隐私政策

我们对您隐私的承诺

在 rumi.coach，隐私不仅仅是一个法律上的勾选框——它是整个产品赖以建立的基础。我们要求您坦诚地谈论您的内心生活、您的目标、您的恐惧和您的挣扎。这需要一个完全信任的环境。本隐私政策详细解释了我们收集什么、为什么收集、不收集什么，以及您如何始终保持控制权。

本政策适用于您使用 rumi.coach 网站、网络应用程序、iOS 应用程序和 Android 应用程序（统称为“服务”），这些服务由 RUMI LABS, LDA 运营，该公司是一家在葡萄牙注册的私人有限公司，注册办事处位于 Travessa Velha do Picoto 125, 3700-638 Cesar（“rumi.coach”、“我们”或“我们的”）。

rumi.coach 是本政策中描述的个人数据的 数据控制者，根据法规 (EU) 2016/679（通用数据保护条例，“GDPR”）的定义。

1. 我们收集哪些数据以及为何收集

1.1 您在账户注册时提供的数据

当您创建 rumi.coach 账户时，我们会要求您提供以下信息：

注册时，我们不要求您提供完整的法定姓名、电话号码或家庭住址。您的首选姓名是我们唯一持有的姓名。（您可以选择稍后添加电话号码 — 参见1.2节。）

您如何登录： 您可以使用电子邮件地址或电话号码登录，在这种情况下，我们会通过电子邮件或短信向您发送一次性代码，并且根本不存储密码，或者使用 通过 Apple 登录 或 Google 登录。如果您使用 Apple 或 Google，我们将收到电子邮件地址，在您允许的情况下，还会收到该账户持有的姓名 — 不会从您的 Apple 或 Google 个人资料中获取其他任何信息。通过 Apple 登录允许您将真实地址隐藏在 Apple 的私人中继服务之后，如果您这样做，中继地址将是我们唯一持有的地址。

您在注册时同意的事项： 创建账户需要您接受我们的条款和条件，并单独确认您理解您正在与一位人工智能教练对话 — 您的语音音频被发送到我们的服务器，并在 Google Cloud 内部由我们的服务处理，以便 Rumi 可以大声回复，并且您所说的话将作为记忆保存到您的个人资料中。营销电子邮件是第三个完全可选的复选框。我们会在您的账户中记录这三项决定的日期和时间。如果您使用 Apple 或 Google 登录（这将跳过注册表单），在使用服务之前也会被要求确认这三项。

1.2 使用服务期间收集的数据

语音会话音频： 您的语音在会话期间实时处理，以便 Rumi 能够理解您并大声回复。音频本身永不存储。它在内存中处理，并在您的会话结束时立即消失 — 我们不保留任何会话的录音。您说话时，词语会被转录，因为这是教练理解您的方式，但转录文本也不会被保留：它只存在于会话期间。会话结束后保留的内容将在下一段中描述，在您首次会话之前，应用会要求您同意这一点。

记忆： 根据您所说的话，我们会将简短的书面笔记保存到您的个人资料中 — 那些关于您的目标、情况以及对您重要的事情。这些是存储的文本，而非音频，它们使 Rumi 的辅导随着时间的推移变得个性化，而不是每次会话都从零开始。您可以从 Settings → Manage Data 中单独删除您的记忆，而无需删除其他任何内容，当您删除账户时，它们也会被擦除。

会话回顾和洞察： 在会话结束时，我们会保留一份简短的书面回顾以及从中得出的洞察，以便您可以回顾您所做的工作。这些信息存储在您的账户中，您可以随时删除它们。

会话输出（仪表板数据）： 您的会话期间生成的结构化输出 — 例如习惯列表、目标路线图、优先级和反思 — 存储在您所选的 Google Cloud 区域的账户中，并在您的可视化清晰仪表板（Visual Clarity Dashboard）中可见。您可以控制这些数据，并随时删除其中任何或全部内容。

会话元数据： 我们存储有限的会话技术元数据，包括会话日期、持续分钟数以及从您的余额中扣除的分钟数。这是为了准确管理您的分钟配额和账单所必需的。

电话号码： 电话号码可以作为您登录的方式 — 我们会通过短信发送一次性代码，您输入该代码而非密码。如果您的电话号码是您的登录标识符，我们持有它，因为没有它服务就无法让您登录（履行合同）。您也可以将电话号码添加到您通过其他方式创建的账户中；在这种情况下，我们仅根据您的同意（第6(1)(a)条）将其用于向您发送与服务相关的短信，并且您可以随时在您的账户设置中将其删除，这将撤回该同意。无论哪种方式，我们从不将您的电话号码用于广告目的，也从不与广告商共享。

