Phaze 的隐私

2. 简要说明

本简要说明仅供参考，以下文全文为准。

• 我们不出售你的个人信息。我们会告诉 Meta，以及在 Android 上告诉 TikTok，Phaze 何时被安装、打开和订阅，以便了解是哪条广告把人带到了这里。其中不包含任何健康数值，我们也不与数据经纪商共享任何信息。见第 6.3 节和第 8 节。
• 健康数据保存在你的设备上。Phaze 不在自有服务器上保留副本。在 iOS 上，应用每天一次把一份加密副本写入你自己的 iCloud 云盘；在 Android 上，你可以启用云备份，它会把加密存档写入你自己的 Google 云端硬盘。见第 5 节。唯一的例外是 Phaze 存储。在 iOS 上使用 Phaze Pro 时，你可以为一次备份选择它，它会在我们的服务上保存一份端到端加密的副本，Phaze 的任何人都无法打开。
• 社区是可选的。如果你在其中发帖，你写的内容会保存在我们的服务上并展示给每位成员，而提到你的药物、剂量或体重的帖子，就是你选择公开的健康信息。Phaze 绝不会把你记录中的任何内容复制到帖子里。见第 5.4 节。
• 我们不会将 Apple HealthKit 或 Google Health Connect 的数据用于广告、营销或出售。
• AI 功能（Ember 聊天、食物扫描、每日洞察）会通过我们运营的边缘服务把你的数据发送给 Google Gemini。在你单独授予许可之前，这些功能保持关闭，且你随时可以撤回许可。我们不会用你的数据训练 AI 模型。社区同样使用 Gemini，用于审核和翻译帖子与回复、撰写其 AI 角色的回复，以及在开启时撰写每日一个话题，其灵感来自官方卫生机构的公开新闻或一年中的某个纪念日或季节。这依据社区自己的同意运行，而不是依据上述许可。见第 6.1 节。
• 你必须年满 18 周岁才能使用 Phaze。

3. 我们收集的信息

3.1 你提供的信息

• 账户信息： Phaze 没有登录，也没有密码。如果你使用社区，你需要为它选择一个用户名，社区的每位成员都能看到（见下方关于社区的条目，以及条款第 4 节）。你在引导流程中填写姓名和出生日期，两者都留在你的设备上。只有当你选择发送反馈，或在“设置、隐私”中开启资料共享时，才会提供电子邮件地址。
• 健康和身体数据： 体重、身高、身体成分记录、进度照片、目标、饮食偏好。
• 药物数据： GLP-1（或其他）药物的名称、剂量、用药安排、副作用、注射部位备注。由你自愿提供。
• 营养数据： 饮食记录、条形码扫描、餐食照片、语音描述的餐食、饮食偏好。
• 活动数据： 运动记录、饮水记录、断食时段、睡眠摘要。
• 订阅信息： 来自 Apple App Store 或 Google Play 的购买确认。我们不会收到你完整的银行卡号。
• 沟通信息： 支持邮件、应用内反馈。
• 社区内容（可选，Phaze 应用）： 如果你使用社区，我们会收到：你选择的用户名；每条帖子（最多 600 个字符）和每条回复（最多 400 个字符）的文本；你为帖子选择的主题；你的应用所设置的语言，它会被记录为你所写内容的语言；你的投票，以及投票推出之前你的“加油”和“我也是”反应；你提交的举报及其原因和一条最多 200 个字符的可选备注；你隐藏的成员；以及你同意的社区条款和同意书的版本及同意时间。帖子只能是文本：没有照片，也没有链接。社区也没有头像照片，不会保存你的任何图片。你写的内容可能包括你的药物、剂量、体重或感受。如果包括，那就是你选择公开的健康信息，第 5.4 节说明了它保存在哪里。
• 你在社区的个人资料（可选，Phaze 应用）： 在社区中轻点你的用户名，会打开你的个人资料。它显示你的用户名、你加入的月份、你的徽章、你的积分（除非你已关闭），以及社区中显示的你的帖子和回复。你还可以选择显示最多三个应用已有的项目，因此你无需输入：你的记录连续天数，即你在 Phaze 中连续记录的天数；你使用的药物，以品牌名显示，如果你选择了“其他”则不显示名称；以及你的当前剂量，以数字加单位显示，例如 0.5 mg。每个项目都有自己的开关，默认关闭，可在你选择用户名时以及在“设置、社区”中切换。应用会为你填写数值，只在该开关打开时发送，并在数值变化时更新。你的药物和剂量属于健康信息，而在一个关于 GLP-1 药物的社区里，你记录的持续程度也可能反映你的健康状况。因此，我们把这三项都视为你选择公开的特殊类别健康数据，打开每个开关即是你同意显示该项目的明确同意。你的个人资料只显示本段列出的内容，绝不会显示你的体重、身体测量数据、副作用或注射部位。你可以在设置、社区中把你的积分从个人资料和排行榜上移除，并隐藏你的 Premium 徽章（条款第 7A.8 节）。
• 社区通知（可选，Phaze 应用）： 如果你已同意社区的条款，并且 Phaze 可以在你的 iPhone 上显示通知，应用会把你的成员 ID 连同以下内容发送到我们的服务：Apple 为你的 iPhone 提供的推送令牌、应用是否为开发版本、你的应用设置的语言、你 iPhone 的时区（例如“Asia/Shanghai”），以及你的两个通知开关（默认打开）。其中任何一项变化时，应用会重新发送，其他情况下，会在你打开 Phaze 时大约每天发送一次。通知的内容见条款第 7A.9 节。

上述社区说明同样适用于 Android。成员 ID 保存在受 Android Keystore 保护的加密偏好设置中。可选通知使用 Firebase Cloud Messaging。如果你在 Android 设置中关闭 Phaze 通知，下次打开应用时，该手机会从我们的列表中移除。

3.2 自动收集的信息

• 设备信息： 设备型号、操作系统版本、应用版本、语言、时区、国家（根据商店地区得出），以及设备生成、用于关联你使用事件的假名标识符。
• 诊断与产品分析： 崩溃报告、性能追踪、错误日志和产品分析事件。我们不会把你的电子邮件地址、姓名，或任何药物名称、剂量、副作用、注射部位发送给分析或崩溃服务商。分析事件记录你打开了哪些页面、执行了哪些操作，以及每日打卡中的情绪与精力评分，和你添加的化验指标名称，绝不包含其数值。我们的分析服务商还会录制约 10% 会话的屏幕，所有文本、图片和输入框在上传前都会被遮蔽。这些都关联到一个设备生成的标识符，因此属于假名化而非匿名。“设置、隐私”中的一个开关即可全部关闭。见第 6.2 节。
• 大致位置： 仅限城市级别，根据 IP 地址得出。我们不收集精确的 GPS 位置。
• 社区成员身份（仅在你打开社区时）： 你第一次打开社区或“设置、社区”页面时，应用会生成一个随机的成员 ID，并保存在 iOS 钥匙串中。即使社区处于关闭状态，也会这样做。在社区开放期间，我们的服务会保存这个 ID，以及应用平台、你手机的语言和地区设置（例如“zh-Hans_CN”）、你第一次打开社区的日期，以及你每次打开社区或其设置页面的日期。我们不会给你分配名字：你会在第一次发帖、回复或投票之前自己选择用户名。这条记录会在你第一次打开两者之一时创建，早于你发帖或同意任何内容，因为它标志着你的开放周开始。如果你退出社区，之后又再次打开社区或其设置页面，同一条记录会重新生效，在你选择新用户名之前没有用户名。如果你已被移出社区，这条记录会保持移出状态。成员 ID 不是用于分析、崩溃报告和订阅的设备标识符，两者绝不会被关联。

3.3 来自第三方的信息

• Apple HealthKit（iOS）： 如果你连接 HealthKit，我们会读取你授权的数据类型。见第 7 节。
• Google Health Connect（Android）： 如果你连接 Health Connect，我们会读取你授权的类别。Phaze 目前请求：步数（读取）、体重（读取和写入）、活动消耗的卡路里（读取）、锻炼时段（读取）。
• Google 云端硬盘（仅 Android）： 如果你在 Android 上开启云备份，你会授予 Phaze 云端硬盘 AppData 权限，以便把备份文件写入你自己的云端硬盘。我们不会收到任何其他云端硬盘内容。Phaze 没有登录，因此不使用“通过 Apple 登录”，也不使用 Google 登录。

我们不从数据经纪商购买数据，也不用外部来源丰富你的资料。

3.4 我们不提取的信息

• 不提取生物识别信息。 Phaze 不提取或存储伊利诺伊州《生物识别信息隐私法》（BIPA）、得克萨斯州 CUBI 法规或类似法律所定义的面部几何特征、面部特征点、指纹、虹膜扫描、声纹、说话人嵌入、步态分析或任何其他生物识别标识符。食物扫描和进度照片不会用于人脸识别。语音转写使用平台的语音 API，Phaze 一方不会创建或保留声纹。
• 不收集精确位置。 我们不收集 GPS 坐标，也不使用地理围栏。我们不会在医疗机构周围设置地理围栏。
• 我们自己不使用第三方广告标识符。 你设备上的 IDFA 或广告标识符受平台隐私设置管理。

