隐私政策

ProntoExpat 官方法律信息。此页面内容与你在应用中接受的内容一致。

政策版本日期: 2026年10月27日 (可通过上方语言菜单切换其他语言。)

1. 数据控制者及我们是谁

ProntoExpat 由 Paolo Ghidoni 运营，地址：Via Trento 15/D, 25128 Brescia, Italy，其为数据控制者。隐私相关请求请联系 ordinaedev@gmail.com 或 +39 375 686 1669。ProntoExpat 为独立的私人项目：与意大利政府或任何公共机构无关联、未获其背书，亦不代表其行事。

2. 我们收集的信息

我们仅收集提供服务所必需的数据：

• 个人资料与账户数据：姓名、电子邮件、可选用户名、个人头像（若使用 Google Sign-In）以及您设置密码时的密码相关标记。
• 意大利可选 comune：若您在 onboarding 或 Profile 中选择，我们存储所选市镇以定制指引（ISTAT 代码及官方地名）。
• 分流问卷数据：国籍、法律依据、入境状态、家庭状况、住房状况及可选意大利入境日期（若您提供），用于生成个性化路线图，并在启用通知时提供工作日截止提醒（不含周日及我们可估算的全国性公共假日；周六计入；不含当地守护神节及 comune 特定闭馆日；不能替代官方日期）。
• 路线图进度：与您个人资料关联的任务完成状态。
• 已保存资源（Premium）：您收藏的文章与指南，与账户一并存储供「已保存」列表使用。
• Premium 购买：若购买 Premium，我们在个人资料中存储订阅层级，并通过账户用户 ID（技术标识符）将账户与计费提供方关联。Apple App Store 或 Google Play（视设备而定）处理付款；RevenueCat 协助我们验证购买并解锁 Premium。我们不接收或存储您的完整支付卡信息。
• 通知（Premium，在可用且已启用时）：通知偏好（推送开/关）、应用内收件箱消息历史，以及若您选择推送提醒，则包括 Expo push token、设备平台及可选设备标识符。
• 技术数据：设备平台（iOS、Android 或 web）、应用版本、构建号、设备区域设置（非 GPS），以及在首次账户设置时根据连接得到的近似国家（仅国家代码，非 IP 地址），与个人资料一并存储用于运营与支持。若应用崩溃或出现未处理错误，我们的崩溃监控提供方可能收到诊断数据（堆栈跟踪、设备操作系统、应用版本及您登录时的账户用户 ID；此为本身不能单独识别您身份的技术标识符）。我们不在崩溃报告中发送您的姓名、电子邮件、分流答案或其他可直接识别您身份的信息。应用可能从我们的存储下载公开的意大利市镇参考列表以支持 comune 选择器。托管提供方（如 Supabase）在您使用服务时可能在服务器日志中处理 IP 地址等连接元数据。
• 设备本地数据：会话 token、偏好及缓存内容（见本地存储）。

若您使用 Google Sign-In，我们会从 Google 收到您的姓名、电子邮件地址及个人头像。

3. 我们如何使用您的数据

我们处理您的数据用于：

• 生成您的个性化路线图（法律依据：合同履行所必需）。
• 维护账户安全并防止滥用（合法利益）。
• 传达与您路径相关的关键更新（合同履行所必需）。
• 存储您保存的指南与文章（仅 Premium 订阅用户）。
• 提供 Premium 应用内通知，以及若您选择加入，则提供关于路线图与行政截止日的推送提醒（推送需同意；收件箱功能为合同履行所必需）。
• 使用匿名、汇总数据改进我们的逻辑（合法利益）。
• 诊断崩溃与未处理错误以保持应用稳定（合法利益）。
• 若您选择加入，了解应用使用情况（同意）：屏幕浏览与关键应用内操作以改进产品。

我们不出售您的个人数据。我们不使用第三方广告跟踪器。可选产品分析（PostHog）仅在您在登录后分析屏幕或 Profile → Analytics 中开启时运行；您可随时在该处关闭。PostHog 不使用会话回放或屏幕录制，也不接收您的姓名、电子邮件或分流答案。Sentry 与之分离，仅用于崩溃与错误诊断，非行为分析或广告。我们不将通知用于广告。

4. 本地存储与会话数据

移动应用在您的设备上分层存储数据：

• 登录会话：认证 token 保存在加密安全存储中（iOS Keychain 或 Android Keystore），仅本应用可访问。
• 您的路线图：您提交的分流答案（国籍、法律依据、入境状态、家庭状况、住房状况及可选入境日期）及据此生成的路线图缓存在应用存储中，以便您再次打开应用时 Home 与 Tasks 立即加载。该缓存 24 小时后过期，并在您退出登录或删除账户时清除。
• 您的个人资料不会写入设备存储。姓名、头像、订阅状态与任务进度在您打开应用时从我们的服务器获取，仅保留在内存中。
• 应用偏好：语言、主题、是否完成 onboarding、接受 Terms 的日期、分析选择，以及若在 onboarding 中选择则包括目的地 comune。退出登录后仍保留，删除账户时移除。
• 推送注册：若您开启推送通知，随机生成的设备标识符保存在安全存储中。
• 临时缓存：已下载的参考内容（如意大利市镇列表）及密码重置期间使用的短期标记。

