Lulie 隐私政策
生效日期： 2026年10月26日 最后更新： 2026年10月26日
1. 我们是谁
Lulie（“本应用”）由 Bünyamin Mete（土耳其伊斯坦布尔，“我们”）提供。对于本政策所述的个人信息，我们是数据控制者。
- 隐私联系方式：[email protected]
- 欧盟代表（GDPR Art. 27）：未指定；您可以直接向下方的电子邮件地址发送请求
- 英国代表（UK GDPR Art. 27）：未指定；您可以直接向下方的电子邮件地址发送请求
- 数据保护官：未指定
土耳其用户：本应用内的“设置 > 隐私与法律”中另行提供 KVKK 告知书（Aydınlatma Metni）。
2. 摘要
- 您可以以访客身份使用本应用。 我们不会询问您的姓名或电子邮件地址。使用 Apple（或在提供时使用 Google）登录是可选的。
- 您的面部在您的手机上进行测量。 面部特征点在内存中计算，绝不会写入磁盘或发送到任何地方。
- 面部照片保存在您的手机上，以便您逐周进行比较。您可以一键删除这些照片。
- 云端功能是可选的，并且需要您的同意。 如果您在同意页面上同意 AI 解读，(a) 一张照片会被发送给 AI 服务提供商，用于分析您的面部并生成预估图；(b) 您的每周照片会以只有您的手机才能打开的加密形式进行备份。如果您关闭 AI 解读，或者您无法使用该功能（例如您未满 18 岁），任何照片都不会离开您的手机。
- 我们不出售您的数据，不展示广告，也不使用您的面部来识别您的身份。 面部数据绝不会进入分析数据。
3. 面部数据
本节是我们关于面部数据的公开告知和保存期限表，同时适用于《伊利诺伊州生物识别信息隐私法》（BIPA）、《得克萨斯州生物识别标识符采集或使用法》（CUBI）、GDPR Art. 9 以及 KVKK Art. 6 的要求。即使以下处理仅在您的手机上进行，我们也将其全部视为受上述法律管辖的处理。
3.1 设备端测量（始终在您的手机上进行）
当您使用相机时，本应用会使用 Apple 的设备端 Vision 框架在您的面部找出特征点。本应用根据这些特征点在您的手机上计算：
- 一个脸型类别（椭圆形、圆形、方形、心形或长形）及其置信度；
- 四项面部比例数值（例如脸长与脸宽之比以及下颌角度）；
- 照片的颜色和姿态统计数据（例如肤色各通道的中位数、亮度直方图、头部角度）以及一个测量变化值。
特征点坐标本身仅存在于内存中，随后即被丢弃。它们绝不会保存到磁盘，绝不会被备份，也绝不会通过网络发送。
3.2 保存在您手机上的照片
| 内容 | 位置 | 保存期限 |
|---|---|---|
| 每日前后对比照片 | 您手机上的应用存储空间，受 iOS 数据保护功能保护；不包含在设备备份中 | 7 天后自动删除 |
| 每周对比照片（每周一张；第 0 周来自引导流程） | 您手机上的应用存储空间，受 iOS 数据保护功能保护；包含在您的 iOS 设备备份中 | 第 0 周至第 12 周的照片保留至您删除为止。第 12 周之后，仅每四周保留一张；其余照片会在下一周的照片保存时自动删除 |
| AI 预估图（如已生成） | 与每周照片相同 | 直至您删除面部照片 |
| 发送给 AI 的临时副本（如您已同意） | 您手机上的临时文件夹 | 请求结束时删除，并在下次启动应用时删除 |
由于每周照片和预估图属于您的 iOS 设备备份的一部分，它们也会出现在您为手机制作的任何 iCloud 或电脑备份中。这些备份由您和 Apple 在您的 Apple 账户下控制，而非由我们控制。
3.3 加密云备份（仅在您同意的情况下）
如果您在同意页面上同意 AI 解读（或之后在“设置”中开启加密云备份），您的每周照片和预估图会备份到我们的云存储中，以便您更换手机时不会丢失。
- 每张照片在上传前都会在您的手机上使用 AES-256-GCM 进行加密。
- 加密密钥在您的手机上生成，仅存储在您的 iPhone 钥匙串中，以及（如您已开启）您的 iCloud 钥匙串中。我们绝不会收到该密钥。我们和我们的托管服务提供商都无法打开您的照片。
