隐私政策

1. 我们收集的信息

账户信息。 当您使用 Apple、Google 或电子邮件登录时，我们会收到您的姓名（如果您提供）、您的电子邮件地址和一个账户标识符。电子邮件登录还会存储您密码的加盐哈希值，绝不存储密码本身。我们使用这些信息来创建并保护您的账户、将您与您的相册关联，并向您发送第 2 节所述的电子邮件。我们还会保存您的电子邮件偏好（例如您是否希望收到揭晓邮件）。

年龄。 Unframed 面向 13 岁及以上的用户。我们会请您确认一次，并且只保存您的账户已确认这一事实；我们不使用应用商店的年龄信号，也不询问您的出生日期。

照片和视频。 您选择添加到相册的照片和短视频（含声音）会上传到我们的服务器并存储，以便相册群组查看和下载。照片元数据可能包括拍摄时间，以及（在位置标记开启时）拍摄照片或视频的地点（用于相册的地图、地点和回顾）。位置标记默认开启，但只有在您允许应用访问您的位置后才会生效：它仅在您拍照时使用您的位置；您从设备图库添加的照片或视频，只有在位置标记开启且已允许访问位置时，才会保留其拍摄地点。您可以随时在“个人资料”中将其关闭。应用会在您登录后首次打开时请求位置访问权限。照片或视频的拍摄地点会在相册照片揭晓后向相册中的每个人显示——在地图、地点和回顾中；位置标记关闭时添加的照片和视频不带位置，添加者仍可以看到地图以及其他人照片和视频的拍摄地点。文件本身也可能带有来自相机的元数据，例如拍摄地点：我们会在照片上传时将其移除，并在视频于我们的服务器上处理完成后片刻将其从视频中移除。视频的画面和声音绝不会因此改变——只移除文件的元数据；在极少数视频无法处理的情况下，视频会完全按发送时的原样保留。

头像（自愿选择）。 您可以添加头像。它会显示在您的名字旁边，供您所在相册的成员查看（在成员列表、评论、回应等处）。我们将其保存为一张小的方形图片（最大 512 像素），不含任何元数据：没有位置信息，也没有相机信息。头像不会用于人脸匹配，也绝不会与任何人的面部进行比较。您可以随时在应用的“个人资料”或本网站的账户设置中更换或移除头像，成员也可以向我们举报它。

面部数据（自愿选择）。 除非您注册，否则您绝不会被识别。如果您选择注册人脸匹配（人物筛选），您需要提供一张自拍，我们会据此创建一个面部签名——一组描述您面部的数字；自拍本身不会被存储。人脸匹配会在您以这种方式添加参考照片后开启，没有参考照片则无法开启。您可以随时关闭匹配或删除该签名。关闭匹配后，您不会在任何相册中被标记，现有标记也会被移除；重新开启后，新照片以及您相册中已有的照片都可以再次标记您。当照片被添加到有人使用人脸匹配的相册时，照片中的人脸会与 Unframed 上使用人脸匹配的用户的面部签名进行比对。只有与该相册中开启了此功能的成员的匹配结果会被保留。不会识别其他任何人，也不会存储关于其他人脸的任何信息。具体而言：当照片被添加到至少有一位成员已注册并开启人脸匹配的相册时，我们会分析整张照片并检测其中的每一张人脸。每张足够大且足够清晰、可以识别的人脸（每张照片最多 24 张）随后会与在 Unframed 上注册的面部签名进行比对，只有当某张人脸与该相册中已注册并开启人脸匹配的成员相匹配时，才会被识别。我们保留的唯一内容就是这个标记：哪位成员出现在哪张照片中，以及匹配的接近程度。照片中的其他任何人都不会被识别或存储——无论是未注册的人、已关闭匹配的成员，还是相册以外的已注册用户：不会为他们创建任何面部签名，人脸位置、人脸裁剪图和比对结果会在照片处理完成后立即丢弃，绝不会被存储、显示或记录。在没有任何成员注册并开启匹配的相册中，照片不会被扫描；如果之后有成员注册或重新开启匹配，或者有已注册的人加入相册，这些照片可能会被扫描。当有成员重新开启匹配、注册，或以已注册身份加入相册时，已扫描过的照片会被重新扫描，以便该成员可以在其中被标记。视频从不扫描，在应用中添加照片的人也可以为该照片关闭匹配。

