隐私政策

生效日期： 2026年10月12日

Lifeline 保存你人生中的重要时刻。本政策用简明的语言说明：本应用收集哪些数据、数据去往何处、保存多长时间，以及你可以对此做些什么。本政策依照本应用的实际做法撰写；凡是未加密或会与其他公司共享的内容，我们都会明确说明。

1. 谁对你的数据负责

Lifeline 由常驻以色列的个人开发者 Konstantin Tikhaev（以下称“我们”）开发。他是你的个人信息的控制者。

联系方式：founder@theplacewelive.org。我们会在 30 天内答复有关隐私的问题和请求，通常会快得多。

2. 简要说明

你的回忆保存在你的账户中，因此你可以在自己的任何设备上查看。我们不出售你的数据，也不展示广告。
你可以用主密码加密任何一条回忆。加密后，其中的文字（正文、你的反思、AI 的提问和你的回答）会在到达我们的服务器之前先在你的手机上加密，我们无法读取。标题、日期、情绪、歌曲、照片、视频和语音笔记不会加密。
AI 功能是可选的，并且仅供年满 18 周岁的人使用。在你于应用内确认年龄并表示同意之前，不会向 AI 发送任何内容。当你使用这些功能时，它们所需的那部分回忆内容会经由我们的服务器发送给 Google 的 Gemini 模型。
使用统计、崩溃报告以及与 Meta 合作的广告效果衡量在你允许之前处于关闭状态：应用只会询问一次，在你允许之前，Meta 的 SDK 甚至不会启动。你可以在“个人资料” > “隐私” > “使用统计”中更改你的选择。在 iPhone 上，Meta 还需要你在 Apple 的跟踪请求提示中选择“允许”。
你可以免费导出你的全部回忆，并在应用内删除你的账户。

3. 我们收集什么，以及为什么收集

3.1 你的账户

电子邮件地址和姓名：由你提供，或在你使用 Google 或 Apple 登录时由其提供，用于识别你的账户，以及就账户事宜与你联系（例如发送验证码）。
用户 ID：由 Firebase Authentication 生成。
你的头像链接：如果你使用 Google 登录，则来自 Google。
语言和你的设置（通知、声音、AI 开关、显示）。
访客模式：你可以不提供电子邮件试用 Lifeline。访客账户是匿名的，最多保存 5 条回忆；与任何账户一样，它以其匿名 ID 保存在我们的云端。访客退出登录时，访客账户及其回忆会被删除，包括手机上和我们云端的数据。

我们从不接收你的 Google 或 Apple 密码。

3.2 你的回忆

每条回忆可以包含：标题、日期、正文、你的反思、一种情绪（附带你自己的一个词及其强度）、照片、一段视频、语音笔记、一首来自 Spotify 的歌曲（其 Spotify ID）、一种环境音，以及 AI 的提问和你的回答。我们保存这些内容，用于显示你的时间线、在你的设备之间同步，以及在“那年今日”中重现回忆。

回忆首先保存在你的手机上（因此应用可以离线使用），然后同步到你在 Google 云端（Firebase）的账户。照片在上传前会重新编码，这会移除其中的位置数据（EXIF）。视频和音频按原样上传；如果视频文件中包含位置数据，该数据会保留在文件中。

3.3 加密的回忆

设置主密码后，你可以加密任何一条回忆（在撰写或编辑回忆时选择“加密这段回忆”）：

其正文、反思以及 AI 的提问和回答会在你的设备上使用随机密钥以 AES-256-GCM 加密。我们的服务器只保存经过封装的该密钥：用由你的密码派生的密钥（PBKDF2）封装，如果你在“个人资料”中创建了恢复密钥，还会用你的恢复密钥封装。我们无法解开它。
标题、日期、情绪（包括你自己的词）、歌曲、照片、视频、语音笔记及其名称不会加密，以便时间线、搜索和“那年今日”能够正常运行。
有了恢复密钥，你可以设置新密码并保留所有内容。如果既没有密码也没有恢复密钥，任何人（包括我们）都无法打开已加密的回忆。
如果你开启用面容 ID、指纹或手机密码解锁，为此会在你手机的安全存储中保存一个密钥。生物识别数据永远不会离开你的手机。
通知和主屏幕小组件从不显示已加密回忆的标题或文字。

你未加密的回忆在传输过程中（TLS）以及存储在 Google 服务器上时受到保护，但不会用你自己的密钥加密。

3.4 AI 功能

Lifeline 中的 AI 是可选的，并且仅供年满 18 周岁的人使用。在你于应用内确认年龄并表示同意之前，不会向 AI 发送任何内容；你可以随时在“个人资料”中关闭 AI，这同时也会撤回你的同意。除总开关外，提问、每月模式，以及“人生罗盘”连同“相似时刻之后发生了什么”还各有单独的开关。

