概览
- 我们仅收集运行家庭应用所需的最少信息：电子邮件、家庭内容（事件、列表、家务、预算）以及基本的设备标识符。
- 我们不出售或租赁你的数据。我们不投放广告。我们也不使用你的数据训练人工智能。
- 数据由 Supabase 托管在美国，并通过行级安全进行保护，只有你的家庭成员可以读取你的数据。
- 你可以随时在应用的 Settings > Account 中导出或删除你的账户。
1. 谁负责
Famio（“Famio”、“我们”）是本政策所述个人数据的数据控制者。Famio 位于肯尼亚共和国运营。你可以通过 contact@famio.cc 联系我们，咨询本政策的任何内容。
2. 我们收集哪些数据
你提供给我们：
- 用于登录的电子邮件地址；
- 显示名称、头像（可选）、家庭名称以及家庭加入码；
- 你创建的内容：日历事件、列表、食谱、膳食计划、家务、奖励、预算交易和笔记；
- 儿童档案数据（显示名称、可选头像、PIN 码和出生日期），由成人成员填写。
系统自动收集：
- 设备推送令牌（用于发送你已开启的通知）；
- 应用版本、操作系统、语言、设备型号和大致地区（用于诊断）；
- 崩溃和错误报告（通过 Sentry，尽可能过滤个人数据）；
- 使用事件显示你使用了哪些功能，例如完成家务或查看付费墙——永不包含你的列表、家务、日历事件或预算的内容，也永不包含你的家庭名称、显示名称或出生日期；
- 屏幕浏览记录按屏幕类型记录，而非具体记录——例如，你打开了预算页面，而不是具体的哪个页面；
- 屏幕和会话录制，我们用于改善用户体验。
- 上述使用事件、屏幕浏览或录制均不在儿童自己的设备上收集，也不在共享设备上激活儿童档案时收集；
- IP 地址以及你登录或调用我们的 API 时的时间戳，仅为安全与限速目的短暂保存。
- PostHog 记录页面浏览、导航和号召性用语点击、浏览的章节和 FAQ 答案、滚动深度、页面停留时间节点、按字段名称的应用进度、提交结果、设备和浏览器类型、约略国家以及活动归因，并生成隐私屏蔽的会话回放。仅在使用基本 cookie 时，这些数据会关联到匿名会话，而非访客画像，且永不关联你的姓名或电子邮件地址。表单值、姓名、电子邮件地址、自由文本答案以及儿童信息会被排除，所有表单输入在回放时都会被屏蔽。
来自第三方：
- 当你订阅时，来自 Paddle、Apple 或 Google 的信息：订阅状态和不透明的用户标识符。Famio 不会收到你的完整卡片信息；
- 如果你选择社交登录，从你的身份验证提供商（Apple 登录或 Google 登录）获取：电子邮件和姓名。
- 如果你连接 Google 日历：你的 Google 账号标识、电子邮件和基本个人资料信息、该账号可用的日历名称和元数据，以及你选择导入的每个日历的事件详情。事件详情可能包括标题、日期和时间、重复规则、描述、地点、组织者、参与者、响应状态、颜色，以及原始 Google 日历事件的链接。
我们不收集：银行凭证、银行交易数据、精确位置、相册内容、联系人、麦克风或相机胶卷，除非你明确在服务中附加文件。
网站测量没有页面内的关闭开关。 在英国、欧洲经济区、瑞士和魁北克，除非你选择了某个选项，否则不会存储或记录任何内容；在其他地区，默认在到达时启动基本级别的测量，你可以通过联系我们来选择退出。你可以在应用的 Settings → Privacy & data 中关闭移动使用分析，屏幕录制在那里有独立的开关。崩溃报告仍会继续，因为我们依赖它来保持 Famio 正常运行。
3. 我们使用数据的方式和原因
- 提供服务：同步你的家庭、发送通知、在新设备上恢复你的订阅；
- 确保服务安全：检测滥用、进行速率限制、抵御垃圾信息，并防止未授权访问；
- 改进服务：诊断崩溃、修复错误并优先开发功能；
- 与你沟通：发送账户、账单、安全以及（如果你选择）产品更新；
- 遵守法律义务（例如税务、会计、合法请求）。
我们不会将你的数据用于广告、画像或向第三方出售，也不会使用你的内容来训练 AI 模型。
Google Workspace API 数据
连接 Google 日历是可选的。Famio 请求只读访问权限，只使用 Google 日历数据让你选择日历、将其事件导入你的家庭、保持这些导入的事件同步，并显示原始事件链接。Famio 不会在 Google 日历中创建、编辑或删除事件。
当你选择使用 Famio AI 时，相关导入的事件详情可能会包含在发送给 Google Gemini Developer API paid service 的家庭上下文中，以便它能够回答你的请求或草拟供你批准的操作。Google 按我们的指示处理这些数据，并且根据其付费服务条款，不会使用提示或响应来改进其产品。Famio 不会使用 Google Workspace API 数据来创建、训练或改进通用的 AI 或机器学习模型。
Famio 对从 Google Workspace API 接收的信息的使用和转移遵循 Google 用户数据与开发者政策 ，包括其有限使用要求。我们不出售这些数据，不将其用于广告或信贷决策，也不允许人工访问，除非你明确同意或在安全或法律合规需要时。
4. 处理的合法依据
我们依据以下合法依据，具体取决于你的居住国家和相关处理：
- Performance of a contract — 为了提供你注册的服务 (Kenya DPA s.30(1)(b); GDPR Art. 6(1)(b)).