4. 我们如何使用你的信息

我们出于以下目的、依据以下合法依据处理你的信息（合法依据主要在 GDPR、UK GDPR 和 LGPD 下有意义；美国用户可忽略“合法依据”一栏）。

我们不会将你的信息用于：为金钱或其他有价对价出售给第三方；在 Phaze 中展示广告；为预测你在本服务之外的未来行为而对你进行画像；与保险公司、雇主或数据经纪商共享。我们与 Meta 以及在 Android 上与 TikTok 共享的安装归因事件见第 8 节。

你可以随时撤回同意，方法是在应用内删除相关数据、关闭相应功能或联系 privacy@phaze.fit。撤回不影响此前的合法处理。

5. 本地存储与备份

5.1 保存在你的设备上

你的健康、药物和进度照片数据保存在你的设备上：

• iOS: 带有 iOS 数据保护（NSFileProtectionCompleteUntilFirstUserAuthentication 类）的 SwiftData 持久存储。敏感医疗字段（药物标识、剂量、副作用记录、注射部位备注、你的医疗档案和用药安排）还会使用存储在 iOS 钥匙串（kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly）中的密钥，以 AES-256-GCM 额外加密。
• Android: Room 数据库。敏感医疗字段使用在 Android Keystore 中生成并存储的密钥（在设备支持时由硬件保护），以 AES-256-GCM 加密（模式 AES/GCM/NoPadding、256 位密钥、12 字节 IV、128 位标签）。一般偏好设置使用 Android Jetpack Security 的 EncryptedSharedPreferences（键用 AES256_SIV，值用 AES256_GCM），主密钥与 Keystore 绑定。

Phaze 不运行任何存储你在应用中所记健康记录的服务器。不过，健康信息仍可能通过两种途径到达我们的服务。如果你在社区发帖，你写的内容会保存在我们运营的服务上，以便其他成员阅读，而提到你的药物、剂量、体重或感受的帖子，就是我们服务器上的健康信息。另外，如果你开启了资料共享，而我们的团队为产品调研联系过你，我们团队就这次联系所写的备注中可能包含你选择告诉我们的内容。应用绝不会把上述记录中的任何内容复制到这两处。第 5.4 节列出了我们服务保存的全部内容，包括社区。离开设备的数据流在第 6 节：AI 功能、社区的审核、翻译和 AI 角色回复、分析、可选的云备份，以及可选的健康平台同步。如果你为一次备份选择 Phaze 存储，我们运营的一项服务上也会保存一份端到端加密的副本，只有你的设备和你的恢复码能打开它（第 5.2 节）。

5.2 备份

备份的运作方式取决于你的平台，两者并不相同。

• iOS: 当你在已登录 iCloud 的 iPhone 上打开 Phaze 时，应用每天最多一次把你的 Phaze 数据的一份加密副本写入你 iCloud 云盘中 Phaze 自己的文件夹（iCloud.com.zeit.phaze）。这份副本包含你在 Phaze 中保存的全部内容，包括你的药物、剂量记录、日常记录和进度照片，应用还会把被替换的那份副本保留为第二份。我们无法访问你的 iCloud 云盘，因此无法读取或取回这些副本。你删除的条目会一直留在这些副本中，直到被更新的副本替换。应用绝不会自行用更小的副本替换现有副本，所以在你删除条目之后，这可能需要一段时间。当你在登录同一 iCloud 账户的 iPhone 上安装 Phaze 时，应用会提示你从 iCloud 恢复数据。你的数据也由 Apple 的 iPhone 备份承载，你在 iOS 设置中控制它。使用过旧版本的设备还可能在同一文件夹中保留一份更早的存档，你可以在“设置、数据与隐私、设备备份”中将其恢复一次或删除。只要为 Phaze 打开了 iCloud 云盘，“删除所有数据”就会清除每日副本和这份存档，但有下文所述的限制。
• Android: 云备份需主动开启，默认关闭。开启后，一份加密存档会写入你自己 Google 云端硬盘的 AppData 文件夹。该文件夹为 Phaze 专用、限于应用范围，在你常规的云端硬盘视图中不可见。频率由你选择：关闭、每天或每周。
• Phaze 存储（可选，iOS，Phaze Pro）： 当你在“设置、数据与隐私、设备备份”中轻点“立即备份”，并为这次备份打开 Phaze 存储时，应用会把你在 Phaze 中保存的全部内容（包括你的药物、剂量、副作用和进度照片）的一份端到端加密副本发送到我们运营的备份服务。只有当你为这次备份选择它时才会这样做。它从不自动进行，也从不同步。你 Apple 账户中的 iPhone 共享这些备份，因此你可以在新 iPhone 上恢复其中一份。

两种情况下，存档内容在写入前都以 AES-256-GCM 加密。

关于 iCloud 和 Google 云端硬盘存档的加密密钥。 为了让备份能在新设备上无需另设口令即可恢复，加密密钥在本地生成，并与加密内容一起保存在备份文件内。在 iOS 上，每日副本还包含用于解开你设备上加密的医疗字段（第 5.1 节）的密钥，例如你的药物、剂量、副作用和注射部位，以便恢复时能够读取它们。打开 iCloud 钥匙串时，应用还会把这把密钥的一份副本保存在你的 iCloud 钥匙串中，让同一账户下的新 iPhone 能读取它恢复的数据。这意味着备份的安全性取决于你的 iCloud 或 Google 账户，而不是由你自己保管的口令。我们不支持用户自设口令，也不会把这份备份描述为“只有你能读取”，因为那会暗示存在我们无法触及的密钥。若你需要真正的零知识加密，请在 iOS 上为 Phaze 关闭 iCloud 云盘，并且不要在 Android 上启用云备份。

Phaze 存储只有你能读取。 打开它的密钥在你的 iPhone 上生成，保存在你的 iCloud 钥匙串以及应用向你显示的恢复码中。我们的服务从不接收其中任何一个，也从不以可读取的形式接收保护你医疗字段的密钥。Phaze 的任何人都无法打开这些备份。如果你同时丢失了恢复码以及所有在 iCloud 钥匙串中保存该密钥的设备，任何人都无法打开它们，包括 Phaze；而且由于 Phaze 没有账户，我们也无法替你找到它们。

Phaze 不保存 iCloud 或 Google 云端硬盘存档的副本，这些存档只存在于你自己的 iCloud 或 Google 云端硬盘中。我们的服务保存的唯一备份是 Phaze 存储，而且只在你选择时保存。

在 Android 上，云备份启用后， 它会按你选择的频率运行。你可以随时在“设置、云备份”中更改频率或关闭它。

要删除备份文件： 在 iOS 上，只有在为 Phaze 打开 iCloud 云盘时，“删除所有数据”才能清除你 iCloud 云盘中的 Phaze 副本，所以请在关闭 iCloud 云盘之前使用它。它无法清除 iCloud 为节省 iPhone 空间而只保存在云端的副本，而登录同一 iCloud 账户的另一台 iPhone 会继续写入它自己的副本，直到你在那台 iPhone 上也删除数据。若要确保所有副本都已删除，请同时在 iPhone 的 iCloud 储存空间设置中删除 Phaze 的数据。在 Android 上，当手机仍可为 Phaze 访问你的 Google 云端硬盘时，“删除所有数据”会删除云备份文件，你也可以在设置中关闭云备份。你还可以通过 Apple 或 Google 的数据管理工具自行删除这些文件。要删除你在 Phaze 存储中的备份，请在“设置、数据与隐私、设备备份”中使用“从 Phaze 删除”，它会立即从我们的服务中删除这些备份。“删除所有数据”也会询问是否一并删除（第 9 节）。

5.3 用通俗的话说

• 你的数据保存在你的设备上。
• 在 iOS 上，应用每天一次把你的数据的一份加密副本写入你自己的 iCloud 云盘（第 5.2 节）。在 Android 上，云备份默认关闭，开启后会有一份加密文件保存在你自己的 Google 云端硬盘中。
• 如果你为一次备份选择 Phaze 存储，我们的服务上会保存一份端到端加密的副本。Phaze 的任何人都无法打开它，你可以随时在“设备备份”中删除它。
• 第 6 节所述的 AI 功能和分析会把特定字段传出你的设备。
• 你在社区发布的任何内容都会保存在我们的服务上，并展示给其他成员，直到你删除它或退出社区。
• 卸载应用会移除设备上的数据。你 iCloud 云盘中的 iOS 副本，以及你 Google 云端硬盘中的 Android 云备份文件，会一直保留，直到被删除。
• 卸载应用不会从我们的服务中移除你的社区帖子。请先退出社区，或参阅第 12 节。

