KitchenLocker 隐私政策
本译文仅供参考。具有约束力的是英文版本；如有出入，以英文版本为准。
简短版本。 KitchenLocker 完全在您的设备上运行，无需账户。如果您登录以在设备之间同步，您的锁的名称、密码、您在锁上写的备注、活动记录和备用码会在离开手机之前进行端到端加密——我们无法读取它们。锁的计时器不会以这种方式加密，因为它必须由我们的服务来运行。除非您选择与监督伙伴共享，否则锁的名称始终保持封存。使用情况报告在您打开之前一直处于关闭状态。我们将崩溃报告发送到我们自己运行的服务器。如果您邀请监督伙伴，我们会存储对方的电子邮件地址并代表您向其发送邮件。我们不展示广告，也不会为广告目的出售或共享您的个人信息。
本政策说明 KitchenLocker 应用（“本应用”）处理哪些数据，哪些数据会到达 HYPER C（“我们”），以及哪些数据留在您的设备上。它适用于 iOS 和 Android 上的本应用、支撑它的同步服务，以及我们因它而发送的电子邮件。HYPER C 是大韩民国的个人开发者 임중혁 (Joong Hyuk Im) 所使用的名称；“我们”指 임중혁。如有疑问，请联系 [email protected]。
1. 留在您设备上的数据
没有账户，本应用也是完整的。它需要的一切都在您的手机上：
- 您的锁 — 名称、备注、计时器、设置、统计数据和活动记录，保存在本地数据库中。名称和备注在同步之前会被封存，但在这里两者都以可读形式保存。
- 密码和备用码 — 仅保存在您设备的安全密钥库中（iOS 钥匙串 / Android Keystore），绝不保存在普通数据库中。
- 您的保险库密钥和恢复码 — 如果您使用同步。封存您数据的密钥保留在您设备的安全密钥库中。恢复码用于让新设备进入您的保险库，它保存在重新安装后或更换手机后能够找到的地方：在 Apple 设备上是钥匙串，在 Android 上是 Google 的 Block Store。如果您使用 iCloud 钥匙串，Apple 会把两者带到您的其他 Apple 设备上。在 Android 上，只有当您手机的 Google 备份经过端到端加密时（这需要设置屏幕锁），恢复码才会包含在该备份中；否则它只留在手机上。无论哪种情况，它都保存在您自己的 Apple 或 Google 账户之下，绝不会以我们可读的形式到达我们的服务器。
- 应用设置 — 主题、通知偏好，以及使用情况报告是否开启。
- 您对条款的回答 — 您接受了哪个版本的服务条款、何时接受，以及您是否开启了使用情况报告；保留这些记录是为了不再重复询问您。
- 生物识别应用锁 — 如果您启用面容 ID、指纹或密码保护，由您的操作系统执行验证。本应用只收到“是”或“否”；本应用和我们都永远无法获取任何生物识别数据。
本地通知（计时器结束、提醒）在您的设备上生成，不需要网络连接。
2. 哪些数据是端到端加密的，哪些不是
如果您登录，同步的部分内容会在您的设备上用一把只有您的设备才持有的密钥封存。我们的服务器只存储和转发密文，没有能够打开它的密钥。
- 端到端封存： 每个锁的名称和分类、密码、每个锁的备注、活动记录和备用码。
- 不封存： 每个锁的计时器及其状态。这些数据以可读形式存储在我们的服务器上，因为计时器由服务运行，也便于显示在您的其他设备上、显示给您的监督伙伴，以及显示在月度报告中。
如果您愿意，可以共享锁的名称。 在名称保持封存期间，您的监督伙伴以及我们发给对方的电子邮件只会显示“一把锁”。如果您在设置中关闭“加密锁的名称”，每个锁的名称和分类的可读副本就会存储在我们的服务器上、显示给您的伙伴，并写入这些邮件。重新打开该设置会从我们的服务器上清除这些可读副本；已经发出的邮件无法撤回。
