Kimda

隐私政策

最后更新：2026年10月27日

本政策以捷克语版本为准。其他语言的翻译仅供参考；如有歧义，以捷克语版本为准。

本文件说明 Kimda 应用（“应用”“我们”）和 kimda.app 网站处理哪些数据、为何处理以及法律依据、我们将数据提供给谁、保存多久，以及您和您的孩子享有哪些权利。本应用供全家（包括孩子）使用，因此我们在数据保护方面格外谨慎。

1. 谁是数据控制者

数据控制者为 Mgr. Ivo Slávka，即运营 Kimda 应用的个体经营自然人，登记于布拉格第8区区公所贸易登记处，IČO（商业注册号）30070929，住所为 Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, 捷克共和国。隐私相关问题及行使权利的联系邮箱：privacy@kimda.app。

2. 我们处理哪些数据及其原因

• 账户信息：名字、姓氏、手机号、角色（家长/孩子）、所选语言和主题、可选的头像、本政策的版本及您同意的时间，家长的确认其成年的时间，以及孩子的时间、政策版本和代其同意的家长（第 5 条）。 您的姓名和个人资料照片在应用程序中对您家庭的其他成员可见（父母可以看到所有成员，孩子可以看到他们的父母和兄弟姐妹）。
• 手机号用于身份验证（短信验证码）和登录，其不可逆指纹也用于保护 Premium 试用期（第 6 条）、在更改手机号后用于验证归还被盗账户的请求（见下文安全记录），以及在从备份恢复数据库后用于拦截此前已脱离账户的手机号登录（见下文手机号变更日志）——除此之外，应用不会通过该号码联系任何人，也不会将其与第三方共享，短信验证服务提供商（Twilio，见第 4 条）除外。
• 家庭信息：家庭名称、家庭成员、各成员的角色和设置（零花钱分配比例、货币、家庭语言和时区）以及财务规则的更改历史（谁在何时更改了例如利率、分配比例、货币或时区，以及从什么值更改为什么值）。
• 加入请求：想要加入家庭的人的名字、姓氏、角色和电话号码，以及请求的时间——以便家长知道自己正在批准谁。
• 家长同意请求：请求类型（移除家长或删除整个家庭）、提交人、涉及对象及批准、拒绝或取消人（内部标识符）、时间戳（提交、截止时间、提醒、处理）以及结果（已批准、已拒绝、已取消、逾期执行或已失效）；我们不存储姓名、电话号码或自由填写的文字。家庭中的家长可以在应用中查看这些请求。
• 任务信息：任务名称、积分、完成/批准/拒绝的时间，以及任务要求拍照时的照片，包括照片的技术指纹（见第 3 条）。
• 计划、日常习惯和提醒：任务分配给谁、计划的日期和时间、完成状态、延迟情况、轮换顺序，以及是否已发送提醒。
• 奖励和目标：家庭奖励目录、奖励申请、储蓄目标，以及孩子转入目标的金额。家长概览根据这些数据得出汇总的完成率、及时性和分配均衡度；不会生成公开的孩子排行榜。
• 应用内财务信息：积分、虚拟零花钱及其分配、付款请求、家庭内的借款和利息——这些是应用内部的记录，而非真实的银行或支付信息。应用无法访问任何银行账户或支付卡。 孩子的每月摘要（已批准的任务数量、积分，如果有 Premium 还有当月的金额；不包括盒子余额）对同一家庭的其他孩子也可见，除非父母在家庭设置中将其关闭。
• 直接付款和手动还款记录：当家长在应用中直接向孩子支付其部分余额（未经孩子申请）或手动记录其借款的还款时，服务器会为每笔此类操作保存一条不可更改的单独记录。它包含家庭、孩子以及执行操作的家长的内部标识符、操作类型（直接付款、手动还款）、金额、付款时支出所用的储蓄盒、以及金额明细（付款时分为自有存款部分和已计利息部分，还款时分为本金和利息）、操作时间和随机请求标识符。该记录用于证明家长在应用中记录的内容和时间，以便家庭中出现争议时可以根据记录而非仅凭最终余额进行判断。这是应用的内部记录——应用本身不转移任何资金。这些记录包含在数据导出中（第 7 条），并根据第 6 条保留。
• 订阅：家庭的订阅状态（试用期、Premium、其有效期和续订）以及通过促销代码获得的免费访问权限；服务器仅将促销代码本身保存为 HMAC 指纹，并记录代码管理（谁、何时、什么操作）。我们看不到支付信息——支付由 Apple 或 Google 处理。第 6 节描述了我们作为此类同意之凭证予以保留的关于同意立即开始 Premium 的凭证。
• 登录和安全：各设备的登录会话（创建时间、最后使用时间以及有效期）。家长可以在“我的资料”中看到其已登录设备的概览（仅登录和最后使用时间，无 IP 地址和设备名称），并可以单独将其登出。服务器仅将刷新令牌保存为 SHA-256 指纹，包括已被替换的令牌指纹，以识别被盗令牌的滥用。请求短信验证码时，会保存手机号的键控指纹（HMAC-SHA-256）和一次性挑战的 SHA-256 指纹以及尝试次数，在更改手机号以及确认删除家庭时还保存其目的和账户内部标识符。请求次数限制（包括每日发送短信的限制）是根据 IP 地址或其网络（IPv4 /24，IPv6 /56）、手机号、手机号与网络的组合或账户的键控指纹（HMAC-SHA-256），或者根据国家或手机号前缀计算的。服务器从保存在数据库外部的密钥中派生出这些指纹的密钥，因此如果没有该密钥，无法将指纹还原为手机号或 IP 地址。重要事件（例如登录、加入请求、批准、拒绝或移除成员、新邀请码、设备登出、更改手机号、确认政策、家长代表孩子同意或怀疑令牌被滥用）的安全记录包含事件类型、时间和内部标识符；在移除成员时还包含其角色（家长/孩子），在确认政策和家长同意时包含政策版本，在删除有债务、余额或未处理请求的孩子账户时，还包含货币、注销的金额和未处理请求的数量。更改手机号的记录还包含原手机号的不可逆指纹（带密钥的 HMAC），以便支持团队能够验证归还被盗账户的请求是由原手机号的真正所有者提交的。其中不含姓名、手机号和 IP 地址。此外，手机号的更改以及家庭成员的移除或恢复还会记录在单独的日志中，详见下文“手机号和成员状态变更日志”项。
• 安全通知：当家长通过短信验证码登录时，家庭中的其他家长会收到不含姓名和手机号的通用通知；在每次通过短信验证码登录（家长和孩子）时，同一账户当前已登录的设备也会收到有关新登录的通用通知。更改手机号时（新手机号需通过短信验证码验证），服务器会将该账户的其他已登录设备登出，该账户的现有设备以及家庭中的家长都会收到通用通知；原手机号不再继续保留——仅在更改的安全记录中保留其不可逆指纹（30 天，见第 6 节），在手机号变更日志中保留原手机号和新手机号的不可逆指纹（60 天，见下文和第 6 节），对于在家庭试用期内曾是家庭成员的家长，还根据第 6 节保留其指纹。

