隐私政策
本政策说明 Rinava 会处理哪些个人数据、为什么处理、还有谁参与其中，以及你可以要求我们做什么。内容依照《通用数据保护条例》（GDPR）撰写。
本政策适用于 Apple 设备上和 Android 上的 Rinava App。两个版本做法不同时，本政策会分别说明。
我们不投放广告，不出售个人数据，也不会跨其他 App 或网站追踪你。
1. 数据由谁负责
本页所述处理活动的控制者是：
Little Whale Holding B.V.
Jeroen Boschplantsoen 150
1318 HJ Almere
荷兰
荷兰商会（KvK）注册号：75064642
增值税（BTW）号：NL860127515B01
support@littlewhale.io
2. 我们处理哪些数据
账号数据
你可以用 Sign in with Apple 或 Google 登录。登录时我们会收到一个用于识别账号的稳定标识符，以及你的电子邮箱。Sign in with Apple 允许你隐藏邮箱，这种情况下我们收到的是 Apple 的中转邮箱地址，而不是你本人的地址。我们不会向 Apple 索取你的姓名；Google 登录时附带的姓名和头像，我们也不会保存。Android 版 App 只提供 Google 登录。
App 与设备信息
App 向我们的服务器发送请求时，会附带关于 App 和你设备的一些信息。登录状态下，我们把这些信息和你在那台设备上的登录记录保存在一起，因此它们与你的账号关联。我们会在你登录、打开 App 和回到 App 时更新这些信息。这些信息是：
- 你在 Apple 设备上还是在 Android 上使用 App；
- App 的版本号和构建号，以及 iOS 或 Android 的版本；
- 设备类型：手机、平板、Mac 或其他；
- App 的安装来源：App Store、TestFlight、Google Play、其他来源，或我们自己的测试版本；
- App 界面的语言；
- 你最近一次打开或回到 App 的时间；
- 仅限 Apple 设备：你的 App Store 账号所在的国家或地区；
- 仅限 Android：App 是否运行在 Google 的自动化测试设备（Firebase Test Lab）上。
这些信息不包括广告标识符或设备标识符、具体的设备型号和你的位置，我们也不会为此使用你的 IP 地址。我们用这些信息让 App 在大家使用的版本和设备上正常运行，区分真实使用和测试，统计有多少人在用 App，并了解大家在哪些国家和地区、用哪些语言使用 App。以访客身份使用时，我们不保存这些信息。
学习数据
这是 App 要发挥作用所必需的数据：你选择的语言、学习进度、练习记录与陪练历史，以及收藏。登录状态下，这些数据会同步到我们的服务器，换设备后仍在。以访客身份使用时，数据留在本机，不会发送给我们。
学习计划
会员可以让 Rinava 帮忙排学习计划。设定计划时，我们会保存你的回答：哪几天学（或者不固定、有空就学）、每天学几分钟（不固定时是每周学几分钟）、你选的提醒时间，以及你的时区。我们还会保存你想先学哪方面、学习路线里主题的先后顺序，以及你标为「我已经会了」的主题和步骤。
学习过程中，我们会保存：某一天排的是哪种课（新课、复习课、主题回顾或休息日）、你是否跳过了热身、每次主题回顾的结果（每个场景是「熟」还是「还要练」，以及原因），以及计划标为「已掌握」的场景。你把一个场景的讲解音频基本听完时，我们也会记下来，计划就能把这一步勾掉。如果你选了「今天到此为止」，这个选择最多保存 7 天。
这些数据用来排课、显示进度，并按你选的时间安排提醒。它们跟你的账号一起保存，像其他学习数据一样同步。我们的服务器按固定规则，根据这些数据排出你的计划；排计划不用 AI 模型。一节课里的各个步骤都是 App 里原有的功能，所以陪练这一步会按第 4 节的说明使用 AI。提醒时间随计划保存，提醒由 App 在你的设备上安排。除了上面这项临时选择，其余数据保存到你删除账号为止，会员到期后也不会删除。
你提交给 AI 功能的内容
对话练习的文字和关于某个表达的提问，都会被处理以生成你要的回应。具体做法见第 4 节。
App 内反馈
登录后，你可以在 App 的我的 → 反馈与建议中给我们发送反馈，并在那里阅读我们的回复。Apple 设备上的 App 和 Android 版 App 的做法相同。我们会收到你写的文字、你选择的类型（如有）和你选择附上的截图（每条消息最多 3 张）。App 还会发送表单上列出的技术信息，你可以在发送前查看：App 版本、设备型号、iOS 或 Android 版本、你选择的语言、你当时所在的页面、最近失败的请求和错误报告的编号、网络与同步状态、显示与无障碍设置（例如深色外观、文字大小、是否开启读屏功能）、Apple 设备上的声音设置，以及时间和时区。你的反馈与你的账号关联保存。
