With Affection 隐私政策
草稿：还有 32 处待定，下面已高亮。
生效日期：【待定：生效日期】
最近更新：【待定：最近更新日期】
本政策说明 With Affection 应用和它的转信服务（我们称之为"信局"）收集哪些信息、为什么收集、谁能看到、保存多久，以及你能做什么。
本政策有英文和简体中文两个版本。两者不一致时，以英文版为准。
简要说明
- 我们是谁。 With Affection 由一个人运营：【待定：运营者法定全名】，住在中国大陆。背后没有公司。本政策里的"我们"就是指这个人。
- 收集什么。 你的 Apple 登录标识、出生年月、苹果提供的年龄段、笔名、你自选的城市、草稿和信，以及信局转信所需的记录（日期、邮票、笔友、拒收、举报）。
- 不做什么。 没有广告，没有统计分析或追踪工具。绝不出售你的信息，也不为广告而共享。从不使用定位，城市是你自己选的。
- 谁读信。 每封信封缄时由程序自动检查，没有人读信。例外很少：收信人举报了某封信，我们会读那一封；另有第 6 节所列的少数情况。
- 存在哪里。 存在美国境内的一台服务器上，不存放在中国大陆。但运营者在中国大陆管理服务、处理举报（见第 8 节）。
- 你能做什么。 可以改笔名（一年一次）、换城市、移除收到的信，随时在设置里注销账号。你已经寄出并送达的信，会留在收信人那里。
- 年龄。 须年满 16 岁。未满 18 岁的用户，首封只在未满 18 岁的用户之间往来（见第 10 节）。
1. 谁对你的信息负责
With Affection 的运营者是【待定：运营者法定全名】，一位住在中国大陆的个人。
- 邮箱：【待定：联系邮箱，建议 support@withaffection.app】
- 通信地址：【待定：通信地址（如有）】
- 网站：withaffection.app
也可以在应用里联系我们：设置 → 联系我们。
2. 本政策用到的词
- 信局：With Affection 的转信服务。每一封信都先寄到信局，再由信局转交给收信人。
- 信箱：你在服务里的地址，别人看不到。
- 笔名：别人看到的名字，可以和别人重名。
- 封缄：写完一封信、把它交给信局。封缄之后，你自己也读不到这封信了。
- 首封：写给陌生人的信。你不选收信人，由信局决定交给谁。
- 笔友：信局连起来的两个人。一个人收到首封后回了信，回信送达，两人就成了笔友。
- 拒收：不再接收某个人的来信。
- 退信：一封信没有被任何人读过，退回给寄件人。
3. 我们收集的信息
只收集服务运转所需的信息。
3.1 你提供的信息
| 信息 | 用途 |
|---|---|
| Apple 登录标识。 苹果给我们一个随机标识，只对应你和本应用。【待定：应用是否向苹果索取你的邮箱。建议不索取。如果索取，补一句："如果你选择提供邮箱或苹果的转发邮箱，我们只用它联系你处理账号事务。"】 | 建立账号、让你登录。我们拿不到你的 Apple 密码。 |
| 出生年月 | 确认你年满 16 岁，并执行未满 18 岁用户的规则（见第 10 节）。随账号保存，不给任何人看。 |
| 笔名，以及改名后最近一个曾用名 | 给你写信的对象和你的笔友看。 |
| 你从清单里选的城市 | 只用来估算信在路上要走几天。不给其他用户看。我们不核实，也从不使用手机定位。 |
| 草稿 | 让你之后接着写。草稿保存在我们的服务器上。 |
| 你封缄的信 | 自动检查，在路上时代为保管，然后送达。 |
| 你提交的举报，包括你写下的说明 | 查看被举报的信并处理。 |
| 你通过邮件或"联系我们"发来的消息 | 回复你。 |
3.2 使用过程中产生的信息
- 信的日期和状态：每封信什么时候封缄、什么时候被信局收下、什么时候送达或退信。应用里显示的日期都只到日。
