隐私政策

引言

本隐私政策说明 MuseFace 在用户使用 AI 妆容迁移功能时如何处理信息。适用范围包括账号访问、选择或拍摄的图片、生成任务、生成结果、点数、购买、历史记录、通知、语言设置和相关支持请求。

我们收集的信息

我们可能处理账号标识、可选邮箱、登录状态、选择或拍摄的源图和参考图、可选的本机素颜照缓存状态、生成结果图、生成状态、历史记录元数据、点数记录、StoreKit 验单数据、设备权限状态、通知设置、语言偏好和运行请求日志。

我们不收集的信息

我们不收集或使用广告追踪标识、IDFA、TikTok 归因数据、完整相册内容、Face ID 数据、face embedding、faceprint、脸部几何模板、健康信息、精确位置，也不会在 iOS App 中保存 AI 服务密钥。

无广告追踪

MuseFace 不请求 App Tracking Transparency 权限，不使用 IDFA，不包含 TikTok 或其他广告归因 SDK，也不配置 SKAdNetwork 做广告归因。如果未来版本加入广告或分析追踪，我们会在该版本发布前更新本隐私政策、App Store 隐私答案和 iOS 隐私清单。

照片和生成结果

你选择一张素颜源图和一张参考妆容图。这些照片及生成预览包含人脸数据。只上传你选择的图片；选择图片本身不等于授权网络处理。上传前，MuseFace 会请求你明确同意本政策说明的处理方式。拒绝后仍可浏览公开内容。

输入照片和用于审核的不可变副本保存在私有 AWS S3 存储中。后端检查审核副本，再将两张照片的标准化版本和妆容指令发送给 OpenAI。生成预览保留用于历史记录；根据导出权益，可能包含叠加或不叠加 MuseFace 品牌标识的版本。

可选本机素颜照缓存

该可选缓存默认关闭。账号用户启用后，仅在本设备保存最近一张素颜源图，排除备份，可在设置中清除或关闭。它与服务器上传分开，不是身份识别用的人脸模板。

相机、照片和保存权限

系统照片选择器仅提供你选中的图片。只有你选择拍摄时才使用相机；只有你主动保存时才写入相册。相机或相册权限与同意把人脸照片发送给 AWS 和 OpenAI 是不同的授权。

AI 生成服务

后端通过 OpenAI Images API，发送两张所选照片的格式、尺寸标准化版本及妆容迁移指令。iOS App 不直接调用 OpenAI。照片用于生成妆容预览，不用于识别你的身份或身份认证；生成结果可能改变细节，也不是医学评估。

OpenAI 表明，API 数据默认不用于模型训练，除非 API 客户主动选择共享。Images API 的标准滥用监控日志通常最多保留 30 天，存在法律和安全例外。我们不声称已获批零数据保留，也不承诺 OpenAI 的特定处理驻留地区。其保留与 MuseFace 存储中的删除相互独立。参见 OpenAI 数据控制。

信息使用方式

我们使用信息来验证用户身份、保护账号功能、上传用户选择的图片、创建生成任务、返回结果、展示历史记录、管理点数、验证 StoreKit 购买、为已扣点但失败的生成退点、防止滥用、诊断错误、维护安全，以及处理账号、隐私、支持或账单请求。

设备本地妆容灵感库

用户可以把参考妆容图片加入保存在本设备 App 本地数据中的私人“妆容灵感”库。图片仅被加入灵感库时，不会因此上传至 MuseFace，开发者也无法浏览这些图片、可选名称或标签。只有当用户主动选择某条灵感并发起试妆时，对应图片才会上传，并遵循本文所述输入图片处理和保留规则。灵感库不与账号同步，不会因退出登录或删除账号而自动移除；用户可以在 App 内删除单条或全部灵感。灵感可能包含在设备备份中，卸载 App 后也可能丢失。

生成完成通知

生成可能需要几分钟。App 可能请求通知权限，以便在生成完成或失败时提醒用户。通知 payload 不应包含照片、图片 URL、object key、提示词或敏感账号细节。

第三方处理方

AWS 在美国东部（弗吉尼亚北部）us-east-1 区域提供后端、私有 S3 图片存储和 Aurora 数据库。AWS Cognito 提供身份认证。Amazon Rekognition 处理审核副本，用于人脸检测、人脸面积和质量检查及内容安全审核。我们调用 DetectFaces 和 DetectModerationLabels，不使用身份检索的人脸集合。

OpenAI 接收两张标准化输入照片及妆容指令用于生成。目前后端直接调用 OpenAI，没有配置应用层 OpenAI 代理。Apple 提供 Apple 登录、StoreKit 购买、App 分发和可选通知投递；通知内容不包含照片。

我们已退出本 AWS 账号的 Rekognition 内容服务改进用途，并通过 AWS Organizations 核实退出策略已经生效。AWS 表明，退出后会删除为服务改进保留的历史副本，但提供和维护服务所需的内容另行处理。我们不承诺服务商零留存，也不将设置生效等同于已独立确认每份历史副本均已删除。服务商的保留和处理地区可能不同于我们的主要 AWS 存储。参见 AWS Rekognition 数据隐私说明。

