隐私政策

本中文版本是为便于理解本文本而提供的译文。具有法律约束力的版本是发布于 https://tallychores.com/privacy/ 的德文版本。选用本语言版本，不限制您根据居住国数据保护法所享有的任何权利。

生效日期：2026年8月29日

1. 数据控制者

电子邮件：[email protected]
电话：+49 (0) 15679 78 34 08
更多信息：法律信息（Impressum）

2. 一般说明

本隐私政策说明：当您使用 iOS 应用“TallyChores”（以下简称“本应用”）或访问我们位于 tallychores.com 的网站——包括 tallychores.com/app 上的网页应用——时，我们如何处理可识别个人身份的数据。可识别个人身份的数据是指一切能够用于识别您本人的数据。

本应用按照数据最小化原则开发：我们仅收集运行同步服务所必须的数据。本应用不设用户账户——无需登录，无需电子邮件地址，无需填写姓名。我们不使用任何分析或跟踪工具，不使用广告标识符，也不使用任何用于行为分析的第三方 SDK。

3. 本网站的托管

本网站托管于 Cloudflare, Inc.（Cloudflare Pages）。当您访问我们的网站时，Cloudflare 会自动将您的浏览器所传送的信息存储在所谓的服务器日志文件中。这些信息包括：

• 浏览器类型和浏览器版本
• 所使用的操作系统
• 来源网址（Referrer URL）
• IP 地址
• 服务器请求的时间

服务提供商为 Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA。详情请参阅 Cloudflare 的隐私政策：https://www.cloudflare.com/privacypolicy/。

使用 Cloudflare 的法律依据是《通用数据保护条例》（GDPR）第 6 条第 1 款第 f 项。我们对尽可能可靠、安全地提供本网站具有正当利益。

4. SSL 或 TLS 加密

出于安全考虑，本网站以及本应用或网页应用与我们后端服务器（api.tallychores.com）之间的全部通信均采用 SSL 或 TLS 加密。您可以通过浏览器地址栏由“http://”变为“https://”以及地址栏中的锁形图标，识别出连接已加密。

5. 本应用的运作方式

TallyChores 是一款家庭应用：一个家庭的成员记录已完成的家务，本应用据此计算公平度平衡。本应用遵循两项原则：

• 本地优先：在未启用同步的情况下，本应用完全在您的设备上运行（采用 Apple 的 SwiftData 框架）。无需任何服务器，也没有任何内容数据离开您的设备。
• 可选的端到端加密同步：如果您开启同步（试用期或“Household Plus”），我们的服务器仅作为加密数据的纯粹转发环节——如同一个密封的信箱。全部家庭内容（成员姓名、家务、日志记录、照片、家庭约定）在您的设备上就已使用 AES-256-GCM 加密，所用的家庭密钥在设备上生成，且永远不会到达我们的服务器。服务器仅存储我们无法读取的密文，以及运行所必需的最低限度的元数据（第 6.1 条）。我们无法读取您家庭的内容——这是技术上做不到，而不仅仅是政策上不去做。公平度计算同样只在您的设备上进行，绝不在服务器上进行。
• 网页应用：在 tallychores.com/app 提供一个功能精简的浏览器端辅助工具，您可以用它加入一个已有的家庭。在那里内容同样只以加密形式传输；密钥保留在您的浏览器中（第 6.6 条）。

6. 我们收集的数据

6.1 家庭与设备元数据（在启用同步时）

为运行同步功能，我们的服务器存储以下最低限度的元数据：

• 家庭：一个随机标识符（UUID）、创建时间、试用期结束时间、付费状态、购买记账信息（第 6.4 条）以及变更日志的容量计数器。
• 设备：每台设备一个随机标识符（UUID）、Ed25519 签名公钥、注册时间及（如适用）吊销时间、设备开始同步后的 APNs 推送令牌（第 6.5 条）、通知开关状态，以及——一旦开启通知后——已读标记（均见第 6.5 条），以及以明文形式存在的设备名称（见下文）。已吊销的设备不会被删除，而是被标记为已吊销（以便其余成员保有可追溯的历史记录）；推送令牌、开关状态和已读标记均在设备退出时立即删除。
• 变更日志（Op-Log）：对每一条加密变更，存储一个由服务器分配的序列号、一个由设备分配的标识符（UUID）、提交该变更的设备的标识符、接收时间以及加密的数据块。
• 邀请：仅存储邀请令牌的 SHA-256 哈希值，有效期为 10 分钟且仅可使用一次。在网页应用配对时，会将一个经过密封、服务器无法读取的移交数据块最多保存 10 分钟，并在首次读取时即予消耗。

