Thanxful 隐私政策与告知文本

1. 一目了然

Thanxful 是一款应用程序，让您可以记录个人感恩日记，并在您选择时获得由人工智能生成的、关于您所写内容的洞见。您的日记属于您本人。我们仅为运营本服务而接触您所写的内容，绝不出售、绝不用于广告投放，亦绝不用于训练任何人工智能模型。

2. 数据控制者身份

Thanxful 应用程序由在土耳其以个体工商户 (şahıs şirketi)（个人独资经营）身份开展经营活动的Kadir Alan提供。

作为个体工商户，我方处于 KVKK 数据控制者登记系统 (VERBİS) 的登记门槛及 GDPR 第 37 条数据保护官指定门槛之下，因此不负有 VERBİS 登记及指定 DPO 的义务。如该等情形发生变化，本政策将予以更新。如需获取实体送达地址，可发送电子邮件至 [email protected]；送达地址将根据您的请求予以提供。

3. 适用范围

本政策适用于以下范围：

• 在 Apple App Store 发布的 Thanxful iOS 应用程序（com.aota.thanxful 及测试版 com.aota.thanxful.beta）。
• thanxful.app 互联网站点（宣传页面、本类法律文本及相关内容）。

您从应用程序或站点跳转至的第三方服务（例如 Apple App Store、OpenAI、RevenueCat）的隐私实践，受相应服务自身政策的约束；在此等事项上，数据控制者不承担责任。

4. 处理的个人信息类别

我方仅处理为提供本服务所必需的个人信息。所收集数据归为六大类：

4.1 身份数据

当您创建账户时，处理以下数据：

• 电子邮箱地址（必填）。
• 姓名／显示名称（可选；您可随时修改或留空）。
• 个人头像（可选；存储于 Firebase Storage）。
• 由系统自动生成的 Firebase 用户标识。
• 若您使用 Sign in with Apple：您的电子邮箱（真实邮箱或 Apple 的私密转发地址）；如您选择共享，则包括您的全名。Apple 不会向我方披露您的 Apple ID。

4.2 日记内容——可能构成敏感个人信息

对于您保存的每一条日记，处理以下数据：

• 日记正文（最多 3,000 字符）。
• 富文本格式（粗体、斜体、列表——最多 30,000 字符，已编码）。
• 可选的心情选择。
• 您所回应的引导语 (prompt) 相关信息（如有）。
• 本地日历日期。

日记内容具有个人化与敏感性。根据 KVKK 第 6 条及 GDPR 第 9 条，日记正文可能涉及您的健康、宗教信仰、政治观点、性生活或工会会员身份等敏感个人信息。因此，对您日记内容的人工智能处理，完全以您的明示同意为前提（参见 §6）。

4.3 个人资料与偏好数据

• 连续记录信息（当前及最长连续天数）。
• 最近活跃时间及时区（您设备的 IANA 时区，例如 Europe/Istanbul）。
• 语言偏好（在 30 种语言列表中所做的选择）。
• 主题偏好（Espresso、Cosmos、Oat 等）。
• 通知设置：提醒功能的开启／关闭状态、提醒时间及时区。
• 订阅状态：是否拥有有效的高级订阅（来自 RevenueCat；参见 §7）。
• 人工智能明示同意记录——一份仅可追加 (append-only) 的记录，包含您给予、拒绝或撤回同意的操作、来源（onboarding、记录后、购买后或设置）、时间戳以及所展示的引导语数量。该记录依据 Apple App Store 审查指南 5.1.2(i) 予以保存。

4.4 设备与使用数据

当您使用本应用程序时，自动处理以下数据：

• 设备信息：型号、操作系统版本、应用版本、本地化设置、国家／地区、时区，以及 Firebase 内部的应用实例标识。
• FCM 通知令牌 (token)——为发送提醒所需，由 Firebase Cloud Messaging 分配至您设备的令牌。该令牌存储于 Firestore，与您的账户绑定；在重新安装或退出登录后会进行轮换。
• 事件数据：您在应用中浏览的画面、是否保存了某条日记、是否打开了某条洞见、是否启动了购买流程等元数据——但您的日记内容不会进入此类记录。
• 通过 Firebase Crashlytics 收集的崩溃报告（堆栈跟踪、崩溃时的设备状态）。在调试构建中 Crashlytics 处于关闭状态；在分发给用户的版本中则为启用状态。

