Tonebook

隐私政策

Tonebook for iOS

生效日期: 2026年4月27日 · 最后更新: 2026年9月9日

一段话概览

Tonebook 是一款注重隐私的 AI 辅助个人色彩指南。我们不识别身份、不存储人脸嵌入，也不使用您的照片训练模型。在 Live AI 模式下，您选择的自拍和回答会经 Supabase 发送给 OpenAI。Tonebook 不在服务器上保存原始自拍。OpenAI 不将其用于训练，并可能为监测滥用保留 API 输入最多 30 天。Tonebook 没有账户或登录；服务器数据关联至 App 生成的随机 ID。

法律依据(GDPR / 英国 GDPR)

对于欧盟、欧洲经济区、英国和瑞士的用户,我们以您的明确同意作为处理的法律依据(第 6 条第 1 款 (a) 项,以及在适用情况下第 9 条第 2 款 (a) 项)。您在「设置」中首次启用实时 AI 模式时即表示同意,并可随时通过关闭实时 AI、在「设置」中删除您的数据或发送邮件至上述地址撤回同意。无论您是否同意,色彩分析均以非歧视方式提供——模拟模式可完全离线使用。

当数据传输至位于美国的处理方(OpenAI、Supabase、PostHog、Sentry)时,该传输依据欧盟委员会通过的标准合同条款进行,各处理方公布的标准合同条款及数据处理附录以引用方式并入本政策。

我们收集的信息

数据	时机	用途
自拍照(由您上传)	当您点击 "Analyze my style" 时	用于生成 AnalysisResult。在默认模拟模式下,照片不会离开您的设备。在实时 AI 模式下,照片会发送到我们的 Supabase edge function,后者调用 OpenAI 的视觉 API——照片仅在传输过程中处理,不会在服务器端保留。
引导问答回答	首次启动期间	个性化报告文案。本地存储于您设备的 UserDefaults。
已保存的报告	每次生成分析时	以 Codable JSON 格式本地存储于您设备的 Application Support 目录。绝不上传。
匿名产品分析数据	使用应用过程中	通过 PostHog 收集的聚合指标(例如 paywall_viewed、report_viewed)。可随时在「设置 → 发送匿名分析数据」中退出。
崩溃报告	应用崩溃时	发送至 Sentry 用于修复 bug。不含个人身份信息。可退出。
App Store 购买凭证	购买时	由 Apple StoreKit + RevenueCat 验证以进行权益管理。属于 Apple 标准中介流程。

你的结果和缓存报告会关联到一个假名化的产品数据标识符。Tonebook 的核心体验无需实名账户，也无需电子邮箱和密码。经过匿名身份验证的安装可以保护后端请求，而不会通过姓名识别你的身份。恢复购买项目时会使用单独的购买身份标识。删除是一项请求，必须验证服务器和提供商均已完成处理；仅在本地删除并不能作为证明。

我们「不会」做的事

人脸识别 —— 我们采样的是肤色区域的平均色彩,而非可识别身份的特征
生物特征标识符 —— 不保存面部嵌入向量、指纹或 Face ID
使用您的照片训练 —— 默认情况下,您的自拍永远不会用于训练任何模型。如果我们将来推出选择加入式的研究计划,必将以明确的选择加入方式进行。
出售您的数据 —— 我们不会为广告目的向第三方出售、出租或共享个人数据
跨应用或网站追踪您 —— 由于我们不进行追踪,因此不会请求 App Tracking Transparency 权限

第三方服务

Apple / StoreKit — 付款及购买记录。
RevenueCat — 权益及您提供的邮箱。
Supabase — Edge Function 和派生数据。
OpenAI — Live AI 分析；不用于训练，滥用监测最多 30 天。
已停用的服务 — 此版本已停用虚拟试穿和第三方商品信息流。Tonebook 不会向 FASHN.ai 发送照片，也不会向 Apify 发送搜索内容。
PostHog — 启用时的产品分析。
Sentry — 启用时的崩溃诊断。

我们不出售个人或生物数据，也不跨 App 或网站跟踪您。

您的权利

删除我的数据 — 「设置 → 删除我的数据」会立即从设备清除照片、报告、色板、衣橱、搭配、已存 Look、Style Check 记录与照片、聊天、引导和同意，并请求经验证的服务器删除。
分析 — 关闭「发送匿名分析数据」。
Live AI — 关闭「使用 Live AI」。
购买 — 使用「管理订阅」或「恢复购买」。

“删除我的数据”会清除本地内容，并请求删除关联的服务器数据以及提供商处可移除的数据。在得到验证前，服务器和提供商的处理仍处于待完成状态；离线、失败或未经证明的请求均不算完成。仅持有电子邮箱地址或知晓购买标识符，并不能证明对旧安装拥有所有权。如果该安装无法证明所有权，请发送邮件至 nestlingapp1@gmail.com，了解可用的独立验证或支持途径。仅通过电子邮件管理的订阅适用单独的已验证邮箱范围。恢复购买所需的购买历史记录和有限的抑制记录可能会保留。抑制记录用于防止不必要的联系或重新创建已删除的数据；它们不是恢复凭据。

数据保留

设备数据 — 直到您删除。
Live AI 原始自拍 — Tonebook 不保存；OpenAI 可能保留输入最多 30 天。
结果、缓存和邮箱 — 直到经验证删除。
PostHog 人员与事件 — 直到可信工作程序完成删除。
购买历史 — Apple 和 RevenueCat 为恢复购买而保留。
邮箱退订 — 为遵守退订，在必要期间保留不可逆 HMAC。

本网站(tonebook.app)

以上内容说明的是 iPhone 应用。浏览器照片分析是单独的服务：您选择开始分析后，缩小的图片会通过 Tonebook 的 Vercel 端点发送给 OpenAI。无需账户或邮箱，也不会将上传图片添加到照片库。免照片测验使用您的答案。服务商的处理和保留规则与下面说明的可选网站分析分开。

PostHog（网页） — 如果能够保存您的偏好，且没有先前的拒绝或浏览器隐私信号，无 Cookie 的网站分析会默认开启。PostHog 衡量页面访问和功能使用情况，不接收照片或电子邮件地址。您可以通过页脚的分析设置同时关闭 PostHog 和 Vercel。无论如何选择，网站都可正常使用。关闭分析会停止后续收集，并移除本地分析运行环境。撤回许可会停止后续收集，但不会删除服务商已经收到的事件。我们不会长期保留网站分析标识符与您的电子邮件地址之间的对应关系，因此仅凭支持请求，我们可能无法识别您先前的网站事件。如有隐私问题，或希望行使适用的数据保护权利，请联系 nestlingapp1@gmail.com；我们会说明针对您的请求能够核实哪些信息、采取哪些措施。
Vercel Web Analytics — 由托管平台提供、无 Cookie 的页面访问衡量服务。它与 PostHog 共用同一网站分析选择；关闭该设置会停止两项服务。

本网站不设置广告或跨站跟踪 Cookie。同一选择控制两项分析服务。如果无法保存偏好，或浏览器发出隐私信号，两项服务都会保持关闭。在已排除的敏感路径或查询上，两项服务都不会运行。同意偏好的保存和分析工具的防滥用 Cookie 等必要存储功能与可选分析分开。

儿童

Tonebook 仅面向 18 岁及以上的成年人。应用首次启动的同意流程要求您明确确认已年满 18 周岁。我们不会在知情情况下收集未成年人的数据。

本政策的变更

我们将更新「最后更新」日期并将新版本发布在此 URL。重大变更将在下次启动应用时在应用内提示。

联系方式

邮箱: nestlingapp1@gmail.com

← 所有法律文件