隐私政策

1. 数据控制者

你的个人数据控制者是上文所列明的运营方。如有任何隐私相关请求，请使用其中列出的联系方式。

2. 我们收集哪些数据

• 账户数据：姓名、电子邮箱、电话号码（选填）、密码（由我们的身份提供商以哈希形式存储）、性别（用于适用女性专属工作室规则，并用于确定你计划中的能量目标）、出生年份（选填）、你的语言，以及你的国家/地区（取自手机的地区设置，而非手机的位置）。
• 预约和会员数据：方案、付款状态、预约、出勤情况。
• 支付数据：网站上的付款由 Stripe 处理，app 内购买由 Apple（App Store）或 Google（Google Play）处理。我们只接收结果——产品、其状态和日期，以及交易或购买标识符——绝不会接收你的完整卡片信息。
• 健康教练数据：你的目标、饮食偏好和过敏信息、你告诉我们的健康状况或伤病、你每天的身心状态、饮食记录、身体指标（如身高、体重）、睡眠、步数、训练记录、你训练时使用的器材和场所、与 Wyla 的聊天消息，以及她记住的关于你的信息。
• 来自 Apple Health 或 Health Connect 的数据，仅在你连接它们时收集（第 4 条）。
• 你选择发送的照片和文件、条形码扫描器、跑步、步行和骑行时的位置，以及（仅在你开启时）用于天气的训练大致区域（第 5 节）。
• App 数据：通知令牌、使用事件、错误报告和引导课程时间线（第 6 条）。
• 你发送给我们的内容：来自 app 的反馈、退款申请和撤回声明，以及网站上的联系表单和候补名单（姓名、电子邮箱、留言）。
• 技术数据：用于保持登录状态的有限本地存储；用于安全性和可靠性的基础日志。

3. 健康相关数据（特殊类别）

部分健康教练数据（如过敏信息、身体数据、睡眠、训练、饮食记录）属于 GDPR 第 9 条下的特殊类别数据。我们基于你的明确同意处理此类数据；该同意通过创建账户时单独的勾选框给出（对于已有账户，则在 app 内给出），并记录你同意的日期和文本版本。你可以随时通过在 app 中删除账户或写信给我们来撤回同意——撤回不会影响此前的处理。

如果你的账户没有同意记录（例如，因为账户创建于该勾选框出现之前），app 会在首页顶部请求你的同意。在你给出同意之前，从 Apple Health 或 Health Connect 读取的任何数据都不会被保留，Wyla 也不会回复你，因此你的健康数据不会被发送给 OpenAI；在此期间你自己输入的内容（例如一餐、体重或一次训练）仅会存储在你的账户中，以便 app 向你显示。

4. Apple Health 和 Health Connect

连接 Apple Health（iPhone 上）或 Health Connect（Android 上）是可选的，不连接 app 也能正常使用。除非你已给出第 3 条所述的健康数据同意，否则 Wylo 不会保留从中读取的任何数据；当前版本的 app 在你给出同意之前不会读取任何数据：如果你尚未同意，app 会在你选择连接时请求同意。连接后，Wylo 仅读取你在手机权限界面中允许的数据类型，你可以随时在 Health Connect 或 iPhone 的“健康”设置中撤回该权限。自那时起，不会再读取任何新数据；已导入的数据会保留在你的 Wylo 历史记录中，直到你删除账户或要求我们删除，已导入的训练和餐食也可以在 app 中逐条删除。如果你允许，app 还会在后台同步（在 Android 上约每六小时一次）；首次连接时，它会一次性导入你过去最多两年的训练记录，让你的计划从你真实的训练历史开始。

