隐私政策

1. 数据控制者

数据控制者为法律声明中所列的运营者。所有数据保护问题请联系：kontakt@tellsom.com。

2. 要点概述

• 对他人匿名：只要你不主动揭示身份，其他用户就看不到你是谁。在每个聊天中，你都使用一个独立的化名。为使聊天送达相关人员，我们的系统会在内部将其与参与的账户关联——但不会向他人展示这些信息。
• 加密，但不是端到端加密：我们以加密方式存储消息（AES-256-GCM，每个聊天使用独立密钥）。我们的服务器可以解密，并会在发送时读取每条消息，否则针对仇恨和侮辱的过滤器将无法工作。正常运营中没有任何人阅读你的聊天——即使有人举报某条消息也是如此：我们的审核人员根据举报理由和过滤器的结果作出决定，看不到消息内容。例外情况是主管机关或法院下达命令。
• 无广告、无追踪：我们不出售数据、不展示广告，也不使用任何分析或追踪工具。
• 匿名并不意味着无迹可寻：我们以化名方式存储数据。对于严重犯罪，我们可以根据主管机关或法院的命令将化名与账户关联。

3. 我们处理哪些数据

• 账户：电子邮件地址——用于登录时仅以加密哈希形式保存，用于通知和回复支持请求时另行加密保存——、密码（仅以哈希形式保存）、显示名称、@名称、头像（图案之一或上传的照片）、语言和设置，以及你确认年龄的时间和你接受的使用条款版本。
• 通过 Apple 或 Google 登录：提供方为 tellsom 分配的标识符，以及（如适用）你的电子邮件地址。对于 Apple，我们还会保存一个加密令牌，以便在你删除账户时向 Apple 撤销关联。
• 会话与安全：已登录的设备（应用或浏览器类型）、时间以及 IP 地址（仅以哈希形式保存），用于保护你的账户、限制请求频率和防止滥用。
• 聊天：消息（加密）、化名、时间、阅读状态、身份揭示请求、屏蔽和举报。
• 活动、“问我”链接和产品：你创建的内容——问题、标题、描述、图片、有效期，以及（如你填写）活动地点。
• 无账户回答：访客会获得一个保存在其设备上的随机访客令牌；我们只保存其哈希值，以便访客能回到对话中并使屏蔽生效。发送前，Cloudflare Turnstile 会检查回答者是否为真人。
• 评价（tellsom Business）：顾客通过产品码提交的星级和文字。这些内容有意设为企业和我们可读，因为它们用于企业的分析；一对一聊天的加密不适用于它们。
• 企业：名称、产品、认证信息（经核验的域名或社交媒体账号）、团队成员和邀请。
• 推送通知：用于 Apple 推送服务的设备标识。通知只告知有新内容——不含内容，也不含化名。
• 付款：在 App Store 购买时，Apple 向我们提供交易标识、产品、价格、币种和购买国家，但不提供付款数据。在浏览器中购买时，Stripe 向我们提供订阅标识、金额和状态；我们从不接触银行卡或账户信息。
• Earn：企业是通过哪个链接而来、佣金以及你的收款信息（IBAN 或 PayPal 地址，加密保存）。只有运营者能读取这些信息，以便付款。
• AI 分析师：你与 AI 分析师的对话记录——问题和回答，加密保存，按个人和企业分开——以及企业提出了多少问题及其成本（第 5 条）。
• 支持：你通过帮助表单发给我们的内容；它以电子邮件形式送达，并以你的地址作为回复地址。
• 等候名单（tellsom.com）：你的电子邮件地址和语言，以便我们在上线时通知你。
• 审核：举报、自动过滤器的命中记录、警告、封禁以及我们的决定——作为证据并用于履行《数字服务法》（DSA）规定的义务。
• 通过“举报滥用”表单及在 App 中提交的举报：被举报的地址、类别和理由（在 App 中以被举报的部分——文本、图片或名称——代替理由）、被举报公开文本的副本、内部记录的该内容所属的账户或企业，以及（仅限表单、自愿提供的）你的姓名和电子邮件地址。电子邮件地址仅以加密形式保存，且只用于确认收到举报和告知我们的决定；之后即被删除。
• 服务器日志：不含消息内容、不含明文 IP 地址的技术记录，用于排查错误和保障安全。

4. 在你的设备上

应用会将你的登录信息和访客令牌保存在 iPhone 钥匙串中，此外还保存语言、最近搜索以及你对 AI 分析师的同意等设置。在浏览器中，我们只设置一个技术上必需的会话 Cookie；当你在登录页面选择语言后，还会设置一个记住该语言的 Cookie（一年）；少量设置保存在本地。没有用于广告或分析的 Cookie。

5. AI 分析师（tellsom Business）

当企业向 AI 分析师提问时，我们会将问题、此前的对话以及企业的数据——产品、带星级和文字的评价，以及与顾客就这些产品进行的聊天——发送给位于美国的 Anthropic，即 AI 模型 Claude 的提供方。顾客在其中不带姓名和化名，仅显示为“顾客”。个人一对一聊天和 Direct Messages 不在此列。在第一次提问前，应用会征求许可。我们会在自己的系统中加密保存你的对话记录，让你退出登录后、在任何设备上都还能看到；团队成员看不到它。Anthropic 只会在每次提问时随问题一起收到它。