当支持团队应账户所有者的请求恢复手机号时，会首先核实其身份：通过发送到原手机号的短信验证码（原手机号的指纹必须与更改手机号记录中的指纹相匹配）。如果无法进行此类验证（更改记录已不存在或所有者没有原手机号），则通过家庭中另一位家长的确认（通过发送到该家长号码的短信验证码进行验证）以及对支持团队所提问题的回答来核实身份；在这种情况下，它会首先向该账户的设备和家庭中的家长发送通知，如果无人提出异议，则最早在 72 小时后归还号码；在整个期限内，您登录后也可以直接在应用中看到此通知。如果没有此类验证，支持团队不会恢复手机号，也不会取消任何请求——只能将该账户在所有设备上登出。如果支持团队在过去 30 天内已经归还过同一账户一次，则会将下一次请求视为争议，并且在没有进一步调查的情况下不会恢复号码。 恢复后，服务器会将该账户在所有设备上登出，家庭中的家长会收到通用通知，且该操作会被记录（操作执行者、时间、涉及的账户以及指向您请求的链接——不含手机号）。 在删除孩子账户、移除其他家长（包括被移除的家长）以及怀疑登录令牌被滥用时，家长也会收到通用通知；在这种情况下，服务器会将该账户在所有设备上登出，并取消其通知注册。 安全通知（例如有关新登录或设备、更改手机号、更改财务规则、移除成员、删除孩子账户或怀疑令牌被滥用的通知）服务器会首先保存到队列中（通知类型、接收者——设备的推送令牌或家庭或账户的内部标识符以及语言——和一般的技术事件类型），然后再从队列中进行发送；支持团队归还被盗账户时的通知（如上）会直接发送。如果经过多次尝试后仍无法向家长或家庭成员账户的设备成功送达通知，服务器仅保存家庭内部标识符、通知类型和时间（无推送令牌和姓名），以便家长在下次登录应用时能够看到是何种通知并可以进行确认；如果接收者没有可以发送通知的设备，则不会生成此类记录。保留期限由第 6 节规定。