5.4 Phaze 在自有服务器上保存什么

我们在 Cloudflare 上运行一项自有服务。它代理第 6.1 节所述的 AI 请求，运营社区，并在 Cloudflare D1 数据库中保存少量记录。我们团队使用的一个内部仪表板也会读写同一个数据库。Workers KV 保存限流计数器、排名条目、食物扫描、餐食描述、食物搜索和食谱结果的短期缓存，以及为社区保存的一个标记，记录你最后一次查看回复的时间。以下就是全部。应用绝不会把你记录中的药物、剂量、用药安排、副作用、注射部位、体重、身高或 BMI 复制到其中任何一处。这类数值只可能出现在两个地方：你自己在社区的帖子或回复中输入时，以及你告诉我们团队时出现在下文的调研备注中。

对此有两个例外，都由你自己选择。应用会复制你选择在社区个人资料上显示的药物和当前剂量，每一项只在其开关打开期间复制（第 3.1 节）。另外，一项独立的备份服务会在它自己的存储桶和数据库中保存你的 Phaze 存储备份。这些备份包含你全部的 Phaze 数据，并经过端到端加密，我们的服务无法读取（见下文 Phaze 存储一项）。

• 资料共享（可选）： 在 iOS 上，资料共享卡片在引导流程中默认已勾选，你可以当场取消勾选，也可以随时在“设置、隐私”中关闭。在 Android 上，它默认关闭，由你自行开启。开启后，我们会为你的设备保存一行记录：设备生成的标识符、出生年份与年龄段、生理性别、活动水平、转变目标、该目标背后的原因以及你在使用 Phaze 之前尝试过的方法（均在引导流程中从固定列表中选择）、阶段、你是否拥有 Phaze Pro、应用平台、版本与语言，以及你的同意标记。电子邮件地址保存在单独的表中，且仅在你提供时。Cloudflare 会附加它从请求本身解析出的国家、地区和城市。应用没有位置权限，也不会请求。关闭开关会删除该行，“删除所有数据”同样会删除。
• 反馈与功能路线图： 当你在应用内发送简短反馈时，我们会保存你从哪个页面发送、你的评分，以及在页面询问时任务有多容易、你写下的留言（若有）、你提供的电子邮件地址（若有）、你的设备标识符，以及应用平台、版本和语言。“设置”中较长的问卷会保存同样的标识符和应用信息、你的评分、Phaze 是否是你唯一使用的 GLP-1 应用、你提到的其他应用、你使用的功能、你的意见，以及你提供的电子邮件地址（若有）。当你在公开路线图上投票时，我们会保存一个随机的投票者 ID（应用只为路线图保存它，它不是你的设备标识符），以及你投票的每个条目和投票时间。当你提议一个路线图条目时，我们会保存其标题、你写下的描述（若有）、你的投票者 ID，以及应用平台、版本和语言。提议在显示前会由我们的团队阅读，你的投票者 ID 绝不会显示。若反馈留言、问卷回答或路线图提议提到药物、剂量或副作用，过滤器会在保存前将其拒绝。如需删除某条反馈或路线图条目，请发送邮件至 privacy@phaze.fit。
• 生活方式评分排名（自愿加入）： 如果你加入排名，你的设备标识符、你的生活方式评分和你的连续打卡天数会保存在 Workers KV 中，以便计算名次。退出排名会删除该条目，30 天未更新的条目会自行过期。这与下文的社区毫无关系。
• 调研问题（可选）： 如果你在“设置”或应用内横幅中回答 Phaze 的一组简短调研问题，我们会保存你的回答、你回答的是哪一组问题、你从哪里作答、应用平台和版本、你手机的语言和地区设置，以及作答时间。问题可能会变化，当前版本的应用会从我们的服务获取问题。每组最多五个问题，每个问题都可以跳过。每个问题要么请你从固定列表中选择一个答案，要么请你自己写下回答，最多 280 个字符；列表中的某些答案会打开一个最多 140 个字符的简短输入框。不会随你的回答保存任何设备标识符、电子邮件地址或其他标识符。唯一的例外是关于你最初在哪里知道 Phaze 的问题：如果你回答了这一题并提交了回答，应用还会把你选择的选项（例如 Instagram 或朋友）发送给我们的分析服务商 Mixpanel，并关联到与你其他分析数据相同的设备标识符（见第 6.2 节）。你输入的任何文字都不会随之发送，其他回答也不会发送给分析服务商；在“设置、隐私”中关闭分析即可停止这项发送。如果你写下的内容提到药物、剂量或副作用，或者在部分回答中提到健康状况、医生或治疗，我们服务器上的过滤器会拒绝你的回答。
• 调研联系备注（内部）： 如果你开启了资料共享，而我们的团队为产品调研联系你，我们的内部仪表板会在你的设备标识符下保存：联系状态和跟进日期、我们是否把你的资料排除在调研之外及原因、我们团队写下的备注（每条最多 2,000 个字符），以及每次电话、电子邮件、短信或视频联系的记录，包括结果和一段最多 2,000 个字符的可选摘要。这些备注可能记录你选择告诉我们的内容，其中可能包含健康信息。当你关闭资料共享或使用“删除所有数据”时，它们会随你的资料记录一起被删除。
• 社区（可选，Phaze 应用）： 以下逐项列出社区保存的记录。每项保留多久，见第 9 节。
  • 成员记录： 每位成员一行，包含：
    • 你的成员 ID；
    • 用只有我们的服务持有的密钥由成员 ID 生成的公开令牌，其他成员的应用看到的是它，而不是 ID；
    • 你选择的用户名，保持原样；
    • 一个头像编号，以及这一行属于成员、Phaze AI 角色还是 Phaze 工作人员；
    • 你的状态（正常、已暂停、已移出或已退出）、违规次数和徽章；
    • Phaze 的 AI 角色是否已对你关闭；
    • 你的举报暂时不能立即隐藏帖子的截止时间：版主驳回你的一条举报后 30 天，或者如果你退出社区，则为当天你的举报最后隐藏一条帖子之后一天；
    • 你同意的条款和同意书的版本及时间；
    • 你的应用第一次确认你已达到可以加入的年龄的日期（绝不包括你的年龄或出生日期）；
    • 你第一次打开社区的日期，以及你的开放周结束的日期；
    • 应用平台，以及你手机的语言和地区设置；
    • 你的积分，包括累计积分和本月积分，我们的服务每隔几分钟根据计入的投票重新计算，以及你用来显示积分和 Premium 徽章的两个开关；
    • 你的应用最后一次告诉我们的服务你拥有 Premium 的时间，Premium 徽章会在七天内读取它（“否”从不保存）；
    • 这一行的创建时间和最后修改时间。
  • 用户名： 以我们的服务比较名字时所用的形式保存的用户名（转为小写，把外形相似的字母和数字合并，并去掉句点和下划线）、你的成员 ID，以及你选择它的时间。正是这一点让用户名保持唯一。
  • 用户名保留： 一个被放弃的用户名（同样以比较所用的形式保存）、放弃的原因（经支持团队更改、换成自选的名字，或原持有人退出社区），以及它重新可用的日期。它不记录谁曾持有这个名字。它与该成员记录的变更在同一时刻写入，因此在保留的 30 天内，两者可以通过时间对应起来。
  • 帖子和回复： 你写的每条帖子或回复，以及帖子的主题、你的应用当时设置的语言、审核状态和一个简短原因（由我们的审核设置的代码，或由版主输入的最多 64 个字符的标签）、自动审核的分数和审核识别出的语言（绝不包括你的文字）、由人工还是系统作出决定及时间、版主首次认定一条关于它的举报成立的时间、回复数、反应数和投票数、未处理举报的数量、置顶标记、你的应用生成的一个 ID（用于避免重试时重复发布），以及相关时间。同样的记录中也保存 Phaze AI 角色写的内容，包括由哪个角色写的、由哪个模型或哪句预先写好的话生成，以及如果是回复，它回复的是哪条回复。
  • 译文： 每条已通过的帖子和回复译成社区其他七种语言的译文。如果某条译文未通过我们的检查，则在其位置保存一份原文副本。
  • 反应： 哪位成员对哪条帖子或回复做出了哪种“加油”或“我也是”反应。
  • 投票： 哪位成员在什么时间对哪条帖子或回复投了赞同票或反对票。成员只能看到一条内容的分数，绝不低于零，也没有人会看到某条内容收到了多少反对票。
  • AI 角色的“加油”： 社区改用投票之前，Phaze 的 AI 角色给出的“加油”：哪个角色在什么时间为哪条帖子或回复点了“加油”。不会再记录新的“加油”，也不会显示任何“加油”。它们与成员的反应和投票分开保存，因此成员看到的任何数字，包括分数和积分，都不会包含它们。
  • 举报： 每条举报，包括被举报的内容、举报成员的 ID、原因、可选备注，以及处理状态和结果。被版主认定成立的举报，会计为该内容作者的一次确认违规（条款第 7A.3 节），帖子或回复会记下认定时间，因此即使举报人退出，这次违规仍然计算。如果某条举报立即隐藏了该内容（条款第 7A.4 节），还会记录隐藏的时间。
  • 被隐藏的成员： 你的成员 ID，以及你隐藏的每位成员的公开令牌。
  • 在社区的日子： 你打开社区或其设置页面，或在社区发帖、回复、做出反应或投票的日期，不含具体时间。
  • 你的个人资料项目： 你的成员 ID；你的记录连续天数、你使用的药物（固定列表中的一个键）和你的当前剂量（一个数字和一个单位），每一项只在其开关打开期间保存；该行最后一次更改的时间；以及你的应用每次更改时发送的更改编号（实际上就是更改的时间），用来防止迟到的请求在你关闭某个数值后又让它重新显示。它只保存固定列表中的数字和键，绝不保存你输入的任何文字。关闭一个项目会删除它的数值，所有项目都关闭的行只保留你的成员 ID、更改编号和更改时间。离开社区会删除该行。
  • 任务队列： 一个编号、任务类型、一个防止同一任务重复排队的名称、尝试次数和错误代码。这个名称可能包含某个 AI 角色的名字和日期。如果任务是让 AI 角色回复你在它的话题中留下的回复，其中会包含话题的编号、你公开令牌的前一部分以及你回复的日期，并且在你退出社区后仍会保留。任务在最后一次运行 30 天后删除。不含文本，也不含成员 ID。
  • 通知设备： 每台为社区通知登记的 iPhone 的 Apple 推送令牌、应用是否为开发版本、你的应用设置的语言、你 iPhone 的时区、你的两个开关、你的成员 ID，以及登记时间和最后更改时间。每位成员最多五台；登记第六台时，会替换最久没有联系的那一台。这个令牌不是用于分析的设备标识符，应用只会把它发送到我们的服务。
  • 通知队列： 每条应发给你的通知的：你的成员 ID、相关的回复或它所统计赞同票的那一天的起始时间、防止重复排队的名称、状态、尝试次数和错误代码，以及相关时间。其中不包含任何人写的文字，也不包含计数：通知的文字在发送时才根据回复者的用户名或当天的赞同票数组合而成，不会保存。
  • 审核日志： 以下每一项各记一行：版主对帖子、回复或成员采取的每项操作，包括经支持团队更改用户名；信誉良好的成员的举报立即隐藏的每条帖子或回复，或我们的定时任务因举报 20 小时未处理而隐藏、按第 9 节清空或删除，或因其所回复的帖子被移除而移除的每条帖子或回复；因关于翻译有误的举报 20 小时未处理，我们的定时任务撤下其翻译的每条帖子或回复；因所有让它保持隐藏的举报人都已退出社区而重新显示的每条帖子或回复；因作者被移出社区而隐藏、或因移出处理被撤销而重新显示的每条帖子或回复；以及因五次确认违规，或因版主依据规则 2、4、5 或 9 作出驳回而导致的移出社区。每行包含内容编号（对成员的操作则为该成员的公开令牌）、操作内容、由人工、系统还是定时任务执行、简短标签（如果版主输入了或我们的服务设置了），以及时间。在帖子写下时就拒绝、暂缓或发布它的审核不会新增日志行；对于开放周结束后只为等待我们的审核能够读取而保留的帖子，删除它时也不会新增日志行（第 9 节）。日志中不含你写的任何内容，也不含成员 ID，每一行在 12 个月后删除。
  • AI 角色、提示词和 Notes： Phaze 自己的 AI 角色（名字、简介、插画头像、撰写时遵循的指示、发帖上限，以及由 Phaze 的谁批准了每个角色）、为它们编写的提示词、Phaze 自己的 Notes 文章，以及在受新闻启发的每日话题开启时，它考虑过的公开条目（来自官方卫生机构，或来自其纪念日和季节日历）和每个条目得到的判定。不含任何关于成员的内容。
  • Workers KV： 限流计数器，以你公开令牌的前一部分或你 IP 地址的加密钥哈希为键，在一分钟或约 25 小时后过期；以及一个记录你最后一次查看帖子回复时间的标记，以你的公开令牌为键，在 400 天后过期，并在你退出社区时删除。你的 IP 地址绝不会写入数据库。

