Cookmoji 隐私政策

账号信息：你的邮箱地址；使用 Apple 或 Google 登录时，只有登录方提供的用户标识和邮箱，我们不从登录方获取你的名字和头像。

照片：Cookmoji 不浏览你的整个相册。无论是制作贴纸、换头像还是在客服对话里发图，只有你在 Apple 的照片选择器中挑选或用相机拍摄的照片会进入 Cookmoji。制作贴纸的照片先在你的设备上转成 JPEG 副本并去掉位置等元数据；选图本身不会上传。你发起制作后才会上传，未完成的上传可能在恢复或重试时继续。用于制作的照片和参考图适用下文「保留与删除」的 30 天保留与自动清理规则；头像、客服附件、生成作品及历史备份的处理分别按其用途和下文规则确定。

你创作的内容：生成的贴纸、作品名称与说明，以及你发布到广场的内容。

设备与使用信息：设备型号与系统版本、应用版本、语言与地区、请求时间与结果，以及我们收到的故障与性能诊断。每次请求创建邀请链接、接受邀请或提交兑换码时，App 都会向 Apple 请求新的 DeviceCheck 令牌，并将取得的令牌发给我们；对于需要邀请资格核验的操作，我们用它向 Apple 查询或更新两个设备级是/否标记，用于防止同一设备重复参与。Apple 在其服务器上按设备保存这些标记，注销 Cookmoji 账号不会重置它们。我们另外保存与请求及账号关联的令牌摘要、查询结果和处理记录，用于防止令牌重放、核查资格和排查问题。DeviceCheck 不向我们提供稳定的设备标识符。分享已存在的邀请链接本身不一定需要重新取得令牌。

邀请与点数：你的邀请码和链接、谁邀请了你和你邀请了谁、接受邀请及首次完成作品的记录、用于结算的奖励资格、适用额度与月上限、归属月份，以及点数余额和收支记录。我们用这些记录核验规则、处理奖励、避免重复发放，并处理相关查询或争议。

我们不读取你手机的通讯录，也不收集精确位置；分析服务会根据网络地址推断大致地区（国家或城市一级）。产品分析与来源衡量见下文。

购买与订阅信息：用于把购买关联到你账号的用户标识、商品与交易标识、购买和续费时间、购买凭据、订阅状态、取消、退款和撤销记录。RevenueCat 购买 SDK 在为已登录账号初始化或同步购买状态时，也会处理相关的设备与应用信息，例如系统和 SDK 版本，以及可用时 Apple 提供的供应商标识符（IDFV）；即使你当时没有发起新购买，也可能发生这种同步。我们不从 Apple 取得你的完整支付卡资料。

互动与客服：你使用相关功能时产生的点赞、表情互动、关注、拉黑、打赏和举报记录，以及你发送给客服的文字、照片或其他附件。我们用它们提供对应的社交功能、处理举报与安全问题，并回应你的请求。

产品分析与来源衡量：启用分析的版本使用 Google Analytics for Firebase 和 AppsFlyer 记录 App 的使用情况：你浏览的页面和使用的功能（包括登录、购买步骤，从小组件、链接、快捷指令等系统入口打开 App，以及打开「信息」里的 Cookmoji 扩展）；制作和分享操作及其结果；点数的获得与花费（记录的是点数数量，不是金额）；通知授权与通知打开；奖励与邀请；以及已公开作品的发布 ID（以 pub_ 开头）。我们还记录少量状态，例如登录方式、Plus 状态、语言和外观设置、小组件与实时活动是否开启、已公开作品数和关注人数的大致区间、奖励与邀请状态，以及这次安装被归因到的广告来源和广告系列。SDK 还会自动生成安装、会话、设备和应用技术信息。我们向两项服务提供同一个经过应用专用哈希处理的账号标识，并将 AppsFlyer 安装标识交给 Firebase，用于结合获客来源与产品使用情况；这些标识是假名化信息，并非匿名信息，并与你的账号关联。App 自己发送的分析事件不包含照片、提示词、搜索词、昵称、邮箱、验证码、邀请码或分享码、私人文件或作品 ID、价格、Apple 交易标识或 RevenueCat 用户标识。

