隐私政策

1. 谁负责

本政策所述个人数据的控制者是发布和销售 Kidventures 的公司。其名称、地址和注册信息见我们的使用条款第 1 节。

任何隐私问题请联系：hello@kidventures.app。

2. 本政策适用于谁

本政策适用于创建或加入家庭空间的大人（家长、另一位家长和看护人）、他们添加了档案的孩子，以及我们网站的访客。

下文所列的法律依据，是欧盟和英国《通用数据保护条例》（GDPR，第 6 条）规定的依据。如果你适用其他法律，我们将依据该法律，为相同目的处理相同的数据。

3. 我们收集什么、为什么、保存多久

• 网站访问：IP 地址、浏览器类型、请求的页面和时间，由我们的托管服务商处理，用于提供页面和保护网站。法律依据：运营安全网站的正当利益。仅在托管服务需要的期间内保存。
• 访问统计（我们自己的，不使用 Cookie）：当你打开公开页面时，我们记录页面、页面语言、你来自的网站、链接中的推广标签、国家或地区（根据你的 IP 地址推断，我们不保存 IP 地址）、设备类型（手机、平板或电脑）以及一个访客代码。页面保持打开时，还会每 30 秒发送一个简短信号，让我们知道某一时刻有多少人在网站上。这个代码是你的 IP 地址和浏览器的单向哈希值，用每天更换且从不保存的密钥计算：它让我们能统计每天的独立访客，但无法在不同日期认出你，也无法还原你的 IP 地址。你的浏览器中不保存任何内容。在成人空间中，我们用同样的方式统计打开的屏幕类型，以及用同一个当日密钥计算的家庭代码：这样可以统计每天的活跃家庭，却无法在不同日期认出同一个家庭。发送 Do Not Track 或 Global Privacy Control 信号的浏览器、机器人以及孩子页面都不计入统计。法律依据：了解哪些页面对家庭有帮助的正当利益。页面浏览记录和信号在 90 天后删除；之后我们只保留按页面、语言、国家或地区、来源和设备类型汇总的每日总数，其中不含任何访客代码或家庭代码。
• 孩子页面的朗读统计（我们自己的统计，匿名）：孩子点“听一听”时，孩子页面会告诉我们的服务器，Noki 的录音或设备的声音已开始播放、已播放完毕或播放失败。我们记录读的是家务库里的哪个任务（如果是你自己写的任务，只记录这是自己的任务，从不记录文字；如果是 Noki 的短句，记录是哪一句）、语言、使用的声音、播放时长、失败原因（如有）、日期和小时，以及是在网站上还是在 iPhone 和 iPad 应用中播放。家庭会变成一个用每天更换的密钥计算的代码，因此我们无法在不同日期认出同一个家庭。我们不保存孩子的 ID、名字、出生日期、IP 地址或浏览器信息，也不会把这项统计交给任何第三方。发送 Do Not Track 或 Global Privacy Control 信号的浏览器不计入统计。目的：改进朗读功能并修复错误，例如录音无法加载。法律依据：让朗读功能为孩子顺利运作的正当利益。按小时的统计在 90 天后删除；之后我们只保留每日总数，其中不含任何家庭代码。
• 大人账户：邮箱地址、你选择的名字、你的语言、登录验证码和会话。如果你使用 Google 登录，我们会从 Google 收到你的名字和邮箱。法律依据：合同。在你的账户存在期间保存。
• 家庭和孩子：每个孩子的名字或小名、出生年份（只有你添加时才包括出生月份和日期；之前添加的孩子可能只有年龄段）、你从我们的图库中选择的头像，以及孩子的任务、完成记录、星星、奖励和目标。还包括你创建的家务和奖励，以及你的家长密码（只以安全哈希值的形式保存）。你以孩子的家长或看护人身份填写这些数据。法律依据：与你订立的合同，用于提供你所要求的服务。在你的家庭空间存在期间保存，之后删除。
• 设置时的回答：家里最需要什么帮助，以及一段选填的简短文字。我们请你不要填写健康信息。法律依据：合同。在你的家庭空间存在期间保存。
• 产品事件：大人的操作，例如注册、设置步骤、第一次分配家务、第一次确认和再次访问，保存时不包含孩子的名字，用于了解家庭在哪里遇到困难。法律依据：改进 Kidventures 的正当利益。最多保存 24 个月。
