隐私政策

版本 3.2.0 · 生效日期：2026 年 9 月 17 日

第 1 条我们是谁，以及如何联系我们
第 2 条本政策的适用范围
第 3 条简短版
第 4 条一览表
第 5 条 QuickDate模式与蝴蝶模式：你账号的两面是什么关系
第 6 条我们收集的个人信息类别
第 7 条敏感个人信息
第 8 条我们不出售你的个人信息，也不为广告而共享它
第 9 条我们凭什么可以使用你的信息
第 10 条我们保存多久
第 11 条自动化与 AI 功能，以及它们做不到的事
第 12 条语音功能与麦克风
第 13 条服务提供商与其他接收方
第 14 条你的数据在哪里处理：跨境传输
第 15 条举报、拉黑，以及我们对此如何处理
第 16 条你在应用里真正拥有的控制
第 17 条删除账号，以及删除会移除什么、不会移除什么
第 18 条我们如何保护你的信息——以及在哪些地方它比你以为的更薄弱
第 19 条侵权内容与删除请求
第 20 条你在加利福尼亚州的隐私权利
第 21 条你在美国其他州的隐私权利
第 22 条如何提交隐私请求
第 23 条日本：利用目的与你在《个人信息保护法》下的权利
第 24 条日本：从你的设备向外部发送的信息
第 25 条日本：18 岁以上与禁止的招揽行为
第 26 条年龄要求与未成年人
第 27 条 Apple App Store 隐私标签
第 28 条本政策的变更
第 29 条联系方式
第 30 条本版本更正了什么

版本 3.2.0
生效日期：2026 年 9 月 17 日
本版本完整取代 2026 年 8 月 25 日的隐私政策。

3.2.0 的变更：6.4 新增了我们的服务器为已上传的媒体文件生成的副本，以及应用在设备缓存中保存的内容。第 3 条、第 13 条、第 14 条和第 23 条现已正确载明数据所在的位置：数据库在美国，上传的文件存储在日本，后端运行在台湾。

3.1.0 的变更：第 12 条新增了一对一直接通话（语音与视频），包括通话既不被录制也不被保存，以及我们确实会保存哪些与通话有关的信息。第 18 条已更新，以反映此后收紧的访问规则。

本政策用平实的语言说明：CHRYSA 收集哪些个人信息、为什么收集、交给谁、保存多久，以及你可以要求我们做什么。它覆盖应用的两面：QuickDate模式，也就是约会与约会规划的那一面；以及蝴蝶模式，也就是化名社交的那一面。

这份文件是写来给人读的，不是写来让人一眼扫过去的。凡是诚实的答案并不好听——某样东西并不会被删除、某项保护的适用范围比你设想的更窄、某个功能我们还没做出来、某个自动系统并不可靠——我们都照实写，而不是给出一个我们兑现不了的承诺。上一版本政策里有几处说法是错的。我们把代码重新读了一遍，把每一条事实性表述都对着软件实际的行为核对过，才发现它们。更正清单放在第 30 条，没有埋起来，因为你有权知道我们此前告诉过你哪些不属实的话。

第 1 条我们是谁，以及如何联系我们

CHRYSA APP Inc 是一家美国特拉华州 C 型公司（C corporation），作为 CHRYSA 的母公司，拥有 CHRYSA 品牌、应用和服务。运营实体及其责任仍如下文所述。用户继续保留对其自身内容的所有权。公司及联系信息更新日期：2026 年 10 月 12 日。

CHRYSA 由两家关联公司共同运营。两家公司是你个人信息的共同控制者，对本政策所述的各项做法共同负责：

YoYo LLC（美国）
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States

YoYo KK, Ltd.（日本）
566 Tensho Office Hamamatsucho Daimon, Eagle Hamamatsucho
2-7-17 Hamamatsucho, Minato-ku, Tokyo 105-0013, Japan

本政策涉及的一切事项——隐私权利请求、索取你的数据副本、关于本政策的疑问、投诉、举报不良内容或滥用行为的用户、要求删除侵犯你权利之内容的请求，以及在应用之外要求删除账号的请求——唯一对外公布的联系地址是：

support@chrysa.app

该地址接收英语和日语来信。日语的投诉与请求由 YoYo KK, Ltd. 以日语处理。你也可以寄信至上述任一通信地址。我们力求在 3 个工作日内确认收到每一封来信；针对不良内容和滥用行为用户的举报，我们按第 15 条所述的时限处理。

在日本《个人信息保护法》下，YoYo KK, Ltd. 是面向日本用户的个人信息处理事业者，上述东京地址为其注册营业所。其代表董事的姓名载于该公司在日本商业登记簿中的登记事项；你写信到 support@chrysa.app 询问，我们会立即告知。

第 2 条本政策的适用范围

本政策适用于 iOS 与 Android 上的 CHRYSA 移动应用、支撑它的后端服务，以及你发送至上述联系地址的往来信件。CHRYSA 在日本和美国提供，界面语言为英语、日语和中文。

CHRYSA 仅面向年满 18 周岁的成年人。参见第 26 条。

本政策不适用于你通过 CHRYSA 跳转访问的第三方服务。你点击进入某家店铺自己的网站或预订页面时，该店铺及其网站运营方按其自身政策处理你的信息，而不是按本政策。我们应你的要求向店铺提交预订时也是如此，详见第 13 条。

CHRYSA 里没有广告，没有广告 SDK，除了用来了解应用自身运行状况的 Google Analytics for Firebase 之外，也没有任何分析或归因 SDK。应用目前不处理任何支付：CHRYSA 不收集、不接收、不存储卡号、银行信息或任何其他支付凭证，我们不使用任何支付机构，两个模式里都没有应用内购买或订阅。

