隐私政策

1. 我们收集的信息

我们尽量只收集运行 Vibn 所必需的信息。

• 账户信息：你的电子邮件地址、显示名称和头像，以及你的登录方式（电子邮件和密码、Google 或 Apple）。登录由 Firebase Authentication（Google）处理。
• 你创建的内容：你上传的照片和视频、它们的说明文字、你的评论、聊天消息、你创建或加入的群组、群组名称以及邀请码。
• 照片位置和标签：当你上传的照片包含位置数据（EXIF GPS）时，我们会在你的设备上读取这些坐标，并使用手机自带的地理编码器把它们转换成地点标签（例如城市），以便你的群组可以按地点浏览。我们还会在设备上运行图像标注，判断照片中是否有宠物。我们还会读取文件自称的拍摄时间——照片取自 EXIF，视频取自容器自带的创建时间戳——以便你的群组时间线按事情发生的时间而不是上传的时间来放置它。坐标、标签和拍摄时间会发送到我们的服务器；我们存储的照片副本已剥离 EXIF 元数据。
• 面部数据（仅在你开启时）：面部识别为选择性开启，所有分析你面部的处理都在你的设备上完成。你的手机会检测你的面部，并根据你的注册照片计算出一个数字化的面部特征（一个数学嵌入向量）。只有这个特征会发送给我们——照片从不离开你的设备。请参阅下方的“面部识别”。
• 使用情况和诊断：你访问了哪些界面以及基本的使用指标（例如你分享了多少张照片、你身处多少个群组），外加崩溃报告——通过 PostHog 和 Sentry 收集。你的账户名称、电子邮件和登录方式会与这些信息相关联，以便我们了解并支持你的账户。
• 技术信息：你的 IP 地址、应用版本、设备和语言，以及应用完整性验证（Firebase App Check）。
• 购买：如果你订阅 Vibn+，购买凭证会由我们的服务器向 Apple 或 Google 进行验证。
• 广告：Vibn 目前已关闭广告，也不会读取广告标识符。如果我们在免费方案中开启广告，将由 Google AdMob 投放，其可能会使用广告标识符——在 iOS 上仅当你在我们询问时允许跟踪，在欧洲则仅在你同意后。
• 支持消息：如果你从「设置 → 帮助」给我们写信，我们会保存你的消息和电子邮件地址，以便回复你。
• 群组动态：当你加入或退出群组时，我们会记录该事件以及是谁邀请了你，以便群主和管理员了解群组是如何发展起来的。如果群组开启了下载记录，保存或分享某项内容也会记录在其中。
• 你提交的举报：你选择的理由、你所写的内容，以及——当你举报照片或视频时——该文件的解密副本，以便人工审核。应用会在提交前告知这一点。

2. 我们如何使用你的信息

• 运行 Vibn：创建你的账户、托管你的群组，并将你的照片和视频分享给这些群组的成员。
• 在照片中为你进行匹配，仅当你选择开启面部识别时。
• 向你发送你所请求的通知（例如，一条新评论，或删除账户的请求）。
• 保障 Vibn 的安全：防止滥用、垃圾信息和机器人。在我们的网站上，“请求删除账户”页面使用 Cloudflare Turnstile 来阻止自动化滥用。
• 提供支持并回应你的请求。
• 通过分析来了解和改进应用。
• 在免费方案下展示广告，并在 Vibn+ 上验证订阅。
• 遵守法律并执行我们的条款。

3. 谁可以看到你的内容

没有公开的动态信息流，也没有发现功能。一个群组仅为被邀请加入其中的人而存在，其照片和视频只向该群组的成员展示。

端到端加密：在加密群组中，用于解开群组媒体的密钥存在于成员的设备上以及你分享的邀请链接中。如果你保留了恢复备份，我们还会保存一份由你的十词恢复助记词派生出的密钥所封存的副本——该助记词从不到达我们这里，因此我们依然无法打开这些媒体、无法据此生成预览，也无法将其交给任何人，即使我们被强制要求也一样。

如果你选择为某个群组创建公开分享链接，任何拥有该链接的人都可以查看该相册，直到你将其移除为止。

我们不会出售你的个人数据，也不会利用你的照片、视频或消息的内容来进行广告定向投放。

媒体的存储方式：自端到端加密上线以来创建的群组，其照片和视频在上传前会在你的设备上加密。我们只存储加密后的字节且无法读取——即便有人拿到文件的直接 URL，得到的也只是无法读取的数据块。在此之前创建的较早群组以未加密方式存储在 Cloudflare R2 上；对于这些群组，访问控制在应用层面而非逐个文件进行，因此执意获取直接 URL 的人有可能访问到该文件。对于较早群组中特别敏感的内容，请留意这一点。

