隐私政策
1. 概述
CheekyBell 是一款伴侣沟通应用。我们非常谨慎地处理私密数据。本政策说明收集哪些数据、原因、存储地点、保存期限以及如何行使权利。
我们的基本原则：
- 默认保护隐私。分析和崩溃报告在您同意前保持关闭。
- 当前正式版本没有广告。AdMob 已停用。启用广告前会更新政策并取得适用的同意。
- 数据最小化。只收集您使用的功能所需的数据。
- 您掌握控制权。导出和删除是核心功能，不是事后补充的法律手续。
2. 法律依据
GDPR 第 6(1) 条下的依据：
| 处理活动 | 依据 |
|---|---|
| 账户、配对和应用内沟通 | 合同（第 6(1)(b) 条） |
| 推送令牌注册和已启用的伴侣通知投递 | 合同（第 6(1)(b) 条） |
| 可选的约会地点及前台定位 | 合同（第 6(1)(b) 条）；仅在您调用功能时请求 |
| 支持请求、回复和服务沟通 | 合同（第 6(1)(b) 条）；为未登录请求者提供支持的合法利益 |
| 崩溃报告（同意后） | 同意（第 6(1)(a) 条） |
| 分析事件（同意后） | 同意（第 6(1)(a) 条） |
| Belle AI 聊天（您的消息及第 3 节所述上下文） | 合同（第 6(1)(b) 条）；仅在您向 Belle 发消息时 |
| Belle 回复中的您自己的生育日历数据 | 明确同意（第 6(1)(a) 条及第 9(2)(a) 条）；默认关闭，可随时在 Belle 设置中撤回 |
| 防欺诈、防滥用和请求频率限制 | 合法利益（第 6(1)(f) 条） |
| 安全审计日志 | 合法利益及法律义务 |
对美国用户，这些披露也构成 CCPA/CPRA 通知。我们不会按加州法律对这些术语的定义“出售”或“共享”个人信息。
3. 收集的数据
简要列举如下：
- 身份：邮箱、显示名称以及用于查找伴侣的哈希标识符。电话号码是可选的资料/配对数据，不是手机号登录方式。
- 资料（可选）：头像、性别、关系类型、年龄范围和生育目标。
- 配对与社交关系：伴侣关系、屏蔽、邀请码、推荐码和延迟深层链接。
- 推荐分享：选择分享时，为推荐归因记录时间、内部账户标识符和推荐码。这表示选择了分享操作，不代表消息已送达。系统分享框架可能短暂返回所选操作，以区分选择和关闭；CheekyBell 会丢弃此信息，不保存或传输目标应用。我们不接收收件人、消息内容、通讯录或链接点击。
- 沟通：配对用户的聊天、铃声事件、消息回应及回复。
- 铃铛定制：文字、图片、材质、预设和历史。
- 可选功能：生育周期记录、Belle 聊天历史、姿势和姓名匹配投票、礼物/鲜花事件，以及包含所选地点和坐标的约会提议。
- 设备：已注册的 FCM/APNs 推送令牌、设备平台、应用版本、语言和系统国家信息。
- 支持：类别、主题、描述、工单回复，以及未登录公共表单的联系邮箱。已登录用户可单独同意附上事先预览的允许清单：应用/构建版本、系统类别/版本、设备型号、语言、连接状态及可选关联 ID。
- 运行：限流计数、安全审计日志、可选崩溃报告及产品分析。
使用约会功能时，地点和坐标随提议保存并分享给受邀伴侣。只有点击当前位置后才请求前台定位；从不请求后台定位，也可手动填写地点。我们不收集麦克风录音或读取通讯录。配对链接交给系统分享面板，CheekyBell 不接触收件人。相机和照片权限仅在用户选择聊天/资料图片或扫描二维码时请求。广告停用期间不使用广告标识符。
Belle AI。向 Belle 发消息时，消息、近期对话轮次及简短上下文——所选 Belle 性格、应用语言、本地日期、是否有应用内伴侣，以及已填写的年龄、性别、关系状态和子女数量——经我们的服务器发送至 AI 提供商（第 5 节）以生成回复。首次发送前会说明提供商并请求许可；未经许可不发送任何内容。新增提供商时会更新政策并再次询问。服务器生成指令；提供商不会收到姓名、邮箱或账户 ID。只有在 Belle 设置、聊天提示或生育日历设置结束时明确允许，才会添加您自己的日历摘要：周期日期和阶段、统计、近期结构化观察（如体温或排卵测试结果）以及当前备孕期的开始日期。日记备注、地点、亲密行为、验孕记录和伴侣数据从不发送。此功能默认关闭；可随时在 Belle 设置撤回，之后消息不再包含生育数据。
4. 数据用途
- 运行铃铛、聊天、生育、姿势/姓名匹配、虚拟鲜花及约会功能，包括显示和分享用户选择的见面地点。
- 注册推送令牌并通过 FCM（Android）或 APNs（iOS）投递已启用的伴侣通知。送达取决于设备、网络、平台权限和电池限制，不保证成功。
- 通过限流、IP 屏蔽和安全审计检测滥用。
- 接收、分流及回复工单，发布双语服务事件。支持诊断默认关闭且不包含私密内容。
- 让配对/推荐码跨越首次 Android Play Store 安装，并在收件人完成注册后归因新账户。
- 通过服务器代理生成 Belle 回复（第 3 节）。
- 如您同意：使用汇总并去除标识的分析进行产品改进和崩溃诊断。
我们不使用私密内容（聊天、铃铛设置、生育记录、AI 聊天）训练任何机器学习模型。
5. 存储地点
| 服务 | 目的 | 区域 |
|---|---|---|
