隐私政策

1. 数据控制者

本服务由个人开发者 HOU CHENG WEI 运营（以下称「我们」），联系邮箱：support@getrelo.app。如对本政策有任何疑问，或希望行使你的数据权利，请通过 App 内「设置 → 帮助与反馈」或发送邮件至 support@getrelo.app 与我们联系。 欧盟用户：根据欧盟《数字服务法》（DSA），我们的交易者联系信息公开于 App Store 的 Relo 页面。我们在欧盟与英国没有营业场所，也没有指定 GDPR 第 27 条规定的代表；欧盟、英国用户的隐私问题与数据请求，请直接发送邮件至 support@getrelo.app。

2. 数据默认存在你的设备上

• 你创建的联系人、标签、互动记录、联系人之间的关系、照片与录音附件（包括你选择保存的名片照片）、联系人头像、提醒、App 偏好设置，以及「我的模板」与常用日子名称，默认只存在你的设备上。「我的名片」（你为自己填写的电话、Email、公司、职位、网站、社交链接与简介）也同样只存在这台手机；开启云端备份时，会与其他数据一起在手机上加密后备份。
• 你可以不登录、以访客身份使用。访客模式不会把你的内容传到我们的服务器，数据只存在这台手机；云端备份、快速新增（名片识别、从图片导入、从文字新增）、见面前重点、QR 分享与扫描、客服反馈与礼包码需要登录。
• 只有在你登录、开启云端备份、使用快速新增或见面前重点、通过服务器中转 QR 分享、联系客服、使用许愿池、兑换礼包码或订阅 Plus 时，才会有相应的数据传到第 3 节所列的服务。
• 照片、录音与头像是手机上的文件。只有在你登录并开启云端备份后，它们才会在手机上压缩、加密，再备份到云端。各方案的备份容量与单个文件大小上限以 App 内显示为准，可能调整，用量可在「设置 → 云端备份」查看；超过上限的文件只会留在原手机上。未备份的文件，在更换手机或卸载 App 时会丢失。
• 提醒通知在你的设备上安排，内容不会传到服务器。
• 自备 AI 密钥（可选，仅限 Plus；此功能开放后才会在 App 中出现）：你填入的 Claude、ChatGPT 或 Gemini 密钥只存放在这台手机的安全存储区，不会上传到我们的服务器，也不会进入云端备份或导出文件；更换手机需重新填写。退出登录不会删除密钥，「清除这台手机上的数据」或删除账号时会一并删除。

