本政策说明野菜桌面如何收集、使用、保存、共享和保护您的个人信息，以及您依法享有的权利。请您在使用野菜桌面前仔细阅读并充分理解本政策，特别是以加粗方式标注的内容。
一、野菜桌面不上传您的桌面内容。您在桌面上摆放的应用、设备中安装的应用以及屏幕显示的内容均保存在本机。仅当您主动点击「存到云端」时，桌面配置才会上传；仅当您主动点击「生成开机动画」时，您所选的图片或视频才会上传，并在生成结束后立即删除（详见第二部分）。
二、我们不进行用户画像，不投放广告，不向任何第三方出售您的个人信息。
三、我们的数据库中不存储您的手机号原文。手机号在入库前即转换为结合服务器密钥计算的哈希值，另行保存一个打码号（如 138****1234）供您辨认账号。在处理订单、退款、账号等问题需要联系您时，管理员可在后台使用服务器密钥计算出单个账号的完整号码，每次查看均留存操作记录，计算出的号码不予保存（详见第五部分）。
四、注销账号后，我们将保留两个哈希标识，仅用于防止重复领取新用户 30 天会员。这是本政策中唯一一项在注销后仍保留信息的情形，我们在第五部分作了详细说明。
野菜桌面是一款运行于安卓车机及平板设备的桌面应用，由个人开发者运营（抖音账号「开tt挖野菜」）。云端服务部署于 yecai.wyctt.com。
本政策适用于野菜桌面安卓客户端、野菜云端服务及配套的微信小程序「野菜桌面」。
我们仅收集提供服务所必需的信息。未登录状态下，您亦可使用桌面的大部分功能；下表所列主要为登录及会员相关的信息。
| 信息类型 | 收集目的 | 收集时机 |
|---|---|---|
| 手机号 | 作为账号标识，用于登录及找回账号。我们不保存号码原文：号码在入库前即转换为结合服务器密钥计算的哈希值（具体做法及完整号码的查看规则见第五部分），另行单独保存一个打码号（如 138****1234），供您在界面上辨认账号 | 您在微信小程序中主动授权时 |
| 微信 OpenID | 用于扫码登录时识别用户身份。OpenID 是微信为每个小程序分配的独立标识，并非您的微信号，我们亦无法获取您的微信号 | 您扫码登录时 |
| 设备标识 | 用于实现“同一账号同一时间仅在一台设备上登录”，并将会员凭证与该设备绑定 | 登录时根据本机硬件信息计算生成 |
| 设备名称、系统版本、应用版本（含更新通道：正式版或测试版） | 在「我的设备」中供您辨认设备；用于排查问题及区分测试版的问题 | 登录及联网续期时 |
| 安装包指纹 | 识别被篡改的安装包，防止破解版本冒领会员权益 | 登录及联网续期时 |
| 粗略位置或所在城市 | 用于显示天气 | 您开启天气组件时 |
| 云端桌面配置 | 用于更换设备后恢复配置及生成分享码 | 仅在您主动点击「存到云端」时 |
| 开机动画素材（您所选的一张图片或一段视频，及其文件名、大小、校验值） | 在服务器上将其制作为该车机的开机动画 | 仅在您主动点击「生成开机动画」时 |
| 机型属性及开机动画规格（厂商、型号、设备代号、系统版本号、系统构建指纹、是否为 LineageOS；系统开机动画文件的位置与格式、屏幕分辨率与方向、所用 root 工具的种类） | 判断该车机能否制作开机动画及应采用的格式（格式错误将导致安装后无法显示）；尚未专门适配的机型据此自动适配 | 您打开「开机动画」页面时；按系统版本保存一份不含账号信息的适配记录（见第二部分“开机动画”）；生成时随任务记录保存 |
| 建议与反馈（您填写的内容及选填的联系方式。勾选「附带诊断信息」时，还包括：机型、系统版本、桌面版本、窗口后端、语音唤醒状态等体检报告内容；公签版、氢桌面版、方易通 7870 版及高通版另包括最近 3 天系统卡死、重启时的技术记录（如重启原因、卡住时的程序与内存、CPU 占用）；野菜桌面最近 20 次自行重新启动的时间和原因（如崩溃、被系统结束、屏幕尺寸变化），以及画中画是否因反复重启而暂停；开启画中画窗口时，每个窗口的画面尺寸、方向、最近几次在窗口内点按的位置，以及系统窗口记录中与这些窗口相关的部分；窗口未能正常打开（应用转至主屏、窗口持续黑屏）时，系统日志中该应用此次启动的记录（应用名称均已遮盖）；野菜桌面被其他程序强行停止时（桌面 2.1.2 起，仅公签版、氢桌面版、方易通 7870 版及高通版），系统日志中停止前约 20 秒内该程序的记录及系统启动、停止应用的记录（应用名称均已遮盖）；每个画中画窗口最近几次的状态变化（消失的时间、重新打开的次数）；使用自动化任务的，该设备开机及野菜桌面启动的时间、最近的触发记录（触发和动作的类型、时间、是否执行成功，不含应用名称）；最近几次导航所使用的地图类型、选用原因、发送方式及地图是否响应（不含目的地地址及应用名称）；普通版开启野菜无障碍服务时，该服务最近几次检测到的屏幕窗口——各窗口所属类别（桌面、悬浮地图、系统界面、系统自带应用、用户自行安装的应用）、类型、层级、位置及是否遮挡地图区域（不含应用名称，不读取窗口内的文字），以及屏幕连接、断开、点亮、熄灭的时间；野菜桌面自身的运行记录——上次开机时最后一次正常运行的时间、自身卡顿的时长及卡顿所在的代码位置、该设备系统记录的开机原因；开机后前 10 分钟的声音状态（媒体音量、是否静音、音频模式、正在播放声音和正在录音的数量，不含应用名称）；本次开机最近几次语音交互的处理进度（是否唤醒、是否检测到人声、送往识别的音频时长与音量、是否识别出文字、执行了哪一类操作，不含您说话的内容）、最近一分钟的收音音量、唤醒词为默认还是自定义（不含唤醒词本身）；使用按键映射的，每条映射识别的按键、按键方式及执行的操作类型，以及最近 20 次按键的键码、是否匹配到映射及是否执行成功（不含应用名称及设备名称）。上述诊断信息均不含位置、账号密码及通知内容） | 接收您的建议及故障报告；您留有联系方式的，必要时据此回访 | 仅在您主动点击「关于 → 建议与反馈」并发送时；未登录亦可发送，已登录的将记录发送账号 |
| 崩溃诊断信息（异常堆栈、机型、系统版本、桌面版本、内存占用、安装包指纹；少数与界面相关的崩溃，还包括崩溃时野菜桌面自身界面的控件类型与层级、同时操作界面的其他线程堆栈，不含界面上的文字；崩溃前野菜桌面最近执行的若干窗口操作（开启、关闭画中画所用的屏幕，将应用移回主屏，桌面暂停与恢复的时间，不含应用名称）；不含位置、账号密码及通知内容） | 桌面意外崩溃时自动记录并上报，用于定位和修复问题；安装包指纹用于判断崩溃是否发生在被篡改的安装包上 | 桌面崩溃后，于下次启动时自动上报（默认开启，可在「关于 → 自动发送崩溃报告」中关闭）；未登录亦会上报，已登录的将记录所属账号 |
| 语音（您所说的一句话的音频；发送至腾讯云识别时附带「常用目的地」中的地点名称（不含地址）；野菜桌面无法理解、需交由大模型回答时，还包括识别出的文字、最近几轮问答，以及当前时间、所在城市、天气、正在播放的歌曲；选用云端音色时，还包括需要朗读的文字；每日使用次数） | 本机无法识别时，将该句话识别为文字，并据此为您执行操作；对于野菜桌面无法理解的语句（如“今天有什么新闻”），交由大模型生成简短回答；选用云端音色时，将需要朗读的文字合成为语音；使用次数用于防止接口被滥用 | 仅在您点击麦克风或说出唤醒词之后（会员功能）；音频、识别出的文字、问答内容与回答、需要朗读的文字及合成的语音均不予保存 |
