隐私政策
简单说
- 你的账号、自习记录、进度和设置都存在你的 iPhone 上。这个版本里，我们没有任何服务器接收这些数据。例外是第 3 节的使用事件，里面有你自习的一部分信息。
- 通过 Apple 登录时，App 会拿到一个代表你账号的标识。我们不向 Apple 要你的名字和邮箱。
- App Store 和 TestFlight 版本在你登录之后，会把使用事件发给美国的 PostHog，让我们知道 App 是怎么被使用的。这些事件不和你的 Apple 账户、名字或 UID 关联。没有广告，不做跟踪，不卖数据。
- 你有权反对使用统计：在 学生宿舍 › 设置 › 帮助改进 随时可以关掉（见第 3 节）。
- 所有付款都由 Apple 处理，我们看不到你的银行卡信息。
- 你随时可以在 App 里删除账号：学生宿舍 › 设置 › 删除账号。
1. 我们是谁
拉文戴尔（Lavendell）由个人开发者 Anzhi Lu 开发和运营，所在地为中国北京。LifeLullaby 是我们使用的品牌名称，不是已登记的公司。
本政策里的“我们”指 Anzhi Lu。按照《个人信息保护法》，我们是本政策所述个人信息的处理者（按欧盟和英国的数据保护法，是“控制者”）。
本政策适用于拉文戴尔 iPhone App 和本网站。
2. 存在你 iPhone 上的数据
App 把下面这些存在 iPhone 上它自己的存储空间里：
- 通过 Apple 登录。Apple 会确认登录，并给 App 一个代表你 Apple 账户的标识（只在拉文戴尔里使用），外加一个短期的登录令牌。App 不向 Apple 要你的名字和邮箱，所以拿不到。令牌 App 不读也不保存，只保存这个标识，用来保持登录，并向 Apple 确认你有没有停止对拉文戴尔使用“通过 Apple 登录”。
- 你的资料。你起的名字（1–12 个字）、性别（男、女或保密），以及 App 随机生成的 8 位数 UID。
- 你的自习。每一段专注（开始和结束时间、分钟数、完成还是提前结束、课程、条目、标签），课程进度和魔法书，勋章，专注设置和你新建的标签。
- 你的角色。你在衣柜里保存的形象，以及由它生成的角色正脸图，也就是你的头像。
- 设置。提醒和提醒时间、画质、声音开关、“帮助改进”。
这个版本里，这些记录只在你的 iPhone 上，不会整体上传。但第 3 节的使用事件里有其中一部分信息（课程、阶段、条目、分钟数、完成还是中断），不带你的名字、UID 和标签名。你的数据不会在设备之间同步。如果你用 iCloud 或电脑备份 iPhone，备份里可能包含这些数据，这部分由 Apple 的条款管理。
退出登录后，这些数据仍留在 iPhone 上。删除账号会把它们清掉（见第 8 节）。
使用 App 需要通过 Apple 登录并起一个名字（性别可不选），这些都只存在你的 iPhone 上。登录之后，App Store 和 TestFlight 版本会发送第 3 节的使用事件（可以在设置里关掉）。除此之外，你不需要向我们提供任何信息。
3. 使用统计
App Store 和 TestFlight 版本会把使用事件发给 PostHog。PostHog 是美国 PostHog, Inc. 提供的统计服务。只有在这台 iPhone 上有登录的账号、并且“帮助改进”开着时才发送：通过 Apple 登录之前什么都不发（登录即表示同意用户协议和本政策），退出登录或删除账号后也停止发送，直到你下次登录。我们用这些事件了解大家用了哪些功能、在哪里卡住、会员是否正常，好修问题、改进拉文戴尔。
发送什么
- 事件：
- 安装、更新、打开 App、切到后台；
- 完成入学登记，以及这台 iPhone 上之前有没有自习记录；
- 开始上课：课程、阶段、条目、条目等级和是否已精通、是否会员课程、从哪里开始的；
