Tonebook

隐私政策

Tonebook for iOS

生效日期: 2026年4月27日 · 最后更新: 2026年10月28日

控制者：运营 Tonebook 的 Sparkwell Studios LLC（美国阿拉巴马州）。联系方式：privacy@sparkwellstudios.com

2026年10月28日的变更

我们明确说明，初始设置回答会用于实时 AI 分析，并在启用产品分析时发送给 PostHog。
我们明确说明，产品分析使用持久的假名标识符，关闭该设置不会关闭 Sentry 诊断。
我们补充说明了 Apple Maps、Apple WeatherKit 和实时 AI 分析使用的城市及位置数据。
我们补充说明了可选的日历访问权限，以及将色卡保存到“照片”的功能。

一段话概览

Tonebook 旨在成为注重隐私的 AI 辅助个人色彩指南。我们不进行身份识别，不存储人脸嵌入或其他生物特征标识符，也不使用您的照片训练模型。照片仅用于生成色彩报告；在 Live AI 模式下，自拍会传输至我们的处理方进行处理，不会保存到 Tonebook 照片库中。模拟模式从不上传照片。不过，Tonebook 会处理从面部提取的色彩样本，根据某些州的法律，这属于生物特征信息。完整说明请参阅我们的生物特征信息政策。您可以随时在设置中删除已保存的数据。

法律依据(GDPR / 英国 GDPR)

对于欧盟、欧洲经济区、英国和瑞士的用户,我们以您的明确同意作为处理的法律依据(第 6 条第 1 款 (a) 项,以及在适用情况下第 9 条第 2 款 (a) 项)。您在「设置」中首次启用实时 AI 模式时即表示同意,并可随时通过关闭实时 AI、在「设置」中删除您的数据或发送邮件至上述地址撤回同意。无论您是否同意,色彩分析均以非歧视方式提供——模拟模式可完全离线使用。

当数据传输至位于美国的处理方(OpenAI、Supabase、PostHog、Sentry)时,该传输依据欧盟委员会通过的标准合同条款进行,各处理方公布的标准合同条款及数据处理附录以引用方式并入本政策。

我们收集的信息

数据	时机	用途
自拍照(由您上传)	当您点击 "Analyze my style" 时	生成您的 AnalysisResult。在模拟模式下，照片不会离开设备。在您同意后默认启用的 Live AI 模式下，照片会发送到我们的 Supabase Edge Function，由其调用 OpenAI 视觉 API。我们在传输过程中处理照片，不将其保存到我们的照片库。根据 OpenAI API 数据政策，除非 API 客户选择加入，否则 API 输入不会用于训练；滥用监测日志可能包含相关内容，保留时间最长为 30 天，在所述法律和安全情形下也可能更长。
派生色彩结果	每次 Live AI 分析时	你的结果和缓存报告会关联到一个假名化的产品数据标识符。Tonebook 的核心体验无需实名账户，也无需电子邮箱和密码。经过身份验证的安装可以保护后端请求，而不会通过姓名识别你的身份。恢复购买项目时会使用单独的购买身份标识。删除是一项请求，必须验证服务器和提供商均已完成处理；仅在本地删除并不能作为证明。
引导问答回答	首次启动期间	个性化报告文案。回答本地存储于设备的 UserDefaults，也会包含在发送给 Live AI 分析的个人资料中，包括您提供的城市或位置文本。启用产品分析时，引导问答回答还会作为事件属性发送至 PostHog。
已保存的报告	每次生成分析时	以 Codable JSON 格式本地存储于您设备的 Application Support 目录。绝不上传。
假名化产品分析数据	您启用产品分析时	PostHog 接收 paywall_viewed 和 report_viewed 等事件、包括引导问答回答和加载时间在内的事件属性，以及用于关联您跨会话活动的持久假名标识符。这些并非匿名记录。您可以随时通过目前名为“发送匿名分析数据”的设置关闭产品分析。
崩溃报告和性能诊断	应用使用期间，包括错误、崩溃、应用无响应和抽样性能测量	发送至 Sentry，用于诊断故障和测量性能，包括分析请求耗时。Sentry 默认的个人身份信息收集功能已禁用。诊断独立于产品分析运行；关闭“发送匿名分析数据”不会关闭 Sentry 诊断。
用于天气和个性化的位置	当您搜索城市、选择城市建议、启用天气，或在个人资料中包含位置文本并提交 Live AI 分析时	城市搜索文本会发送至 Apple Maps，以查找匹配的地点。所选城市的坐标，或您授予位置权限后获取的设备位置，会发送至 Apple WeatherKit 以获取天气预报。应用请求的设备位置精度约为一公里。您提供的城市或位置文本还会包含在发送至我们 Supabase 分析端点的个人资料中，用于 Live AI 处理；启用产品分析时，也会包含在发送至 PostHog 的引导事件中。
App Store 购买凭证	购买时	由 Apple StoreKit + RevenueCat 验证以进行权益管理。属于 Apple 标准中介流程。

