隐私政策

我们是谁

• Vũ Đăng Công 是一位常驻越南的独立开发者，也是 Ember 的运营者。
• 联系方式：hi@keepember.com。

我们收集哪些数据

• 账户：在您通过 Apple、Google 或邮箱登录方式登录时收到的姓名和邮箱。现有账户也可使用密码。我们仅申请下文所述的登录权限范围。
• 您创建的内容：您添加的人物、其详细信息、日期、笔记、标签和分组；提醒以及互动记录。
• 语音输入与 Keeper AI：您选择转写的语音、您提出的问题，以及回答这些问题所需的上下文。
• 公开塔罗问题：当您登录以接收解读时，在公开塔罗页面输入的问题会通过 URL 传递，可能出现在浏览器历史记录和服务器日志中。
• 设备与诊断数据：如果您启用提醒则包括推送令牌、应用和操作系统版本、设备型号、崩溃和错误报告、同步诊断，以及在启用时的应用性能衡量。衡量部分说明了哪些记录与账户关联。
• 使用情况：您打开应用的时间、保持打开的时长、从固定列表中访问的屏幕，以及所选操作的次数。这些第一方使用记录与您的账户关联，但不包含您的联系人、笔记、日记条目或 Keeper 对话内容。
• 付款：由 Apple In-App Purchase 或 Google Play Billing 处理付款。Ember 不会收到您的银行卡信息。
• 可选位置与联系人：用于天气的联系人所在城市、您输入的用于地理编码的地址文本、可选的出生星盘坐标，以及仅在您选择导入时的设备联系人。Ember 不会在后台追踪您的位置。
• 网站等候名单：如果您加入，则包括您的邮箱地址和所选语言。

我们如何使用您的数据

• 用于提供 Ember、验证您的身份、发送提醒、在启用时同步您的数据，以及响应您向 Keeper 和其他 AI 功能提出的请求。
• 用于发送服务消息和您选择接收的消息。
• 用于诊断错误、了解服务的使用情况，以及如下文所述衡量和改善广告。
• 我们不会将您的联系人、笔记、日记或 Keeper 对话的内容用于广告，也不会出售这些内容。广告衡量部分解释了根据某些法律，网站像素和应用事件可能被视为共享或出售个人信息的情况。

登录服务

• Google Sign-in：我们接收您的邮箱、姓名和个人资料图片。我们不会访问 Gmail、Drive、Calendar 或其他 Google 服务。您可以通过 Google 账户撤销访问权限。
• Apple Sign-in：我们接收您的姓名，以及您的邮箱地址或 Apple 私密转送地址（如果您选择隐藏邮箱）。
• 我们对从 Google API 接收的信息的使用遵循 Google API Services User Data Policy，包括其 Limited Use 要求。

第三方服务

• Supabase：位于新加坡的数据库、身份验证和云存储。
• AI 服务商：OpenAI、Google Gemini、DeepSeek 和 Anthropic Claude，有时通过 OpenRouter 路由。我们仅发送所请求功能所需的上下文。每家服务商均根据其自身条款进行处理。在受支持的情况下，请求使用不训练或零留存设置。DeepSeek 总部位于中国，可能会根据其政策使用接收到的输入。
• Amazon Simple Email Service (Amazon SES) 和 Resend：发送服务与营销邮件。SES 是用于邮件推广活动和某些验证消息的有效主要服务商。Resend 是这些路由的备用服务商，并直接发送某些账单、生命周期和支持邮件。
• Apple App Store 和 Google Play：应用分发、账单和退款。
• RevenueCat：跨商店管理订阅和购买状态。它接收购买历史、应用用户标识符以及设备或平台信息，但不接收支付卡信息。对于退款请求，它可能会向商店发送您对订阅的使用情况、应用内累计支出和以往退款次数；这不包含您的联系人、笔记或日记。
• WeatherAPI、Geoapify 和 Photon / OpenStreetMap (Nominatim)：使用请求所需的位置或地址信息的可选天气和地址服务。