- 在我们的服务器上，我们仅存储加密文件、其大小、校验值和上传时间，并与一个随机设备标识符相关联。
- 如果您丢失了密钥（例如 iCloud 钥匙串处于关闭状态而您更换了手机），任何人（包括我们）都无法恢复该备份。
- 当您手机上的某张每周照片被精简或删除时，其加密副本也会被删除。
- 关闭加密云备份会从我们的存储中删除您所有的加密副本。您手机上的照片会保留。
备份存储在 Cloudflare（R2 对象存储）。请参阅第 7 节。
3.4 AI 面部解读和预估图（仅在您同意的情况下）
如果您同意 AI 解读，以下内容将通过加密（TLS）连接，从您的手机经由我们的服务器发送给 AI 服务提供商：
| 请求 | 发送的内容 |
|---|---|
| 引导流程中的解读（一次；如您选择“重新解读我的脸”则再次进行） | 一张照片（长边最多 1024 px，裁剪至您的面部，已移除位置和相机元数据）、您的脸型类别及置信度、您通常侧睡的一侧 |
| 预估图（每位用户最多两次） | 同一张照片、您的脸型类别、您选择的最多三个面部区域、一个光线质量值 |
| 每周对比 | 本周照片，以及在两张照片质量都良好时的上周照片；您的脸型类别、在您手机上计算出的测量方向，以及之前最多四周的结果 |
我们不会将您的姓名、电子邮件、目标或账户标识符发送给 AI 服务提供商。我们的服务器（一个 Cloudflare Worker）在内存中转发请求，不会保存照片，也不会记录请求正文。
返回的内容：
- 解读结果仅限于一份固定的类别列表（例如面部区域的“平衡”或“紧绷”，或每周对比中的“上升 / 持平 / 下降”）。不包含自由文本。
- 预估图是基于您的照片由 AI 生成的图像。它在本应用中标注为“基于你自己的照片，由 AI 生成。这是预估，不是承诺。”只有在通过您手机上的质量检查后才会显示。
- AI 被指示不得推断您的年龄、种族、宗教、性取向、性别认同或任何健康状况，超出允许类别的输出会被丢弃。
目前使用的 AI 服务提供商：Google LLC (Gemini API)（面部解读和每周对比）以及 Google LLC (Gemini API)（预估图）。您的照片仅为向您提供结果而被处理。我们不存储您的照片。 在付费 Gemini API 下，Google 不会使用这些内容来训练其模型，并且可能仅为检测滥用行为而在有限期限内（最长 55 天）保留请求。
3.5 与账户关联的计划档案
如果您关联了 Apple（或 Google）账户，我们的服务器上会保存一份计划档案，以便您的计划可以在新手机上继续。其中包含：您的目标和所选面部区域、您偏好的练习时间、您的脸型类别及置信度、第 3.1 节所述的四项面部比例数值、AI 解读类别和每周对比结果、计划进度以及您的同意选择。其中不包含照片，也不包含特征点坐标。当您删除账户时，该档案会被删除。
3.6 我们绝不会对面部数据做的事
- 我们不会出售、出租、交易您的面部数据，也不会以其他方式从中获利。
- 我们不会使用这些数据来识别或辨认您，也不会用其验证您的身份。
- 我们不会将其用于广告，也不会将其放入分析数据或崩溃报告中。
- 除第 7 节所列按照我们的指示行事的服务提供商外，我们不会与任何人共享这些数据。
- 我们不会在营销中使用您的照片。如果我们将来希望展示某位用户的前后对比照片，我们会另行征求许可，您可以随时撤回该许可。
3.7 面部数据的保存和销毁期限表
| 数据 | 销毁时间 |
|---|---|
| 特征点坐标 | 立即；从不存储 |
| 每日前后对比照片 | 7 天后自动销毁 |
| 每周照片和预估图（手机上） | 当您点击“删除面部照片”或“删除全部”，或卸载本应用时（您自行制作的设备备份仍由您控制） |
| 加密云端副本 | 精简时与手机上的副本一同删除；当您关闭加密云备份、删除面部照片、删除全部或删除账户时立即删除 |