- 专注开始、完成或中断：课程和条目、计划和实际分钟数、计时方式、严格程度、休息设置（短休和长休的时长、隔几段长休一次）、这一段是怎么开始的、用的是三个默认标签中的哪一个还是你新建的标签（不含标签名）；完成时还有这段专注前后的进度等级和连续自习天数；
- 解锁阶段：课程和阶段；
- 会员页出现：从哪里打开、对应哪项权益、有没有提供免费试用、能不能连上 App Store；
- 购买开始、完成或失败：方案、会员页是从哪里打开的、是否免费试用；失败时还有是取消了、待确认还是出错；
- 恢复购买，以及恢复后是不是会员；
- 使用会员功能：在统计里查看周、月、年或往前翻，在衣柜里保存形象（不含形象本身）；
- 退出登录（你自己退出，或因为停止使用“通过 Apple 登录”）；删除账号。
- 设备和 App 信息，由 PostHog 的软件自动附带，比如：设备类型、型号和厂商、通用设备名（比如“iPhone”）、iOS 版本、App 名称、包名（Bundle ID）、版本和构建号、是否 TestFlight 版本、是否模拟器或不是从 App Store 安装、语言和地区设置、时区、屏幕尺寸、网络类型（Wi-Fi 或蜂窝数据）、该软件的版本。
- 我们给每个事件加上的：你的 App Store 国家或地区、App 的语言、你是不是会员和会员方案（免费试用、年付、月付或永久）、App 的构建类型。
- 随机 ID：PostHog 的软件在你的 iPhone 上随机生成的统计 ID 和设备 ID（第一次开始发送时生成），以及一个会话 ID。统计 ID 跟着每个事件发送。设备 ID 不在事件里，但你退出登录或删除账号后（当时“帮助改进”关着的话，是下次开始发送时），PostHog 的软件会把它和新的统计 ID 一起发给 PostHog 一次（用于该软件的功能开关，我们没有使用这项功能）；退出登录、删除账号都不会改变它，只有卸载重装才会变。
不发送什么
你的 Apple 账户标识、名字、UID、性别、标签名，以及你输入的其他任何内容。我们不会把统计 ID 和你是谁关联起来。
我们已设置 PostHog 丢弃 IP 地址、不按 IP 查位置。没有录屏（会话回放），不自动记录你的点击。我们不使用广告标识符（IDFA），不跨其他公司的 App 或网站跟踪你，不出售你的数据，也不为广告共享。
保存多久
事件数据最多保存 12 个月，到期删除。
你可以怎么做
你有权反对使用统计。你可以：
- 在 App 里进入 学生宿舍 › 设置 › 帮助改进，关掉开关。App 立刻停止发送；关之前已经记下、还在排队的几条（最多是关之前半分钟左右的）可能仍会发出。这个开关默认是开的，存在这台 iPhone 上：退出登录、删除账号都不会改变它，关着时以后每次打开 App 都不会启动统计，直到你再打开它。
- 退出登录或删除账号。App 发出“退出登录”或“删除账号”这一条事件后就停止发送，直到你下次登录；下次登录后的事件用新的统计 ID，我们不会把新旧 ID 关联起来。但设备 ID 不会重置（见上），所以这不等于 PostHog 那边完全无法把它们连起来；要换掉设备 ID，只能卸载重装 App。
- 发邮件给我们，提出反对或询问。但统计 ID 不和你关联，App 里也不显示，我们没法挑出你已经发出的事件来删除。已经发出的事件会在 12 个月内自动删除。
4. 购买
会员由 Apple 通过你的 Apple 账户销售和扣费。我们看不到你的银行卡或付款信息。在你的 iPhone 上，Apple 的 StoreKit 告诉 App 你有哪种会员、交易状态如何，App 据此开通会员。Apple 也会给我们销售报告，里面没有你的名字和联系方式。Apple 收集的信息适用 Apple 隐私政策。
5. 权限和传感器
- 通知。只在你于设置里打开“每日提醒”时才请求。提醒在你的 iPhone 上设定，不经过服务器。你可以在 App 或 iPhone 设置里关掉。
- 运动传感器。场景显示时，App 读取 iPhone 的倾斜角度，让画面轻微跟着动。只在你的 iPhone 上实时使用，不保存，也不发送。