名称和备注在同步之前就已被封存，因此我们永远看不到它们——但两者都以可读形式保存在您自己的手机上，因此请把它们视为任何拿到您已解锁手机的人都能读到的内容。如果您丢失了所有设备以及恢复码的所有副本，封存的数据将无人能够恢复，包括我们——这就是端到端的含义。
3. 您登录后我们收到的数据
登录是可选的。它的存在是为了让您的锁能跟随您在设备之间流转，以及让您可以指定一位伙伴。您可以使用 Apple、Google 或接收一次性验证码的电子邮件地址登录。
- 账户身份 — 来自 Apple 或 Google 的用户 ID、您的电子邮件地址，以及来自 Google 的头像图片 URL。我们永远不会收到密码；身份验证直接由 Apple 或 Google 完成。Apple 可能会向我们提供一个私人转发地址而非您的真实地址。
- 登录验证码 — 如果您通过电子邮件登录，我们会保留每个验证码的哈希副本，连同其发送到的电子邮件地址、应用或浏览器标识符以及截短的网络地址，以便限制验证码并发现滥用行为。验证码会在几分钟内过期，相关记录会在验证码过期一小时后删除。
- 会话 — 每台已登录设备的哈希刷新令牌、设备名称、应用标识符和截短的网络地址。每个会话的记录会在其刷新令牌过期 30 天后删除。
- 已同步的锁数据 — 如第 2 条所述。
- 设备记录 — 每次安装都会注册一个公钥，以便加密密钥能在您的设备之间安全传递；新设备必须由现有设备或您的恢复码批准。我们还会存储恢复码本身，但它已用您的保险库密钥封存，我们无法读取；已连接的设备正是凭此才能再次向您显示它。
- 您对锁名称的选择 — 您是否关闭了“加密锁的名称”（第 2 条）。
- 推送通知令牌 — 注册后服务才能向您发送通知，通过 Firebase Cloud Messaging（Google）送达。
- 时区和区域设置 — 用于按您的本地时间计算月份，以及以适合您的方式显示。
- 同步时间戳和服务器时钟锚点 — 用于在设备之间保持计时器的准确。
- 审计记录 — 您账户上重要操作（登录、删除、伙伴变更）的日志，连同截短的网络地址，出于安全目的并用于处理争议而保留。
网络地址在存储前会被截短 — 无论是在服务器日志还是数据库中，IPv4 都截短到 /24，IPv6 都截短到 /48 — 因此我们保留的内容只能识别一个大致范围，而不是某一台设备。
4. 监督伙伴
您可以邀请一个人成为您的监督伙伴。为此，您需要向我们提供对方的电子邮件地址，并可选择提供姓名。即使对方从未创建账户，我们也会存储该地址和姓名，以便发送邀请并知道邀请是发给谁的。输入某人的地址即表示您确认有权将其提供给我们，并且对方愿意通过本应用收到您的消息。
我们代表您向您的伙伴发送电子邮件：邀请、您请求提前打开锁的通知（包括您输入的任何理由）、备用码被使用时的通知，以及月度报告。只有在您共享锁的名称时（第 2 条），这些邮件才会写出锁的名称；否则只写“一把锁”。每一封邮件都附有停止接收的方式，退订的人在该伙伴关系中不会再收到邮件。
接受邀请的伙伴可以看到您的锁的计时器（只有在您共享时才能看到名称和分类，见第 2 条），会收到您的解锁请求，并可以批准或拒绝。伙伴永远看不到密码或备注。 我们会保留每段伙伴关系以及每个解锁请求及其结果的记录。任何一方都可以随时在本应用中结束伙伴关系。
5. 您的同意记录
当您接受服务条款并回答使用情况报告的问题时，本应用会记录您接受了哪个版本、何时接受以及您的回答。您登录后，该记录会发送到我们的服务器并保存在那里，连同截短的网络地址，作为只追加不删除的历史记录。之后关闭使用情况报告会添加一条新记录，而不是抹去先前的记录。我们保留它是为了在关于何时同意了什么的问题出现时，答案是存在的。本应用中没有任何功能会读取它。
6. 诊断与使用情况报告
- 崩溃和错误报告 — 发送到我们自己运行的错误跟踪服务器（GlitchTip，兼容 Sentry），而不是第三方。报告包含错误、应用版本、设备型号和操作系统版本。个人身份字段和屏幕截图在报告客户端中已被禁用。
