sapplify Account 隐私政策

如果您将 sapplify Account 与应用配合使用

本政策在您所使用的每个 sapplify 应用的隐私政策之外另行适用。您应用的政策描述了该应用在您设备上执行的操作。本政策描述了我们如何处理您的 sapplify Account 发送至我们服务器的数据。两者同时适用。

1. 引言

sapplify Account 是一个适用于所有 sapplify 应用的单一身份。sapplify Sync 随您的账户免费提供。它在您开启之前处于关闭状态，并且您需要在每个应用中分别开启它，因此仅登录本身并不会将您的任何应用数据复制到我们的服务器。

本隐私政策说明您的 sapplify Account 持有哪些数据、谁代表我们处理这些数据、我们保留这些数据的期限，以及您对这些数据享有的权利。它并不能取代各应用自身的隐私政策：各应用的政策继续管辖该应用在您设备上本地执行的操作。

通过创建 sapplify Account，您确认您已阅读并理解本政策。

2. 数据控制者

负责处理您个人数据的数据控制者为：

Anthony Eli Rasch - sapplify
PO Box 004
91501 Nove Mesto nad Vahom
Slovakia
ICO: 56665032

一般咨询：contact@sapplify.com
隐私与数据保护：privacy@sapplify.com

数据保护官

sapplify 的运营规模不要求根据 GDPR 第37条指定数据保护官。如有任何数据保护相关咨询，请联系 privacy@sapplify.com。

3. 定义

• sapplify Account：您与我们创建、用于在各 sapplify 应用中登录的身份标识。
• sapplify Sync：您在每个应用中分别开启的免费、自愿加入的备份与跨设备同步服务。
• 子处理者：根据合同代表我们处理个人数据的第三方。
• 权限：我们关于您的账户可以访问哪些内容的记录。Sync 对所有账户均免费提供，不再受此记录限制。
• 个人数据：与已识别或可识别的自然人相关的任何信息。
• 敏感个人数据：个人数据的一个子集，根据 GDPR 第9条获得更强的保护，例如涉及健康的数据。
• 身份验证提供商：Apple、Google，或我们的电子邮件/密码登录方式（由 Supabase 提供）。
• Sync 数据：对于您已开启 Sync 的应用，您的账户在我们服务器上保存的该应用专属数据。
• Sync 同意：您为特定应用开启 Sync 的决定，该决定连同当时的时间及生效的本政策版本一并记录在我们的服务器上。

4. 您的 sapplify Account 收集的数据

您的 sapplify Account 在我们的服务器上保存九类数据。

身份与个人资料

• 电子邮件地址（始终必需）
• 显示名称（可选）
• 当您使用相应提供商时的身份验证提供商标识符（通过 Apple 登录的用户标识符、通过 Google 登录的主体 ID）
• 您创建账户时设备所设置的语言，与您的身份验证记录一并保存，仅用于选择确认邮件、密码重置邮件等账户邮件所使用的语言。通过 Apple 登录或 Google 登录创建的账户不携带此项，其账户邮件以英文发送。
• 账户创建及最后更新的时间戳

身份验证与会话数据

• 经哈希处理的密码（由 Supabase Auth 管理；我们从不接触明文）
• 颁发给您已登录设备的活跃会话令牌（JWT）
• 登录事件时间戳与 IP 地址，由 Supabase Auth 为安全调查目的临时保留

跨应用同步数据

如果您在登录状态下为某个应用开启了 sapplify Sync，该应用会将其数据上传至我们的服务器。每个 sapplify 应用均在其自身的隐私政策中描述其数据的确切结构：

• sWeight：体重记录与身体测量数据
• sCycle：周期事件
• sMoment：情绪、日记与呼吸记录
• sLists：清单与清单条目
• sTrain：训练课程与运动项目
• sBudget：预算条目
• sDiary：您的每日意图与反思、您在每一天中记录的时刻（文字、照片和语音备忘），以及，如果您邀请了受信任的读者与其共享内容，包括您用于邀请对方的电子邮件地址
• sDoku：谜题进度、游戏设置，以及您的解题记录（难度、用时、使用的提示与出现的错误）
• Palate：您记录的餐食及其标签，以及您事后的感受（精力、情绪、消化情况）

只有在您为某个应用开启了 Sync 的情况下，我们的服务器上才会保存该应用的数据。仅登录本身并不足够。您从未开启过 Sync 的应用，以及您从未登录过的应用，均不为您的账户保存任何数据。