4. 与我们共享数据的服务提供商

我们使用一小组可信赖的提供商来运行 Vibn。它们根据自身的安全和隐私条款，代表我们处理数据。

• Google Firebase（身份验证、App Check）——登录和应用完整性校验。
• Railway——托管我们的 API、我们的实时聊天服务器、我们的 PostgreSQL 数据库和一个 Redis 缓存，你的账户、你的聊天消息和内容元数据（以及在你启用人脸识别时，你的人脸特征）都存放在这里。Redis 只保存短期的运行数据——限流计数器，以及 PostgreSQL 中已有内容的缓存副本——并会自动过期。
• Cloudflare R2——照片、视频和头像的存储与分发。对于加密群组，我们只存储加密后的字节。
• Cloudflare Turnstile——我们网站账户删除页面上的机器人防护，以隐形模式运行。你对 Turnstile 的使用受《Cloudflare Turnstile 隐私附录》(https://www.cloudflare.com/turnstile-privacy-policy/) 和《Cloudflare 隐私政策》(https://www.cloudflare.com/privacypolicy/) 约束。
• OneSignal——推送通知。我们通过你的 Vibn 账户 ID 标识你的设备，并共享你的电子邮件和名称，以便通知能够送达你并得到妥善组织。
• Resend——投递我们发送给你的电子邮件：登录与验证邮件、通知，以及我们对你支持消息的回复。我们共享你的电子邮件地址、你的名称和邮件内容，以便邮件能够送达。
• PostHog——产品分析，通过我们位于 a.vibn.space 的代理发送到 PostHog 位于美国的云端。我们共享你的账户信息（名称、电子邮件、登录方式）和使用指标（例如你分享了多少张照片、你身处多少个群组），并使用有意排除群组、媒体和邀请标识符的名称来记录你访问了哪些界面。
• Sentry——面向应用、我们的服务器和我们网站的崩溃与错误报告。报告包含你的账户名称、电子邮件和一个账户标识符，以便我们将问题追溯到发生问题的会话。照片、视频、消息和加密密钥会在报告发送前被移除。
• OpenAI——翻译。如果你用我们不阅读的语言向支持团队写信，或在举报中填写自由文本，我们会将该文本发送给 OpenAI 翻译成英文，以便这里的工作人员能够读懂并回复你。我们只发送该文本，不发送其他任何内容——没有姓名、没有电子邮件地址、没有账户标识符、没有照片、也没有视频——并将译文与你的原始消息一同保存。照片和视频绝不会发送给 OpenAI 或任何其他 AI 服务；敏感内容检查完全在你的设备上运行。
• Google AdMob——广告，仅在免费方案中展示。
• Meta（Facebook）——广告效果衡量。在我们的网站上，Meta 会知道你浏览了哪个页面。在 Android 应用中，它还会知道应用首次打开、账户创建和订阅购买，好让我们判断哪些广告有效；它绝不会知道你是谁、你分享了什么，或你在哪些群组里。这些在 iOS 应用中都不会发生。在需要征得同意的地区，只有在你同意之后才会发生，并且绝不会在邀请、访客上传、直播或共享相册链接上发生。
• Google Ads 与 Google Analytics for Firebase——Android 应用中的广告效果衡量。我们上报应用被打开、账户被创建、订阅被购买，以及支付的金额。在 iPhone 上我们改用 Apple 的 SKAdNetwork：它只向广告主提供关于一次安装的一个数字，由 Apple 聚合并延迟发送，不含任何标识符，也没有任何能与你关联的信息。
• OpenAI Ads——广告效果衡量。与本列表中的其他所有项目不同，这一项由我们的服务器上报，而非你的设备。我们上报应用被安装、账户被创建、你打开了套餐页面、你点击了订阅，以及订阅被购买，好让我们判断哪些广告有效。如果你已同意广告效果衡量，我们还会发送你邮箱地址的一种不可逆的加扰形式，以便 OpenAI 将这笔购买与你看过的广告对应起来；如果你未同意，或从未被询问过，我们不会发送任何标识符。我们绝不会发送你的姓名、你的照片、你的视频、你的消息，或你所在的群组。
• Apple 和 Google——处理并验证 Vibn+ 订阅购买。我们从不接触你的银行卡信息。
• Shorebird——应用代码的空中更新。你的设备会告诉 Shorebird 它正在运行哪个版本和哪个更新，以便下发正确的更新；不会共享账户信息、照片、视频或消息。

5. 面部识别

人脸识别完全可选，在你启用之前一直处于关闭状态。免费方案和 Vibn+ 均可使用。

所有分析你面部的处理都在你的设备上完成。设置过程中，你的手机会检测你的面部并据此计算出一个数学签名——一组 512 个数字。只有这个签名会发送给我们。你的设置照片从不离开设备，我们也从不接收、存储或看到它们。