以下数据不予处理：

• 应用程序内的您的 IP 地址（Firebase Analytics 不会向我方披露此信息）。
• 您的广告标识符 (IDFA)——我方使用不含 AdSupport 的 Firebase 版本，并已停用广告个性化信号。

4.5 订阅数据

当您购买 Thanxful 订阅时：

• 交易由 Apple（App Store）执行。您的支付方式或银行卡信息不会传输至我方。
• RevenueCat 代我方处理订阅生命周期。与 RevenueCat 共享的数据为您的 Firebase 用户标识；RevenueCat 向我方传送产品标识、状态、到期日期及续订日期。

4.6 沟通与反馈

• 您发送至 [email protected] 的客服电子邮件。
• 您从应用内提交的功能建议及故障报告（为防止滥用而设有每日限额）。所写文本、用户标识及提交时间均予以保存。在您删除账户时，反馈将被匿名化处理（用户标识替换为 "deleted_user"）；文本本身不会被删除，但其与您的关联将被解除。

4.7 Onboarding 试用（在创建账户之前）

如您希望在不创建账户的情况下试用一次人工智能洞见，将处理以下数据：

• 由您设备生成的设备 UUID（非 IDFA）。
• 经 SHA-256 摘要处理后的 IP 地址（不保存原始 IP 地址）。
• Apple DeviceCheck 令牌（用于防止单台设备重复试用）。

该等数据仅为限制试用次数（每台设备每日一次，每个全球 IP 每日 20 次）及防止滥用之目的而短期处理。

4.8 安全

• 您的应用锁密码（如您选择启用），仅存储于您设备上的 iOS 钥匙串 (Keychain) 之中；不会离开您的手机。您的生物识别数据（Face ID／Touch ID）保留在 Apple 的安全隔区 (Secure Enclave) 内；不会传输至我方。

5. 处理目的与法律依据

每项数据处理活动的目的，以及在 KVKK 第 5-6 条与 GDPR 第 6 条项下的法律依据，详见下表：

我方不会出于用户画像目的处理您的数据，不会开展可能对您产生重大后果的自动化决策活动，亦不会出售或出租您的个人信息。

6. 您日记内容的人工智能处理

本节既依据 Apple App Store 审查指南 5.1.2(i)，也以日记归您所有的当事人身份，专为您而撰写。

会进行哪些操作？

在您给予明示同意的情形下，Thanxful 将所选日记内容传送至第三方人工智能服务提供商；该等提供商生成下列内容：

• 即时洞见——针对单条日记的简短反思。
• 每周总结——对最近 7 天的概要分析。
• 每月总结——对最近 30 天的深度分析。

谁会处理您的日记？

• OpenAI（首选服务提供商）——使用 gpt-4o-mini 与 gpt-4o 模型。服务器位于美国。
• Google Gemini（备用服务提供商，在 OpenAI 不可用时启用）——运行于 Google 的全球基础设施之上。

会传送哪些数据？

• 所分析时段内的日记正文。
• 您的显示名称（以便洞见可以您的姓名相称）。
• 您的语言偏好（以便洞见以您所用语言生成）。

不会传送哪些数据？

• 您的电子邮箱地址。
• 连续记录信息、订阅状态或其他个人资料数据。
• 任何其他用户的数据。

提供商侧的留存期限

• OpenAI 出于滥用监测之目的，将通过 API 接收的请求保存最长 30 天，此后予以删除。OpenAI 不会将 API 数据用于模型训练。（来源：OpenAI API 条款。）
• Google Gemini 默认情况下不会将 API 数据用于模型训练。（来源：Google Gemini API 条款。）