第 3 条简短版

如果你只读一段，就读这一段。下面每一条后文都有展开，每一条都是我们对着代码核对过的，不是想当然的。

我们不出售你的个人信息，也不为跨场景行为广告而共享它。过去十二个月里两件事我们都没做过。这个应用里没有广告网络、追踪 SDK、归因 SDK 或数据经纪商。
我们不跨其他公司的应用和网站追踪你，因此不会向你弹出 App Tracking Transparency 授权提示。
我们不录制语音匹配或语音房的音频。那些音频由 Agora 实时承载，从不进入我们的服务器。
你的资料、消息以及账号的其余数据存储在我们数据库所在的美国，日本用户也是如此。上传的照片、视频和身份证件存储在日本，我们的后端运行在台湾。第 14 条说明这具体意味着什么、由谁接收。
如果你授予定位权限，你的精确坐标会存在你的账号记录里，而任何已登录 CHRYSA 用户手机上的应用都读得到这条记录。你的出生日期、电话号码和电子邮箱地址同样如此。第 18 条完整说明了这件事。这是本文件中关于「你的数据受到何种保护」最重要的一段，而实际情况并不像你大概会以为的那样严密。
我们还在你当前位置之外，另外保留一份 GPS 历史日志——一份带日期的坐标清单。上一版政策说我们没有。那是错的。见 6.6。
你写下的文字会发送给 OpenAI 进行自动审核，包括动态、评论、语音房标题、资料文字，以及你在两个模式里发出的聊天消息。上一版政策说评论和语音房标题不会被发送。那是错的。见 6.16 和第 11 条。
蝴蝶模式对其他用户是化名的。它对我们不是匿名的。你的蝴蝶资料与你的约会资料存放在同一个账号标识符之下，我们可以把两者对应起来。我们在第 5 条把这一点讲明白，而不是任由你误会。
如果你让我们代订餐厅，你的姓名、电话号码、电子邮箱地址，以及任何饮食或过敏备注，会先到 Browser Use, Inc.——替我们运行自动预订浏览器的公司——再到店铺，而店铺是一家独立经营的商家。第 13 条有完整说明。
有些事件会通过一家叫 Resend 的公司向 CHRYSA 员工发送邮件。提交身份证件核验会发送你的姓名、账号邮箱地址和账号标识符；预订失败会发送你的姓名和账号邮箱地址。上一版政策完全没有提到 Resend。见 6.24。
我们收集崩溃诊断信息，其中包含你的账号标识符、你当时所在的页面，以及你最近若干次操作的轨迹。今天，删除账号并不会删除这份记录。我们把这件事告诉你，而不是藏起来。见 6.20 和第 17 条。
应用里没有「下载我的数据」按钮。写邮件给我们，我们人工整理后发给你。见第 22 条。
应用里没有关闭产品分析的开关。它对所有人都是开着的。见 6.19。
你可以在应用内从任一模式删除账号，删除同时覆盖QuickDate模式和蝴蝶模式，而且做得相当彻底。第 17 条逐项列出它删除什么、它有意保留哪些安全记录，以及它漏掉的那一项。

第 4 条一览表

这是概览表，刻意写得短；第 6 条才是按类别展开的完整版本。「保留至你删除账号为止」意思是没有自动过期——只要你还有账号，这些信息就一直在。

登录与账号
内容：电子邮箱地址、姓名、登录标识符、登录方式、出生日期。
用途：创建并保护你的账号，执行 18 岁以上的规则。
保留：至你删除账号为止。
还有谁看得到：Google（Firebase）；若你使用 Apple 登录，还有 Apple。

约会资料
内容：照片、简介、性别、偏好、身高、职业、学校、生活习惯、兴趣。
用途：展示你的资料，运行匹配。
保留：至你清空该字段或删除账号为止。
还有谁看得到：其他 CHRYSA 用户；OpenAI（文字与照片，用于审核）。

精确位置
内容：你的 GPS 坐标，据其推算出的城市与国家，以及一份带日期的历史坐标日志。
用途：附近店铺、地图结果、匹配中的距离、国家匹配池。
保留：当前位置会被覆盖；历史日志保留至你删除账号为止。
还有谁看得到：Google 地图与 Places、Apple 的地理编码服务；当前坐标还会被任何已登录 CHRYSA 用户的应用读到，用来算出与你的距离。

消息与动态
内容：你的聊天、动态、评论、房间文字和看板帖子的全文，以及图片和视频。
用途：投递并发布你写下的内容。
保留：至你删除它们或删除账号为止。语音房的文字在房间关闭一小时后清除。
还有谁看得到：你发送或发布的对象；OpenAI（文字与动态图片，用于审核）；Expo（QuickDate模式消息的前 40 个字符，包在推送通知里）。

蝴蝶资料
内容：昵称、头像、星球、兴趣标签，以及以五个数字存储的五题测试结果。
用途：给你一个化名身份，并据此匹配。
保留：至你删除账号为止。
还有谁看得到：其他蝴蝶模式用户看得到昵称、头像、星球和标签。你使用聊天建议时，OpenAI 会看到标签和星球。

身份证件
内容：你上传的证件照片、证件类型、审核结论。
用途：可选的身份核验，通过后可接受邀请、使用快速约会、开设语音房。
保留：核验记录保留至你删除账号为止。证件图像没有自动清除机制——你可以要求我们删除。
还有谁看得到：负责审核的 CHRYSA 员工。另有一封邮件通知员工你已提交，其中含你的姓名、邮箱和账号标识符——但绝不含图像本身。

预订
内容：预订用姓名、电话、邮箱、人数、日期、时间，以及任何饮食或过敏备注。
用途：完成你要求的预订。
保留：至你删除账号为止。
还有谁看得到：Browser Use, Inc.、店铺本身，以及 CHRYSA 员工——机器失败时，由他读这些内容并打电话给店铺。

语音
内容：频道标识符、麦位与房间状态、房内有谁、时间戳。不包括音频。
用途：接通通话，管理房间秩序。
保留：房间文字与成员记录在房间关闭一小时后清除；语音匹配记录在通话结束 60 分钟后清除。
还有谁看得到：Agora，它在参与者之间承载实时音频，不为我们存储音频。

崩溃与诊断
内容：设备型号、系统版本、应用版本、你当时所在的页面、你的账号标识符、会话标识符，以及你近期操作的轨迹。
用途：定位并修复缺陷。
保留：无限期。这一项目前在你删除账号时不会被删除。见 6.20。
还有谁看得到：Google（Firebase）；摘要告警邮件还会到 Resend 和 CHRYSA 员工那里。

