私隱政策

• 帳戶：你的電郵地址和介面語言。登入毋須密碼，電郵裡的一次性連結 15 分鐘內有效，我們只保存它的雜湊值。
• 孩子：你填寫的稱呼，以及選填的出生日期。用小名就可以。
• 畫作和錄音：畫作相片、不超過 10 秒的錄音、錄音轉成的文字，以及裝裱好的畫和輕輕動起來的版本。相片上傳前已在你的裝置上去除位置和裝置資料，伺服器收到後會再清理一次。
• 家庭：你邀請的家人的電郵地址，以及每位家人是否接收星期日來信。
• 付款：由 Stripe 處理，我們看不到也不會保存信用卡號碼，只記錄會員狀態、訂單和精裝繪本的收件地址。
• 提醒：開啟星期日提醒時，瀏覽器提供的推送地址。

我們不收集位置和通訊錄，沒有廣告，不使用任何第三方統計或追蹤工具，亦絕不出售任何資料。

• 裝裱畫作，把孩子的話轉成文字，編製每個星期日的有聲畫報和你家的繪本；
• 讓你登入，向你和家人發送電郵和提醒；
• 收款、退款，防止濫用。

除此之外不作他用。你家的畫作、錄音和文字，絕不用於訓練任何模型。

有些工作需要專門的服務商完成。他們只會取得完成那一件事所需的內容，按約定不得保留，亦不得另作他用：

• Rlab：模型關口。為大部分家庭裝裱畫作、轉寫錄音，編寫並朗讀畫報。
• 小米 MiMo：位於中國內地的模型服務。以簡體中文註冊的家庭，模型處理只交給它和下面的 MiniMax，除非你另外剔選同意把畫作交給內地以外的圖像模型裝裱；其他家庭在 Rlab 無法使用時亦會用到它。
• MiniMax：位於中國內地的語音服務，朗讀粵語、日語、韓語和泰語的畫報。
• Stripe：處理付款。
• Cloudflare：發送電郵、傳輸網絡流量、存放加密備份。
• 瀏覽器的推送服務：只轉交加密後的提醒，看不到內容。

交給圖像模型的只有畫紙本身。編寫畫報時，孩子的名字會換成代號，模型看不到；朗讀時，旁白裡的稱呼會連同文字交給語音服務。

• 資料庫和檔案存放在我們位於香港的伺服器上，以簡體中文註冊的家庭分區存放。
• 畫作、錄音、文字和畫報音訊都先以 AES-256-GCM 加密，再寫入硬碟。
• 家中的畫和錄音只能經帶簽署的連結開啟，連結 10 至 15 分鐘後失效；畫報音訊的連結 3 小時後失效。
• 每晚把加密後的資料備份到 Cloudflare R2。
• 分享給長輩的畫報連結帶簽署，不會被搜尋器收錄；建立者可以隨時一鍵全部收回。

• 畫作、文字和畫報：一直保存，直至你刪除或註銷帳戶。
• 錄音：沒有剔選保留原聲的，轉成文字後即時刪除。
• 登入狀態保存 30 天；邀請 7 天內有效。
• 刪除畫作或註銷帳戶後，資料會即時從伺服器刪除，備份裡的副本會在 30 天內自動清除。
• 付款紀錄由 Stripe 按法例要求的期限保存。

我們只使用兩個必要的 Cookie：一個記住你的登入狀態，一個記住你選擇的語言。沒有廣告或統計 Cookie。

• 查閱和匯出：在「家庭」頁可以把全部畫作、錄音、文字和畫報打包下載。
• 刪除：每一幅畫都可以單獨刪除，也可以註銷帳戶。建立者註銷會刪除整個家庭，以及其中全部的畫作、錄音和畫報；家人註銷只會刪除自己的帳戶。
• 改正：孩子的稱呼或出生日期寫錯了，寫信告訴我們，我們會改好。
• 撤回同意：隨時可以撤回。刪除相應的畫或註銷帳戶，我們便不再處理這些資料。

你亦有權向個人資料私隱專員公署或所在地的資料保護機構投訴。

孩子的畫和聲音只由家長或監護人上傳，上傳前需要你以監護人身分另行同意。錄音不提取聲紋，家中的內容預設只有家人看得到。

對這份政策或你的資料有任何疑問，請寫信到 …。政策有重要修改時，我們會預先以電郵通知你。