| 萌伴生成所用图片（会员功能，桌面 2.0.24 起：您所选的一张图片——生成宠物时为您自家宠物的照片；桌面 2.0.25 起生成动漫萌伴时，可以是您本人或他人的单人照片（含人脸，属于敏感个人信息），也可以是原创角色设定图或手绘图。图片在车机上先行缩小并去除拍摄地点等信息后上传；通过手机扫码上传的，在手机网页中先行缩小；以及由该图片生成的图片、每月生成次数） | 依据图片绘制桌面萌伴（卡通宠物或二次元形象）；生成前先进行内容安全审核并识别图片内容：宠物照片中含有人脸的不予生成，动漫图片为已有作品角色或明星名人的不予生成；生成次数用于计算每月赠送额度 | 仅在您于「设置 → 组件 → 萌伴」中主动点击「＋」生成并同意相关说明后；使用真人照片生成动漫萌伴前，另需取得您的单独同意；图片不予保存，仅在生成时使用一次；生成的图片在车机取回后立即删除，未取回的于 24 小时后删除 |
| 萌伴座驾及合照所用图片（会员功能，桌面 2.1.2 起：生成专属座驾时，为您车辆的一张照片；生成合照萌伴时，为一张 2 至 4 人（宠物计入人数）的合照，含多人人脸，属于敏感个人信息；合体时，为您车机上已有的萌伴图片和专属座驾图片（均为此前生成的卡通图片）。图片上传前的处理与上一行相同；以及据车辆照片识别出的车辆品牌、车型、颜色和外观特征的文字描述（不含车牌）、合照的人数） | 专属座驾：识别车辆品牌、车型，并以车辆照片为参考，照着车型、颜色、格栅、车灯及车标绘制敞篷座驾，以便一眼认出车型（自本政策 2.21 版起；此前仅依据识别出的文字描述绘制）；车牌、人脸及车身、车窗上的文字一律不予绘制，绘制后另经看图检查，画出车牌号码或文字的不予采用。合照：识别人数及每个人的外观特征，绘制同一画风的合照萌伴；含有已有作品角色或明星名人的不予生成。合体：依据萌伴图片和座驾图片绘制萌伴驾驶座驾的形象。上传的图片及生成的图片均先经内容安全审核 | 仅在您于「设置 → 组件 → 萌伴」中主动点击生成并同意相关说明后；生成合照前，另需您勾选确认照片中每个人均已同意、不满 14 周岁的已取得其监护人同意；图片不予保存，仅在生成时使用一次；生成的图片按上一行删除；车辆的文字描述随生成结果保存在您的车机上，供以后合体使用 |
| 萌伴云端保存（桌面 2.1.5 起：照片生成的萌伴、专属座驾及合体后的形象——即已安装至您车机上的卡通图片，由车机压缩后上传——及其名称、类型、大小和校验值） | 更换车机、清除数据或重新安装后，登录同一账号即自动找回；同一账号的多台车机保持一致（如在一台车机上改名，其他车机随之更新）。生成时所用的照片不在此列，仍不予保存；仅本账号可下载，不公开、不随分享码分享 | 登录后，萌伴生成并安装至车机时自动上传（默认开启，可在「设置 → 组件 → 萌伴 → 存到云端」中关闭，关闭后服务器上已保存的一并删除）；桌面 2.1.5 之前生成、仍在车机上的，升级后补传 |
| 内容审核违规记录（桌面 2.0.25 起） | 上传的图片未通过内容安全审核时，记录时间、违规类别及对应的生成任务，不保存图片；用于依照上传须知停用生成功能及处理您的申诉 | 仅在您上传的图片被判定违规时 |
| 订单与支付记录 | 发放会员权益、提供售后服务、对账，以及依法留存账务记录 | 您购买会员时 |
| 邀请与返利（您的邀请码；您填写的邀请码及填写时间；您邀请的用户；被邀请人每次开通、续费会员的实付金额及给予您的返利） | 计算及发放邀请返利。在「邀请好友」中，邀请人可查看被邀请人的打码手机号（如 138****1234，无手机号的显示打码后的用户名）、填码日期、是否开通会员及返利金额；被邀请人可查看邀请人的打码手机号。双方均无法查看对方的完整号码、设备及其他资料 | 您打开「邀请好友」时生成邀请码；填写邀请码、被邀请人付款或退款时记录 |
| 提现信息（支付宝账号、支付宝实名认证的真实姓名、提现金额及打款后的转账单号） | 仅用于将返利转入您的支付宝账户及对账：管理员在后台核对后，通过支付宝手动转账 | 仅在您申请提现时，由您在车机或小程序中自行填写 |
| 登录与操作日志 | 保障账号安全、排查异常 | 使用云端服务时 |
通讯录、短信、通话记录、相册、精确 GPS 轨迹、您设备上已安装应用的清单，以及您在其他应用中的任何内容。
语音（会员功能）：仅在您点击麦克风（Dock 栏上的「语音」、小白点或已映射的按键）之后，才录制您所说的一句话（最长 10 秒）。常用指令可在本机直接识别；本机无法识别的，该句音频将经野菜桌面服务器转发至腾讯云识别为文字（桌面 2.0.4 起，同时附带「常用目的地」中的地点名称（不含地址）及“野菜桌面”等产品词，以提高地名识别的准确性）。音频及识别出的文字均不予保存，服务器仅按日记录使用次数。开启语音唤醒（默认关闭）后，野菜桌面显示在屏幕上时将持续在本机监听唤醒词（默认为“你好野菜”，可自行修改），监听到的声音仅在内存中处理，不予存储，不予上传；检测到唤醒词后才开始录制您所说的一句话。如同时开启「在其他应用上也能唤醒」（默认关闭），其他应用覆盖野菜桌面时亦将以相同方式监听，期间通知栏将持续显示“野菜在听唤醒词”的提示；屏幕关闭或通话期间不进行监听。开启「连续对话」（默认关闭）后，大模型回答完毕时将发出提示音，并继续聆听您的下一句话（最长等待 8 秒），处理方式与点击麦克风相同。
语音问答（大模型，会员功能）：对于野菜桌面无法理解的语句（如“今天有什么新闻”“这首歌是谁唱的”），我们会将识别出的文字，连同最近 3 轮问答（仅保存在您的车机上，2 分钟内无对话即清空）、当前时间、所在城市、天气及正在播放的歌曲，经野菜桌面服务器转发至腾讯混元大模型生成简短回答，必要时由其联网搜索。上述信息不携带您的账号及设备信息；野菜桌面服务器不保存提问内容及回答，仅按日记录提问次数。回答由人工智能生成，屏幕显示时以「AI：」开头，播报前有提示音，可能存在不准确之处，仅供参考。
云端音色（会员功能，桌面 2.0.22 起）：您在「语音」中选用云端音色时（默认不使用），野菜桌面需要朗读的文字（回答及提示文字）将经野菜桌面服务器转发至腾讯云合成为语音，并返回车机播放。上述信息不携带您的账号及设备信息；野菜桌面服务器不保存需要朗读的文字及合成的语音，仅按日记录合成的句数与字数。试听所用的样音已预先合成并存放于野菜更新服务器，试听时不上传任何内容。未选用云端音色时，朗读全部由车机自带的播报引擎在本机完成。
导航地点查询（桌面 2.0.22 起）：您说“导航去……”或点击常用目的地时，如所使用的地图不是高德车机版或高德悬浮版，野菜桌面将把目的地名称及您的大致位置（精确至约 1 公里，用于优先查找附近的地点）经野菜桌面服务器发送至腾讯位置服务，查询地点及坐标后交由您的地图直接开始导航。上述信息不携带您的账号及设备信息；野菜桌面服务器不保存查询过的地点，仅按日记录查询次数。使用高德车机版或高德悬浮版时由高德自行查询，不经过野菜桌面服务器。
精确定位：顶部信息栏的 GPS 精度显示、「卫星」及「车速」组件需要使用本机精确定位，相关计算全部在本机完成，不予上传，不记录行驶轨迹。车速组件仅在本机保存本程里程及本程最高速度两项数据，每次开机时清零。桌面宠物的随车动作、疲劳提醒、怒气（急加速、急刹车）及堵车陪伴等功能，亦仅使用本机计算的车速，不予上传。
通知使用权：为显示歌词，野菜桌面需要获取「通知使用权」，但仅读取当前播放器的媒体通知（歌名、歌手、播放进度），读取的通知内容不予存储，亦不上传至野菜桌面服务器。