安全记录
内容：你提交的举报和关于你的举报、拉黑记录、审核决定——对被自动抹除的消息而言，还包括所写内容的前 1,500 个字符。
用途：保护他人安全，防止被封账号卷土重来。
保留：在你的账号删除之后仍然保留。这是有意的。见 6.23 和第 17 条。
还有谁看得到：CHRYSA 审核人员；在法律要求时，执法机关。

第 5 条 QuickDate模式与蝴蝶模式：你账号的两面是什么关系

这是理解 CHRYSA 隐私问题最重要的一件事，所以我们把它放在靠前的位置。

QuickDate模式是约会那一面。它用的是真实资料：你的姓名、照片、年龄，以及你愿意填写的资料项。

蝴蝶模式是化名那一面。它用的是系统自动生成的昵称（一个形容词、一个名词加两位数字）、十六个插画头像中的一个、五题性格测试的结果、系统分配的星球，以及三到八个兴趣标签。蝴蝶模式里没有你的照片，也没有真名。

面向其他用户，这两个身份是分开的，而且我们是刻意造出这道隔离的，不是指望别人不去看。你的蝴蝶资料与你的约会资料是两条独立记录。它不带照片、不带真名，也不带任何指向约会资料的指针。应用里没有任何功能把两者连起来。没有跨模式揭示，也没有「找出这个人的约会资料」这种功能。两套聊天系统完全不共用存储。蝴蝶模式的聊天和QuickDate模式的聊天永远不会出现在对方的列表里。你的点赞记录只有你自己读得到。你的关注列表只能以你自己的身份查询。别的用户无法借助 CHRYSA 推断出哪个QuickDate模式资料对应哪个蝴蝶昵称。

匿名动态受到同一标准的保护，而且比你可能想的还要小心。你在广场发布内容而不显示作者时，动态记录里并不存在一个「隐藏的作者字段」让有心人去读——那个字段根本不存在。真实作者记录在附着于该动态的一条独立私有记录里，任何用户（包括你自己）在任何情况下都无法从应用中读取它。规则要求这条私有记录必须先于动态本身写入，因此两者之间不存在可以被钻空子的时间差。而当有人举报一条匿名动态时，举报记录本身对所有客户端都不可读，正是因为举报会解析出真实作者。举报匿名动态不能被用来揭穿写它的人。

我们应当把这道隔离「是什么、不是什么」讲准确。它隔离的是内容，以及其他用户能触及的范围。它不等于说蝴蝶资料本身是隐藏的。像任何社交资料一样，它对没有拉黑你的、已登录的蝴蝶模式用户是可见的——这正是社交资料之所以为社交资料。

面向我们，它们是同一个账号，我们想讲清楚机制，而不是给一句安慰。你的蝴蝶资料存放在与约会资料相同的账号标识符之下。我们这一侧的一次特权读取，就能把一个蝴蝶昵称与一个真名、一张照片、一个出生日期、一个电话号码和一组坐标对上。拉黑与举报在两个模式里都以同一个标识符为键。你账号上的一个推送令牌同时服务两个模式。你的蝴蝶国家/地区是从QuickDate模式定位推算出的国家复制过来的。你最初的蝴蝶兴趣标签是从QuickDate模式的兴趣里播种来的。而开设蝴蝶语音房，需要你在QuickDate模式提交政府证件后获得的已认证状态。

我们这样做是出于安全、防滥用、执行条款和遵守法律的需要。我们把它明说出来，是因为另一种做法——暗示蝴蝶模式对 CHRYSA 也是匿名的——是不实的。CHRYSA 所说的匿名，是对其他用户的化名。它不意味着对我们隐形。

关于拉黑，如实说明。两个模式给你的工具不同，而且互不连通。蝴蝶模式有完整的拉黑：立即生效、双向生效、由我们的服务器而不是应用来执行，覆盖广场、评论、蝴蝶资料、蝴蝶匹配、蝴蝶聊天和蝴蝶语音。QuickDate模式没有对应功能。它有的是「隐藏资料」，把那个人从你的匹配卡池里移走；「取消匹配」，结束匹配、删除对话，并把双方从彼此的卡池里移走；以及「举报用户」，把该账号交给我们的安全团队。

由此引出两件具体的事，两件都不显然。第一，你在一个模式里做的事完全不会带到另一个模式。在蝴蝶模式拉黑某人，不会把他从你QuickDate模式的卡池里隐藏；在QuickDate模式隐藏某人，也不会在蝴蝶模式把他拉黑。如果有人在两处都在骚扰你，你必须在两处都动手。第二，QuickDate模式的「隐藏资料」是单向的：应用只会把人加进你的隐藏名单，应用里没有任何页面能把人从名单上取下来。如果你误隐藏了谁，请写信给我们，我们替你移除。

举报是真正共享的：无论从哪个模式提交，举报都进入同一个队列、由同一个团队审看。QuickDate模式的直接拉黑功能，以及取消隐藏的功能，都在我们的清单上，上线时我们会更新本政策。

第 6 条我们收集的个人信息类别

每一类我们都说明：它是什么、从哪里来、我们为什么用它、谁会收到它，以及我们保存多久或据以判断的标准。除非另有更短的期限，与你账号相关的信息保存至你的账号存续期间结束，其后按第 17 条处理。

凡本条写「提供给 Firebase」，意思是该信息存储于或处理于 Google 的 Firebase 平台（Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、Analytics、Cloud Messaging、App Check 与 Remote Config），Firebase 依合同作为我们的服务提供商。Firebase 支撑着 CHRYSA 几乎全部存储，因此它是下列每一类信息的接收方，我们不再逐条重复。

6.1 账号与身份数据

内容：你的电子邮箱地址、你的名与姓、注册时签发的账号标识符、你使用的登录方式（Apple、Google 或邮箱加密码），以及若你使用 Apple 登录，则还有 Apple 用户标识符和 Apple 提供的邮箱地址——如果你选择了隐藏邮箱，那会是一个私密转发地址。
来源：你本人；若你使用第三方登录，还有 Apple 或 Google。
用途：创建并保护你的账号、验证你的身份、就账号事务和安全事项联系你、回应你的请求。
提供给：Firebase Authentication；你所选登录方式对应的 Apple 或 Google；OpenAI，它会收到你写下的资料自由文本以供自动模型筛查，详见 6.16；Resend 与 CHRYSA 员工，仅限 6.24 所述的特定告警邮件。
保留：至你删除账号为止，其后按第 17 条处理。
提示：你的账号记录可被任何已登录的 CHRYSA 用户读取。第 18 条说明原因和后果。