衡量、广告与诊断

• 在 keepember.com 上：Google Analytics 4 (Google LLC, 美国) 统计页面浏览量和应用商店链接的点击量。敏感令牌在发送前会从页面地址中移除，且本网站关闭了 Google 的广告存储功能。Vercel Web Analytics 和 Speed Insights (Vercel Inc., 美国) 无需 Cookie 即可统计页面浏览量并测量页面速度。Meta Pixel (Meta Platforms, Inc.)、TikTok Pixel 和 OpenAI (ChatGPT Ads) Measurement Pixel 向这些公司报告页面浏览量和应用商店链接点击量；它们可能会设置自己的 Cookie 以进行广告衡量和受众创建。Meta 的表单字段自动收集功能已关闭。OpenAI Pixel 的自动高级匹配（advanced matching）功能无法关闭：它会检测页面上已存在的受支持标识符（例如电子邮件地址），在您的浏览器中对其进行哈希处理，并且只发送该哈希值。我们不会故意将姓名、邮箱地址、电话号码或私密应用内容作为像素事件字段发送。
• 您在 keepember.com 上的选择：在欧盟和欧洲经济区、英国、冰岛、列支敦士登、挪威，以及当我们无法确定您的国家/地区时，Google Analytics 发送无 Cookie 的请求，Meta、TikTok 和 OpenAI 像素在您允许衡量之前保持等待。在其他地区（包括越南），分析 Cookie 和这些像素默认开启，并附有通知和拒绝途径。无 Cookie 的 Google Analytics 请求仍可能作为网络连接的一部分携带您的 IP 地址。使用页面底部的“分析选项”链接可更改您的选择。ember_analytics_consent Cookie 最多可将您的选择保留一年。Ember 网页应用尊重 Global Privacy Control 和 Do Not Track；keepember.com 目前不会响应这些信号，因此请使用上文所述的分析选项链接拒绝衡量。
• 在 app.keepember.com 上：区域许可规则适用于 Google Analytics、Meta Pixel 和 TikTok Pixel，包括已认证的页面。如果拒绝衡量或仍需做出许可决定，这些工具将不会在该处加载。在分析事件之前，记录标识符会从页面地址中删除或缩短。当允许衡量时，Google Analytics 也可能会使用广告存储。当您的浏览器发送 Global Privacy Control 或 Do Not Track 时，Web 应用不会加载这些工具。公开塔罗页面（包括在 keepember.com/tarot 打开的页面）遵循与 Web 应用相同的许可规则，并可能加载 Google Analytics、Meta Pixel 和 TikTok Pixel。
• 在移动应用中，Firebase Analytics (Google LLC, 美国) 在移除记录标识符后记录屏幕浏览，并统计选定操作。它使用随机应用实例标识符，不与您的 Ember 账户关联，也不使用设备广告标识符。
• 移动应用中的 Meta SDK 会报告安装和打开、注册完成、订阅屏幕浏览、开始购买、已完成的付费塔罗解读，以及选定的联系人、提醒、日记、Keeper 和 Insight 操作的次数。Insight 事件仅标识所使用的系统，而不包含结果。我们不会将姓名、邮箱、电话号码或这些操作的内容作为事件字段发送。在 iOS 上，仅在您通过 iOS 提示允许跟踪后，IDFA 和 Meta 的匿名标识符才会用于广告匹配。在 Android 上，Meta 的匿名标识符用于广告衡量。当前的生产配置禁用了 Android 广告 ID 收集。
• RevenueCat 到 Meta Conversions API：试用开始、订阅、续订和购买（包括金额）将报告给 Meta 用于广告衡量。在 iOS 上，仅在获得跟踪许可后才会发送设备匹配标识符。
• Ember 自身的使用统计：应用打开、打开时长以及对固定屏幕列表的访问与您的账户关联并保留 180 天。同步诊断（包括时间、错误信息和设备标识符）也与您的账户关联，以帮助解决同步问题。目前没有启用的基于时间的自动删除作业，并在账户存在期间一直保留。服务器队列还会保留与账户关联的应用广告衡量事件以便递送和确认；尚未验证其固定的留存期。
• 应用性能衡量：Ember 可能先在内部测试组中开展按会话性能衡量，并计划从下一个应用商店版本起扩展至所有用户。对于每个会话，应用可能会发送启动和首屏内容时间、应用和操作系统版本、设备型号、内存以及单独的随机安装标识符。会话记录在设计上不包含账户 ID 且不存储 IP 地址。其 90 天的留存限制取决于每日删除作业是否正常运行；Ember 将在更广泛发布前核实该作业。
• Sentry (Functional Software, Inc., 美国) 接收崩溃和错误报告，包含设备型号、操作系统、应用版本以及已移除记录标识符的最近屏幕名称。Ember 不附加账户标识符。该项目的 IP 擦除设置当前处于关闭状态，因此 Sentry 可能会根据其设置保留 IP 地址。
• 在某些地区（包括加利福尼亚州），为广告衡量而与广告合作伙伴共享数据可能被视为“共享”或“出售”个人信息。您可以如上文所述拒绝网站衡量，并在系统提示时拒绝 iOS 跟踪。