在线歌词（默认开启，可在「设置 → 组件 → 歌词」中关闭）：播放器未提供整首歌词时，本机将把歌名、歌手、时长及播放器提供的歌曲编号直接发送至曲库查询歌词：使用网易云音乐、QQ 音乐、酷狗音乐、酷我音乐、汽水音乐的官方播放器时，优先按歌曲编号向其自有曲库查询；未查到的，再按歌名依次向酷狗、网易云音乐、QQ 音乐查询。上述请求不携带账号及设备信息，不经过野菜桌面服务器。查询到的歌词缓存在本机，离线时亦可使用，并可在同一页面中清空。
开机动画为付费功能，仅在您主动使用时产生以下数据：
| 权限 | 用途 | 拒绝授权的影响 |
|---|---|---|
| 通知使用权 | 读取媒体通知以显示歌词 | 歌词功能不可用，其他功能不受影响 |
| 位置（粗略） | 天气定位 | 需手动选择城市 |
| 位置（精确） | 顶部信息栏的 GPS 精度、「卫星」及「车速」组件；仅在本机计算，不予上传 | 上述位置显示“没有定位权限”，其他功能不受影响 |
| 麦克风 | 语音（会员功能）：录制您所说的一句话；开启语音唤醒时，野菜桌面显示在屏幕上即在本机监听唤醒词；同时开启「在其他应用上也能唤醒」的，其他应用覆盖野菜桌面时亦进行监听（通知栏常驻提示） | 无法使用语音功能，其他功能不受影响 |
| 存储 / 文件 | 选择壁纸、导入导出配置、选择开机动画素材、萌伴照片及字体文件；使用「野菜自带」选择器时，在本机列出本机和 U 盘中可供选择的文件（文件名称及缩略图仅在本机显示，不予上传）；车机工具无法安装时，将已下载的安装包保存至「下载」文件夹供您自行安装（仅保存在本机） | 无法更换本地壁纸 |
| 所有文件访问（仅普通版，安卓 11 及以上） | 在「野菜自带」选择器中按文件夹浏览本机和 U 盘，选取存档文件、字体文件；仅在您选用野菜自带选择器挑选上述文件时请您开启，且仅读取您点选的那一个文件，存档、字体文件的内容不予上传 | 野菜自带选择器无法显示存档和字体文件，可改用系统文件管理 |
| 网络 | 登录、云端配置、天气、在线歌词、开机动画及检查更新 | 仅可离线使用 |
| 安装应用 | 在「车机工具」中安装工具及野菜桌面自身更新；每次安装均由系统安装界面请您确认 | 车机工具需自行前往官方网站下载安装 |
| 使用情况访问（普通版，可选） | 自动化任务的「某个应用打开时」触发条件：在本机判断当前前台应用；不予保存，不予上传 | 普通版无法使用该触发条件，其他功能不受影响 |
| 无障碍服务（可选，由您在系统设置中开启） | 按键映射：截取方向盘、外接键盘上的按键。普通版还使用该服务在本机检测屏幕上的窗口——仅获取窗口的位置、层级及所属应用，不读取窗口内的文字——在倒车影像等画面遮挡悬浮地图时收起地图，遮挡解除后恢复显示。平时仅在本机内存中记录最近几次检测到的窗口（不含应用名称），仅在您发送「建议与反馈」并勾选「附带诊断信息」时随诊断信息上传（见第二部分） | 按键映射仅能通过媒体键、车机广播、系统日志识别按键；普通版的悬浮地图在遇到不获取焦点的倒车影像时无法自动避让 |
| 读取系统日志（按键映射） | 方向盘按键无法识别时，在录制按键的数秒内于本机系统日志中查找按键记录；您映射了仅能通过该方式识别的按键后，桌面将在本机持续检测此类按键记录。仅识别与按键相关的日志行，不予保存，不予上传。公签版、氢桌面版、方易通 7870 版及高通版使用自身的系统身份，普通版借助 Shizuku | 仅能通过无障碍服务、媒体键、车机广播识别按键 |
| Shizuku 授权（普通版，可选） | 普通版借助您自行安装的 Shizuku 实现画中画：在虚拟屏中运行应用，并将您的触摸操作传递给窗口内的应用。首次连接时，将通过 Shizuku 一次性授予野菜桌面所需的几项权限（通知使用权、显示在其他应用的上层、修改系统设置、安装应用、不受电池优化限制），此后您可在系统设置中逐项关闭。上述操作全部在本机进行，不经过网络 | 仅可使用悬浮地图及启动卡片，其他功能不受影响 |
| 降低其他应用的音量（桌面 2.0.4 起） | 野菜桌面播报或聆听您说话时，将正在播放的音乐及导航声音暂时降低至两成，结束后恢复。为此需在本机判断哪些应用正在播放声音（仅判断是否为音乐、导航类应用，不予保存，不予上传）。公签版、氢桌面版、方易通 7870 版及高通版使用自身的系统身份，普通版在连接 Shizuku 时借助 Shizuku | 普通版未连接 Shizuku 时，仅能请求其他应用降低音量，是否降低取决于该应用 |
上述权限均可在系统设置中随时关闭。关闭后相应功能将无法使用，但不影响桌面本身的使用。
我们不会将上述信息用于用户画像、个性化广告或自动化决策，亦不会将其用于与上述目的无关的任何用途。
您注销账号后，我们将保留两个无法还原为原文的标识符：一个由您的手机号生成，一个由您的微信 OpenID 生成。
上述标识符仅用于一个目的：判断同一手机号或同一微信账号是否已领取过新用户 30 天会员，防止通过反复注销、重新注册的方式重复领取。我们不会将其用于任何其他目的，不用于用户画像或信息推送，亦不对外共享。
我们保存的并非您的手机号本身，而是经加密哈希算法并结合仅存储于服务器上的密钥处理后的结果。在不掌握该密钥的情况下，难以从该字符串还原出原始号码。
上述处理方式并非仅在注销后采用。在您的账号正常使用期间，数据库中保存的手机号同样仅为该哈希值，另加一个供您辨认账号的打码号（如 138****1234）。因此，我们的数据库中在任何时候均不存储您的手机号原文。
但我们需要如实说明：打码号已显示 11 位号码中的 7 位，其余 4 位仅有一万种可能，掌握服务器密钥的一方可以通过逐一尝试得出完整号码。因此，该哈希值能够防范数据库被单独窃取的风险，但无法防范掌握密钥的我们自身。
为此，我们制定了如下规则：仅管理员可在后台查看完整号码，每次仅可查看一个账号，且仅用于处理您的订单、退款、账号找回等需要与您联系或核实身份的事项；每次查看均留存操作记录（记录中不含号码），计算出的号码不予保存、不予导出，不用于营销。
我们不会声称该哈希值“绝对不可逆”或“完全无法识别您的身份”。手机号的取值范围有限，任何哈希算法均无法实现绝对匿名。因此，我们仍将这些标识符作为个人信息加以保护，本政策规定的全部安全措施及您的全部权利均适用于该等标识符。
| 项目 | 说明 |
|---|---|
| 法律依据 | 依据《中华人民共和国个人信息保护法》第十三条，为维护营销活动公平、防止欺诈及重复领取所必需。我们将在您申请注销时单独、显著地告知上述事项，经您确认后方完成注销。 |
| 保留期限 | 自记录生成之日起 3 年，到期后由系统自动删除。我们不会无限期保留。 |
| 技术保护 | 密钥与数据分离存储；数据库中仅存储哈希值，不存储明文；该数据表仅支持“比对是否存在”，不支持反向查询；访问受到限制并留存操作日志。 |
| 提前删除 | 您可以联系我们申请提前删除。请您知悉删除的后果：该手机号或微信账号可再次领取新用户 30 天会员；如我们发现重复领取，有权拒绝发放或撤销已发放的赠送。 |
| 不作的用途 | 不用于关联您在其他平台的身份，不与第三方交叉比对，不用于营销。 |
| 信息类型 | 保存期限 |
|---|---|
| 手机号、微信 OpenID、账号资料 | 账号存续期间。其中手机号自始不保存原文（仅保存哈希值与打码号）；注销时上述信息一并删除，仅依照第五部分保留用于防止重复领取的哈希标识 |
| 设备标识、登录会话 | 注销或退出登录时删除 |