关于设备名称的坦率说明：设备名称不加密，以便各个家庭能够管理自己的设备——正因如此，其命名方式经过刻意设计，使其无法指向任何具体的人。iOS 应用仅传输设备的型号名称（“iPhone 15 Pro”、“iPad”）；本应用无法读取您在 iOS 系统设置中设定的个人化设备名称，我们也不会向 Apple 申请为此所需的权限。网页应用根据浏览器和操作系统自动生成名称（例如“Chrome on Mac”，即“Mac 上的 Chrome”）；那里没有供填写的输入框。通过纸质恢复密钥注册的设备一律使用固定名称“Recovery key (paper)”。在这一环节，任何客户端都不会传输可自由填写的文本。

每一次同步请求都会使用设备专属的 Ed25519 密钥签名，该密钥在加入家庭时于设备上生成；私钥不会离开设备。

法律依据：GDPR 第 6 条第 1 款第 b 项（履行合同）。

6.2 加密内容与本地数据

在 TallyChores 中，“端到端加密”意味着：全部家庭内容——成员姓名、家务、日志记录、照片、家庭约定——在到达我们的服务器之前，就已在您的设备上使用 AES-256-GCM 加密。家庭密钥及相应的密码学材料仅保留在各家庭成员的设备上；它们在任何时候都不会传输给我们。我们只存储密文，而这些密文我们既无法解密，也无法就其内容加以分析。

在未启用同步的情况下，您的数据仅使用 Apple 的 SwiftData 框架本地存储在您的设备上，在任何时候都不会传输至我们的服务器。如果您启用了 iCloud 备份，该本地存储可能成为您自己的、由 Apple 加密的设备备份的一部分；该备份由 Apple 作为您的受托处理方处理——并非受我们委托——我们对其没有任何访问权限。此外，您随时可以在本应用中将数据本地导出（看板导出为 JSON 文件，日志导出为 CSV 文件）。

存储和转发加密数据块的法律依据：GDPR 第 6 条第 1 款第 b 项（履行合同）。对于仅保存在您设备上的本地存储，我们不进行任何处理。

6.3 照片

您可以用照片记录家务（例如前后对比）。仅当您主动拍摄照片，或扫描邀请二维码、配对二维码时，才会使用相机；本应用不会访问您的照片图库。在启用同步的情况下，照片与其他所有内容一样，会在您的设备上加密，并作为最大 5 MB 的加密数据块存储在 Cloudflare R2 中；服务器为此保存包含大小和时间戳的索引条目。照片在 365 天后由服务器端自动删除（滚动时间窗口，每晚执行的删除任务）。此外，每位家庭成员都可以随时永久删除照片——数据随即被不可恢复地销毁；索引条目将作为删除已发生的痕迹继续保留。

法律依据：GDPR 第 6 条第 1 款第 b 项（履行合同）。

6.4 购买数据

当某位家庭成员进行应用内购买时（“Household Plus”的年度订阅或一次性终身购买），我们会从 Apple 收到经签名的交易信息，并存储：交易 ID、原始交易 ID、产品 ID、购买时间和到期时间、Apple 所报告的价格及其货币，以及沙盒／生产环境标识。此外，我们还会收到 Apple 关于购买生命周期的服务器通知（例如续订、宽限期、到期、退款），并连同其通知 ID 一并存储。

这些购买数据与家庭标识符绑定——绝不与某个人绑定。我们无从得知是谁付的款：付款、结算、续订和退款完全由 Apple 办理；我们在任何时候都看不到支付数据。如果 Apple 在处理退款请求的过程中向我们征询评估意见，我们——以您已依据使用条款（第 6 节）作出的同意为前提——仅以下列信息作答：是否已提供 Household Plus、关于免费试用期的说明，以及（如适用）一项仅根据自购买以来所经过的时间得出的建议；在此过程中，我们不传输任何内容或其他数据，并且您可以随时对此提出反对（[email protected]）。有关购买条件的细节请见使用条款，有关撤回权的细节请见撤回权须知。

法律依据：GDPR 第 6 条第 1 款第 b 项（履行合同），以及 GDPR 第 6 条第 1 款第 c 项（税法和商法上的保存义务，《德国税法通则》（Abgabenordnung，AO）第 147 条、《德国商法典》（Handelsgesetzbuch，HGB）第 257 条——最长 10 年）；就答复退款请求而言，则为您的同意（GDPR 第 6 条第 1 款第 a 项）。