当某项 AI 功能运行时，我们的服务器只会把该功能所需的内容发送给 Google 的 Gemini 模型：

保存回忆时的提问（如果“关于回忆的提问”已开启）：你未加密的每条新回忆的标题、正文、日期、情绪，以及你写下的“影响”和“学到的教训”两项反思。
对某条回忆的提问：该回忆的标题、日期、正文和情绪（连同你为这种情绪写下的词），以及你要求替换的提问；第二轮还包括你对第一轮提问的回答；开通 Premium 后，还包括最多三条感受或词语相同的较早回忆的日期、标题、情绪和首行。
“本月模式”：该月回忆的日期、标题和情绪、其正文的开头部分，以及你写下的“影响”和“学到的教训”两项反思；开通 Premium 后还会每周更新。
“人生罗盘”：你的回忆的日期、标题、情绪和首行。
“相似时刻之后发生了什么”：该回忆以及最多五条情绪相同的较早回忆（标题、首行、反思的简短摘录）。
语音笔记“转文字”：那一条笔记的录音。
翻译：把已保存的 AI 结果或“世界动态”中的新闻翻译成你的语言。

已加密的回忆以及你要求不再重现的回忆从不会被自动发送：保存时不会，在“本月模式”或“人生罗盘”中不会，作为另一条回忆旁的更早回忆也不会。只有当你亲自针对该条回忆请求提问或“相似时刻之后发生了什么”时才会发送；已加密的回忆只有在你针对该条回忆确认后才会发送，其正文仅为该次请求在你的手机上解密。

我们以付费服务的形式使用 Gemini。根据 Google 针对付费服务的条款，Google 不会使用你的提示内容或回复来改进其产品；Google 会在有限的时间内保留日志，用于发现滥用行为以及出于法律原因。AI 结果（提问、模式、罗盘、预测）会保存在你的账户中，以便你再次查看。当你删除或加密一条回忆时，与其相关的提问和预测会被移除，该回忆也会从其他预测中被剔除；包含该回忆的每月模式或“人生罗盘”会一直保留，直到其被重新生成或你将其删除。

应用内的“AI 能看到什么”页面对上述所有内容作了说明。

3.5 语音

录制的语音笔记与照片一样随回忆一起保存（不加密）。
实时听写使用你手机的语音识别功能（Apple 或 Google）。在 Android 上，如果手机本身支持设备端识别，Lifeline 会请求在手机上进行识别；否则，以及在 iPhone 上，Apple 或 Google 可能会依照其自己的条款在其服务器上处理音频。Lifeline 本身不会把这段音频发送到任何地方。
“转文字”会把一条录音发送给 Gemini（见 3.4）。我们的服务器会在完成后立即删除其临时副本。

3.6 音乐和“世界动态”

Spotify：当你搜索歌曲时，搜索文字会经由我们的服务器发送给 Spotify。我们只在回忆中保存曲目 ID。如果你连接 Spotify 应用来播放歌曲，该连接发生在你的手机与 Spotify 之间，适用 Spotify 的条款。
“世界动态”（Premium）：为了显示某条回忆所在日期的新闻和歌曲，你的手机会向 Wikipedia 和 Billboard 排行榜查询该日期。只发送日期；与访问任何网站一样，这些服务会看到你设备的 IP 地址。

3.7 购买

付款由 Apple（App Store）或 Google（Google Play）处理；我们从不会看到你的银行卡信息。为了解锁 Premium，我们的服务器会向 Apple 或 Google 核实你的购买，并在你的账户中保存产品、交易或购买令牌以及到期日期。每张已使用收据的记录（连同你的用户 ID）会自该笔购买首次使用之日起保留 90 天，以防同一笔购买为另一个账户解锁。

3.8 使用统计和崩溃报告

如果你允许使用统计（应用只询问一次；在你作出回答之前不会发送任何内容），应用会为了了解哪些功能被使用以及修复错误而发送：

Firebase Analytics 事件（例如：创建了一条回忆、其字数、添加了媒体、打开了某个页面、一次购买、使用了 AI），连同应用实例 ID，在 Android 上还包括你设备的广告 ID（在 iPhone 上，Firebase 不收集广告标识符）。Google 会根据你的 IP 地址估算你所在的国家和城市。从不包括你的回忆内容。
Firebase Crashlytics 崩溃报告和错误日志（设备型号、操作系统版本、应用版本、出了什么问题）。

你可以随时在 “个人资料” > “隐私” > “使用统计” 中更改你的选择。该选择仅适用于你作出选择的那部手机。

3.9 与 Meta 合作的广告效果衡量

我们使用 Meta App Events 来了解我们的哪些广告带来了安装和购买。它接收的事件包括注册、开始试用、购买 Premium（含金额和币种）以及打开应用（含应用版本），同时接收设备信息，并在允许的情况下接收你设备的广告 ID（在 iPhone 上，仅当你允许跟踪时）。从不包括你写下的任何内容。