- 屏幕使用时间。这个版本不使用。如果以后的版本提供更严格的专注模式（专注时锁住其他 App），iOS 会先征得你的同意。iOS 会把你选的 App 以令牌的形式交给我们的 App，令牌看不出是哪个 App，App 只把它存在你的 iPhone 上。我们看不到你装了或用了哪些 App，这些数据不会离开你的 iPhone。
App 不使用你的位置、通讯录、照片、相机或麦克风。
6. 邮件和 Apple 的报告
- 你给我们发邮件时，我们会拿到你的邮箱地址和邮件内容，只用来回复你、解决问题。我们的邮箱由微软（Outlook.com）托管。
- Apple 的报告。如果你在 iOS 里选择了与 App 开发者共享分析数据，Apple 可能会把崩溃报告和使用统计给我们。Apple 也会提供 App Store 的统计数据。这些都不会告诉我们你是谁。
- TestFlight。如果你通过 TestFlight 参加测试，Apple 会把这些转给我们：我们邀请你时用的名字和邮箱（用邮件邀请时）、每个测试版本的安装和使用次数，以及你通过 TestFlight 提交的反馈、截图和崩溃报告，附带设备型号、iOS 版本等设备信息。我们只用它们来修问题、改进拉文戴尔。
7. 谁会收到数据
- Apple：通过 Apple 登录、App Store、TestFlight 和付款。Apple 以自己的身份、按自己的隐私政策处理。
- PostHog, Inc.：受我们委托做使用统计。地址 2261 Market Street #4008, San Francisco, CA 94114, USA；邮箱 privacy@posthog.com。PostHog 只用这些数据为我们提供服务，并受它的数据处理条款约束，这些条款要求它对数据的保护不低于本政策。它可能使用自己的服务商，比如云主机。
- 微软：托管我们的邮箱。
- GitHub：托管本网站（见第 15 节）。
我们不出售个人信息，也不为广告共享。除非法律要求（比如法院或主管部门的合法要求），或者为了保护他人安全，我们不会把数据给任何其他人。
8. 删除账号
在 App 里进入 学生宿舍 › 设置（右上角）› 删除账号，点“删除”。
这会立即从你的 iPhone 上清除：账号、名字、性别、UID、头像和角色形象、课程进度和魔法书、专注记录和统计、勋章、专注设置和标签、好友列表、提醒和其他账号设置。声音开关、画质和“帮助改进”属于这台手机，会保留。“帮助改进”开着的话，App 会先发出一条“删除账号”事件，然后停止发送使用统计，直到你下次登录；统计 ID 会被重置（设备 ID 只有卸载重装才会变，见第 3 节）。这个版本没有服务器上的副本需要删除。
- 删除账号不会取消订阅。请在 iPhone 设置 › 你的名字（Apple 账户）› 订阅 里取消。购买记录留在你的 Apple 账户里，可以恢复。
- 如果也想停止对拉文戴尔使用“通过 Apple 登录”：打开 iPhone 设置，点你的名字，在“通过 Apple 登录”的列表里找到 Lavendell。
- 卸载 App 也会删除它在 iPhone 上的数据。旧的 iCloud 或电脑备份在被替换之前，可能仍包含这些数据。
- 已经发出的使用事件会在 12 个月内删除（见第 3 节）。
9. 保存多久
- iPhone 上：直到你删除账号或卸载 App。
- PostHog 上的使用事件：最多 12 个月。
- 邮件：帮你处理问题需要多久就留多久，最长到对话结束后 12 个月；需要处理法律纠纷时除外。
- 购买记录：由 Apple 按它自己的政策保存。
10. 你的权利
不论你在哪里，你都可以要求我们：告诉你我们有你的哪些个人信息、怎么使用；给你一份副本（法律规定时，也可以转给其他服务）；更正；删除；停止使用。你可以反对使用统计（在 学生宿舍 › 设置 › 帮助改进 关掉，见第 3 节），也可以撤回你给过的同意。用户去世后，近亲属可以在法律允许的范围内行使其中一部分权利。