• 手机号和成员状态变更日志：除上述安全记录外，对于账户手机号的每次更改（无论是由您本人在“我的资料”中操作，还是由支持团队应您的请求操作）以及家庭成员的每次移除或恢复，服务器都会在日志中保留一条单独的记录。记录包含随机记录标识符、账户和家庭的内部标识符、事件类型（更改手机号、支持团队恢复手机号、移除成员、恢复成员）、事件时间，并且——仅在更改手机号时——包含原手机号和新手机号的不可逆指纹（使用保存在数据库外部的密钥的 HMAC-SHA-256）。移除和恢复成员时没有任何指纹。日志中不含手机号、姓名和 IP 地址。若无密钥，指纹无法逆向还原为手机号，但由于其与账户内部标识符相关联，因此属于假名化数据，而非匿名数据。该日志仅用于防范从备份恢复数据库的后果：防止此前已脱离账户的手机号（且可能已被他人接管）重新回到该账户，并重新应用备份中不包含的家庭成员移除。因此，在通过短信验证码登录和验证手机号时，服务器会将输入手机号的指纹与日志中的最新记录进行比对；若不符，则会拦截登录并引导联系支持团队。记录保存在数据库中，通常在几分钟内还会复制一份到独立的 Cloudflare R2 非公开存储中（第 4 条），以确保在备份之间发生数据库丢失时仍得以留存。保留期限见第 6 条。
• 技术数据：推送令牌和应用为发送通知而创建的随机设备标识符（非硬件标识符），设备的最后注册时间，该注册所属的登录，以及设备用来证明推送令牌属于它的随机安装机密的 SHA-256 指纹。在注册释放后（登出、移除成员、安全封禁或自动清理），服务器会保留两条有时间限制的记录，以防止其他账户接管该设备的通知：(a) 已释放推送令牌的记录——推送令牌的 SHA-256 指纹与安装机密的 SHA-256 指纹、家庭内部标识符和释放时间（因此已释放的令牌无法被其他家庭的账户接管）；以及 (b) 已释放设备的记录——账户内部标识符、随机设备标识符、相同的指纹和释放时间（因此已释放的设备在未能证明属于同一安装的情况下，无法被同一账户的其他登录会话（例如被盗会话）重新占用）。服务器还会将设备注册记录（账户和设备的内部标识符、推送令牌指纹、事件类型和时间）保留 30 天，据此监控 24 小时内的新设备注册上限。保留期限见第 6 条；删除账户时不保留已释放设备的记录。此外还有不含手机号和请求内容的服务器运行记录（例如错误状态）。在手机中，应用将登录令牌保存在安全存储中，并记住选择的语言和主题；它还会将选择的语言告知服务器，以便通知以您的语言发送。应用直接发送给 Expo 和 Sentry 服务的内容见第 4 条。

我们为何处理数据以及法律依据：

• 家庭账户和应用功能（注册、家庭、任务和照片、计划、提醒、奖励、目标、零花钱包括直接付款和手动还款记录、通知和订阅）：履行合同，即使用条款（GDPR 第 6 条第 1 款 b 项）。我们处理直接付款和手动还款记录以及财务规则变更的历史记录，还基于我们在应用中财务操作和规则的可证明性以及解决家庭争议方面的合法利益（GDPR 第 6 条第 1 款 f 项）。我们还在数据库之外处理关于同意立即开始 Premium 的凭证及其副本，这是基于我们证明该同意以及捍卫法律索赔的合法利益（GDPR 第 6 条第 1 款 f 项）。关于孩子的数据见第 5 条。
• 通过短信验证码验证登录：履行合同（GDPR 第 6 条第 1 款 b 项）——没有经过验证的手机号无法登录应用。
• 安全和防止滥用（会话和令牌指纹、短信验证码挑战、请求次数限制和每日短信限制、安全记录、手机号和成员状态变更日志、已释放推送令牌和设备记录、设备注册记录和 24 小时内的新设备注册限制、安全警报队列和未送达警报的记录、运行日志、防止重复享受试用期的手机号指纹、保护家庭免受单方面移除家长或删除家庭影响的家长同意请求，以及支持团队在归还被盗账户时的身份验证（包括此类操作的记录））：我们在安全运行服务、保护家长和孩子账户以及防止短信验证被滥用方面的合法利益（GDPR 第 6 条第 1 款 f 项）。
• 修复错误和应用更新（通过 Sentry 的错误报告、通过 Expo 的更新）：我们在提供稳定和安全应用方面的合法利益（GDPR 第 6 条第 1 款 f 项）。
• 处理您根据第 7 条提出的请求以及我们如何和何时处理的记录（例如已执行删除的状态、已执行删除的日志和外部删除任务）：履行法律义务（GDPR 第 6 条第 1 款 c 项）。
• 在 kimda.app 网站上衡量广告效果（Meta Pixel）：您的同意（GDPR 第 6 条第 1 款 a 项），见第 9 条。

您可以对基于合法利益的处理提出异议（第 7 条）。手机号是注册和登录所必需的；没有它无法使用应用。头像是自愿提供的，完成任务的照片仅在家长要求的任务中才需要。我们不使用具有法律或类似重大影响的自动化决策或分析（GDPR 第 22 条）；例如暂时阻止进一步尝试获取短信验证码的自动安全限制，仅用于保护账户和服务。

3. 任务照片

孩子（或代其操作的家长）为任务上传的照片仅同一家庭的成员（应用中的家长和孩子）可见。照片不公开，应用不会与任何其他应用或社交网络共享。任务照片只能使用应用内的相机拍摄。应用以及随后的服务器在保存前会从照片中移除元数据（例如 GPS 位置或相机数据）。照片存储在非公开的对象存储中（见第 4 条），服务器仅将照片提供给已登录的同一家庭成员。家长可随时要求删除。

对于每张上传的照片，服务器会计算一个技术指纹（校验和以及 64 位的简化图像指纹）。它仅用于让应用识别何时在任务中再次使用了相同或几乎相同的照片，并确保照片属于孩子刚刚在应用中为其拍照的任务。无法从指纹中显示或还原照片，指纹会与照片一起删除。照片的时间挑战记录（谁在应用中请求的、用于哪个任务以及何时请求）将在 7 天后由服务器删除。当照片没有有效的应用时间检查或与之前的照片非常相似时，家长会在照片旁看到警告，以辅助批准；检查并不能保证照片无法伪造。