您的明示同意

• 在人工智能首次可能启用之时——onboarding 中、保存某条日记之后或购买高级订阅之后——将向您征求明示同意。
• 您的同意将记录于一份仅可追加的审计日志（users/{uid}/aiConsent）中。
• 您可随时撤回您的同意：设置 → 人工智能明示同意。撤回操作将立即停止后续处理。在此之前已生成的洞见，将保留在您的历史记录中，直至您将其或您的账户删除。
• 由于您的日记可能涉及 KVKK 第 6 条及 GDPR 第 9 条项下的敏感个人信息，向人工智能服务提供商传输的法律依据为您的明示同意。

人工智能洞见并非医疗／法律／治疗建议

洞见系自动生成的文本。其可能存在错误、误导或脱离语境之处，不能替代具备执业资质的治疗师、医生、律师或其他专业人士。如您处于困境之中，建议您向有资质的专业人员求助；如遇紧急情况，请联系当地紧急救援服务。

7. 共享与第三方

您的个人信息仅与下列服务提供商，且仅出于所列目的予以共享。每家服务提供商均通过合同方式承担义务，须仅按我方指示处理您的个人信息，并采取适当的安全措施。

关于 Meta／Facebook 的说明：我方 Info.plist 文件中仅为启用「分享至 Instagram Stories」URL 方案之目的，包含 FacebookAppID: 2198469434228743 之声明。未使用 Facebook SDK；未向 Meta 发送任何数据。仅当您选择分享时——且仅在该情形下——所选图片才会通过 iOS 分享面板传送至 Instagram 应用。

有权机关的请求

您的个人信息仅在依据土耳其境内有效的法律程序，或在对我方拥有管辖权之国家有效的法律程序下，方会向有权机关披露。在法律允许的范围内，我方将就该等请求向您进行告知。

不存在数据出售情形

您的个人信息不会被出售。按 CCPA／CPRA 之定义，亦不会出于跨语境行为广告之目的「共享」您的个人信息。

8. 跨境传输

您的账户与日记保存于欧盟境内（Google Cloud europe-west1，比利时）。

我方部分服务提供商位于美利坚合众国：

• OpenAI 与 Google Gemini 出于人工智能处理目的，接收您的日记内容（仅在您同意时）。
• RevenueCat 处理您的订阅状态。
• 部分 Apple 与 Firebase 服务运行于全球基础设施之上。

就该等传输，我方所依赖的法律机制如下：

• GDPR 项下：纳入与各服务提供商签订的数据处理协议中的、欧盟委员会第 2021/914 号决定项下的标准合同条款 (SCC)；以及在传输过程中及之后所采取的技术措施（加密、访问控制）。对于已取得 EU–US Data Privacy Framework 认证的服务提供商，亦另行依据该项充分性决定。
• 英国 GDPR 项下：附加于同一 SCC 之上的 UK International Data Transfer Addendum (IDTA)。
• KVKK 项下：依赖以下多重保障：
  1. 当您启用人工智能功能时，依据 KVKK 第 9 条向美国传输您日记内容的明示同意；
  2. 与各服务提供商所签订的数据处理协议 (DPA)——尤其是 Google Cloud／Firebase DPA（其中包含 SCC）、OpenAI API 数据处理附加议定书，以及 RevenueCat DPA——作为合同性保障；
  3. §11 中所列的技术措施（加密、App Check、记录中个人信息的最小化）。

我方目标为：与每家愿意接受土耳其个人数据保护机构所发布的标准合同 (Standart Sözleşme) 范本的服务提供商签署该范本，并自签署之日起的 5 个工作日内向该机构进行报备。在服务提供商不接受该机构范本而坚持使用其自有 DPA 的情形下，则适用上述综合保障措施。

您可发送电子邮件至 [email protected]，索取传输保障措施文件的副本。

9. 保存期限

个人信息仅在必要期限内予以保存。

当您删除账户时（设置 → 高级 → 删除账户，或通过电子邮件方式），您的个人资料、日记、洞见、成就、人工智能同意日志及 FCM 令牌将立即从我方活跃系统中移除。就服务提供商缓存、备份与日志而言，删除工作的完成可能需要长达 30 天。