Sync 同意记录

当您为某个应用开启或关闭 Sync 时，我们会记录该决定本身，以便在被要求时证明您的数据始终只在您同意的情况下才被同步。对于每个应用，我们保存：Sync 是否处于开启状态、您何时开启了它、当时生效的本政策版本、您是通过登录提示还是通过账户屏幕作出的选择，以及如果您关闭了 Sync，您何时关闭以及该应用服务器副本预定删除的日期。我们还保留这些变更的仅追加日志，其中包含发起请求的应用所发送的用户代理字符串。时间戳与政策版本由我们的服务器设定，而非采纳您设备提供的数值，因为由您自己的设备提供的数值不具备证据效力。

购买与权限记录

sapplify Sync 是免费的，绝不会向您收费。以下记录涉及您在各应用内进行的按应用付费的 Pro 购买。

• 与您账户关联的购买项目的权限状态
• 您购买时所使用的商店（Apple App Store、Google Play）及商店产品标识符
• Apple 与 Google 返回的收据验证元数据，用于确认购买的真实性
• 通过 Apple App Store Server Notifications 与 Google 实时开发者通知接收的购买生命周期事件

错误与崩溃报告

当 sapplify 应用遇到错误或崩溃时，它会向我们发送报告以便我们进行修复：应用及其版本、平台、设备标识符、会话标识符、错误的严重程度与类型、错误消息、堆栈跟踪，以及该应用当时正在执行的操作的技术背景。在您登录期间，您的账户标识符会附加在报告中。堆栈跟踪与背景信息可能偶然包含应用出错时正在处理的数据片段，这正是我们对这些部分保留时间最短的原因。

错误报告遵循与使用分析相同的30天规则：30天后，该报告将离开我们的实时数据库，我们为长期产品统计所保留的仅是分类信息，哪个应用、哪个版本、哪个平台、严重程度如何，以及错误类型。账户标识符、堆栈跟踪与技术背景信息会被剥离，不予保留。

使用分析

每个应用都会向我们位于爱尔兰的自有服务器报告其使用情况：应用及其版本、平台、随机生成的设备标识符、会话标识符，以及每个事件的名称及其附带的数值。在您登录期间，这些事件会附加您的账户标识符。我们不使用任何第三方分析 SDK，不会向任何广告网络发送任何内容，并且这些记录会在您删除账户时一并删除。

30天后，这些记录行会从实时数据库中移出，进入长期统计存档，账户标识符将被剥离，因此历史使用数据无法追溯到您的账户。

法律接受日志

• 您接受的是哪个 sapplify 法律文件的哪个版本
• 接受的时间戳
• 您据以接受的 sapplify 应用

该日志仅可追加，用于在被要求时证明您在注册或重新登录时接受了当时生效的政策。

AI 功能数据（视情况而定）

如果您在 sapplify 应用内使用 AI 功能，您的提示内容及 AI 的回复将由 Anthropic 代表我们处理（见子处理者一节），并存储在您的账户中，以便 AI 在后续问题中回忆上下文。截至本文撰写之时，尚无任何支持 sapplify Sync 的应用使用 AI 功能，但该数据结构已是共享账户数据库的一部分。

sapplify Account 不收集的内容

• 我们不收集您的真实姓名、邮寄地址或政府身份证明。
• 我们不收集您的付款卡信息。所有账单均由 Apple 或 Google 处理。
• 我们不收集设备位置信息。
• 我们不运营广告、广告网络，也不进行跨应用行为画像。
• 我们不会向广告商或数据经纪商出售或分享您的数据。

5. 处理的法律依据

根据《通用数据保护条例》（GDPR）及同等法律，我们基于以下法律依据处理您的个人数据：

合同（第6(1)(b)条）

为向您提供您所要求的 sapplify Account，我们需要处理您的账户身份、身份验证、个人资料及权限状态。没有此项处理，您的账户将无法运作。Sync 数据不基于此依据处理：见下文“同意”部分。

合法利益（第6(1)(f)条）

• 欺诈防范与滥用侦测
• 服务安全（入侵检测、密钥轮换）
• 调查错误与事件
• 保留短期安全日志
• 在应用提供此功能的情况下（如 sDiary 的受信任读者功能），向您提供的电子邮件地址发送共享邀请。我们仅将该地址用于发送邀请及运行您设置的共享，不作其他用途

您可以反对基于合法利益的处理。具体方法见第12节。

同意（第6(1)(a)条）

sapplify Sync 的运行基于您的同意，且该同意按应用分别给出。只有在您为某个应用开启 Sync 之后，该应用的数据才会被复制到我们的服务器。我们会记录该决定，连同当时的时间及生效的本政策版本，如第4节所述。在某个应用中开启 Sync 并不代表对任何其他应用作出了任何决定。