扫描受额度限制：免费相册包含一次性的一定数量照片的额度，供您试用（在没有任何升级或订阅为其付费期间，相册即为免费相册）；相册升级为该相册提供一次性额度，该额度包含其此前已匹配的照片；由 Unframed Plus 或 Max 覆盖的相册则改为使用其订阅者的每月额度，由其覆盖的相册共享，并每月刷新。服务范围的限制（例如每位上传者的每日上限）也会使匹配保持在我们的处理能力之内；被这些限制暂缓的照片会稍后匹配。额度用完时，照片和视频仍会照常上传；只是照片在有更多额度之前不会进行匹配。面部数据仅用于在您自己的相册中提供人物筛选功能。它绝不会用于广告、绝不会出售，也绝不会与其他用户共享，并且只会在您所属的相册中识别您。您可以随时删除您的面部签名——在应用中的 个人资料 → 人脸识别，或在本网站的 账户设置 → 面容标识（或通过删除您的账户）——它会从我们的系统中移除，连同其生成的标记。

评论、回应和相册名称。 您在照片和视频上发布的评论和回应、您为相册起的名称，以及您就照片、视频或评论提交的任何举报，都会与您的账户一起存储。评论、回应和相册名称会向相册成员显示。您可以随时删除您的评论和回应，删除账户会移除它们以及您的举报。

购买。 付款由 Apple（App Store）或 Google（Google Play）处理，视您的购买地点而定。我们会收到购买收据或购买令牌（绝不会收到您的银行卡或付款信息），以便授予您所购买的内容；商店还会向我们发送订阅生命周期通知——续订、失效、退款——以便权益与您实际支付的内容保持一致。

设备和使用数据。 推送通知令牌（附带设备的语言和平台，以便通知以正确的语言通过正确的服务送达）、基本设备信息、一份简短的应用内活动事件许可列表（应用打开、付费墙查看、邀请被分享、打开或拒绝等——绝不包括您照片的内容）、您账户的活跃日期记录、崩溃和错误报告（错误文本、发生错误的界面、应用版本以及设备或浏览器），以及运营和保护本服务所需的服务器日志（例如速率限制、防止滥用）。活动事件、活跃日期和崩溃报告会与您的账户标识符一起存储。

使用记录。 我们的服务器还会记录本服务使用过程中的关键时刻：创建您的账户（以及您是通过 Apple、Google 还是电子邮件注册的）；创建相册（是否封存以及封存多久，以及您已创建多少本相册）；加入相册（谁邀请了您、谁是创建者、相册当时有多少成员，以及您注册账户多久了）；您在某本相册中的第一张照片或第一个视频；达到套餐上限（哪项上限，以及相册是您创建的还是您加入的）；相册的揭晓（有多少成员和贡献者，包含多少照片和视频）以及您在揭晓后多久首次查看；用您的订阅覆盖相册，或一本等待套餐的相册因无资金而被移除；以及购买、续订、自动续订变更、退款（以及商店随后撤销的退款）和订阅结束（产品、商店、价格和币种、订阅持续了多久，以及您是为自己创建的相册还是加入的相册购买）。这些记录与您的账户关联，并且只用代码指代相册和其他成员，绝不使用名称。它们绝不包含电子邮件地址、您照片或视频的内容、评论或相册名称。当账户被删除时，会有一条不含任何标识符、只精确到日期（不含时间）的记录，注明有一个账户被删除、它存在了多久、是否为付费账户、创建过多少本相册，以及是您还是我们删除了它。

2. 我们如何使用信息

为了提供本服务：存储和传输您群组的相册、运行揭晓倒计时、通过推送和电子邮件发送您的群组期待的通知（例如，当您所在的相册揭晓时发送到已验证地址的电子邮件，仅在您于应用设置中开启揭晓邮件后发送；除非您开启，否则揭晓邮件默认关闭，您也可以随时在设置中或通过每封此类邮件中的一键退订链接再次关闭）、告知您与您的数据相关的情况（例如某本相册即将被删除或缩减——即使您已关闭其他通知或揭晓邮件，这些通知也会发送）、提供自愿选择的人物筛选、处理升级，以及保障服务安全。我们还会将您的账户标识符、上述活动事件、活跃日期和使用记录，以及购买记录用于我们自己的分析：统计活跃账户、了解人们使用哪些功能、相册如何增长以及人们会持续使用 Unframed 多久，并汇总销售、续订和退款，以便我们就产品及其价格做出更好的决策。我们的分析服务提供商 PostHog 代表我们处理这些记录（第 4 节）。它们绝不会用于广告，也绝不会与其他公司的数据合并。崩溃报告用于修复出现的问题。我们不会出售您的个人信息，也不会将您的照片或面部数据用于广告或训练与本服务无关的模型。