- 邮票：你有几张，下一张哪天到。
- 你的笔友是谁，第一次收到对方来信的日子，成为笔友的日子，往来了多少封。
- 你拒收了谁，是否已恢复接收。
- 哪些信已经拆开，哪些已经移除。
- 你最近一次打开应用的时间。信局只把首封交给仍在使用应用的人，要用到这个时间。
- 【待定：应用是否把手机的时区和界面语言发给服务器，用来正确显示日期和城市名。建议发送，并保留本条。】
3.3 来自苹果的信息
- 年龄段。 注册时，系统会询问是否允许 With Affection 读取你 Apple 账户里的年龄段。你同意后，苹果只提供一个年龄段（例如"18 岁及以上"），不提供具体生日。我们用它核对你填写的出生年月。【待定：你拒绝提供年龄段，或年龄段与填写的不一致时怎么处理。】
- 付款。 你在苹果那里购买本应用，付款完全由苹果处理。我们看不到你的银行卡或付款信息。苹果只给我们不能识别个人的销售报表。
- 崩溃报告。 如果你在 iPhone 设置里选择了与应用开发者共享分析数据，苹果可能把崩溃报告和使用统计发给我们。苹果表示这些数据不能识别你本人。
3.4 技术信息
应用连接信局时，我们的服务器和 Cloudflare（见第 7 节）会收到一些技术信息，例如你的 IP 地址、请求时间和应用版本。我们用它们来运行服务、保障安全、排查问题。服务器日志保存【待定：日志保存期限，建议 30 天】。
3.5 我们不收集的
- 不读取手机定位。
- 不读取通讯录、照片、麦克风或相机。
- 不收集广告标识符。应用里没有统计分析、广告或追踪软件。
- 不收集付款信息。
- 信只有纯文字，没有照片或文件。
4. 我们怎样使用你的信息
只用于：
- 提供服务：登录、写信、封缄、送达和退信、邮票、笔友、拒收、月历和寄件凭据。
- 执行年龄规则（见第 10 节）。
- 自动检查信里有没有违反用户协议的内容（见第 6 节）。
- 处理举报，维护安全，包括处理违反规则的人。
- 回复你的消息。
- 保障服务安全和正常运转，修复问题。
- 遵守法律，包括按美国法律要求报告疑似儿童性剥削内容（见第 6 节）。
我们不把你的信息用于广告、用户画像或推销。不用你的信训练人工智能。不会仅凭自动化处理就对你作出具有法律效果或类似重大影响的决定；自动检查只决定一封信能否寄出（见第 6 节）。
5. 其他用户能看到什么
| 谁 | 能看到什么 |
|---|---|
| 收到你的信的人 | 你的信、你的笔名（改过名的，还有最近一个曾用名）、你封缄那天的日期。对照封缄日和送达日，对方能大致算出这封信走了几天。 |
| 收到你首封的陌生人 | 同上。在对方回信、你们成为笔友之前，你看不到对方的笔名。 |
| 你的笔友 | 你的笔名、你寄给对方的信、相识的日子、认识了多久、双方往来的总封数。 |
| 其他任何人 | 你的城市、出生年月、年龄段、邮票、草稿、你拒收了谁、你举报了什么，都不会给其他用户看。被你拒收的人不会收到通知。被举报的人不会知道是你举报的。 |
重要：信寄出后不能收回。 封缄之后，你不能再读、不能取消，也不能从对方信箱里删掉。收信人可以保留、复制或截图。只写你愿意让别人留着的内容。不要把住址、电话、学校、密码这类不想让陌生人知道的东西写进信里。
6. 信怎样被检查，谁能读到
6.1 自动检查
封缄时，程序会自动检查这封信有没有违反用户协议的内容。
【待定：自动检查由谁提供。定下后，二选一：
（甲）"检查在我们自己的服务器上进行，不会为此把你的信交给其他公司。"
（乙）"检查由【服务商名称】进行。服务商只为检查而接收信的正文，不得用于其他用途【待定：确认服务商不拿它训练模型】，最多保存【待定：服务商保存期限，例如不超过 30 天】。"】