可选的设备权限

日历：如果您在“今天”中启用日历建议，Tonebook 会请求日历访问权限，并在设备上读取即将到来的事件标题和时间，以推荐穿搭。此功能不会将这些事件详情发送至 Tonebook 服务器，也不会写入您的日历。您可以在 iOS 设置中更改日历权限。

保存到照片：当您选择保存生成的色卡时，Tonebook 会请求仅添加照片的权限，并将色卡写入照片库。保存色卡不会将其上传至 Tonebook，也不会授予读取现有照片库的权限。您可以在 iOS 设置中更改照片权限。

我们「不会」做的事

人脸识别 —— 我们采样的是肤色区域的平均色彩,而非可识别身份的特征
生物特征标识符 —— 不保存面部嵌入向量、指纹或 Face ID
使用您的照片训练 —— 默认情况下,您的自拍永远不会用于训练任何模型。如果我们将来推出选择加入式的研究计划,必将以明确的选择加入方式进行。
出售您的数据 —— 我们不会为广告目的向第三方出售、出租或共享个人数据
跨应用或网站追踪您 —— 由于我们不进行追踪,因此不会请求 App Tracking Transparency 权限

第三方服务

Apple StoreKit / App Store — 购买凭证，用于订阅计费。
RevenueCat — 假名化购买标识符和权益状态，以及您提供过的电子邮件地址。用于订阅管理面板和跨设备权益同步。“删除我的数据”会清除该服务中的邮箱地址；购买记录本身会保留，以便您恢复付费购买的内容。
OpenAI（通过我们的 Supabase Edge Function，仅限 Live AI 模式） — 压缩自拍和引导资料 JSON，用于生成 AnalysisResult。适用 OpenAI API 数据政策：不用于训练。
Supabase — API 请求，用于 Edge Function 托管。
PostHog — 事件名称和属性，包括引导问答回答与加载时间，以及假名化产品数据标识符。用于启用后的产品分析。可在设置中通过“发送匿名分析数据”关闭。
Sentry — 崩溃和错误报告、应用无响应诊断、抽样性能追踪。用于可靠性和性能诊断，独立于产品分析设置。
Apple Maps / WeatherKit — 用于城市查询和天气请求的城市搜索文本与坐标。查找您选择的城市，并提供天气预报以支持结合天气的建议。设备位置需要您的许可。
已停用的服务 — 此版本不发送任何数据。虚拟试穿和第三方商品信息流已停用。Tonebook 不会向 FASHN.ai 发送照片，也不会向 Apify 发送搜索内容。

您的权利

删除我的全部 Tonebook 数据 — 设置 → 删除我的数据会立即清除本设备上的照片、报告、色板、衣橱、穿搭、已保存造型、Style Check 历史记录和照片、Stylist 聊天、引导资料及同意状态，然后请求需要验证的服务器擦除。
退出产品分析 — 设置 → 发送匿名分析数据（关闭）。此设置不会禁用 Sentry 诊断。
切换到模拟模式 — 设置 → 使用 Live AI（关闭）会让每次分析都在设备上进行。
取消订阅 — 设置 → 管理订阅会打开 iOS 订阅管理器。
恢复购买 — 设置 → 恢复购买会重新同步您的权益。

“删除我的数据”会清除本地内容，并请求删除关联的服务器数据以及提供商处可移除的数据。在得到验证前，服务器和提供商的处理仍处于待完成状态；离线、失败或未经证明的请求均不算完成。仅持有电子邮箱地址或知晓购买标识符，并不能证明对旧安装拥有所有权。如果该安装无法证明所有权，请发送邮件至 privacy@sparkwellstudios.com，了解可用的独立验证或支持途径。仅通过电子邮件管理的订阅适用单独的已验证邮箱范围。恢复购买所需的购买历史记录和有限的抑制记录可能会保留。抑制记录用于防止不必要的联系或重新创建已删除的数据；它们不是恢复凭据。