提供与维护服务：登录、生成和保存作品、发布与浏览广场、提供你选择使用的互动与邀请功能、管理点数和购买订阅、核验交易及处理退款，并提供客服。

安全与滥用防范：识别异常登录、处理举报、核验邀请资格并防止同一设备重复领取奖励、发现交易异常，以及按服务条款采取相称措施。这些设备检查用于你发起的邀请和兑换操作，不用于广告追踪。若你认为资格判断有误，可以联系我们请求复核。

改进服务和衡量获客：利用产品分析、运行与购买统计，以及我们收到的故障和性能诊断，了解使用情况、核对服务表现并定位问题；并衡量哪些广告和渠道带来了用户，以及这些用户之后是否注册、制作、购买或分享。

履行法律义务。

我们不会把你的个人信息出售给第三方。

服务提供商：云托管、对象存储、邮件验证码、AI 模型、购买与订阅管理，以及产品分析与来源衡量等服务的提供方。我们向它们提供履行对应服务所需的信息；代表我们处理数据的提供商应按合同和我们的合法指示处理。下文进一步说明 AI 服务、Apple、RevenueCat 与分析服务各自参与的处理。

AI 服务：你选择的照片、参考图和创作指令会发送给 OpenAI，用于理解图片、规划和生成贴纸。启用 DeepSeek 文字模型时，它可能接收创作指令或文字规划等文本，但不会收到你的照片或参考图。制作动图时，生成的贴纸和动画指令会交给所选动画服务提供商，例如 xAI（Grok）或 MiniMax，也可能通过 fal 或为该请求提供托管、转发的服务商处理；该动图步骤不会向动画服务商发送用于生成贴纸的原始照片。你设置的头像和昵称、要公开的作品名称和配字，以及要公开的本地编辑贴纸，会先发送给 OpenAI 的内容安全接口，检查是否违反使用规则；这一步只决定能否公开显示，不用于生成内容。实际接收方取决于所用的功能与服务配置；新增处理须遵守下文的告知和同意规则。

法律要求：在法律要求，或为保护用户与公众的权利和安全所必需时披露。

业务变更：在合并、收购或资产出售中，信息可能随业务转移，届时会提前通知你。

公开内容：你主动发布到广场的作品可供其他已登录用户查看；公开分享或邀请预览也可能向持有对应链接或代码、尚未登录的人展示仍保持公开的作品。撤回发布不等于删除账号中的私有原件，已被他人保存的副本也不会随之删除。

邀请：你接受邀请后，邀请人可以看到你的 Cookmoji 昵称和头像、你已加入，以及你是否、何时完成第一套作品。持有你的邀请链接或邀请码的人可以通过邀请页面或预览服务取得你的昵称和头像，以及可供展示的公开作品。链接指定作品时，预览会优先采用该作品，但前提是它属于你且仍保持公开；没有有效指定作品时，可能展示你最近的公开作品。因此，旧链接不一定始终展示最新作品。用于创作的原始照片、你的邮箱和私有作品不通过邀请预览公开。Apple 参与上文所述的设备资格检查。

昵称和头像：你的昵称和头像用于公开个人资料，可出现在广场、作品旁和邀请预览中；持有公开头像文件链接的人也可能直接查看该头像。新账号使用随机生成的昵称。使用 Google 或 Apple 登录时，我们只取得它们提供的邮箱和账号标识，不取得它们的名字或头像，也不向其他用户展示你的邮箱。你主动上传的头像按这里说明的公开范围使用。你可以在 App 中修改昵称和头像。

购买与订阅：Apple 处理 App Store 收款及其平台交易记录。我们使用 RevenueCat 核验购买凭据、同步订阅与退款状态、把购买对应到你的 Cookmoji 账号，并查看购买服务统计；RevenueCat 会收到上文所述的账号、交易和有关设备与应用信息，代表我们提供这些服务，并按下文「分析服务」所述把购买、续订和退款记录转给 AppsFlyer。它不会仅因集成到 Cookmoji 而取得你用于制作贴纸的照片。有关这部分个人数据的访问、更正或删除请求，可以通过下方联系方式向我们提出。