4. 我们将数据提供给谁以及向欧盟外传输

我们仅将数据提供给为我们提供应用运行服务的提供商（处理者），且仅限于其所需的范围。处理者只能为了向我们提供其服务并根据我们的指示使用数据。Apple 和 Google 在商店购买中作为独立的数据控制者。

• 托管服务提供商（Railway）——运行应用服务器和保存应用数据的数据库。
• Cloudflare——私有对象存储 R2 在非公开的存储桶中保存经加密传输的头像和已完成任务的照片、数据库备份（在发送前进行加密，使其只能使用保存在云外的私钥解密）、已执行删除的日志（仅内部标识符、删除类型和时间）、手机号和成员状态变更日志（第 2 条：内部标识符、事件类型和时间，以及在更改手机号时的不可逆手机号指纹）以及同意立即开始 Premium 的凭据副本（第 6 条：内部家庭和用户标识符、同意时间、所选方案、付费周期开始时间、商店交易标识符和所显示文本的版本）；对照片的访问仍由已登录的 Kimda 后端控制。Cloudflare 还运行 kimda.app 网站（第 9 条）。
• Twilio（通过短信验证码验证手机）——仅为发送和验证短信验证码的目的，接收手机号和您输入的验证码。
• Expo（650 Industries）——首先，发送通知：接收设备的推送令牌、用于通知的安装标识符、Apple 或 Google 的原生令牌、通用的通知文字或表情符号以及通用的技术事件类型。我们不会在推送消息中发送数据库 ID、姓名、任务名称或金额。Expo 会将消息转发给 Apple（Apple Push Notification service）或 Google（Firebase Cloud Messaging）的推送服务。其次，发送应用更新（EAS Update）：应用在每次启动时都会向 Expo 服务器查询是否有可用修复。在此过程中，Expo 会接收设备的 IP 地址、平台、应用版本、已安装更新的标识符、可能导致应用终止的最后一次错误的文本，以及应用永久保存在手机中且登出后也不会改变的随机安装标识符 EAS-Client-ID。我们不会将其与您的账户关联，应用也不会将其发送给我们的服务器。
• Apple 和 Google——作为独立的数据控制者，处理 App Store 和 Google Play 中的订阅购买和管理；作为推送服务（Apple Push Notification service、Firebase Cloud Messaging），向设备发送通知。
• RevenueCat（仅针对家长账户，通过 App Store / Google Play 处理订阅）——处理家庭标识符、购买记录、Apple 收据或 Google购买令牌、最后使用时间以及设备技术信息（例如设备类型和操作系统）。它不会从 Kimda 获得家长或孩子的姓名或手机号。应用中未启用 RevenueCat 的广告/归因集成，也不会手动收集广告标识符。
• Sentry（应用和服务器的技术错误报告，用于修复错误）——接收错误类型、代码中的位置、应用和操作系统的版本。应用和服务器已设置为不向其发送姓名、电话、登录令牌、请求内容或 IP 地址。Sentry 中的 Kimda 组织在欧盟数据区域（德国）进行管理。
• 电子邮件提供商（Spaceship，Spacemail 服务）——发送并保存您发送至 privacy@kimda.app 或 support@kimda.app 的电子邮件。

Railway、Cloudflare、Twilio、Expo、RevenueCat、Sentry、Spaceship、Apple、Google 和 Meta（第 9 条）是总部或背景位于美国的公司，因此也可能在欧洲经济区之外处理数据。对于向欧洲经济区之外的传输，我们采用适用于特定接收方及处理活动的 GDPR 第 V 章下的机制——这通常是接收方在 EU-USA Data Privacy Framework（欧盟委员会关于充分保护的决定，GDPR 第 45 条）下的认证，或欧盟委员会批准的标准合同条款（GDPR 第 46 条第 2 款 c 项）。如果您要求，我们将通过 privacy@kimda.app 向您提供有关特定接收方机制以及在何处可以获取相关保障措施副本的信息。

我们不出售来自应用的数据，不与广告商共享，也不将其用于定向广告。经访问者同意在 kimda.app 网站上进行的广告效果衡量见第 9 条。

5. 家长同意与孩子的角色

只有成年人才能创建应用账户（“家长”角色和新家庭）。“孩子”角色的账户始终只能在使用邀请码加入后才会产生，而邀请码只有家长知道——因此，孩子只有在分享邀请码的家长知情并同意的情况下才能加入。此外，孩子和其他家长的每次加入都必须由家长在应用中明确批准；在批准之前，新成员只能看到家庭的名称。家庭邀请码的有效期为 48 小时，未获批准的请求将在 72 小时后自动删除，被拒绝或取消的请求将立即删除。注册“家长”角色即表示您确认自己已成年，并依法有权同意在应用中处理您孩子的数据。