• 产品分析和会话录制（PostHog）：在我们的网站、登录页面、设置流程和成人空间中，我们使用 PostHog 了解 Kidventures 的使用方式以及家庭在哪里遇到困难。它记录打开的页面和屏幕、点击、滚动、错误和加载时间，以及会话录像；录像可能包含屏幕上显示的内容和你输入的内容，例如孩子、大人和家庭的名字、家务和奖励。密码、登录验证码、家长密码和邀请链接从不录制，页面地址发送时不带查询参数。大人登录后，这些数据会与账户关联：账户 ID、邮箱、家庭名称、语言、套餐、孩子和大人的数量、家庭开始使用的日期，以及使用的是网站还是 iPhone 和 iPad 应用。我们的服务器还会报告一些操作，例如添加家务、勾选任务或确认奖励，不包含任何自由文本。PostHog 从不在孩子页面、共用设备的选人页面、我们的管理后台或邀请页面上运行。法律依据：了解和改进 Kidventures 的正当利益。你可以随时写信到 hello@kidventures.app 提出反对，我们随即删除你的 PostHog 数据。事件最多保存 1 年，会话录像按我们 PostHog 套餐允许的期限保存，目前为 30 天。
• 安全记录：敏感操作，例如更改密码、发送邀请和删除，用于保护账户安全。法律依据：安全方面的正当利益。最多保存 12 个月。
• 联系消息：你的名字、邮箱、主题和消息内容。法律依据：回复你的正当利益。在最后一次往来后保存 3 年，除非法律索赔需要更长时间。
• 付款（Kidventures Plus 开始销售后）：来自我们的支付服务商 Stripe 的你的邮箱、国家、套餐、金额、税费、发票和交易编号及状态。我们从不会看到你完整的银行卡号。法律依据：合同和法律义务。会计记录按税法要求的期限保存（在阿拉伯联合酋长国为 7 年）。
• 服务邮件：登录验证码、邀请、收据，以及关于本条款或价格变更的通知。法律依据：合同和法律义务。
• 提醒和通知：你的通知选择（每日提醒的时间、确认邮件和每周回顾）以及最近几次提醒的发送日期。每日提醒只在还有任务没完成或在等你确认的日子发送，家里连续 7 天没有动静就会暂停。如果你在某台设备上开启通知，我们会保存这台设备提供给我们、用来联系它的信息：在 iPhone 和 iPad 应用里是它的 Apple 通知令牌；在浏览器里是浏览器推送服务的地址和加密密钥。法律依据：合同。保存到你在那台设备上关闭通知或退出登录，或推送服务告诉我们该地址已失效为止。如果你创建了账户但没有创建家庭空间，我们最多发送 2 次提醒帮你完成设置，每次都附有停止链接；法律依据：帮助你开始使用的正当利益。每封提醒邮件都有一个链接，点 1 下就能停止。
• 入门小贴士：你创建家庭空间后，每位家长会在最初几天收到一组共 5 封的简短小贴士邮件，每天早上 1 封。我们会保存你看到第几封以及最后一封的发送日期。法律依据：帮助你开始使用的正当利益。这组邮件发完会自动结束，家里连续 7 天没有动静也会停止；你随时可以点每封邮件里的“不再接收小贴士”链接，或在“家庭”的“设置”里关闭。
• 创始家庭：如果你的家庭持有创始家庭名额，我们会保存名额编号、状态、获得名额、发出通知或名额结束的日期，以及结束原因。我们利用你的家庭已经记录的活动（任务、星星、奖励、设置步骤）来判断名额是否仍在使用，并在名额可能被释放之前发邮件通知家庭所有者。法律依据：合同。在你的家庭空间存在期间保存。
• 邮件打开和点击：我们的服务邮件里有一张极小的隐形图片，以及经过 www.kidventures.app 的链接，这样我们就能知道邮件是否送达、是否被打开、点了我们的哪个链接（第一次打开和第一次点击的时间、次数、哪个链接，以及打开是否来自 Apple 邮件的隐私代理）。这些由我们自己统计：不会交给任何第三方，我们的邮件服务商自带的打开和点击追踪是关闭的。登录链接和退订链接从不追踪。法律依据：了解我们的邮件是否送达、是否有用的正当利益。与我们发送的每封邮件的记录一起保存（模板、语言、投递状态和你邮箱地址的单向编码；地址本身从不保存在那里）。在邮件应用里关闭图片即可停止打开统计。
• 统计分析（仅在你接受时）：我们的公开页面使用 Google Analytics 4，只在你接受后才加载，从不在应用内或孩子页面上使用。在此之前不运行任何 Google 脚本，也不向 Google 发送任何内容。发送的页面地址不含任何编号。法律依据：同意，你可以随时撤回；撤回后我们会删除 Google Analytics 的 Cookie。Google Analytics 保存数据 14 个月。

