隱私政策

1. 我們收集的資訊

我們儘量只收集執行 Vibn 所必需的資訊。

• 帳戶資訊：你的電子郵件地址、顯示名稱和頭像，以及你的登入方式（電子郵件和密碼、Google 或 Apple）。登入由 Firebase Authentication（Google）處理。
• 你建立的內容：你上傳的照片和影片、它們的說明文字、你的評論、聊天訊息、你建立或加入的群組、群組名稱以及邀請碼。
• 照片位置和標籤：當你上傳的照片包含位置資料（EXIF GPS）時，我們會在你的裝置上讀取這些座標，並使用手機自帶的地理編碼器把它們轉換成地點標籤（例如城市），以便你的群組可以按地點瀏覽。我們還會在裝置上執行影像標註，判斷照片中是否有寵物。我們還會讀取檔案自稱的拍攝時間——照片取自 EXIF，影片取自容器自帶的建立時間戳——以便你的群組時間線按事情發生的時間而不是上傳的時間來放置它。座標、標籤和拍攝時間會發送到我們的伺服器；我們儲存的照片副本已剝離 EXIF 後設資料。
• 面部資料（僅在你開啟時）：面部識別為選擇性開啟，所有分析你面部的處理都在你的裝置上完成。你的手機會檢測你的面部，並根據你的註冊照片計算出一個數字化的面部特徵（一個數學嵌入向量）。只有這個特徵會發送給我們——照片從不離開你的裝置。請參閱下方的“面部識別”。
• 使用情況和診斷：你訪問了哪些介面以及基本的使用指標（例如你分享了多少張照片、你身處多少個群組），外加崩潰報告——通過 PostHog 和 Sentry 收集。你的帳戶名稱、電子郵件和登入方式會與這些資訊相關聯，以便我們瞭解並支援你的帳戶。
• 技術資訊：你的 IP 地址、應用版本、裝置和語言，以及應用完整性驗證（Firebase App Check）。
• 購買：如果你訂閱 Vibn+，購買憑證會由我們的伺服器向 Apple 或 Google 進行驗證。
• 廣告：Vibn 目前已關閉廣告，也不會讀取廣告識別符號。如果我們在免費方案中開啟廣告，將由 Google AdMob 投放，其可能會使用廣告識別符號——在 iOS 上僅當你在我們詢問時允許跟蹤，在歐洲則僅在你同意後。
• 支援訊息：如果你從「設定 → 幫助」給我們寫信，我們會儲存你的訊息和電子郵件地址，以便回覆你。
• 群組動態：當你加入或退出群組時，我們會記錄該事件以及是誰邀請了你，以便群主和管理員瞭解群組是如何發展起來的。如果群組開啟了下載記錄，儲存或分享某項內容也會記錄在其中。
• 你提交的舉報：你選擇的理由、你所寫的內容，以及——當你舉報照片或影片時——該檔案的解密副本，以便人工稽核。應用會在提交前告知這一點。

2. 我們如何使用你的資訊

• 執行 Vibn：建立你的帳戶、託管你的群組，並將你的照片和影片分享給這些群組的成員。
• 在照片中為你進行匹配，僅當你選擇開啟面部識別時。
• 向你傳送你所請求的通知（例如，一條新評論，或刪除帳戶的請求）。
• 保障 Vibn 的安全：防止濫用、垃圾資訊和機器人。在我們的網站上，“請求刪除帳戶”頁面使用 Cloudflare Turnstile 來阻止自動化濫用。
• 提供支援並回應你的請求。
• 通過分析來了解和改進應用。
• 在免費方案下展示廣告，並在 Vibn+ 上驗證訂閱。
• 遵守法律並執行我們的條款。

3. 誰可以看到你的內容

沒有公開的動態資訊流，也沒有發現功能。一個群組僅為被邀請加入其中的人而存在，其照片和影片只向該群組的成員展示。

端到端加密：在加密群組中，用於解開群組媒體的金鑰存在於成員的裝置上以及你分享的邀請連結中。如果你保留了恢復備份，我們還會儲存一份由你的十詞恢復助記詞派生出的金鑰所封存的副本——該助記詞從不到達我們這裡，因此我們依然無法開啟這些媒體、無法據此生成預覽，也無法將其交給任何人，即使我們被強制要求也一樣。

如果你選擇為某個群組建立公開分享連結，任何擁有該連結的人都可以檢視該相簿，直到你將其移除為止。

我們不會出售你的個人資料，也不會利用你的照片、影片或訊息的內容來進行廣告定向投放。

媒體的儲存方式：自端到端加密上線以來建立的群組，其照片和影片在上傳前會在你的裝置上加密。我們只儲存加密後的位元組且無法讀取——即便有人拿到檔案的直接 URL，得到的也只是無法讀取的資料塊。在此之前建立的較早群組以未加密方式儲存在 Cloudflare R2 上；對於這些群組，訪問控制在應用層面而非逐個檔案進行，因此執意獲取直接 URL 的人有可能訪問到該檔案。對於較早群組中特別敏感的內容，請留意這一點。