| 发送给 AI 服务提供商的照片 | 我们的服务器：不存储。服务提供商：我们不存储您的照片；在付费 Gemini API 下，Google 不会使用这些内容来训练其模型，并且可能仅为检测滥用行为而在有限期限内（最长 55 天）保留请求 |
| 脸型、比例数值、解读结果（手机上） | 当您选择“重新解读我的脸”（被替换）或“删除全部”时 |
| 与账户关联的计划档案（服务器） | 当您删除账户时 |
3.8 您的同意以及如何撤回
在使用相机之前，我们会在专门的页面上征求您的同意。如果您未满 18 岁，则无法使用 AI 解读和预估图功能，解读将仅在您的手机上进行。
您可以随时在设置 > 面部数据中撤回同意：关闭 AI 面部解读（停止所有 AI 请求）和/或加密云备份（删除您的加密副本）。撤回同意不影响此前已进行的处理。
我们会保存您的同意选择记录（同意的类型、文本版本、日期和时间、国家和语言，但不包含面部数据），作为同意的证明。请参阅第 9 节。
4. 我们处理的其他数据
| 数据 | 详情 |
|---|---|
| 设备标识符 | 在您的手机上生成并存储在您的钥匙串中的随机 ID。用于关联您的同意记录、加密备份、购买记录和分析数据。“删除全部”会将其替换为新的 ID。 |
| 您的计划和测量数据 | 目标、所选面部区域、练习时间、睡眠侧、咬紧牙关问题的回答、练习历史、测量摘要。仅存储在您的手机上，除非您关联账户（第 3.5 节）。 |
| 账户 | 如果您使用 Apple 或 Google 登录，我们会存储账户标识符的单向哈希值和您所使用的登录服务提供商，以及与之关联的设备 ID。我们不会请求或存储您的姓名或电子邮件。 |
| 同意记录 | 请参阅第 3.8 节。 |
| 设备完整性 | 用于确认请求来自正版应用的 Apple App Attest 密钥；用于防止滥用的短期请求计数器（在 48 小时内过期）。 |
| 通知 | 如果您允许通知：您的推送令牌、国家、语言、时区、通知权限状态、您的“优惠”和“新闻”偏好、订阅状态和方案、练习时间偏好及具体钟点、一个粗略的练习次数区间、安装周、最后活跃周以及应用版本。用于发送提醒，以及（如您选择接收）优惠信息。绝不包含面部数据。 |
| 购买 | 订阅由 Apple 处理。RevenueCat 接收与您的设备 ID（或已关联时的账户哈希值）相关联的购买收据和订阅状态。我们的服务器接收订阅事件（事件类型、产品、价格和以美元计的预估净收入、国家代码、取消原因、环境、时间）。 |
| 分析 | 产品使用事件（例如已完成的页面、尝试的购买、功能使用情况）、设备和应用版本，以及崩溃和性能诊断数据（Apple MetricKit），连同您的设备 ID 发送至位于美国的 PostHog。IP 地址收集和 GeoIP 已关闭。不进行会话录制，不自动捕获点击。不包含面部数据、照片或自由文本。 |
| 广告归因 | 如果您是通过 Apple Search Ads 广告活动安装的本应用，本应用会将 Apple 的 AdServices 令牌发送到我们的服务器，由服务器向 Apple 查询相应的广告活动。我们在分析数据中仅保留广告活动标签和关键词标签（以及国家）。我们不使用 App Tracking Transparency 框架，也不会在其他公司的应用或网站中跟踪您。 |
| 支持请求 | 如果您给我们发送电子邮件，我们会处理您的电子邮件地址和消息内容以便回复您。 |
5. 我们处理您的数据的目的及法律依据
| 目的 | 数据 | 法律依据（GDPR / UK GDPR） | 法律依据（KVKK） |
|---|---|---|---|
| 设备端测量、在手机上存储照片 | 第 3.1、3.2 节 | 明确同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明确同意，Art. 6(2) |
| AI 面部解读和预估图 | 第 3.4 节 | 明确同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明确同意，Art. 6(2)；向境外传输 Art. 9（参见第 8 节） |