  这些记录都不包含你的设备标识符、你的电子邮件地址或你在引导流程中填写的姓名，也都不与上文的资料或联系人记录关联。当一条帖子或举报已等待人工处理 12 或 20 小时，以及当一条帖子或回复因可能显示有人正处于困难之中而暂缓发布时（立即），我们的服务会提醒我们团队中的一位工作人员。提醒只包含数量和时间：有多少条内容在等待、等待了多久；对于因可能显示有人正处于困难之中而暂缓的帖子，还包括触发提醒的是帖子还是回复，以及最新一条是何时被暂缓的。提醒绝不包含任何人写的内容、用户名或成员 ID。你的用户名由你自己选择，所以条款第 4 节请你不要使用真实姓名。这些记录中接近位置的信息只有上文所述你手机语言设置中的地区部分，以及在你的 iPhone 登记接收社区通知期间该 iPhone 的时区。社区不会使用 Cloudflare 从请求中推断出的位置。在浏览信息流、话题、发帖、回复、做出反应、投票、查看排行榜、查看成员资料和搜索时，你的应用会发送一个表示你是否拥有 Premium 的是或否标记，我们的服务读取它来判断开放周结束的规则是否适用。当你浏览信息流、查看排行榜或打开社区时，如果该标记为是，我们的服务会记录时间，每小时最多一次，以便你的 Premium 徽章在之后七天内显示（条款第 7A.8 节），退出社区会删除这个时间。“否”从不保存。当你在社区中搜索时，你的应用会把你输入的词语发送到我们的服务，以查找匹配的帖子和名字。这些词语只用于回应这次搜索，不会被保存、记录到日志，也不会发送给分析服务。在你选择用户名时，只要你停止输入，应用就会询问我们的服务这个名字是否可用。这个名字只会与上文的用户名和保留名字进行比对，不会被保存、记录到日志，也不会发送给分析服务。应用的分析（第 6.2 节）会统计在社区中进行的操作，例如打开社区、发送帖子或回复（包括帖子的主题，以及它是被发布、暂缓还是被拒绝）、投赞同票或反对票、举报及其原因，以及搜索及其大致结果数量。当 Phaze 处于打开状态时收到社区通知，应用的通知事件只记录其类型：“community_reply”或“community_upvotes”。这些事件都不包含你的成员 ID、用户名、任何人写的内容、举报备注、搜索词，也不包含涉及的是哪条帖子或哪位成员。崩溃报告从社区收到的错误只有代码，例如我们的服务拒绝一次退出请求时。你的成员 ID、用户名和你发布的内容绝不会发送给 Mixpanel、Sentry 或 RevenueCat。会话录制（第 6.2 节）可能会像录制其他页面一样录制社区的页面，但每个文字标签都会先在你的手机上被遮盖。

  在你的手机上，社区会把你的成员 ID 保存在 iOS 钥匙串中，并保存你最近阅读页面的加密副本（AES-256-GCM，不包含在设备备份和 iCloud 备份中），以便离线显示。等待审核的帖子和被拒绝的帖子绝不会被缓存。你离线时进行的举报、隐藏和删除，会在同一个加密文件中等待，直到可以发送。此外，只要手机登录了 iCloud，应用每天会把你的 Phaze 数据的加密副本写入你 iCloud 账户中 Phaze 专用的文件夹一次。该副本包含你的成员 ID，这样恢复之后你仍然可以删除自己写过的内容。

• Phaze 存储（可选，iOS，Phaze Pro）： 与上述所有内容分开保存，由一项拥有独立存储的单独服务负责：
  • 在 Cloudflare R2 存储桶（phaze-backups）中：每份加密备份，以及它被保存的确切时间；
  • 在单独的 Cloudflare D1 数据库（phaze-backup）中：你的 iPhone 生成的随机备份标识符、每份备份的加密摘要、其大小、一个序号，以及备份开始、保存和最后一次被列出的日期；
  • 保存一两天：每个删除备份请求的单向摘要，用来防止复制的请求被执行两次；
  • 在 Workers KV 中：以你的 IP 地址（IPv6 则为其 /64 网段）的带密钥哈希标识的限流计数器，约 25 小时内过期；
  • 不指向任何人的每日汇总。

