隐私政策
要点
- 健康档案只保存在你的手机上。“对你”的分数在手机上计算，我们的服务器收不到你的档案。
- 不注册也能用。只有领取补录奖励和邀请奖励时，才需要用 Apple 或 Google 登录。
- 只有你主动补录商品，并在 App 里同意之后，照片才会上传。
- 不放广告，不出售个人信息，不跨 App 或网站追踪你。
1. 适用范围和我们是谁
查明白（英文名 Gotcha）是一款帮你看懂新西兰和澳大利亚超市商品的 iPhone App，由新西兰的独立开发者 Limeng Wang 运营（地址：48A Seaview Road, Glenfield, Auckland, New Zealand）。本政策中的“我们”指这位开发者，也就是收集并保存本政策所说信息的一方。
本政策说明我们在查明白 App 和官网 chamingbai.com 上如何收集、使用、保存和分享个人信息。我们按照新西兰《2020 年隐私法》（Privacy Act 2020）和其中的信息隐私原则处理你的信息。如果你在澳大利亚使用查明白，我们也按照澳大利亚《1988 年隐私法》（Privacy Act 1988）和澳大利亚隐私原则（Australian Privacy Principles）处理你的信息。
隐私负责人（Privacy Officer）：support@chamingbai.com
2. 我们处理哪些信息
2.1 健康档案：只在你的手机上
你可以在 App 里记录过敏原、不耐受、特殊情况（例如孕期、哺乳期、给孩子或老人买）、健康目标和参考标准。这些信息：
- 保存在这台 iPhone 的钥匙串（Keychain）里，设为“仅限本设备”，不进入 iCloud 备份，也不会随备份转到新手机；
- 只用来在手机上计算“对你”的分数和提醒；
- 不会发送到我们的服务器，我们看不到。
如果以后提供跨设备同步，我们会先更新本政策，并在你开启同步前单独征得你的同意。
2.2 扫码记录和收藏：在你的手机上
扫过的商品和收藏保存在手机上，免费版保留最近 20 条。查询商品时，App 会把条码发送到我们的服务器，以返回商品信息；我们不会按人保存扫码记录。
扫码时，相机画面只在手机上用来识别条码，不会上传。
2.3 商品地区（新西兰或澳大利亚）
App 第一次打开时，会在手机上根据时区和地区设置，判断显示新西兰还是澳大利亚的超市商品；你也可以在“我的”里自己选择。这个判断只在手机上进行。之后查询、搜索、补录和反馈时，App 会带上你选的国家，以便返回那个国家的商品。我们不收集你的位置。
2.4 设备编号
App 会在手机上随机生成一个编号，查询和补录时一起发送。它不是手机的序列号，也不是广告标识符（IDFA）。我们用它来记录游客的补录和奖励、执行免费版每天 10 次补录的上限、防止同一台设备重复领取邀请奖励，以及排查故障。
2.5 账号（可选）
不注册也能扫码、查看商品和补录。需要时（例如购买会员之前），App 会自动建立一个匿名的游客账号，不包含你的姓名或邮箱。
如果你选择用 Apple 或 Google 登录（领取补录奖励和邀请奖励时需要），我们会收到并保存：
- 对方提供的名字、邮箱地址和头像链接（如果有）。使用 Apple 的“隐藏邮件地址”时，我们收到的是 Apple 的转发地址；
- 完成登录所需的账号编号和登录凭证；
- 登录会话记录，包括 IP 地址和设备类型，用来保持登录和防止滥用。
我们收不到你的 Apple 或 Google 密码。如果你用同一个邮箱分别通过 Apple 和 Google 登录，两者会合并为同一个账号。
2.6 购买和会员
订阅和终身会员由 Apple 收款。我们和替我们管理订阅的 RevenueCat 会收到购买记录（哪个方案、购买和到期时间、是否在试用期、是否来自家人共享）和你的用户编号，用来确认会员状态。我们收不到你的银行卡或其他付款信息。
2.7 补录照片：只在你主动补录时
扫到没收录或信息不全的商品时，你可以拍商品正面、配料表和营养成分表来补录。第一次补录前，App 会单独说明照片会发给谁、用来做什么，你同意之后才会上传。
- 照片存放在我们在 Cloudflare R2 的私有存储里，不公开；
- 照片会发给第三方 AI 读取包装上的文字：平时由 Anthropic 的 Claude 处理（只在美国推理）；它不可用时，改由阿里云国际站 Model Studio 处理（数据存放在新加坡区域）。两家都承诺不用照片训练模型，并在 30 天内删除（被它们的安全系统标记的内容最长保留 2 年）。它们在新西兰和澳大利亚境外，可能不需要按照与新西兰《2020 年隐私法》或澳大利亚《1988 年隐私法》相当的标准保护这些信息；