反馈可以关联一次陪练。从陪练页面发送反馈时，会关联这次陪练，包括你还没有结束的临时陪练。从我的发送时，会关联你在过去 10 分钟内结束的最近一次已保存的陪练（如有）。已结束的临时陪练不会被关联。表单上会显示关联的陪练，发送前你可以移除关联。
关联陪练后，我们会把那次对话复制一份，与反馈一起保存：对方的台词、你写下或说出的句子、它们的字幕，以及所属的场景。之后即使那次陪练结束或被删除，或者你删除了陪练历史，这份副本仍随反馈保留。只有删除账号时，它才会被删除。
截屏时，App 可能会询问你是否用这张截图发送反馈。这张截图只保存在你的设备上，不发送就会被丢弃。你可以在设置中关闭截屏时询问是否反馈。
以访客身份使用时，反馈入口会打开你自己的邮件 App，并新建一封发往 support@littlewhale.io 的邮件。邮件中附有上述技术信息；如果你是从截图开始的，还会附上那张截图。发送前你可以修改或删除这些内容。App 本身不会向我们的服务器发送任何内容；我们按支持邮件处理这封邮件。
我们使用你的反馈来回复你、查找并修复你报告的问题，以及改进 App。我们的团队会阅读并回复反馈，并借助 Anthropic 和 OpenAI 的 AI 助手完成这项工作（见第 5 节）。提醒我们有新反馈的通知邮件不包含你写的文字、截图或陪练副本。
语音输入
在陪练、表达帮助中或写反馈时用说话代替打字，Apple 的语音识别会把你说的话转换成可阅读、可修改的文字。App 不强制在设备本机完成识别，因此 Apple 可能会在其服务器上处理这段音频。我们从不接收音频；到达我们这里的只有你发送的文字。在跟读练习中，你还可以录下自己跟读的声音；这段录音只保存在你的设备上，重新录音时会被替换，进入下一句或离开练习时会被删除，绝不会发送给我们。
在 Android 版 App 中，你同样可以在陪练、表达帮助中或写反馈时用说话代替打字。手机上的语音识别服务会把你说的话转换成可阅读、可修改的文字。通常这是手机默认的语音识别服务，在很多手机上它由 Google 提供。手机支持时，识别可以在设备本机完成；否则该服务的提供方可能在其服务器上处理这段音频。如果手机默认的服务识别不了荷兰语，而手机上装有 Google 的语音识别服务，你可以在我的 → 设置 → 发音与声音里打开用 Google 语音识别听荷兰语。只有打开后，并且只针对手机默认的服务识别不了的荷兰语，App 才会改用 Google 的语音识别服务把你说的话转换成文字，此时 Google 可能在其服务器上处理这段音频。你可以随时关闭。我们从不接收音频；到达我们这里的只有你发送的文字。Android 版 App 中的跟读录音同样只保存在你的设备上，绝不会发送给我们。
崩溃与诊断报告
App 会把崩溃报告和一小部分诊断事件发送到一项错误监控服务，便于我们定位并修复故障。报告包含设备型号、操作系统与 App 版本、错误详情、耗时和错误码。该服务的隐私过滤保持开启，默认附带个人数据的选项已关闭。我们的服务器也会把自身的错误报告给同一服务，其中不包含你请求的内容。
视频使用记录
每日发现里有些表达配有短视频。登录状态下，每当发生下列情况，App 都会向我们的服务器发送一条记录：
- 视频入口显示在页面上（每个表达在每个页面每天最多一次），或者你打开、开始播放视频；
- 播放到 25%、50%、75% 或结尾，或者你再看一次；
- 你从视频打开用法与例句，或者关闭播放器；
- 你打开的视频已经保存在设备上；
- 视频因为设备离线、网络出错或文件无法解码而播放不了。
每条记录包含对应的表达和视频、你选择的 App 语言、你是从卡片还是从用法与例句页面开始的，以及时间。有些记录还会记下你看到了视频的哪个位置，以 10% 为一档。记录里没有你写的文字，也没有设备信息。这些记录与你的账号关联保存。我们只按视频和语言统计总数和比例：视频被打开、被看完和播放失败的频率。这些数字帮助我们决定是否制作更多视频、增加视频功能。我们不会用这些记录评价你，也不会因此联系你。你可以随时写信到 support@littlewhale.io 反对这项处理。之后我们会停止为你的账号保存这些记录，并删除已有的记录。访客看不到视频，所以 App 不会为访客发送这些记录。
购买
在 Apple 设备上的 App 中，会员订阅、终身会员和加练包由 Apple 通过 App Store 销售并收款。Apple 会向我们发送每笔购买经签名的信息：商品、交易标识符、购买和到期日期、续订状态以及退款情况。我们用一个为此专门生成的随机标识符把这些信息关联到你的账号，并统计你的陪练次数，以便计算你的额度。我们绝不会收到你的银行卡信息。
