隐私政策

一、我们收集的信息

我们仅收集为提供服务所必需的最少信息：

• 您主动提供的账户信息：电子邮箱、可选昵称、加密存储的密码。
• 由家长或法定监护人主动填写的儿童档案：名字或昵称、年龄段、语言偏好。我们不要求提供儿童的完整法定姓名或照片。
• 阅读和互动数据：打开过的故事、阅读进度、收藏、问答记录。
• 可选的儿童声音录音：默认情况下，跟读录音仅在设备本地临时使用，并在使用后删除。若家长或法定监护人开启云端成长录音，孩子主动录下的祷告、金句跟读和讨论录音可能上传至云端成长档案，供家长回听和管理。
• 设备信息：操作系统类别、应用版本、语言区域。我们不收集精确 GPS 位置。
• 支付凭证和交易标识：我们不存储完整银行卡号。支付由 Apple App Store、Google Play 或 Stripe 处理。

二、信息的使用方式

我们使用信息以：

• 提供、个性化并改进服务。
• 在您的多台设备间同步阅读进度和信仰花园。
• 处理订阅及应用内购买。
• 发送必要的服务通知（如订阅收据、安全提醒）。
• 使用儿童档案设置对可用故事进行排序。
• 检测并防范欺诈、滥用与安全事件。

我们不会将儿童档案数据用于行为定向广告，亦不会出售个人信息。

三、信息的共享

本概述并非封闭或穷尽清单。根据具体功能和您的选择，我们可能向下列接收者披露信息，或委托下列处理者处理信息：

• 支付服务商（Apple、Google、Stripe）— 仅限处理与验证交易所必需的信息。
• 家庭小组参与者 — 家长选择加入后，相应家庭小组中的账号持有人；他们是该功能的信息接收者，并非我们的处理者。详见下文“家庭小组”。
• 云基础设施、存储、电子邮件、推送通知、服务分析和诊断处理者（包括配置时的 Sentry）— 仅在托管、交付、分析、保护、故障排查或备份服务所需范围内，依据合同处理。
• 法律机关 — 仅依据合法且范围适度的法律程序请求。

服务分析、诊断及相关处理者详见下文“详细数据处理说明”和“安装分析与崩溃报告”。

我们从不出售、出租或交易个人信息。

四、儿童隐私（COPPA / GDPR-K / PIPL）

FaithSow 面向家庭共同使用，并在父母或法定监护人的监管下运行：

• 注册儿童档案须先有家长/监护人账号。
• 仅收集最少必要信息。
• 不向儿童投放第三方行为广告。
• 家长可随时在“设置”中查看、编辑或删除儿童档案。删除会移除实时访问，但下文所述有限记录可能保留。
• 儿童声音录音的云端保存默认关闭，必须经家长或法定监护人授权后才会上传。
• 年龄与授权规则因地区而异。在美国，COPPA 通常涉及 13 岁以下儿童；在欧洲经济区，儿童自行同意信息社会服务的年龄由成员国规定，为 13 至 16 岁不等；英国通常为 13 岁。其他合法处理依据、父母责任规则以及中国和其他地区的法律也可能适用。我们会按具体用户和处理行为所适用的法律处理，而不会把单一年龄门槛视为全球统一规则。

如您发现未达法定年龄的儿童在未经家长可验证同意的情况下向我们提供了个人信息，请发邮件至 [email protected]；我们将依据适用法律及下文所述有限保留例外处理删除请求。

五、数据安全与保留

我们采用行业标准措施保护个人信息：传输层 TLS、敏感字段静态加密、密码采用 bcrypt 或更强的哈希、最小权限访问控制、常态化安全评审。

账户有效期间，我们会保留账号和服务数据。账号删除后，直接身份标识会被去标识化；其余记录仅在交易、退款、争议、反欺诈、法律合规、备份周期或下文所述其他目的所需范围内保留。具体期限依数据类别和适用法律而异。

没有系统是绝对安全的。若发生影响个人信息的数据泄露，我们将依据适用法律及时通知受影响用户。

六、您的权利

根据您所在地区的法律（GDPR、UK GDPR、CCPA/CPRA、PIPL、LGPD 等），您可能享有以下权利：

• 访问我们持有的关于您的个人数据。
• 请求更正不准确的数据。
• 请求删除（受有限例外约束）。
• 反对或限制特定处理。
• 以机器可读格式获取数据可携带副本。
• 随时撤回同意（不影响在此之前的合法处理）。
• 向您所在地的数据保护监管机构投诉。

如需行使上述权利，请联系 [email protected]。我们将依据适用法律时限（通常 30 日内）回复。

七、Cookie 与追踪

网站仅使用必要的 Cookie 进行登录与会话管理；分析类 Cookie 为可选项，首次访问时会明确征求您的同意，您可随时撤回。

移动端 App 不使用浏览器 Cookie；身份令牌存储于设备安全存储区（iOS 上的 Keychain / Android 上的 EncryptedSharedPreferences）。