6.2 出生日期与年龄

内容：你在注册时填写的出生日期，以及据其推算的年龄。
来源：你本人。
用途：执行年满 18 周岁的要求、在你的QuickDate模式资料上显示年龄、应用基于年龄的匹配偏好。
提供给：除我们的服务提供商外无人，但请看下面的提示。展示给其他用户的是你的年龄，不是你的出生日期。
保留：至你删除账号为止。
提示：你的出生日期存放在账号记录上，而任何已登录 CHRYSA 用户的应用都读得到这条记录。界面从不把它显示给他们，但数据本身是可达的。参见第 18 条。

6.3 QuickDate模式约会资料项

内容：你选择填写的字段，可能包括性别、你希望被匹配的性别、期望的年龄范围、身高、职业、学校、工作单位、教育程度、吸烟与饮酒习惯、饮食偏好、兴趣、偏好的约会类型，以及你的资料自由文本简介。
来源：你本人。性别、你希望被匹配的性别和年龄范围是匹配所依据的字段，没有它们QuickDate模式无法运作。除创建账号所必需者之外的其他一切都是可选的，你随时可以在资料页修改或清空。
用途：向其他用户展示你的资料，并驱动匹配——匹配会按距离、共同收藏的店铺、共同兴趣、近期活跃度和资料完整度为候选人评分。
提供给：其他 CHRYSA 用户，以该字段是否出现在你资料上为限；OpenAI，它会收到你的资料自由文本以供自动模型筛查，详见 6.16。不会为任何第三方自身的目的向其提供。
保留：至你清空该字段或删除账号为止。被清空的字段是被覆盖，不是被存档。
提示：其中部分字段属于敏感个人信息，参见第 7 条。你的饮食偏好尤其会传得比其他字段更远——见 6.11。

6.4 照片与视频

内容：你的QuickDate模式资料照片，以及你发布、评论或在聊天中发送的图片和视频。蝴蝶模式的一条动态最多可放四张图片，或一段视频——视频目前的时长上限是一小时。
来源：你本人，取自你的设备相机或相册。我们仅为此用途请求相册和相机权限。除你选中的项目之外，我们不读取你的相册。
用途：展示你的资料、发布你选择发布的内容、投递你选择发送的消息。
提供给：其他 CHRYSA 用户，范围取决于你把照片放在哪里；OpenAI，它会收到你上传的QuickDate模式资料照片、你在广场发布的图片，以及你发布视频时生成的封面帧，供自动审核模型筛查。你在聊天里发送的图片不会发给 OpenAI，也不会经过机器筛查。
图像究竟如何到达 OpenAI，这一点重要：我们并不把文件上传给 OpenAI。我们把一条指向我们存储中该文件的链接交给 OpenAI，由 OpenAI 的服务器自行取回。该链接内含访问令牌，也就是说，不登录 CHRYSA 也能打开。任何人拿到这串链接都能取回该图像。我们把这类链接当作机密对待、不公开它们，但机制就是这样，你应当知道。
我们的服务器生成的照片副本：为了让图片更快显示，我们的后端函数会为QuickDate模式资料照片和蝴蝶模式动态中的每张图片生成一份长边不超过 640 像素的副本，应用在聊天列表、头像、动态网格等以小尺寸显示图片的位置显示这份副本。在以完整尺寸显示图片的位置，原始文件加载期间也可能暂时显示这份副本。文件中嵌入的拍摄地点、拍摄所用手机等信息，会从副本中删除。原始文件原样保存；在以完整尺寸显示图片的位置，以及无法生成副本时，仍显示原始文件。
在你设备上缩小的视频：上传蝴蝶模式视频之前，应用会在你的设备上生成一份长边不超过 1920 像素的副本；HDR（高动态范围）视频会转换为标准动态范围，拍摄地点、设备等信息会被删除。我们上传并保存的就是这份副本，你拍摄的原视频留在你的设备上。如果应用无法生成副本，则按拍摄时的原样上传。上传会在你选择视频时立即开始，早于发布；如果你移除了视频或没有发布，该视频通常会在两天内从我们的存储中自动删除。
我们的服务器生成的视频副本：对于时长不超过 120 秒的蝴蝶模式视频，我们的后端函数会生成一份长边不超过 1920 像素、码率不超过每秒 5 兆比特的播放副本，以及一张长边不超过 1280 像素的封面帧副本；HDR（高动态范围）视频会转换为标准动态范围。该动态此后从这份副本播放。文件中嵌入的拍摄地点、设备等信息，会从副本中删除。你上传的文件原样保存在我们的存储中，不作改动。更长的视频、已符合上述标准的视频，以及无法转换的视频，仍从你上传的文件播放。
副本在哪里生成和保存：副本如第 14 条所述在台湾生成，与原始文件一同存储在日本。每份副本都随其来源文件一并删除，第 17 条所述的账号删除也是如此。
设备上保留的内容：为避免重复下载同一段视频，应用会把已播放的视频，以及已提前开始加载的视频，保存在设备上最多 1 GB 的缓存中，最久未使用的内容最先清除。退出登录时，应用会清空这一视频缓存。如果清空失败（例如仍有视频处于打开状态），缓存的视频会留在设备上，直到缓存为新视频腾出空间而将其清除，或删除应用为止。应用已显示或提前加载的照片，也会保存在设备上的图片缓存中；退出登录时应用不会清空这一缓存，删除应用时它会随之删除。蝴蝶模式的插画头像内置于应用中，或提前下载；它们是我们提供的图画，不是任何人的照片。
保留：资料照片保留至你替换、删除它们或账号被删除为止。已发布内容按 6.13 处理。聊天图片按 6.15 处理。蝴蝶模式的孤立媒体文件每六小时清扫一次，超过一天的会被清除。