4. 與我們共享資料的服務提供商

我們使用一小組可信賴的提供商來執行 Vibn。它們根據自身的安全和隱私條款，代表我們處理資料。

• Google Firebase（身份驗證、App Check）——登入和應用完整性校驗。
• Railway——託管我們的 API、我們的即時聊天伺服器、我們的 PostgreSQL 資料庫和一個 Redis 快取，你的帳戶、你的聊天訊息和內容後設資料（以及在你啟用人臉識別時，你的人臉特徵）都存放在這裡。Redis 只儲存短期的執行資料——限流計數器，以及 PostgreSQL 中已有內容的快取副本——並會自動過期。
• Cloudflare R2——照片、影片和頭像的儲存與分發。對於加密群組，我們只儲存加密後的位元組。
• Cloudflare Turnstile——我們網站帳戶刪除頁面上的機器人防護，以隱形模式執行。你對 Turnstile 的使用受《Cloudflare Turnstile 隱私附錄》(https://www.cloudflare.com/turnstile-privacy-policy/) 和《Cloudflare 隱私政策》(https://www.cloudflare.com/privacypolicy/) 約束。
• OneSignal——推送通知。我們通過你的 Vibn 帳戶 ID 標識你的裝置，並共享你的電子郵件和名稱，以便通知能夠送達你並得到妥善組織。
• Resend——投遞我們傳送給你的電子郵件：登入與驗證郵件、通知，以及我們對你支援訊息的回覆。我們共享你的電子郵件地址、你的名稱和郵件內容，以便郵件能夠送達。
• PostHog——產品分析，通過我們位於 a.vibn.space 的代理傳送到 PostHog 位於美國的雲端。我們共享你的帳戶資訊（名稱、電子郵件、登入方式）和使用指標（例如你分享了多少張照片、你身處多少個群組），並使用有意排除群組、媒體和邀請識別符號的名稱來記錄你訪問了哪些介面。
• Sentry——面向應用、我們的伺服器和我們網站的崩潰與錯誤報告。報告包含你的帳戶名稱、電子郵件和一個帳戶識別符號，以便我們將問題追溯到發生問題的會話。照片、影片、訊息和加密金鑰會在報告發送前被移除。
• OpenAI——翻譯。如果你用我們不閱讀的語言向支援團隊寫信，或在舉報中填寫自由文本，我們會將該文本傳送給 OpenAI 翻譯成英文，以便這裡的工作人員能夠讀懂並回復你。我們只發送該文本，不傳送其他任何內容——沒有姓名、沒有電子郵件地址、沒有帳戶識別符號、沒有照片、也沒有影片——並將譯文與你的原始訊息一同儲存。照片和影片絕不會發送給 OpenAI 或任何其他 AI 服務；敏感內容檢查完全在你的裝置上執行。
• Google AdMob——廣告，僅在免費方案中展示。
• Meta（Facebook）——廣告效果衡量。在我們的網站上，Meta 會知道你瀏覽了哪個頁面。在 Android 應用中，它還會知道應用首次開啟、帳戶建立和訂閱購買，好讓我們判斷哪些廣告有效；它絕不會知道你是誰、你分享了什麼，或你在哪些群組裡。這些在 iOS 應用中都不會發生。在需要徵得同意的地區，只有在你同意之後才會發生，並且絕不會在邀請、訪客上傳、直播或共享相簿連結上發生。
• Google Ads 與 Google Analytics for Firebase——Android 應用中的廣告效果衡量。我們上報應用被開啟、帳戶被建立、訂閱被購買，以及支付的金額。在 iPhone 上我們改用 Apple 的 SKAdNetwork：它只向廣告主提供關於一次安裝的一個數字，由 Apple 聚合並延遲傳送，不含任何識別符號，也沒有任何能與你關聯的資訊。
• OpenAI Ads——廣告效果衡量。與本列表中的其他所有專案不同，這一項由我們的伺服器上報，而非你的裝置。我們上報應用被安裝、帳戶被建立、你打開了套餐頁面、你點選了訂閱，以及訂閱被購買，好讓我們判斷哪些廣告有效。如果你已同意廣告效果衡量，我們還會發送你信箱地址的一種不可逆的加擾形式，以便 OpenAI 將這筆購買與你看過的廣告對應起來；如果你未同意，或從未被詢問過，我們不會發送任何識別符號。我們絕不會發送你的姓名、你的照片、你的影片、你的訊息，或你所在的群組。
• Apple 和 Google——處理並驗證 Vibn+ 訂閱購買。我們從不接觸你的銀行卡資訊。
• Shorebird——應用程式碼的空中更新。你的裝置會告訴 Shorebird 它正在執行哪個版本和哪個更新，以便下發正確的更新；不會共享帳戶資訊、照片、影片或訊息。

5. 面部識別

人臉識別完全可選，在你啟用之前一直處於關閉狀態。免費方案和 Vibn+ 均可使用。

所有分析你面部的處理都在你的裝置上完成。設定過程中，你的手機會檢測你的面部並據此計算出一個數學簽名——一組 512 個數字。只有這個簽名會傳送給我們。你的設定照片從不離開裝置，我們也從不接收、儲存或看到它們。