3. 我们在服务器上处理的数据

• 账号数据：通过 Google、Apple、LINE 或电子邮件登录时（可用的登录方式因平台与版本而异），由 Clerk 处理的账号标识符、姓名、电子邮件与登录记录。通过 Apple 登录并选择隐藏邮件地址时，我们只会收到 Apple 提供的转发地址。
• 使用记录：登录后每次打开 App 时记录的平台、App 版本、通知权限状态，以及首次与最近打开的时间。
• 云端备份（可选）：在手机上端到端加密后的备份文件（含上限以内加密后的照片与录音文件），以及解锁所需的加密参数（不含你的密码或恢复码）。详见第 5 节。
• 推送：为了发送提醒与通知，我们会存储设备的推送 Token、平台、设备标识符、系统通知权限的开关状态，以及是否同意接收产品消息与优惠。发送任务与加赠提醒时，会记录已发送的提醒（账号、提醒类型与发送时间，不含通知内容），避免重复发送。
• QR 分享中转：数据量较大的联系人 QR 分享，会把加密后的内容暂存在服务器上最多 5 分钟，对方领取一次后立即清除。只分享名称与 Email 的「我的 QR」不经过中转，详见第 8 节。
• 从图片导入：你选择的图片只在该次识别中处理，处理完即丢弃；我们不会把图片或识别结果写入数据库、存储空间或日志，只记录图片张数、识别出的人数、用量数字与错误代码。详见第 7 节。
• 许愿池：你提出的心愿（内容、分类）与投票。这些内容与你的账号绑定，Relo 团队可以看到。
• 客服：反馈内容、回复以及你附加的图片（每条反馈 1 张，在手机上缩小压缩后，存放在不公开的存储空间，只有你与经授权的客服人员能通过短时间有效的链接打开；请避免拍到个人信息）。反馈标为已解决 7 天后，附件图片会自动删除（重新打开反馈则取消删除）；反馈文字与回复保留到你删除账号为止。有新反馈时，系统会通过 Telegram 通知运营者，通知内容包含反馈编号、简短的用户代号与反馈内容的前 40 个字。创建反馈时，App 会自动附上诊断信息：客服标识符（不是账号 ID）、App 与更新版本、系统版本与手机型号、通知权限状态、方案、云端备份状态、App 语言，以及打开表单的界面或错误代码。不会附上姓名、备注、密码、备份密码或恢复码。
• 权益与订阅：兑换的礼包码及其内容（例如 Plus 天数或额外的 AI 使用次数）、权益期限、Plus 订阅的方案、商店、状态、购买与到期时间（由 RevenueCat 通知，见第 11 节），以及快速新增与见面前重点每月的使用次数（只有次数或张数，不含内容）。我们不会获取信用卡或金融账户信息。
• 邀请朋友：你使用邀请码或邀请他人时，我们会记录邀请关系（谁邀请了谁、时间、是否已发放加赠次数）。为防止重复领取，我们会保存设备标识符与 Email 经规范化后的单向哈希值（无法还原成原本的 Email 或设备标识符）；删除账号时邀请记录会一并删除，哈希值不含账号信息，最多保留 2 年后删除。
• 网页删除申请：你在官网填写的电子邮件与备注。
• 管理后台登录记录：有人尝试登录官网的管理后台时，我们会记录 IP 地址与时间，用于防止未经授权的登录。
• 使用数据分析（可关闭）：见第 6 节。

4. 我们不收集的数据

• 语音内容：Relo 不会把你的录音送去识别或交给 AI。
• 生物特征数据：Face ID / Touch ID / 指纹验证完全在你的设备本地执行，Relo 不读取、不存储任何生物识别数据。
• 设备通讯录：Relo 不会读取你手机内置的通讯录。
• 自备 AI 密钥及通过它发送的内容：你使用自己的密钥时，Relo 不会收到你的密钥，也不会经手你发给该 AI 服务的内容及其回复。
• 位置数据：我们不追踪你的地理位置。如果你在互动记录中输入地点，该地点只会与该条记录一起存储在你的设备上（以及你启用的云端备份中）。
• 广告与追踪：我们不收集 IDFA、GAID 或任何广告追踪标识符，不投放广告，也不会跨 App 或网站追踪你。

5. 数据安全与端到端加密备份

• App 与服务器之间的传输均以 TLS 加密；数据库使用行级安全（RLS），每位用户只能访问自己的数据。
• 云端备份免费，在你的手机上用随机生成的密钥加密后才上传；这把密钥再由你设置的备份密码与恢复码保护。Relo 无法获取你的备份密码、恢复码或解密密钥，因此看不到备份内容。备份中的照片与录音也会先在手机上压缩、加密后才上传。
• 如果同时忘记备份密码与恢复码，任何人（包括 Relo）都无法还原你的备份。请妥善保存恢复码。
• 早期（旧格式）创建的云端备份，使用由账号 ID 派生的密钥加密，并非端到端加密。App 会提示你升级为新格式；升级后旧格式即被取代，我们也会逐步停止支持旧格式。
• 未设置备份密码，就不会上传任何联系人数据。
• 联系人之间的关系、我的模板与常用日子名称，与联系人和互动记录一样包含在端到端加密的云端备份中，我们无法读取。自备 AI 密钥存放在手机的安全存储区，不进入云端备份。