6.5 推送通知

一旦同步处于启用状态，本应用便会在 Apple 推送服务（APNs）上注册，以接收不含内容的后台信号：该消息仅包含“存在一项变更”这一信息以及家庭标识符——绝不包含任何内容，甚至不包含变更计数器。这些信号是静默的——没有横幅、没有提示音、应用图标上也没有标记——且不需要 iOS 通知权限。为此所需的推送令牌，我们按设备存储（第 6.1 条）；Apple 因此可以识别哪些设备令牌属于同一个家庭、该家庭何时处于活跃状态——但绝不会知道其中发生了什么。您可以在“设置 › 通用 › 后台 App 刷新”中关闭 TallyChores 的后台刷新，或将该设备从家庭中注销，从而阻止接收这些信号；此后本应用会在您下次打开时进行同步。

此外，您还可以——按设备，且仅当您主动开启时——在家庭中其他成员记录一项家务或向您道谢时收到可见的通知。两个开关出厂时均为关闭状态；只有当您在应用设置中开启其中一个开关时，本应用才会请求 iOS 的通知权限。无论如何都不会有提醒、催促或应用图标上的计数标记。可见通知在传输途中同样不含内容：经由 Apple 传输的仅有一段通用的标准文字、通知类型（“家务”或“道谢”）以及家庭标识符——您实际读到的那句话，是由您自己的设备在本地解密加密变更后自行拼出的。为使通知能够合并送达且不会重复提示，我们的服务器会按设备存储开关状态（两种类型中哪些已开启），以及——一旦开启通知后——一个已读标记（即最后一次在屏幕上看到的变更的序列号）；此外，还会按家庭存储短期的调度条目（仅含通知类型和时间）。在上传变更时，本应用还会额外传输两个是／否标记（“包含一项新记录”／“包含一次道谢”），它们仅用于投递调度——内容本身在任何时候都仍然无法被服务器读取。开关状态和已读标记会在设备退出时与推送令牌一同立即删除；您可以随时在应用设置或 iOS 设置中关闭可见通知。

法律依据：GDPR 第 6 条第 1 款第 b 项（提供您所启用的功能）。

6.6 网页应用与浏览器中的存储

tallychores.com/app 上的网页应用是一个功能精简的辅助工具：您可以用它加入一个已有的家庭；在浏览器中无法创建家庭，也无法进行购买。密码学密钥保存在您浏览器的 IndexedDB 中——在浏览器支持的情况下，以不可导出的形式保存。其中还保存着家庭内容的本地副本，以及您针对该浏览器的设置，例如所选的语言。如果您选择“共用电脑”选项，则全部数据仅保存在内存中：一旦关闭标签页，这台电脑上便不再留有该家庭的任何痕迹。网页应用不设置任何 Cookie，不将 Local Storage 用于跟踪目的，也不向第三方发出任何请求（浏览器的安全策略仅允许连接到网页应用自身以及 api.tallychores.com）。在浏览器中保存这些数据，对于您所要求的服务在功能上是必需的（《德国数字服务电信数据保护法》（Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz，TDDDG）第 25 条第 2 款第 2 项）；您随时可以通过浏览器的网站数据设置将其清除。 此外，在首页、法律文本以及网页应用中，一旦您选择浅色或深色，我们便会将您的外观选择以“tallychores-theme”为键名保存在您浏览器的 Local Storage 中。这同样对于您所选择的显示方式在功能上是必需的（《德国数字服务电信数据保护法》（Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz，TDDDG）第 25 条第 2 款第 2 项），不属于可识别个人身份的数据，并且同样可以随时删除。只要您不作选择，就不会保存任何内容。

6.7 滥用防护

为限制滥用性地批量创建家庭，我们的服务器会根据发出请求的连接的 IP 地址生成一个 SHA-256 哈希值。计算时还会加入一个仅我们知晓、保存在服务器端的秘密值以及当天的日历日期；哈希值因此每天变化，且在没有该秘密值的情况下无法反推出 IP 地址。这些哈希值无法跨日相互关联，并在 48 小时内删除；为此目的并不存储 IP 地址本身。此外，服务器还使用仅能使用一次的请求随机数（nonce），其保存时间最长为 10 分钟。