- Legitimate interests — 为了确保服务安全、改进服务并防止欺诈 (Kenya DPA s.30(1)(f); GDPR Art. 6(1)(f)). 你可以随时提出异议。
- Consent — 用于可选功能，例如推送通知、营销邮件以及儿童数据的处理 (Kenya DPA s.30(1)(a); GDPR Art. 6(1)(a) 和 Art. 8)。你可以随时撤回同意。
- 法律义务 — 以满足法律、税务和监管要求 (Kenya DPA s.30(1)(c); GDPR Art. 6(1)(c)).
5. 儿童和儿童档案
Famio 包含“儿童档案”——由成年家庭成员管理——供家庭使用。我们将与儿童档案关联的数据视为儿童数据，并仅在可验证的父母同意的基础上进行处理，遵循肯尼亚《2019 年数据保护法》下的数据保护（通用）条例；美国的 COPPA；GDPR 第 8 条（如适用）；以及等效的本地法律。
- 创建儿童档案的成年人确认其为该孩子的父母或法定监护人，或已取得父母的同意。
- 儿童档案只能看到其家庭管理员允许的数据——没有金钱标签、没有其他人的私人事件、没有设置。
- 我们不会向儿童展示任何广告，也不会向第三方出售、租赁或共享儿童数据。
- 我们不会把孩子使用本服务的条件设为必须披露超过合理必要的数据。
- 父母可随时查看关联到儿童档案的数据，申请删除，或通过在 Settings > Household 中删除该档案或发送邮件至 contact@famio.cc 来撤回同意。
如果我们发现收集了未获得可验证的父母同意的儿童数据，我们会立即删除。
7. 国际转移
Famio 从肯尼亚运营，你的家庭数据存储在美国。个人数据可能会被转移并在我们的处理方所在的其他国家进行处理（例如 Supabase、RevenueCat、Paddle、Apple、Google、Sentry、PostHog、Brevo、Upstash 和 Expo）。
- 针对肯尼亚用户: 我们仅在接收国拥有相当的保障措施，或在适当的合同保障下，才会将数据转移出肯尼亚，依据《肯尼亚数据保护法》2019 第48条的许可。
- 针对欧盟/英国用户: 因为你的数据存储在美国，每次转移都会离开欧盟/英国。我们依赖欧盟委员会的标准合同条款，并在适用时使用英国附录，以及包括传输和静止加密在内的补充技术措施。
如需，可提供相关保障措施的副本。
8. 我们保留数据的时长
- 账户和家庭数据：直到你删除你的账户。
- 已连接的 Google 日历数据：直到你移除该日历或删除账户。移除后会删除通过该连接导入的事件。加密的 OAuth 凭证仅在需要保持所选日历连接时保留。
- 账户删除后：在活跃系统中保留最多 30 天，随后在加密备份中再保留 60 天，之后数据将被清除。如因法律、税务或会计原因需要，我们可能会更长时间保留有限记录。
- 崩溃和诊断日志：30–90 天。
- 登录和安全日志：最长 12 个月。
- 提前访问的申请（表单开放期间）：仅保留用于向你发送已同意接收的产品更新。你可以随时取消订阅或请求删除。
9. 我们如何保护数据
- 传输中的加密（TLS）和存储时的加密（存储层的 AES‑256）；
- 我们数据库的行级安全，确保家庭数据只能被该家庭已认证的成员读取；
- 对电子邮件/密码账户使用强密码哈希（Argon2 / bcrypt，由 Supabase Auth 管理）；
- 员工访问遵循最小权限原则，并进行审计日志记录；
- 例行依赖扫描、基础设施加固以及渗透测试。
没有系统能够 100% 安全。如果你怀疑存在安全问题，请发送邮件至 contact@famio.cc。
10. 你的权利（肯尼亚 — DPA 2019）
如果你在肯尼亚，2019 年《数据保护法》赋予你（根据该法第 IV 部分）的权利：
- 了解你的个人数据将被用于何种用途；
- 访问我们持有的你的个人数据；
- 反对对你的个人数据进行处理；
- 更正或删除关于你的虚假或误导性数据；
- 撤回同意并请求删除我们持有的你的数据。
要行使这些权利，请发送邮件至 contact@famio.cc。我们将在该法规定的法定时限内回复。
如果你对我们的回复不满意，你可以向 数据保护专员办公室 (ODPC) ( www.odpc.go.ke ) 投诉。
11. 你的权利（欧盟/英国 — GDPR）