6. 使用数据分析与错误报告

• App 内置产品使用数据分析，服务商为 PostHog（美国）。我们可以通过远程开关启用或暂停收集；未启用时不会发送任何分析数据。
• 收集期间，为了了解哪些功能有人使用、用户在哪里遇到困难，App 会发送使用事件（例如打开了哪个界面、注册或登录、新增联系人、记录互动、备份与同步的结果、使用 AI 功能、查看方案与购买结果、App 打开或进入后台），以及 App 版本、系统版本、设备型号、语言与时区；也会附上方案、是否为访客，以及 App 锁、悬浮球、云端备份、桌面小组件等设置是否开启。数量只以区间表示。
• 不会发送联系人姓名、电话、Email、备注、互动内容、地点、照片或录音等联系人内容；只发送事先列入白名单的事件与数量区间。不会保存你的 IP 地址，也不根据 IP 推断你所在的地区。
• AI 功能：使用见面前重点、从文字新增等 AI 功能时，会记录本次由 Relo 的 AI 还是你自己的 AI 密钥处理、是否因密钥无法使用而改用 Relo 的 AI，以及成功或失败的类型；不含密钥、模型名称与任何内容。从图片导入时，如果你在预览页修改字段后选择开启「协助改进识别」（默认关闭，可随时关闭），App 只会上报「哪种格式、哪个字段被修改」，不含图片、姓名、电话、Email 或任何内容。
• 登录后，App 会向我们的服务器获取一个假名 ID（由服务器端密钥对账号 ID 进行哈希生成，无法反推）；未登录或尚未获取假名 ID 时，只使用 App 随机生成的匿名 ID。
• 安装来源（仅 Android）：首次打开时，App 会从 Google Play 的安装来源信息中读取广告活动参数（utm_source、utm_medium、utm_campaign、utm_content），只保留这些参数并发送一次事件，用于了解用户是通过哪个渠道知道 Relo 的。
• 官网（getrelo.app）：使用 PostHog 的无 Cookie 模式，不使用 Cookie 或浏览器存储，也不会识别你是谁。只记录浏览的页面、点击的下载与联系按钮，以及网址中的广告活动参数（utm_*），其他网址参数会先移除；不录制屏幕、不做点击热力图、不根据 IP 推断位置，管理后台不加载。浏览器开启「请勿追踪」（DNT）或「全球隐私控制」（GPC）时，官网不会加载统计程序。
• 数据保存 1 年，不会出售，也不用于广告。
• 默认开启。你可随时在「设置 → 隐私与安全 → 使用统计与错误报告」关闭，不影响任何功能；该设置适用于整台手机，访客模式也适用。
• 错误报告：App 发生错误时，会发送去标识化的错误信息（错误消息与程序调用记录、App 与系统版本、手机型号），同样由 PostHog 处理，并已移除姓名、网址与设备名称。错误报告与使用数据分析共用同一个开关；它使用独立的匿名身份，不会关联到你的账号或分析 ID，因此删除账号时无法逐条找出并删除，会在保存期限（1 年）届满后自动到期。
• 删除账号时，我们会删除 PostHog 中以你账号的假名 ID 记录的使用数据分析数据。以随机匿名 ID 发送的事件（未登录时，或尚未获取假名 ID 时）与上述错误报告无法对应到你的账号，因此不会随账号删除，会在保存期限（1 年）届满后删除。

