隐私政策

我们收集什么

账号信息。 注册时，我们会收集你的电子邮箱和密码（以单向 bcrypt 哈希的形式存储——我们从不会看到或保存你的真实密码），如果你用 Google 或 Apple 登录，则收集这些服务商提供给我们的姓名和邮箱。你填写的可选个人资料——显示名称、头像、每日目标、使用场景偏好——也会被保存。

你创建的任务和内容。 你在 Liro 里输入或说出的一切——任务标题、备注、子任务、标签、空间、截止日期——都会被保存，以便在你的设备间同步，并在离线时依然可用。

语音录音。 当你用语音记录任务时，录音会被安全上传，发送给我们的转写服务商，转换成文字并提取出日期、时间和分类。音频在处理完成后会立即删除。只有当你主动开启“保留我的录音”设置（默认关闭）时，才会保留更长时间。

位置信息，仅在你把它关联到任务时。 Liro 不会在后台跟踪你的位置。如果你把某个地点关联到任务上（比如“买牛奶”并在商店附近提醒你），我们会为该任务保存这个地点的名称和坐标。语音说出的地点名称会通过 Google Places 和 OpenStreetMap 来解析。

Google 日历(如果你选择连接)。 连接 Google 日历后,Liro 会读取你的日程,把它们和你的计划并排显示;只有在你打开"写入日历"时,才会创建或更新你在 Liro 中生成的日程。连接是可选的,这也是 Liro 唯一能访问的 Google 服务,你随时可以在"设置"中断开。我们读取什么、保存什么、如何保护,详见下方"我们如何保护你的 Google 日历数据"。

购买和订阅状态。 如果你订阅 Liro Pro，交易会由我们的支付服务商（RevenueCat）和 Apple/Google 自己的商店处理；我们只会收到你的订阅状态，不会收到你的支付信息。

Liro 的世界与你的进度。 为了运行伙伴功能，我们会保存与你账户关联的记录：橡果账本（哪项已完成的任务在何时获得了多少橡果）、你在每日任务、每周使命和里程碑上的进度、你的专注远行记录（专注的分钟数，以及 Liro 带回明信片的地点）、邻居来访，以及你拥有的房间和衣橱物品。我们只将其用于运行这些功能——绝不用于广告或用户画像——删除账户时它们也会一并删除。锁定屏幕和灵动岛上的专注实时活动由你的设备使用设备上已有的数据绘制，不会为此向我们额外发送任何内容。这些都不涉及任何新的第三方。

崩溃和性能数据。 我们使用 Sentry 来捕获崩溃和错误，以便修复它们。这包括设备/系统信息和出错时的堆栈跟踪——不包括你任务的具体内容。

关于故意收集儿童数据。 Liro 是为成年人打造的效率工具。我们不会故意收集 13 岁以下儿童的个人数据——这是美国《儿童在线隐私保护法》（COPPA）设定的门槛，我们在全球范围内统一采用。App Store 和 Google Play 可能会把应用的内容分级标为 4+，但那只是内容分级，不代表可以收集儿童的数据。如果你认为有 13 岁以下的儿童创建了账号，请发邮件到下方地址，我们会删除该账号及所有相关数据。

我们不做什么

我们不会出售你的数据，不做行为定向广告，不会用你的任务或语音录音来训练 AI 模型，也不会跨其他应用或网站跟踪你。

数据存放在哪里

你的账号和任务数据存放在托管的 Postgres 数据库（Neon）中。语音录音和头像图片，如果被保留，则存放在 Google Cloud Storage 中。两家服务商都会对静态和传输中的数据进行加密。

我们如何保护你的 Google 日历数据

连接 Google 日历是可选的。连接时,Liro 只申请一项权限——`https://www.googleapis.com/auth/calendar.events`——不申请其他任何权限。Liro 无法读取你的 Gmail、通讯录、云端硬盘或任何其他 Google 服务,因为它从未申请过这些权限。

我们只保存三个字段,不多不少。 对于以今天为中心的一段时间内的日程,我们保存日程标题、开始时间,以及它的 Google 日程 ID(以免同一日程被重复导入)。我们不会复制或存储日程描述、参加者姓名或邮箱地址、地点、附件、会议链接,也不会读取主日历以外的日历。

传输中和存储时都经过加密。 应用、我们的 API 与 Google 之间的所有通信都走 TLS。此外,我们会在把 Google 访问令牌和刷新令牌写入数据库之前,用 AES-256-GCM 自行加密,因此任何拿到数据库原始副本的人——包括我们自己的数据库服务商——都无法读取。数据库和文件存储本身也由 Neon 和 Google Cloud Storage 加密存储。