AI 数据保留：OpenAI 默认不使用 API 数据训练模型；标准滥用监测日志通常最多保留 30 天，但法律要求或保护服务与第三方安全可能需要更长保留。AI 提供商及为请求提供托管或转发的服务商可能为处理请求、防滥用、安全审查和履行法律义务保留必要数据或日志，具体期限取决于适用的 API 服务安排和法律要求。本政策对我们制作原图规定的 30 天保留与清理规则不等于所有第三方日志、缓存和独立记录的统一删除期限。有关这些处理的个人数据请求可以向我们提出；本政策的更新不会自动授权新的训练用途。

分析服务：Google Analytics for Firebase 帮助我们了解产品使用与改进效果；AppsFlyer 帮助我们衡量哪些广告和渠道带来了用户，以及注册、首次制作、购买、分享等关键操作。App 不采集广告标识符（IDFA），不弹出 App 跟踪透明度授权，也不向这两项服务提交广告个性化同意。AppsFlyer 采集 Apple 的供应商标识符（IDFV），只用来识别同一台设备上重新安装的 Cookmoji，不用来在其他公司的 App 之间追踪你；Google Analytics 不采集它。我们开启了 Apple Ads 归因：App 从 Apple 的 AdServices 框架取得一个令牌，AppsFlyer 用它向 Apple 查询这次安装是否来自 Apple Ads 广告系列。对于其他广告平台，Apple 的 SKAdNetwork 和 AdAttributionKit 可以告诉广告平台一次安装之后是否发生了这些操作，不附带用户或设备标识。SDK 仍会处理网络连接所需的信息、安装标识及技术信息；不采集广告标识不表示所有处理均为匿名。退出登录会清除两项服务中的账号标识，之后的事件不再带有它；退出登录不会删除已收到的分析数据，注销账号则会请求两项服务删除这些数据，见「保留与删除」。

分析中的购买收入：收入不来自 App 自己发送的事件。RevenueCat 会在服务器之间把购买、续订和退款的金额、币种、商品 ID、Apple 交易标识，以及购买服务为你的账号使用的用户标识转给 AppsFlyer；RevenueCat 不把这些记录转给 Google Analytics。我们的服务器确认一笔购买、续订或退款后，会用同一个哈希账号标识和 App 的 Google Analytics 实例标识（App 为此发送给我们的服务器），向 Google Analytics 报告金额、币种和商品 ID，不带交易标识或 RevenueCat 标识。

应用与服务之间的网络传输使用 HTTPS/TLS 加密。登录凭据保存在设备钥匙串中，采用仅供本机使用的存储方式。

服务不提供端到端加密，服务器可以访问你上传和发布的内容。没有任何系统能保证绝对安全，请不要上传敏感信息。

账号信息和作品在账号存续期间保留。

用于制作的原始照片、参考图和相关中间图片，按上传后 30 天的保留规则自动清理。清理可能在临近期限时提前开始；如果仍有任务在处理或遇到技术故障，删除可能延迟，我们会继续重试清理。原图完成清理后不能再用于新的制作。生成的贴纸和 GIF 作为你的作品另行保存；头像和客服附件不属于这项制作照片规则。历史备份、对象版本、日志及第三方独立记录按下文及「我们如何共享信息」处理。

你可以在「设置 → 注销账号」提交永久注销。申请受理后，账号被冻结，登录凭据失效，服务内的公开发布被撤下；当前服务数据随后在后台清理。我们还会请求 Google Analytics for Firebase（通过其用户数据删除功能）和 AppsFlyer（通过 OpenDSR 删除请求）删除与你账号关联的分析和归因数据，请求失败时会重试；仅退出登录不会删除这些数据。已经缓存的媒体或已签发的短期访问凭据可能在更新或到期前短暂保留访问能力。注销不会远程删除他人已经保存的文件，也不会自动取消 Apple 订阅或删除 Apple 独立保存的交易记录。