依赖您同意的其他处理活动包括：提供显示名称、选择加入可选通知，以及使用 AI 功能。

撤回同意（第7(3)条）

您可以随时撤回同意，撤回同意与给予同意同样简便。对于 Sync，在该应用的账户屏幕上将其关闭即可，与开启时使用的是同一个控件。撤回不影响您撤回之前所进行的任何处理的合法性。当您为某个应用关闭 Sync 后，该应用数据的服务器副本将在30天后被删除，您设备上的数据不受影响。见第8节。

特殊类别数据（第9(2)(a)条）

部分 sapplify 应用处理健康数据（例如 sWeight 的体重记录、sCycle 的周期事件、sMoment 的情绪记录）。在此类应用中开启 Sync，即构成您对该健康数据在我们服务器上被处理（用于备份并在您的设备间同步）的明确同意。仅登录并不构成该同意，并且您可以针对某一应用撤回该同意，而不影响任何其他应用。

法律义务（第6(1)(c)条）

在法律要求的情况下，我们可能会处理并保留数据，例如税务记录，或对当局合法请求的回应。

自动化决策与画像

我们不使用会对您产生法律效果，或根据 GDPR 第22条对您产生类似重大影响的自动化决策或画像。sapplify 应用中的 AI 功能仅提供信息性建议；它们不会采取行动、更改您的数据，或代表您作出决定。

6. 子处理者

以下子处理者根据书面合同代表我们处理您的 sapplify Account 数据。每一项均链接至该子处理者自身的隐私政策。

当我们新增或更改子处理者时，我们会通知您。重大变更（新增处理者、角色变更）会在您下次登录时触发重新接受流程。

7. 数据驻留与国际转移

您的主账户数据库，包括个人资料、权限与 Sync 数据，存储在Supabase 位于欧盟的区域（爱尔兰）。绝大部分数据静态存储于此。

另有两处存放数据，我们更倾向于明确列出，而非暗示只有单一地点：

• sapplify Account 网页门户由 Vercel 托管。其服务器端渲染运行在欧盟（都柏林），与数据库位于同一区域，因此显示您账户数据的页面均在欧盟境内组装完成。请求通过 Vercel 的全球边缘网络到达该门户，Vercel 会保留包含 IP 地址在内的短期运维日志。
• 超过30天的使用分析记录会被转移至离线统计存档，该存档保存在位于斯洛伐克的公司设备上，写入前账户标识符已被剥离（见第4节）。

部分子处理者在全球范围内运营。当数据离开欧盟以到达这些处理者时，我们依赖欧盟委员会批准的标准合同条款（SCC）作为传输的法律依据。

• Apple 与 Google在全球范围内处理身份验证与计费；此项传输是履行您与各商店所订立合同的必要条件。
• Resend总部位于美国；相关传输适用标准合同条款。
• Anthropic（仅当您使用 AI 功能时）位于美国；相关传输适用 Anthropic 数据处理附录中的标准合同条款。

8. 数据保留

我们保留您数据的期限取决于您账户所发生的情况。

9. 安全

我们高度重视安全，但任何在线服务都无法做到零风险。以下说明我们所采取的措施，以及其局限所在。

我们所做的

• 您的设备与我们服务器之间的所有网络流量均使用 TLS 1.2 或更高版本。
• 静态数据通过 Supabase 管理的 AES-256 加密。
• 我们数据库中的行级安全策略隔离每位用户的数据，使一位用户无法读取另一位用户的数据行。
• 服务角色数据库密钥仅保存在服务器端环境变量中，绝不打包进 sapplify 应用。
• 所有登录事件、购买事件、Sync 同意变更及账户删除事件均会被记录，用于安全调查。

我们不作出的声明

您可以采取的措施

• 选择强度高且独一无二的密码。
• 使用 PIN 码、密码或生物识别验证锁定您的设备。
• 如果设备遗失，请在您的 Apple 或 Google 账户中撤销 sapplify 的 OAuth 授权。
• 从您不再使用的设备上登出。

10. 数据泄露通知

如果安全事件导致我们所持有的关于您的个人数据泄露，本节说明我们将如何应对。

可能受影响的内容

由于您账户数据的主副本存储在我们位于 Supabase 欧盟区域的服务器上，服务器端事件原则上可能会泄露：

• 您的电子邮件地址、个人资料字段及身份验证提供商标识符；
• 对于您已开启 Sync 的 sapplify 应用，您的同步数据内容；
• 您的购买与权限记录；
• 您的 Sync 同意记录。