7. 名片识别、从图片导入与 AI 功能（Anthropic）

名片识别需要登录。首次使用时，App 会先征求你的同意。名片照片会在手机上缩小、压缩后，通过我们的服务器转发给第三方 AI 服务 Anthropic（美国）识别文字，只用于生成联系人字段；Relo 不会在服务器上保存照片或识别结果。如果你开启「保存名片照片」，照片只会存在你的手机上，开启云端备份时与其他照片一样在手机上加密后备份。根据 Anthropic 的商业服务条款，通过 API 发送的内容默认不会用于训练模型，处理方式以 Anthropic 的政策为准。名片上是他人的个人信息，请只扫描你有正当理由保存的名片。每次识别计入快速新增的每月次数，失败不扣次数。你可随时在「设置 → 隐私与安全 → 允许用 AI 读取名片和截图」撤回同意。 从图片导入需要登录，与名片识别共用同一个同意设置：首次使用时 App 会先征求你的同意，之后可在「设置 → 隐私与安全 → 允许用 AI 读取名片和截图」撤回。你选择的图片会先在手机上缩小、压缩，通过我们的服务器转发给 Anthropic（美国），识别其中的名片、展会胸牌、LINE 或 Instagram 个人主页信息，只用于生成供你逐条确认的联系人字段。图片与识别内容只用于这一次请求，处理完即丢弃：Relo 不在服务器上保存图片或识别结果，不写入数据库、存储空间或日志；手机上的临时文件处理完也会删除。只有你在预览页确认创建的联系人数据，才会存入你的 App；如果你开启「保存名片照片」，名片照片只会存在你的手机上。每张图片计 1 次快速新增，识别失败不扣次数。图片中大多是他人的个人信息，请只导入你有正当理由保存的内容。 见面前重点（AI 整理的重点与摘要）也需要登录，首次使用时同样会先征求你的同意。只有在你点击联系人页的「见面前重点」时，App 才会把该联系人的备注、最近的互动记录、公司与职位、认识方式、标签、自定义字段与近期的重要日子（不含姓名、电话、Email、地址与链接；文字中的电话、Email 与网址会先遮蔽；互动中的其他人只计人数，不发送姓名）通过我们的服务器发送给 Anthropic，生成重点后返回到你的手机；Relo 不会保存发送的内容或生成的结果，服务器只记录使用次数。你可随时在「设置 → 隐私与安全 → 允许用 AI 生成见面前重点」关闭。 从文字新增（AI）也需要登录，首次使用时同样会先征求你的同意。只有在你粘贴或分享一段文字（例如 LINE 聊天记录）并点击「开始整理」时，App 才会先在手机上把文字中的电话、Email、网址、LINE ID 与 IG 账号替换成代号，再把其余文字通过我们的服务器发送给 Anthropic，找出文字中提到的人；真实的联系方式不会发送，会在手机上填回。其余文字可能含有他人的姓名与对话内容，请只整理你有正当理由保存的内容。文字只用于该次处理，Relo 不会存储，服务器只记录使用次数；每次计入快速新增的每月次数。 自备 AI 密钥（可选，仅限 Plus；此功能开放后才会在 App 中出现）：你可以在设置中填入自己的 Claude（Anthropic）、ChatGPT（OpenAI）或 Gemini（Google）密钥。使用时，「见面前重点」与「从文字新增」所需的内容（上述联系人数据，或你粘贴的文字）会由你的手机直接发送到你选择的 AI 服务，不经过 Relo 的服务器；发送前，电话、Email、链接、LINE 与 IG 账号会先在手机上替换成代号。该内容的处理适用该服务的条款与隐私政策，Relo 不是该次处理的当事方，不接收也不存储你的密钥或这些内容，费用由你的 AI 账号支付。如果你的密钥无法使用（例如密钥无效、额度用完或服务故障），App 会改用 Relo 的 AI 并扣除一次 Relo 的使用次数，该次内容会按本节前述方式通过我们的服务器转发给 Anthropic。名片识别与从图片导入不使用你的密钥。你可随时在「设置 → 隐私与安全 → 使用自己的 AI 账号」移除密钥或关闭此功能。 使用次数：名片识别、从图片导入（每张图片计 1 次）与从文字新增合称「快速新增」，共用每月次数；见面前重点另有每月次数。各方案的次数以 App 内显示为准，可能调整；兑换礼包码可能获得额外次数，失败不扣次数。 Anthropic 隐私政策：anthropic.com/legal/privacy

8. QR code 分享

分享与扫描 QR code 都需要登录。你可以用加密 QR code 分享自己选择的字段。内容少时，数据完整放在 QR code 中，在两台手机上直接加解密，不经过服务器。内容多时，App 会在你的手机上加密后，把密文暂存在我们的服务器上：最多 5 分钟、只能领取一次、领取后立即清除；解密密钥只在 QR code 中，服务器无法解读。请只与信任的人分享。 QR code 与分享链接的形式是 getrelo.app/q/…，分享的数据（或密文）放在链接 # 后面的片段中；浏览器不会把片段发送给服务器，所以打开链接时这些数据不会发送到我们的服务器。 「我的 QR」用于分享「我的名片」，你可以逐项勾选要分享的字段（一定包含显示名称）： • 只分享显示名称与 Email：不需要密码、没有到期时间，也不经过中转；任何拿到这个 QR 或链接的人都能看到这两项数据。 • 勾选了电话、社交、公司、简介等其他数据：需要你自行设置一组一次性密码（6–12 个字符）并直接告诉对方。内容会在你的手机上用这组密码加密，QR 在 5 分钟后失效；密码不会传到我们的服务器。内容太多放不进 QR 时，会像上面一样以密文经服务器中转。 请只把「我的 QR」给信任的人。