支付信息： 我们从不查看或存储您的支付卡详细信息。在 iOS 或 Android 应用内进行的购买由 Apple 或 Google 根据其各自的隐私政策进行计费，我们收到的只是购买或续订已发生的确认 — 没有卡号，没有后四位数字，没有账单地址。在我们网站上进行的购买由 Paddle 作为商家记录进行计费。RevenueCat 接收购买确认以跟踪您的账户有权享受的服务；它从不处理支付。

1.3 自动收集的数据

当您访问我们的网站或使用服务时，我们会自动收集：

日志和设备数据： IP 地址、浏览器类型和版本、操作系统、设备类型、访问页面和时间戳。此数据用于维护服务安全和诊断技术问题。

分析数据（Google Analytics）： 我们使用 Google Analytics 来了解访问者如何使用我们的网站（而非应用内体验）。Google Analytics 收集的数据包括访问页面、页面停留时间、大致地理位置（来源于 IP 地址）以及设备/浏览器信息。此数据经过聚合，仅用于改进网站。我们已在 Google Analytics 配置中启用了 IP 匿名化功能。

应用内产品分析（PostHog、Mixpanel、Firebase Analytics）： 为了了解应用实际使用情况以及用户遇到的困难，我们记录您打开了哪些屏幕以及采取了哪些操作 — 例如会话开始、看到付费墙、创建承诺。除了这些事件，我们还会发送您的账户标识符和一份小型个人资料：您选择的教练和语音、性别、一个年龄段而非您的出生日期、语言、国家、数据区域、主题、重点领域、设置是否完成以及您何时注册。

应用内分析永不接收的内容： 您的会话内容。任何音频、转录文本、记忆或仪表板文本都不会发送给分析提供商 — 这些事件只包含发生了某事的事实，而不包含任何所说内容。

崩溃和诊断数据（Firebase Crashlytics）： 如果应用崩溃，我们将收到崩溃报告 — 设备型号、操作系统版本、应用版本和技术堆栈跟踪 — 以便我们能够修复它。

推送通知（Firebase Cloud Messaging）： 如果您允许通知，您的设备将获得一个推送令牌，我们将其存储在您的账户中，并用于向您发送提醒和会话提示。在您的设备设置中关闭通知即可停止此功能。

2. 数据存储和位置

创建账户时，您可以选择存储个人账户数据的位置：

• 欧洲： Google Cloud europe-west1 (比利时)
• 美国： Google Cloud us-central1 (爱荷华州)

您的选择决定了您的账户数据 — 您的仪表板输出、记忆、会话回顾、会话元数据和账户资料 — 以及您的语音会话实时处理的区域的主要存储位置。我们使用的AI服务在这两个区域的Google Cloud内部运行，因此您的会话将从您选择的区域提供。这是每个账户的永久设置。如果您希望更改您的数据区域，您必须通过support@rumi.coach联系我们；这将需要删除您当前的账户并创建一个新账户。

无论您选择哪个区域，语音音频绝不会写入任何存储系统。它会到达我们在Google Cloud内部的后端，在内存中处理，并且不会离开Google Cloud。

Google Cloud已通过ISO 27001和SOC 2认证，并根据符合GDPR要求的数据处理附录处理数据。

3. 国际数据传输

如果您选择将数据存储在美国（爱荷华州），您的个人数据将被传输到美国并在美国处理，欧盟委员会尚未认定美国提供与欧盟同等水平的数据保护。

为确保您的数据受到保护，我们依赖欧盟委员会标准合同条款（SCCs）作为在美国区域处理数据的合法传输机制。您可以通过联系我们获取适用的SCCs副本，联系方式：support@rumi.coach。

如果您选择欧盟（比利时）区域，您的数据将不会离开欧洲经济区。

4. 处理的法律依据 (GDPR)

我们仅在符合 GDPR 的合法依据下处理您的个人数据。适用的依据包括：

• 履行合同 (第 6(1)(b) 条)： 为您提供服务所必需的处理 — 账户管理、会话交付、Dashboard、账单。
• 法律义务 (第 6(1)(c) 条)： 法律要求的处理 — 年龄验证、增值税记录、消费者权利合规。
• 合法权益 (第 6(1)(f) 条)： 为我们的合法商业利益所必需的处理 — 欺诈预防、安全监控、服务稳定性 — 且这些利益不被您的权利所推翻。我们会在每种情况下仔细权衡我们的利益与您的隐私。
• 同意 (第 6(1)(a) 条)： 当我们依赖您的同意时 — 如下所述的您语音的 AI 处理、营销电子邮件、可选电话号码、网站上的 Google Analytics Cookie — 您可以随时撤回该同意，且不影响撤回前处理的合法性。