在 Android 版 App 中，同样的商品由 Google 通过 Google Play 销售并收款。购买后，我们的服务器会向 Google Play 查询并核对这笔购买的信息：商品、购买凭证（purchase token）和订单号、购买和到期日期、购买和续订状态，以及取消或退款情况。购买发生变化时，例如续订或退款，Google Play 也会通知我们的服务器。我们用同一个随机标识符把这笔购买关联到你的账号，并以同样的方式计算你的额度。我们绝不会收到你的银行卡或银行账户信息。
3. 处理目的与法律依据
- 提供账号、同步和学习功能
- 履行我们与你之间的协议（GDPR 第 6 条第 1 款 b 项）。
- 生成 AI 解释、陪练回应与语言点评
- 履行我们与你之间的协议（GDPR 第 6 条第 1 款 b 项）。
- 处理购买与会员权益
- 履行我们与你之间的协议（GDPR 第 6 条第 1 款 b 项）。
- 账号删除后保留购买记录，防止同一笔购买被重复认领
- 我们在防止购买被滥用方面的正当利益（GDPR 第 6 条第 1 款 f 项）。
- 保障服务安全可用并修复崩溃
- 我们在服务稳定、不被滥用方面的正当利益（GDPR 第 6 条第 1 款 f 项）。
- 统计每日发现视频的使用情况，以决定是否制作更多视频、增加视频功能
- 我们在改进 App、决定开发方向方面的正当利益（GDPR 第 6 条第 1 款 f 项）。
- 处理你的反馈和支持邮件
- 履行我们与你之间的协议，或我们回应来信者并改进 App 的正当利益（GDPR 第 6 条第 1 款 b 项和 f 项）。
- 让 App 在大家使用的版本和设备上正常运行，区分真实使用和测试，统计有多少人在用 App，并了解大家在哪些国家和地区、用哪些语言使用 App
- 我们在 App 稳定可靠和规划后续开发方面的正当利益（GDPR 第 6 条第 1 款 f 项）。
- 履行法律义务，例如会计和税务
- 遵守法律义务（GDPR 第 6 条第 1 款 c 项）。
4. AI 功能的具体说明
你在对话练习中写下的文字和询问的表达，会发送到 OpenAI 的 API 以生成所请求的回应；在陪练中，这还包括对你写下或说出的每句话给出语言点评。
陪练还会以两种方式使用 TypeSafe 的 API。你写下或说出的每句话，会连同此前的对话一起发送到 TypeSafe，用于从编辑为该场景写好的台词中帮助选出对方的下一句。完成编辑式陪练后，其练习对话会发送到 TypeSafe，用于评估练习并生成反馈。这些请求包含练习文字和该场景编写好的台词，不包含你的姓名、邮箱、账号标识符或设备信息。TypeSafe 在美国处理这些数据。
OpenAI 和 TypeSafe 按我们的指示处理这些材料，默认不会用于训练模型。它们可能按服务运行与安全、反滥用和法律义务所需保留记录；我们不承诺零留存。
AI 生成的解释可能出错。请不要依据它做医疗、法律或财务决定。
5. 还有谁为我们处理数据
我们使用少数几家服务商。代表我们处理数据的服务商只按我们的指示处理数据；Apple 和 Google 依据其各自的条款提供服务。
- OpenAI —— 生成 AI 解释、陪练回应和语言点评，并提供 AI 助手，帮助我们的团队阅读和回复你在 App 内发送的反馈；在美国处理数据。
- Anthropic —— 提供 AI 助手，帮助我们的团队阅读和回复你在 App 内发送的反馈；在美国处理数据。
- TypeSafe —— 帮助选出陪练对方的下一句，并评估已完成的陪练；在美国处理数据，依据其《主客户协议》和《数据处理附录》。
- Apple —— App Store 和 TestFlight 分发、购买、Sign in with Apple 和语音识别；可能在欧洲经济区以外处理数据。
- Google —— Android 版 App 的 Google Play 分发、购买和应用内评分、Google 登录，以及由 Google 的服务把你说的话转换成文字时的语音识别（见「语音输入」）；可能在欧洲经济区以外处理数据。你通过 Google Play 给 App 评分时，我们不会收到你的评分。
- 一项错误监控服务 —— 崩溃与诊断报告；欧盟数据区。
- 一家云托管服务商 —— 我们的 API 和数据库；德国法兰克福。
- Resend —— 投递我们服务器发出的邮件：登录验证码，以及提醒我们的团队有新反馈的通知。验证码邮件包含你的邮箱地址和验证码。反馈通知只发给我们的团队，不包含你写的文字、截图、邮箱地址或陪练副本。Resend 从爱尔兰发送邮件，并可能在美国处理数据。