- 使用情况报告在您打开之前一直处于关闭状态。 本应用使用 Google Analytics for Firebase 统计哪些屏幕被打开，以及人们在创建锁的过程中走到哪一步。数据收集在应用的构建设置中已被禁用，并且在您勾选条款屏幕上的复选框或设置（Settings → Your data）中的开关之前一直保持关闭。开启后，事件与一个匿名的应用实例标识符关联，永远不会与您的账户关联，也永远不会包含锁的名称、备注、密码或您的电子邮件。无论您如何选择，与广告相关的同意都会对 SDK 拒绝。关闭报告还会请求 Google 删除该匿名标识符，因此先前的事件会成为孤立数据，而不是等待补全为一份画像。
- 远程配置 — 本应用从 Firebase Remote Config 下载功能开关。这是一次下载，不是对您数据的收集。
7. 我们发送的电子邮件
我们只因您或您的伙伴的操作而发送电子邮件：登录验证码、伙伴邀请、解锁通知、月度报告，以及账户删除或保险库重置已安排或已完成的通知。邮件由 Amazon Simple Email Service 送达，该服务由位于美国的 Amazon Web Services 运营。我们会保留发送了什么以及发送给谁的日志（30 天后删除），以及退信或要求我们停止的地址列表，以免继续向它们发送邮件。
8. 购买
KitchenLocker Pro 的付款完全通过 App Store 或 Google Play 进行。我们永远不会收到您的银行卡号或账单信息。应用在您的手机上向商店询问订阅是否有效，并把答案保存在您的手机上；我们的服务器不会得知。如果您打开了使用情况报告，Google Analytics for Firebase 也可能记录发生过一次购买，但不会将其与您的账户关联。
9. 我们不做的事
我们不出售您的个人信息，不为跨情境行为广告共享它，也不展示广告。本应用不含任何广告 SDK，也不请求广告标识符权限。我们不读取您的密码、您的备注、活动记录或备用码——我们无法读取。除非您选择共享，否则我们也不读取您的锁的名称。我们不收集您的通讯录、位置、照片或本政策列出内容之外的任何东西。
10. 保留与删除
- 在您的设备上 — 删除一个锁会将其移入本地回收站保留 30 天，然后销毁。您可以随时清空回收站。卸载本应用会移除所有本地数据，但受您操作系统备份设置的影响。恢复码是有意保留的例外：它会留在您的 Apple 钥匙串或手机的 Google 备份中（第 1 条），以便重新安装后能够找到；在您的账户或保险库被删除之后，它打不开任何东西。
- 您的账户 — 您可以在本应用内（Settings → Privacy & data）删除账户，或请求我们删除。删除有 14 天的宽限期，在您提出请求时会显示；在宽限期结束前重新登录会取消该请求。宽限期结束后，您的账户以及同步到它的所有内容都会从我们的服务器上永久移除。伙伴关系记录和审计条目会同时失去与您的关联。
- 保险库重置 — 无法获得批准的设备可以请求重置您的加密保险库。该请求会等待 7 天并通过电子邮件通知；您任何一台已连接的设备都可以取消它。如果执行，所有封存的名称、密码、备注和历史记录都会被销毁，您的月度报告也会一并删除。
- 您共享过的锁名称 — 当您重新打开“加密锁的名称”时，可读副本会被清除；账户被删除时，它们也随账户一并清除。
- 登录验证码和会话 — 验证码在几分钟内过期，其记录会在一小时后删除；会话在您退出登录、设备被移除或账户被删除时结束，其记录会在刷新令牌过期 30 天后删除。
- 备份 — 我们的数据库按计划备份。备份在离开我们的基础设施之前会被加密，并以滚动方式保留，因此已删除的账户在删除后会在备份中保留有限的一段时间，然后过期。