以下内容不会存储在我们的服务器上，因此不会因我们一方发生的泄露事件而暴露：

• 您的密码（Supabase Auth 仅保存哈希值）；
• 您的付款卡信息（由 Apple 或 Google 保存）；
• Sync 未激活的设备上的纯本地数据。

通知流程

如果我们知悉在我们的服务器上或某个子处理者处发生了个人数据泄露：

• 我们将在知悉后的72小时内通知斯洛伐克个人数据保护局，如 GDPR 第33条所要求，除非该泄露不太可能对您的权利造成风险。
• 如果该泄露可能对您的权利与自由造成高风险，我们将在不无故拖延的情况下直接通知您，如 GDPR 第34条所要求。通知将发送至您 sapplify Account 上登记的电子邮件地址。

该通知将以通俗语言告知您：发生了什么、哪些数据受到影响、可能造成的后果、我们已采取的应对措施，以及您可以采取哪些措施来保护自己。

您可以采取的措施

• 如果您使用电子邮件/密码方式登录，请更改您的 sapplify Account 密码。
• 从所有设备登出后重新登录，以使会话令牌失效。
• 如果您感到担忧，可以删除您的 sapplify Account（见第13节）。

迄今为止，我们尚未发生过影响 sapplify Account 用户的个人数据泄露事件。

11. 分享与披露

我们不出售您的数据

• 我们不会向任何人出售您的数据。
• 我们不会与广告商、营销方、数据经纪商或社交媒体平台分享您的数据。
• 我们不会使用您的数据训练跨客户的 AI 模型。
• 我们不会通过您的 sapplify Account 发送营销或推广邮件。我们发送的唯一邮件是事务性邮件（注册确认、密码重置、账单通知）。

究竟谁能看到您的数据

只有第6节所列的子处理者，并且仅限于该节所述的角色范围。没有任何其他第三方可以访问您的账户数据。

由您自行发起的分享

部分 sapplify 应用允许您将自己的内容分享给您选定的人。sDiary 的受信任读者功能是当前的示例：您输入某人的电子邮件地址，我们向其发送邀请，若对方接受，即可阅读您选择分享的条目。

当您这样做时，即表示您要求我们处理该人的电子邮件地址。我们仅将其用于发送邀请及运行您设置的共享，不作其他用途。我们不会将其加入任何邮件列表。您可以随时在应用内撤销共享，邀请函本身会告知接收者是谁邀请了他们，以及如何联系我们。请仅与应当看到相关内容的人分享内容：一旦某人能够阅读某条目，我们便无法为其撤销该次阅读。

法律与执法请求

如果符合斯洛伐克或欧盟法律标准的有效法院命令、法规或执法请求提出要求，我们可能会披露数据。在获准的情况下，我们会通知您。截至本政策发布之日，我们尚未收到过此类请求。

12. 您的权利

您对您的账户数据享有全面的权利。具体清单取决于您所居住的地点。

GDPR 权利（欧盟与欧洲经济区）

• 访问权（第15条）：要求我们告知我们持有哪些与您相关的个人数据。
• 更正权（第16条）：要求更正不准确的数据。
• 删除权（第17条）：要求删除您的数据。最快的方式是在任意 sapplify 应用内删除您的 sapplify Account。
• 限制权（第18条）：在争议解决期间限制我们处理您数据的方式。
• 数据可携权（第20条）：以机器可读格式获取您的数据。见下方说明。
• 反对权（第21条）：反对基于合法利益的处理。
• 撤回同意权（第7条）：对于依赖同意的处理，随时撤回同意。
• 投诉权：向斯洛伐克个人数据保护局（见第17节）或您当地的监管机构投诉。

英国 GDPR 权利（英国）

英国用户依据英国 GDPR 享有与欧盟用户相同的权利。投诉可提交至信息专员办公室，网址为 ico.org.uk。

CCPA 与 CPRA 权利（加利福尼亚州）

• 了解我们收集哪些个人信息及其使用方式的权利。
• 删除您个人信息的权利。
• 更正不准确信息的权利。
• 选择退出出售或分享的权利。（我们不会为跨情境行为广告目的出售或分享数据。）
• 因行使权利而不受歧视的权利。
• 限制敏感个人信息使用的权利。我们的本地优先架构以及不存在二次用途，本身即已满足我们所持有数据在这方面的要求。