【待定：检查发现问题时怎么处理。建议写："如果检查发现信里有明显违反规则的内容，这封信不会封缄，仍留在草稿里，不用邮票，应用会告诉你原因。"这个过程中没有人读信，6.3 所列情况除外。】
6.2 没有人读信
我们的规则是：没有人读你的信。例外见 6.3。
6.3 例外
- 信被举报时。 收到你的信的人举报了它，运营者就能读到这一封信、举报内容，以及处理所需的信息（例如双方笔名和这封信的日期）。一次举报不会让运营者读到你的其他信。
- 儿童安全。 如果一封信看起来涉及对儿童的性剥削，我们可能会查看它，并按美国法律（美国法典第 18 编第 2258A 条）的要求，连同相关账号信息报告给美国国家失踪与受剥削儿童中心（NCMEC）。NCMEC 可能把报告转给执法机关。
- 法律要求时。 如果有效的法律程序（例如法院命令或传票）要求，或者我们善意地认为为了防止有人死亡或受到严重伤害有必要，我们可能披露信息，包括信的内容。
6.4 加密：做到了什么，没做到什么
- 应用与信局之间的连接使用 HTTPS。
- 信的正文在服务器和备份里都加密保存。
- 这不是端到端加密。信局的系统掌握密钥，能够解密，因为它要检查信、送达信，还要把被举报的信给运营者看。替我们处理 HTTPS 的 Cloudflare，在连接经过它的网络时会短暂处理其中的内容，包括信的正文。
6.5 翻译在你的 iPhone 上完成
来信的语言和你的界面语言不同时，应用可以提供机器翻译。翻译用的是苹果系统自带的翻译功能，在你的手机上完成，信的正文不会为此发到我们的服务器。系统可能需要先从苹果下载对应的语言。
7. 我们与谁共享信息
我们绝不出售你的信息，也不为广告共享。
只与下面这些服务商共享，而且只共享它们运行服务所需的部分：
| 服务商 | 做什么 | 接触哪些信息 |
|---|---|---|
| Apple | Apple 登录、年龄段、应用分发和付款、推送通知【待定：推送尚在计划中，上线后再保留这一项】 | 苹果本来就有的 Apple 账户信息；开启通知后，通知内容和用于推送的设备地址 |
| Google Cloud（主机服务商） | 出租位于美国境内的服务器，服务的全部数据存在这里 | 第 3 节所述的全部数据，信的正文加密 |
| Cloudflare | 位于我们服务器前面，处理 HTTPS、防御攻击；保存加密的数据库备份（Cloudflare R2） | 连接数据（IP 地址、请求内容，包括传输中的信件正文）；加密备份。【待定：确认 R2 备份所选的存放地点，不能是中国大陆。】 |
| 【待定：自动检查服务商，如果 6.1 选（乙）】 | 封缄时检查信 | 信的正文 |
| 【待定：support@withaffection.app 所用的邮件服务商】 | 接收并保存你发来的邮件 | 你的邮箱地址和邮件内容 |
此外，我们可能在下列情况下披露信息：
- 按第 6.3 节，向 NCMEC 或执法机关披露；
- 为保护用户、公众或我们的权利、安全和财产，或为执行用户协议；
- 本服务转让给其他个人或公司时。如果发生这种情况，在你的信息适用另一份隐私政策之前，我们会告诉你。
8. 信息存在哪里，以及从中国大陆的访问
- 服务的全部数据存在美国境内的服务器上，加密备份由 Cloudflare 保存。
- 服务数据不存放在中国大陆。
- 运营者住在中国大陆。 运营者在中国大陆远程管理服务器、回复邮件、处理举报。这意味着：
- 有信被举报时，运营者是在中国大陆读到这封信和举报内容的。
- 作为服务器的管理者，运营者在技术上能接触到存放你数据的系统，尽管我们的规则是只打开被举报的信（见第 6 节）。
- 在中国大陆查看的信息，可能受中国法律管辖。在某些情况下，中国有关部门可能要求获取这些信息。