9. 推送通知与设备权限

• 提醒通知（生日、纪念日、互动提醒）在你的设备上本地安排。
• 产品消息与优惠推送只会在你明确同意后才发送，可随时在「设置 → 通知 → 产品消息与优惠」关闭。
• 客服回复通知：我们回复你的反馈时，会用同一个推送 Token 发送「客服已回复」的通知。这是服务通知，不需要另外同意，但如果手机系统关闭了通知就不会送达。
• 远程推送通过 Expo Push Notification Service，再经由 Apple（APNs）或 Google（FCM）送达。推送 Token 存储在 Supabase，只用于发送提醒与通知。
• 悬浮球（仅 Android，可选）：需要你在系统设置中允许「显示在其他应用上层」。它只是一个浮动按钮，用于在你联系某人后快速记录互动，不会读取其他 App 的界面或内容。通话结束是根据系统的音频模式判断，不需要读取通话状态或通话内容的权限。App 锁开启时，悬浮球不会显示姓名。
• App 锁与禁止截图：App 锁使用手机的生物识别（Face ID / Touch ID / 指纹），验证在手机本地完成。「禁止截图」（Android）开启后，Relo 的界面无法截图或录屏；两者都是只存在这台手机的设置。App 锁开启时，通知与桌面小组件不显示姓名。
• 相机与麦克风：只在你扫描名片或 QR、拍照或录音时使用。桌面小组件（Android）在手机本地显示即将到来的日子，内容不会传到服务器。

10. 悬浮球（Android）

• 用途：在 Android 上，你从 Relo 拨打电话或打开 LINE 等进行联系之后，通话结束（30 秒以上）或离开聊天 10 秒后，屏幕边缘会出现一个小悬浮球，点一下就能当场记录这次互动。你也可以选择「常驻悬浮球」，离开 Relo 时一直显示。回到 Relo 会自动收起，20 分钟无操作也会收起。
• 需要的权限：「显示在其他应用上层」（SYSTEM_ALERT_WINDOW），用于把悬浮球显示在其他 App 上方，需由你在系统设置中手动允许；以及前台服务（特殊用途类型），用于在 Relo 处于后台时维持悬浮球，只在悬浮球显示或等待中时才会启动，并在状态栏显示一条最低优先级的常驻通知。Relo 不使用无障碍服务、使用情况访问权限、通话记录、手机状态或通讯录权限。
• 读取哪些数据：为了判断「通话什么时候结束」，Relo 只读取系统的音频模式（是否处于通话中，以及大约多久），不读取电话号码、通话内容、通话记录或其他 App 的界面与内容。「刚刚联系了谁」来自你在 Relo 内点击的联系操作，而不是从其他 App 检测。悬浮球不会录音。
• 数据存放：悬浮球的位置，以及你在悬浮球小卡片上点击「保存」的互动（联系人代号、类型与最多 200 字的一句话），暂存在你手机上的 App 私有存储空间，下次回到 Relo 时转为普通互动记录后即清除；这些数据不会由悬浮球本身上传到任何服务器。转为互动记录后，与你在 Relo 内新增的互动一样，默认只存在你的设备上，只有在你开启云端备份时才会以端到端加密备份。
• 使用数据分析：互动转为记录时，与一般记录互动相同，会按第 6 节生成去标识化的事件（只含类型与数量区间，不含姓名或内容）；你可以在设置中关闭使用数据分析。
• 隐私保护：开启 App 锁或隐私模式时，悬浮球及其通知不显示姓名和内容，小卡片只提供「打开 Relo 记录」。
• 如何关闭：可到「设置 → 通知 → 悬浮球」关闭「联系后自动出现」与「常驻悬浮球」；也可以把悬浮球拖到屏幕下方的 ✕ 关闭，或在系统设置中收回 Relo 的「显示在其他应用上层」权限。没有这项权限时，Relo 不会显示悬浮球，只会在联系后用一条通知提醒你记录。

