隐私政策

Gardenix 是由 ALTF4 s. r. o. 开发的植物养护应用。它无需账户即可使用：你的花园（植物、照片、笔记、提醒）保存在你的手机上。为了诊断植物，你拍摄的照片会被发送到我们的服务器，再转发给我们的 AI 图像分析服务商，聊天提问也经过同样的路径；在发送任何内容之前，应用会先征求一次你的许可。我们不会在服务器上保留扫描照片的任何副本。如果你创建可选账户，你的邮箱地址和花园备份会存储在我们的服务器上。我们不出售数据，不展示广告，也不会在其他应用或网站上跟踪你。

你的个人数据的控制者是 ALTF4 s. r. o.，地址：Palánok 1, 949 01 Nitra, Slovakia（斯洛伐克），公司识别号（IČO）57 410 968。如有任何隐私问题或请求，请写信至 support@altf4.sk。我们未指定数据保护官。

在第一张照片或第一个聊天问题离开你的手机之前，应用会告诉你这些内容将发送给我们的分析合作伙伴（即下文所述的 AI 图像分析服务商），并征求一次你的许可。在你同意之前，不会发送任何内容。你可以随时在应用中的更多 → 隐私与数据 → 照片和聊天分析撤回许可；此后不会再发送任何内容，下一次扫描或提问时会再次征求许可。撤回许可不影响此前已发送的内容。应用中的其他一切功能无需该许可也能照常使用：你的植物、提醒、天气和历史记录。