| 加密云备份 | 第 3.3 节 | 明确同意，Art. 9(2)(a) 及 Art. 6(1)(a) | 明确同意，Art. 6(2) |
| 提供本应用、计划、账户、同步 | 第 3.5、4 节 | 履行合同，Art. 6(1)(b) | Art. 5(2)(c) |
| 订阅和购买记录 | 第 4 节 | 履行合同，Art. 6(1)(b)；法律义务，Art. 6(1)(c) | Art. 5(2)(c)、5(2)(ç) |
| 提醒和续订通知 | 第 4 节 | 履行合同，Art. 6(1)(b) | Art. 5(2)(c) |
| 优惠通知 | 第 4 节 | 同意，Art. 6(1)(a) | 明确同意，Art. 5(1) |
| 分析、诊断、归因、防止滥用 | 第 4 节 | 合法利益，Art. 6(1)(f)（改进本应用并保障其安全） | 合法利益，Art. 5(2)(f) |
| 同意证明 | 同意记录 | 法律义务 / 合法利益，Art. 6(1)(c)、(f) | Art. 5(2)(e)、5(2)(f) |
6. 自动化处理和 AI 透明度
面部解读、每周对比和预估图均由 AI 生成。它们是用于健康习惯的估计结果，不构成医疗建议，也不会对您产生法律效力或类似的重大影响。预估图由 AI 生成并标注为此类图像；如服务提供商添加了不可见水印或内容凭证，预估图会予以保留。本应用中的部分动作视频同样由 AI 制作，并在发布前经过审核。“设置 > 关于 AI”中列出了我们使用的 AI 服务提供商。
7. 谁会接收您的数据（服务提供商）
我们使用以下服务提供商，他们根据合同代表我们处理数据：
| 服务提供商 | 职能 | 数据 | 所在地 |
|---|---|---|---|
| Cloudflare, Inc. | 服务器（Workers）、键值存储、数据库、加密备份存储（R2） | 设备 ID、账户哈希值、同意记录、推送令牌和分组、订阅事件、加密照片备份；用于 AI 请求的照片仅在内存中经过 | Cloudflare 全球网络 |
| Google LLC (Gemini API) | AI 面部解读和每周对比 | 第 3.4 节 | 美国 |
| Google LLC (Gemini API) | AI 预估图 | 第 3.4 节 | 美国 |
| RevenueCat, Inc. | 订阅管理 | 设备 ID 或账户哈希值、购买收据、订阅状态、优惠偏好属性 | 美国 |
| PostHog, Inc. (US Cloud) | 产品分析和诊断 | 设备 ID、使用事件、诊断数据 | 美国 |
| Apple Inc. | 应用分发、支付、通过 Apple 登录、推送通知（APNs）、App Attest、AdServices 归因 | 各项服务所需的数据 | 美国 |
| Google LLC | 通过 Google 登录（仅在提供且您使用时） | 登录信息交换；我们仅保留账户 ID 的哈希值 | 美国 |
如法律要求，或在本应用发生合并或出售的情况下，我们也可能披露数据；在后一种情况下，本政策将继续适用于您的数据。
8. 跨境传输
我们的服务提供商可能会在您所在国家/地区以外（包括美国）处理数据。当来自欧洲经济区、英国或瑞士的数据被传输到未获得充分性认定的国家时，我们依据欧盟委员会的标准合同条款（以及英国附录），或在服务提供商已获认证的情况下依据欧盟-美国数据隐私框架（EU-U.S. Data Privacy Framework）。对于土耳其用户，向境外传输依据 KVKK 第 9 条，基于您的明确同意以及服务提供商的标准合同条款进行。
9. 我们保存数据的期限
| 数据 | 保存期限 |
|---|---|
| 面部数据 | 第 3.7 节 |
| 您手机上的计划、测量数据、解读结果 | 直至您删除这些数据或删除本应用 |
| 账户记录（哈希值、登录服务提供商、关联设备） | 直至您删除账户；已删除的账户条目在删除 30 天后被永久清除 |