上述数据均不用于广告。

移动应用中我们不展示 cookie 横幅。可选产品分析见第 3 节，仅在您登录后选择加入时运行。

5. 第三方处理者

我们使用受 GDPR 标准条款约束的处理者，包括：

• Supabase：数据库、认证、后端服务及服务器日志（EU/USA；Standard Contractual Clauses）。
• Google：OAuth 登录、Firebase Cloud Messaging（FCM）用于 Android 推送（在您选择加入时）及在 Android 购买 Premium 时的 Google Play 计费（USA；SCCs）。
• Apple：Apple Push Notification service（APNs）用于 iOS 推送（在您选择加入时）及在 iOS 购买 Premium 时的 App Store 计费（USA；SCCs）。
• RevenueCat：应用内购买验证及 Premium 权益管理。我们发送您的账户用户 ID（技术标识符）以便将购买与个人资料关联。RevenueCat 根据 Apple 或 Google 各自条款接收购买与设备数据（见 revenuecat.com/privacy）。
• Expo：Expo Push Notification service，在您选择加入时将消息路由至 APNs/FCM（USA；SCCs）。
• Sentry：崩溃与错误监控以保障应用稳定性（EU/USA；Standard Contractual Clauses；见 Sentry Data Processing Agreement）。接收堆栈跟踪、设备 OS、应用版本、平台及您登录时的账户用户 ID（本身不能单独识别您身份的技术标识符）。
• PostHog（托管于 European Union）：在您选择加入时的可选产品分析（Standard Contractual Clauses；见 PostHog Data Processing Agreement）。在同意后接收允许列表内的屏幕浏览、关键应用内事件、设备平台、应用版本及账户用户 ID。不含电子邮件、姓名、分流答案、会话回放或屏幕录制。

6. 国际数据传输

当数据传输出 European Economic Area 时，我们依赖 European Commission 批准的 Standard Contractual Clauses 及法律要求的额外保障措施。

7. 数据保留

• 活跃账户数据：在活跃使用期间保留。
• 账户删除：您可随时在 Profile 中永久删除账户。我们在服务器上对个人数据进行匿名化，移除登录凭据，删除您的 push token 与应用内通知收件箱历史，应用会清除设备上所有本地存储数据（会话、偏好及缓存内容）。为防欺诈及法律合规，可能保留最长 90 天的最小不可识别墓碑记录（如账户创建日期与平台），之后自动清除。
• 非活跃账户：我们可能引入对长期未访问账户的自动删除。在该流程启用前我们将更新本政策并通知用户。目前适用的是自愿账户删除及上述 90 天墓碑清除。
• 支付记录：若在购买 Premium 可用时购买，在意大利税法要求的情况下记录最长可保留 10 年。

8. 您的权利

根据 GDPR，您可访问、更正、删除、携带、限制或反对处理，并撤回同意。您可随时在应用 Profile 中删除账户（永久；清除服务器端个人数据并清除本设备本地应用数据）。其他请求请联系 ordinaedev@gmail.com，我们将在 30 天内回复。

您可向 Garante per la Protezione dei Dati Personali 投诉：garanteprivacy.it

反对权：在我们依赖合法利益（安全、使用汇总数据改进逻辑及崩溃诊断）时，您可随时反对。请发送电子邮件至 ordinaedev@gmail.com，主题注明「Objection」，我们将停止该处理，除非我们有令人信服的合法理由继续。

数据删除申请页面（步骤、删除或保留的数据类型、保留期限）

9. 数据泄露通知

若泄露可能危及您的权利与自由，我们将在知悉后 72 小时内通知 Garante，并在风险较高时无不当延迟地通知您。

10. 自动化路线图

您的个性化路线图由基于规则的软件生成，将您的分流答案与预定义路径及任务匹配。它不是应用内的 AI 聊天机器人，我们不会将分流答案发送给生成式 AI 提供方来制定您的计划。编辑类指南与文章可能借助 AI 辅助工具撰写、翻译或修订，并在发布前经人工审核；也可能包含库存或示意性图片，并非官方文件。输出仅供参考，不构成具有法律约束力的决定。您仍须对自己的行政选择负责。

11. 通知（应用内与推送）

Premium 订阅用户可收到关于路线图的提醒，并将指南与文章保存至个人「已保存」列表。通知功能包括：

• 应用内收件箱：应用内的通知历史（无需设备权限）。
• 可选推送提醒：仅当您在 Profile → Notifications 中启用 Push 并在设备设置中授予权限时，才在锁屏显示简短消息。

推送通知默认关闭。您可随时在 Profile → Notifications 中关闭推送。设备操作系统设置控制是否在锁屏显示横幅。

截止提醒由基于规则的软件根据您的分流答案（含可选入境日期）计算。工作日计数不含周日及我们可估算的全国性公共假日（周六计入）；不含当地守护神节及 comune 特定闭馆日。请始终向主管机关确认日期。仅供参考，非法律意见。我们不将通知用于广告。

删除账户时，我们会从服务器移除您的 push token 与收件箱历史。

12. 未来功能

我们可能不时增加新的产品功能（例如可选的 web 访问）。若如此，我们将更新本 Privacy Policy，说明收集的数据、识别处理者，并在法律要求时在启用前取得同意。可选产品分析（PostHog）见本政策，需您选择加入，不使用会话回放，且可随时在 Profile → Analytics 关闭。通过 Sentry 的崩溃与错误诊断与之分离，见上文。我们不会将您的个人数据用于训练公共 AI 模型。