法律依据：GDPR 第 6 条第 1 款第 f 项（在防范滥用和保障运行稳定方面的正当利益）。

6.8 错误诊断

在发生服务器端错误时，我们会将错误和请求记录写入后端基础设施的运行日志（Cloudflare Workers Logs）。其中所包含的唯一标识符是随机的家庭标识符和设备标识符（UUID）；内容数据不可能出现在其中，因为内容只以加密形式到达我们的服务器。这些日志为运行监控目的保留 7 天，随后自动删除。

此外，我们还保存一份服务器端的错误记录（时间、错误来源、经截断的错误信息），以便运行故障在事后仍可被发现。此处同样适用：不含任何内容，不含任何姓名；较长的数字标识符（例如 Apple 的交易标识符）在存储前会被截断。这些条目在 30 天后自动删除。

法律依据：GDPR 第 6 条第 1 款第 f 项（在运行稳定和安全方面的正当利益）。

6.9 支持请求

当您写信或致电我们时，我们会处理由此产生的数据，以处理您的请求：邮件方面为您的发件地址和邮件内容，电话方面为您的电话号码及您所告知的事项。就撰写邮件而言，应用会协助您：通过设置中的“给我们发邮件”，它会在您的邮件程序中打开一封已拟好的草稿，其末尾附有一段技术信息——应用与 iOS 的版本、设备型号（例如“iPhone 15 Pro”）、随机的家庭标识符（第 6.1 条），以及在该设备拥有“Household Plus”时，所购买的产品连同原始的 Apple 交易标识符和购买日期（第 6.4 条）。没有这些信息，就无法核查与购买或同步有关的情形。草稿在您发送之前会完整地显示给您：您可以删除其中的任何一行，应用不会在后台发送任何内容。草稿中不包含家庭内容——我们本来也无法读取。

发送至我们 @tallychores.com 地址的邮件，经由第 9 条所列的服务提供商到达我们处；来电则通过第 1 条所载的号码接通我们。您的邮件以及通话中获知的事项，我们仅用于处理您的请求；有关保存期限，请参见第 10 条。

法律依据：在您的请求涉及购买或应用使用的范围内，为 GDPR 第 6 条第 1 款第 b 项；其余情形为 GDPR 第 6 条第 1 款第 f 项（在答复支持请求方面的正当利益）。

6.10 不进行自动化决策

我们不进行 GDPR 第 22 条意义上的、仅基于自动化处理并对您产生法律效力或对您造成类似重大影响的决策。我们不建立任何画像，也不对您的行为进行分析。为防范滥用，我们仅采用简单的、基于规则的技术性检查（例如数量上限以及第 6.7 条所述的速率限制）。

7. 我们不收集的数据

• 不设用户账户，不收集登录数据、电子邮件地址，也不收集任何人的姓名——除非您主动与我们联系（第 6.9 条）。家庭成员的姓名属于端到端加密内容的一部分，我们无法读取。设备名称虽以明文形式存在，但由系统自动分配，无法指向任何具体的人（第 6.1 条）。
• 不使用分析类 SDK（不使用 Firebase Analytics、Google Analytics、Mixpanel、Amplitude 或类似服务）。
• 不使用广告标识符（不使用 IDFA，不进行跨应用或跨网站的跟踪）。
• 不使用社交媒体 SDK，不使用任何登录服务提供商——本应用中根本不含任何第三方 SDK；我们的网站也不加载任何第三方资源。
• 除 Apple 在 TestFlight 和 App Store Connect 中内置的、适用 Apple 隐私政策的崩溃日志之外，不使用任何崩溃报告类 SDK。
• 不收集位置数据、通讯录、日历或健康数据，不访问麦克风，也不访问您的照片图库。仅当您主动拍摄家务照片或扫描二维码时，才会使用相机（第 6.3 条）。

8. 儿童与家庭

TallyChores 是一款面向家庭全体成员的家务应用——如果家庭邀请孩子参加，孩子同样可以参与。我们不为使用本应用设定最低年龄；购买则适用使用条款的规定。也正因如此，我们的数据最小化原则对所有人一视同仁：对儿童，我们不会收集与成年人不同的数据，也不会收集更多的数据——而我们所收集的一切都无法指向任何具体的人（第 6 条和第 7 条）。这里没有账户、没有画像、没有广告、也没有跟踪；家庭成员的姓名属于端到端加密内容的一部分，我们无法读取。因此，我们也不知道一个家庭的成员年龄多大。