读取的数据与你的账户一起存储在我们位于欧盟的服务器上，并由 Wyla 用于规划和调整你的训练与饮食——因此，它也是 Wyla 回复你时发送给 OpenAI 的内容的一部分（第 8 条）。从 Apple Health 或 Health Connect 读取的数据绝不会被出售，绝不会用于广告或营销，绝不会用于信贷或保险相关决策，也绝不会提供给第 8 条所列、代表我们处理这些数据以提供上述功能的服务提供商以外的任何人。除非你要求我们这样做（例如你报告问题时）、出于安全需要或法律要求，否则 Wylo 的工作人员不会查看这些数据。我们对从 Health Connect 获得的信息的使用遵守 Health Connect 权限政策，包括有限使用（Limited Use）要求。

经你许可，我们读取哪些数据及其原因——以及我们写入的唯一一种数据：

• 锻炼时段（训练）：你在其他 app 或手表上记录的训练的类型、开始和结束时间、时长、能量和距离，让 Wyla 的计划将其计入，而无需你再次记录。
• 心率：每次导入的训练期间的心率，以及引导跑步期间的实时心率，用于显示一次训练的强度，并设定之后训练的强度。
• 睡眠：你每晚的睡眠时长（以及任何小睡），让 Wyla 能考虑你的恢复情况——例如，在你睡得少的第二天减轻训练强度。
• 体重和体脂：用于跟踪你实现目标的进度，并确定饮食计划中的能量和蛋白质目标。
• 营养：对于在其他 app 中记录的每一餐，其能量、蛋白质、碳水化合物和脂肪，记录它的 app 的名称（在 Health Connect 上，如果该 app 为这餐命名，则为这餐本身的名称），以及进食时间，让你的饮食记录以及当天目标的剩余量保持完整。
• 步数和活动消耗的卡路里：每日总量，显示在首页上，并计入你当天消耗的能量。
• 总消耗卡路里和距离（Health Connect）：每次导入的训练的能量和距离，用于你的训练总结和配速进步。
• 训练路线（仅限 Apple Health）：对于户外训练，路线仅在你的 iPhone 上用于计算随时间推移所覆盖的距离；GPS 坐标不会发送给我们。
• Wylo 写入的数据——营养：当你将一餐标记为已吃时，我们会将其名称、餐次类型、能量、蛋白质、碳水化合物和脂肪写入 Apple Health 或 Health Connect，让你的其他健康 app 看到相同的饮食记录。Wylo 不写入任何其他数据。

5. 相机、照片、文档和位置

app 仅在你自己发起的操作中使用你的相机、照片和位置：

• 你发送的照片：餐食照片（用于估算盘中食物）、与 Wyla 聊天时发送的照片，或健身房照片（用于识别器材）。这些照片会发送到我们的服务器和 OpenAI，由 OpenAI 读取。餐食照片和聊天照片保留在你的历史记录中；健身房照片在器材识别完成后不会被存储。我们不使用手机可能存储在照片中的位置信息。
• 你在与 Wyla 的聊天中发送的文档：PDF、Word、Excel、CSV 和文本文件，每条消息最多 10 页（每张照片计为一页）。这些文档会发送到我们的服务器和 OpenAI，由 OpenAI 读取，以便 Wyla 回复你：PDF 按原样发送；其他文件则由我们在服务器上提取文本，只发送该文本。我们会保存文档，以便你之后问起时 Wyla 可以重新阅读——PDF 保存文件本身，其他文件保存我们提取的文本——保存在我们位于欧盟的服务器上；她重新阅读时，文档会以同样的方式再次发送给 OpenAI。你可以在 app 的“账户 › Wyla 的记忆”中查看并删除每一份文档，所有文档都会随你的账户一并删除。
• 条形码扫描器：相机图像由 Google ML Kit 在你的手机上读取，只有条形码数字会发送给我们，用于在 Open Food Facts 中查找该产品。任何图像都不会离开你的手机。
• 训练期间的相机：当前版本的 app 不提供相机动作指导功能，因此 app 在训练期间不会使用相机。在推出该功能之前，我们会更新本政策。
• 跑步、步行和骑行期间的位置：当你在 app 中开始一项此类活动时，app 会请求位置权限，并使用手机的 GPS 测量距离和配速，锁屏时也会如此（在 Android 上，追踪进行期间会显示一条通知）。GPS 坐标保留在你的手机上：只上传本次训练的距离、配速、时间和心率，绝不上传路线。除此和天气（下一项）之外，app 不会使用你的位置。
• 训练地点的天气：仅在你开启时（在首页），app 会以低精度读取手机位置，在手机上将其取整为约 10 公里的区域，并只把这个区域发送给我们。我们将其与你的账户一起保存，在你使用 app 时最多每六小时更新一次，并用它向挪威气象研究所（MET Norway）查询该区域的天气预报——从我们的服务器发出，不含任何能识别你身份的信息——以便 Wyla 能因炎热、寒冷、降雨或大风建议调整训练时间或减轻训练，并在炎热时放慢引导跑的目标配速。如果你关闭 app 的位置权限，我们会在你下次打开 app 时删除已保存的区域；删除账户也会将其删除。天气预报来自 MET Norway，依据 CC BY 4.0 许可使用。
• 麦克风：app 不录制音频。当前版本不提供训练期间的语音指令。