| 云端桌面配置、分享码 | 注销时一并删除 |
| 开机动画素材 | 制作结束后即删除（成功、失败、取消均同）；30 分钟内未完成上传的自动取消并删除 |
| 开机动画成品 | 7 天，到期后自动删除 |
| 开机动画任务记录 | 注销时一并删除 |
| 开机动画适配记录（按系统版本，不含账号信息） | 长期保存，供同一系统版本的车机自动适配；该系统版本经确认无法自动适配或适配有误时予以重置 |
| 在线歌词缓存 | 仅保存在您的设备上，不予上传；可在「设置 → 组件 → 歌词」中清空 |
| 语音 | 音频、识别出的文字、问答内容及回答均不予保存，使用后即丢弃；最近 3 轮问答仅保存在您的车机上，2 分钟内无对话即清空；每日使用次数在注销时一并删除 |
| 萌伴生成所用图片及生成的图片 | 图片不予保存，生成时使用一次后即丢弃；生成的图片在车机取回后立即删除，未取回的于 24 小时后自动删除；生成记录（时间、状态、类型（宠物、动漫、合照、座驾或合体）、外观描述、每月使用次数；专属座驾另含车辆品牌、车型、颜色及外观特征的文字描述，合照另含人数）在注销时一并删除。已安装至车机的萌伴保存在您的车机上，可在「组件 → 萌伴」中删除；开启「存到云端」的，另按下一行保存 |
| 萌伴云端保存 | 保存至您在车机上删除时选择“连云端一起删”、关闭「存到云端」或注销账号时删除；会员到期不删除。选择“连云端一起删”的，仅保留一条不含图片的删除记录（包名及时间），供同一账号的其他车机同步删除，关闭「存到云端」或注销时一并删除 |
| 内容审核违规记录 | 保存 180 天后自动删除（用于停用判断及申诉处理）；注销时一并删除 |
| 会员权益发放记录 | 注销时删除 |
| 建议与反馈 | 长期保留，用于查阅同类问题（该内容为您向我们提出的建议，不属于账号资料）；注销时与账号解除关联，您填写的联系方式一并删除，内容以匿名方式保留。如需删除某条反馈，可与我们联系 |
| 崩溃诊断信息 | 长期保留，用于定位反复出现的崩溃；注销时与账号解除关联，诊断内容以匿名方式保留（诊断内容本身不含账号资料） |
| 订单与支付记录 | 依照会计及税务法规的要求保留，保留期内进行去标识化处理（去除与您身份的直接关联） |
| 邀请码、邀请关系 | 账号存续期间；注销时删除（您填写的邀请码及您邀请的用户关系一并删除） |
| 返利记录 | 邀请人账号存续期间。被邀请人注销后，向邀请人发放的返利记录予以保留（否则邀请人已提现的款项将无法对账），但与被邀请人的账号解除关联；邀请人本人注销时一并删除，尚未提现的返利随之作废 |
| 提现记录（金额、支付宝账号、真实姓名、转账单号） | 作为打款凭证，依照会计及税务法规的要求保留，仅用于对账；注销时与账号解除关联，尚未打款的提现申请自动退回 |
| 防重复领取哈希标识 | 3 年，到期后自动删除 |
| 服务器运行日志 | 90 天 |
我们不会出售或出租您的个人信息。仅在以下必要情形下与第三方共享：
| 第三方 | 共享内容 | 共享目的 |
|---|---|---|
| 微信 / 微信支付（腾讯） | 扫码登录所需的标识、订单号及金额 | 实现扫码登录及收款。您的支付信息由微信支付直接处理，我们不接触您的银行卡、密码等支付凭证 |
| 支付宝（支付宝（中国）网络技术有限公司） | 订单号、商品名称及金额 | 您选择使用支付宝付款时，用于收款及退款。使用手机支付宝扫描付款二维码后，将直接打开支付宝付款页面；您的支付信息由支付宝直接处理，我们不接触您的支付宝账号、银行卡、密码等支付凭证。 邀请返利提现时，我们通过支付宝向您填写的支付宝账号转账，转账需使用您填写的支付宝账号及真实姓名（支付宝据此核验收款人身份） |
| 和风天气 | 城市或粗略坐标 | 获取天气信息。不携带您的账号信息 |
| 酷狗音乐 | 正在播放歌曲的歌名、歌手、时长；使用酷狗官方播放器时还包括歌曲编号（由您的设备直接发送） | 查询在线歌词。不携带账号及设备信息；关闭「在线歌词」后不再发送 |
| 网易云音乐 | 正在播放歌曲的歌名、歌手、时长；使用网易云音乐官方播放器时还包括歌曲编号（由您的设备直接发送） | 使用网易云音乐播放器时按歌曲编号直接查询；使用其他播放器且酷狗未查到时再行查询（桌面 1.9.9 起）。不携带账号及设备信息；关闭「在线歌词」后不再发送 |
| QQ 音乐（腾讯） | 正在播放歌曲的歌名、歌手、时长；使用 QQ 音乐官方播放器时还包括歌曲编号（由您的设备直接发送） | 使用 QQ 音乐播放器时按歌曲编号直接查询；使用其他播放器且酷狗、网易云音乐均未查到时再行查询（桌面 1.9.10 起）。不携带账号及设备信息；关闭「在线歌词」后不再发送 |
| 酷我音乐 | 使用酷我官方播放器时正在播放歌曲的编号（由您的设备直接发送） | 仅在使用酷我播放时按编号查询歌词（桌面 1.9.10 起）。不携带账号及设备信息；关闭「在线歌词」后不再发送 |
| 汽水音乐（抖音） | 使用汽水音乐官方播放器时正在播放曲目的编号（由您的设备直接发送） | 仅在使用汽水音乐播放时按编号获取歌词（桌面 1.9.10 起）。不携带账号及设备信息；关闭「在线歌词」后不再发送 |
| 腾讯云（语音识别） | 您所说的一句话的音频，以及「常用目的地」中的地点名称（不含地址，桌面 2.0.4 起），经野菜桌面服务器转发 | 对本机无法识别的语音进行文字识别（桌面 1.9.15 起）。不携带您的账号及设备信息；仅在您点击麦克风或说出唤醒词之后发送 |
| 腾讯云（混元大模型） | 野菜桌面无法理解的语句（识别出的文字）、最近 3 轮问答、当前时间、所在城市、天气及正在播放的歌曲，经野菜桌面服务器转发 | 生成简短回答，必要时联网搜索（桌面 1.9.16 起；自 2026 年 10 月 14 日起向全部会员开放）。不携带您的账号及设备信息；仅在野菜桌面无法理解、需要询问大模型时发送。回答由人工智能生成，可能不准确 |
| 腾讯云（语音合成） | 野菜桌面需要朗读的文字（回答及提示文字），经野菜桌面服务器转发 | 为选用「云端音色」的会员将文字合成为语音（桌面 2.0.22 起）。不携带您的账号及设备信息；未选用云端音色时不发送 |
| 腾讯云（混元看图、生图） | 您上传的图片（宠物照片；生成动漫萌伴时可能为含人脸的真人照片；桌面 2.1.2 起，生成合照萌伴时为含多人人脸的合照，生成专属座驾时为车辆照片，合体时为萌伴图片和座驾图片）及由其生成的图片，经野菜桌面服务器转发 | 生成萌伴时，识别图片内容与外观特征，并据此绘制卡通宠物或二次元形象及若干表情（桌面 2.0.24 起，会员功能）；生成专属座驾时，识别车辆品牌、车型、颜色、外观特征及车标样式，并以车辆照片为参考绘制敞篷座驾（自本政策 2.21 版起；此前仅依据文字描述绘制），绘制后检查是否画出车牌号码或文字；合体时，依据萌伴图片和座驾图片绘制驾驶形象（桌面 2.1.2 起）。不携带您的账号及设备信息；仅在您主动生成时发送；宠物照片中含有人脸的不予生成。生成的萌伴在桌面上默认标注「AI 生成」 |
| 腾讯云（图片内容安全） | 您上传的图片及生成的图片，经野菜桌面服务器转发 | 生成萌伴时（桌面 2.1.2 起包括合照、专属座驾及合体），审核图片中是否含有色情、暴恐、政治敏感、违法违规等内容，未通过审核的不予生成（桌面 2.0.25 起）。不携带您的账号及设备信息；仅在您主动生成时发送 |