3. 谁可以看到您的照片

只有照片所属相册的成员。没有公开的个人主页、动态或搜索。在相册封存期间，直到相册管理员设定的揭晓时刻之前，任何人都无法看到其他人的照片和视频；每位成员只能在“你上传的内容”中查看和删除自己添加的内容，并可以在电脑上登录本网站保存这些内容（并非所有版本的手机应用都能在揭晓前保存）。相册管理员可以移除成员并删除相册中的任何照片或视频。您的头像（如果您添加了）只会向您所在相册的成员显示。

当您退出相册时，您添加到该相册的照片和视频将从中永久删除，同时删除该相册其他照片中标记您的人脸匹配标记；您的评论和回应会保留。当管理员移除某位成员时，该成员的照片和视频将保留在相册中，除非管理员同时选择将其删除。

4. 服务提供商

我们使用 Amazon Web Services 托管本服务、存储媒体（Amazon S3）、运行自愿选择的人脸匹配（Amazon Rekognition），以及发送电子邮件——验证码和密码重置码、揭晓邮件，以及关于您的相册和数据的通知（Amazon SES）。这些提供商根据数据处理协议代表我们处理数据。当您选择通过 Apple 或 Google 登录时，由它们提供登录服务；推送通知在 iPhone 和 iPad 上通过 Apple Push Notification 服务发送，在 Android 上通过 Firebase Cloud Messaging（Google）发送；购买由 Apple（App Store）或 Google（Google Play）处理；产品分析由 PostHog 提供（见下文）。照片和视频通过 Amazon CloudFront 传输，它会在北美和欧洲保留短期缓存副本，最长 7 天；没有在 2 小时内过期的链接，就无法获取这些副本。

地图。 Android 应用中的相册地图从 OpenFreeMap（openfreemap.org）加载地图图像，这是一项免费的第三方地图服务。仅在您打开地图时，您的手机才会向 OpenFreeMap 请求屏幕上显示的地图部分，每次请求都会透露您设备的 IP 地址和所查看地图的大致区域。不会发送任何有关您的账户、相册或照片的信息，我们也没有与 OpenFreeMap 就这些数据签订任何协议；适用其自己的条款和隐私政策。在 iPhone 上，相册地图使用 Apple 地图，由 Apple 依据其隐私政策处理这些请求。网页版应用不显示地图。

人脸匹配（Amazon Rekognition）。 注册用的自拍，以及人脸匹配扫描的相册照片，由 Amazon Web Services 代表我们处理，仅用于查找和匹配人脸。AWS 的条款允许将其 AI 服务处理的内容用于改进这些服务，除非账户选择退出；我们的 AWS 账户已选择退出该用途。存储的是每张注册自拍的人脸向量（一组描述人脸的数字，而非人脸图像），存放在我们自己 AWS 账户中的人脸集合里。相册照片会与这些向量进行比对，但绝不会被添加到该集合中。当您删除您的面部签名或账户时，或在账户 3 年无活动后，这些向量会被删除。

产品分析（PostHog）。 我们使用 PostHog 作为产品分析服务提供商，使用的是 PostHog Cloud US，数据存储在美国。只有我们的服务器会向它发送数据：应用和本网站不包含任何 PostHog 代码，也从不与其联系。它会收到应用内活动事件（与人脸匹配相关的除外）和第 1 节所述的使用记录，包括购买价格，这些数据关联到由您的账户标识符计算出的代码，而非标识符本身；同时还会收到您的注册方式和日期、您使用的套餐，以及您使用的是 iOS、Android 还是网页版；来自我们标记为自有测试账户的记录会注明这一点。它绝不会收到您的姓名、电子邮件地址、照片或视频及其位置、评论、相册名称、面部数据（甚至不包括您是否设置了人脸匹配）、您的年龄、设备标识符或推送令牌、崩溃报告或您的 IP 地址，并且 PostHog 自身的 IP 收集和位置查询功能已为我们的项目关闭。PostHog 仅代表我们并按照我们的指示处理这些数据，依据我们已签署的数据处理协议，且绝不用于广告。由于数据存储在美国，因此会在加拿大境外处理，并可能被美国的法院、执法机构和国家安全机构依据当地法律访问。