数据保留

设备上的数据（照片、已保存报告、个人资料）— 保留至您删除为止。
Live AI 照片传输 — 我们不会有意将原始照片记录或保存到数据库或对象存储中。OpenAI 标准 API 滥用监测日志可能包含请求内容，最长保留 30 天，在其数据政策所述情形下可能保留更久；某些被标记的图像可能会被保留以进行人工安全审查。除非 API 客户选择加入，否则 API 输入默认不用于训练。
派生色彩结果及缓存的完整报告 — 以应用生成的随机标识符关联，保存在我们的服务器上，直到您使用“删除我的数据”。
电子邮件地址 — 仅在您为报告或使用周期中的邮件提供邮箱时收集；保留至您使用“删除我的数据”。如果您退订，我们会将该地址的单向（不可逆）哈希值保留在抑制名单中，而不保留地址本身，以免再次向您发送电子邮件；删除它会导致您在不知情的情况下被重新订阅。
分析数据 — 根据我们的 PostHog 配置保留，直到您退出或完成经验证的删除；关联的历史事件包含在擦除请求中。
崩溃报告 — 按 Sentry 标准保留期（90 天）保留。

本网站(tonebook.app)

以上内容说明的是 iPhone 应用。浏览器照片分析是单独的服务：您选择开始分析后，缩小的图片会通过 Tonebook 的 Vercel 端点发送给 OpenAI。无需账户或邮箱，也不会将上传图片添加到照片库。免照片测验使用您的答案。服务商的处理和保留规则与下面说明的可选网站分析分开。

如果您通过 Muse 使用 Tonebook 拟提供的免费测验，Muse 会将您选择的八个答案和成年确认发送至 Tonebook 连接器，然后接收推荐色板并在对话中展示。此工具不要求邮箱、账户、照片、安装应用或付款。它不会有意将答案存储到 Tonebook 应用数据库中。Muse 可能依据自己的隐私控制保留对话。获取免费色板不需要使用连接器提供的可选网站链接。

连接器可能通过托管日志中的单一事件名称，统计已准备好的色板结果数量。该应用事件不包含测验答案、色板、照片或账户标识符。我们的托管商另行保留运行请求日志。这种有限的连接器计数与下述可选网站分析选择相互独立；后者适用于您访问 tonebook.app 时，不控制 Muse 自身的对话记录。

PostHog（网页） — 如果能够保存您的偏好，且没有先前的拒绝或浏览器隐私信号，无 Cookie 的网站分析会默认开启。PostHog 衡量页面访问和功能使用情况，不接收照片或电子邮件地址。您可以通过页脚的分析设置同时关闭 PostHog 和 Vercel。无论如何选择，网站都可正常使用。关闭分析会停止后续收集，并移除本地分析运行环境。撤回许可会停止后续收集，但不会删除服务商已经收到的事件。我们不会长期保留网站分析标识符与您的电子邮件地址之间的对应关系，因此仅凭支持请求，我们可能无法识别您先前的网站事件。如有隐私问题，或希望行使适用的数据保护权利，请联系 privacy@sparkwellstudios.com；我们会说明针对您的请求能够核实哪些信息、采取哪些措施。
Vercel Web Analytics — 由托管平台提供、无 Cookie 的页面访问衡量服务。它与 PostHog 共用同一网站分析选择；关闭该设置会停止两项服务。

启用网站分析时，推广活动衡量仅使用已登记的来源和活动标签。我们会在 Tonebook 的 App Store 链接中添加共用的活动代码，以便在 Apple 提供汇总的下载和销售报告时，将其与网站访问情况进行比较。这些代码代表活动，而非个人；我们不会将连接器中的对话、问卷答案或账户标识符与 App Store 购买记录关联。关闭网站分析后，链接将不再添加这些来源信息。Apple 根据其自身隐私政策处理 App Store 上的活动。

本网站不设置广告或跨站跟踪 Cookie。同一选择控制两项分析服务。如果无法保存偏好，或浏览器发出隐私信号，两项服务都会保持关闭。在已排除的敏感路径或查询上，两项服务都不会运行。同意偏好的保存和分析工具的防滥用 Cookie 等必要存储功能与可选分析分开。

儿童

Tonebook 仅面向 18 岁及以上的成年人。应用首次启动的同意流程要求您明确确认已年满 18 周岁。我们不会在知情情况下收集未成年人的数据。

本政策的变更

我们将更新「最后更新」日期并将新版本发布在此 URL。重大变更将在下次启动应用时在应用内提示。

联系方式

邮箱: privacy@sparkwellstudios.com

← 所有法律文件