| 腾讯位置服务 | 导航目的地名称及您的大致位置（精确至约 1 公里），经野菜桌面服务器转发 | 导航时查询地点及坐标，以便地图直接开始导航（桌面 2.0.22 起）。不携带您的账号及设备信息；仅在需要导航且所用地图不是高德车机版或高德悬浮版时发送 |
| 百度智能云对象存储 | 开机动画素材及成品 | 临时存放，期限见第六部分 |
| 云服务器与数据库 | 上述数据的存储 | 保障服务运行 |
法律法规要求，或司法、行政机关依照法定程序要求时，我们将依法提供相关信息，并在法律允许的范围内告知您。
任何系统均无法保证绝对安全。如发生个人信息泄露事件，我们将依法及时告知受影响的用户，并向监管部门报告。
| 权利 | 行使方式 |
|---|---|
| 查阅 | 在桌面「设置 → 账号与云端」中查看账号信息、设备列表、会员状态、邀请及提现记录；在微信小程序中查看权益、订单、邀请及提现记录 |
| 更正 | 可在客户端修改密码；更换绑定的手机号或更正其他信息，请与我们联系 |
| 删除与注销 | 请联系我们注销账号。注销将彻底删除相关数据（会话、云端配置、分享码、云端保存的萌伴、权益记录一并清除），仅保留第五部分所述的哈希标识 |
| 撤回同意 | 关闭相应的系统权限即可撤回该项授权；撤回同意不影响撤回前基于您的同意已进行的处理 |
| 退出全部设备 | 在客户端点击「退出登录」，或联系我们注销全部登录会话 |
| 获取副本 | 请与我们联系，我们将以通用格式向您提供账号数据 |
| 投诉举报 | 请先与我们联系；您也可以向所在地网信部门、市场监督管理部门投诉举报 |
我们将在收到您的请求后 15 个工作日内予以答复。为保障账号安全，我们可能需要先行核验您的身份。
野菜桌面主要面向车主及成年用户。如您未满 18 周岁，请在监护人的陪同下阅读本政策，并在取得监护人同意后使用。如我们发现在未取得监护人同意的情况下收集了不满 14 周岁儿童的个人信息，将尽快予以删除。生成动漫萌伴时上传不满 14 周岁儿童照片的，或生成合照萌伴时合照中有不满 14 周岁儿童的，须事先取得其监护人的同意。
本政策更新时，我们将修改本页顶部的版本号及生效日期。涉及收集范围扩大、使用目的变更等重大变化的，我们将在客户端以显著方式提示，并在必要时重新征得您的同意。
桌面 2.1.5 新增“萌伴云端保存”：照片生成的萌伴、专属座驾及合体后的形象在您的账号下保存一份，更换车机后登录同一账号即自动找回。同时，为让专属座驾一眼认出车型，改为以车辆照片为参考绘制。
| 变更事项 | 说明 |
|---|---|
| 新增“萌伴云端保存” | 第二部分新增一行：已安装至车机的萌伴、专属座驾及合体后的形象（卡通图片，由车机压缩后上传）及其名称等，保存在您的账号下，仅本账号可下载。默认开启，可在「设置 → 组件 → 萌伴 → 存到云端」中关闭，关闭后服务器上已保存的一并删除。生成时所用的照片仍不予保存。 |
| 专属座驾以照片为参考绘制 | 第二部分“萌伴座驾及合照所用图片”一行、第七部分“腾讯云（混元看图、生图）”一行修订：车辆照片由“仅依据识别出的文字描述绘制、照片本身不参与绘制”，改为以照片为参考照着车型、颜色、格栅、车灯及车标绘制；车牌、人脸及车身文字仍不予绘制，绘制后另经看图检查，画出车牌号码或文字的不予采用。照片仍不予保存、仅使用一次。共享方未发生变化，仍不携带您的账号及设备信息。 |
| 保存期限 | 第六部分新增“萌伴云端保存”一行：保存至您选择“连云端一起删”、关闭「存到云端」或注销账号时，会员到期不删除；“连云端一起删”的仅保留不含图片的删除记录，供其他车机同步删除。原“已安装至车机的萌伴仅保存在您的车机上”一句相应修订。 |
| 您的权利 | 第九部分“删除与注销”补充：注销时云端保存的萌伴一并删除。 |
桌面 2.1.2 的萌伴新增“座驾”：萌伴可以坐上内置的四款卡通座驾；会员还可以上传自己车辆的照片生成“专属座驾”，上传合照生成“合照萌伴”，并将照片生成的萌伴与座驾“合体”。
| 变更事项 | 说明 |
|---|---|
| 新增“萌伴座驾及合照所用图片” | 第二部分新增一行：专属座驾使用您车辆的照片，经看图识别车辆品牌、车型、颜色、外观特征及车标样式后，仅依据文字描述绘制，照片本身不参与绘制，车牌、人脸及车身文字不予绘制；合照萌伴使用 2 至 4 人的合照（含多人人脸，属于敏感个人信息），生成前须勾选确认照片中每个人均已同意、不满 14 周岁的已取得监护人同意；合体使用车机上已有的萌伴图片和座驾图片。所有图片仍不予保存、仅使用一次，并先经内容安全审核。 |
| 保存期限 | 第六部分“萌伴生成所用图片及生成的图片”一行补充：生成记录的类型增加合照、座驾、合体；专属座驾记录车辆品牌、车型、颜色及外观特征的文字描述，合照记录人数，均在注销时一并删除。 |
| 第三方共享 | 第七部分“腾讯云（混元看图、生图）”“腾讯云（图片内容安全）”两行补充上述图片及用途。共享方未发生变化，仍不携带您的账号及设备信息。 |
| 建议与反馈的诊断信息 | 第二部分“建议与反馈”一行补充：野菜桌面被其他程序强行停止时，勾选「附带诊断信息」还将附带系统日志中停止前约 20 秒内该程序的记录及系统启动、停止应用的记录，用于排查桌面被停止、画中画全部重新打开的原因；应用名称均已遮盖，仅公签版、氢桌面版、方易通 7870 版及高通版。仍仅在您主动点击「发送」并勾选时上传。 |
| 未成年人 | 第十部分补充：合照中有不满 14 周岁儿童的，须事先取得其监护人的同意。 |
| 内置座驾 | 内置的四款座驾从更新服务器下载素材，与内置萌伴相同，不收集信息。 |
桌面 2.0.29 在选择壁纸、开机动画素材、萌伴照片、存档和字体文件时，新增「野菜自带」选择器，供系统文件管理无法使用的车机选择文件。
| 变更事项 | 说明 |
|---|---|
| 所有文件访问（仅普通版） | 第三部分新增一行：安卓 11 及以上的普通版，在您选用「野菜自带」选择器挑选存档、字体文件时，请您在系统设置中开启「所有文件访问」，用于按文件夹浏览本机和 U 盘；仅读取您点选的文件，内容不予上传。公签版、氢桌面版、方易通 7870 版及高通版以系统身份运行，无需另行开启。 |
| 存储 / 文件 | 第三部分“存储 / 文件”一行补充萌伴照片、字体文件，以及「野菜自带」选择器在本机列出可选文件（文件名称及缩略图不予上传）。收集的信息未因此发生变化。 |
桌面 2.0.28 的开机动画新增“自动适配”：尚未专门适配的机型，由野菜桌面读取本机开机动画的规格，服务器据此自动确定制作格式，并可先安装一段校准动画确认画面方向。
| 变更事项 | 说明 |
|---|---|
| 机型属性及开机动画规格 | 第二部分“机型属性”一行补充：系统开机动画文件的位置与格式、屏幕分辨率与方向、所用 root 工具的种类。原表述为“仅用于匹配，不予保存”，现修订为按系统版本保存一份不含账号信息的适配记录。 |
| 开机动画自动适配 | 第二部分“开机动画”一节新增“自动适配”一条，说明读取的内容、适配记录的内容及用途；“任务记录”补充安装后回报的开机显示结果（是否正常显示、校准动画的箭头朝向）。 |
| 保存期限 | 第六部分新增“开机动画适配记录”一行：长期保存，供同一系统版本的车机自动适配。 |
桌面 2.0.27 为排查“按键映射设置后按下无反应”的问题，诊断信息新增一项内容；同时，生成的萌伴组件上的「AI 生成」标注可在设置中关闭。