您语音的 AI 处理基于您的同意。 在您首次会话之前，您必须通过一个独立的复选框（与接受条款分开）确认您了解您正在与一个 AI 辅导系统对话，您的语音音频被发送到我们的后端并在 Google Cloud 中由我们的服务处理，以便 Rumi 可以出声回复，并且您所说的话将作为记忆保存到您的个人资料中。在此之前，任何会话都无法开始，并且该同意的日期和时间将记录在您的账户中。您可以通过删除账户来撤回该同意，删除账户也会清除您的记忆；撤回同意意味着无法再提供服务，因为与 AI 辅导教练对话是整个服务的核心。

我们有意最小化敏感数据：您的语音音频绝不存储，我们不进行生物识别，我们不使用您的语音来识别您，我们也不建立健康档案或推断您的健康相关特征。然而，您在会话中选择说出的内容 — 以及您选择保存到 Dashboard 的任何反思 — 可能会揭示您的情绪健康信息。如果您提供的内容包含特殊类别数据 (GDPR 第 9 条)，我们仅在您创建账户时给予的明确同意 (第 9(2)(a) 条) 的基础上处理，以向您提供服务。您可以随时通过删除相关内容或您的账户来撤回该同意。

5. 我们如何使用您的数据

我们仅将收集到的数据用于以下目的：

• 提供和维护服务：提供语音辅导课程、生成仪表板输出、管理您的账户并处理账单。
• 管理您的分钟余额：跟踪会话时长并从您的配额中扣除分钟数。
• 客户支持：回复您的问题并解决您向我们提出的问题。
• 服务安全和欺诈预防：检测并防止未经授权的访问、滥用或欺诈性使用服务。
• 法律合规：履行我们在葡萄牙、欧盟和适用税法下的义务。
• 网站分析：了解访问者如何使用我们的公共网站以进行改进（通过 Google Analytics，经您同意）。
• 应用内产品分析：了解哪些功能被使用以及用户在哪里遇到困难，以便我们改进应用（通过 PostHog、Mixpanel 和 Firebase Analytics，且绝不包含您的会话内容）。
• 崩溃诊断：接收崩溃报告，以便我们修复缺陷（通过 Firebase Crashlytics）。
• 通知：如果您允许通知，则向您的设备发送提醒和会话提示（通过 Firebase Cloud Messaging）。
• 服务通信：向您发送交易性电子邮件，例如订阅确认、付款收据、分钟余额警告和政策更新。

我们不将您的数据用于：

• 广告或再营销
• 出售给任何第三方
• 训练 AI 模型（您的会话不会用于训练任何模型，包括驱动 rumi.coach 的 AI）
• 用于产生法律或重大影响的自动化决策的画像分析

6. 我们与谁共享您的数据

我们不出售您的个人数据。我们仅在以下有限情况下共享您的数据：

服务提供商（数据处理者）：我们与少数值得信赖的第三方提供商合作，这些提供商根据严格的合同义务代表我们处理数据：

• Google Cloud Platform — 云基础设施、数据存储以及为会话提供支持的AI服务。我们的后端、您的账户数据和您的记忆都存储在这里，位于您选择的区域（欧盟 — 比利时，或美国 — 爱荷华州），实时语音转录和AI响应生成也在同一区域进行。您的会话音频进入Google Cloud内部的后端并在那里进行处理；它不会离开Google Cloud。它被临时处理以支持您的会话，从不以音频形式存储，也从不用于训练任何模型。
• PostHog, Mixpanel — 应用的产品分析：包括哪些屏幕和操作，以及第1.3节中描述的小型账户资料。绝不包含您的会话内容。
• Google (Firebase Analytics, Crashlytics, Cloud Messaging) — 应用分析、崩溃报告和推送通知投递。
• RevenueCat — 订阅状态管理
• Google Analytics — 网站分析（匿名化，经您同意cookie使用）
• SMTP2GO and SendGrid — 电子邮件投递（一个作为另一个的备份）
• Twilio — 短信投递：如果您通过电话登录，提供一次性登录码；如果您向账户添加了号码，提供服务消息。

所有处理者均受符合GDPR的数据处理协议约束，并且只能为我们指示的特定目的处理您的数据。他们中的每一个都合同要求按照本政策中规定的相同标准（相同或同等水平的保护）保护您的数据，并且不允许他们将您的数据用于自身目的、出售数据或用其训练自己的模型。当使用处理者时，我们仍然是控制者，并对处理者如何处理您的数据对您负责。

支付平台（独立控制者）：购买通过Apple（App Store）、Google（Google Play）或Paddle（网站购买的记录商家）计费。这些平台根据其自身的隐私政策处理您的支付和账单数据，rumi.coach绝不接收或存储您的任何支付卡详细信息。如果这些平台在EEA之外处理数据，它们将根据其自身的GDPR传输保障措施进行处理。

法律要求：如果法律、法院命令或其他法律程序要求，或者为了保护rumi.coach或他人的权利、安全或财产所必需，我们可能会披露您的数据。如果法律允许，我们将在任何此类披露发生时通知您。