6.5 精确位置

内容：在你授予定位权限时，你设备的坐标——纬度、经度与精度数值——以及据其推算出的城市和国家名称。
来源：你的设备，经你许可。你可以拒绝，也可以随后在设备设置中撤回定位权限；这样做之后，基于距离的功能会降级或停止工作。
用途：精确位置用于查找你附近的店铺、在地图上显示店铺结果，以及计算匹配中的距离项。城市和国家用于确定你所在的匹配国家池，蝴蝶模式也在其中——它只在你本国范围内匹配。
在什么时候采集：仅在应用打开并显示于屏幕时。CHRYSA 只申请前台定位权限。我们不申请、也无法获得后台定位，应用也没有被配置为在关闭或后台时采集位置。
提供给：Google 地图与 Google Places，它们直接从你的设备接收你的坐标和搜索词，以返回店铺结果；Apple，其设备端地理编码服务接收你的原始坐标，以返回城市和国家名称；以及其他用户——在你授予权限之前，应当理解这一点是怎么回事。
最后这一点，完整说明。你最近的坐标存放在你的账号记录上。任何已登录 CHRYSA 用户手机上的应用都能读取这条记录，与你的距离正是这样算出来的——在对方设备上，用你的坐标算。我们不会在界面里向任何人展示你的地图定点、地址或经纬度数值。但数据就在那里可供读取，包括被一位并未与你匹配的人读取。如果你不希望如此，请在设备设置里关闭 CHRYSA 的定位。附近排序和附近店铺推荐会失效，应用其余部分照常运行。
保留：你的当前位置是单个值，每次更新时被覆盖。另一份历史日志见 6.6。
提示：精确地理位置属于敏感个人信息，参见第 7 条。

6.6 位置历史日志

内容：一份独立的、带日期的历史坐标日志。每条记录含你的账号标识符、时间戳、以地理坐标点形式记录的坐标、精度数值、你的平台，以及应用与 SDK 的版本号。
来源：你的设备。应用执行强制位置刷新时写入这条日志，这发生在 iOS 上。
用途：它当初是作为位置更新的运行记录建立的。实际上，应用里没有任何功能会回头读取它。我们保留的是这项披露，而不是这项理由，因为诚实的立场是：这份日志存在、也在被写入，而不是它有存在的必要。
提供给：Firebase。任何客户端都无法把这条日志读回来，你的应用也只能为你自己的账号添加记录。
保留：没有自动过期。只要你的账号存在，记录就会不断累积；你删除账号时它们被删除。
更正：上一版政策称我们不会建立或保留位置历史轨迹。那是错的。这就是那条轨迹。
提示：精确地理位置属于敏感个人信息，参见第 7 条。

6.7 电话号码

内容：一个电话号码，以及你随之选择的国家/地区区号。
来源：你本人。
用途：代你完成餐厅预订；其中的区号还是我们判断你起始市场的信号之一。
提供给：Browser Use, Inc. 与店铺，在你要求预订时；以及 CHRYSA 员工——机器失败后，由他人工完成预订。
保留：至你删除它或删除账号为止。
提示：你的电话号码存放在账号记录上，而任何已登录 CHRYSA 用户的应用都读得到这条记录。参见第 18 条。

6.8 推送令牌与通知设置

内容：签发给你这一次安装的推送令牌——一个 Expo 推送令牌，Expo 会把它映射到 Android 上的 Firebase Cloud Messaging 和 iOS 上的 Apple 推送通知服务——以及它最后一次更新的日期、你的设备平台，以及你的通知开关设置。
来源：你的设备与平台。
用途：投递你要求接收的通知。
提供给：Expo, Inc.，我们通过其推送服务发送通知，再由 Google（FCM）和 Apple（APNs）完成最终投递。
通知里带着什么：在QuickDate模式中，新消息推送的正文里带有实际消息文本的前 40 个字符，好让你不打开应用也知道来了什么。这段预览会随通知经过 Expo，再经过 Apple 或 Google 的推送服务到达你。蝴蝶模式的推送完全不带消息文本——只带一个昵称和一句固定短语。
保留：令牌由平台刷新和替换，在失效时或你的账号被删除时移除。我们还为每一条推送保留一条投递回执，记录你的账号标识符、票据标识符、投递状态和令牌的一小段片段，以便判断令牌是否已经失效。这些回执随你的账号一并删除。

6.9 同意记录

内容：你是否接受了服务条款、本隐私政策和 Cookie 政策、接受的时间以及接受的版本号；以及你是否查看过常见问题。
来源：你本人，在你接受时。
用途：证明你曾经同意，并在发生实质性变更后判断何时需要再次征询你。
提供给：除我们的服务提供商外无人。
保留：至你删除账号为止。

6.10 预订与预订尝试

内容：每一次预订及每一次预订尝试的记录：店铺（含名称、地址、电话、网站和地点标识符）、日期、时间与人数、提交的姓名、电话号码与邮箱、尝试过哪些时段、状态与结果。
来源：你使用 CHRYSA 预订时生成。
用途：完成预订、告知你成功与否、排查失败与纠纷。
提供给：Browser Use, Inc.，它运行自动浏览器；店铺及其预订平台，详见 6.11 与第 13 条；以及在预订失败时，Resend 与 CHRYSA 员工，详见 6.24 所述告警邮件。
保留：在你的账号存续期间保留，以便你和我们查阅过往预订，并随账号一并删除。如果某条预订因为你们同行而存在于另一位用户的记录中，我们会从对方的副本上移除你的标识符并保留预订本身，使其记录不至于损坏。