  这些内容都不包含你的设备标识符、订阅标识符、电子邮件地址、社区成员 ID 或 IP 地址，我们的系统也从不把它们与上述资料、联系人或社区记录放在一起保存或关联。不过，仍有一种方式可以把两者对应起来：存储会记录每份备份的保存时间，而我们的应用分析和崩溃报告会记录应用的使用时间，因此这两个时间可能被比对。备份服务不保存请求日志。与我们所有的服务一样，Cloudflare 的网络会看到经过的每个请求的 IP 地址。备份保存在美国（北美东部）。

• 请求日志与缓存： 为了可靠性与限流，我们的服务会记录每次请求的 IP 地址、路由和大小。它不会记录 Ember 消息的文本、洞察内容、照片或任何健康数值。食物扫描结果会按图片哈希缓存 24 小时；图片本身不会保存。每日洞察从不缓存，也不记录。

6. AI 功能、分析及其他第三方处理者

6.1 AI 功能

• Ember（AI 聊天）： 当你向 Ember 发送消息时，消息和一份上下文记录会经由我们在 Cloudflare 上运营的边缘服务发送到 Google Gemini。这份上下文记录就是你自己的历史数据，范围很广。视你记录的内容而定，它可能包括你的姓名、身高、生理性别、活动水平和目标；最近 30 天的每日记录，含营养、活动、情绪、精力、饥饿感、食欲噪音、睡眠，以及你记录的副作用及其严重程度；90 天的体重记录及其精确数值；你的运动记录；你的身体围度与身体成分；你的化验结果及其数值；你的里程碑；进度照片的日期和备注；以及你的药物名称、当前剂量、用药安排、用药日期、周期阶段和估算药物水平。单次剂量数值、注射部位和用药备注不会发送。进度照片的图像不经 Ember 发送，只发送其日期和备注。
• 食物扫描： 当你扫描一餐时，照片会经由同一边缘服务发送到 Google Gemini 进行营养估算。为避免同一张照片被分析两次，我们的服务会按图片哈希把返回的估算缓存 24 小时。照片本身不会保存，也不会从中提取任何生物识别标识。
• 语音描述餐食： 语音记录的餐食由 Apple 语音识别（iOS）或 Android SpeechRecognizer 转写。两者都是由 Apple 和 Google 控制路由的系统 API，Phaze 不强制设备端识别，因此在许多设备和语言上，音频确实会到达它们的语音服务。所得转写文本随后发送给 Gemini，解析为食物条目。
• 根据照片估算身体成分： 如果你使用该功能，照片会经边缘服务发送给 Gemini，并返回一个数值估算。在照片离开手机之前，会先出现确认页告知你。不会派生或保存任何生物识别标识。
• 每日洞察（付费方案）： 如果你拥有付费方案并已授予 AI 许可，Phaze 会通过边缘服务把你自己 90 天的记录发送给 Gemini，并取回一段简短的模式文字总结。该数据包含你的用药日期、带严重程度的副作用、餐食名称与宏量营养素、每日合计、睡眠、情绪、精力、体重、你的药物名称和当前剂量。它不包含单次剂量数值、注射部位、用药备注、进度照片、化验数值或身体成分。它从不在我们的服务器上缓存或记录。结果中的每个数字都会在你的设备上与你自己的数据重新核对，只要有一个数字对不上，该洞察就会被丢弃。
• 化验与 DEXA 文档导入： 如果你选择自动提取，你所选的化验单或 DEXA 扫描图像会经边缘服务发送给 Gemini。在文档离开手机之前，会先出现确认页告知你。保存前你会逐项复核提取出的每个数值。
• 数据导入： 你粘贴的文本，或从其他应用中选取的文件，会经边缘服务发送给 Gemini，以便 Phaze 识别出记录供你复核。该文本可能包含药物名称和剂量数值。
• 推荐、里程碑、连续打卡与剂量周期估算： 在设备上运行，不调用任何外部服务。
• 社区的审核、翻译和 AI 角色： 如果你在社区发帖，Gemini 会以三种方式看到你写的内容，全部经由同一个边缘服务。在你选择用户名并同意社区的同意书之前，你写的任何内容都不会被发送。
  • 审核。 应用会在发送前拒绝含有电子邮件地址、电话号码或链接的帖子或回复，因此这类帖子绝不会到达我们的服务。其他所有帖子和回复会先经过我们服务上的词语规则。暗示你可能正处于困难之中的词语会立即暂缓发布，交由人工处理，而不会被发送。其他规则本会拒绝的帖子会先发送给 Gemini，只为检查它是否在向社区倾诉你正处于困难之中：如果是，就改为暂缓发布、交由人工处理；否则就拒绝且不保存。如果 Gemini 没有响应这次检查，帖子会被拒绝且不保存。通过规则的帖子会连同我们的审核指示一起发送给 Gemini，并返回每条规则的分数。根据分数，帖子会被拒绝且不保存、暂缓发布交由人工处理，或者发布。在你的头 48 小时内，词语规则没有拒绝的每一条帖子和回复都会暂缓发布、交由人工处理，无论分数如何。如果 Gemini 没有响应，帖子会等待人工处理，并在 Gemini 恢复响应后评分。在此之前，一条用我们规则不认识的词语向社区倾诉你正处于困难之中的帖子不会被标记为这种情况，也不会有人收到提醒。开放周结束后，如果你没有 Premium，帖子只会为检查它是否在向社区倾诉你正处于困难之中而发送给 Gemini。如果是，就暂缓发布、交由人工处理；否则就拒绝且不保存。如果届时 Gemini 没有响应，这些文字会被存放在他人看不到的地方，直到可以检查，除非显示你正处于困难之中，否则会被删除。
  • 翻译。 帖子或回复经人工或自动通过后，其文本会发送给 Gemini，翻译成社区的其他七种语言。每条译文在任何人看到之前都会经过检查：数字、单位和药物名称必须与原文一致。如果译文未通过，读者会看到原文。
  • AI 角色。 当 Phaze 的 AI 角色回复一条帖子或回复时，该帖子或回复的文本、主题和语言会发送给 Gemini；如果是在某个角色发起的话题中，还会一并发送该话题的文本。作者的用户名不会被发送。Gemini 按照 Phaze 的指示撰写回复。回复在保存之前会经过我们的词语规则，以及第二次 Gemini 检查，这次检查会把回复与它所回应的帖子或回复（如果是在角色的话题中，还有该话题）放在一起阅读。角色对一条暂缓发布的帖子所写的回复会和帖子一起等待：帖子的作者可以看到它，而其他成员只有在有人批准该帖子后才能看到。当一条帖子或回复因显示你可能正处于困难之中而暂缓发布时，暂缓期间不会有 AI 角色回复它。
  • 审核时只发送文本，翻译时只发送文本和目标语言：不发送你的用户名、成员 ID、主题或你的记录。AI 角色的回复只根据文本、主题和语言撰写，不使用你的任何其他信息：不使用你的用户名、成员 ID、你的记录或你的其他帖子。举报备注绝不会发送给 Gemini。
  • 这一切依据你在“在你发帖之前”页面上给出的同意进行，而不是依据 AI 功能许可。在“设置、隐私”中撤回 AI 许可并不会停止它。删除帖子或退出社区会停止它，并移除 AI 角色给你写的回复。
  • 社区中的 AI 角色都不会获得你的记录、你与 Ember 的聊天或你的用药记录。
  • 受新闻启发的话题。 Phaze 的一个 AI 角色可能每天发布一个简短的话题，其灵感来自当下的某件事：官方卫生机构（FDA、EMA、NIH 或 WHO）发布的一条公开新闻，或一年中的某个纪念日或季节。这个话题不陈述任何新闻，也不转述新闻中的任何内容。它只向成员提出一个关于他们自己的经历或习惯的问题，不构成医疗建议。为了撰写它，我们的服务会读取这些机构的公开新闻源，并把这条公开新闻和该角色最近的话题发送给 Gemini。不会发送任何成员的任何信息，这个话题在显示前会像其他角色帖子一样接受审核，并与新闻核对，确保没有转述其中的内容。

关于 AI 功能的重要说明：

• AI 回答可能不准确、不完整或已过时。Ember 不提供医疗建议、剂量建议、禁忌指导或症状分诊。我们的边缘服务会先筛查每条消息，遇到剂量、药物相互作用或症状分诊类问题时，会直接建议你联系医生，而完全不调用 Gemini。有关剂量决定、副作用顾虑或任何临床问题，请联系为你开处方的医疗专业人员。
• 我们不会用你的数据训练任何模型。我们使用 Google 的付费 Gemini API，Google 针对该档位的条款说明，发送至该 API 的提示词与回复不会用于训练 Google 的模型。
• 在你同意之前，AI 功能始终保持关闭。当某项功能首次需要向 Gemini 发送数据时，Phaze 会展示将要发送的内容并请求许可，并记录你同意的是哪个版本的说明以及同意时间。“设置、隐私”中提供 AI 功能开关和“撤回 AI 许可”按钮。撤回会一次性停止所有 AI 功能，并清除已生成的洞察。社区的审核和翻译与此分开，依据上文所述社区自己的同意运行。
• 依照欧盟《人工智能法》第 50 条，Ember 的每条回复都带有“AI 生成”标签，每日洞察带有“AI 生成”标签，AI 食物扫描的估算结果带有 AI 标识。在社区中，以译文显示的帖子会标注“自动翻译”，轻点一下即可查看原文。Phaze AI 角色的帖子和回复没有单独的标签。取而代之的是，在你第一次发帖、回复或投票之前打开的“在你发帖之前”步骤会说明，部分成员是 Phaze 的 AI 角色，而且它们的资料页会写明这一点；每个角色的资料页还会在名字旁显示“Phaze AI”徽章。此外，我们的服务在发送给应用的数据中，也会把角色写的所有内容以及每条译文标记为 AI 生成。

