的错误。

③目的明确・④使用限制：本公司委托Google进行的处理仅限于实时对话（Gemini Live）、正式转写的交叉核对以及会议重现的语音合成。Google在Gemini API附加服务条款中表示，对于付费服务（通过关联有效结算账户的Cloud项目使用），不会将提示和回复用于改进其产品，并依照《Google作为数据处理者的产品的数据处理附录》进行处理。

⑤安全保障：本公司AI中继服务器与Google之间的通信使用TLS加密。为交叉核对上传到Google文件存储的音频，会在处理结束时要求删除。

⑥公开：Google在Gemini API附加服务条款中公开了付费服务和免费服务各自的数据使用方式。

⑦个人参与：对于经由本公司发送的数据，本人提出的公开、更正、删除、停止使用等请求由本公司受理。

【未采取的措施，或本公司尚未确认的措施（Google）】

・Google表示，对于免费服务（未关联有效结算账户的项目的密钥），会将提交的内容和生成的回复用于提供、改进和开发Google的产品、服务及机器学习技术，并且为提升质量，人工审核员可能会阅读、注释和处理API的输入和输出（Google表示会在审核员查看或注释前，断开数据与Google账户、API密钥和Cloud项目的关联）。Google还要求不要向免费服务提交敏感、机密或个人信息。如果您在个人密钥方式中使用的Gemini API密钥属于免费服务，录音的音频和发言（包括参与录音者的声音和发言）将受到此类处理。

・Google表示，即使是付费服务，也会为检测和防止违反《禁止使用政策》的行为以及法律或监管要求的披露，在有限期间内记录提示和回复。条款中未写明该期间的长度。

・Google表示，数据可能会在Google或其代理人设有设施的任何国家被临时存储或缓存，因此无法确定处理数据的国家。

・在个人密钥方式中，与Google的合同（属于付费服务还是免费服务、是否适用数据处理附录）存在于用户本人与Google之间，本公司无法确认。截至2026年9月14日，本公司不提供使用本公司密钥的Gemini额度；与Google的合同是否规定仅依据本公司指示进行处理、管理再委托方、通知泄露等事件、协助处理本人请求、合同终止时删除（对应③④⑦⑧），以及Google的第三方认证（对应⑤），本公司尚未确认。确认完成前，本公司不会声称已采取这些措施。

【Vercel Inc.・Supabase】

本公司与各公司之间的通信使用TLS加密。加密同步中，录音内容以在设备上经AES-256-GCM加密的密文形式保存，本公司和各公司均无法解密其内容。但同步管理所需的信息（录音ID、日期时间、分段编号、大小等）和同步账户不加密保存。本人的请求由本公司受理。本公司正在核对与各公司合同（数据处理附录）的条款和审计报告，核对完成前，不会声称已采取与八项原则对应的其他措施。

4. 提供的依据

本公司在应用内展示本节内容并取得用户本人同意后提供数据（日本《个人信息保护法》第28条第1款）。向OpenAI、Google、Vercel、Supabase的提供以及个人密钥方式下的提供均依据该同意。由于本公司无法直接取得参与录音的其他人以及用户以外的已注册说话人的同意，本同意不及于这些人。我们请用户在录音或登记前，将AI的发送对象告知参与者并取得其同意。

5. 确认与联系

本公司每年至少一次确认各公司合同、公开文件及各国制度的变更，并更新本节。关于本节的咨询，请联系 info@usmc.jp。

联系我们

隐私或数据删除问题请联系 info@usmc.jp。重大变更会更新本页日期，并可能在应用内通知。