只有当你在应用询问时允许使用统计后，Meta 的 SDK 才会启动（在 iPhone 上，还需要你允许跟踪）；在此之前，应用完全不会联系 Meta。关闭使用统计后即停止。
在 iPhone 上，还需要你在随即显示的 Apple 跟踪请求提示（App Tracking Transparency）中选择“允许”。你可以在 iOS 的“设置” > “隐私与安全性” > “跟踪”中更改。
在 Android 上，你还可以在 Android 设置中重置或删除你的广告 ID。

3.10 通知

“那年今日”、你计划的某个步骤的提醒，以及“每隔几个月回顾一次”，都在你的手机上安排。它们显示回忆的标题（已加密的回忆从不显示）或一句中性的话。“每隔几个月回顾一次”既不提及任何回忆，也不提及任何感受。
推送消息（例如关于你的试用期的消息，或在你一段时间未打开应用时的提醒；后者可通过“偶尔提醒我写一写”关闭）需要推送令牌，我们会将其保存在你的账户中。推送消息从不包含你的回忆。

3.11 安全检查

Firebase App Check（Android 上为 Google Play Integrity，iPhone 上为 App Attest）用于确认请求来自真正的应用。我们的服务器还会保存短期计数器以限制滥用（例如验证码邮件可以发送的频率）。

3.12 共享回忆

你可以邀请他人一起保存一段回忆。是否共享始终由你决定；在你邀请他人或接受邀请之前，不会共享任何内容。

其他人能看到的： 回忆的标题和日期、每个人添加的照片和视频、发起人的音乐（其 Spotify 曲目）、讨论内容，以及每位成员的名字和头像（来自 Google，或你在个人资料中选择的照片）。他们看不到的： 你写的文字、你的情绪、你的反思，以及 AI 的提问和你的回答。每个人都保留自己的那一份。
你第一次邀请他人时： 这段回忆当时已有的照片和视频（不含语音笔记）会被复制到共享回忆中，其他人会在那里看到它们。
我们存储的内容： 共享回忆及其成员、大家添加的照片、视频和消息，以及邀请。共享的照片和消息不会用你的主密码加密。
邀请： 当你通过邮箱邀请他人时，我们会通过我们的邮件服务商 Resend 把邀请发送到该地址；Resend 会收到该地址、回忆的标题和你的名字。如果该地址属于某个 Lifeline 账户，邀请也会出现在对方的应用中。否则我们只保存该地址的散列（hash）形式 7 天，以便在有人用它创建账户时邀请能够找到该账户。对方应用中的邀请会保留 60 天；邀请链接 7 天内有效。
举报和屏蔽： 你可以举报某条消息或某张照片；举报连同该消息的文字会通过电子邮件（经由 Resend）发送给我们。我们会审核举报并删除违反规则的内容。你可以屏蔽某人：此后对方的邀请不会再送达你，你也看不到对方的消息和照片。
退出： 你可以随时退出共享回忆；删除你自己的那份也会让你退出。除非你选择删除，你的照片、视频和消息会留给其他人。如果你删除账户，这些内容会被删除。当最后一位成员退出时，共享回忆会被删除。

4. 谁会收到数据

我们不出售或出租你的数据。

代表我们处理数据的服务提供商，受数据处理条款约束，这些条款要求其对你的数据提供与本政策相同或同等的保护：

Google（Firebase 和 Google Cloud）：登录、数据库、文件存储、服务器函数、推送消息、分析、崩溃报告、App Check。
Google（Gemini API）：AI 功能，仅在你同意之后。
Resend：发送我们的电子邮件（例如你的验证码和你发出的邀请）；接收你的电子邮件地址，邀请时还会接收被邀请人的地址、回忆的标题和你的名字；对共享内容的举报也经由它发送给我们。

依照其自身条款接收数据的公司，在你使用需要它们的功能时：

Meta Platforms：广告效果衡量，如 3.9 所述。
Spotify：歌曲搜索和播放。
Apple 和 Google：使用 Apple 或 Google 登录、付款，以及你手机的平台服务（听写、通知）。
Wikipedia（Wikimedia Foundation）和 Billboard：回忆的日期，用于“世界动态”。

如果法律要求、为保护他人的安全，或作为将本应用转让给新所有者的一部分（我们会事先告知你），我们可能会披露数据。

5. 数据存储在哪里

我们的数据库、文件和服务器函数位于美国的 Google Cloud。Google 的分析和 AI 服务以及我们的其他提供商可能在其他国家处理数据。如果你居住在美国境外，你的数据会被传输到美国。我们的提供商对此类传输采用欧盟委员会的标准合同条款或同等保障措施；如需所适用保障措施的副本，请写信给我们。