我们不会做出任何对你产生法律或类似影响的自动化决策，也不会为营销目的建立关于你或你孩子的画像。

4. 儿童隐私

Kidventures 由孩子使用，但由大人管理。孩子没有账户、没有邮箱，也没有密码。每个孩子都由大人添加，孩子看到的一切都由大人控制。

我们只收集大人为孩子填写的内容，以及孩子在应用里的操作（完成的任务、星星、奖励申请）。我们会询问出生年份，出生月份和日期可以不填。照片是可选的，只能由家长添加（见“孩子的照片”）。我们不要学校或住址。

孩子页面不显示广告、聊天、购买内容，也没有通往其他网站的链接。它们不加载统计分析工具、第三方脚本或 AI，也从不被录制。它们唯一报告的使用情况，是“我们收集什么”一节中说明的匿名朗读统计：孩子点“听一听”时，读的是家务库里的哪个任务，不包含孩子的名字，也不包含你自己写的任务的文字。

交给孩子的设备会用一个短时效的孩子通行证打开（最长 12 小时），它只能进入这个孩子的任务、商店和奖励申请。进入家长空间需要家长密码或重新登录。

我们从不把孩子的数据用于广告，从不出售，也从不用它建立营销画像。

大人账户仅供成年人使用。如果我们得知有孩子创建了大人账户，我们会将其删除。

家长或法定监护人可以随时用家庭账户的邮箱写信到 hello@kidventures.app，查看、更正、导出或删除孩子的数据。已到能够自行行使权利年龄的孩子，也可以直接写信给我们。在提供或删除孩子的数据之前，我们会考虑孩子的权利和利益。

5. 给大人的 AI 推荐

有些功能会向大人推荐家务、奖励或第一周的安排。为此，我们只向 AI 服务商 Anthropic 发送必要的内容：被描述为“孩子 A，6 到 8 岁”的孩子、你选择的重点，以及我们家务库中的条目。

我们从不发送孩子的名字、出生日期或包含健康信息的自由文字。Anthropic 作为我们的处理者处理请求并返回推荐，根据其商业条款，不会用这些内容训练模型。

如果我们更换 AI 服务商，会先更新本政策。

6. 助手 Noki

Noki 在我们的网站和成人空间里回答问题。在成人空间里，它还可以替你做修改，比如添加任务、奖励星星或设置奖励，并经过与页面相同的检查。孩子页面没有 Noki。

我们发送给 AI 服务商的内容：你输入的消息、同一对话中之前的消息（最多 12 条）、语言和当前页面；在成人空间里，还有一份简短的家庭摘要：每个孩子以代码（K1、K2...）和年龄表示，今天的任务和星星，以及 Noki 为回答你而查询的任务、奖励和请求。任何内容离开我们的服务器之前，我们都会把孩子的名字替换成这些代码，并删除邮箱地址；Noki 的回答在你的屏幕上会恢复名字。我们从不发送邀请链接、登录信息或支付信息。请不要在对话中输入健康信息或其他敏感信息。

Anthropic, PBC 作为我们的处理者处理这些请求，用于撰写 Noki 的回答。根据其商业条款，Anthropic 不会用这些请求训练模型。Anthropic 会在有限的时间内（最多 30 天）保留请求以检测滥用，然后删除。

我们保存的内容：对话只保存在你的浏览器标签页中，关闭标签页或点“新对话”后就会消失。在我们的服务器上，我们会将 Noki 提议或执行的修改保存 30 天（哪个操作、它的设置以及你是否确认），以便“确认”和“撤销”正常使用，并让我们排查错误；还会保存每个家庭每天的消息数量、使用的工具和费用，不含任何文字。

凡是会变动星星、删除内容或邀请他人的修改，都要等你点“确认”。每个家庭每天能发送的消息数量有限。法律依据：履行我们与你之间的合同（Noki 是服务的一部分），以及我们防止滥用的正当利益。

7. 孩子的照片

照片是可选的。家庭中的家长可以添加孩子的照片（每个孩子最多 5 张），并把它们变成我们准备好的某种风格的卡通图片，比如超级英雄或宇航员（每个孩子最多 30 张图片）。照片或图片可以设为孩子在应用里的头像。只有家里的大人和孩子本人能看到它们，而且只能在应用内看到。