八、第三方服务

我们的处理者包括（均签订数据处理协议）：

• Apple App Store / Google Play / Stripe — 支付处理与收据验证。
• Sentry — 崩溃与错误报告；可能发送的标识符、诊断信息及所采用的过滤措施详见“详细数据处理说明”。
• S3 兼容对象存储 — 故事图片、音频、水印缩略图。
• 事务性邮件服务 — 收据、密码重置等。

上述服务各自有其隐私政策，建议您一并查阅。

九、跨境数据传输

FaithSow 在全球运营，您的数据可能在云服务商的多个区域处理。涉及从欧洲经济区/英国或中国对外传输时，我们依据欧盟标准合同条款（SCC）或同等保障措施。

十、政策变更

如有重大变更，我们将至少提前 30 天通过应用内通知或邮件告知（法律另有规定除外）。最新版本始终可在 https://www.faithsow.com/privacy 查阅。

十一、详细数据处理说明

在适用情况下，本服务可能处理以下与家长账号或儿童档案关联的数据：

• 儿童档案与个性化数据：昵称、年龄段、可选性别、头像选项、语言及内部账号/档案标识符。
• 产品互动数据：阅读与游戏进度、收藏、金句收藏、问答答案、完成记录及功能互动，用于同步、服务分析，以及使用儿童档案设置对可用故事进行排序。
• 可选用户内容：情绪笔记、行动承诺、客服或反馈文字及可选联系邮箱。只有在家长选择保存到云端时，祷告、金句跟读、讨论、情绪和行动录音才会上传。
• 安全与诊断数据：登录时间、IP 地址、登录方式、User-Agent，以及提交反馈时的平台、语言区域和应用版本，用于身份验证、反欺诈、故障排查和服务安全。
• 书库搜索词会发送至我们的服务以返回搜索结果；App 中显示的最近搜索列表仅保存在设备本地，可在设备上清除。

删除儿童档案或账号后，实时家庭小组和阅读历史访问会被移除。账号及儿童档案中的直接身份信息会在适用情况下去标识化；受限的安全、同意、举报、交易、退款、争议、防欺诈、法律合规、备份及第三方身份记录，可能仅在合理必要且适用法律允许的范围内保留。如需访问或删除仍保留的个人内容，请联系 [email protected]，但适用法律规定的例外情形除外。

我们不会使用这些数据跨其他公司的 App 或网站追踪您。

十二、家庭小组

父母或监护人选择加入后，同一家庭小组的其他成员可以看到小组显示名称、家庭显示名称、所选儿童显示昵称、近期阅读足迹，以及根据所选儿童符合条件且可见的阅读活动生成的只读共享花园。学校、联系方式和位置不是单独共享字段，但如果这些信息被写入共享名称或昵称，其他成员可能会看到。

共享的阅读活动可能包括同意或加入前符合条件的阅读历史，以及儿童参与期间产生的新记录。最近阅读时间、完成次数、花园进度和圣经故事标题可能透露作息、活动或宗教信仰。其他成员是该功能下相关显示信息的接收者，并非我们的处理者。

退出小组、被移除、解散小组、撤回参与、删除儿童档案或删除账号，会移除受影响的实时家庭小组和阅读历史访问，并停止该信息后续经认证的服务访问。但成员已经查看、复制、缓存或截图保存的内容无法召回。

安全操作可能产生受限记录，用于记录同意、撤回、举报、屏蔽、审核和管理员复核。这些记录可能保留显示名称、相关账号或成员引用以及安全处理背景，用于防欺诈、处理滥用、法律合规和服务安全；它们不会提供实时小组或阅读历史访问。

家庭小组不会通过此功能收集或共享自由帖子、聊天消息、私信、照片、视频、音频消息、儿童发帖、精确位置、阅读分钟数、连续打卡、分数、祷告、反思或情绪记录。

十三、安装分析与崩溃报告

移动端 App 首次使用时会生成一个随机安装 UUID，并持久保存在设备上。启用服务分析时，我们会将该安装标识符连同产品互动事件、应用版本、操作系统、平台和事件时间信息发送至服务端，用于了解功能使用情况、运营和改进服务，以及调查可靠性问题或滥用。

登录后，分析事件还包含 FaithSow 账号 ID，因此安装 UUID 及相关事件在关联期间可与账号联系，并非匿名数据。删除账号时，服务会以原子方式将账号关联分析活动数据库行中的 user_id 和 install_id 同时设为空值，从而移除活动数据库中的该关联。受保护的备份副本可能保留原值，直至其按备份周期自然到期。解除关联的分析行可在分析、可靠性、安全、防欺诈和法律义务合理需要的范围内保留，或进一步去标识化或删除。本地标识符通常保留至 App 数据被清除或 App 被重新安装。

若配置了 Sentry 崩溃报告，其可能接收崩溃与错误事件、登录后的账号 ID、应用版本、构建版本、平台和诊断上下文。我们关闭 Sentry 默认的个人身份信息收集，并在发送前过滤消息、URL 和异常文本中的常见令牌、凭证及邮箱，但诊断事件仍可能与账号关联，我们不会承诺其为匿名数据。我们和 Sentry 仅在故障排查、可靠性、安全及适用法律义务合理需要的期限内保留崩溃数据。