- 识别结果先由你核对，再由我们审核；两位用户对同一商品提交的内容一致时，可能自动通过；
- 审核通过的商品信息（名称、品牌、规格、配料、过敏原声明、营养成分）会向所有用户公开。商品正面照会由 Cloudflare 自动去掉背景、手和人，再由 Cloudflare 的 AI 模型检查有没有残留的人或手；检查通过的才会作为商品图公开，原始照片不公开；
- 每条补录会记录条码、你选的国家、提交时间、设备编号、账号（如果有）、你同意的说明版本、审核结果和奖励状态。
请只拍商品包装，不要拍到人脸、其他人或任何个人信息。你可以随时联系我们，删除你提交的补录照片。
2.8 邀请和奖励
如果你通过邀请链接加入，我们会记录邀请码、你和邀请人的账号，以及你的设备编号，用来给双方发放会员天数，并确保同一台设备只领取一次。奖励记录（天数、来源、状态和有效期）和你的账号或设备编号关联保存。
2.9 反馈和邮件
你在 App 里提交的报错、反馈，或者发给我们的邮件，我们会保存内容、相关的商品条码，以及你的账号、设备编号或邮箱地址，用来处理问题和回复你。请不要在反馈里写不必要的健康信息。
2.10 崩溃报告
App 出错时，会把设备型号、iOS 版本、App 版本和出错时的技术信息发送到 Sentry，用来修复问题。崩溃报告不包含健康档案。
2.11 匿名使用统计
为了了解大家怎么用 App、哪里需要改进，App 会把一些操作记成匿名事件发给我们的服务器，例如：打开 App、扫码是否找到商品（没收录的商品会带上条码，以便优先补充数据）、看了哪一类商品、搜索返回了多少结果（不含搜索的文字）、是否看过会员介绍和购买结果、登录是否成功、补录走到了哪一步。每条事件带有 App 版本、界面语言、你选的国家、iOS 版本和一个随机生成的安装编号。
这个安装编号只用于统计，和你的账号、设备编号（2.4）、补录和反馈都不关联，卸载 App 后会重新生成。使用统计不包含健康档案、“对你”的判断结果、过敏原、搜索的文字、账号信息和位置。
2.12 搜索
搜索商品时，你输入的文字会发送到我们的服务器以返回结果，也会出现在短期保存的服务器日志里（见 2.13）。
2.13 服务器日志
和大多数网络服务一样，处理请求时，我们的服务器（由 Cloudflare 托管）会短期记录 IP 地址、时间和请求的网址，用于安全防护和排查故障。
2.14 我们不收集的信息
- 你的位置、通讯录，以及相册里除你选来补录的照片之外的其他照片；
- 广告标识符（IDFA）。我们不做跨 App 或跨网站的追踪；
- 银行卡和付款信息（由 Apple 处理）；
- 健康档案（只在你的手机上）。
3. 我们怎么使用这些信息
- 提供 App 的功能：查询和翻译商品、补录、会员和奖励；
- 防止滥用，例如执行免费补录上限、防止刷奖励；
- 保障安全、排查故障；
- 用匿名使用统计了解大家怎么用 App，改进功能和补充商品数据；
- 回复你的反馈和请求；
- 履行法律义务。
我们不会把个人信息用于广告，不会出售或出租个人信息，也不会把它用于以上目的之外的事情。
4. 服务商和数据出境
我们只把完成相应功能所需的信息交给下面这些服务商。它们都在新西兰和澳大利亚境外，所在地的隐私法律不一定和新西兰、澳大利亚相同。我们会采取合理措施，要求它们对你的信息提供与本政策相同或同等的保护。
| 服务商 | 用途 | 涉及的信息 | 数据所在地 |
|---|---|---|---|
| Cloudflare, Inc. | 服务器、数据库、照片存储；补录正面照的自动抠图和检查 | 账号、补录（含照片）、奖励、反馈、服务器日志 | 美国公司。数据库和照片存储设在大洋洲区域；请求由离你最近的节点处理 |
| Apple | Apple 登录、App 内购买 | 按 Apple 的隐私政策处理 | 美国 |
| Google 登录（如果你选择） | 按 Google 的隐私政策处理 | 美国 | |
| RevenueCat, Inc. | 管理订阅状态 | 购买记录、用户编号 | 美国 |
| Functional Software, Inc.（Sentry） | 崩溃报告 | 设备信息和出错信息 | 美国 |
| Anthropic, PBC | 读出补录照片上的文字 | 你补录的照片 | 美国 |