| 变更事项 | 说明 |
|---|---|
| 按键映射记录 | 第二部分“建议与反馈”一行补充：每条按键映射识别的按键、按键方式及执行的操作类型，以及最近 20 次按键的键码、是否匹配到映射及是否执行成功。该记录平时仅保存在该车机上，仅在您勾选「附带诊断信息」并发送时上传，不含应用名称及设备名称。 |
| 「AI 生成」标注 | 第七部分“腾讯云（混元看图、生图）”一行修订为“默认标注”：您可以在「设置 → 组件 → 萌伴」中关闭萌伴组件上的标注，相关责任见《用户协议》萌伴生成上传须知。收集的信息未因此发生变化。 |
本版仅调整全文的表述方式，改用正式书面语，并将第二部分中“我们明确不收集的信息”与各项功能的信息处理说明分开列示。收集的信息范围、使用目的、保存期限、对外共享及您的权利均未发生变化。
桌面 2.0.25 将“宠物”更名为“萌伴”，并新增二次元平面画风的“动漫”类型：用户可上传本人照片生成二次元形象，或上传原创角色设定图。为防止违法违规图片进入，上传的图片及生成的图片均须先经内容安全审核。
| 变更事项 | 说明 |
|---|---|
| “宠物照片”变更为“萌伴生成所用图片”，可能包含真人照片 | 第二部分、第六部分、第七部分相应修订：生成动漫萌伴时可上传您本人或他人的单人照片（人脸属于敏感个人信息，另需取得您的单独同意；上传他人照片须先取得本人同意，不满 14 周岁的须取得监护人同意），也可上传原创设定图。图片仍不予保存、仅使用一次；已有作品角色及明星名人不予生成。 |
| 新增共享方“腾讯云（图片内容安全）” | 第七部分新增一行：上传的图片及生成的图片均经野菜桌面服务器提交腾讯云审核，未通过的不予生成，不携带账号及设备信息。 |
| 新增“内容审核违规记录” | 第二部分、第六部分各新增一行：上传的图片被判定违规时记录时间及类别（不保存图片），用于依照上传须知停用生成功能及处理申诉，保存 180 天。 |
| 未成年人保护 | 第十部分补充：上传不满 14 周岁儿童的照片须事先取得监护人同意。 |
桌面 2.0.24 新增“用照片生成宠物”（会员功能）：用户选择一张自家宠物的照片，交由腾讯混元据此绘制为桌面卡通宠物；同时，为排查“说话后总是提示没听清”的问题，诊断信息新增一项内容。
| 变更事项 | 说明 |
|---|---|
| 新增“宠物照片”及共享方“腾讯云（混元看图、生图）” | 第二部分、第六部分、第七部分各新增一行：仅在您主动使用照片生成并同意相关说明后，照片（先在车机或手机上缩小并去除拍摄地点等信息）经野菜桌面服务器提交腾讯混元，识别是否为宠物、是否含有人脸后据此绘制。不携带账号及设备信息，照片不予保存，含有人脸的不予生成；生成的图片在车机取回后立即删除，未取回的 24 小时后删除；生成的宠物标注「AI 生成」。 |
| 语音记录 | 第二部分“建议与反馈”一行补充：最近几次语音交互的处理进度、送往识别的音频时长与音量、最近一分钟的收音音量、唤醒词为默认或自定义。仅在您勾选「附带诊断信息」并发送时上传，不含您说话的内容，不含唤醒词本身。 |
| 宠物所用车速仅在本机计算 | 第二部分精确定位说明补充：宠物的怒气（急加速、急刹车）及堵车陪伴功能使用本机计算的车速，不予上传。 |
桌面 2.0.22 新增“云端音色”：会员可在「语音」中选用腾讯云音色朗读回答，默认不使用；说“导航去……”时可直接选定地点并开始导航；同时，为排查两类问题，诊断信息新增两项内容。
| 变更事项 | 说明 |
|---|---|
| 新增共享方“腾讯云（语音合成）” | 第二部分“语音”一行及语音说明、第七部分新增一行：选用云端音色时，野菜桌面需要朗读的文字经野菜桌面服务器提交腾讯云合成语音。不携带账号及设备信息，不保存朗读文字及语音，仅按日记录合成的句数与字数。 |
| 新增共享方“腾讯位置服务” | 语音说明后新增“导航地点查询”一段、第七部分新增一行：需要导航且所用地图不是高德车机版或高德悬浮版时，目的地名称及精确至约 1 公里的位置经野菜桌面服务器发送至腾讯位置服务查询坐标。不携带账号及设备信息，不保存查询过的地点。 |
| 开机后的声音状态 | 第二部分“建议与反馈”一行补充：开机后前 10 分钟系统的媒体音量、是否静音、音频模式、正在播放声音和正在录音的数量，仅在发生变化时记录，用于排查“重启后数分钟无声音”的问题。仅在您勾选「附带诊断信息」并发送时上传，不含应用名称，平时仅保存在本机内存中。 |
| 崩溃前的窗口操作 | 第二部分“崩溃诊断信息”一行补充：崩溃前野菜桌面最近执行的十余项窗口操作（开启、关闭画中画所用的屏幕，将应用移回主屏，桌面暂停与恢复的时间），用于排查个别系统在窗口切换时发生的崩溃。不含应用名称。 |
桌面 2.0.10 新增“启动保护”：野菜桌面短时间内反复重启时，先暂停画中画并予以提示；桌面 2.0.11 需要查明普通版悬浮地图有时无法避让倒车影像、个别车机整机卡死的原因。为此，「建议与反馈」的诊断信息新增三项内容，仍仅在您勾选「附带诊断信息」并发送时上传。
| 变更事项 | 说明 |
|---|---|
| 桌面重启记录 | 第二部分“建议与反馈”一行补充：野菜桌面最近 20 次自行重新启动的时间和原因（如崩溃、被系统结束、屏幕尺寸变化、设置变更），以及画中画是否因反复重启而暂停。仅为野菜桌面自身的运行记录，不含位置、账号及您使用过的应用，平时仅保存在该车机上。 |
| 无障碍服务检测到的窗口 | 第二部分“建议与反馈”、第三部分“无障碍服务”两行补充：普通版开启野菜无障碍服务时，最近几次检测到的屏幕窗口所属类别（桌面、悬浮地图、系统界面、系统自带应用、用户自行安装的应用）、类型、层级、位置及是否遮挡地图区域，以及屏幕连接、断开、点亮、熄灭的时间。不含应用名称，不读取窗口内的文字，平时仅保存在本机内存中，重启后清除。 |
| 野菜桌面运行记录 | 第二部分“建议与反馈”一行补充：为排查整机卡死问题，野菜桌面定期记录自身是否正常运行，以及自身卡顿时所在的代码位置，保存在该车机上，重启后仍保留；您发送反馈并勾选「附带诊断信息」时，附带上次开机的相关记录及系统记录的开机原因。仅为野菜桌面自身的运行记录，不含位置、账号及您使用过的应用。 |
桌面 2.0.9 起，普通版可在倒车影像等画面遮挡悬浮地图时收起地图，该功能依赖您在系统设置中开启的野菜无障碍服务（按键映射亦使用该服务）。第三部分“设备权限”补充了无障碍服务一行，未新增上传内容。
| 变更事项 | 说明 |
|---|---|
| 无障碍服务 | 第三部分新增一行：按键映射用于截取硬件按键；普通版还在本机获取窗口的位置、层级及所属应用（不读取窗口内的文字），用于使悬浮地图避让倒车影像。不予保存，不予上传。 |
桌面 2.0.7 使「建议与反馈」的诊断信息能够反映导航未能发送至目标地图的原因。收集的信息仅新增以下一项，仍仅在您勾选「附带诊断信息」并发送时上传。
| 变更事项 | 说明 |
|---|---|
| 导航过程 | 第二部分“建议与反馈”一行补充：最近几次导航（点击常用目的地、说“导航去……”）所使用的地图类型（如高德车机版、百度车机版）、选用原因、发送方式及地图是否响应，用于排查导航无响应的原因；不含目的地地址及应用名称。该记录仅在野菜桌面运行时保存在车机内存中，重启野菜桌面后清空。 |