匹配同样如此：当媒体上传到群组时，你的设备会为其中的人脸计算签名，并且只发送这些数字。我们的服务器用数字比对数字，记录哪些成员出现在其中。这正是即使在我们完全看不到媒体的加密群组中，人脸匹配依然可用的原因。

你的签名从不发送给其他用户，也从不返回给任何应用。人脸签名无法还原成你的照片。

你可以关闭可发现性，让别人无法通过「人物」筛选找到你；你也可以随时在应用中删除你的人脸数据，这会移除你的签名以及由此产生的标记。

6. 敏感内容与举报

媒体可以被标记为敏感，从而以模糊形式显示，直到有人选择查看。你可以在发送时自行标记，也可以事后标记。

Vibn 还会自动检查媒体，而这项检查完全在你的设备上运行：你的手机对图像进行分类，只把一个「是/否」标记发送给我们。媒体本身从不发送到任何地方进行扫描，我们也不使用任何第三方审核服务。

你还可以举报照片或视频、其他成员或群组。举报媒体内容会把该文件的解密副本发送给我们，以便人工审核；应用会在你提交举报前告知这一点。审核期间该内容会从所在群组隐藏，若我们未完成审核，它会在七天后自动恢复。我们绝不会透露举报者是谁。

举报某个人或某个群组只会发送举报理由和你所写的内容。如果审核后需要处理，相关账号可能被停用一段时间或永久停用。停用不会删除任何内容：其照片、群组和订阅均不受影响。

7. 数据保留

• 你的内容会一直保留，直到你删除它、群组所有者删除它、你删除你的账户，或依据下述存储规则被删除。
• 聊天消息存放在我们自己的服务器上，没有时间限制：直到你删除它们或群组被删除为止。在加密群组中，我们只保存我们无法读取的加密文本。
• 面部嵌入向量会一直保留，直到你删除你的面部数据或账户。
• 当你删除账户时，账户会立即删除：它对其他人隐藏，你创建的群组变为只读，你的人脸数据会被立即抹除且不会恢复。在 30 天内，你仍可通过重新登录并选择“恢复”来找回账户；我们在此期间保留它仅为此目的。30 天之后，账户、你创建的群组及其中的全部内容将被永久删除，任何人都无法找回，包括我们。残留副本可能会在备份中短暂存在，之后被覆盖。
• 你发送给我们的支持消息——以及当它们使用其他语言时我们所做的英文译文——会保留到你的请求解决为止，并在此后保留一段合理时间。
• 群组动态记录（加入、退出，以及在启用时的保存和分享）会在群组存在期间一直保留。
• 存储空间按每个群组的所有者计费。如果所有者的 Vibn+ 订阅结束，且 30 天后其创建的群组仍超出免费存储额度，我们会删除这些群组中的媒体内容——从最早的开始，无论由谁上传——直到符合额度为止。我们会在期限前通知所有者；续订 Vibn+ 或释放空间即可停止删除。
• 随举报附上的媒体副本，会在该举报处理完毕 90 天后删除。

8. 你的权利与选择

根据巴西的 LGPD 及类似法律，你可以请求访问、更正、删除或导出你的个人数据，询问其如何被共享，反对某些处理，以及撤回同意（例如，通过关闭面部识别）。

其中许多功能已内置于应用中：编辑你的个人资料、切换面部可发现性、删除你的面部数据、退出群组或删除你的账户。你也可以从我们的网站请求删除账户。若要提出任何其他请求，请发送电子邮件至 [email protected]。你还可以联系巴西的数据保护机构（ANPD）。

9. 安全

我们通过应用完整性证明（App Check）、服务端授权（只有群成员才能列出该群的媒体）以及传输加密来保护 Vibn。加密群组中的媒体还额外受端到端加密保护，因此我们只持有密文。没有任何系统是绝对安全的；如上所述，较早的未加密群组中的媒体会以可读形式从存储中分发，请据此对待最敏感的内容。

10. 儿童

Vibn 不面向 13 岁以下的儿童，你必须年满 13 岁（或你所在国家/地区数字同意的最低年龄）才能使用它。在法律有要求的情况下，未成年人需要经过可验证的父母同意。如果你认为某个儿童向我们提供了个人数据，请联系 [email protected]，我们会将其删除。

11. 国际传输

Vibn 是一款全球性应用，我们的提供商在包括美国在内的多个国家运营。使用 Vibn 即表示你理解，你的数据可能会在你所在国家/地区之外，在采取适当保护措施的情况下被处理。

12. 本政策的变更

随着 Vibn 的发展，我们可能会更新本政策。如果我们做出重大变更，我们会更新上方的日期，并在适当情况下在应用内通知你。

13. 联系方式

有疑问、请求或顾虑？请发送电子邮件至 [email protected]。