隐私政策

• 账户：你的邮箱和界面语言。登录不用密码，邮件里的一次性链接 15 分钟内有效，我们只保存它的哈希值。
• 孩子：你填写的称呼，以及选填的生日。用小名就可以。
• 画作和录音：画作照片、不超过 10 秒的录音、录音转成的文字，以及装裱好的画和轻轻动起来的版本。照片在上传前就会在你的设备上去掉位置和设备信息，服务器收到后还会再清理一遍。
• 家庭：你邀请的家人的邮箱，以及每位家人是否接收周日来信。
• 付款：由 Stripe 处理，我们看不到也不保存银行卡号，只记下会员状态、订单和精装绘本的收货地址。
• 提醒：开启周日提醒时，浏览器提供的推送地址。

我们不收集位置和通讯录，没有广告，不用任何第三方统计或追踪工具，也绝不出售任何信息。

• 装裱画作，把孩子的话转成文字，编每个周日的有声画报和你家的绘本；
• 让你登录，给你和家人发信、发提醒；
• 收款、退款，防止滥用。

除此之外不作他用。你家的画作、录音和文字，绝不用于训练任何模型。

有些工作需要专门的服务商来完成。他们只拿到完成那一件事所需的内容，按约定不得留存，也不得另作他用：

• Rlab：模型网关。为大多数家庭装裱画作、转写录音，编写并朗读画报。
• 小米 MiMo：位于中国大陆的模型服务。用简体中文注册的家庭，模型处理只交给它和下面的 MiniMax，除非你另外勾选同意把画作交给境外的图像模型装裱；其他家庭在 Rlab 不可用时也会用到它。
• MiniMax：位于中国大陆的语音服务，朗读粤语、日语、韩语和泰语的画报。
• Stripe：处理付款。
• Cloudflare：发送邮件、传输网络流量、存放加密备份。
• 浏览器的推送服务：只转交加密后的提醒，看不到内容。

交给图像模型的只有画纸本身。编写画报时，孩子的名字会换成代号，模型看不到；朗读时，旁白里的称呼会随文字一起交给语音服务。

• 数据库和文件存放在我们位于中国香港的服务器上，用简体中文注册的家庭单独分区存放。
• 画作、录音、文字和画报音频都先用 AES-256-GCM 加密，再写入硬盘。
• 家里的画和录音只能通过带签名的链接打开，链接 10 到 15 分钟后失效；画报音频的链接 3 小时后失效。
• 每天夜里把加密后的数据备份到 Cloudflare R2。
• 分享给长辈的画报链接带签名，不会被搜索引擎收录；创建者可以随时一键全部收回。

• 画作、文字和画报：一直保存，直到你删除或注销账户。
• 录音：没有勾选保留原声的，转成文字后立即删除。
• 登录状态保存 30 天；邀请 7 天内有效。
• 删除画作或注销账户后，数据会立即从服务器上删除，备份里的副本在 30 天内自动清除。
• 付款记录由 Stripe 按法律要求的期限保存。

我们只用两个必要的 Cookie：一个记住你的登录状态，一个记住你选的语言。没有广告或统计 Cookie。

• 查阅和导出：在「家庭」页可以把全部画作、录音、文字和画报打包下载。
• 删除：每一幅画都可以单独删除，也可以注销账户。创建者注销会删除整个家庭，以及其中全部的画作、录音和画报；家人注销只删除自己的账户。
• 更正：孩子的称呼或生日写错了，写信告诉我们，我们会改好。
• 撤回同意：随时可以撤回。删除相应的画，或者注销账户，我们就不再处理这些信息。

你也有权向所在地的个人信息保护机构投诉。

孩子的画和声音只由家长或监护人上传，上传前需要你作为监护人单独同意。录音不提取声纹，家里的内容默认只有家人看得到。

对这份政策或你的信息有任何疑问，请写信到 …。政策有重要变化时，我们会提前发邮件告诉你。