11. 付款与订阅

• Relo 的核心功能免费，不需要付款信息；目前的 Free 方案没有联系人等数量上限。快速新增与见面前重点有每月次数上限，关系图谱的「2 层」显示属于 Plus 功能；如果 App 提供语音录音附件，可用范围也因方案而定。各方案的功能、次数与容量以 App 内显示为准，可能调整。
• Plus 是可选的付费订阅（按月或按年付费，自动续订），需要登录。iOS 通过 Apple App Store、Android 通过 Google Play 购买，付款由 Apple 或 Google 处理，Relo 看不到也不存储你的信用卡或付款信息。
• 自动续订：除非你在当期结束前至少 24 小时取消，否则订阅会自动续订，并从你的 Apple ID 或 Google Play 账号扣款。取消与退款按各商店的规则处理，详见服务条款第 6 至第 8 条。
• 订阅由 RevenueCat（美国）管理。App 以你的账号 ID 向 RevenueCat 识别你，不会发送你的姓名或 Email。RevenueCat 从 Apple 或 Google Play 获取购买信息（例如商品、购买与到期时间、续订或取消状态、交易编号、价格与币种），再通知我们的服务器；我们保存这些订阅事件（已移除其中可能含有的姓名、Email 等个人属性），以及整理出的方案、状态与到期时间，用于判断你可用的功能。
• 礼包码（仅 Android）：登录后可在 App 内兑换，可能提供 Plus 天数或额外的 AI 使用次数；兑换记录与你的账号绑定。礼包码的 Plus 期限到期后自动结束，不会自动扣款。
• 方案与价格以 App Store / Google Play 商店页面及 App 内显示为准。

12. 第三方服务

• Clerk（账号登录、发送验证码，美国）— clerk.com/legal/privacy
• Google、Apple、LINE（仅在你使用其账号登录时）
• Supabase（数据库、文件存储与服务器函数，日本东京）— supabase.com/privacy
• Expo Push Notification Service（推送中转，美国）— expo.dev/privacy；Apple APNs、Google FCM（推送送达）
• PostHog（使用数据分析与错误报告，美国，可关闭）— posthog.com/privacy
• Anthropic（快速新增：名片识别、从图片导入、从文字新增；见面前重点；仅在你同意并使用时，美国）— anthropic.com/legal/privacy
• 你自选的 AI 服务（仅在你自行填入密钥并使用时；数据由你的手机直接发送，适用各该服务的条款与隐私政策）：Anthropic（Claude，美国）— anthropic.com/legal/privacy；OpenAI（ChatGPT，美国）— openai.com/policies/privacy-policy；Google（Gemini）— policies.google.com/privacy
• Vercel（官网与网页删除申请，美国）— vercel.com/legal/privacy-policy
• ImprovMX（客服邮箱转发）— improvmx.com/privacy
• RevenueCat（订阅管理，美国）— revenuecat.com/privacy
• Telegram（向运营者发送新客服反馈通知，内容见第 3 节）— telegram.org/privacy
• Apple App Store / Google Play（App 发行、订阅与付款）
• 上述服务各有隐私政策。我们不会出售你的个人信息。