历史备份、对象版本和必要的安全或运维日志可能在各自的轮换、到期或清理周期内继续保留，不能将活跃服务的删除时间理解为所有历史副本同时被物理删除。我们仅为必要的灾难恢复、安全、履行法律义务或处理争议使用这些保留资料，并以相应目的、系统轮换周期和适用法律确定期限，在不再需要时删除或去标识化。我们保留与执行注销所需的有限独立删除记录，防止备份恢复把已注销账号重新变为可用账号；该记录的用途不包括恢复原账号的日常使用。

已经导出或下载到你或他人设备上的文件，不在这次删除范围内。

购买与防滥用记录：为核对已经发生的交易、处理退款或争议、履行财务和法律义务，或防止重复领取奖励，可能需要在注销后保留有限的交易、奖励与资格记录。保留范围和期限以处理具体事项及履行适用义务所必需为限；这不授权将已注销账号重新用于营销或日常服务。Apple 独立保存的平台交易资料按其规则处理；DeviceCheck 的设备标记独立于 Cookmoji 账号，注销不会重置它们。若需了解与你有关的保留记录或提出删除请求，请联系我们。 注销账号后，我们会在后台请求 RevenueCat 删除关联客户记录；请求失败时会重试。这不表示你提交注销的瞬间，所有第三方副本都已物理删除。

你可以在应用内查看和修改昵称与头像，可以随时撤回已发布的作品，也可以永久注销账号。

你可以随时在「设置 → 帮助与关于 → 分析与改进」关闭这台设备上的产品分析与来源衡量。关闭后，App 不再从这台设备向 Google Analytics for Firebase 和 AppsFlyer 发送分析数据，购买记录也不再以这台设备的标识回传给它们；Apple 的 SKAdNetwork 和 AdAttributionKit 由系统发送、不附带用户或设备标识的回传不受这个开关影响。关闭不会删除已经收到的数据；注销账号会请求删除与账号关联的数据，详见「保留与删除」。

需要一份你的数据副本，或对我们处理数据的方式有异议，可以通过下方邮箱联系我们。

加利福尼亚州（CCPA/CPRA）：你有知情、删除、更正、限制敏感个人信息使用的权利，以及不因行使这些权利而受到差别对待的权利。我们不出售个人信息，也不为跨上下文行为广告而「分享」个人信息。

内华达州：我们不出售该州法律定义下的个人信息。

欧盟与欧洲经济区：在 GDPR 适用时，我们为提供你请求的账号、创作、购买、订阅和奖励服务而处理必要的数据，依据是履行与你的合同；为保护服务安全、防止欺诈或滥用以及改进可靠性而进行必要且相称的处理，依据是我们的合法利益，但不得凌驾于你的权利之上；依法必须保存或披露的信息以履行法律义务为依据。法律要求同意的其他处理以你作出的有效同意为依据，你可以随时撤回，撤回不影响之前处理的合法性。接受条款本身不替代法律对终端设备访问等行为单独要求的同意。你可依法行使访问、更正、删除、限制处理、可携带和反对的权利，并向有管辖权的数据保护机构投诉；请求可通过下方联系方式提出。

跨境处理：为提供本政策所述服务，我们和上述服务提供商可能在你所在国家或地区以外处理数据，包括美国及实际服务提供商开展处理的其他国家或地区，当地的数据保护规则可能不同。对于受法律限制的跨境传输，我们必须在传输前具备适用法律认可的依据和所需保障，例如适用的充分性决定或有效的合同保障。你可以通过下方联系方式了解与你的数据有关的实际接收方、处理国家或地区和保障措施，并依法获得相关说明或副本。如果某项传输依法需要单独同意，我们须为该项传输另行取得；接受本政策本身不等于这项同意。

Cookmoji 不面向未满 13 周岁的人。如果我们发现未满 13 周岁的人注册了账号，会删除该账号及其数据。

本政策更新时会修改页面顶部的日期。对于处理目的、数据类别、接收方或你的权利发生的重大变更，我们必须在按新安排处理相关数据前，完成适用法律要求的告知，并在需要时取得同意。仅更新本政策或你继续使用服务，不构成法律要求的额外同意，也不允许我们追溯扩大既有数据的用途。

隐私相关的问题，请通过下方的邮箱联系我们。