我们仅在家长创建和管理的家庭账户功能所需的范围内处理孩子的数据，即为了履行与家长的合同（GDPR 第 6 条第 1 款 b 项）。家长作为法定代理人决定孩子的加入：分享邀请码，明确批准孩子的加入，并可随时将孩子从家庭中移除或要求删除其账户。孩子在注册时仅知悉本政策；对其数据处理的同意由家长在应用中批准孩子加入时给予，服务器会记录时间、家长和政策版本。对于由旧版应用批准的孩子，应用会额外向家长请求缺失的同意。如果处理需要同意且孩子未满 15 岁（根据 GDPR 第 8 条和关于个人数据处理的捷克第 110/2019 号法案第 7 条规定的捷克年龄限制），则由家长代孩子给予同意。第 7 条规定的孩子权利可由家长代为行使。

6. 我们保存数据多久

账户和家庭的数据会一直保存，直到用户要求删除账户或整个家庭为止。仅仅长期不使用应用并不会触发自动删除。因此，用户不必为了不失去家庭历史记录而定期打开应用，并且可以随时直接在应用中发起删除，或发邮件至 privacy@kimda.app 提出删除请求。我们将财务规则的更改历史（第 2 条）在家庭存在的整个存续期间予以保存，没有时间或总数限制（家庭每小时最多可保存 30 次财务规则更改），因为其作为谁在何时更改了规则的不可变凭证，例如在家长之间发生争议时；在应用中无法对其进行修改或删除。在删除整个家庭（第 7 条）后，服务器会在下一次清理时将其删除；删除单个成员的账户不会对其进行更改，且仅保留不含姓名的内部标识符。

