一盏隐私政策

更新日期 2026 年 10 月 16 日

服务提供方：洪湖市曹市镇念雄网络信息服务工作室（个体工商户）

1. 引言与适用范围

欢迎您使用“一盏”（以下简称“本应用”）。本应用由iOS客户端（子女端）与微信小程序（家人端）共同组成，旨在为海外子女与国内家人提供“报平安”及情感连接服务。我们深知个人信息对您的重要性，并会尽全力保护您的个人信息安全可靠。

本《隐私政策》（以下简称“本政策”）主要依据澳大利亚《1988年隐私法》（Privacy Act 1988）及澳大利亚隐私原则（APPs）制定，同时严格遵循Apple App Store的相关隐私要求。本政策适用于您通过iOS App或微信小程序使用“一盏”服务时的个人信息处理活动。请您在使用我们的服务前，仔细阅读并充分理解本政策的全部内容。

2. 我们收集的信息

为了向您提供核心功能，我们仅会遵循合法、正当、必要和诚信原则，收集和使用您的个人信息：

2.1 您主动提供的信息

账户注册与登录：iOS App支持微信或Apple授权登录，小程序通过微信登录。我们接收对应应用的微信账户标识，或Apple账户标识，用于验证身份、管理设备与家庭关系；两端标识不会被直接当作同一账号。微信订阅状态仅在您主动授权后记录。

付费与交易：当您购买增值服务时，我们会通过Apple IAP收集您的交易记录及购买信息，用于订单履约及恢复购买权益。

家人紧急联系方式：子女在App分享卡片前需要填写家人手机号，用于需要时的短信提醒；也可在守护联系表单填写家人邮箱。家人不用输入；我们加密保存这些地址，仅用于相应的守护提醒，不作为登录凭据或已验证的账户手机号。您可修改或删除；解除关系后旧联系版本与对应查看入口失效，不会自动带到另一段关系。

2.2 我们自动收集的信息

推送通知标识：为保障iOS App的每日提醒及紧急提醒功能，我们会通过Apple APNs收集您设备的Push Token。

时区信息：为保障“时空信箱”的准时送达，客户端会自动读取您设备的IANA时区，服务端将据此换算为UTC送达时间。

2.3 您使用功能时提供的信息

报平安内容：您主动选择的心情、短文字、照片，以及当前设备电量、充电状态和可用的地址与天气。在iOS App或小程序主动报平安时，在前台单次取得系统允许的高精度位置；iOS App使用Apple地图服务解析可用的街道、门牌地址，小程序取得点位后供家人查看那一刻的地图。实际取得的WGS84点位、取得时间和精度通过HTTPS传给一盏服务器，加密保存并仅与本条消息关联的家人分享；不记录移动路线。天气查询使用模糊到约1公里的坐标。系统仅允许大致位置或地址精度不足时明确标为大致位置，未取得位置也可继续发送。

紧急提醒位置：同意本政策并完成登录后，App可询问前台位置权限，获准后可单次确定天气城市；您也可以在报平安或主动使用手机所在地时授权。发起紧急提醒时独立取得本次位置，优先请求系统允许的精确位置，并经Apple地图服务转为可用的街道、门牌地址。实际点位加密保存到本条提醒，仅与当时关联的家人或本次配置的SOS邮箱联系人分享。只允许大致位置、精度不足或无法查到门牌时会明确标为大致地点，不能保证房间或楼层准确。拒绝权限、采点超时或地址查询失败不影响立即发送提醒；之后补到的点位只属于同一条消息。每次用完即停。