桌面 2.0.5 使「建议与反馈」的诊断信息能够反映两类问题：画中画窗口无法恢复时停留在哪一步，以及自动化任务无响应时是未触发还是未执行成功。收集的信息仅新增以下两项，仍仅在您勾选「附带诊断信息」并发送时上传。
| 变更事项 | 说明 |
|---|---|
| 画中画窗口的状态变化 | 第二部分“建议与反馈”一行补充：每个画中画窗口最近几次状态变化的时间（窗口内应用消失的时间、重新打开的次数、停留的步骤），用于排查窗口无法恢复的原因；不含应用名称。 |
| 自动化任务的触发记录 | 第二部分“建议与反馈”一行补充：使用自动化任务的，附带该设备开机及野菜桌面启动的时间、最近 20 次触发记录（触发类型、动作类型、时间、是否执行成功），用于排查任务无响应的原因；不含应用名称。该记录平时仅保存在车机上，「自动化任务」列表中每项任务显示上次触发情况。 |
桌面 2.0.4 对语音功能进行了优化：在线识别时附带提示词，野菜桌面播报时降低其他应用的音量；此外，画中画窗口无法打开时，反馈附带的诊断信息新增一段启动记录；新增测试版通道，附带的版本信息新增“更新通道”一项。
| 变更事项 | 说明 |
|---|---|
| 语音识别的提示词 | 第二部分“语音”一行及语音说明、第七部分“腾讯云（语音识别）”一行补充：本机无法识别、需提交腾讯云识别的语音，附带「常用目的地」中的地点名称（不含地址）及“野菜桌面”等产品词，以提高地名识别的准确性。仍仅在您点击麦克风或说出唤醒词之后发送，不予保存。 |
| 降低其他应用的音量 | 第三部分新增一行：野菜桌面播报或聆听您说话时，在本机判断哪些应用正在播放声音，并暂时降低音乐及导航音量；不予保存，不予上传。 |
| 建议与反馈的诊断信息 | 第二部分“建议与反馈”一行补充：画中画窗口未能打开（应用转至主屏、窗口持续黑屏）时，勾选「附带诊断信息」还将附带系统日志中该应用此次启动的记录，用于排查窗口无法打开的原因；应用名称均已遮盖。仍仅在您主动点击「发送」并勾选时上传。 |
| 更新通道 | 第二部分“设备名称、系统版本、应用版本”一行补充：桌面 2.0.4 起可在「关于桌面」中选择正式版或测试版，登录续期、发送反馈及崩溃诊断时附带该设备所用的更新通道，用于区分测试版的问题。 |
桌面 2.0.3 新增高通版（适用于纽曼、飞利浦、卡仕达车机）。收集的信息未发生变化。
| 变更事项 | 说明 |
|---|---|
| 高通版 | 新增的版本类型，与公签版同样具有系统身份，因此在第二部分“建议与反馈”的系统卡死记录及第三部分“读取系统日志”中一并列明。 |
桌面 2.0.1 的反馈诊断信息新增画中画窗口状态，按键映射及自动化任务新增使用两项本机能力，均仅在本机使用或在您主动发送反馈时上传。
| 变更事项 | 说明 |
|---|---|
| 建议与反馈的诊断信息 | 第二部分“建议与反馈”一行补充：开启画中画窗口时，勾选「附带诊断信息」还将附带每个窗口的画面尺寸、方向、最近几次在窗口内点按的位置，以及系统窗口记录中与这些窗口相关的部分，用于排查窗口未铺满、点按不准确等问题；应用名称均已遮盖。仍仅在您主动点击「发送」并勾选时上传。 |
| 使用情况访问（普通版，可选） | 第三部分新增一行：自动化任务的「某个应用打开时」触发条件需使用该权限，在本机判断前台应用，不予保存，不予上传。 |
| 读取系统日志（按键映射） | 第三部分新增一行：方向盘按键无法识别时，在本机系统日志中查找按键记录，仅识别与按键相关的日志行，不予保存，不予上传。 |
桌面 2.0 新增邀请好友功能（邀请码、返利、提现至支付宝），涉及新收集的信息；此外，崩溃诊断信息新增两项内容，普通版可借助 Shizuku 实现画中画，语音新增“连续对话”。
| 变更事项 | 说明 |
|---|---|
| 邀请与返利（新增） | 第二部分新增一行：邀请码、邀请关系及每笔返利。邀请人可查看被邀请人的打码手机号、填码日期、是否开通会员及返利金额，无法查看完整号码及其他资料。第四部分“交易处理”“维护活动公平”、第六部分各补充一处（被邀请人注销后，向邀请人发放的返利记录予以保留，但与被邀请人解除关联）。 |
| 提现信息（新增） | 第二部分新增一行：申请提现时填写的支付宝账号及真实姓名，仅用于转账及对账；第六部分明确其作为打款凭证依照会计要求保留；第七部分“支付宝”一行明确转账需使用账号及姓名。 |
| 崩溃诊断信息 | 新增安装包指纹（用于判断是否为被修改的安装包发生崩溃），以及少数与界面相关的崩溃中，野菜桌面自身界面的控件类型与层级、其他线程的堆栈；不含界面上的文字。 |
| Shizuku 授权（普通版，可选） | 第三部分新增一行：借助 Shizuku 实现画中画，首次连接时通过 Shizuku 一次性授予野菜桌面所需的几项权限；全部在本机进行。 |
| 连续对话 | 第二部分语音说明补充：开启（默认关闭）后，大模型回答完毕将继续聆听下一句，最长等待 8 秒，处理方式与点击麦克风相同，收集的信息未发生变化。 |
| 方易通 7870 版 | 新增的版本类型，与公签版同样具有系统身份，因此在“建议与反馈”的系统卡死记录中一并列明。 |
桌面 1.9.21 将设置中的“天气与歌词”更名为“组件”，本政策中涉及的两处菜单路径（在线歌词开关、清空歌词缓存）相应更新为「设置 → 组件 → 歌词」。收集的信息未发生变化。
语音问答（大模型）由测试账号扩大至全部会员：野菜桌面无法理解的语句交由腾讯混元大模型回答。由于新增了信息去向，收集范围、使用目的、保存期限及第三方共享各补充一处。本功能的生成式人工智能服务登记正在办理中，办理完成后将在本页面及野菜桌面「设置 → 高级功能 → 语音」中公示上线编号。
| 变更事项 | 说明 |
|---|---|
| 语音收集的内容 | 第二部分“语音”一行及语音说明：询问大模型时发送识别出的文字、最近 3 轮问答、时间、城市、天气及正在播放的歌曲；服务器不保存提问内容及回答。 |
| 新增共享方“腾讯云（混元大模型）” | 第七部分新增一行：不携带账号及设备信息，回答由人工智能生成，以「AI：」开头。 |
| 使用目的及保存期限 | 第四部分“提供服务”新增语音问答；第六部分“语音”一行明确问答内容不予保存，最近几轮问答仅保存在车机上，2 分钟后清空。 |
桌面 1.9.18：车机工具安装未成功时，可将已下载并完成校验的安装包保存至车机的「下载」文件夹，由您通过文件管理器自行安装。该操作仅在本机复制文件，收集的信息未发生变化。普通版自该版本起支持安卓 9，安卓 9 保存文件需使用“存储”权限，因此将该用途列入第三部分。
| 变更事项 | 说明 |
|---|---|
| 存储 / 文件的用途 | 第三部分“存储 / 文件”新增一项：车机工具无法安装时，将安装包保存至「下载」文件夹。 |
桌面 1.9.17 新增「在其他应用上也能唤醒」（默认关闭）：开启后，使用地图、音乐等应用时也可直接唤醒野菜桌面。收集的信息未发生变化（唤醒词仍仅在本机监听，不予存储，不予上传），但监听时段由“野菜桌面显示在屏幕上时”扩展至“其他应用覆盖野菜桌面时”，故予以明确。
| 变更事项 | 说明 |
|---|---|
| 语音唤醒的监听时段 | 第二部分语音说明及第三部分“麦克风”：开启「在其他应用上也能唤醒」时，其他应用覆盖野菜桌面时亦在本机监听唤醒词，通知栏持续显示“野菜在听唤醒词”，屏幕关闭或通话期间不进行监听；唤醒词可自行修改，不再固定为“你好野菜”。 |
