# WawaCheck 隐私政策 > 拟生效日期：完成法律审核、备案、跨境安排和产品核验后，以应用内公布日期为准 ## 政策摘要 - 我们只为提供任务管理、账号与同步、会员、支持、安全和履行法律义务而处理必要信息。 - 我们不出售或出租个人信息，不使用广告网络，不发送促销邮件，不进行跨站广告追踪或基于行为的个性化定价。 - “帮助改进 WawaCheck”是默认关闭、可拒绝、可撤回的独立选择，不影响核心功能或付费权益。 - 删除账号后，同一邮箱、Apple ID 或微信身份可创建与旧账号隔离的新账号；只有可信交易证据可以恢复仍有效的购买权益。 - 中国大陆用户的数据可能被传输至新加坡及其他实际服务地区。法律要求时，我们会另行提供跨境告知并取得单独同意。 - 未满16周岁仅可在监护人监督下使用不注册、不登录、不上传的本地模式；云账号全球统一为16+。 ## 1. 我们是谁及如何联系 个人信息处理者/数据控制者：李星杰（英文法定姓名：Xingjie Li，自然人） 隐私、账号删除及法律联系邮箱：alsolightdust@163.com 通常响应期限：收到可核验请求后三十日内；适用法律规定更短期限的，从其规定。 本政策适用于 WawaCheck/青蛙清单 iOS App、官方 Web App、官网、登录、同步、会员、反馈和支持服务。 ## 2. 我们的处理原则及法律基础 我们遵循合法、正当、透明、目的明确、最小必要、准确、安全、保存期限最短和可问责原则。根据你的地区和具体场景，处理基础可能包括： 1. **履行合同或按你的请求采取措施**：创建账号、登录、同步任务、导入导出、提供会员、恢复购买及回复支持请求； 2. **同意**：非必要产品改进统计、法律要求的跨境传输、敏感个人信息及设备权限；意外涉及儿童信息或监护人请求时，按法律取得必要授权；同意可以拒绝或撤回； 3. **法律义务**：财务税务、消费者权益、网络安全、依法协助监管及保存必要记录； 4. **合法利益**（适用地区允许时）：保障账号安全、防止欺诈、维护服务稳定、处理争议及生成不针对个人的最小汇总；我们会进行利益衡量并尊重反对权； 5. **保护重大利益或其他法定基础**：仅在紧急安全事件或法律明确允许的有限情形使用。 撤回同意不影响撤回前基于有效同意完成的处理，也不影响我们基于其他合法基础必须继续的处理。核心服务所必需的信息若无法处理，相应账号或云功能可能无法提供，我们会在具体场景说明。 ## 3. 我们处理的信息 ### 3.1 账号、身份与登录 | 信息类别 | 来源 | 目的 | 一般期限 | | --- | --- | --- | --- | | 邮箱、邮箱验证状态 | 你提供、认证服务生成 | 注册、登录、找回、通知及账号安全 | 账号存续期间；删号后按第10节处理 | | Apple 用户标识、授权状态；微信 OpenID/UnionID 或届时实际返回的必要标识 | 你授权第三方登录时由第三方提供 | 创建或识别账号、登录及解绑 | 账号存续期间；删除完成后解除绑定并删除，法定例外除外 | | UUID、WAWA ID、账号创建和状态信息 | 系统生成 | 区分账号、同步、权限和支持 | 账号存续期间；删除完成后删除或去标识化 | | 会话标识、令牌校验结果、登录/退出时间、验证码结果、认证方式和必要安全信号 | 认证系统、设备和网络交互 | 维持会话、防止未经授权访问和滥用 | 会话到期或退出后失效；必要诊断/安全日志通常90日 | | 常住国家/地区、年龄段、年龄信号来源、门禁规则版本、判断结果和时间 | 你自报；在支持且你选择分享时由Apple Declared Age Range提供 | 执行16+云账号门禁并证明合规 | 账号存续期间或门禁审计所需最短期限；不保存完整出生日期或身份证件 | 我们不会要求你向我们提供 Apple、微信或邮箱密码。