5. 保留

相册收集内容的时长。 相册的揭晓日期最晚可设为相册创建后 10 年。免费相册的收集时间有限：封存的免费相册在揭晓后 14 天或创建后 365 天（以先到者为准）停止接受新的照片和视频，未封存的免费相册在创建满 90 天后再过 14 天停止接受。在免费套餐下，以新的揭晓日期再次封存相册可以重新开放上传，但绝不会超过创建后 365 天——因此，免费相册收集内容的时间窗口从一开始就是有限的，且绝不超过一年。已升级或由 Unframed Plus 或 Max 订阅覆盖的相册，只要保持升级或覆盖状态，即使免费套餐允许的期限已过，也会持续接受新的照片和视频，除非相册管理员设置了结束日期或停止接收新上传；覆盖结束后，对于未升级的相册，免费套餐的限制将重新适用。相册管理员可以随时设置结束日期或停止接收新上传。

订阅结束后。 超出免费套餐上限的相册和媒体，会在付费权益及任何计费宽限期结束后至少保留 30 天。此后，超额的创建相册及其内容将被永久删除，并保留最近活跃的两本符合条件的免费相册。保留的相册，以及该订阅为其他创建者覆盖的相册，会被缩减到免费的照片、视频和存储上限，先移除最新上传的内容。该账户仅加入的相册、永久的一次性相册升级或此前付费的原图解锁，以及由其他成员的有效订阅覆盖的相册均受保护。在这 30 天开始时仍处于封存状态的相册将被暂缓：在其揭晓后 30 天之前，不会依据此规则删除其中的任何内容。在截止日期前续订、升级相册或覆盖相册，均可保护该相册。个人资料 → 用量 会显示当前的截止日期和受影响的相册。

会通知谁。 当数据面临风险时，我们会通过电子邮件（发送到已验证的地址）和推送发送取消和保留通知：发给订阅已结束的账户，以及将被删除或缩减的每本相册的每位成员，他们也会在应用中该相册上看到通知。发给成员的通知会写明相册名称、相册的创建者和日期，说明该相册已不再由任何套餐覆盖以及将移除的内容，并说明如何保存、升级或覆盖它。通知不会说明是谁的套餐或套餐为何结束，但成员可能会推断出相册背后的套餐已经结束。暂缓相册的成员会在其揭晓时首次收到通知。当我们曾发出警告的相册因续订、升级或覆盖而得以保留时，我们会告知曾收到警告的人。

全画质原图。 免费相册还有一项单独的、仅针对原图的清理：相册揭晓日期 30 天后，原始文件将被移除，除非该相册拥有永久升级、此前付费的原图解锁或有效的 Plus 或 Max 覆盖。仍符合上述保留规则的标准画质副本和缩略图会被保留。我们会在大约提前 7 天和 1 天时，向开启了相册通知的成员发送提醒。相册升级会在我们运营本服务期间一直保留其原图。

覆盖只在该订阅有效期间（包括任何商店计费宽限期）保护相册的原图。订阅结束且群组中没有其他人覆盖该相册时，该相册将回到上述时间表：其原图将在揭晓后 30 天或覆盖结束后 30 天（以较晚者为准），或在“用量”中显示的延长截止日期被移除，并同样在大约提前 7 天和 1 天时发送提醒。

购买记录。 当您删除账户时，我们会在运营本服务期间保留用该账户进行的每笔 App Store 或 Google Play 购买的记录——购买了什么、何时购买、商店的交易编号以及其所适用的账户。我们保留这些记录，是为了防止同一笔购买在另一个账户上再次兑换、确保商店退款仍能与其所支付的内容对应，以及用于我们的财务记录。这些记录不包含照片，也不包含付款信息。

其他一切。 您删除的照片、您更换或移除的头像以及已删除的账户会被及时从生产系统中移除（PostHog 的分析副本遵循其自己的时间表，见下文）。已删除账户的剩余记录会在 35 天内从我们的滚动数据库备份中过期清除；这些备份保存的是账户数据，而非照片或视频文件。已删除或被移除的照片、视频和头像可能会在加密的存储备份中保留最多 30 天，然后被永久清除。崩溃和错误报告保留 30 天；应用内活动事件和活跃日期记录在我们自己的系统中保留 90 天。面部签名不在这类备份残留范围内——删除面部签名是即时且彻底的（见下文）。