如果你在欧盟、英国或欧洲经济区使用本服务，GDPR 和英国 GDPR 赋予你以下权利：
- 访问你的个人数据（第 15 条），并以可携带的格式获取副本（第 20 条）；
- 更正不准确的数据（第 16 条）；
- 删除你的数据（第 17 条 — “被遗忘权”）；
- 限制处理（第 18 条）;
- 反对基于正当利益的处理（第 21 条）;
- 随时撤回同意（第 7 条）;
- 向当地监管机构投诉 — 在英国，信息专员办公室 ( ico.org.uk )；在欧盟，向你居住国的监管机构投诉。
如需行使任何权利，请发送电子邮件至 contact@famio.cc。我们将在 30 天内回复（或在需要延期时通知你）。
12. 你的权利（加利福尼亚州 — CCPA/CPRA）
如果你是加利福尼亚州居民，你拥有以下权利：
- 了解我们收集的个人信息、来源、用途以及接收方的类别；
- 请求获取过去 12 个月内收集的你的个人信息副本；
- 请求删除你的个人信息；
- 更正不准确的个人信息；
- 限制对敏感个人信息的使用（注：我们不会在提供服务所必需之外使用敏感个人信息）；
- 退出跨情境行为广告中对个人信息的“sale”或“sharing” — 我们不出售也不共享，所以没有需要退出的内容；
- 行使这些权利时不受歧视。
收集的个人信息类别 (CCPA categories): 标识符（电子邮件、用户 ID）、商业信息（订阅状态）、互联网活动（应用交互、诊断），以及仅限国家层面的地理位置。我们不收集生物特征、音频、视频或精确位置数据。
通过 contact@famio.cc 提交 CCPA 请求。我们将通过你的账户邮箱验证你的身份。如果你提供签署的授权书并且我们能够验证你的身份，你可以使用授权代理。
13. 你的权利（加拿大 — PIPEDA）
如果你在加拿大，联邦《个人信息保护和电子文件法》（PIPEDA）以及等效的省级法律（魁北克法案 25、阿尔伯塔省个人信息保护法、英属哥伦比亚省个人信息保护法）赋予你访问和更正个人信息、撤回同意以及向加拿大隐私专员办公室投诉的权利（priv.gc.ca）。
14. 其他地区
- 巴西（LGPD）： 访问、纠正、匿名化、删除、可携带性以及关于共享的信息权利适用。
- 澳大利亚（隐私法）： 适用澳大利亚隐私原则；你可以向 OAIC 投诉。
- 南非（POPIA）、尼日利亚（NDPA）、韩国（PIPA）、日本（APPI）以及其他司法辖区： 我们会遵循当地法律处理请求。
15. 你的选择
- 通知: 在应用内的 Settings > Notifications 中管理，或在你设备的操作系统设置里管理。
- 社交登录: 你可以随时在你的 Apple/Google 账户中撤销 Apple 或 Google 登录。
- Google 日历: 从 Calendar > Connected calendars 中删除日历及其导入的事件。你也可以在你的 Google 账户中撤销 Famio 的访问权限；撤销后会停止未来的同步，但不会删除已导入 Famio 的数据。
- 营销邮件: 在任何营销邮件中的取消订阅链接进行退订；这不会阻止事务性邮件（安全、计费、服务通知）。
- 删除账户: Settings > Account > Delete account。
17. 自动化决策
我们不会仅基于自动化处理对你作出具有法律或同等重大影响的决定。
18. 数据泄露通知
如果个人数据泄露可能导致你的权利和自由受到风险，我们将在法律要求的情况下于 72 小时内通知相关监督机构——包括《2019 年数据保护法》第 43 条下的肯尼亚数据专员，以及 GDPR/UK GDPR 第 33、34 条款下的等效机构、美国各州的泄露通知法和 PIPEDA——并且我们会及时通知受影响的用户，不作不必要的延迟。
19. 本政策的更改
我们可能会不时更新本隐私政策。我们会更新“最近更新”日期，并在出现重大更改时，通过应用内通知或电子邮件在生效前至少提前 14 天通知你。
20. 联系我们与投诉
如对本政策或你的数据有任何疑问，请发送邮件至 contact@famio.cc。
如果你对我们的回复不满意，你可以向当地的数据保护机构投诉——例如肯尼亚的 ODPC ( odpc.go.ke )、英国的 ICO、你所在欧盟成员国的机构，或美国的州检察长。