Face ID/Touch ID 如用于本地解锁，由 Apple 设备在本地完成生物识别验证；我们不取得、上传或存储你的面部或指纹模板。 ### 3.2 任务管理、云同步及用户内容 | 信息类别 | 目的 | 一般期限 | | --- | --- | --- | | 任务、项目、日历、专注、打卡、复盘、备注、标签、设置、同步版本和你选择上传的附件 | 创建、显示、编辑、跨设备同步、搜索、备份恢复、导出、配额和排障 | 直至你删除内容或账号；云端历史版本30日 | | 本地游客数据 | 在不登录时提供本地功能 | 默认只在设备保存，直至你删除 App/数据或选择上传 | | 手动备份文件 | 按你的指令导出或导入数据 | 本地生成的文件由你控制；如临时经服务器处理，上线前应保证处理结束后立即或在明确短期内删除 | 我们不会为广告、营销或通用人工智能模型训练读取你的任务内容。只有在你主动提交支持请求、授权分享诊断/附件、系统自动执行你要求的功能、保护安全或法律要求时，才在必要范围内处理相关内容。 ### 3.3 会员、订单和支付 我们可能处理产品标识、订阅组、权益类型、购买时间、到期时间、续费/取消状态、价格与币种、订单号或交易号、App Store 环境、退款、拒付、撤销、恢复结果、对账和申诉状态。 iOS付款由Apple处理。当前Web App不提供会员购买、付款码或外部支付，因此我们不会从Web收单机构取得会员付款信息。我们不直接保存完整银行卡号、支付密码、Apple密码或短信验证码。 可关联账号的权益状态在账号或权益存续期间保存。账号删除后，交易、退款、拒付和申诉的最小去标识化记录按第10节保存七个日历年。 ### 3.4 反馈、客服、附件和诊断 | 信息类别 | 目的 | 期限 | | --- | --- | --- | | 反馈正文、类别、关联页面、客服消息、状态、评分和处理结果 | 回复、排障、申诉和支持质量 | 结案后24个月 | | 你主动上传的图片、视频或其他附件 | 理解问题、核验申诉 | 结案后180日；成为必要交易/法律证据时按最小范围转入受限证据记录 | | 你明确选择分享的诊断日志，包括 App/系统版本、错误码、性能和兼容信息 | 定位你报告的问题 | 90日，合法保全除外 | 请不要在反馈中提交密码、完整支付卡号、验证码、无关的身份证件或他人敏感信息。我们会尽量过滤令牌和内容，但无法保证你主动输入的材料不含个人信息。 ### 3.5 推送及设备信息 在你开启系统通知时，我们处理 APNs 推送令牌、通知偏好、App 版本和必要设备环境，用于发送任务提醒、账号安全、交易、客服和服务状态通知。非活跃设备令牌最长保留90日。关闭系统通知会停止设备展示通知；删除账号或退出全部设备会触发令牌停用/删除。 当前不发送广告或促销推送。未来如发送营销信息，将另行取得适用的同意并提供便捷退订。 ### 3.6 可选“帮助改进 WawaCheck”统计 只有你单独选择开启且服务端开关已获批准时，我们才收集以下闭集事件：注册完成、创建项目/任务、完成任务、完成专注/打卡、闭集功能结果、启动结果和已符号化质量问题。 允许字段限于：事件名和版本、UTC日期、次数、平台、App版本、操作系统主版本、语言、首次标记、数量/时长桶、闭集功能枚举、结果码、严重程度以及不含原始错误文本的短问题指纹。 我们不在该统计中收集任务/项目标题或正文、备注、标签、附件、截图、原始堆栈、URL、原始IP、精确位置、通讯录、照片图库、广告标识符、设备唯一标识符、令牌、邮箱、电话或自由文本错误。 - 账号关联日统计：90日； - 不能合理反推账号的版本化汇总：395日； - 每账号、每UTC日、每事件最多100次； - 管理展示采用至少5个账号/事件的小样本抑制； - 撤回后停止新采集并删除仍关联账号的统计行； - 不用于广告、出售/共享数据、个性化定价、群发、信用判断或自动账号处罚。 ### 3.7 安全、审计及运营记录 我们可能记录请求时间、操作类型、结果码、权限角色、会话有效性、频率限制、安全告警以及授权员工对受限后台的访问，用于防欺诈、调查安全事件和追责。