6.2 分析、崩溃报告和归因

我们使用以下第三方工具，每个工具接收所述的类别。

除上述提供商外，我们不委托其他提供商处理你的个人信息。我们要求每个提供商：(i) 仅按我们的指示行事；(ii) 采取适当的安全措施；(iii) 除服务所需的汇总统计外，不将你的数据用于其自身目的；(iv) 执行经我们转达的你的删除请求。

上述要求适用于代表我们处理数据的提供商。表中的一些接收方并非我们的受托处理方，而是依据其自己的条款和隐私政策行事：Apple 和 Google（应用商店、Apple 的推送服务，以及你自己的 iCloud Drive 或 Google Drive），Meta 和 TikTok（安装归因事件），以及食品和食谱数据库（USDA、Open Food Facts 和 Spoonacular，用于你的查询）。每个接收方只会收到表中所列的内容。你发给我们的删除请求不会传达给它们，它们各自的隐私政策会说明保存哪些内容，以及如何请求删除。

6.3 广告追踪器呢？

在 Phaze 移动应用中，我们在两个平台上使用 Meta 聚合事件衡量 SDK，并在 Android 上使用 TikTok Business SDK，用于安装归因。它们告诉我们是哪个广告系列把新用户带到了 Phaze。它们不用于在 Phaze 内投放广告，也不会向其中任何一方发送健康数值。在 iOS 上，Phaze 会为 Meta 归因展示 Apple 的“应用跟踪透明度”提示。我们没有在 phaze.fit 上嵌入 Meta Pixel、TikTok 网页像素、Snap Pixel、Google Ads 转化代码、Pinterest 代码或 LinkedIn Insight 代码。我们不出售你的个人信息。

7. Apple HealthKit 和 Google Health Connect

Phaze 仅在你授权时才与 Apple HealthKit（iOS、watchOS）和 Google Health Connect（Android）集成。你可以选择共享哪些类别，也可以随时在设备的系统设置中撤销此访问权限。

根据 Apple 的 HealthKit 条款（Apple Developer Program License Agreement 第 5.1.4 条）和 Google 的 Health Connect 条款：

• 除改进健康、医疗和健身管理或用于医学研究外，我们不会将 HealthKit 或 Health Connect 数据用于广告或其他基于使用情况的数据挖掘。
• 我们不会将 HealthKit 或 Health Connect 数据出售给广告平台、数据经纪商或信息转售商。
• 我们不会为广告或营销目的与第三方共享 HealthKit 或 Health Connect 数据。
• 除在 Phaze 内实现个性化所必需的范围外，我们不会使用 HealthKit 或 Health Connect 数据识别用户。
• 未经最终用户授权，我们不会访问其 HealthKit 或 Health Connect 数据。

HealthKit 和 Health Connect 数据保存在你的设备上。Phaze 从中记录的内容，例如体重和活动，会成为你 Phaze 数据的一部分，因此会包含在 iOS 上的每日加密副本中；如果你启用云备份，也会包含在 Android 的加密存档中（第 5.2 节）。

8. 共享

我们仅在以下有限情况下共享个人信息：

• 按你的指示： 当你选择导出 PDF 报告、分享里程碑卡片、发送截图，或授权某项功能访问你的数据时。
• 与社区的其他成员： 当你发帖或回复时，社区的每位成员都可以阅读，显示你的用户名，并有原文和七种译文。其他成员的应用会收到你的用户名、一个头像编号、你的徽章、你的积分（除非你关闭）和你的公开令牌。他们绝不会收到你的成员 ID。你写的每条帖子都带有同一个用户名，因此你的帖子可以彼此关联起来，认出这个名字的人也可以把它们和你联系起来。轻点你的用户名会打开你在社区的个人资料（第 3.1 节），它把社区显示的你的帖子和回复汇集在一页上，并显示你加入的月份和你的徽章。如果你打开了记录连续天数、药物或剂量，请把每个已打开的项目视为公开：除了你隐藏的成员和隐藏了你的成员，任何打开你个人资料的成员都能看到它。当你回复某位成员的帖子时，对方可能会在 iPhone 上收到一条显示你用户名的通知。
• 与处理者共享： 第 6 节所列的第三方提供商，受数据处理条款约束。
• 出于法律原因： 为遵守有效的法律程序（传票、法院命令）、回应法律要求的政府请求，或保护 Phaze、我们的用户或公众的安全和权利。我们会把披露限制在法律要求的范围内。
• 业务转让： 如果 Phaze 被收购、合并或转让资产，你的信息可能会转移给继任实体，并继续受本政策约束。如果处理方式发生任何重大变化，我们会通知你。

我们不会按《加州消费者隐私法》《华盛顿州 My Health My Data 法》《康涅狄格州数据隐私法》《得克萨斯州数据隐私与安全法》或任何其他适用法律所定义的含义“出售”你的个人信息。但我们确实会在两个平台上向 Meta，以及在 Android 上向 TikTok，共享安装、应用启动和订阅事件，以便了解是哪条广告把人带到了 Phaze。每个事件都带有一个由归因 SDK 生成并保存在你设备上的标识符，以及型号、系统版本等基本设备信息。其中不包含任何药物、剂量、体重、饮食或其他健康数值。Meta 和 TikTok 可以将这些事件用于其自有平台上的广告衡量与投放，某些州法将此视为面向“跨情境行为广告”的“共享”。我们不在 Phaze 内展示广告。

9. 保留期限

在 Android 上，退出社区、使用“删除所有数据”，或撤销 Phaze 通知权限后再次打开应用时，社区通知设备记录会被删除；否则会在最后更新 180 天后到期。如果 Firebase 表示令牌已失效，我们会在该次发送尝试后移除设备。在应用内关闭两个开关会停止通知，但设备仍以两个开关均关闭的状态保持注册。退出社区或使用“删除所有数据”会清除加密的社区页面缓存。仅退出社区时，加密的成员 ID 会保留以供日后返回；“删除所有数据”会移除该 ID，但待处理的服务器删除标记会保留至删除得到确认。关闭社区通知或撤销通知权限会删除本机的 FCM 令牌。

当你在应用中使用“删除所有数据”时，一次操作即可移除设备上的数据、删除你 iCloud 云盘或 Google 云端硬盘中它能访问到的 Phaze 备份文件（第 5.2 节说明了何时无法访问）、取消所有已排定的提醒、将你的设备从分析、会话录制与崩溃上报中退出，并删除我们服务器上你的资料与联系人记录。它还会请求我们的服务移除你在社区写下的所有内容，效果与“退出社区”相同。如果当时你的手机处于离线状态，应用只会保留完成服务器删除所需的标识符和待处理删除标记，包括你原来的社区成员 ID，以及在 Android 上此设备的资料 ID，并在你每次打开 Phaze 时重新发送请求，直到我们的服务确认。如果你在此之前卸载了 Phaze，这个请求会随应用一起丢失。遇到这种情况，请发送邮件至 privacy@phaze.fit（第 12 节）。如果你在 Phaze 存储中有备份，“删除所有数据”会询问是否一并删除。如果你选择是，它会删除你所有 iPhone 截至那一刻保存的备份，你的恢复码也会失效。在另一台 iPhone 上生成、尚未同步到这台 iPhone 的密钥不在其列，另一台 iPhone 之后生成的备份会保留。如果你选择否，备份及其密钥会保留，而且在你于这台 iPhone 上退出 iCloud 之前，密钥也会保留在这台 iPhone 上。如需删除某条反馈或路线图条目，请发送邮件至 privacy@phaze.fit。订阅与税务记录会在法律要求的范围内保留。

如果 iPhone 在使用“删除所有数据”时离线，删除服务器上资料和联系信息的单独请求可能失败，且不会自动重试。请发送邮件至 privacy@phaze.fit 以完成删除。在 Android 上，应用会保留包含设备 ID 的待处理删除标记，并在下次联网打开应用时重试删除资料。

