隐私政策

适用于 Sorrel 各应用和本网站 · 最后更新于 2026 年 9 月 5 日

本译文仅为方便阅读而提供。具有法律效力的是英文版；如有不一致，以英文版为准。

本政策适用的范围

本政策适用于安卓版 Sorrel 应用（com.burnsoft.sorrel）、iPhone 版 Sorrel 应用、其部分功能所使用的位于 api.sorrelapp.io 的 Sorrel 服务器，以及本网站。“Sorrel”“我们”指 Sorrel 应用的开发者。

Sorrel 在你设备上保存什么

你在 Sorrel 里创建的一切，都会写入手机上应用的专属存储空间：

• 你导入、扫描、录入或编辑的菜谱——标题、食材、步骤、时长、标签、来源链接，以及读取时的原始文本
• 菜谱图片，以文件形式保存在你的设备上
• 你的厨房日志：这道菜你做过几次、什么时候做的、你的评分和备注
• 买菜清单、合集、餐单，以及你做出的货架位置修正
• 应用设置，例如你使用的单位、是否开启崩溃报告

除非你打开同步（见下文），这些数据不会上传到任何地方，我们也没有办法读取。Sorrel 只申请说得清用途的安卓权限：INTERNET、Google Play 结算，以及为了下厨计时器的显示通知、震动，和在你离开应用后让计时器继续走。它从不索取你的位置、通讯录、相机、麦克风、通话记录，也不索取其专属存储空间之外的文件。扫描菜谱卡片用的是 Google Play 服务提供的扫描界面（或你的图片选择器），由它把扫好的页面交给 Sorrel；Sorrel 本身并不持有相机权限。

什么会离开你的设备，以及在什么时候

通过网页链接导入菜谱

当你粘贴或分享一个链接时，你的手机会直接从托管该页面的网站抓取这个页面。那个网站会看到你的 IP 地址、你请求的页面，以及一个普通的移动浏览器 user-agent 字符串——和你在 Chrome 里打开这个链接完全一样——它拿这些做什么，由它自己的隐私政策决定。随后 Sorrel 在你的手机上从页面里读出菜谱，多数情况下到此为止：没有任何内容发送给我们。

有些页面把菜谱藏得让 Sorrel 无法自行读取。当一个页面看起来像菜谱、但 Sorrel 找不齐食材和步骤时，它会把该页的网址、标题和可见正文（绝不发送原始 HTML，且上限约为 1 万字符）发送到我们的服务器，由服务器请求一个由 Anthropic 运营的 AI 模型把菜谱提取出来。模型收到的是正文、标题，以及去掉查询字符串的页面网址。它不会收到任何能识别你身份的信息。我们的服务器会把读出的菜谱按页面网址归档保存最多 90 天，好让下一个导入同一页面的人立刻拿到结果。

从视频导入（Sorrel Pro）

当你分享一个抖音、Instagram 或 YouTube 链接时，你的手机只把链接发送到我们的服务器。服务器自己去那个平台取视频——平台看到的是我们服务器的地址，不是你的——然后一级一级往上试，直到得到一份菜谱：

• 它读取视频文案，以及文案里链接到的任何菜谱页面，并请 Anthropic 的模型把这些变成一份菜谱。
• 如果文案不够，它会提取音频，交给 Groq（一项基于 Whisper 的语音识别服务）转写；YouTube 若有自带字幕，则改用字幕。
• 如果文字仍然不够，它会从视频里取若干静帧，连同文案和转写一起发给 Anthropic 的模型，让它读出画面里的内容。

下载的视频、音频和静帧，在导入结束时立即删除，无论结果如何。服务器会把转写和成品菜谱按视频 id 归档保存最多 90 天（如果结果需要你复核，则为 24 小时），这样一条热门视频只会被读取一次。你的手机还会发送用于证明 Pro 订阅的 Google Play 购买令牌（见下文“Google Play”）。

扫描菜谱卡片（Sorrel Pro）

扫描在你的手机上开始，通常也在手机上结束。页面来自 Google Play 服务提供的扫描界面或你的图片选择器；文字识别使用内置模型在设备上运行；照片和识别出的文字与菜谱一起存放在 Sorrel 的专属存储空间里。如果这次识别不完整，Sorrel 会问你是否把扫描件——照片，或只是识别出的文字——发给我们的服务器，由服务器请 Anthropic 的模型来读。未经你同意不会发送任何内容，页面一读完就被丢弃，服务器只保留读出的成品菜谱，归档在扫描件的指纹之下而不是你的名下，最多保存 90 天。（如果同步已开启，识别出的文字会像其他菜谱文本一样随菜谱一同传输；照片不会。）