MuseFace 不出售人脸照片，也不用于广告追踪；不包含 TikTok 或广告归因 SDK。

你的权利和选择

你可以拒绝人脸照片处理并继续浏览，也可在 App 的“设置 → 隐私政策”页面（旧版本为“人脸照片处理授权”入口）中撤回后续上传及新生成的许可。说明发生实质变化时会重新请求同意。本设备仅记录同意的说明版本和时间，授权记录不包含人脸数据。撤回无法收回已经传输的照片，也不会取消后端已接受的生成任务。

Apple 登录账号可通过 App 内“删除账号”请求删除账号及相关服务端图片。服务器图片采用异步删除并重试失败操作；删除账号不会取消 Apple 订阅。访客或需要删除指定照片的用户可联系 support@museface.app，提供可用的任务标识，我们会协助查找相关访客记录；不要提供密码或额外的人脸照片。处理前可能需要核实所有权。

清理本机缓存、退出登录、删除账号和撤回授权是不同操作。请在 App 内分别清除可选素颜照缓存和已保存灵感。服务器账号删除不会移除本机灵感或已导出到相册的副本。相机、相册和通知权限由 iOS 设置管理，订阅由 Apple 管理。

儿童和未成年人

MuseFace 面向清晰的单人脸部照片。未成年人应在监护人指导下使用本 App，用户需确保自己上传的照片拥有相应权利和同意。

保留和删除

与已接受生成任务关联的输入图，在任务创建 72 小时后，且任务已经结束（成功或失败）时进入应用清理范围。后台 worker 约每分钟扫描一次，尝试删除审核副本及相应原图，成功后记录删除状态；失败项保留以重试。这不代表每张照片都保证在上传 72 小时内被删除。

未使用的访客上传在上传会话过期后进入清理范围。已核验生效的 S3 生命周期规则同时覆盖账号和访客的两个临时输入目录，包括原图及审核副本，设为各对象上传或替换后 7 天到期。S3 将到期资格时间上取整至下一个 UTC 零点，并异步执行删除，因此不保证恰好在 168 小时内完成物理删除。此规则也覆盖这些目录中未关联任务的上传及中断处理遗留对象；超过 1 天的未完成分片上传会被中止。生成结果不在这些规则范围内。

生成结果和历史记录没有自动到期时间，用于历史功能，直至完成删除。可选素颜照缓存保留在本机至清除或关闭；本机妆容灵感库保留至你删除内容或移除 App，并可能包含在设备备份中。结果图片缓存排除备份；导出至相册的副本由你管理。

删除账号会清除直接账号字段、解除历史关联，并把相关图片加入异步删除队列，失败后退避重试，已完成删除的对象还会复查迟到上传。交易、防欺诈及删除复查元数据可因完整性及法律义务保留，不是人脸识别模板。Aurora 自动恢复备份配置为 1 天；若另有手工快照，其保留独立计算。运行日志目前没有配置自动过期，不应包含图片内容，应用日志器会脱敏敏感令牌、图片 URL 和键。

删除 MuseFace 对象不会自动删除服务商根据自身规则保留的副本。第 5 和第 8 节的 OpenAI 与 Rekognition 规则独立适用。如需删除或了解保留情况，请联系 support@museface.app。

政策变更

当 MuseFace 的功能、处理方、权限、数据实践或法律要求发生变化时，我们可能更新本隐私政策。更新后的政策会发布在本页面，并标注新的生效日期或最后更新日期。

联系我们

如有隐私问题或请求，请通过 support@museface.app 联系我们。

人脸照片处理与授权

人脸数据指所选素颜图、参考图中的人脸、生成的人脸预览，以及检查输入是否适用时临时处理的检测数据。Rekognition 响应可能包含人脸位置、置信度、质量、姿态和关键点。MuseFace 在内存中评估人脸数量、置信度、明暗和清晰度、人脸面积及审核标签，不以年龄估计作为上传拦截条件，不做身份匹配，也不创建或持久保存身份识别用 faceprint、embedding 或脸部几何模板。

数据库保留图片对象标识、owner 和任务标识、状态及必要的交易、历史元数据，不建立可检索的生物识别模板。私有图片对象和短期签名链接与人脸识别集合不同；没有创建模板，也不意味着照片不含可识别的人脸。第 4、5、8、9、11 节所述用途、处理方、存储、保留及删除选择均适用于这些人脸数据。

在任一所选人脸照片上传前，App 会请你明确同意将两张照片发送至美国 AWS（us-east-1）用于私有存储、人脸质量及内容审核，再交由 OpenAI 生成妆容预览。简短确认会链接至本政策；完整处理、保存与删除规则集中在第 4、5、8、11 节。阅读本页面或授予相机、相册权限，不代表同意人脸照片处理。

在更新后的 App 中，从设置打开隐私政策会直接显示本文。已授权时，同一页面提供由 App 执行的“撤回授权”操作，网页无法加载时也可使用；撤回将停止后续上传及新的生成请求，不会收回已经发送的照片、取消已接受的任务或删除历史记录。删除选择见第 9 节。只有上传前明确点击同意才会授予许可，网页本身不会授予授权。