通常日志期限为90日；若转为具体安全事件或法律证据，仅保留必要部分至事件结案及适用期限届满。 员工后台不应展示任务内容、用户级统计轨迹、完整交易凭证、令牌或非处理工单所必需的信息。访问遵循最小权限并接受审计。 ## 4. 敏感个人信息及设备权限 1. WawaCheck 核心服务不要求通讯录、精确位置、健康数据、完整支付卡数据或广告标识符。 2. 你可能在任务或反馈中主动输入健康、财务、未成年人或其他敏感内容。请仅在确有必要时输入；我们仅按你的指令提供存储、同步或支持，不主动要求此类内容。 3. 照片、文件、相机等权限只在你选择添加附件、导入或导出时请求，并优先使用系统选择器获得单次或有限访问。拒绝非必要权限不影响无关功能。 4. 推送权限用于你选择的提醒；生物识别仅在设备本地验证。每项权限均应在触发功能时说明目的，可在系统设置撤回。 5. 对中国大陆用户，处理敏感个人信息或不满十四周岁未成年人信息前，我们会提供处理必要性及对个人权益影响的专门提示，并在法律要求时取得单独同意。 ## 5. 第三方、受托处理及共享 我们仅向提供服务所必要的第三方披露最小信息，并通过合同、安全评估、访问限制和删除要求进行管理。第三方作为独立控制者时，其政策也适用。 | 接收方/类别 | 信息与目的 | 主要处理地区 | 身份及政策 | | --- | --- | --- | --- | | Supabase | 认证、数据库、对象存储、Edge Functions、备份和安全日志 | 当前项目区域：新加坡；Pro 数据库每日自动备份并保留7日；对象存储文件不包含在数据库备份内；支持及子处理者地区依DPA | Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513；privacy@supabase.io；[客户数据处理附录](https://supabase.com/legal/customer-resources/data-processing-addendum)；[备份说明](https://supabase.com/docs/guides/platform/backups) | | Apple | App 分发、App Store付款、订阅、APNs推送、Sign in with Apple、系统诊断 | 依用户商店、设备和Apple基础设施 | Apple Inc.及适用地区关联主体；[Apple隐私政策](https://www.apple.com/legal/privacy/)；[隐私请求入口](https://privacy.apple.com/) | | RevenueCat | 订阅状态、收据验证、权益、退款/取消事件和对账 | 美国AWS及其列明的服务地区 | RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA；compliance@revenuecat.com；[隐私政策](https://www.revenuecat.com/privacy/)，| | 腾讯/微信开放平台 | 微信登录必要标识和授权结果| 中国及腾讯列明地区 | 深圳市腾讯计算机系统公司； | Cloudflare/Turnstile | 官网交付、DDoS防护、验证码、安全Cookie和请求元数据 | 全球网络，主要存储地区包括美国及欧洲经济区 | Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA；dpo@cloudflare.com；[隐私政策](https://www.cloudflare.com/privacypolicy/) | | Plus Five Five, Inc.