分析（PostHog）。 我们发送给 PostHog 的记录只会在我们的服务器上等待到送达为止，通常在几分钟内，最长 7 天：届时 PostHog 仍未接收的记录将永不发送，而是从我们的服务器上删除（删除本身可能还需要几天）。在我们使用的 PostHog 套餐中，我们只能查看这些记录最近 1 年的内容，但 PostHog 并不承诺届时删除更早的记录，因此它们会保留在 PostHog，直到您删除账户。当您删除账户时，任何仍在等待发送的内容都会被丢弃，随后不久我们会要求 PostHog 删除您的分析档案以及以您的代码记录的所有事件，无论其时间多久。PostHog 通常会在几分钟内移除档案，并在后台删除事件，一般在一周内完成；我们会在一天后再次发出请求，以捕获仍在传输途中的任何内容。此后，任何关于您本人使用 Unframed 的信息都不会发送给 PostHog：在删除完成后的 400 天内，我们的服务器会保留一个删除标记，其中只包含您的代码和删除发生的日期（不含时间），以便丢弃该代码的任何迟到记录而不是发送它们，然后删除该标记，通常在几天内完成。在您的删除开始之前，其他成员加入您创建的相册或通过您发出的邀请加入的记录，会将您的代码列为该相册的创建者或邀请他们的人；这些记录属于那些成员，因此会一直保留，直到那些成员删除自己的账户。在您的删除开始后记录的加入绝不会提及您。关于删除本身的那一条记录不含任何标识符（第 1 节）。

日志和支持记录。 服务器和应用日志保留 60 天；访问日志和我们的云审计跟踪保留 90 天。我们还会在运营本服务期间保留通过内部控制台执行的支持操作记录——更改了什么以及所适用的内部账户 ID。两者都不包含照片、联系方式或付款信息。为了核实本服务按所述方式运行，我们还会按天和按相册统计服务中发生的事情（例如有多少人加入了某本相册，或发送了多少封揭晓邮件）；这些计数不指名任何人，也不包含任何内容。当日滚动计数保留 90 天；每天的总数还会复制到我们的每日服务摘要中，我们会在运营本服务期间一直保留该摘要。按相册的计数保留至其最后一次变更后 400 天，包括在相册被删除之后。

面部数据——保留和销毁时间表。 您的面部签名仅在您注册人物筛选期间保留，并在您删除它（在应用中的 个人资料 → 人脸识别；在本网站的 账户设置 → 面容标识）或删除您的账户时（以先发生者为准）被永久销毁。此后它绝不会为任何目的保留，包括改进服务。

您无需提出请求：如果您停止使用 Unframed，在账户 3 年没有任何活动后，您的面部签名会被自动销毁，即使您再也不打开应用。每日任务会执行这一规则，我们不会延长该期限。

关闭人物筛选是一项独立的控制：关闭期间，您不会在任何相册中被标记，您现有的标记也会从所有相册中移除，但您的签名会被保留，以便您重新开启匹配；此后新照片以及您相册中已有的照片都可以再次标记您。删除签名才是移除您面部数据的途径：它会销毁签名，使任何新照片都无法与您匹配，并且它此前已应用于过往照片的人物标记（哪些已注册成员出现在哪些照片中）会在稍后于后台从这些照片中移除。

当您删除账户时，您的面部签名会在您其余账户数据之前被销毁；如果无法完成销毁，删除会停止并重试，而不会在未销毁的情况下继续——因此您的面部数据绝不会比您的账户存在得更久。与照片不同，面部签名不会留下备份残留：它们只存在于实时匹配索引中，因此销毁是即时且不可逆的。

6. 您的控制权

您可以随时通过应用——或在电脑上登录本网站——执行以下操作：

• 查看和下载您有权访问的所有照片和视频（相册封存期间，并非所有版本的手机应用都能下载您自己上传的内容；在电脑上使用本网站则可以）。
• 删除您上传的任何照片或视频——即使在相册封存期间，也可以在“你上传的内容”中删除（相册管理员也可以删除其中的任何照片或视频）。
• 退出相册——这会永久删除您添加到该相册的照片和视频；您会看到数量，并可以先行保存（相册仍处于封存状态时，并非所有版本的手机应用都能保存；在电脑上使用本网站则可以）。
• 删除您的面部签名并退出人物筛选。
• 开启或关闭揭晓邮件。
• 删除您的评论和回应。
• 添加、更换或移除您的头像。
• 删除您的账户——这会移除您的账户、您上传的内容、您的头像和您的面部数据。在电脑上登录以管理或删除您的账户。

7. 儿童

Unframed 不面向 13 岁以下的儿童（或您所在司法管辖区规定的同等最低年龄），我们也不会故意收集他们的数据。如果您认为有儿童创建了账户，请联系我们，我们会将其删除。

8. 安全

媒体通过加密连接传输，并以加密方式静态存储。访问相册的媒体需要身份验证并且是该相册的成员。没有任何系统是绝对安全的，但我们按照最小访问权限原则进行设计，并定期审查我们的做法。

9. 变更与联系方式

我们会在此处发布本政策的任何变更，如有重大变更，还会通过应用通知您。如有疑问或请求：support@scientsolutions.ca。