6. 法律依据

• 合同（GDPR 第 6 条第 1 款 b 项）：账户、聊天、活动、链接、Business、订阅、Earn 和支持。
• 正当利益（GDPR 第 6 条第 1 款 f 项）：安全、限制请求、防止滥用、自动过滤器和审核——用于防范霸凌和仇恨。
• 同意（GDPR 第 6 条第 1 款 a 项）：推送通知、通知邮件、等候名单，以及为 AI 分析师向 Anthropic 传输数据。你可以随时在应用中（推送在设置中，AI 分析师在其聊天菜单中）或通过电子邮件撤回同意，撤回对将来生效。
• 法定义务（GDPR 第 6 条第 1 款 c 项）：保存与记账相关的数据、向主管机关提供信息以及履行 DSA 规定的义务。

7. 接收方

• Cloudflare——托管、数据库、文件存储、机器人防护（Turnstile）、自动过滤器所用的 AI 模型（Workers AI）以及发送电子邮件（登录验证码、通知、支持）。数据库目前在欧盟运行，但在合同上并未限定于欧盟。此外，Turnstile 还适用 Cloudflare 的 Turnstile Privacy Addendum。
• Resend——仅在 Cloudflare 无法投递某封电子邮件时作为备用发送渠道。
• Anthropic——仅用于 AI 分析师（第 5 条）。
• Apple——推送通知、“通过 Apple 登录”以及 App Store 购买。
• Google——仅在“通过 Google 登录”时用于验证登录。
• Stripe——浏览器中的付款。Stripe 作为登记商户（merchant of record），自行负责处理付款数据。
• 主管机关——仅在法律或命令要求时。

我们已与数据处理者签订符合 GDPR 第 28 条的合同。

8. 向第三国传输

Cloudflare、Resend、Anthropic、Apple、Google 和 Stripe 也会在美国处理数据。如果接收方已根据欧盟—美国数据隐私框架获得认证，我们依据欧盟委员会的充分性决定进行传输；否则依据标准合同条款（GDPR 第 46 条第 2 款 c 项）。

9. 保存期限

• 账户：直至你将其删除。提出删除请求后，账户会立即停用，并在 30 天后连同图片被永久删除。
• 来自活动和“问我”链接的聊天：在活动或链接结束 90 天后连同消息一并删除。你删除的聊天会立即从你的收件箱中消失。
• 产品评价和客户聊天（tellsom Business）：在产品存在期间保存。企业删除产品后，其评价、客户聊天和产品照片将在 90 天后被永久删除；产品代码仍会保留，确保印刷的二维码永远不会指向他人的产品。
• 与 AI 分析师的对话记录：保存至你删除账户、企业被删除或你离开团队为止；每段对话最多保留最近 200 条消息。
• 会话：过期的会话保存 30 天，被撤销的会话在结束后保存 90 天。
• IP 哈希：盐值每 30 天更换一次；此后较早的哈希无法再与任何请求关联。
• 举报和审核决定：在作为证据所需的期间内保存；为此，被举报聊天的化名在聊天删除后仍会保留。
• 与记账相关的数据（如佣金和付款）：按税法要求的期限保存（在奥地利为七年）。
• 等候名单：保存至上线或直至你要求删除。
• 服务器日志：几天后自动删除。
• 备份：已删除的数据最多还会在加密备份中保留 35 天，这些备份仅用于故障后的恢复；之后也会从备份中删除。

10. 自动化决策

过滤器会自动决定消息是否送达，屡次违规后的封禁也会自动执行（使用条款第 6 条）。你可以随时通过电子邮件 kontakt@tellsom.com 要求人工复核该决定、陈述你的观点并对决定提出异议。

11. 你的权利

你享有访问权、更正权、删除权（设置中的“删除账户”）、限制处理权、数据可携带权（设置中的“导出数据”），以及反对基于正当利益的处理的权利。你可以随时撤回同意，撤回对将来生效。请发送邮件至 kontakt@tellsom.com。

你可以向数据保护机构投诉——在奥地利为 Datenschutzbehörde（奥地利数据保护局），地址：Barichgasse 40–42, 1030 维也纳，dsb@dsb.gv.at。

12. 最低年龄

tellsom 仅供年满 18 周岁的人使用。我们不会在知情的情况下处理未成年人的数据；一旦得知，我们将删除该账户。

在 iOS App 中注册时——在 Apple 表示适用年龄规定的情况下——我们会通过 Apple 的“Declared Age Range”接口请求一个年龄范围，绝不请求出生日期。该范围仅在你的设备上评估，既不会被保存，也不会发送给 tellsom。如果范围低于 18 岁，注册即告终止；在此次注册中刚刚创建的账户会被再次删除。其他情况下，与各处一样，适用你本人对年满 18 周岁的确认。

13. 变更

如果我们处理数据的方式发生变化，我们会更新本政策，并告知你重大变更。