6. 通知、app 使用情况和错误报告

我们不展示广告，不使用其他公司的广告或分析服务，app 也不使用你设备的广告标识符。app 向我们发送的内容：

• 通知：如果你允许，你手机的通知令牌会保存在你的账户中，以便 Wyla 的提醒和消息能送达你。通知由 Google 的 Firebase Cloud Messaging（使用其自己的安装标识符）发送，在 iPhone 上则由 Apple 的推送通知服务发送。你可以随时在手机设置中关闭通知。
• 使用事件：我们自己记录少数几个步骤——例如，订阅优惠已向你显示、你开始了一个计划或订阅已开始——如果你是通过我们的某个推广活动链接进入的，还会记录是哪个活动。我们仅将其用于了解和改进 Wylo，不会将其提供给广告或分析公司。
• 错误报告：当 app 中某项操作失败时（例如无法完成购买），app 会向我们发送错误代码、技术错误的第一行及其在我们代码中发生的位置、所在界面、app 版本和平台。我们不会在其中添加你的消息、餐食或健康数值。如果你删除账户，这些报告仍会保留，但不再与你有任何关联。
• 引导课程时间线：如果你已给出健康数据同意，app 会记录引导课程中发生的情况——计划的步骤（其名称）及其时间安排、暂停、配速提示、Wyla 说话的时间点和每句话的长度、课程用时和 app 测得的距离，以及任何技术错误——以便我们发现并修复引导课程中的问题。时间线不包含心率或其他来自 Apple Health 或 Health Connect 的数据，不包含 Wyla 对你说的内容，也不包含相机图像和位置，并会随你的账户一起删除。
• 训练心率：在你已给出健康数据同意并授权访问 Apple Health 或 Health Connect 的情况下，引导课程可以在你的训练记录中保存可获取的心率读数、整个课程及各分段的平均值和最大值，以及一条经采样的心率曲线。这既适用于户外课程，也适用于室内训练。Wyla 可以使用这些记录来回顾你的训练。实时读数只会在数据仍为最新时显示；已连接的手表可能不提供实时读数。这些健康读数与诊断用时间线相互独立，不会用于广告，并会随你的账户一起删除。引导跑步期间，手机的运动传感器数据会在设备本地用于显示步频；步频读数不会上传。

7. 我们为何使用你的数据及其法律依据

• 为提供工作室、咖啡馆、预约和账户服务——履行合同（第 6(1)(b) 条）。
• 为处理付款并履行会计和税务义务——法定义务（第 6(1)(c) 条）。
• 为提供健康教练并保存你的偏好和健康输入——你的同意（第 6(1)(a) 条及第 9(2)(a) 条）。
• 为保障我们的服务安全并改进服务——我们的合法利益（第 6(1)(f) 条）。
• 为发送服务消息，或在你同意的情况下发送营销消息——合同或同意。