我们所处理的少数持久性标识符——随机的家庭标识符和设备标识符、设备的签名公钥、推送令牌，以及仅与家庭而绝不与个人绑定的购买凭证（第 6.4 条）——仅用于服务的运行：将一个家庭的各台设备相互关联、对请求进行身份验证、投递同步信号和通知、核对付费状态、防范滥用以及诊断错误。它们绝不会被用于广告——也包括行为广告——绝不会被合并为画像，绝不会被出售，也绝不会为第三方自身的目的而向其披露。这些数据我们都不会无限期保存；保存期限载于第 10 条。

谁能参与一个家庭，由该家庭自行决定：只有通过来自该家庭内部的专属邀请才能加入（二维码，有效期 10 分钟），并且每台设备都可以随时在 iOS 应用中从该家庭注销。购买完全由 Apple 办理；对于儿童账户，在 Apple 处适用其家长控制功能，包括“购买请求”（“Ask to Buy”）。我们的处理活动不以 GDPR 第 6 条第 1 款第 a 项意义上的同意为依据——因此不涉及 GDPR 第 8 条意义上的父母同意问题。家长如有疑问，可通过 [email protected] 向我们询问，我们会予以答复。

9. 受托处理方与服务提供商

我们使用以下服务提供商来运行本应用和网站。我们与 Cloudflare 以及 mailbox.org（Heinlein Hosting GmbH）签订了符合 GDPR 第 28 条的受托处理协议；在与 Apple 的关系中，适用相应的 Apple 开发者条款和数据保护条款。向第三国（美国）的数据传输，依据欧盟标准合同条款（Standard Contractual Clauses）和／或欧盟委员会的充分性认定（数据隐私框架 Data Privacy Framework，在其适用的范围内）进行。对于欧盟或欧洲经济区以外的用户，对于可能发生的向美国的传输，我们还额外依据依您当地法律所允许的其他传输机制，并以我们与服务提供商之间已签订的受托处理协议作为保障；对于位于瑞士的用户，适用瑞士联邦数据保护与信息专员（EDÖB）所认可版本的欧盟标准合同条款和／或瑞士—美国数据隐私框架（Swiss-U.S. Data Privacy Framework）。

• Cloudflare, Inc. — 101 Townsend St, San Francisco, CA 94107, USA。同步服务的后端基础设施（Cloudflare Workers、D1 数据库、位于 api.tallychores.com 的 R2 存储），以及我们网站的托管（Cloudflare Pages）。存储在那里的家庭内容仅以端到端加密的密文形式存在，我们和 Cloudflare 都无法读取。为路由和防范滥用而处理请求元数据（例如 IP 地址）。此外，发送至我们 @tallychores.com 联系地址的邮件通过 Cloudflare Email Routing 接收，并转发至我们的电子邮箱。https://www.cloudflare.com/privacypolicy/
• Apple Inc. — One Apple Park Way, Cupertino, CA 95014, USA。通过 App Store 分发本应用、办理和验证应用内购买、投递推送通知（APNs）、TestFlight 分发，以及 App Store Connect 的崩溃报告和反馈报告。https://www.apple.com/legal/privacy/
• Heinlein Hosting GmbH (mailbox.org) — Schwedter Straße 8/9A, 10119 Berlin。用于第 1 条所列联系地址的电子邮箱。发送至我们 @tallychores.com 地址的邮件通过 Cloudflare Email Routing 转发至我们托管于 mailbox.org 的邮箱，并在那里接收、处理和存储。我们与 mailbox.org 签订了符合 GDPR 第 28 条的受托处理协议。

为提升质量、可用性或数据保护水平，我们今后可能会使用更多或其他服务提供商，或者替换目前所使用的服务提供商。发生此类变更时，我们会更新本清单，并确保满足数据保护法上的各项前提条件——特别是符合 GDPR 第 28 条的受托处理协议，以及可能发生的第三国传输的合法依据。

10. 保存期限

• 加密的家庭内容（变更日志）：在家庭处于活跃状态期间保存。无人使用的家庭——即不再有任何设备的家庭——将在最后一台设备被吊销 30 天后，由每晚执行的删除任务彻底清除；即使是加密数据，在我们这里也不会无限期存放。处于休眠状态的家庭——即未购买付费的“Household Plus”、试用期已届满，且其设备已有 18 个月未与我们的服务器同步的家庭——同样将由上述每晚执行的删除任务彻底清除；您设备上的本地数据不受此影响。
• 照片：在服务器端最长 365 天（滚动时间窗口，第 6.3 条）；在此之前家庭成员可随时将其永久删除。
• 设备条目：在家庭存续期间持续存在；已吊销的设备保持“已吊销”标记（第 6.1 条），并随家庭一并删除。
• 邀请哈希值、网页配对数据块和请求随机数：最长 10 分钟后失效；相关条目最迟于次日彻底删除。
• 滥用防护哈希值（IP 地址，结合秘密值与当日日期进行哈希）：在 48 小时内删除。
• 错误诊断：基础设施日志 7 天；服务器端错误记录（第 6.8 条）30 天。
• 与记账相关的交易凭证（购买／退款）：为履行税法和商法上的保存义务，最长保存 10 年（《德国税法通则》（AO）第 147 条、《德国商法典》（HGB）第 257 条）。
• 联系咨询（邮件、电话）：直至保存目的不再存在，或您要求我们删除为止；强制性的法定保存期限不受影响。