10. 安全

我们采取合理的管理、技术和物理保护措施：

• 设备上的静态数据和备份存档使用 AES-256-GCM
• Phaze 存储的端到端加密：每份备份都在你的 iPhone 上使用 AES-256-GCM 加密，密钥我们的服务从不接收，你的 iPhone 还会为它向备份服务发出的每个请求签名
• 传输中使用 TLS 1.3
• Apple 钥匙串和 iOS 数据保护（iOS）
• Android Keystore 加 EncryptedSharedPreferences（Android）
• 内部工具的基于角色的访问控制
• 在改变数据处理方式的版本发布前进行代码评审和自动化测试
• 对处理者进行供应商尽职调查

Phaze 存储有两个限制，我们希望你了解。我们的服务能看到每份备份的大小（精确到 MiB）和保存时间，这些时间可能与我们的分析数据比对（第 5.4 节）。另外，更换恢复码只有在丢失的 iPhone 已从你的 Apple 账户中移除后才能保护你，因为新密钥会到达所有仍登录该账户的设备。

没有任何传输或存储方式是绝对安全的。我们不声称符合 HIPAA，Phaze 也不是 HIPAA 所涵盖的实体。

数据泄露通知。 如果我们发现危及你个人信息机密性的安全事件，我们会依照 FTC《健康数据泄露通知规则》（16 CFR Part 318）、GDPR 第 33 条和第 34 条、LGPD 第 48 条以及适用的州数据泄露通知法律，通知你和相关监管机构。在法律要求时，我们会在发现后 60 天内通知受影响的个人（HBNR），并在 72 小时内通知相关监管机构（GDPR）。

11. 儿童

Phaze 面向 18 周岁及以上的用户。引导流程会询问出生日期，若显示未满 18 周岁则无法继续。我们不会有意收集未满 18 周岁者的个人信息。若你认为未满 18 周岁的人向我们提供了个人信息，请联系 privacy@phaze.fit，我们会予以删除。

加入前，社区会先确认你的年龄，社区不向 16 岁以下的任何人开放。社区会使用你个人资料中的出生日期；在 iOS 26 及更高版本上，也可使用你或你的家长选择通过 Apple 分享的年龄范围；否则会询问你一次出生日期。我们的服务只会知道你已达到可以加入的年龄，绝不会知道你的年龄、年龄范围或出生日期。

如果我们发现收集了未满 18 周岁者的个人信息，我们会立即删除这些信息。

12. 你的选择和权利

无论你住在哪里，你都有以下选择：

• 访问和导出： 在应用内查看你的数据。“设置、隐私、导出数据”会生成记录的 JSON 文件；出于安全考虑，该文件不含医疗字段，因此如需包含药物、近期用药和副作用的 PDF，请使用“设置、我的报告”。
• 更正： 在应用内编辑任何记录。
• 删除： 删除单条记录，或使用“设置、隐私、删除所有数据、删除所有数据”。这一次操作即可移除设备上的数据、删除你 iCloud 云盘或 Google 云端硬盘中它能访问到的 Phaze 备份文件（第 5.2 节说明了何时无法访问）、取消已排定的提醒、将你的设备从分析与崩溃上报中退出，并删除我们服务器上你的资料与联系人记录。它还会让你退出社区，并询问是否删除你在 Phaze 存储中的备份（第 9 节）。
• 关闭 AI 功能： “设置、隐私”中提供 AI 功能开关和“撤回 AI 许可”按钮。撤回会一次性停止所有 AI 功能，并清除已生成的洞察。它不会停止社区的审核和翻译，因为二者依据社区自己的同意运行（第 6.1 节）。
• 删除一条社区帖子或回复： 在社区或“你的内容”中，对你写的任何内容点按“删除”。文本会立即消失。其余情况见第 9 节。
• 退出社区： “设置、社区、退出社区”。我们的服务会一次性删除：你写的每条帖子和回复、其他成员在你帖子下方留下的回复、所有这些内容的译文、Phaze AI 角色给你写的回复、你的反应和投票、针对你所写内容的投票、你的积分、你提交的举报和针对你所写内容的举报、你隐藏的成员和其他成员对你设置的隐藏、你在社区的日子、你的用户名、你的同意记录、你个人资料上的项目、为社区通知登记的 iPhone，以及为你排队的每一条通知。之后，你的用户名会保留 30 天才能被他人使用，除非我们的支持团队成员提前解除。其他还会保留什么以及原因，见第 9 节。开放周结束后以及社区关闭期间，退出同样有效。如果你已被移出社区，退出会删除你写的内容，但不会恢复你的使用权。否则，退出后你再次打开社区或“设置、社区”页面时，你会重新成为成员，并在发帖前选择一个新用户名。
• 更改你的社区用户名： 发送邮件至 support@phaze.fit。工作人员会按照与新用户名相同的规则（条款第 4 节）为你更改，你原来的用户名会保留 30 天才能被他人使用，除非我们的支持团队成员提前解除。应用内无法更改。
• 不再显示你的记录连续天数、药物或剂量： 在“设置、社区”中关闭该项目的开关。即使社区已关闭，该数值也会立即从我们的服务器删除。
• 停止社区通知： 在每部 iPhone 上，在“设置、社区、通知”中关闭“回复我的”或“赞同，每天一次”（只对该 iPhone 生效），或在 iOS“设置”中关闭 Phaze 的通知；后者还会在你下次打开 Phaze 时把该 iPhone 从我们的名单中移除。
• 如果你已不再拥有发帖时使用的手机： 请发送邮件至 privacy@phaze.fit，并写明你的帖子现在显示的用户名。我们只保存成员当前的用户名。被放弃的用户名会在不与任何成员关联的情况下保留 30 天，因此通过旧用户名可能无法找到你。我们会查找该用户名，并以与“退出社区”相同的方式移除该用户名写下的内容。用户名是公开的，因此在删除之前，我们可能会请你提供只有作者本人知道的细节，例如大约什么时候、在哪些主题下发过帖。
• 申请复核社区的决定： 如果你的帖子被暂缓发布或被移除，或你的使用权受到限制，而你认为这是个错误，请发送邮件至 support@phaze.fit。复核由人工进行。
• 删除你的 Phaze 存储备份： 在“设置、数据与隐私、设备备份”中使用“从 Phaze 删除”，即可立即从我们的服务中删除它们。
• 获取 Phaze 存储备份的副本： 在你的 iPhone 上恢复它。我们无法给你可读的副本，因为我们没有。
• 断开 HealthKit 或 Health Connect： 在设备的系统设置中撤销。
• 停止备份： 在 Android 上，在“设置、云备份”中关闭。在 iOS 上，请先移除已写入的副本：使用“删除所有数据”（它也会移除你设备上的数据），或在 iPhone 的 iCloud 储存空间设置中删除 Phaze 的数据。然后在 iPhone 的 iCloud 设置中为 Phaze 关闭 iCloud 云盘，即可停止每日副本。为 Phaze 关闭 iCloud 云盘后，“删除所有数据”就无法再访问这些副本。
• 退出分析： 在“设置”的“隐私”中，有一个开关可同时关闭产品分析、会话回放和崩溃报告。该开关不涵盖安装归因 SDK。对于这些 SDK，请使用你所在平台的控制项：iOS 上的“应用跟踪透明度”，以及 Android 设置中的广告 ID 控制项。拒绝“应用跟踪透明度”会让 Meta 转入聚合测量方式，但不会阻止安装和启动事件的发送。
• 推送通知： 在设备的系统设置中关闭。

如需行使应用内无法行使的任何权利，请发送电子邮件至 privacy@phaze.fit。我们会核实你的身份（通常通过与登记的电子邮件比对），并在你当地法律要求的期限内答复（GDPR 通常为 30 天，LGPD 为 15 天，CCPA 为 45 天）。如果我们无法在该期限内完成请求，会告诉你原因以及适用的期限。根据 CCPA 和 CPRA，你可以指定授权代理人。

13. 特定司法管辖区的说明

13.1 欧洲经济区和英国（GDPR / UK GDPR）

控制者和代表： Zeit Capital Ltda。欧盟代表：目前尚未指定，状态和联系途径见第 1 节。英国代表：目前尚未指定，见第 1 节。

合法依据： 见第 4 节的表格。对于属于特殊类别的健康数据，我们依据明示同意（GDPR 第 9(2)(a) 条）。

你的权利： 访问权（第 15 条）、更正权（第 16 条）、删除权（第 17 条）、限制处理权（第 18 条）、可携带权（第 20 条）、反对权（第 21 条）、撤回同意权（第 7(3) 条），以及不受仅基于自动化处理、产生法律效力或类似重大影响的决定约束的权利（第 22 条）。关于自动化决策：Ember 和食物扫描中的 AI 建议属于决策辅助，而不是产生法律效力的纯自动化决定。你可以将其关闭并继续使用 Phaze。在社区中，自动审核可能会拒绝帖子或将其暂缓发布交由人工处理，信誉良好的成员的举报可能会在人工审核前隐藏帖子（条款第 7A.4 节）。只有人工才能把一次违规算在你身上。三次确认违规后的七天暂停、五次后取消你的使用权，以及版主依据规则 2、4、5 或 9 驳回你的帖子时取消你的使用权，都是依据固定规则由这些决定产生的（条款第 7A.2 节和第 7A.3 节）。版主也可以直接暂停你的发帖或取消你的使用权，这同样是由人作出的决定。