你添加照片时，我们的服务器会删除位置、相机信息和其他所有元数据，并在欧盟（Supabase，巴黎）的私密存储中保存一份较小的副本（最大 1024 像素）。每张照片都通过一个链接显示，该链接有效期为 5 分钟，且只对家庭成员有效。照片从不出现在邮件、通知、我们的统计分析或会话录制中，助手 Noki 也从不会看到照片。

你请求生成图片时，我们会把那张照片和所选风格发送给我们的图像合作伙伴 Scenario, Inc.（作为我们的处理者），不附带任何名字或其他家庭信息。Scenario 让其次级处理者 OpenAI 的图像模型绘制图片，再把图片发回给我们；任务一结束，我们就会删除 Scenario 那里的照片和图片。OpenAI 不会用这些请求训练模型，并可能将其保留最多 30 天以检测滥用。我们从不使用照片训练模型，从不与其他任何人分享照片，也从不将照片用于广告。

我们会保存照片和图片，直到家长删除它们（每张都有“删除”按钮，立即生效）或家庭被删除。已发送但从未完成处理的照片会在 2 小时内删除。对于每次图片请求，我们会保存日期、风格、费用以及是否成功，不保存任何图像，用于执行每月上限和监控费用。

法律依据：你的同意，由家长或监护人在添加第一张照片前勾选方框给出，并在生成第一张图片前再次给出。你可以随时通过删除照片撤回同意。“家庭”的“设置”中的数据导出会列出已保存的照片和图片。

8. 谁在帮助我们

我们使用以下服务商。它们只按照我们的指示处理数据。

• Supabase, Inc.：数据库和登录，包括访问统计和朗读统计。数据保存在欧盟（巴黎区域）。
• Vercel Inc.：网站和应用的托管。应用服务器位于巴黎区域，并通过全球网络分发页面。
• Resend, Inc.：发送登录验证码和服务邮件。
• 设备厂商和浏览器的推送服务（iPhone、iPad 和 Safari 用 Apple，Chrome 和 Android 用 Google，Firefox 用 Mozilla，Edge 用 Microsoft）：它们负责送达你开启的通知。浏览器通知经过加密，推送服务无法读取内容。
• Anthropic, PBC：如上所述，为大人提供 AI 推荐和助手 Noki。
• Scenario, Inc.：根据家长的请求，用孩子的照片绘制卡通图片，并使用其次级处理者 OpenAI 的图像模型，详见“孩子的照片”。图片生成后，每张照片都会在那里被删除。
• Gandi SAS：域名，以及接收发往 hello@kidventures.app 的邮件的邮箱。
• PostHog, Inc.：网站、登录、设置流程和成人空间的产品分析和会话录制，详见上文。数据存储在欧盟（法兰克福）。
• Google LLC：仅在你选择 Google 登录时使用；Google Analytics 仅在你接受时使用。
• Stripe：付款（Kidventures Plus 开始销售后）。在某些目的上，例如防范欺诈和履行其自身的法律义务，Stripe 依据其自己的隐私政策作为独立控制者行事。

只有在法律要求时，我们才会与政府机关共享数据。如果 Kidventures 被出售或合并，数据会依据本政策转交给新的所有者，我们会事先告诉你。

9. 你的数据去向

我们的数据库位于欧盟。我们在阿拉伯联合酋长国运营，上述部分服务商可能在其他国家（例如美国）处理数据。

对于 GDPR 限制的每一项数据传输，我们依据欧盟委员会的充分性认定（例如适用于已认证公司的欧盟-美国数据隐私框架），或欧盟委员会的标准合同条款。如需了解某个服务商使用的保障措施，请写信给我们。

10. 你的权利

你可以要求访问、更正或删除你和孩子的数据，限制或反对对数据的使用，以及以可携带的格式获取数据。你可以随时撤回同意，这不影响我们此前已进行的处理。

请用你账户的邮箱写信到 hello@kidventures.app。我们会在 1 个月内回复。

你也可以向你居住或工作所在国家的数据保护机构投诉。

11. 安全

每个连接都经过加密（HTTPS）。数据库规则确保每个家庭只能看到自己的数据。家长密码以哈希值保存，输错 5 次后锁定。只有运营 Kidventures 的人员可以访问我们的系统。

12. 本政策的变更

当我们的数据处理方式发生变化时，我们会更新本政策。每个版本都注明版本号和日期。重大变更生效前，我们会通过邮件告知账户持有人。