10. 您的权利

根据您所在国家或地区的不同，您享有下列全部或部分权利：

KVKK 第 11 条（土耳其境内居民）：

• 了解您的个人信息是否被处理。
• 如已被处理，请求获取相关信息。
• 了解处理目的及是否符合该目的予以使用。
• 了解所传输至的境内或境外第三方。
• 如不完整或不准确，请求予以更正。
• 依据 KVKK 第 7 条请求予以删除或销毁。
• 请求将更正、删除、销毁请求告知所传输至的第三方。
• 就经自动化系统分析而对您不利的结果提出反对。
• 因违法处理而遭受损害时，请求赔偿损失。

GDPR（欧盟／欧洲经济区及英国境内居民）：

• 访问（第 15 条）、更正（第 16 条）、删除（第 17 条）、限制处理（第 18 条）、数据可携带（第 20 条）、反对（第 21 条）、撤回明示同意（第 7 条）。我方的自助导出界面尚未就绪；如您通过电子邮件提出请求，我方将在 30 日内以结构化 JSON 格式向您提供您的日记及个人资料数据。

CCPA／CPRA（加利福尼亚州居民）：

• 了解所收集之个人信息、其来源、目的及第三方的权利。
• 删除及更正权。
• 反对个人信息出售／共享之权——我方既不出售亦不共享您的数据；不存在可供反对的情形。
• 限制敏感个人信息使用之权——敏感信息（您的日记内容）不会被用于 §5 所列目的之外的其他目的。
• 因行使权利而不受歧视之权。

如何行使您的权利？

请以 隐私请求 (Gizlilik Talebi) 为主题，发送电子邮件至 [email protected]，并说明您希望行使的具体权利。为核实您的身份（通常通过要求您从账户绑定的电子邮箱回复的方式），我方可能要求您提供补充信息。依据 KVKK 第 13 条及 GDPR 第 12 条，您的请求最迟将在 30 日内办结。如需延长期限，我方将向您说明原因及预计回复时间。

在 CCPA 项下，如您希望通过代理人提出请求，我方仍可能就代理人的授权文件直接与您本人联系核实。

除非您的请求明显缺乏依据或过于频繁，否则行使该等权利不收取费用。

投诉受理机构

• 土耳其：个人数据保护机构 (KVKK)——https://www.kvkk.gov.tr/
• 欧盟／欧洲经济区：您所在国家的数据保护机构——https://edpb.europa.eu/about-edpb/about-edpb/members_en
• 英国：Information Commissioner's Office——https://ico.org.uk/
• 加利福尼亚州：California Privacy Protection Agency——https://cppa.ca.gov/

11. 数据安全措施

数据安全自设计阶段起即纳入考量。所采取的技术与管理措施包括：

• 传输过程加密——所有网络流量均以 TLS 1.2+ 加密。
• 存储过程加密——Google Cloud 服务器侧 AES-256 加密。
• 身份认证——Firebase Auth；密码绝不以明文存储。
• App Check——生产构建中使用 Apple App Attest；来自不受信任来源的请求将被拒绝。
• Apple DeviceCheck——在 onboarding 试用中防止滥用。
• 严格的 Firestore 安全规则——每位用户仅可读写其自身数据。
• 敏感数据隔离——应用锁密码仅保存于 iOS 钥匙串中；生物识别数据保留于 Apple Secure Enclave。
• 个人信息最小化的日志——日记内容不纳入服务器日志；仅记录运维与故障排查所需的元数据（用户标识、事件类型、状态）。
• 密钥管理——API 密钥（OpenAI、RevenueCat、Apple DeviceCheck）保存于 Firebase Secret Manager，不写入代码中。

由于不存在绝对安全的系统，一旦发现个人信息泄露事件：

• 依据 KVKK 第 12 条第 5 款，于 72 小时内向个人数据保护机构进行报告；
• 依据 GDPR 第 33-34 条，向欧盟／欧洲经济区居民直接告知，并向相关主管机关进行必要报告。

12. 儿童

Thanxful 并非面向13 周岁以下儿童的服务。使用本服务的最低年龄须为 13 周岁（参见使用条款 §3）。如您年龄介于 13 至 16 周岁之间（部分欧盟成员国规定的数字同意年龄），您所在国家的法律可能要求获得父母或监护人的同意。依据《土耳其民法典》(TMK) 第 15 条，18 周岁以下未成年人不具备完全合同能力，因此对于 18 周岁以下用户，须征得父母或监护人的同意。