跨境传输： 我们的主体位于巴西。你的数据可能被传输至美国或我们的处理方所在的其他司法辖区。我们与处理方依据欧盟标准合同条款，并在处理方已获认证时依据欧盟与美国数据隐私框架。如需了解某项具体传输所适用的保障措施，请联系 privacy@phaze.fit。

投诉： 你可以向你惯常居住地的监管机构投诉。英国用户：Information Commissioner's Office（ico.org.uk）。phaze.fit 上的 Cookie 及类似技术见第 14 节。

13.2 巴西（LGPD）

控制者： Zeit Capital Ltda，在巴西注册。Encarregado de Dados：Vinicius，privacy@phaze.fit。

法律依据： 第 7 条（一般）和第 11 条（敏感数据：健康，以及适用时的生物识别）。对于健康数据，我们依据特定同意（第 11 条 I）。

社区。 你在社区中公开的健康数据，依据的是以第 11(I) 条要求的形式作出的同意：具体且醒目。你第一次开始写帖子或回复时，“在你发帖之前”页面会显示四行简短的说明，其中一行说明部分成员是 Phaze 的 AI 角色，另外只有一个复选框，默认不勾选：“我同意 Phaze 按上述说明存储和处理我发布的内容，包括健康信息。”在同一页面的“更多详情”中，“你写下的内容会怎样处理”一节列明了每项用途（保存帖子、审核、翻译、让 AI 角色回复部分帖子，以及向其他成员展示），指明了处理方（Google Gemini），并说明数据保存在美国的服务器上。这个复选框只用于这项同意：你通过轻点“同意并继续”来接受条款和社区准则，在勾选复选框之前无法轻点这个按钮。这项同意也与 AI 功能许可分开。应用会在你的手机上记录你的答复，并发送到我们的服务上一并记录。在记录你对当前版本的同意之前，我们的服务不会保存或处理任何帖子或回复。你可以通过删除帖子或退出社区来撤回同意（第 12 节）。我们绝不会为获取经济利益而把社区中的健康数据传达或共享给其他控制者（第 11 条 §4）。

你的权利（第 18 条）： 确认处理；访问；更正；对不必要或过度的数据进行匿名化、封存或删除；可携带；删除基于同意处理的数据；了解与我们共享数据的公共和私人实体；了解不提供同意的可能性；撤回同意。

跨境传输： 在适用时，我们对跨境传输使用 ANPD 批准的标准合同条款（Resolução CD/ANPD nº 19/2024）。

ANPD： 你可以向 Autoridade Nacional de Proteção de Dados（gov.br/anpd）提出投诉。

13.3 加利福尼亚州（CCPA / CPRA）

我们收集以下 CCPA 类别的个人信息：

出售与共享：我们不会为金钱或其他有价对价而出售个人信息（包括敏感个人信息）。但我们确实会出于广告归因目的，向 Meta，以及在 Android 上向 TikTok，披露安装、应用启动和订阅事件。每个事件都带有一个由归因 SDK 生成并保存在你设备上的标识符，以及基本设备信息。其中不包含任何敏感个人信息和健康数值。由于 Meta 和 TikTok 可将这些事件用于其自有的广告衡量与定向，我们将其按面向跨情境行为广告的“共享”处理，而不主张其不属于该定义。来源为：你本人直接提供、你的设备，以及经你授权的 Apple 健康或 Google Health Connect。商业目的见第 4 节。向其他第三方的披露仅限于第 6 节所列的处理方，且以其服务提供者身份进行；以及如果你在社区发帖，依你的指示向社区的其他成员披露（第 8 节）。

Phaze 存储： Phaze 存储备份是敏感个人信息，我们保存它只是为了提供你所要求的备份。我们从不出售或共享它，也无法读取它。

你的 CCPA 权利： 知情、访问、删除、更正、拒绝出售或共享、限制敏感个人信息的使用、不受报复、授权代理人。我们不出售。Phaze 中没有任何设置能停止上述归因共享：在 iOS 上拒绝“应用跟踪透明度”会让 Meta 转入聚合测量方式，Android 设置中的广告 ID 控制项只涉及你设备的广告 ID，但在这两种情况下，归因事件仍会发送。请通过 privacy@phaze.fit 提交请求。高级订阅（“Phaze Pro”）是对附加功能的付费，而非与数据收集挂钩的“财务激励”。Shine the Light：你可以查询我们为直接营销目的向第三方披露个人信息的情况。我们没有任何此类披露。

通用退出信号（GPC）： 我们在 phaze.fit 上遵从 Global Privacy Control 信号。

13.4 华盛顿州（My Health My Data Act）

华盛顿州《My Health My Data Act》要求的披露，包括消费者健康数据的类别、目的、第三方，以及你撤回同意、删除和申诉的权利，见 消费者健康数据隐私政策。

13.5 美国其他州（CO、CT、VA、UT、TX、OR、MT、IA、DE、NJ、MD、MN、NH、RI、TN、NV）

这些州的居民享有访问、更正、删除、可携带，以及拒绝定向广告或出售等权利。我们不出售个人信息。第 13.3 节所述的安装归因事件在其中一些法律下可能被视为定向广告。Phaze 中没有任何设置能停止这些事件，第 13.3 节说明了 iOS 和 Android 的控制项能改变什么、不能改变什么。健康信息被视为敏感数据，我们在处理前会取得你的明示同意。在法律要求时，我们会遵从通用退出信号。请将请求发送至 privacy@phaze.fit。

13.6 日本（APPI）

健康数据被视为需特别注意的个人信息（要配慮個人情報），仅在你明示同意后处理。跨境传输的接收方及其数据保护框架见第 6 节。

13.7 中国（《个人信息保护法》）

Phaze 不在中国大陆主动提供本服务。简体中文版本供其他地区的用户使用。中国大陆的用户不应使用本服务。

14. Cookie 及类似技术（phaze.fit）

phaze.fit 网站使用：

• 绝对必要的 Cookie： 由你的 IP 推导出的国家标头设置的 country cookie，用于语言与定价路由；记住文档侧栏是否展开的 sidebar_state cookie；记录你对下方通知所作回应的 cookie_consent cookie；以及当你的浏览器发送全球隐私控制信号时设置的 gpc cookie。
• 第一方性能和分析： Vercel Analytics 和 Vercel Speed Insights，使用第一方存储，不加载第三方追踪像素。

当你通过 Phaze 应用内的链接打开 phaze.fit 时，我们会按应用页面、网页、平台和语言对这次访问进行汇总计数，计数中不保存 IP 地址、cookie 或任何其他标识符。

我们没有在 phaze.fit 上嵌入 Meta Pixel、TikTok Pixel、Snap Pixel、Google Ads 转化代码、Pinterest 代码或 LinkedIn Insight 代码，因此网站不会为跨情境行为广告共享任何信息。应用的安装归因事件被我们视为这种共享，见下文和第 8 节。

phaze.fit 不设置任何可选 cookie，因此横幅是带单个确认按钮的通知，而非接受或拒绝的选择。全球隐私控制信号会被直接视为拒绝，不再询问你。页脚的“你的隐私选择”可重新打开该通知，你也可以随时在浏览器设置中清除 cookie。

Phaze 移动应用在两个平台上使用 Meta Aggregated Event Measurement SDK，并在 Android 上使用 TikTok Business SDK，用于安装归因。在 iOS 上，Phaze 会为 Meta 归因展示 Apple 的“应用跟踪透明度”提示。我们不会使用这些 SDK 在 Phaze 内投放个性化广告，也不会在 phaze.fit 上嵌入广告代码。

15. 本政策的变更

我们会在此发布重大变更，并在变更生效前至少 30 天通过应用内或电子邮件通知你，法律要求更短期限的情况除外。在需要时，未经你同意，我们不会对已持有的数据采用重大的新用途。

新的可选功能自你首次使用时起适用于你。2026 年 9 月 30 日的版本增加了新的可选功能：社区（包括其通知、受新闻启发的话题，以及你可以在资料页上显示的字段）和用于备份的 Phaze 存储。由于它不改变我们使用已持有数据的方式，而且这些功能都只在你使用时才开始，该版本自当日起生效。

16. 联系方式

问题、请求、投诉：

Phaze 不是医疗器械。本服务不提供医疗建议、诊断或治疗。有关药物、剂量或症状的问题，请务必咨询你的医疗专业人员。