数据留存

• 账户与同步内容：在您的账户处于活跃状态期间保留。在提出账户删除请求后，同步数据和备份将在账户删除流程中说明的期限内（目前最多 30 天）被删除。
• 与账户关联的应用使用统计：保留 180 天，若账户提前删除则以删除时间为准。
• 与账户关联的同步诊断：目前在账户存在期间予以保留。尚未核实启用了 90 天的清理作业。
• 服务端应用广告衡量队列：尚未核实固定的删除期限；与账户关联的记录将随账户一同删除。
• 计划用于内部测试的应用性能会话：计划的 90 天限制取决于每日删除作业的运行。Ember 将在下一个应用商店版本向所有用户推出该衡量之前确认该作业。
• Google、Meta、TikTok、OpenAI、RevenueCat、Sentry 及其他服务商持有的数据遵循各服务商自有的留存规则。

您的权利与选择

• 访问与可携性：从应用“设置”中导出您的数据。更正：在应用中编辑您的数据。
• 删除：使用“设置 > 数据 > 删除账号”，如果您无法打开应用，请联系 hi@keepember.com。
• 反对或限制处理，或请求删除与账户关联的数据：请发送邮件至 hi@keepember.com。
• 通过您的第三方服务商账户撤销 Google 或 Apple 登录授权。
• 网站衡量：使用“分析选项”链接。在 iOS 上，使用“设置 > 隐私与安全性 > 跟踪”管理应用跟踪权限。
• 移动应用目前没有针对 Firebase Analytics、与账户关联的使用统计或应用性能衡量的单独开关。请联系我们请求删除与您账户关联的数据。
• 您可以向当地的数据保护机构投诉。

安全

• HTTPS 保护传输中的数据；Supabase 管理静态加密和行级访问控制。
• 联系人、笔记、日记条目和其他敏感字段在云同步前会在您的设备上使用 Ember 不持有的密钥进行加密。Ember 人员无法读取这些加密字段。经授权的运维人员仍可查看账户级的使用记录和诊断信息。当您要求 Keeper 或其他 AI 功能处理内容时，所需的上下文会在您的设备上解密并发送给 AI 服务商。临时服务器队列中的明文 AI 请求和响应内容通常会在约一到两小时内删除；失败后重新排队重试的任务可能保留最长七天。
• 登录凭据在适用的情况下保存在安全的设备存储中。

儿童隐私

Ember 并非面向 13 岁以下或其所在国家法定最低年龄以下的儿童。我们不会在知情情况下收集儿童的数据，一旦发现属于儿童的账户将予以删除。

跨境传输

云端数据托管在新加坡的 Supabase。其他服务提供商可能会在其他国家/地区（包括美国）处理数据。在要求的情况下，跨境传输使用标准合同条款（Standard Contractual Clauses）或其他适用的保护措施。

本政策的变更

• 2026年9月26日：本次更新阐明了已在使用的衡量与广告做法，包括 Meta 和 TikTok 像素、应用内的 Meta 和 RevenueCat 事件，以及与账户关联的使用统计与同步诊断。
• 我们立即发布本澄清说明，因为它描述了已经在进行的衡量与广告做法。应用性能衡量是一项计划中的活动，可能会在下一个应用商店版本之前先从内部测试组开始。
• 当我们更新本政策时，我们会修改“最近更新”日期，并在本页面说明最近的更改。如果未来的更改根据适用法律需要提前通知或获得许可，我们将在该更改生效前提供通知或征得同意。

联系方式

对本政策有疑问或需要提出数据请求？请发送邮件至 hi@keepember.com。