11. 您的权利

在现行法律规定的范围内，您随时享有以下权利：

• 查阅我们所保存的与您有关的个人数据（GDPR 第 15 条）
• 更正不正确的数据（GDPR 第 16 条）
• 删除我们所保存的与您有关的数据（GDPR 第 17 条）
• 限制数据处理（GDPR 第 18 条）
• 数据可携（GDPR 第 20 条）
• 反对处理（GDPR 第 21 条）

上述权利适用于每一位使用 TallyChores 的人——无论您生活在哪里。此外，您还可以要求我们：删除、封锁或匿名化那些并非必需的、过度的，或者未按本隐私政策所述方式处理的数据；告知您我们曾向哪些第三方披露过数据；以及向您说明，如果您不给予同意，这对您意味着什么。如果您住所所在的国家、州或省的强制性数据保护法或消费者法赋予您更进一步的权利，则该等权利额外适用；本隐私政策中的任何内容均不对其加以限制。

端到端加密带来的特殊之处——一点坦率的说明：家庭内容我们仅以密文形式保存，既无法读取，也无法将其归属于某一个人，而且我们并不知道谁是某个家庭的成员。因此，对于查阅、更正、删除、封锁、匿名化和可携性请求，我们只能就我们能够归属的元数据作出答复——例如，依据您向我们提供的家庭标识符或设备标识符。您的内容由您在本应用中直接自行管理：导出（JSON／CSV）、删除照片和本地数据，以及通过吊销自己的设备退出家庭，每位成员都可以直接使用这些功能。

反对权

只要我们基于正当利益（GDPR 第 6 条第 1 款第 f 项）处理与您有关的个人数据——例如用于网站托管（第 3 条）、滥用防护（第 6.7 条）和错误诊断（第 6.8 条）——您有权基于源自您特殊处境的理由，随时对该等处理提出反对（GDPR 第 21 条）。为此请联系 [email protected]。此后我们将不再处理您的数据，除非我们能够证明存在优先于您的利益的、令人信服的正当理由，或者该处理是为了提出、行使或抗辩法律主张。

有关您权利的请求，请通过 [email protected] 与我们联系；有关支持事宜，请通过 [email protected] 联系。与您数据有关的请求由企业所有人亲自处理：Vincent Leinhos 是 VinLihs Digital Services 负责保护个人数据的人员，并可通过该邮箱地址与其取得联系。我们会在 30 天内答复。

12. 监督机构

如果您认为对您数据的处理违反了数据保护法，您有权向监督机构提出申诉（GDPR 第 77 条）。有管辖权的是我们企业所在地的监督机构：

除此之外，您也可以向欧盟境内的任何其他数据保护监督机构提出申诉——特别是您居住地的监督机构。如果您身处欧盟境外，您还可以向您所在国家对您有管辖权的监督机构提出申诉——例如在英国为信息专员办公室（Information Commissioner’s Office，ICO），在瑞士为联邦数据保护与信息专员（Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter，EDÖB），在加拿大为加拿大隐私专员公署（Office of the Privacy Commissioner of Canada）或取代其地位的机构，在巴西为巴西国家数据保护局（Autoridade Nacional de Proteção de Dados，ANPD）。如果您生活在魁北克，您也可以向魁北克信息获取委员会（Commission d’accès à l’information du Québec，CAI）提出申诉。在此之前，我们很高兴能有机会先由我们自己为您提供帮助——欢迎写信至 [email protected]。

13. 本隐私政策的变更

本隐私政策为现行有效版本，版本日期为 2026年8月29日。

由于本应用的持续开发，或由于法律或主管机关要求发生变化，可能有必要对本隐私政策进行修改。对于重要变更，我们将通过更新上方所载日期予以标明。对于实质性变更，我们还会在应用内另行告知。