| Supabase Postgres | 主数据库 | 美国（AWS us-east-1） |
| Supabase Storage | 头像、聊天图片和铃铛外观 | 美国（AWS us-east-1） |
| Supabase Edge Functions | 服务器端应用操作 | 美国（AWS us-east-1） |
| Google OAuth | 可选 Google 登录 | Google 全球基础设施 |
| Resend | 事务邮件投递 | Resend 投递基础设施 |
| Cloudflare Turnstile | 登录及未登录公共支持请求的机器人和滥用防护 | Cloudflare 全球基础设施 |
| Firebase Cloud Messaging / APNs | 推送令牌注册和已启用的伴侣通知投递 | Google / Apple 全球基础设施 |
| Firebase Analytics（需同意） | 使用分析 | Google 全球基础设施 |
| Firebase Crashlytics（需同意） | 崩溃报告 | Google 全球基础设施 |
| Google AdMob | 当前正式版本未启用 | 停用期间不适用 |
| 外部 AI 提供商（应用中 Belle 许可卡说明；可索取清单） | 仅当您向 Belle 发消息时，通过服务器生成回复。我们只使用条款不允许将此类请求用于改进其产品的提供商；提供商可能为检测滥用而短期保留请求。 | 提供商基础设施；可能位于欧洲经济区外（如美国） |
新增 AI 提供商会在此列明，并在处理数据前再次取得许可。
对欧盟/欧洲经济区用户，向区外 Google/Apple 和 AI 提供商的传输由标准合同条款及适用时的欧盟—美国数据隐私框架覆盖。
登录和未登录公共支持请求使用 Cloudflare Turnstile 区分真人和自动滥用。根据风险，可能出现简短验证。Cloudflare 对有限浏览器/设备信号的处理见 Cloudflare Turnstile 隐私附录。
6. 共享与第三方
仅与以下对象共享个人数据：
- 上述次级处理商，仅用于运行服务。
- 您的伴侣，可看到您在关系内选择分享的内容，包括约会地点和坐标。
- 主管机关，在法律强制时。仅披露必要最少信息，并在未被禁止时通知您。
从不向广告商或数据经纪人出售/出租数据。当前正式版本广告关闭时，不发出广告 SDK 请求。
7. 保存期限
| 数据 | 期限 |
|---|---|
| 账户资料 | 直到账户删除 |
| 聊天消息 | 最多保留至每段关系的聊天历史上限；用户可自行删除 |
| 铃声事件 | 送达后 24 小时（自动过期） |
| 铃铛设置历史 | 每位用户最近 50 个版本 |
| 生育周期 | 直至您删除或关闭账户 |
| Belle AI 聊天摘要 | 直至您删除或关闭账户 |
| 推送令牌 | 直到卸载应用或令牌轮换 |
| 安全审计日志 | 90 天（滚动） |
| 限流计数 | 24 小时；公共支持标识符存储前使用 HMAC 假名化 |
| 支持工单及回复 | 处理期间及关闭后 180 天；工单和回复一起清除 |
| 推荐分享事件 | 直到账户删除 |
| 崩溃报告（需同意） | 90 天 |
| 分析事件（需同意） | 14 个月（Firebase 默认期限） |
| 约会地点及坐标 | 直到约会、关系或账户删除；已保存的家庭位置在被替换或账户删除前保留 |
8. 您的权利
- 访问——设置 → 账户 → 导出我的数据。
- 更正——在应用中修改资料、铃铛、生育等数据。
- 删除——设置 → 账户 → 删除账户，或无法访问时使用公共删除请求页面。
- 撤回同意——随时在设置 → 隐私关闭分析/崩溃报告。
- 反对/限制——联系 support@cheekybell.com。
- 可携带——导出文件为机器可读 JSON。
- 投诉——向当地监管机构提出。
我们在 30 天内回复。
9. 安全
- 传输：全程 TLS 1.2+，强制 HSTS，采用平台标准证书验证。在正式环境固定值获得独立核验前，不宣称证书固定已部署为生产安全措施。
- 静态存储：Supabase 加密 Postgres 数据，敏感密钥存于 Supabase Vault。
- 认证：Supabase Auth 令牌轮换，可选本地生物识别锁，密码至少 12 个字符并符合复杂度规则。
- 授权：所有公共表均启用 Row-Level Security。
- 审计：所有管理操作和安全敏感事件写入
audit_log。
10. 未成年人
CheekyBell 面向 18 岁及以上成年人。不明知收集未满 18 岁者数据；如发现，会删除数据和账户。
11. 政策变更
重大变更生效前通过应用及邮件通知。每次发布新版本都会更新文首生效日期。
12. 数据控制者及联系
邮箱：support@cheekybell.com
邮寄地址：BASIC SOFT Számítástechnikai Fejlesztő és Szolgáltató Betéti Társaság, 2111 Szada, Margita utca 87., 匈牙利
本政策刻意使用易懂语言。如有疑问请咨询——隐私是一项功能，不是勾选框。