| 账户计划档案 | 直至您删除账户 |
| 同意记录 | 自最后一次变更起 3 年 |
| 推送令牌和分组 | 直至您删除全部数据或删除账户，或自最后一次更新起 180 天 |
| 我们服务器上的订阅事件 | 13 个月 |
| 通知活动日志 | 90 天 |
| App Attest 密钥 | 直至您删除全部数据 |
| 防滥用计数器 | 最长 48 小时 |
| 分析数据（PostHog） | 最长 1 年 |
| RevenueCat 记录 | 在订阅存续期间，以及此后法定保存义务所要求的期限内 |
| 支持电子邮件 | 自最后一封消息起 2 年 |
10. 您的权利和选择
根据您所在的地区，您可能有权访问、更正、删除您的数据，限制或反对对您数据的处理，享有数据可携带权，撤回同意，以及向监管机构投诉。
在本应用中（设置）：
- 删除面部照片： 从您的手机和我们的云存储中删除每周照片、每日照片和预估图。您的测量历史和计划会保留。
- 删除全部： 在您的手机上重置本应用，删除您的加密密钥，并从我们的服务器删除您的加密备份、App Attest 密钥、推送令牌和设备关联；随后会生成新的设备 ID。
- 删除账户（如您已关联账户）：从我们的服务器删除您的账户关联、计划档案、加密备份以及所有关联设备的推送令牌。
- 导出我的数据： 一个包含您的测量摘要、计划、同意记录和面部档案的文件，以及您的每周照片和预估图。
- 删除分析和购买记录： 打开一封包含您设备 ID 的发给我们的电子邮件。我们会在 30 天内删除您在 PostHog 和 RevenueCat 中的记录。
- 您可以随时开启或关闭 AI 面部解读、加密云备份、通知和优惠信息。
通过电子邮件： [email protected]。由于我们不知道您的姓名或电子邮件，我们可能会请您提供本应用中显示的设备 ID，以便找到您的数据。我们会在一个月内（GDPR）或 30 天内（KVKK）答复。
请注意：购买与您的 Apple 账户绑定。在本应用中删除数据不会取消您的订阅；请在您的 Apple 账户设置中取消订阅。
投诉： 您可以向当地的数据保护机构投诉。在土耳其：Kişisel Verileri Koruma Kurumu。在欧盟：您居住国的监管机构。在英国：Information Commissioner's Office。
11. 儿童
本应用的年龄分级为 13+，不面向 13 岁以下的儿童。根据 Apple 年龄范围信号未满 18 岁的用户，或未确认自己已年满 18 岁的用户，无法使用 AI 面部解读和预估图功能。如果您认为有 13 岁以下的儿童使用了本应用，请联系我们，我们将删除我们持有的相关数据。
12. 安全
您手机上的照片受 iOS 数据保护功能保护。云备份在上传前已在您的手机上加密，我们不持有密钥。所有网络流量均使用 TLS。发送到我们服务器的请求会通过 Apple App Attest 进行校验。AI 服务提供商的 API 密钥保存在我们的服务器上，而非应用中。我们的服务器日志不包含请求正文、照片或电子邮件地址。没有任何系统是绝对安全的；如果发生影响您数据的安全事件，我们将按照法律要求通知您和有关主管机关。
13. 美国居民
- 伊利诺伊州、得克萨斯州、华盛顿州以及其他制定了生物识别法律的州： 第 3 节是我们的书面政策和保存期限表。我们在收集任何面部数据之前都会征得您的同意，并且不会出售面部数据或从中获利。
- 加利福尼亚州及其他州的隐私法律： 我们不会出售或“共享”（用于跨情境行为广告）个人信息，也不会使用敏感个人信息来推断您的特征。
14. 我们的网站
我们的网站 lulie.app 不使用 Cookie 或本地存储。
15. 本政策的变更
当我们变更本政策时，我们会更新“最后更新”日期。如果某项变更扩大了我们使用面部数据的方式，我们会在应用该变更之前，在本应用中再次征求您的同意。
16. 联系方式
Bünyamin Mete，土耳其伊斯坦布尔，[email protected]