6.11 人工预订队列，以及读取它的那个人

内容：当自动浏览器无法完成某家店铺的预订表单时，该尝试进入一个由人逐条处理的队列。队列条目含计划标识符与账号标识符、机器停下来的原因、它到达的最后一个页面、店铺详情、预订的日期、时间与人数、已经试过的时段、代理行为的摘要，以及一个客户信息块，其中含你的姓名、你的电话号码、你的电子邮箱地址和你的特殊要求——那就是你保存的饮食偏好，原文照录。
来源：由你的资料和你的预订请求生成。
用途：让 CHRYSA 团队的成员人工完成预订，包括打电话给店铺。
提供给：处理该队列的 CHRYSA 员工。我们把这一项单列一类而不是放在脚注里，是因为「有一个人在读你的姓名、电话号码、邮箱地址和饮食备注」，与「有一台机器在处理它们」，是性质不同的两件事。
保留：在预订处于进行中时保留。你删除账号时，已完成或已取消的队列条目直接删除；仍在进行中的条目会被取消、移除你的标识符，并把客户信息块覆盖为占位符，而不是原样留着。
提示：饮食与过敏信息可能揭示健康或宗教信息，属于敏感信息。参见第 7 条。

6.12 CHRYSA 日历与设备日历访问

内容：当计划或预订确认时 CHRYSA 为你创建的约会日程、你自己在 CHRYSA 日历中创建的日程，以及一个记录你是否开启了设备日历同步的开关标记。每条存储的日程含标题、开始与结束时间、全天标记、来源、所指向的计划或预订、匹配对象（如果有）、店铺和备注。
来源：你本人，以及 CHRYSA 自身的预订流程。
重要，而且它是双向的。读取：如果你开启日历同步，CHRYSA 会在设备上读取你设备日历中的日程，仅用于显示，窗口为滚动的三个月。这些设备日历日程今天不会上传到我们的服务器，我们也不存储它们；只有开关标记被存储。我们有一个具备导入能力的服务器函数，但应用里没有任何地方调用它；若此事发生变化，我们会先更新本政策。写入：当一份约会邀请被接受时，CHRYSA 会把这次约会写入你的设备日历，事件名取自店铺名称，地点为店铺地址。只要你授予过日历权限，这次写入就会发生，并不以同步开关是否打开为条件，而且它写入你的默认可写日历——因此如果该日历与他人共享，他们就能看到这条日程。你可以在应用内关闭同步、在设备设置中撤回日历权限，也可以自行删除或编辑已写入的日程。
提供给：你与之共享日程的约会对象。
保留：CHRYSA 日历日程保留至你删除它们或删除账号为止。你删除账号时，我们也会从你约会对象的日历上移除对应条目，免得对方留下一个指向不存在的人的计划。

6.13 蝴蝶模式化名资料

内容：为你生成的昵称，一经创建即不可更改；你选择的头像，取自十六个插画之一；你的五题测试答案，以五个 0 到 3 之间的数字存储；你所做测试的版本；分配给你的星球；你的三到八个兴趣标签；你的国家/地区；你的最后活跃时间戳；以及由服务器维护的粉丝数、关注数、未读通知数和不活跃计数。
来源：为你生成，加上你选择的测试答案与标签。你的国家/地区在创建时从QuickDate模式定位推算出的国家复制一次。你最初的一组标签从QuickDate模式的兴趣播种一次。这两次复制此后都不会再运行。
用途：给你一个化名身份、驱动同国匹配和飘动的候选人场景、运行不活跃标记。
提供给：其他蝴蝶模式用户，以昵称、头像、星球和标签的形式；OpenAI，你的标签和星球用于生成破冰建议，见 6.16。
保留：至你删除账号为止。你可以随时更换头像、星球和标签，并每七天重做一次测试。昵称是永久的。
不活跃：如果你有若干天没有使用蝴蝶模式，你的资料会被标记为落灰。这个标记使你可以被其他用户擦灰；它不删除任何东西。

6.14 匿名动态的私有作者记录

内容：一条不显示作者的动态其真实作者的账号标识符，存放在附着于该动态的一条私有记录中。
来源：你匿名发布时生成。
用途：内容审核、执行我们的条款、让你能删除自己的匿名动态、在你删除账号时清除你的匿名动态、调查举报，以及回应有效的法律程序。
提供给：无人。没有任何用户读得到它，规则对所有客户端一律拒绝该读取。只有获授权的 CHRYSA 人员，以及在法律要求时依有效程序行事的法院或主管机关，才能接触到它。
保留：与该动态共存续。你删除账号时，我们正是用这条记录找到并清除你的匿名动态。

6.15 动态、评论、点赞、关注与聊天消息

内容：你最多 500 字的文字动态，附最多四张图片或一段视频；最多 300 字的评论；点赞；你的关注关系图；最多 200 字的语音房文字；以及你在两个模式中最多 2000 字的私信，含文字和任何图片，加上发件人、收件人、时间戳、已读状态，以及一个标志——你原封不动地发送了建议开场白时，它把该消息标为 AI 辅助。
来源：你本人和与你交谈的人。
用途：发布你选择发布的内容、构建信息流、投递对话、运行内容审核。
提供给：你发送或发布的对象；OpenAI，它接收你在两个模式中的动态文字、评论文字、语音房文字、语音房标题、资料文字和私信文本以供自动审核，以及你动态中的图片和视频封面帧；Expo，用于 6.8 所述的QuickDate模式 40 字符消息预览。
保留：内容一直保留，直到你删除它、删除账号、我们依条款移除它，或它在被举报后被移除。语音房文字不同——它在房间关闭一小时后与房间的成员、封禁和禁言列表一同清除。删除账号会移除你的动态和评论（包括匿名的）、你的点赞、你双向的关注关系，以及你在两个模式中的对话与消息。对话的一份副本会留在另一位参与者那里，因为对方的副本也是对方自己的记录。其他用户已保存或截屏的副本不在我们控制之内。凡内容曾经是举报的对象，即使内容本身已经消失，我们仍按 6.23 保留举报。