（Resend） | 验证、重置密码、账号安全和客服邮件；处理收件邮箱、邮件正文/模板、投递状态及必要邮件元数据 | 账号数据、邮件元数据、日志和API记录存储于美国；邮件路由地区依生产发件域配置 | 2261 Market Street #5039, San Francisco, CA 94114, USA；privacy@resend.com；[DPA](https://resend.com/legal/dpa)；[隐私政策](https://resend.com/legal/privacy-policy)。除非另行告知并取得适用同意，交易邮件应关闭非必要的打开/链接追踪。 | | 专业顾问及主管机关 | 争议、审计、法律义务或保护权利所必需的最小信息 | 依具体事项 | 仅在合同保密、法律要求或有效程序下提供 | 我们不出售或出租个人信息；不为跨情境行为广告“出售”或“共享”个人信息。若业务发生合并、重组或资产转让，我们会要求承接方继续遵守本政策，并在法律要求时提前通知或取得同意。 ## 6. 跨境处理 1. 由于 Supabase 当前使用新加坡区域，且 Apple、RevenueCat、Cloudflare 等在多个国家运营，你的信息可能从居住地传输至新加坡、美国或供应商实际提供服务的其他地区。 2. 对中国大陆用户，我们会在跨境前单独展示境外接收方名称和联系方式、处理目的和方式、信息种类、保存期限、境外行权方式及可能风险，并在法律要求时取得个人信息出境的单独同意。我们还将完成个人信息保护影响评估，并按法律保存评估和处理记录。 3. 我们会根据适用门槛采用安全评估、个人信息出境标准合同、认证或法定豁免。豁免特定申报机制不表示免除合法、透明、最小必要、安全和权利保障义务。 4. 对欧洲经济区数据，采用充分性决定、欧盟标准合同条款及必要补充措施；对英国数据，采用充分性法规、英国国际数据传输协议/附录或其他有效机制。运营者尚未完成欧洲经济区及英国代表任命；鉴于云账号处理属于持续业务，不以“偶发、低风险”豁免作为上线依据，并将该事项作为紧急整改项。 5. 对加拿大、澳大利亚、日本、韩国、新加坡和加州用户，我们将依据当地跨境、委托和问责规则，采取合同保护、供应商尽职调查和合理安全措施。 6. 你可联系隐私邮箱索取适用传输保障的摘要；涉及商业秘密或他人权利的内容可能被适当遮盖。 ## 7. Cookie、本地存储和类似技术 1. iOS App 和 Web App 可能使用会话令牌的安全存储、本地数据库或系统存储，维持登录、离线任务、同步队列、语言、主题和隐私选择。 2. 当前代码审计未发现 WawaCheck 主动写入第一方 Cookie。Web App 使用 Supabase 会话本地存储、`tfAuthDB` IndexedDB 会话备份以及任务、同步、语言、主题和界面偏好的本地存储；Cloudflare/Turnstile 可能为安全挑战设置必要技术。我们不使用广告 Cookie、跨站追踪或非必要营销 Cookie。 3. 认证存储持续至退出、令牌到期或账号删除；任务及偏好存储持续至你清除浏览器数据、使用产品删除功能或删除账号。安全 Cookie/类似技术按供应商说明的会话或短期期限处理。具体类别见同版本的《Cookie与类似技术清单》；上线前仍须在正式域名、各浏览器和挑战场景下完成一次实时扫描，以确认第三方实际名称和期限。 4. 若未来增加非必要分析或营销技术，我们会先更新清单，并在适用地区取得可拒绝、可撤回的同意；默认不设置此类技术。 5. 禁用必要存储可能导致登录、同步或安全验证无法使用。你可通过浏览器或设备设置清除本地数据。 ## 8. 信息安全及事件响应 我们采取与风险相称的措施，包括传输加密、受限存储、最小权限、行级访问控制、服务端会话验证、令牌失效、频率限制、依赖与权限审查、员工访问审计、小样本抑制、数据最小化、备份和定期清理。 没有任何互联网服务能够保证绝对安全。发生或可能发生个人信息泄露、篡改、丢失时，我们会立即采取补救，评估风险，并依法通知受影响个人和主管机关；通知会说明事件类型、可能影响、已采取措施、降低风险的建议和联系渠道。