| 阿里云 Model Studio（备用） | Claude 不可用时，读出补录照片上的文字 | 你补录的照片 | 新加坡 |
| DeepSeek | 翻译商品名称、简介和配料 | 只有商品文字，不含任何用户信息 | 中国 |
除此之外，只有在法律要求时（例如法院命令），我们才会向政府机构提供信息。如果我们把查明白转到自己注册的公司名下，你的信息会随之转移，并继续受本政策约束。
5. 保存多久
我们只在需要的时间内保存个人信息：
| 信息 | 保存期限 |
|---|---|
| 健康档案 | 只在你的手机上，可以随时在 App 里修改或清除 |
| 扫码记录和收藏 | 只在你的手机上，直到你删除它们或卸载 App |
| 账号信息和登录会话 | 直到你删除账号 |
| 购买记录 | 直到你删除账号。Apple 和 RevenueCat 按各自的规定保存交易记录 |
| 奖励记录 | 直到你删除账号 |
| 防重复领取的邀请记录 | 删除账号后，仍保留不含账号信息的邀请码和设备编号，防止同一台设备再次领取 |
| 补录照片和识别结果 | 审核期间，以及商品资料需要时；你可以要求删除照片。已公开的商品信息会继续保留 |
| 反馈和邮件 | 处理完毕后，保留到不再需要跟进为止 |
| 崩溃报告 | 由 Sentry 自动删除，最长 90 天 |
| 服务器日志 | 最长 7 天 |
| 匿名使用统计 | 单条事件最长 90 天；之后只保留按天汇总的总数（例如每天的扫码次数），不含安装编号 |
6. 安全
- App、官网和服务器之间的连接都使用 HTTPS 加密；
- 健康档案保存在 iPhone 钥匙串里，只在手机解锁时可以读取；
- 补录照片存放在私有存储里，只有审核人员能看到；
- 服务器日志不记录健康档案和照片内容；
- 管理后台只限授权的管理员使用。
没有任何系统能保证绝对安全。如果发生隐私泄露，并且可能造成严重伤害，我们会按新西兰《2020 年隐私法》尽快通知受影响的用户和新西兰隐私专员办公室；涉及澳大利亚用户、并且适用澳大利亚应通报数据泄露制度时，我们也会通知受影响的用户和澳大利亚信息专员办公室（OAIC）。
7. 你的权利和选择
- 查阅：你可以要求查看我们保存的你的个人信息。
- 更正：如果信息有误，你可以要求更正。
- 删除账号：在 App 的“我的”页面可以删除账号。删除后，我们会删除你的账号信息、登录记录、会员记录、奖励记录和邀请码，你的补录也不再和你关联；已公开的商品信息会保留。为防止重复领取，邀请记录会保留，但不含你的账号信息。
- 删除补录照片：发邮件告诉我们，我们会删除你提交的照片。
- 撤回同意：你可以随时在 iPhone 的“设置”里关闭相机权限；不再补录，就不会再上传照片。
- 手机上的信息：健康档案、扫码记录和收藏由你自己掌握，可以随时修改或删除。
删除账号不会取消 Apple 的订阅。取消订阅请打开 iPhone 的“设置”，点你的名字，再点“订阅”。
查阅、更正或其他请求，请发邮件到 support@chamingbai.com。我们可能需要先确认你的身份，并会在法律规定的期限内（最迟 20 个工作日）答复。
8. 家人和儿童的信息
会员可以为家人建立档案，例如孩子或父母。家人档案和你自己的档案一样，只保存在你的手机上。为家人记录健康信息之前，请先告诉对方，并说明这些信息只保存在你的手机上，用来判断商品是否适合他们。
查明白不是给儿童单独使用的。我们不会有意收集儿童的个人信息；如果你认为孩子向我们提供了个人信息，请联系我们删除。
9. 官网
chamingbai.com 不使用 Cookie，也不加载第三方的统计、广告或字体。网站和 App 的服务器一样由 Cloudflare 托管，Cloudflare 会为了安全和送达短期处理访问者的 IP 地址。
10. 政策更新
我们可能会更新本政策。重大变化会在 App 内或官网提前告知；页面顶部的生效日期表示当前版本。
11. 联系我们和投诉
对本政策或你的信息有疑问，请联系隐私负责人：support@chamingbai.com。
如果你对我们的答复不满意，可以投诉：
- 新西兰：新西兰隐私专员办公室（Office of the Privacy Commissioner）：privacy.org.nz；
- 澳大利亚：如果我们在 30 天内没有解决你的投诉，可以向澳大利亚信息专员办公室（Office of the Australian Information Commissioner，OAIC）投诉：oaic.gov.au。