• 你提交分析的植物照片。当你扫描植物时，应用会缩小照片，并将其另存为一张不含相机元数据的新图片，然后通过加密连接发送到我们的服务器。服务器会删除仍残留的任何元数据（例如位置标签），并仅为了生成识别结果、诊断和养护建议，将照片转发给我们的 AI 图像分析服务商。我们不会在服务器上保留扫描照片的任何副本；照片保存在你的手机上，如果你使用备份，也会保存在你自己的备份中（参见备份以及下文的可选账户）。对于免费扫描，服务器会将每张照片的单向指纹（哈希值）保留两天，仅用于发现同一张图片被从大量设备发送以滥用免费额度的情况；无法通过它还原照片。随照片一起，我们的服务器还会把今天的日期和你的连接所在的国家告诉服务商，让建议符合你所在地的季节。国家由我们的托管服务商在扫描时根据你的 IP 地址判断；它绝不是精确位置，我们也不会保存它。如果你更正某个结果，或请求对已处理过的植物进行跟进检查，你输入的文字或之前的诊断会随新照片一起发送。
• 聊天提问（问问 Gardenix）。你的问题会发送给同一家服务商，一同发送的还有该对话中你最近的消息、问题所涉及的扫描结果，以及你植物的简短摘要（你给它们起的名字、物种、养护日期和最近的扫描结果）。对话保存在你的手机上；如果你使用 Android 备份，也保存在该备份中；如果你已登录，还保存在你的账户备份中。
• 分析服务商会保留什么。我们的 AI 服务商可能会将扫描和聊天提问的内容保留最多 30 天，用于运行其服务和发现滥用行为，之后将其删除。它不会使用这些内容来训练其模型。
• 用于合理使用限额的设备标识符。应用会生成一个随机 ID，用于执行合理使用限额（免费扫描次数、每日提问次数）。为了防止通过重装应用重置免费扫描额度，应用还会发送一个设备值的单向哈希：在 Android 上是设备的 ANDROID_ID，在 iPhone 上是应用保存在 iOS Keychain 中的一个随机值。我们从不接收原始值。这些标识符不会告诉我们你是谁，但它们是假名化的，而非匿名的：它们与你的扫描次数和购买记录相关联，如果你登录，还会与你的账户相关联。该哈希值还用于运行邀请计划，并以加盐单向的形式用于统计下文所述的应用使用情况。如果某台设备被用于滥用本服务，我们可能会禁止其使用扫描和聊天功能。届时我们会保存该设备的随机 ID 或上述哈希值，以及简短的原因和封禁、解封的日期；解封后我们会将这条记录再保留 24 个月，以免再次封禁时被自动解除；如果你认为封禁有误，请写信给我们。
• 大致位置（可选）。如果你开启天气功能，应用会读取一个大致位置（精度约 11 公里），或使用你选择的城市，将其保存在你的手机上，并直接从你的手机发送给天气服务，以获取你所在地区的天气预报、霜冻和风暴预警，以及用于种植日历的长期气候数据。当你搜索城市时，你输入的名称会发送给该服务。我们从不接收你的位置，它也绝不会发送给 AI 服务商：扫描只使用上文所述的国家级信息。在应用中关闭天气功能即会删除已保存的位置。
• 购买。订阅和扫描包由 Apple 或 Google 以及我们的订阅管理服务商处理，后者会收到应用的随机 ID 和商店的购买记录。我们接收购买状态，从不接收付款信息。为了确保每个扫描包只计入一次，我们的服务器会保存每个扫描包的商店交易 ID。如果某笔购买被退款，我们的服务器会以上述设备标识符的加盐单向哈希，记录商店报告的退款日期、商品和退款原因，保存 90 天，以便客服回答相关问题。
• 邀请码（可选）。应用会为你的设备生成一个邀请码。它与上述标识符一起存储在我们的服务器上，以便把奖励记到正确的设备上。如果你使用了好友的邀请码，我们会记录你的设备使用了哪个邀请码，确保每台设备只能使用一个邀请码，并在你完成第一次扫描后让你们双方都获得奖励。你的好友只能看到有多少人通过他的邀请码加入，永远看不到这些人是谁。在 Android 上，如果你通过好友的邀请链接安装 Gardenix，应用会从 Google Play 的安装来源信息（install referrer）中读取一次邀请码，省去你手动输入；这份信息的其余部分会在你的手机上被忽略，绝不会发送给我们。这些记录不包含任何照片、文字或联系方式。
• 你如何使用应用。为了了解用户在哪些环节遇到困难，我们会在自己的服务器上记录少量事件：打开应用、完成介绍、打开扫描器、完成一次扫描、离开结果页面、显示订阅页面（以及是哪项功能引导到那里），以及开始或完成一次购买。我们不使用任何第三方分析服务，也不出售或分享任何数据。每个事件都以设备标识符的加盐单向哈希保存，绝不保存标识符本身。你可以在应用中的更多 → 隐私与数据关闭此功能，删除账户时这些记录也会一并删除。事件会在一年后自动删除。
• 崩溃报告。如果应用或我们的服务器出现错误，会有一份报告发送到崩溃报告服务，内容包括：错误本身、设备型号和系统版本、应用版本以及导致错误的操作步骤。报告绝不包含你的照片、文字或邮箱地址。
• 账户信息（仅在你登录时）。登录是可选的。我们存储你的邮箱地址、你通过 Apple 或 Google 登录时它们提供给我们的账户标识符，以及包含植物照片的花园云端备份。我们从不询问你的姓名，也没有密码。
• 提醒和主屏幕小组件完全在你的手机上运行；不涉及任何推送通知服务。

• Android。Gardenix 使用 Android 标准的自动备份。如果你的 Google 账号开启了备份，你的花园数据和植物照片会复制到你自己的 Google Drive，并在重装应用时恢复。这份备份属于你：它不占用你的 Drive 存储空间，并且在 Android 9 及更高版本上使用你设备的 PIN 码、图案或密码进行端到端加密。我们无法访问它，它也从不会到达我们的服务器。你可以随时关闭或删除它；参见数据删除。
• iPhone 和 iPad。只有当你登录下文所述的可选账户时，Gardenix 才会把你的花园复制到服务器上。没有账户时，重装应用后一切从头开始。和所有应用一样，如果你开启了 iCloud 或电脑备份，应用数据可能包含在你设备自己的备份中；那份备份属于你，我们无法访问。