让 Sorrel 排一周餐单（Sorrel Pro）

免费的排餐功能在手机上离线填满一周。若你请 Sorrel 来安排这一周，手机会把菜谱库里的候选清单发给我们的服务器——菜名、标签、时长和你做过的次数，以 id 标识——由 Anthropic 的模型挑选并排序。服务器用这些 id 作答，然后忘掉这次请求：其中任何内容都不会被缓存或存储。

同步（Sorrel Pro）

在你于设置中打开之前，同步一直是关闭的。打开后，Sorrel 会在我们的服务器上为你创建一个账户：

• 默认情况下账户是匿名的。它是一个随机标识符，不附带姓名、邮箱或电话号码。要添加第二台手机，你需要输入一个六位字符的验证码，只能用一次，十分钟后失效。
• 如果你选择“使用 Google 登录”——在 iPhone 上则是“通过 Apple 登录”——以便日后找回账户，我们会保存提供方交给我们的账户 id，以及在其报告已验证时保存你的电子邮件地址。我们不会收到你的姓名、头像或通讯录。
• 对每台手机，我们会保存一个设备 id、设备型号名称（例如“Google Pixel 8”）、添加时间以及最近一次同步的时间。

同步会上传你的菜谱（包括厨房日志、备注、评分、标签以及读取时的原始文本）、合集、买菜条目、餐单和货架位置修正。图片留在拍摄它们的那台手机上，不会上传。你的手机会在你改动内容几秒后同步，在后台大约每六小时同步一次，以及在家庭组的买菜清单打开期间持续同步。

这些数据存放在我们运行于 Microsoft Azure 上的服务器中，位于一个只有我们的服务端软件才能访问的数据库里，通过加密连接传输。保存它们是为了能把它们送到你的其他手机和你的家庭组；我们不读取、不分析、不出售，也不用于任何其他用途。在账户之外，我们还保存用于证明你订阅状态的 Google Play 购买令牌，好让你所拥有的家庭组对其成员保持解锁。

设置里的“退出登录”会停止该手机的同步并忘记它的访问令牌；你的菜谱库留在手机上，服务器上的副本也会保留，供你的其他手机使用。若要删除账号本身，请用设置 → 你的数据 → 删除账号和已同步的数据：账号及其中保存的一切会立即删除，订阅过期也绝不会阻碍。详见删除你的 Sorrel 账号。

家庭共享（Sorrel Pro）

家庭组是一组共用一本菜谱和一份买菜清单的同步账户。创建家庭组需要 Pro；加入则不需要——创建者的订阅覆盖所有人。在一个家庭组里：

• 成员之间可以实时看到彼此的菜谱、合集和买菜条目。餐单和货架位置修正属于个人，从不共享。
• 成员可以看到家庭组里还有谁。每位成员若使用 Google 登录，则显示其 Google 邮箱地址，否则显示其手机型号名称。关于成员的其他信息一律不共享。
• 邀请是一个包含随机令牌的链接（https://www.sorrelapp.io/join/…）或二维码。它只能使用一次，一天后失效。其中不含任何关于你或该家庭组的信息。
• 退出家庭组或被移出后，已经在你手机上的内容全部保留，并重新归为你自己的。删除家庭组会终止所有共享；每位成员保留自己手机上的内容。

加载菜谱图片

导入菜谱的图片会从菜谱来源的网站或平台获取，然后缓存在你的设备上。

崩溃报告——只在你开启时

Sorrel 会在首次启动时问你一次，能否在崩溃时发送报告。默认答案是否；关掉这个提问同样视为拒绝。该设置位于 ⋮ → 设置 → 发送崩溃报告，关闭后会立即停止发送。

如果你开启，那么应用崩溃时会发送错误和调用栈、你的设备型号，以及安卓和 Sorrel 的版本号——而且只在崩溃发生的那一刻发送，绝不会在启动时或你使用应用期间发送。你的菜谱、图片和清单绝不会包含在内；Sorrel 明确关闭了崩溃报告组件中会附带截图、视图层级、你的 IP 地址或任何关于你或你设备的标识符的部分。报告由 Sentry 代我们处理，只用于一件事：找出并修复缺陷。

我们的服务器会保留哪些请求信息

你的手机向我们服务器发出的请求都带有一个随机安装令牌，它在 Sorrel 安装时生成一次，并非从你的设备或账户推导而来。有两个例外：退出登录和删除账号只发送账号的访问令牌，因为这两者是为了结束某件事，而不是为了使用服务。服务器从不保存安装令牌；它只保留一个简短的单向哈希，用来施加合理使用上限，并统计有多少次导入成功或失败。对每次导入，它会记录过程如何——平台、结果、耗时、我们的成本——保留 90 天，并且绝不记录网址、标题、文案或菜谱。使用次数统计保留七天。我们的托管服务商和 Web 服务器可能出于安全和可靠性的考虑保留标准的连接日志，其中包括 IP 地址。