我方不会有意从 13 周岁以下儿童处收集个人信息。如您作为父母或监护人，认为您的孩子在您不知情的情况下提供了信息，请发送电子邮件至 [email protected]；该等信息将被删除。

本应用程序的 App Store 年龄分级 (4+) 表示其内容适合所有年龄人群（不含暴力、性内容或粗俗用语）。该内容分级并不改变13 周岁以下不得签订合同之规定。

onboarding 阶段不针对用户设置专门的年龄关卡 (age gate)，最低年龄要求通过书面合同方式予以执行——此种做法在日记类／健康类应用中较为常见。

13. 加利福尼亚州 (CCPA / CPRA) 披露

如您为加利福尼亚州居民，本节连同本政策的其余部分一并适用于您。

所收集的个人信息类别（最近 12 个月）

您的加利福尼亚州权利

• 知情／访问——参见 §10。
• 删除／更正——参见 §10。
• 反对出售／共享——我方不出售亦不共享您的个人信息；不存在可供反对的情形。
• 限制敏感信息使用——敏感信息（您的日记内容）仅出于 §6 所述目的并经您明示同意后予以使用。
• 不受歧视——您行使该等权利时，您对本服务的访问不会受到限制，亦不会被适用差别价格或提供差别质量。

请以 California Privacy Request 为主题，发送电子邮件至 [email protected] 提出请求。我方将通过账户绑定的电子邮箱核实您的身份。

不会以个人信息为对价提供任何经济激励。

14. Cookie 及类似技术

iOS 应用程序内：不使用网页 cookie。本应用程序仅在您设备上的 UserDefaults 中保存少量偏好（如主题、语言、通知偏好），并在 iOS 钥匙串中保存应用锁密码。该等数据不会与我方或任何第三方共享。

在 thanxful.app 上：截至本政策生效之日，宣传站点不使用 cookie、网页信标 (web-beacon) 或第三方分析跟踪器。如后续添加，本节将予以更新，站点上将显示 cookie 同意提示框 (cookie banner)，且该变更将依 §15 视为重大变更。

15. 政策变更

本政策可能不时更新。对于重大变更（影响您的权利或您数据处理方式的变更），我方将在变更生效前至少 30 日，通过电子邮件及应用内通知方式向您告知。对于非重大变更（错别字更正、表述澄清），将更新文档并更新顶部所示生效日期。

如您不接受新版本，您可在生效日期之前停止使用本服务并删除您的账户。

16. 联系方式

就一切隐私相关问题、请求或投诉：

• 电子邮箱：[email protected]（主题：隐私 (Gizlilik)）
• 数据控制者：Kadir Alan——个体工商户 (şahıs şirketi)，土耳其

如需实体送达地址，请先发送电子邮件至 [email protected]；地址将根据您的请求予以提供。

您可向其提出投诉的监管机构详见 §10。

17. 术语表

• KVKK——第 6698 号《个人数据保护法》（土耳其）。
• GDPR——第 2016/679 号欧盟《通用数据保护条例》。
• CCPA／CPRA——经《加利福尼亚州隐私权法案》(California Privacy Rights Act) 修订的《加利福尼亚州消费者隐私法案》(California Consumer Privacy Act)。
• COPPA——《儿童在线隐私保护法》(Children's Online Privacy Protection Act)（美国，13 周岁以下）。
• FCM——Firebase Cloud Messaging（通知基础设施）。
• 敏感个人信息／敏感数据——健康、宗教、政治观点、性生活等需依据 KVKK 第 6 条及 GDPR 第 9 条予以加强保护的数据类别。
• 数据控制者——确定个人信息处理目的与方式、并对建立及管理数据登记系统负责的自然人或法人（在本文件中：Kadir Alan）。
• 明示同意——就特定事项作出的、基于充分告知并以自由意志表达的同意。

感谢您在感恩之旅中给予我方的信任。

—— Thanxful