普通语音：您主动录制并立即发送的报平安语音或家人回复，保留语音原件，不做识别或转写。45秒限制仅适用于预约的时空信箱语音。

时空信箱留言：您在预约发送留言时提供的文字内容或语音文件（最长45秒）。

提醒与收听偏好：您可选择日常提醒、独立的天气与纪念日问候、温度单位和播放速度。纪念日只保存您主动填写的月日，不推断生日；问候可单独关闭，每天最多一条。

3. 信息的使用方式

我们收集您的个人信息仅用于以下明确目的：

1. 身份认证与账户管理：验证您的身份，保障账户安全，并支持1对1的家人关系绑定与管理。
2. 核心功能履约：处理您的报平安打卡、时空信箱留言投递，以及根据您设置的平安阈值触发每日提醒。
3. 安全保障与紧急响应：在您持续按住求助按钮满3秒后，通过微信订阅消息或短信发送固定系统文案“您关联的人发起了紧急求助，当前状态已记录，请尽快确认并回复。”；Apple关联账户也可向您填写的家人邮箱发送包含称呼、求助时间与受限地点链接的邮件。邮件服务未开通时不会发送，实际结果以本次提醒记录为准。提前松开不会发出提醒；已发出后主动取消会另发取消消息。
4. 交易与售后：处理Apple IAP付费订单，并在发生退款后继续履行已送达内容的保存义务。
5. 合规与风控：处理用户举报，下架违规内容，并按法律法规要求保存最小必要记录。

4. 信息的共享、转让与公开披露

我们承诺不会将您的个人信息出售给任何第三方。为实现本政策所述目的，我们仅在必要时与以下第三方服务商共享您的部分信息：

特别声明：我们不会使用您的个人数据进行跨应用跟踪，不会向第三方共享您的数据用于广告推荐或用户画像目的。

公开推荐卡片：仅当您主动分享时，卡片会向接收者展示称呼和城市；不包含家庭消息、照片、语音、手机号或私密家庭邀请码。公开推荐入口不会自动建立家庭关系。

5. 设备权限说明

为保障特定功能的正常运行，我们会在您主动使用相关功能时动态申请以下设备权限：

• 麦克风权限：仅当您主动在报平安、家人回复或时空信箱中点击录音时申请；结束录音后立即停止使用麦克风。
• 相机与照片权限：仅当您主动使用“报平安”功能上传照片时申请。为保障您的隐私，我们采用iOS系统原生的Photo Picker，每次仅读取您明确选择的1张照片，不获取完整相册访问权。
• 保存温情卡片：仅在您点击保存时申请向相册添加该卡片的权限，不读取相册内容。
• 位置权限：同意政策并登录后可询问，用于前台单次确认天气城市、报平安及紧急提醒；报平安和紧急提醒优先请求系统允许的精确位置，用完即停。您可拒绝、选择大致位置或在系统设置撤回；已拒绝时不会反复弹出首次授权框，也不会限制报平安与求助。
• 通知权限：用于发送每日打卡、家人回应和守护提醒，可在系统设置关闭。

通知展示规则：在锁屏界面及微信通知列表中，我们显示相应事件提示。微信获批模板还可能包含家庭专属称呼、城市、事件时间、本条心情或短文字摘要，以及本次保存的地址短摘要；实际按模板字段长度显示，完整内容与地址需打开详情查看。紧急提醒的地址尚未保存时提示“请打开查看本次地点”；后续补到详情的地址不会修改已经发出的微信卡片或再次推送。通知不显示精确坐标、照片或语音原件。

6. 数据的存储与保护

6.1 传输与存储安全

传输加密：本应用的正式接口使用HTTPS加密传输协议，确保数据在传输过程中的安全性。

媒体加密：您上传的照片及语音文件均采用加密方式保存，并通过短时签名地址进行访问，防止链接泄露导致的数据外泄。

日志脱敏：生产环境中的系统日志均经过严格的脱敏处理，不包含任何可识别个人身份的信息。

6.2 访问控制

家庭消息的访问需校验账户身份、终端角色及有效关联关系。SOS邮件地点链接使用单条提醒的受限凭据，只能查看这一条提醒的状态、时间与已保存地点，不能读取普通消息或家庭资料。

6.3 数据存储地域与跨境传输

您的个人信息将存储在部署于新加坡的云服务器（阿里云新加坡节点）中。若您在其他国家或地区使用服务，这可能构成跨境数据传输。加密的恢复备份还会保存在受保护的运维设备上，按三天轮换，不能用于日常查看个人内容。