13. 你的数据权利

• 数据副本（可携带权）：发送邮件至 support@getrelo.app 或通过「设置 → 帮助与反馈」提出，我们会在 7 天内免费提供。JSON 包含联系人、互动记录与联系人之间的关系，CSV 只含联系人；照片与录音不包含在内。
• 在 App 内删除账号：「设置 → 账号 → 删除账号」（页面最底部）。服务器上的账号数据（含云端备份的照片与录音）会立即删除，这台手机上的 Relo 数据也会一并清除；例外情况见第 14 节。
• 通过网页删除账号：无法使用 App 时，可到 getrelo.app/zh-CN/account-deletion 申请，我们会在 30 天内完成。
• 通过 Apple 登录：你也可以在 iPhone「设置 › Apple ID › 通过 Apple 登录」停止 Relo 使用你的 Apple ID。
• 查阅与更正：可直接在 App 内编辑，或通过「设置 → 帮助与反馈」、support@getrelo.app 要求查阅我们持有的你的个人信息。
• 撤回同意：可随时关闭名片识别（含从图片导入）、见面前重点、「协助改进识别」、产品消息推送与使用数据分析（含错误报告），或移除自己的 AI 密钥。
• 你可依据台湾《个人资料保护法》行使权利，请通过 App 内「设置 → 帮助与反馈」提出请求，我们会在 30 天内回复。
• 如果你位于欧盟、英国或其他提供类似权利的地区，也可以要求限制处理或反对处理（包括反对第 18 节所列基于正当利益的处理）、获取可携带的副本，并向你的居住地、工作地或你认为权利受到侵害所在地的数据保护监管机构投诉。我们会在收到请求后一个月内回复。

14. 数据保留期限

• 账号、使用记录、云端备份（含照片与录音）、权益、许愿池与客服数据：保留到你删除账号为止。在 App 内删除心愿只会对你隐藏，团队仍可看到；删除账号后才会完全删除。
• 推送 Token：设备超过 90 天未更新 Token（例如已不再使用 Relo）时自动删除；删除账号时也会一并删除。
• 提醒推送的发送记录：120 天后自动删除。
• 订阅通知事件（RevenueCat 发来的原始事件）：90 天后自动删除；整理后的方案、状态与到期时间保留到你删除账号为止。
• QR 中转密文：最多 5 分钟，或领取后立即清除。
• 客服附件图片：反馈标为已解决 7 天后自动删除；删除账号时立即删除。
• 使用数据分析：1 年；以账号假名 ID 记录的部分在删除账号时一并删除。错误报告：1 年，到期自动删除（见第 6 节）。
• 邀请记录：删除账号时一并删除；用于防止重复领取的单向哈希值最多保留 2 年。
• 名片识别、从图片导入、从文字新增与见面前重点发送的内容与结果：处理完即丢弃，不保存。
• 快速新增与见面前重点的使用次数记录（只有账号代号、计费周期与次数，不含任何内容）：保留最近 13 个计费周期，较早的自动删除；删除账号时一并删除。
• 通过礼包码获得的 AI 次数与兑换记录：保留到你删除账号为止，删除账号时一并删除。
• 帮助中心文章的「是否有帮助」反馈：最后一次点击满 1 年后自动删除，票数只并入该文章不记名的总数；删除账号时也会一并删除。
• 联系人之间的关系：随联系人永久删除而一并删除。手机上的自备 AI 密钥：在你移除密钥、清除这台手机上的数据或删除账号时删除；我们的服务器上没有你的密钥。
• 网页删除申请：申请处理完成后，申请记录中的电子邮件会换成无法还原的代码，无法再转回原来的地址；申请记录（含备注）在处理完成满 1 年后删除。
• 管理后台登录记录：30 天后自动删除。
• 服务器的系统备份与日志：已删除的数据可能在系统备份中保留，并在 30 天内自动轮替删除。
• 付款与购买记录由 Apple／Google 根据其政策保存，Relo 无法删除。删除账号时，RevenueCat 上的订阅者记录会一并删除，但不会自动取消订阅，请先到 App Store 或 Google Play 取消。
• 存在你设备上的数据由你自行管理，卸载 App 即会移除。