8. 谁为我们处理数据（处理者）

以下服务提供商代表我们处理数据：他们按照我们的指示行事，且仅在提供其服务所必需的范围内处理数据。我们不出售个人数据，也不与广告商共享。

以下各方不在此列表中，因为它们不是我们的处理者：Apple（App Store）和 Google（Google Play）——app 内购买通过它们进行，它们作为独立的控制者，根据其自身的条款和隐私政策处理这些购买，只向我们发送结果（第 2 条）；以及我们的服务器为查询营养值而访问的公共食品数据库（Open Food Facts 和 USDA FoodData Central）——我们只向其发送条形码数字或食品名称，不发送任何能识别你身份的信息。挪威气象研究所（MET Norway）也不在此列：我们的服务器向其查询约 10 公里区域的天气预报——只发送区域，不发送任何能识别你身份的信息。

• Amazon Web Services（AWS），位于欧盟：托管、数据库、你的照片存储、登录（Amazon Cognito）以及我们的电子邮件。
• OpenAI：生成 Wyla 的回复和计划，并读取你发送的照片和文档。为此，它会接收你的消息、照片和文档，以及 Wyla 回复你所需的个人资料、健康和训练数据。我们要求它不要存储这些数据以供日后查看；根据其面向 API 客户的条款，它仅在有限期限内保留这些数据以检测滥用行为，且不将其用于训练其模型。
• Stripe：网站上的付款。
• Google：Firebase Cloud Messaging（发送通知）、Cloud Text-to-Speech（将 Wyla 在引导课程中所说内容的文本转换为音频），以及 ML Kit——它在你的手机上读取条形码，仅向 Google 发送有关其使用情况和性能的技术信息，绝不发送图像。
• Apple：在 iPhone 上发送通知（Apple Push Notification service）。

9. 国际传输

大部分处理发生在欧盟境内。如某服务提供商（例如 OpenAI、Google、Apple 或 Stripe）在欧洲经济区之外处理数据，该传输将通过适当保障措施予以保护，例如欧盟委员会的标准合同条款，或者对于已获该框架认证的服务提供商，欧盟—美国数据隐私框架（EU–US Data Privacy Framework）。

10. 我们保留数据多久

只要你的账户处于激活状态，我们就会保留账户、预约和健康教练数据；此后也会在履行法律义务所需的范围内继续保留（例如会计记录，通常按法律要求的期限保留）。如果法律没有要求我们继续保留，你可以要求我们更早删除数据。

付款的财务记录（发票、交易）由我们的支付处理商 Stripe 按法定期限保留；当你删除账户时，app 内的支付历史也会随你的其他数据一并删除。

删除账户后，我们可能保留完全匿名的汇总统计数据（例如账户存续月数、训练次数、流失月份）——不包含姓名、电子邮箱、标识符或对话内容，因此无法关联到任何个人。

11. 你的权利

• 访问、更正和删除——可直接在 app 中永久删除账户（账户 → 隐私与数据）。
• 数据可携带权——可直接从你的账户导出完整 JSON。
• 对助手记忆的控制：在“Wyla 的记忆”中，你可以查看她记住的所有内容，并删除任意单项内容。
• 限制或反对处理；可在设置中关闭主动消息和每周自动计划。
• 可随时撤回同意，且不影响此前的处理。
• 向罗马尼亚监管机构（ANSPDCP，dataprotection.ro）提出投诉。

12. 自动化处理

健康教练会根据你提供的输入自动生成建议。这些建议不具约束力，也不会产生法律或类似的重要影响；是否采取行动由你决定。

13. Cookies 和本地存储

我们仅使用运营网站和保持你登录状态所必需的存储。我们不使用第三方广告 Cookies。

14. 安全

我们采用技术和组织措施来保护你的数据，包括传输中加密、凭证哈希、访问控制，以及在敏感标识符（如类似卡号的数字）到达 AI 或存储系统之前自动进行脱敏处理。

15. 儿童

我们的服务面向成年人（18+）。我们不会在明知情况下收集儿童数据。

16. 变更与联系

我们可能会更新本政策；当前版本发布于此处。如有任何问题或需行使你的权利，请使用上述联系方式与我们联系。