对于其他各项记录，适用以下期限：

• 短信验证码挑战（手机号和挑战的指纹）：有效期 10 分钟；验证成功后服务器会立即删除，否则最迟在过期后 1 小时内删除。
• 请求次数限制和每日短信限制（指纹）：服务器会在监控期结束后 24 小时将其删除；每日短信限制始终在 UTC 午夜结束。
• 登录会话：登录令牌有效期 15 分钟；会话在不活动 30 天后结束，最迟在 90 天后结束，或因提前登出而结束。服务器会在会话结束后 30 天删除已结束的会话，包括令牌指纹。
• 邀请和加入请求：家庭邀请码的有效期为 48 小时，给其他家长的邀请有效期 24 小时；未获批准的加入请求将在 72 小时后自动删除，被拒绝或取消的请求将立即删除。给其他家长的邀请记录（代码、创建者和使用者）将在其过期、使用或取消 30 天后由服务器删除。
• 数据库中的安全记录（第 2 条）：服务器会在 30 天后自动删除。手机号和成员状态变更日志遵循下文所述的单独期限。
• 手机号和成员状态变更日志（第 2 条）：数据库中的记录由服务器在生成至少 60 天后且仅在将其复制到独立存储后（副本通常在几分钟内生成）删除。对于未能成功复制的记录，服务器在复制成功之前不会将其删除，因此会保留在数据库中超过 60 天。独立非公开存储 Cloudflare R2 中的副本由存储本身在保存 60 天后删除。在删除账户或整个家庭时（第 7 条），服务器会从数据库中删除已删除账户或家庭的日志记录；其在存储中的副本最晚在保存 60 天后失效。
• 照片：未能关联到个人资料或任务的照片，服务器会在 24 小时后删除；照片的时间挑战记录会在 7 天后删除（第 3 条），已删除照片的技术记录（仅内部标识符）会在照片删除 30 天后删除。
• 推送令牌和设备标识符：直到设备登出、成员从家庭中移除或账户被删除，或者直到 Apple 或 Google 将其标记为无效。此外，当应用 90 天未更新设备注册（在每次登录和启动时更新），或者用户超过 30 天没有有效的登录会话时，服务器会自动将其删除。在设备登出（包括在个人资料中远程登出）或其登录结束后，不会向设备发送任何内容。例外情况是部署此版本之前的注册，且应用自那时起未更新过：远程登出一个设备不会断开它们的连接，选择“登出所有设备”则会；否则，服务器将根据上述期限将其删除。服务器在 30 天后，或者在设备重新注册时更早地删除已释放推送令牌的记录（指纹、家庭和时间）。服务器在 91 天后——即最长可能的登录会话有效期（90 天）届满后——或者在同一账户的设备重新注册时更早地删除已释放设备的记录（账户内部标识符、随机设备标识符、指纹和时间）。删除账户时不保留已释放设备的记录；若在开始删除时已经生成，服务器会在删除完成时将其删除。已释放推送令牌记录的期限保持不变。已发送提醒的推送令牌技术指纹仅用于验证送达；服务器在评估送达后将其删除，最迟在发送后 30 天。设备注册记录（账户和设备的内部标识符、推送令牌的指纹、事件类型和时间；第 2 条）将在创建后 30 天由服务器删除，即使您在此期间删除了账户。
• 安全通知队列和未送达的通知（第 2 条）：服务器会在送达后或放弃送达后立即从保存的队列记录中删除通知接收者的数据（设备的推送令牌或家庭或账户的内部标识符以及语言），最迟在通知创建后 7 天；仅家庭的内部标识符（在罕见的数据库错误情况下，也暂时包含账户的内部标识符）可以保留在其中，直到写入未送达通知记录（见下文）。剩余的记录（通知类型、一般的技术事件类型、时间和技术错误消息）将在处理后 30 天删除。家长未送达通知的记录（家庭内部标识符、通知类型和时间，无推送令牌和姓名）将一直保存，直到家长在应用中确认为止；已确认的记录一旦超过 90 天，服务器便会将其删除。不再存在的家庭记录将在下一次清理时删除。
• 保存的财务操作响应：为了防止网络中断后的重复请求将付款、借款或其他财务操作记录两次，服务器会将其响应保存 30 天。操作本身的记录（操作类型、其随机标识符、家庭、操作执行者和涉及成员的内部标识符、请求的 SHA-256 指纹和时间）是财务历史的一部分，并保留至账户或家庭被删除。
• 直接付款和手动还款记录（第 2 条）：与上述在 30 天后删除的保存响应不同，这些记录将保留至涉及的孩子或整个家庭被删除（第 7 条）。
• 规划器重复请求的保存记录：为了防止网络中断后的重复请求两次创建任务计划，服务器会将创建记录（家庭和家长的内部标识符、操作类型、请求的随机标识符、输入计划参数的 SHA-256 指纹、指向已创建计划的链接和时间）保存 60 天。当创建计划的家长账户被删除，以及整个家庭被删除时（第 7 条），服务器也会将该记录删除。
• 删除账户的请求：未确认的删除请求将在 45 天后失效，并最迟在随后的 400 天后被删除；已执行删除的记录（仅内部标识符和状态，无姓名和联系方式）将作为我们已处理您请求的凭证予以保存，保存期限为处理后 3 年。我们在相同范围内（账户或家庭的内部随机标识符、删除类型和时间）保留已执行删除的日志，以便在从备份恢复数据库时重新应用所有后续删除。数据库中的日志记录服务器最早在其创建 180 天后删除，且必须在其被复制到独立存储之后（副本通常在几分钟内生成）；如果未能成功复制该记录，服务器将不会删除它，直到复制成功为止。独立非公开存储中的副本将在保存 60 天后由存储本身自动删除。作为数据库备份一部分的日志加密导出内容，将连同备份一起失效（最晚 30 天后）。
• 家长同意请求：待处理请求的有效期为 14 天；仅当在此期间家庭中新增了家长（在删除家庭的请求中，新家长将获得其自身的 14 天，但最长不超过移除另一位家长后可能的保护期结束），或在从备份恢复数据库后才会延长（删除家庭的请求除外，该请求仅在保护期结束前有效）。在移除另一位家长后的 14 天期限内本应过期的删除家庭请求，将持续到该期限结束，随后失效。在移除另一位家长后的 14 天期限内无法删除家庭；在此期限内提交的删除家庭请求将在其结束后失效。期限结束后，仅剩的一位家长可以直接在“我的资料”中删除家庭。已处理的请求服务器将在 90 天后删除。
• 删除账户或更改手机号后的手机号指纹：为了防止通过删除账户并重新注册来重复获取 Premium 试用期，在家庭试用期内曾是家庭成员的家长删除账户时，以及在此类家长更改手机号时（即使是由支持团队应其请求更改手机号），服务器仅保存原手机号指纹（带密钥的 HMAC）和时间——不保存手机号本身。使用相同手机号的新注册将不再获得试用期。服务器将在 12 个月后删除该指纹。
• 您发送的电子邮件：处理您的疑问或请求以及证明我们如何处理所需的时间。
• 支持团队和管理操作记录：数据库中的操作记录（操作类型、执行者、时间、涉及的家庭以及请求编号——不含姓名和手机号；我们以此方式记录支持团队恢复手机号和登出设备、应请求导出家庭数据以及促销代码和免费访问权限的管理）服务器会在 3 年后自动删除。支持团队请求日志（请求编号、日期、账户内部标识符、身份验证方法和结果——不含手机号）我们在数据库外对其进行加密保存，并同样保留 3 年，作为我们如何处理请求的证明。

托管服务的生产环境运行日志和安全日志最多保存 30 天。应用和服务器的技术错误报告由 Sentry 最多保存 90 天，以便我们能够排查并修复在应用新版本发布后才出现的错误；Sentry 可能存在的运行备份最晚在其创建后 90 天失效。数据库备份每天生成，在从生产环境发送前进行加密，并在生成 30 天后删除，因此之前删除的数据在其中最多保留 30 天；它们不用于对已删除账户的常规恢复。如果我们必须从备份中恢复数据库，我们将根据删除日志重新应用在备份生成后执行的删除操作。托管服务、数据库和存储空间的设置必须以技术手段强制执行这些期限，运营者也会定期检查。

如果无法立即完成在外部订阅服务提供商处的记录删除，Kimda 会在删除媒体文件后毫不迟延地将本地保存的个人数据匿名化。为了能够安全地重试向外部发出的请求，仅保留内部随机生成的家庭标识符和删除的技术状态，而不保留姓名或手机号。该外部删除任务的记录（内部家庭标识符、服务提供商名称、尝试次数、时间以及最后一次错误的错误代码，无姓名和手机号）将在其完成后 90 天由服务器删除；未完成的任务将被保存，直至其完成。