法律允许不逐一通知时，我们会采取合理有效的公告方式。 ## 9. 保存、账号删除及最终清理 ### 9.1 保存期限表 | 数据 | 最长一般期限/触发点 | | --- | --- | | 账号和云端业务数据 | 账号存续或由你主动删除；云端历史版本30日 | | 非活跃推送令牌 | 90日 | | 诊断日志 | 90日 | | 一般安全及员工审计日志 | 90日；转为事件证据时至事件结案和法定期限届满 | | 账号关联产品统计 | 90日 | | 不能合理反推账号的汇总统计 | 395日 | | 已结反馈正文 | 24个月 | | 反馈附件 | 结案后180日 | | 交易、退款、拒付和申诉最小记录 | 七个日历年，从最后相关交易、退款、拒付、申诉结案、税务或法律程序结束的较晚者起算 | | 防重复试用加密摘要标记 | 自最后试用相关事件起七个日历年 | | 账号删除/恢复最小审计记录 | 自删除或恢复完成、相关申诉结案或法律程序结束的较晚者起七个日历年 | | Supabase数据库灾备 | Pro 自动每日数据库备份，保留7日；当前项目记忆未证明已启用PITR，故不得对外声称PITR；对象存储文件不包含在数据库备份内 | ### 9.2 删除账号时的处理 账号删除执行后，我们将： 1. 删除认证账号、普通身份绑定、活动会话、UUID/WAWA ID 与业务数据的关联，并使会话和令牌失效；Apple 登录按可用接口撤销授权；微信按届时可用的开放平台能力解绑，无法服务商侧撤销时会明确告知并删除 WawaCheck 侧绑定； 2. 删除任务、项目、同步、分享、反馈私有内容、附件、通知、设备令牌和仍可关联账号的产品统计； 3. 删除或去标识化不再需要的支持、安全和运营记录； 4. 保留第10.1节列明的最小交易、申诉、试用和删除/恢复审计记录，但与旧业务数据隔离并严格限制用途； 5. 已删除的数据库数据可能在受限的 Supabase 日备份中暂存最多7日，不会因日常运营恢复；仅在必要灾难恢复时可能随整库恢复，恢复后将依据删除墓碑重新执行删除。对象存储文件不在该数据库备份内，按其独立删除流程清理。 ### 9.3 七年申诉及删除/恢复审计的清理机制 1. **进行中的删除任务**可在完成处理所需的短期工作表中暂存旧 UUID 和步骤状态。删除成功并完成一致性检查后，能够直接关联旧账号的工作字段在30日内删除。 2. **长期最小审计记录**只保留随机操作编号、请求/计划/完成时间、渠道类别、验证结果类别、协议版本、结果码、失败阶段、购买恢复的交易渠道/产品/状态及申诉结案时间；不保留邮箱、Apple/微信原始标识、旧UUID、WAWA ID、原始IP、令牌、任务内容或非必要附件。 3. 需要防止重复试用时，单独保存使用密钥版本生成的不可逆HMAC摘要和试用事件时间；该摘要不得与任务、反馈、营销或用户画像表连接。 4. 清理任务至少每月运行一次，根据第10.1节的到期锚点永久删除到期的交易、申诉、试用和审计记录，并生成不含个人标识的任务运行结果。 5. 退款争议、税务审计、诉讼、监管请求或其他合法保全可暂停特定记录清理。保全必须记录依据、范围、负责人和复核日期，至少每12个月复核；保全解除后30日内删除已经到期的记录。 6. 删除失败进入隔离重试队列并触发告警；不得因单表失败宣称删除完成。只有所有必删数据完成、允许保留的数据去标识化并通过一致性检查后，才向用户确认完成。 7. 购买恢复采用短期授权和可信交易验证；恢复完成或失败后，临时凭证立即失效，原始验证载荷按排障所需最短期限删除，长期仅保留前述最小审计字段。 ### 9.4 新账号隔离 删除完成后，相同邮箱、Apple ID 或微信身份可以创建新账号。新账号生成全新 UUID/WAWA ID，不读取旧账号业务数据、会话或身份绑定。