法律要求披露时，我们也可能提供数据。如你提出要求，我们会告知你数据的每一个接收方的名称。
6. 跨境传输
你的账号与学习数据存放在欧盟境内：我们的 API 和数据库运行在德国法兰克福，崩溃报告保存在欧盟数据区。上述部分服务商设立在欧洲经济区之外，或可能在区外处理数据。我们的团队借助 Anthropic 或 OpenAI 的 AI 助手阅读和回复反馈时，这些反馈会在美国处理。TypeSafe 在美国处理第 4 节所述的陪练数据；其数据处理附录纳入欧盟标准合同条款（控制者至处理者的模块 2，以及适用时的模块 3）。其他服务商把数据传输到欧洲经济区以外时，如该服务商已获欧盟—美国数据隐私框架认证，则依据该框架；否则依据我们与该服务商协议中的欧盟委员会标准合同条款。你可以向我们索取这些保障措施的副本。
7. 保存多久
- 账号与学习数据（包括学习计划）—— 保存到你删除账号为止。「今天到此为止」这个选择最多保存 7 天。详情见删除账号。
- App 与设备信息 —— 保存到你删除账号为止。退出登录或登录过期都不会删除这些信息。
- 临时陪练 —— 不保存到陪练历史的陪练对话，会在你结束对话时删除。如果没有结束，它会保留下来，以便你回来继续，并在开始或最近一次继续的 7 天后自动删除。如果你把它关联到了反馈，随反馈保存的副本按「App 内反馈」一条的规定保留。
- AI 生成台词的审核记录 —— 如果陪练对方的一句台词由 AI 当场生成，而不是从编写好的台词中选出，我们会记录这句台词、它的字幕、检查结果，以及你在它之前写下或说出的那句话，用于审核其语言质量。你的那句话会在 30 天后删除；那次对话被删除时，也会随之删除。其余记录保存到你删除账号为止。
- App 内反馈 —— 你的消息和截图、随反馈发送的技术信息、关联陪练的副本以及我们的回复，保存到你删除账号为止。删除某次陪练或删除陪练历史，不会删除随反馈保存的副本。
- 视频使用记录 —— 保存到你删除账号为止。
- 购买记录 —— 账号存在期间保留。你删除账号后，我们会保留每笔购买的 Apple 交易标识符、商品、日期和退款状态，但不再与你的账号关联，以防同一笔购买被另一个账号认领。对于 Google Play 购买，我们以同样的方式保留其订单号、购买凭证、商品、日期和退款状态；对于 Google Play 订阅，只保留其购买凭证的单向哈希值。这些记录不设截止日期。
- 删除记录 —— 一条“某账号已删除”的记录，包含该账号的随机内部编号、其登录标识符的单向哈希值和删除日期，不含学习数据或邮箱，用于完成删除，并防止旧的登录凭证重新创建该账号。这些记录不设截止日期。
- 崩溃与诊断报告 —— 保存 30 天，到期自动删除。
- 数据库备份 —— 最多保存 30 天，到期删除。已删除账号的数据会在备份到期时随之消失。
- 支持邮件 —— 保存到处理完你的请求及后续跟进为止。
- 法律要求留存的记录 —— 按法定期限保存。
8. 你的权利
依据 GDPR，你可以要求我们提供你的个人数据、更正数据、删除数据、限制或反对处理，以及以可携格式提供副本。以同意为依据的处理，你可以随时撤回同意，这不影响撤回之前已进行的处理。
请写信到 support@littlewhale.io，我们会答复。你也可以随时在 App 内自行删除账号。
如果你认为我们处理数据的方式不当，可以向荷兰数据保护机构 Autoriteit Persoonsgegevens（autoriteitpersoonsgegevens.nl）投诉，也可以向你居住国的监管机构投诉。
9. 儿童
Rinava 面向在荷兰安顿下来的成年人和年龄较大的学习者。使用者须年满 16 岁。我们不会有意收集未满 16 岁者的数据。如果你认为有儿童向我们提供了个人数据，请写信告诉我们，我们会删除。
10. 删除账号
在 Apple 设备上，你可以在 App 内删除账号：设置 → 账号 → 删除账号。在 Android 版 App 中，请选择我的 → 设置 → 账号 → 删除账号。此操作会移除服务器上的账号及其关联的个人学习数据和 App 内反馈（包括关联陪练的副本），并移除该设备上的账号内容，但不会取消 Apple 或 Google Play 订阅。此操作也会删除你的视频使用记录。第 7 节所述的购买记录和删除记录会保留。具体步骤见删除账号页面。
11. 本政策的变更
如果我们改变处理个人数据的方式，会更新本页并修改顶部日期。重大变更还会在 App 内告知。
12. 联系方式
Little Whale Holding B.V.，荷兰 —— support@littlewhale.io。