桌面 1.9.15 新增语音功能（会员功能）：点击麦克风说出指令，即可让野菜桌面播放音乐、调节音量、发起导航、打开应用。这是野菜桌面首次使用麦克风，因此收集范围、设备权限及第三方共享各新增一处。此外，对后台查看完整手机号的做法作出明确说明。
| 变更事项 | 说明 |
|---|---|
| 新增收集“语音” | 第二部分表格新增一行；“我们明确不收集的信息”中删除“麦克风录音”，改为说明：仅录制您点击麦克风后所说的一句话，本机无法识别时方上传识别，音频及文字均不予保存。 |
| 设备权限新增“麦克风” | 第三部分新增一行。拒绝授权仅影响语音功能的使用。 |
| 新增共享方“腾讯云（语音识别）” | 第七部分新增一行：本机无法识别的语音经野菜桌面服务器转发至腾讯云识别，不携带账号及设备信息。 |
| 保存期限 | 第六部分新增一行：音频及文字不予保存；每日使用次数在注销时删除。 |
| 后台可查看完整手机号 | 此前表述为“无法主动使用手机号联系您”。实际上打码号已显示 7 位，掌握服务器密钥即可推算出其余 4 位。开篇重要提示第三条、第二部分、第四部分、第五部分、第八部分均修改为如实说明：管理员每次仅可查看一个账号，每次留存记录，号码不予保存，仅用于就订单、退款、账号问题与您联系。数据库中仍不存储号码原文。 |
桌面 1.9.11 新增“车速”组件，根据本机 GPS 计算车速及本程里程。收集范围未发生变化，本次对一直使用的精确定位作出明确说明。
| 变更事项 | 说明 |
|---|---|
| 设备权限新增“位置（精确）” | 第三部分新增一行：顶部信息栏的 GPS 精度、「卫星」及「车速」组件使用本机精确定位，仅在本机计算，不予上传。 |
| 车速组件在本机保存的数据 | 第二部分补充：车速组件仅在本机保存本程里程及本程最高速度，每次开机清零，不记录行驶轨迹。 |
桌面 1.9.10 的在线歌词新增三家接收方：QQ 音乐、酷我音乐、汽水音乐；使用网易云音乐、QQ 音乐、酷狗、酷我、汽水音乐的官方播放器时，将播放器提供的歌曲编号一并发送至对应曲库，以提高冷门歌曲的匹配准确性。发送的信息仍仅为歌名、歌手、时长及歌曲编号，不携带账号及设备信息，不经过野菜桌面服务器。
| 变更事项 | 说明 |
|---|---|
| 新增共享方“QQ 音乐”“酷我音乐”“汽水音乐” | 第七部分各新增一行。QQ 音乐仅在酷狗、网易云音乐均未查到时按歌名查询；酷我、汽水音乐仅在使用其官方播放器时按编号查询。 |
| 共享内容新增“歌曲编号” | 第二部分“在线歌词”说明修订：使用某一平台的官方播放器时，先将播放器提供的歌曲编号发送至该平台曲库直接获取歌词，未查到的再按歌名查询。关闭「在线歌词」后均不再发送。 |
桌面 1.9.9 的在线歌词新增一家查询来源：酷狗未收录的歌曲将向网易云音乐查询。发送的信息仍为歌名、歌手、时长三项，因新增一家接收方，故在此明确。
| 变更事项 | 说明 |
|---|---|
| 新增共享方“网易云音乐” | 第二部分“在线歌词”说明补充：酷狗未查到时，本机将歌名、歌手、时长直接发送至网易云音乐查询歌词，同样不携带账号及设备信息，不经过野菜桌面服务器。第七部分新增“网易云音乐”一行。关闭「在线歌词」后两家均不再发送。 |
部分用户遇到车机整机卡死后黑屏重启的情况，仅凭文字描述难以查明原因。桌面 1.9.7 起，反馈时附带的诊断信息新增系统卡死记录，以协助定位问题。
| 变更事项 | 说明 |
|---|---|
| 建议与反馈的诊断信息 | 第二部分“建议与反馈”一行补充：公签版及氢桌面版勾选「附带诊断信息」时，还包括最近 3 天系统卡死、重启时的技术记录（如重启原因、卡住时的程序与内存、CPU 占用），不含位置、账号密码及通知内容。仍仅在您主动点击「发送」并勾选时上传，勾选框处亦已注明该项内容；未勾选时不附带。普通版无法读取此类记录，不受影响。 |
| 支付宝付款流程描述更正 | 第七部分“支付宝”一行：付款二维码现直接指向支付宝付款页面，扫码后不再经过我们服务器的跳转页面，相应表述修改为“使用手机支付宝扫描付款二维码后，将直接打开支付宝付款页面”。提供给支付宝的信息（订单号、商品名称及金额）未发生变化。 |
会员及开机动画次数支持使用支付宝付款。
| 变更事项 | 说明 |
|---|---|
| 新增共享方“支付宝” | 第七部分新增一行：您选择使用支付宝付款时，订单号、商品名称及金额将提供给支付宝，用于收款及退款。支付信息由支付宝直接处理，我们不接触您的支付宝账号及支付凭证。不使用支付宝付款时不发生该项共享。 |
桌面 1.7.14 新增「自动发送崩溃报告」：桌面意外崩溃时，自动将崩溃的技术信息发送给我们，用于修复问题。这是本政策中少数非由您主动触发的上报，因此单独说明，且您可随时关闭。
| 变更事项 | 说明 |
|---|---|
| 崩溃诊断信息 | 第二部分新增一行：异常堆栈、机型、系统版本、桌面版本、内存占用（不含位置、账号密码及通知内容）；桌面崩溃后于下次启动时自动上报，默认开启，可在「关于 → 自动发送崩溃报告」中关闭。第四部分“产品改进”补充崩溃分析，第六部分补充保存期限。 |
桌面 1.7.13 在「关于」页面新增「建议与反馈」，本版对其收集的信息及使用方式作出说明。相关数据仅在您主动点击发送时产生，其余条款未作变更。
| 变更事项 | 说明 |
|---|---|
| 建议与反馈 | 第二部分新增一行：您填写的内容、选填的联系方式，以及勾选后附带的诊断信息（机型、系统版本、桌面版本、窗口后端等，不含位置、账号密码及通知内容）。第四部分补充“产品改进”，第六部分补充保存期限。 |
本次为补充说明：在线歌词与开机动画此前已上线，但上一版政策未载明其数据处理流程，且第二部分曾表述通知内容“不存储、不上传”，与在线歌词的实际处理方式不一致。本版据实补充，客户端行为未发生变化。
| 变更事项 | 说明 |
|---|---|
| 在线歌词 | 第二部分修订：通知内容不上传至野菜桌面服务器；开启在线歌词时，本机将歌名、歌手、时长直接发送至酷狗查询歌词，歌词缓存在本机。第七部分补充“酷狗音乐”。 |
| 开机动画 | 第二部分新增“开机动画”一节及两行（素材、机型属性）：上传的内容、存储位置、素材制作结束后即删除、成品保留 7 天。第六部分补充各自的保存期限，第七部分补充“百度智能云对象存储”。 |
| 权限与用途 | 第三部分补充“安装应用”（车机工具、自身更新，每次均由系统界面确认），“网络”“存储”两行补充在线歌词、开机动画的用途；第四部分补充“生成开机动画”。 |
本次修订仅缩减而未扩大处理范围：收集与共享的信息均有所减少，因此无需您重新授权。具体包括以下三项：
| 变更事项 | 说明 |
|---|---|
| 手机号不再以原文存储 | 改为仅存储结合服务器密钥计算的哈希值，另保存一个打码号供您辨认账号。此前版本保存号码原文。相应地，我们无法再主动使用手机号联系您，客服核验身份时需由您提供完整号码并由系统比对。 |
| 删除共享方“短信服务商” | 我们已整体移除短信验证码功能（注册及绑定手机号统一通过微信扫码授权），不再向短信服务商提供手机号。第七部分已删除该条目。 |
| 措辞更正 | 第二部分不再表述“用于联系售后”；第九部分“更正”一项据实修改为“更换绑定手机号请与我们联系”（客户端已无该入口）。 |
如您对本政策或个人信息处理有任何疑问、请求或投诉，可通过上述方式与我们联系。