只有经可信交易证据验证的有效订阅/终身购买可以重新绑定；手动导入的数据作为新账号数据处理。 ## 10. 你的选择和权利 根据适用法律，你可以请求： 1. 了解处理规则，访问或取得个人信息副本； 2. 更正、补充不准确或不完整的信息； 3. 删除内容或账号； 4. 撤回同意、关闭可选统计或设备权限； 5. 限制或反对特定处理，包括基于合法利益的处理； 6. 在技术可行且法律适用时取得可携带格式或将数据传给其他服务商； 7. 了解自动化决策逻辑并拒绝仅由自动化作出的重大决定；当前我们不进行此类重大自动化决策； 8. 向当地数据保护或消费者主管机关投诉； 9. 由监护人、授权代理人或法律允许的近亲属代为行使权利。 产品路径： - 删除账号：App → 账户 → 删除账号； - 撤回产品统计：设置 → 协议与数据选择； - 取消Apple订阅：设备设置或 [Apple订阅管理](https://apps.apple.com/account/subscriptions)； - 其他请求：发送邮件至 alsolightdust@163.com。 我们会进行与请求风险相称的身份核验，不要求无关信息。通常在30日内答复；复杂请求在法律允许时可延长，并告知原因。请求明显无依据、过度重复或会侵害他人权利时，我们可依法拒绝或收取合理费用，并说明理由和申诉方式。 ## 11. 地区补充说明 ### 11.1 中国大陆 你享有知情、决定、限制/拒绝、查阅复制、更正补充、删除、撤回同意、注销账号和要求解释处理规则等权利。跨境、敏感个人信息及不满十四周岁未成年人信息在法律要求时取得单独同意并完成影响评估。ICP备案号和App备案号获批后应在App及网站显著位置补充。 ### 11.2 欧洲经济区及英国 你可访问、更正、删除、限制处理、反对、数据可携、撤回同意，并向所在地监管机构投诉。基于合法利益处理时可索取利益衡量摘要。我们不实施对你产生法律或类似重大影响的纯自动化决策。运营者目前尚未完成欧洲经济区/英国代表任命；这是待立即整改的合规事项，不因App Store审核通过而消除。任命完成后将在本政策及独立《联系方式》中公布。如依法需要任命数据保护官，将另行公布其联系方式。 ### 11.3 美国及加州 在适用的州法律范围内，你可请求知情/访问、更正、删除和取得副本，并选择退出出售、共享或定向广告。我们不出售个人信息，不共享个人信息用于跨情境行为广告，不因行使隐私权提供歧视性待遇。我们未提供“限制使用敏感个人信息”链接，是因为不使用敏感信息推断特征或用于法律所列次要目的；事实变化时将更新。 过去十二个月可能处理的类别包括标识符、互联网/应用活动、商业和交易信息、用户内容、设备/诊断信息及可能由用户内容推断的偏好；来源为你、设备、身份/支付服务商和我们的服务操作；目的及接收方见第3、6节。未满十六周岁信息不会被出售或共享用于跨情境行为广告。 ### 11.4 加拿大、澳大利亚、日本、韩国及新加坡 在相应法律适用时，你可请求访问、更正、删除/停止使用或披露、撤回同意和投诉。我们提供有意义、适龄的告知；未满16周岁仅使用零上传本地模式，16至17周岁采用高隐私默认，并对境外接收方采取合同、透明度和问责措施。日本用户可请求有关境外制度和接收方保护措施的信息；韩国用户的境外提供、委托及未成年人规则按当地法要求另行展示；新加坡和澳大利亚用户可就访问、更正及跨境问责联系隐私邮箱。 ## 12. 政策更新 我们会注明版本、生效日期和重要变化。处理目的、信息类别、保存期限、儿童规则、第三方或跨境安排发生重大变化时，将通过App弹窗、网站或账号联系方式显著通知；法律要求时重新取得同意。拒绝与核心服务无关的新处理，不影响原有核心服务。 历史版本将以合理方式供你查阅和保存。 ## 13. 联系及投诉 如对本政策、儿童信息、跨境处理、安全事件或权利请求有疑问，请联系： 李星杰 alsolightdust@163.com 你也可以向常住地的数据保护、消费者保护、市场监管或其他有权机关投诉。