6. 我们保存数据多长时间

你的账户和回忆：直到你删除它们或删除你的账户。
已删除的回忆：会立即从我们的数据库和文件存储中移除，连同与其相关的提问和预测。恢复副本和备份会在 40 天内删除。
你从回忆中移除的照片、视频和语音笔记：会在 30 天内从文件存储中删除；它们在共享回忆中的副本会留给其他人（见 3.12）。
你删除账户之后：你的个人资料、回忆、文件、AI 结果和服务记录会立即删除。恢复副本和备份会在 40 天内删除；我们的服务器日志在 30 天内过期；已使用收据的记录最迟在该笔购买首次使用后 90 天过期。
分析数据和崩溃报告：由 Google 按我们在 Firebase 设置中设定的期限保存（崩溃报告约 90 天；分析事件不超过 14 个月）。
Google 处的 AI 请求日志：依照 Google 针对 Gemini API 的条款，保存有限的时间。
我们发送的电子邮件以及 Meta 处的数据：依照 Resend 和 Meta 各自的保存规则。

7. 你的选择和权利

导出：“个人资料” > “我的数据” > “完整归档”会免费为你生成一个 ZIP 文件，其中包含以文本形式呈现的每条回忆，以及你的照片、视频和语音笔记。已加密的回忆会在你输入密码后包含在内；它们在 ZIP 文件中不加密，因此请妥善保管该文件。如需我们持有的其他任何内容（例如 AI 结果或你的设置）的副本，请写信给我们。
更正：随时编辑任何一条回忆或你的个人资料。
删除：删除任何一条回忆，或在“个人资料” > “删除账户”中删除你的整个账户。你也可以用你账户的电子邮件地址写信给我们，我们会为你删除账户。删除账户不会取消订阅：请在 App Store 或 Google Play 中取消。
撤回同意：在“个人资料”中关闭 AI；关闭使用统计；在 iOS 设置中更改跟踪设置；在应用内或手机设置中关闭通知。你也可以随时撤回你在开始使用 Lifeline 时就保存你的回忆所作的同意，方式是删除你的账户或写信给我们；由于 Lifeline 不保存你的回忆就无法运行，届时我们会删除你的账户和回忆。

根据你的居住地（例如欧盟和英国的 GDPR、加利福尼亚州的 CCPA，或以色列的《隐私保护法》），你有权访问、更正、删除你的数据，以可携带的格式获取你的数据，限制或反对对其的处理，以及撤回同意。如需行使上述任何权利，请写信至 founder@theplacewelive.org。你也可以向你所在地的数据保护监管机构投诉。

法律依据（欧盟/英国）：我们保存和同步你的回忆，是为了提供你所要求的服务（合同）；并且由于回忆可能透露敏感信息（例如有关你健康的信息），还基于你在开始使用 Lifeline 时作出的明确同意。AI 功能、使用统计、崩溃报告和广告效果衡量基于你的同意，你可以随时撤回。安全保障和防止滥用基于我们保障服务安全的正当利益。

加利福尼亚州：我们不出售个人信息。为广告效果衡量而与 Meta 共享事件，可能构成 CCPA 所称的“共享”；只有在你允许使用统计时才会发生，关闭使用统计即可选择退出。

8. 儿童

你必须年满 16 周岁才能使用 Lifeline。如果你的年龄在 13 至 15 周岁之间，只有经父母或监护人许可才能使用，并由其代你作出保存你的回忆的同意；你在开始使用本应用时确认这一点。AI 功能仅供年满 18 周岁的人使用，因为我们的 AI 提供商的条款有此要求：在使用 AI 之前，应用会请你确认年龄。如果我们得知未满 16 周岁的人在未获得父母或监护人许可的情况下使用 Lifeline，我们会删除该账户；如果我们得知未满 18 周岁的人使用 AI，我们会关闭 AI。

9. 安全

数据通过加密连接（TLS）传输，并在 Google 的服务器上加密存储。我们的安全规则将对你数据的访问限制在你的账户范围内；我们的服务器代码只为运行你所使用的功能而读取数据。已加密的回忆还另外使用你自己的密钥加密。没有任何系统是绝对安全的；如果发生影响你个人信息的数据泄露，我们会依照法律要求通知你和相关监管机构。

10. 我们的网站

当你访问我们的网站时，Firebase Hosting（Google）会出于安全目的保存标准服务器日志（IP 地址、浏览器、所请求的页面）。网站不从其他服务加载任何内容：其字体、脚本和图片均来自我们自己的网站。网站不设置 Cookie，没有分析工具，没有账户，也没有表单。

11. 变更

当我们更改本政策时，我们会更新上方的日期，并在应用内显示新版本。如果变更较为重大，我们会在其生效之前在应用内告知你。