你的大部分数据只在你的 iPhone 上，你可以直接在 App 里查看、修改和删除。
提出请求请发邮件到 lawlietlu@outlook.com，不收费。我们会在 30 天内回复，可能请你提供信息，确认是你本人。因为我们没有把你的账号存在服务器上，可能找不到属于你的数据；如果是这样，我们会告诉你。
你也可以向数据保护机构投诉：在中国大陆，向网信部门等履行个人信息保护职责的部门；在英国，向信息专员办公室（ICO）；在欧盟、挪威、冰岛或列支敦士登，向你所在地的数据保护机构（机构名单）；在瑞士，向联邦数据保护和信息专员（FDPIC）。
11. 法律依据（欧洲经济区、英国和瑞士）
- 提供 App、账号和购买：履行我们和你之间的合同（用户协议）。
- 使用统计：我们的正当利益，即了解拉文戴尔怎么被使用、把它做得更好。我们把统计控制在最小范围（不留 IP 地址、不关联你是谁、最多 12 个月），你可以反对（见第 3 节和第 10 节）。
- 回复邮件：我们帮助你的正当利益；涉及你的会员时，是履行和你之间的合同。
- 法律要求我们保存或提供数据时：履行法定义务。
12. 跨境传输
我们在中国。PostHog 把使用事件存在美国。Apple 和微软可能在多个国家处理数据。你发给我们的邮件在中国阅读。
欧洲经济区、英国和瑞士：PostHog, Inc. 已通过欧盟—美国数据隐私框架及其英国扩展、瑞士—美国数据隐私框架的认证。
中国大陆用户
第 3 节的使用事件会从你的 iPhone 直接发到 PostHog 在美国的服务器，属于向境外提供个人信息。具体如下：
- 境外接收方
- PostHog, Inc.
- 联系方式
- 2261 Market Street #4008, San Francisco, CA 94114, USA · privacy@posthog.com
- 目的
- 使用统计，用于修复和改进拉文戴尔
- 方式
- 受我们委托，在 PostHog 位于美国的服务器上存储并汇总统计；App 通过加密连接（HTTPS）发送
- 种类
- 第 3 节列出的事件、设备和 App 信息、随机 ID
- 保存期限
- 最多 12 个月
- 什么时候发送
- 只在你登录之后、并且“帮助改进”开着时；退出登录或删除账号后停止，直到下次登录
- 停止发送
- 在 学生宿舍 › 设置 › 帮助改进 关掉，立刻生效
- 行使权利
- 联系我们，由我们向 PostHog 处理；或直接联系 PostHog（privacy@posthog.com）
13. 儿童
拉文戴尔不面向 13 岁以下的儿童（在中国大陆为 14 岁以下），我们不会有意收集他们的个人信息。如果你是家长，认为孩子用过拉文戴尔，可以在 App 里删除账号，或发邮件给我们。
14. 安全
iPhone 上的数据受 iOS 保护，包括锁屏密码和设备加密。使用事件通过加密连接发送。没有绝对安全的系统；如果发生影响你的数据泄露，我们会按法律要求通知你和主管部门。
15. 本网站
本网站不用 Cookie，不做统计，不加载外部字体或脚本。网站托管在 GitHub Pages 上。GitHub 可能出于安全原因记录访问者的 IP 地址，适用 GitHub 的隐私声明。
16. 政策变更
我们计划的联网功能，比如好友和“此刻谁在学”的名单，需要服务器。任何一项上线之前，我们都会先更新本政策，并在 App 里告诉你。
如果以后改由公司运营拉文戴尔，我们会提前告诉你新运营方的名称和联系方式。
其他变更会更新顶部的日期。重要的变更也会在 App 里告诉你。
17. 语言版本
本政策有中文和英文两个版本，内容相同。如果两者不一致，以英文版为准；但消费者保护法允许你以本人所用语言的版本为准的，从其规定。
18. 联系我们
Anzhi Lu，中国北京 · lawlietlu@outlook.com