业务转让：如果发生合并、收购或我们业务的全部或部分出售，您的数据可能会作为该交易的一部分进行转让。我们将提前通知您，并且您在本政策下的权利将继续适用。

7. 数据保留

我们仅在为收集您的个人数据所必需的期限内，或法律要求的情况下，保留您的个人数据。

当您删除账户时，您的记忆、会话回顾、仪表板输出和个人资料详情会作为该请求的一部分立即擦除，并且在任何情况下，所有个人数据都将在30天内永久删除，除非法律要求我们保留（例如用于税务目的的付款记录）。保留的是不包含任何内容的会话记录 — 其日期、时长和消耗的分钟数 — 我们将其作为业务和账单记录保存，并且不再识别您的身份。

8. Cookie

我们仅在我们的公共网站上使用Cookie。除了用于身份验证和会话安全所必需的Cookie外，我们不会在辅导应用程序内部使用任何其他Cookie。

绝对必要的Cookie：网站和应用程序正常运行所必需的——身份验证、安全令牌、会话状态。这些无法禁用。

分析Cookie（Google Analytics）：用于了解访问者如何浏览我们的公共网站。这些Cookie仅在您通过我们的Cookie横幅同意后才会放置。您可以随时通过Cookie设置撤回或更改您的同意。

我们不使用广告Cookie、跟踪像素或任何第三方营销Cookie。

我们使用的Cookie有：

以上Cookie持续时间是指Cookie在您的浏览器中的最长生命周期。分析数据本身由Google Analytics保留长达14个月（参见第7节）。

9. 您在GDPR下的权利

作为GDPR下的数据主体，您拥有以下权利，您可以随时行使这些权利：

• 访问权（第15条）： 请求获取我们持有的您的个人数据副本。
• 更正权（第16条）： 请求更正不准确或不完整的数据。
• 删除权（第17条）： 请求删除您的个人数据（“被遗忘权”），但须遵守我们的法定保留义务。
• 限制处理权（第18条）： 请求我们在特定情况下限制处理您的数据。
• 数据可携权（第20条）： 请求以结构化、机器可读的格式获取您的数据，以便传输至另一服务。
• 异议权（第21条）： 反对基于合法利益的处理，包括任何直接营销。
• 撤回同意权： 如果数据处理基于同意（例如分析Cookie），您可以随时撤回同意。
• 不受自动化决策约束的权利（第22条）： 我们不会做出任何对您产生法律或重大影响的自动化决策。

如何行使您的权利： 您可以通过您的账户设置，或通过以下方式联系我们：support@rumi.coach。我们将在30天内回复。我们可能会要求您验证身份，然后才处理您的请求。

投诉权： 如果您认为我们未能合法处理您的数据，您有权向葡萄牙数据保护机构提出投诉：

Comissão Nacional de Proteção de Dados (CNPD)
Rua de São Bento, 148-3º
1200-821 Lisboa, Portugal
www.cnpd.pt

如果您位于其他欧盟成员国，您也可以联系您居住国的数据保护机构。

10. 数据安全

我们采取适当的技术和组织措施，保护您的个人数据免受未经授权的访问、丢失、更改或破坏。这些措施包括：

• 在 Google Cloud 上对传输中数据 (TLS) 和静态数据 (AES-256) 进行加密
• 访问控制，限制我们团队中哪些人员可以访问个人数据
• 定期安全审查
• 仅在内存中处理语音音频，不对任何存储系统进行写入操作

没有系统是绝对安全的。如果我方发现数据泄露可能影响您的权利和自由，我方将根据 GDPR 第 33-34 条的要求，在 72 小时内通知 CNPD，并及时通知您。

11. 儿童隐私

本服务不面向任何未满16周岁的用户。我们不会故意收集任何未满16周岁用户的个人数据。如果我们发现无意中收集了未满16周岁用户的数据，我们将立即删除该数据并关闭该账户。如果您认为有未满16周岁的儿童创建了账户，请通过support@rumi.coach联系我们。

12. 本政策的变更

我们可能会不时更新本隐私政策。如果我们做出重大变更，我们将在新政策生效前至少14天通过电子邮件通知您。更新后的政策将始终可在rumi.coach/privacy-policy查阅。您在生效日期后继续使用本服务即表示您接受更新后的政策。如果您不同意，您可以在变更生效前删除您的账户。

13. 联系方式

对于任何隐私相关问题、数据主体请求或疑虑，请联系我们：

RUMI LABS, LDA
Travessa Velha do Picoto 125, 3700-638 Cesar
Cesar, Portugal

电子邮件： support@rumi.coach
网站： rumi.coach/support

我们旨在5个工作日内回复所有隐私查询。