我们采用传输加密、加密备份和权限控制保护数据，并仅向履行功能所需的服务商提供必要信息。

7. 数据的保留与删除

消息地图：报平安那一刻的位置，不持续跟踪。点位加密保存，免费家庭最长7天，付费家庭最长365天，且不超过该条消息保存截止。到期移除点位，只留下可用地址文字；删除本条消息或注销账号时移除关联点位。解除家庭关系、退出设备、手机验证失效后，原地图入口不能继续读取该家庭的点位。短链接本身不公开地址或点位；普通消息地图仍需有效账户或已验证的提醒手机号。SOS邮件链接最多有效24小时，打开后产生最长10分钟的单条提醒查看会话；取消提醒后不展示点位，联系人变更、解绑、停用或到期后原链接失效。该页不提供普通家人门户，不读取查看者位置；主动导航仅向所选地图传递目标点位与可用地址，不传递邮箱、查看凭据或会话。

常规保存期限：家庭动态和照片按所属家庭孩子的有效方案处理，免费7天、全年守护365天、终身守护永久。语音原件自实际送达起单独保留60天，永久方案不会延长语音原件期限。未送达预约的完整原件在预约期间受到保护；本轮策略不缩短已经交付记录的既有截止。

退款后的保留：退款会影响新的会员操作，但不会缩短已交付记录的既有保存截止，已过期记录不会因重新购买自动恢复。

关系解除同步：当您与家人的1对1关联关系解除时，发布者此前发布的内容将同步从关系方的展示列表中删除。

举报下架处理：经举报并核实处理下架的内容，将立即停止展示。相关最小必要记录将按本政策及适用法律要求保存，用于合规审计。

时空信箱投递规则：若您在留言送达前解除了与接收方的关系，该留言将不会被送达并会被系统清理。

8. 您的权利

根据澳大利亚隐私原则，您对您的个人信息享有以下权利：

1. 访问与更正：您可以随时在App内查看和修改您的报平安内容及账户信息。
2. 删除：您可以主动删除已发布的内容，该操作将同步至所有关联关系方。
3. 撤回授权：您可以随时在设备系统设置中撤回对麦克风、相机、照片或通知的授权，这不会影响您使用其他基础功能。
4. 跨应用跟踪选择权：我们尊重您的选择，我们不会使用您的个人数据进行跨应用跟踪，也不会向第三方共享您的数据用于广告推荐或用户画像目的。
5. 投诉与举报：若您认为我们侵犯了您的隐私，可通过本政策提供的联系方式向我们投诉，我们将依法处理。

9. 账户注销

您可以随时申请注销您的“一盏”账户：

• 新申请注销：提交前重新验证本人登录身份；确认后立即停用账号、退出设备并终止家庭关系。普通退出不会注销账号，重新登录不会撤销注销。
• 30天匿名化：新申请在30天后清理或匿名化个人信息。已经提交的旧注销申请保持申请时显示的清理截止，不自动延后。
• 回忆选择：仅当注销者明确允许，原家人可在显示的截止前主动选择保留当时仍可用的家庭回忆。保留的文字和照片永久只读，语音仍按原件60天期限；未选择或拒绝的内容按清理计划处理，新家庭看不到旧家庭回忆。

10. 未成年人保护

“一盏”是一款旨在促进家庭成员间情感连接的工具。我们高度重视未成年人的隐私保护。若您是未满18周岁的未成年人，请务必在您的父母或法定监护人的陪同和指导下阅读本政策，并在征得他们同意的前提下使用我们的服务。如果我们发现在未获得可验证的监护人同意的情况下收集了未成年人的个人信息，我们将设法尽快删除相关数据。

11. 隐私政策的更新

随着法律法规的更新或产品功能的调整，我们可能会适时修订本政策。对于重大变更，我们将在App内通过显著方式（如弹窗提示）通知您。若您在本政策更新后继续使用我们的服务，即表示您同意接受修订后的政策。

12. 联系我们

如果您对本隐私政策或个人信息保护有任何疑问、意见或建议，或希望行使您的隐私权利，请通过以下方式与我们联系。我们将在7个工作日内响应您的请求并进行处理：

隐私保护邮箱：support@yizhanlamp.com