我们会将同意立即开始 Premium 的凭据（内部家庭和用户标识符、同意时间、所选方案、付费周期开始时间、商店交易标识符、购买尝试的内部标识符以及所显示文本的版本）保留在潜在争议中证明此同意所必需的时间，标准为做出同意后 3 年。期限届满后，该凭据将以受控方式被删除。该凭据不会与账户或家庭一起被删除（第 7 条）。我们还会将其副本（不含购买尝试的内部标识符）保存在单独的 Cloudflare R2 非公开存储中（第 4 条），以确保该凭据在备份之间的数据库丢失中幸存下来；该存储会在其保存 1125 天后自行将其删除。

7. 您的权利

您有权：

• 访问应用保存的有关您和您家庭的所有数据（GDPR 第 15 条），
• 更正不准确的数据（GDPR 第 16 条）——在新手机号通过短信验证码验证后，您可以在“我的资料”中自行更改手机号；如果您失去了对账户的访问权限（例如由于其他人在已登录设备上更改了号码），我们将在验证您的身份后根据您的请求予以更改，
• 删除单个成员的账户（GDPR 第 17 条）——直接在应用中（我的资料 → 删除账户）操作后，应用会不可逆地删除或匿名化姓名、电话、照片和推送令牌，并删除您上传的所有照片；对于孩子的账户，也会删除家长代其上传的任务照片。之后该账户将无法再登录，也不会留下姓名或联系方式。在任务和付款历史中，只保留家庭其余成员账目衔接所必需的记账事实（积分、金额、状态和时间）；自由填写的备注将被删除，任务和目标的名称将被替换为中性值。这些历史记录不会被删除，因为它们仍与家庭其他成员相关联（否则他们之间的账目将无法衔接），但仅与无姓名和联系方式的记录关联。该孩子的直接付款和手动还款记录（第 2 条）将随孩子一同删除。手机号和成员状态变更日志记录（第 2 条）将由服务器从数据库中删除；其在独立存储中的副本最晚在保存 60 天后失效。如果孩子有债务、余额或未处理的请求，应用会在删除前向其显示将失去的金额，并且必须明确确认删除；之后家长会收到通用通知。被家长从家庭中移除的成员，可以在应用中通过短信验证码验证后，自行永久删除其账户并释放其手机号，
• na 级联删除整个家庭——当家长明确确认删除整个家庭时，我们会将所有成员匿名化，删除他们的照片，并将自由填写的文字以及自定义任务、目标和奖励的名称替换为中性值；我们还会删除家庭的直接付款和手动还款记录（第 2 条）、家庭财务规则变更的历史记录（在下一次清理时）及其成员的手机号和成员状态变更日志记录（独立存储中的日志副本最晚在保存 60 天后失效）。移除其他家长需要相关家长的同意：明确拒绝将中止该操作，若无回应则将在 14 天后执行。在有其他家长的家庭中删除整个家庭，需要每位其他家长的明确同意；如果没有所有人的同意，该请求将在 14 天后被取消且该家庭不会被删除。在过去 14 天内移除了另一位家长的家庭，最早只能在其被移除 14 天后删除。已删除家庭的会计记录（包括孩子们的余额、贷款和储蓄状态）最迟将在删除后 30 天内从运行数据库中删除；在加密备份中，它们最多可能保留额外的 30 天，直至备份被删除。关于同意立即开始 Premium 的凭证不会随家庭的删除而删除（第 6 节）。不含个人数据的合作伙伴代码使用情况之匿名化记录予以保留，用于合作伙伴登记及防范滥用。删除媒体文件后，即使 RevenueCat 暂时不可用，本地的匿名化处理也会照常完成；随后向外部发出的请求会仅凭内部家庭标识符安全地重试。RevenueCat 以异步方式执行删除。这不会取消由 App Store 或 Google Play 管理的订阅——家长必须在相应商店的设置中另行取消，
• 限制处理（GDPR 第 18 条）——例如当您对数据的准确性提出异议时，在我们核实期间，
• 数据可携性（GDPR 第 20 条）——我们将以结构化、常用且机器可读的格式（例如 JSON）向您提供您提供给我们且我们基于合同处理的数据，或者在技术可行的情况下，根据您的要求将其传输给其他数据控制者，
• 对基于我们合法利益（第 2 条）的处理提出异议（GDPR 第 21 条）——除非我们能证明存在凌驾于您的利益、权利和自由之上的令人信服的合法理由，或者处理是为了建立、行使或捍卫法律索赔，否则我们将停止处理，
• 随时撤回同意（GDPR 第 7 条第 3 款）——您可以通过网站页脚的“Cookie 设置”链接撤回对网站上广告效果衡量的同意（第 9 条）；撤回不影响撤回前的处理，
• 向监管机构提出投诉（GDPR 第 77 条）——在捷克共和国，监管机构为个人数据保护办公室（Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7，网站 uoou.gov.cz）；您也可以向您居住或工作所在欧盟成员国的监管机构提出。