6.16 AI 功能的输入与输出

内容：提交给自动审核的一切，即你的动态文字与动态图片、你的评论文字、你的语音房文字、你的语音房标题、你的资料自由文本与昵称、你的QuickDate模式资料照片、你所发视频的封面帧，以及你在任一模式中发出的私信文本；你发给 CHRYSA 约会教练的消息及其回复；以及用于生成蝴蝶模式破冰建议的兴趣标签、星球和近期对话消息。
来源：你本人，以及你提交或交换的内容。
用途：提供审核、教练与建议功能。
提供给：OpenAI，它通过其商业 API（而非面向消费者的产品）作为我们的服务提供商处理这些内容，以便返回一个审核结果、一条教练回复或一组建议。我们不向 OpenAI 发送你的电子邮箱地址、出生日期、身份证件、电话号码或坐标。
更正：上一版政策称 OpenAI 不会收到评论或语音房标题。那是错的。两者都会被发送，而且一直都是。
保留：你的 CHRYSA 约会教练会话被完整存储——你的消息、模型的回复、整段对话、模型名称、令牌数，以及你对答复是否点了赞或踩。它们保留至你删除账号为止，并随之删除。缓存的破冰建议随对话和你的账号一并删除。审核评分与决定与被审核的对象一同保存。
提示：由于第 18 条所述的同一处访问规则薄弱之处，提示：约会教练的对话记录只有其本人可读；任何应用都不能创建或删除它，应用能改动的只有你对答复所点的赞或踩——对话本身无法从客户端修改。

6.17 匹配记录

内容：在QuickDate模式中，由距离、共同收藏的店铺、共同兴趣、近期活跃度和资料完整度算出的候选配对分数。在蝴蝶模式中，你在匹配队列中的条目——含你的账号标识符、模式、国家/地区、测试向量、标签和时间戳，60 秒后过期——你的匹配结果、一条七天冷却记录（使你不会立刻再被推给同一个人），以及每日配额计数。
另外还有：一份永久的、只追加的蝴蝶配对日志，以一对账号标识符的形式记录每一次配对。它的存在是为了让我们日后研究哪些配对是有效的，你所使用的任何功能都不会读取它。
来源：由我们的系统生成。
用途：为候选人排序、执行每日限额与冷却，以及研究匹配质量。
提供给：除我们的服务提供商外无人。其他用户看到的是排序结果，从来看不到背后的数字。
保留：分数和队列条目是临时的。配对日志保留至你删除账号为止，并随之删除。

6.18 蝴蝶模式的身份映射

内容：两条内部查找记录，把你的账号标识符映射到一个内部蝴蝶标识符，以及反向映射。
来源：你的蝴蝶资料创建时生成。
用途：使蝴蝶功能可以指代你，而不必到处携带你的账号标识符。
提供给：无人。两条记录对所有客户端在两个方向上都被拒绝——没有任何应用读得到或写得进。你的蝴蝶标识符只作为登录令牌中的一项声明到达你自己的设备。
保留：你删除账号时删除。

6.19 产品分析

内容：设备型号、操作系统版本、应用版本、语言与地区，以及描述功能如何被使用的事件记录——打开了某个页面、点击了某条通知、刷新了位置、删除了账号。这些事件中有许多会把你的账号标识符作为参数一并携带，并且也与 Google 签发的一个安装标识符相关联。
来源：你的设备。
用途：保持应用正常运行、衡量功能是否被使用、发现滥用。
提供给：Google，作为我们的分析服务提供商。不提供给广告网络或数据经纪商，因为我们不使用任何此类机构。
今天没有退出选项，我们也不打算假装有。应用一启动，分析采集就无条件打开。没有设置项、没有开关、没有同意提示。要关掉它需要改动应用本身，这件事在我们的清单上。在那之前，诚实的表述是：只要你使用 CHRYSA，产品分析就是开着的。
保留：由我们 Google Analytics 属性上设置的保留期限决定，而不是由应用里的任何代码决定；删除你的 CHRYSA 账号触及不到它。如果你希望删除自己的分析记录，写信给我们，我们会代你向 Google 提出请求。
有一种具体情形值得点名：你删除账号并从列表中选择一个理由时，该理由会作为一个事件发送给 Google Analytics。它不与你的姓名绑定，但与你这次安装的分析身份绑定。如果你不愿意告诉我们，可以随便选一个没有意义的选项；无论如何删除都会继续。

6.20 崩溃与错误诊断

内容：两样东西。第一，与你的账号绑定的错误记录，含你的账号标识符、错误类型、错误消息、所在页面、设备信息，以及是否为致命错误。第二，一个独立的崩溃特征库，相同的崩溃被归为一组，每条存储的样本含时间、你的账号标识符、你当时所在的页面、应用版本与构建号、你的操作系统版本、你的设备型号、一个会话标识符、你在应用中近期操作的轨迹，以及错误消息，另有一份近期上报者名单和最多 4000 个字符的调用栈。
来源：你的设备，在出问题时自动上报。
用途：定位并修复缺陷。我们发布这个应用时无法直接访问你的设备，这条管道就是我们得知某处坏掉了的方式。
提供给：Firebase；以及 6.24 所述摘要告警邮件所涉的 Resend 与 CHRYSA 员工，该邮件携带的是错误和页面，而不是整条样本。
访问：你读不到这个库，其他任何用户也读不到——规则允许写入，对所有人（包括上报崩溃的本人）拒绝读取。
保留，明说，因为这是我们删除机制中最薄弱的一环：与账号绑定的错误记录会在你删除账号时被删除。崩溃特征库不会。它没有定时过期，也没有删除步骤，所以在你的账号消失之后，你的账号标识符、你访问过的页面和你的操作轨迹仍留在其中。这是我们的疏漏，不是决定，而且上一版政策根本没有提到这个库。我们正在补上删除步骤。在此期间，如果你删除了账号并希望这些记录一并被移除，请写信到 support@chrysa.app，我们会人工移除并向你确认。

6.21 活动与使用日志

内容：你在应用中重要操作的日志，每条含你的账号标识符、操作、时间戳、若干相关元数据、你的平台、你的操作系统版本和你的设备型号。
来源：你对应用的使用。
用途：排查行为问题、理解功能流程、调查滥用。
提供给：除我们的服务提供商外无人。
保留：没有自动过期；保留至你删除账号为止，并随之删除。

6.22 在线状态与活跃时间戳

内容：一个最后活跃时间戳，在蝴蝶模式打开时大约每分钟更新一次；以及用于匹配中「近期活跃」项和不活跃标记的活跃时间戳。在语音房内，应用打开并显示于屏幕时，你的成员记录会持续更新，好让房间知道你仍然连着。
来源：你对应用的使用。
用途：显示某人当前是否在线、为候选人排序、关闭被弃置的房间。
提供给：其他用户，仅以粗略的在线状态呈现，从不以原始日志呈现。
保留：在线状态是一个不断被覆盖的单个值；我们不保存历史在线日志。房间成员记录在房间关闭一小时后清除。