几乎无人可及,也没有人工阅读。 你的日历数据仅由自动化系统处理。没有任何员工、承包商或次级处理方会阅读它,也从不进行人工审阅。生产数据库的管理访问权限仅限于运营该服务的那一名开发者,受两步验证保护,用途是维持服务运转,而非查看用户内容。

断开连接即删除。 在"设置"中断开 Google 日历时,我们会向 Google 撤销令牌,并在同一步骤中删除我们保存的副本,授权因此在两端都不再存在,而不只是闲置不用。删除账号时,也会先做同样的处理,再移除其余数据。你也可以随时在 Google 账号权限页面自行撤销 Liro 的访问权限。

绝不出售,绝不用于训练 AI。 我们不出售 Google 用户数据,不将其提供给广告商或数据经纪商,不用于广告或用户画像,也不用于训练、再训练或改进任何 AI 或机器学习模型——无论是我们的还是别人的。语音转写功能永远不会收到日历数据。

万一出了问题。 如果我们发现影响你数据的安全事件,将按照 GDPR 的要求,在知悉后不无故拖延且不迟于 72 小时内,通知受影响的用户和相关监管机构。

有限使用(Limited Use)。 Liro 对通过 Google API 获取的信息的使用和向任何其他应用的传输,均遵守 Google API 服务用户数据政策,包括其中的有限使用要求。

我们依赖的第三方

Groq（语音转写和解析）、Google Places / OpenStreetMap（位置查询）、RevenueCat（订阅管理）、Sentry（崩溃报告），以及 Google / Apple（登录）。每一方只会收到完成其工作所需的最少数据，如上所述。

你的控制权

在设置 → 个人资料中，你可以随时导出或清除任务数据，也可以永久删除账号及与之关联的一切——这会从我们的系统中移除你的任务、录音和个人资料。如果你更愿意发邮件，请用下方的地址联系我们，我们会为你处理。

我们凭什么可以保存

欧洲法律要求我们说明处理你数据的每一件事的法律依据，直白说明如下。

为了运行你注册的这款应用。 你的账号信息、任务、语音录音、你附上的地点以及订阅状态，都是因为你要求我们为你运行 Liro 才处理的——从法律上说是合同。没有这些就没有这款应用。

因为你同意了。 连接日历或邮箱账号、以及接收产品邮件，只在你明确同意时才发生。你随时可以在设置中断开连接或退订来撤回同意；撤回不会让同意期间本来合法的处理变得不合法。

因为它让服务能继续运转。 崩溃与错误报告基于我们修复故障的正当利益。它们包含设备和错误信息，绝不包含你的任务内容。你可以提出反对，不过实际上那意味着删除账号，因为我们无法在完全看不见的情况下运营这款应用。

我们保存多久

你的账号和任务在你删除之前一直保留，不会自行过期。

语音录音在转写完成后立即删除，除非你自己开启了"保存我的录音"——那样它们与账号同寿。

崩溃报告在 90 天内过期，由 Sentry 强制执行。

备份按 30 天的窗口滚动。删除的数据行立即离开线上数据库，并在这 30 天内从备份中彻底过期。

账单记录由 Apple 和 RevenueCat 依其自身的税务与会计义务保存。那些不是我们能删除的。

你在欧洲的权利

Liro 从哥伦比亚运营，存储和处理你数据的服务商位于美国和欧洲，因此你的数据确实跨境。每家服务商都在各自的传输保障措施下运作——标准合同条款或获认可的充分性框架——除上面列出的服务商之外，我们不会把你的数据发往任何地方。

如果 GDPR 适用于你，你可以要求我们出示所持有的内容、更正、删除、以可携格式提供、限制我们的处理，或停止基于正当利益的处理。其中大部分你都可以在设置里自己完成，立刻生效，无需征求任何人同意。其余的请写信到 privacy@wisprtasks.xyz，我们会在一个月内答复。

你也可以向你居住、工作所在国，或你认为出了问题的国家的数据保护机关投诉。你不必先经过我们。

本政策的变更

如果本政策发生实质性变化，我们会更新页面顶部的日期；如果变化重大，还会在应用内通知你。

联系我们

对你的数据有疑问？发邮件到 privacy@wisprtasks.xyz 联系我们——Off The Shelf Studio 会阅读发到这里的每一条信息。 你的数据的责任人（数据控制者）是以 Off The Shelf Studio 名义经营的哥伦比亚独立开发者 Danilo Santiago Vanegas Saenz。