15. 你存放的他人数据

你在 Relo 记录的联系人、名片与互动，大多是其他人的个人信息。这些数据默认只存在你的手机上，或以端到端加密的方式备份，Relo 无法读取。如果你使用名片识别（名片照片会发送到 Anthropic 识别）、从图片导入（你选择的图片会发送到 Anthropic 识别）、见面前重点（备注、互动记录等联系人数据会发送到 Anthropic 整理）、从文字新增（粘贴的文字会发送到 Anthropic 整理）或 QR 中转，相关内容会按第 7、8 节处理；使用自己的 AI 密钥时，发送的内容由你与所选 AI 服务之间处理。将 Relo 用于工作（例如业务往来）时，你必须自行确认收集与使用这些数据符合个人信息保护相关法律；他人如要求删除其数据，请你直接在 App 内删除。

16. 未成年人

本服务仅供年满 13 岁的用户使用，不以未满 13 岁的儿童为对象；当地法律规定更高年龄的（例如部分欧盟国家为 16 岁），未达到该年龄须经法定代理人同意才能创建账号。未满 18 岁的用户，应经其法定代理人同意后使用，且法定代理人应已阅读并同意本服务条款与隐私政策；订阅 Plus 等付费项目须由法定代理人同意或代为购买。我们不会故意收集未满 13 岁儿童的个人信息；不使用账号（访客模式）时，数据只存在你的手机上。如果你发现未满 13 岁的儿童创建了账号，或你是法定代理人并希望删除未成年人的账号与云端数据，请发送邮件至 support@getrelo.app，我们确认后会按第 13 节删除。未成年用户记录他人（例如同学、朋友）的数据时，同样适用第 15 节。

17. 跨境数据传输

我们的主要数据库位于日本东京（Supabase）。登录、推送中转、使用数据分析、名片识别与 AI 功能、官网与订阅管理的服务商位于美国（Clerk、Expo、PostHog、Anthropic、Vercel、RevenueCat）；客服新反馈通知经由 Telegram 发送；购买与推送送达经由 Apple 与 Google。使用相关功能时，数据会传输到这些地区处理，并受第 5 节所述安全措施的保护。如果你使用自己的 AI 密钥，数据会由你的手机直接传输到你所选 AI 服务的处理地区：Anthropic 与 OpenAI 为美国及其他国家，Google 可能在其设有设施的任何国家处理，以各该服务的政策为准。 欧盟、英国与瑞士用户：日本已获欧盟认定提供充分保护。传输到美国等其他地区时，我们依据各服务商提供的传输机制保护你的数据，例如其数据处理条款中的欧盟标准合同条款（SCC），或服务商已加入的欧美数据隐私框架（DPF）。Apple 与 Google 处理购买与推送送达时，适用各自的隐私政策。如需了解相关机制，请发送邮件至 support@getrelo.app。

18. 处理数据的法律依据（欧盟与英国）

• 履行合同（提供你要求的服务）：账号与登录、云端备份与同步、QR 分享中转、客服反馈与「客服已回复」通知、Plus 订阅、权益与礼包码、网页删除申请。不提供账号数据就无法使用需要登录的功能，其他功能仍可以访客身份使用。
• 你的同意：名片识别、从图片导入、从文字新增、见面前重点、产品消息与优惠推送，以及「协助改进识别」。你可随时在设置中撤回（见第 13 节），撤回不影响撤回前处理的合法性。
• 正当利益：维护安全与防止滥用（例如行级安全、使用次数记录、防止重复领取邀请奖励）、错误报告，以及用于了解功能使用情况的使用数据分析与使用记录。你可随时在设置中关闭分析与错误报告，或按第 13 节提出反对。
• 法律义务：处理你的数据权利请求并保存处理记录，以及依法回应监管机构。
• 我们不会利用你的数据做出对你产生法律效力或类似重大影响的自动化决策。

19. 政策变更

我们可能不定期更新本隐私政策。如有重大变更（例如新增数据收集类型、改变数据用途），我们会通过 App 内通知告知你。轻微调整（例如文字修正）将直接更新本页面，并更新「最后更新」日期。

20. 联系我们

如有任何隐私相关问题或数据请求，请通过 App 内「设置 → 帮助与反馈」或发送邮件至 support@getrelo.app 与我们联系。 删除账号：App 内「设置 → 账号 → 删除账号」，或本网站的账号删除申请页（getrelo.app/zh-CN/account-deletion）。