- 服务器在美国，你的信息受美国法律管辖，美国有关部门可能通过法律程序要求获取。
使用本服务，即表示你了解你的信息会这样处理。如果不接受，请不要使用本服务。
9. 信息保存多久
| 信息 | 保存多久 |
|---|---|
| 账号、笔名、曾用名、城市、出生年月、年龄段 | 直到你注销账号 |
| 草稿 | 直到你删除、封缄，或注销账号 |
| 你收到的信 | 直到你移除，或注销账号。【待定：确认移除一封信时，服务器上删除正文、只留日期。建议这样做。】 |
| 你寄出的信 | 为收信人保留，直到对方移除或注销自己的账号；即使你注销了，也照样保留。退信的正文回到你的草稿。 |
| 投递记录、邮票、笔友、拒收 | 直到你注销账号。属于对方的记录（例如你给对方写过信）留在对方那里。 |
| 举报、被举报的信、我们的处理记录 | 【待定：安全记录保存期限，建议举报处理完毕后 1 年】；涉及法律纠纷或法律要求时更久 |
| 报告给 NCMEC 的信及相关信息 | 按美国法律要求的期限保存（目前为 1 年）；执法机关要求时更久 |
| 因违反规则被关闭的账号记录 | 【待定：建议最长 3 年】，防止同一人重新注册。只保留为此所需的信息。 |
| 服务器日志 | 【待定：日志保存期限，建议 30 天】 |
| 加密备份 | 每份备份保存【待定：备份保存期限，建议 30 天】后删除。你删除的数据，在含有它的备份到期后随之消失。 |
| 你发给我们的邮件 | 【待定：邮件保存期限，建议最后一封往来后 2 年】 |
10. 写给 16、17 岁的用户和家长
With Affection 只对年满 16 岁的人开放。未满 16 岁的人不能使用。
怎样确认年龄。 注册时你要填出生年月，系统还会询问是否允许读取你 Apple 账户里的年龄段。任何一项显示你未满 16 岁，都不能注册。这不是严格的身份核验，我们依据的是你填写的内容和苹果提供的信息。
首封按年龄分开。
- 未满 18 岁的用户，寄出的首封只会交给同样未满 18 岁的用户，收到的首封也只来自未满 18 岁的用户。
- 18 岁及以上的用户，首封只在彼此之间往来。
- 年满 18 岁后，新的首封改在成年用户之间往来。已经是笔友的，仍然是笔友。
对所有人都一样的。 你的城市、出生年月和邮票只有你自己知道。你可以拒收任何人的来信，举报任何一封信。对所有人都没有广告和追踪。
如果你 16 或 17 岁：
- 除非你很确定，否则不要把住址、电话、学校、社交账号或其他能找到你的方式写进信里。你什么都不必透露。
- 一封信让你不舒服，可以拒收这个人的来信，并举报这封信。对方不会知道。
- 如果你身处危险，请联系当地紧急服务。在美国，可以拨打或发短信到 988 获得危机援助。
- 移除你寄出的信。【待定：未成年人移除自己发布内容的权利。美国加州法律（加州商业与职业法典第 22581 条）允许未满 18 岁的用户要求移除自己发布的内容。产品支持后，建议写："如果你未满 18 岁，可以发邮件请我们把你寄出的某封信从收信人的信箱里移除，或者去掉信上的笔名。无论你住在哪里，只要未满 18 岁，我们都会照办。这不能保证这封信彻底消失，收信人可能已经复制过。"】
家长和监护人。 如果你认为未满 16 岁的孩子在使用 With Affection，或者你是 16、17 岁孩子的家长或监护人并有顾虑，请发邮件到【待定：联系邮箱】。一旦得知某个账号属于未满 16 岁的人，我们会删除它。【待定：16、17 岁孩子的家长能否要求删除孩子的账号，以及如何确认请求。建议可以，经孩子账号里的"联系我们"确认后办理。】