LGPD 权利（巴西）

巴西用户享有与 GDPR 相当的权利，包括确认权、访问权、更正权、匿名化权、删除权、数据可携权，以及有关数据分享情况的知情权。请通过 privacy@sapplify.com 与我们联系以行使这些权利。

如何行使您的权利

如需行使访问权、更正权、限制权、反对权或任何其他权利，请发送电子邮件至 privacy@sapplify.com。我们将在一个月内回复，如 GDPR 第12(3)条所要求。如果请求较为复杂，或您已提出多项请求，我们可能将期限再延长至多两个月，并会在第一个月内告知您延期及其原因。我们力求在此期限内提前作出回复。

13. 删除您的 sapplify Account

您可以在任意 sapplify 应用内删除您的 sapplify Account（设置 > 账户 > 删除账户）。确认后，我们会立即进行硬删除：

• 您在我们身份验证系统中的账户记录，
• 您的个人资料（显示名称、语言偏好），
• 与您账户关联的、每个您已开启 Sync 的应用架构中的全部数据（sWeight、sCycle、sMoment、sLists、sTrain、sBudget、sDiary、sDoku、Palate），
• 您的权限记录及购买事件历史，
• 您的 Sync 同意记录及其历史，
• 您的法律接受日志。

我们数据库的加密备份将在删除后7天内失效。7天后，我们的系统中将不再保留您数据的任何副本。

账户删除是即时的，不受适用于单个应用关闭 Sync 时的30天窗口期（第8节）影响。删除您的账户会立即移除该应用的服务器数据，无论此前是否已安排删除。

另请参阅我们的公开账户删除指南，获取分步说明。

14. 儿童隐私

在对处理个人数据或健康数据适用更高最低年龄要求的司法辖区，以该更高年龄为准。

如果您是家长或监护人，并认为未满16岁的儿童创建了 sapplify Account，请通过 privacy@sapplify.com 与我们联系，我们将删除该账户。

15. Cookie 与网络追踪

您可以在两个位置使用您的 sapplify Account，二者的行为方式不同。

在 sapplify 应用内。登录在应用自身内完成。您的设备上不会设置任何 Cookie；会话保存在应用自身的安全存储中。

在账户网页门户（account.sapplify.com）中。在该处登录会设置严格必要 Cookie，用于保存您的会话，使您在页面间保持登录状态。这些 Cookie 由我们设置，不用于对您进行画像，门户中也没有任何广告、分析或跨站追踪 Cookie。登出或删除账户会清除会话；您也可以随时在浏览器中清除这些 Cookie，这会使您登出。

sapplify 营销网站（sapplify.com）拥有其自身的隐私政策，涵盖该网站自身的 Cookie 与分析。

全球隐私控制

由于 sapplify Account 流程不会放置追踪 Cookie，也不会为跨情境行为广告目的分享数据，全球隐私控制（GPC）或“请勿追踪”信号并无可供退出的内容。我们默认遵从这些信号。

16. 本政策的变更

当我们的做法发生变化、我们新增或移除子处理者，或法律有此要求时，我们可能会更新本隐私政策。

重大变更

重大变更（新增子处理者、数据流变化、保留期限变化）将更新政策版本号。您下次登录任意 sapplify 应用时，系统会要求您在继续之前阅读并重新接受更新后的政策。您的接受情况将被记录在服务器端。

非重大变更

拼写错误修正、联系信息变更及格式调整将悄然发布，并在本页顶部更新“最后更新”日期。

版本历史

每个版本均标注日期。如需获取早期版本，可通过 privacy@sapplify.com 提出请求。

17. 准据法与监管机构

本隐私政策受斯洛伐克共和国法律管辖，不适用法律冲突原则。

牵头监管机构

我们的总部位于斯洛伐克。我们的牵头数据保护监管机构为：

Urad na ochranu osobnych udajov Slovenskej republiky
（斯洛伐克共和国个人数据保护局）
Hranicna 12
820 07 Bratislava 27
Slovak Republic
网站：dataprotection.gov.sk
电子邮件：statny.dozor@pdp.gov.sk

欧盟与欧洲经济区用户也可以向当地监管机构提出投诉。

18. 联系我们

如对本隐私政策有任何疑问，或希望行使第12节所述的任何权利：

隐私与数据保护：privacy@sapplify.com
一般咨询：contact@sapplify.com

邮寄地址：
Anthony Eli Rasch - sapplify
PO Box 004
91501 Nove Mesto nad Vahom
Slovakia

对于与您的 sapplify Account 相关的数据主体权利请求，请在您的消息中注明该账户上的电子邮件地址，以便我们核实您的身份。我们将在30天内回复。