请将请求发送至 privacy@kimda.app。为了不将数据提供给其他人或错误删除，我们会首先验证请求是由账户所有者提出的（例如通过与账户关联的手机号进行确认）；请绝对不要向我们发送登录短信验证码。唯一的例外是标有“Kimda obnova účtu”的短信验证码，支持团队仅在回复您自己提出的找回被盗账户的请求，或您自己对家庭中其他家长此类请求的确认（第 2 条）时才会要求您提供；即使在这种情况下，也请仅将验证码提供给支持团队，绝不要提供给其他家庭成员。支持团队仅通过 support@kimda.app 发送包含您请求编号的电子邮件来向您索要此验证码，绝不会通过电话或其他家庭成员索要。我们通过以 JSON 格式导出家庭数据来处理访问或数据可携性请求（不含登录令牌及其指纹，以及安全记录中仅用于验证找回账户请求的原手机号指纹，且不含仅用于防范手机号被接管的手机号和成员状态变更日志；导出包含直接付款和手动还款记录（第 2 条）；对于照片，包含根据第 3 条的技术指纹，照片本身可应要求单独提供）；我们会记录每次导出（谁准备的、何时以及基于什么请求）。我们会应要求向您提供手机号和成员状态变更日志中的事件数据（类型和时间，不含指纹）。我们将在没有不当迟延的情况下，最迟在一个月内予以答复；在复杂情况下，我们可将期限再延长两个月，并会及时通知您。孩子的权利可由家长作为法定代理人代为行使。

8. 安全

应用不使用密码（仅通过已验证的手机号登录）。访问受有效期为 15 分钟的短期登录令牌和服务器仅作为指纹保存的刷新令牌保护；如果证实已替换的刷新令牌被重复使用，服务器会将该账户在所有设备上登出，取消其通知注册，写入安全记录并通知其他家长。在生产环境中，应用与服务器之间的通信通过 HTTPS 进行。照片存放在非公开的存储空间中，后端在提供照片前会验证账户及其是否属于同一家庭。数据库备份在传输前进行加密，且只能使用保存在云外的私钥解密；促销代码在数据库中仅作为 HMAC 指纹保存，密钥在数据库外，我们记录促销代码的管理。手机号、令牌和请求内容不会记录在服务器的运行日志中。

9. kimda.app 网站与 Cookie

本条仅适用于 kimda.app 网站的访问者，不适用于应用的使用。网站运行在 Cloudflare 网络上，Cloudflare 在每次访问时都会在技术上处理 IP 地址和浏览器信息，以便传送页面并保护其免受攻击；网站的诊断记录由 Cloudflare 最多保存 3 天。根据浏览器语言（对于下载链接，还根据设备类型），网站会将您重定向到合适版本的页面。法律依据是我们对安全和功能性网站的合法利益（GDPR 第 6 条第 1 款 f 项）。网站仅在您的浏览器中（localStorage）记住您选择的主题。您关于 Cookie 的决定保存在 localStorage 以及一个严格必要的技术性 Cookie kimda-consent-proof（有效期 180 天）中，该 Cookie 仅包含选择的类型和决定的时间，不含任何个人或账户标识符。浏览器在技术上会随向网站发出的每个请求一起发送该 Cookie；服务器不会对其进行评估，它仅供您浏览器中的脚本用于确认同意未被撤回。该 Cookie 无需征得同意，也不用于衡量或广告。

只有当您在网站的提示栏中选择“同意”时，网站才会加载 Meta Platforms Ireland Limited 公司的 Meta Pixel。Meta Pixel 会在浏览器中存储 Cookie（例如有效期最长 90 天的 _fbp），并向 Meta 发送有关访问的信息：所访问的页面、IP 地址、浏览器信息和 Cookie 标识符。我们借此衡量 Facebook 和 Instagram 广告的效果。法律依据是您的同意（GDPR 第 6 条第 1 款 a 项以及关于电子通信的捷克第 127/2005 号法案第 89 条第 3 款）。对于这些数据的收集和传输，我们与 Meta 共同承担责任；其后续处理，包括可能依据欧盟—美国数据隐私框架（Data Privacy Framework）向美国进行的传输，由 Meta 作为独立的数据控制者按照其政策（facebook.com/privacy/policy）进行。我们绝不会将来自应用、账户或家庭的数据发送给 Meta。

未经同意，Meta Pixel 根本不会加载。您可以随时通过网站页脚中的“Cookie 设置”链接撤回同意；之后网站会删除 Pixel 的 Cookie，并不再加载 Pixel。

如果您通过测试者页面加入 Google Groups 的测试者群组，群组管理员将看到您 Google 账户的电子邮件；我们仅将其用于测试应用以及在 Google Play 中访问其测试版本。iPhone 的测试版本由 Apple 通过 TestFlight 分发。在此过程中，Google 和 Apple 作为独立的数据控制者根据其政策处理数据。法律依据是您参与测试的请求（GDPR 第 6 条第 1 款 b 项）。电子邮件将保留在群组中，直到您退出群组或测试结束。

10. 本政策的变更

对本政策的任何重大变更，我们都会通过应用和 kimda.app 网站通知您。应用会识别您同意的政策版本：它会要求家长确认新版本（并在必要时代表孩子同意），孩子则会知悉该版本。我们会记录确认的时间和版本。

11. 联系方式

隐私相关问题：privacy@kimda.app