13 岁以下的儿童。 本服务不面向 13 岁以下儿童，我们不会有意收集他们的信息。美国《儿童在线隐私保护法》（COPPA）适用于向 13 岁以下儿童收集信息的服务；由于 13 岁以下儿童不允许使用，我们不会在该法意义上收集信息。如果发现收集了 13 岁以下儿童（或任何未满 16 岁的人）的信息，我们会删除。
11. 你的选择和权利
下列权利给每一位使用 With Affection 的人，无论住在哪里，包括美国各州。其中一部分来自《加州消费者隐私法》等法律；不管法律是否要求，我们都提供给所有用户。
在应用里可以：
- 在设置里改笔名（一年一次）、换城市。
- 删除草稿，移除收到的信。
- 拒收某个人的来信。
- 推送上线后，在系统设置里开关通知。
- 注销账号：设置 → 注销账号。
发邮件到【待定：联系邮箱】，可以请我们：
- 告诉你我们保存了你的哪些信息，并以常用格式给你一份副本。
- 更正有误的信息（例如出生年月）。
- 删除你的信息。
- 限制我们使用信息的方式。（我们本来就只按第 4 节的用途使用。）
需要知道的限制：
- 已封缄的信。 已封缄的信按设计连寄件人自己也读不到。你索取数据副本时，我们会提供账号信息、草稿和你收到的信，但不提供你已封缄的信的正文，法律要求时除外。
- 已送达给别人的信属于收信人的信箱。注销账号不会删除它们（见第 12 节）。
怎样处理请求。 为了保护你，我们需要确认请求确实来自你本人。【待定：如何确认身份。建议通过"设置 → 联系我们"发出请求，请求里附带你的账号标识；或请你在应用内确认。】你可以委托代理人办理，我们可能要求出示授权证明。我们会在 45 天内答复；需要延长时（最多再延 45 天），会告诉你原因。如果我们拒绝请求，会说明理由，你可以回复我们的答复提出申诉，我们在 45 天内答复申诉。仍不满意的，可以联系你所在州的总检察长。
我们不出售也不共享你的个人信息（这里的"出售""共享"按加州法律的含义，即换取金钱或用于跨情境行为广告）。我们只为提供服务而使用敏感个人信息。你行使这些权利，不会因此受到任何区别对待。
"请勿追踪"和"全球隐私控制"信号。 我们不跨应用或网站追踪你，所以这些信号不会改变任何事情。
12. 注销账号
进入设置 → 注销账号。注销后不能恢复。
注销后：
- 删除： 你的账号、城市、草稿、邮票，以及你收到的信。出生年月和年龄段也会删除。
- 留在收信人那里： 你寄出且已送达的信，连同你的笔名（以及最近一个曾用名，如有）。你仍会留在笔友的名单里。
- 照常送达： 你已封缄、还在路上的信。
- 退信： 之后别人写给你的信会退回。对方只会被告知这封信没能送到，没有人读过它。
- 限期保留： 服务器日志、备份、举报和安全记录，按第 9 节的期限保留。
【待定：注销后多快在服务器上生效。建议确认注销时立即生效。】
如果你已经没有这个应用，可以发邮件给我们，确认是你本人后，我们会为你注销账号。
13. 安全
我们用 HTTPS 连接、加密信件正文和备份、限制访问（只有运营者能管理服务）来保护你的信息。没有哪个系统绝对安全。如果发生影响你个人信息的安全事件，我们会按法律要求通知你和有关部门。
14. 不提供服务的地区
With Affection 不在中国大陆、欧盟各成员国、英国和澳大利亚提供。我们没有这些地方法律（例如欧盟和英国的《通用数据保护条例》）所要求的相应机制。如果你在这些地方，请不要使用本服务。
15. 政策变更
新版本会发布在 withaffection.app，并更新"最近更新"日期。重要变更会在生效前在应用里告诉你【待定：应用需要具备显示这类通知的方式】。如果变更会让我们以明显不同的方式使用你已提供的信息，我们会先征得你的同意。
16. 联系方式
【待定：运营者法定全名】
邮箱：【待定：联系邮箱，建议 support@withaffection.app】
通信地址：【待定：通信地址（如有）】
应用内：设置 → 联系我们