- 崩溃报告和使用情况事件 — 仅在调试和产品决策所需的时间内保留，然后按照我们的错误跟踪器和 Firebase 的保留设置删除。
11. 法律依据
在 GDPR 或英国 GDPR 适用的情况下，我们基于以下依据处理您的数据：为您所要求的账户、同步、伙伴和通知功能，依据履行合同；为崩溃报告、安全、防止滥用以及审计和同意记录，依据合法利益；为使用情况报告以及法律要求同意的其他任何事项（例如您设备上的推送通知权限），依据同意。我们基于提供您所要求功能的合法利益处理伙伴的电子邮件地址，并以每条消息都附有停止方式来加以平衡。在韩国《个人信息保护法》适用的情况下，使用情况报告是一个可选的同意项目，拒绝它不会限制服务。
我们不会将您的数据用于具有法律效力的自动化决策。
12. 您的权利
如果您在欧盟、欧洲经济区或英国，您有权访问、更正、删除您的个人数据并获取其副本，有权反对或限制处理，并有权随时撤回同意。您还可以向当地的监管机构投诉。
如果您是加利福尼亚州居民，您有权知道我们收集哪些个人信息，有权删除、更正它，并有权选择退出其出售或共享。我们不出售或共享 CCPA/CPRA 所定义的个人信息，也不会因您行使权利而歧视您。
如果您在韩国，您享有《个人信息保护法》赋予您的权利：访问、更正、删除您的个人信息并暂停对其的处理，以及撤回同意。
行使大多数权利最快的方式就在本应用中：使用情况报告是一个开关，账户删除也是内置功能。对于其他任何事项，包括获取您数据的副本，请发送电子邮件至 [email protected]；我们会在适用法律要求的时限内回复。端到端加密的内容（未共享时的锁名称、密码、备注、活动记录、备用码）对我们来说是不可读的，因此副本只能以密文形式包含它们。
13. 跨境传输
我们的服务器可能位于您所在国家之外，我们的两家处理者位于美国：用于电子邮件送达和加密备份的 Amazon Web Services，以及用于推送通知、使用情况报告和远程配置的 Google。在数据保护法有要求的情况下，传输依据适当的保障措施进行，例如欧盟委员会的标准合同条款或充分性认定。大韩民国已获得欧盟的充分性认定。
14. 儿童
KitchenLocker 账户面向 14 岁及以上的人士；如果您所在地的法律为同意数据处理规定了更高的最低年龄，则以该年龄为准。我们不会故意收集儿童的个人数据。如果您认为有儿童向我们提供了数据，请联系我们，我们会将其删除。
15. 安全
锁的名称、密码、备注、活动记录和备用码在同步之前会在您的设备上加密。所有数据都通过 HTTPS 传输。令牌以哈希形式存储，网络地址在存储前会被截短，错误跟踪在我们自己的服务器上运行并禁用了身份字段。如果您发现安全问题，请通过 [email protected] 告诉我们，而不是公开它；我们更希望尽早、私下得知。
16. 处理者与第三方
我们使用少数几家处理者，每一家只接收其职责所需的内容：
- Apple 和 Google — 登录，以及我们推出付费功能后的付款。您的设备还会把恢复码保存在这两家公司向您提供的密钥库和备份中（第 1 条）；该副本保存在您在这两家公司的账户之下，不会发送给我们。
- Google Firebase — 推送通知、使用情况报告（仅在您开启时）和远程配置。
- Amazon Web Services — 电子邮件送达，以及我们备份的加密存储。
- 我们自己的托管 — 同步服务、其数据库和错误跟踪服务器。
17. 本政策的变更
如果我们对本政策作出重要变更，我们会更新上方的日期，对于影响已登录用户的重大变更，还会在本应用中告知您。变更后继续使用即表示更新后的政策适用。
18. 联系方式
임중혁(HYPER C)
韩国《个人信息保护法》规定的个人信息保护负责人：임중혁
有关您数据的任何事项，请联系 [email protected]
安全问题请联系 [email protected]