• 完全可选。Gardenix 的一切功能都无需账户。登录只增加一件事：花园的云端备份，可以在新手机上或重装后恢复。
• 我们存储什么。你的邮箱地址和花园备份（植物名称与物种、养护计划、带健康评分和诊断的扫描历史、聊天对话、笔记、文件夹和植物照片）。最新一份备份之前的那份备份也会保留，以便撤销错误的备份。植物照片只作为这份备份的一部分存放在我们的服务器上：如果你从不登录，扫描照片会被发送去分析，不会被保留。我们从不索取姓名，也没有密码：你通过 Apple、Google 或发送到邮箱的一次性验证码登录。
• 存放在哪里。在我们的服务器基础设施上，由第三方云托管服务商运营。登录验证码邮件由我们的邮件送达服务递送。我们的云托管服务商和邮件送达服务只能为向我们提供服务而使用你的数据。
• 退出登录。退出登录只会结束该设备上的会话，备份保持不变，随时可供下次登录使用。删除账户则是另一项单独的永久性操作。
• 保留与删除。保留到你删除为止。你可以随时在应用内（更多 → 账户 → 删除账户）或通过邮件删除你的账户和全部备份；参见数据删除。如果你是通过 Apple 登录的，删除账户时还会通知 Apple 终止 Gardenix 对你的 Apple 登录的访问权限。

我们使用少数几家服务商。标注“代表我们”的服务商仅根据我们的指示、依照数据处理协议处理数据：

• AI 图像分析服务商（在应用中称为我们的“分析合作伙伴”；代表我们）：扫描照片、更正文字、聊天提问及其上下文、今天的日期以及你的连接所在的国家。
• 云托管服务商（代表我们）：运行我们的服务器，存储账户备份和上文所述的记录，并在每次扫描时根据你的 IP 地址判断国家。
• 订阅管理服务商（代表我们）：应用的随机 ID 和商店的购买记录。
• 崩溃报告服务（代表我们）：上文所述的错误报告。
• 邮件送达服务（代表我们）：你的邮箱地址和登录验证码，仅在你通过邮件验证码登录时。
• 天气服务：你的大致位置或你搜索的城市，直接从你的手机发送，用于获取天气数据。
• Apple 和 Google：购买、登录和应用商店，适用它们各自的隐私政策。

其中一些服务商位于美国或欧盟以外的其他国家，或在这些地方处理数据。此类传输依据欧盟委员会针对 EU-U.S. Data Privacy Framework 作出的充分性决定，或依据欧盟委员会的标准合同条款。我们不出售个人数据，也不为广告目的分享个人数据。

• 为了提供你所使用的应用（GDPR 第 6 条第 1 款 (b) 项）：植物分析、聊天回答、可选账户和备份、购买以及邀请奖励。将照片和问题发送给分析服务商还需要获得应用所征求的许可。
• 我们的正当利益（GDPR 第 6 条第 1 款 (f) 项）：保持免费额度公平、服务价格合理（合理使用标识符、照片指纹、封禁和退款记录），保持应用稳定（崩溃报告），以及了解用户在哪些环节遇到困难（使用事件，你可以将其关闭）。你可以随时反对此类处理；请写信给我们。

应用中的诊断和回答是自动生成的，但它们不会对你作出任何具有法律效力或类似重大影响的决定。

• 扫描照片：不在我们的服务器上保留（免费扫描仅保留两天的指纹）；在分析服务商处最多保留 30 天。
• 账户和备份：保留到你删除账户为止。
• 使用事件：一年。
• 每日限额计数：几天。
• 退款记录：90 天。封禁记录：封禁期间以及解封后 24 个月。
• 扫描次数、购买状态、扫描包余额、商店交易 ID 和邀请记录：在服务运行期间保留，因为它们确保你的额度、购买和奖励准确无误；或保留到你要求我们删除为止。删除账户也会删除你的邀请码及其统计数据。
• 崩溃报告：最多 90 天。

你有权访问你的个人数据，有权要求更正或删除这些数据，有权限制或反对对其的处理，有权以可携带的形式获取这些数据，并有权随时撤回许可。你的大部分数据保存在你的手机上，你可以在应用中查看、更改和删除。对于我们服务器上的数据，请写信至 support@altf4.sk；由于应用不知道你是谁，我们可能会请你从使用该应用的设备或账户发送请求，以便我们找到你的数据。我们会在一个月内答复。

如果你认为我们对你数据的处理不当，你可以向斯洛伐克监管机构 Úrad na ochranu osobných údajov Slovenskej republiky（dataprotection.gov.sk）投诉，或向你居住地的数据保护机构投诉。

本应用不面向 16 岁以下儿童，也不会有意收集他们的数据。

政策变更时我们会更新本页面；重大变更会在应用内提示。