匹配同樣如此：當媒體上傳到群組時，你的裝置會為其中的人臉計算簽名，並且只發送這些數字。我們的伺服器用數字比對數字，記錄哪些成員出現在其中。這正是即使在我們完全看不到媒體的加密群組中，人臉匹配依然可用的原因。

你的簽名從不傳送給其他使用者，也從不返回給任何應用。人臉簽名無法還原成你的照片。

你可以關閉可發現性，讓別人無法通過「人物」篩選找到你；你也可以隨時在應用中刪除你的人臉資料，這會移除你的簽名以及由此產生的標記。

6. 敏感內容與舉報

媒體可以被標記為敏感，從而以模糊形式顯示，直到有人選擇檢視。你可以在傳送時自行標記，也可以事後標記。

Vibn 還會自動檢查媒體，而這項檢查完全在你的裝置上執行：你的手機對影像進行分類，只把一個「是/否」標記傳送給我們。媒體本身從不傳送到任何地方進行掃描，我們也不使用任何第三方稽核服務。

你還可以舉報照片或影片、其他成員或群組。舉報媒體內容會把該檔案的解密副本傳送給我們，以便人工稽核；應用會在你提交舉報前告知這一點。稽核期間該內容會從所在群組隱藏，若我們未完成稽核，它會在七天後自動恢復。我們絕不會透露舉報者是誰。

舉報某個人或某個群組只會傳送舉報理由和你所寫的內容。如果稽核後需要處理，相關帳號可能被停用一段時間或永久停用。停用不會刪除任何內容：其照片、群組和訂閱均不受影響。

7. 資料保留

• 你的內容會一直保留，直到你刪除它、群組所有者刪除它、你刪除你的帳戶，或依據下述儲存規則被刪除。
• 聊天訊息存放在我們自己的伺服器上，沒有時間限制：直到你刪除它們或群組被刪除為止。在加密群組中，我們只儲存我們無法讀取的加密文本。
• 面部嵌入向量會一直保留，直到你刪除你的面部資料或帳戶。
• 當你刪除帳戶時，帳戶會立即刪除：它對其他人隱藏，你建立的群組變為只讀，你的人臉資料會被立即抹除且不會恢復。在 30 天內，你仍可通過重新登入並選擇“恢復”來找回帳戶；我們在此期間保留它僅為此目的。30 天之後，帳戶、你建立的群組及其中的全部內容將被永久刪除，任何人都無法找回，包括我們。殘留副本可能會在備份中短暫存在，之後被覆蓋。
• 你傳送給我們的支援訊息——以及當它們使用其他語言時我們所做的英文譯文——會保留到你的請求解決為止，並在此後保留一段合理時間。
• 群組動態記錄（加入、退出，以及在啟用時的儲存和分享）會在群組存在期間一直保留。
• 儲存空間按每個群組的所有者計費。如果所有者的 Vibn+ 訂閱結束，且 30 天后其建立的群組仍超出免費儲存額度，我們會刪除這些群組中的媒體內容——從最早的開始，無論由誰上傳——直到符合額度為止。我們會在期限前通知所有者；續訂 Vibn+ 或釋放空間即可停止刪除。
• 隨舉報附上的媒體副本，會在該舉報處理完畢 90 天后刪除。

8. 你的權利與選擇

根據巴西的 LGPD 及類似法律，你可以請求訪問、更正、刪除或匯出你的個人資料，詢問其如何被共享，反對某些處理，以及撤回同意（例如，通過關閉面部識別）。

其中許多功能已內置於應用中：編輯你的個人資料、切換面部可發現性、刪除你的面部資料、退出群組或刪除你的帳戶。你也可以從我們的網站請求刪除帳戶。若要提出任何其他請求，請傳送電子郵件至 [email protected]。你還可以聯絡巴西的資料保護機構（ANPD）。

9. 安全

我們通過應用完整性證明（App Check）、服務端授權（只有群成員才能列出該群的媒體）以及傳輸加密來保護 Vibn。加密群組中的媒體還額外受端到端加密保護，因此我們只持有密文。沒有任何系統是絕對安全的；如上所述，較早的未加密群組中的媒體會以可讀形式從儲存中分發，請據此對待最敏感的內容。

10. 兒童

Vibn 不面向 13 歲以下的兒童，你必須年滿 13 歲（或你所在國家/地區數字同意的最低年齡）才能使用它。在法律有要求的情況下，未成年人需要經過可驗證的父母同意。如果你認為某個兒童向我們提供了個人資料，請聯絡 [email protected]，我們會將其刪除。

11. 國際傳輸

Vibn 是一款全球性應用，我們的提供商在包括美國在內的多個國家運營。使用 Vibn 即表示你理解，你的資料可能會在你所在國家/地區之外，在採取適當保護措施的情況下被處理。

12. 本政策的變更

隨著 Vibn 的發展，我們可能會更新本政策。如果我們做出重大變更，我們會更新上方的日期，並在適當情況下在應用內通知你。

13. 聯絡方式

有疑問、請求或顧慮？請傳送電子郵件至 [email protected]。