Google Play 与 App Store

• Sorrel Pro 订阅由 Google Play 销售和收款。我们从不接触你的支付信息。为确认订阅处于有效状态，Sorrel 会把 Google Play 的购买令牌发送到我们的服务器，由服务器向 Google 核验。对于导入请求，该令牌只在核验期间存在于内存中；对于同步账户，它会如上文所述与账户一同保存。
• 在 iPhone 上，Sorrel Pro 由 Apple 的 App Store 销售和扣款，我们同样永远看不到你的付款信息。Sorrel 把 App Store 的交易 id 发给我们的服务器，由服务器向 Apple 确认订阅。
• 评分提示。Sorrel 可能偶尔通过 Google Play 内置的应用内评价流程请你打分，该流程由 Google 处理。
• 安卓备份。Sorrel 允许安卓的标准自动备份，这样你的菜谱、计划、购物清单和设置可以恢复到新手机上。该备份属于你，进入你自己的 Google 账号，而不是我们这里；你可以在设备的系统备份设置中关闭。Sorrel 有意让四样东西不进入备份——同步凭据、同步进度、Play 权益，以及该安装的合理使用令牌——这样备份永远不会把登录状态、订阅权益或某个安装的身份带到另一台手机上。

这些交互受 Google 隐私权政策和 Apple 隐私政策约束。

我们不收集什么

• 没有任何数据分析或遥测 SDK——没有任何东西在衡量你如何使用这个应用
• 没有广告、广告网络或广告标识符
• 不收集姓名、邮箱或电话号码，除非你为了同步而选择使用 Google 登录
• 不访问你的位置、通讯录、相机、麦克风、通话记录，也不访问 Sorrel 专属存储空间之外的文件

你导出的文件

Sorrel 可以导出菜谱并创建备份文件。它们只在你要求时写入，只写到你选择的位置，应用绝不会把它们传输到任何地方。一旦导出，这个文件就由你自己管理。

数据的保留与删除

• 随时可以在应用内删除任何菜谱、清单、餐单或备注。如果同步已开启，删除操作也会同步。
• 用安卓针对 Sorrel 的“清除存储空间”选项，或者直接卸载，即可清空手机上的全部内容。
• 我们的服务器在替你读取网页、视频或扫描件时缓存的一切，都会在 90 天内过期，而且并不与你绑定。
• 在设置 → 你的数据 → 删除账号和已同步的数据中删除同步账号及其中保存的一切。立即生效，也不需要有效的订阅。详见删除你的 Sorrel 账号。
• 若希望删除已发送的崩溃报告，请写信到下方地址。我们会尽快处理并回复确认。

儿童

Sorrel 并非面向 13 岁以下儿童，也不会有意收集任何人的个人信息，儿童亦包括在内。

关于本网站

本站是一组托管在 Vercel 上的静态页面。它不设置广告 Cookie，也没有登录功能。有两点值得点名说明：

• Vercel Web Analytics 以汇总形式记录页面的使用情况，好让我们知道页面是否正常。具体是：页面浏览量；下载按钮和行动号召按钮的点击；离开本站的链接以及支持邮箱地址的点击；你读到了页面的哪些区块；以及你把页面向下滚动了多远，精确到四分之一。你输入的任何文字、精确位置，以及任何能识别你个人身份的信息都不会被收集，这些数据也不会被拼合成画像。它不使用 Cookie，也不会跨其他网站跟踪你；Vercel 按照 Vercel 隐私政策中所述的方式处理这些数据。
• Google Fonts 从 Google 的服务器加载，这意味着页面加载时 Google 会收到你的 IP 地址。

家庭组邀请链接会打开本站的一个页面，由它把邀请交给 Sorrel 应用；页面本身不保存任何内容。

本政策的变更

当 Sorrel 新增会改变数据处理方式的功能时，本政策会在该功能发布前更新，上方的更新日期也会随之改变。重大变更也会写入应用的版本说明。本次修订新增了 iPhone 版 Sorrel 应用、扫描先征求同意再求助云端的机制、在服务器上排的餐单，以及下厨计时器的权限。

联系我们

关于本政策的疑问，或 Sorrel 隐私方面的其他问题，都可以发送到 sorrelapp@burnsforce.com。