6.23 举报、拉黑与审核记录

内容：你提交的举报和关于你的举报，含被举报对象、理由、举报人、被举报用户、任何语音频道或房间标识符、审核结果和所采取的处置；你的拉黑名单；自动审核的决定；以及内容移除、功能限制和账号终止的记录。
关于举报里究竟包含什么，有一件具体的事你应当知道。当我们的自动审核抹除了你发出的一条消息时，它会自动开出一份举报，而该举报的描述中包含消息文本本身的前 1,500 个字符。所以举报记录的不只是「某样东西被拦下了」——它记录的是所写的内容。由于举报在账号删除后仍被保留，一条被抹除消息的文本可能比写它的人的账号活得更久。「我们保留举报」和「我们保留你写的东西」是两个不同的承诺，而后者才是真的那个。
来源：你本人、其他用户，以及我们的自动审核。
用途：调查并处置举报、使拉黑生效、在内容被三名不同用户举报后于人工审核前将其隐藏、发现惯犯与规避封禁、在纠纷中为自己抗辩，以及遵守法定义务。
提供给：获授权的 CHRYSA 审核人员；在我们负有法定披露义务时，执法机关或法院；在必要范围内，纠纷的相对方。举报对所有客户端一律不可读，没有例外，因为一份蝴蝶模式的举报会解析出匿名动态的真实作者。
保留：这是我们在账号删除后有意保留的一类，我们想把原因说准确。举报在两个方向上都被保留，并被标记以显示相关账号已被删除，好让审核人员分得清已离开的账号和仍在的账号。针对已删除账号设置的拉黑记录也一并保留，好让它继续保护设置它的人；而离开的用户对他人设置的拉黑会被删除。你在别人房间里累积的封禁和禁言记录留在那些房间里。我们这样做，是因为否则删除账号就成了抹掉「自己因何被举报」的手段，或成了通过注销再注册来甩掉封禁的手段。法律依据是明确的：《加利福尼亚州消费者隐私法》第 1798.105(d) 条允许我们保留为侦测安全事件、防范恶意、欺骗、欺诈或违法活动所必需的个人信息；日本《个人信息保护法》允许为保护人的生命、身体或财产所必需的保留。未导致处置的举报，保留期限较短，以够用于识别重复举报的模式为限。

6.24 员工告警邮件

内容：某些事件发生时，我们的后端会通过邮件投递公司 Resend 向一小份 CHRYSA 员工地址名单发送邮件。其中两类邮件携带你的个人信息：

当你提交政府证件供核验时，邮件写明你的姓名、你的账号邮箱地址、你的账号标识符、该核验记录的标识符和时间。证件图像本身被刻意排除，从不作为附件，也不以链接形式出现。
当一次预订失败、需要人来接手时，邮件写明你的姓名、你的账号邮箱地址、你的账号标识符、店铺和所请求的时段。你的电话号码被刻意排除在邮件之外；员工要打开队列条目才能取到。

第三类告警报告的是一个新出现的崩溃特征，携带的是错误和页面，而不是你的身份。
来源：由我们的后端从你的账号记录生成。
用途：政府证件的审核和失败的预订都需要有人及时处理，而邮件是那个人得知此事的方式。
提供给：Resend, Inc.，它负责传输该消息；以及收件名单中指定的 CHRYSA 员工邮箱。该收件名单可由我们更改，无需发布新版应用。
保留：一封邮件一经发出，就留在 Resend 的投递日志和收件人的邮箱里。删除账号触及不到这两处。如果你希望我们从邮箱中删除某封特定的告警邮件，写信给我们，我们会删除。
更正：上一版政策完全没有提到 Resend，也没有提到这些邮件。

6.25 身份核验证件

内容：你上传的政府签发身份证件照片、你选择的证件类型、审核状态、审核结论、时间戳，以及提交时采集的基本设备与应用版本信息。
来源：你本人，自愿提供。核验是可选的，应用里没有任何环节强制要求。它产生「已认证」状态，该状态在两个模式中都被认可，并且是接受待处理约会邀请、使用快速约会和开设蝴蝶语音房所必需的。
用途：确认账号背后是一位真实、可追责的成年人，减少冒名顶替和欺诈，并为滥用风险较高的功能设门槛。
如何审核：由 CHRYSA 的一名工作人员在我们的管理控制台中打开记录、查看证件，并标记为通过或拒绝。应用内没有审核页面，也没有自动化身份检查。我们不使用人脸识别，也不从你的证件或照片生成或存储面部模板、指纹、声纹或其他生物识别标识符。
提供给：执行审核的 CHRYSA 员工；以及 6.24 所述通知邮件所涉的 Resend 与员工邮箱，该邮件从不包含图像。你的身份证件从不显示在你的资料上，从不出现在任何信息流、搜索、候选列表或匹配结果中，也从不为任何第三方自身的目的向其发送。尤其是，它绝不会发送给 OpenAI。
如何受到保护，如实说明：指向你证件的那条记录是被锁死的——它位于自己独立的、受访问控制的区域，只有你和我们的后端读得到。文件本身存放在仅限所有者访问的区域。但该记录中含有一条指向文件的链接，而该链接带有访问令牌，也就是说这条链接本身在不登录的情况下也能打开。真正起作用的控制是那条记录。我们这样说，而不是声称该文件受到两道彼此独立的锁的保护，因为事实并非如此。
保留：核验记录保留至你删除账号为止，并与所存文件一同删除。审核结束的那一刻并没有自动清除，我们不打算描述一项我们还没建成的控制。如果你希望在任何时候移除证件图像，包括审核刚结束时或你的账号已被删除之后，请写信到 support@chrysa.app，我们会移除并向你确认。
提示：身份证件信息属于敏感个人信息，参见第 7 条。

6.26 语音会话记录

内容：一次语音匹配或语音房的频道标识符、分配给每位参与者的数字语音标识符、麦位与成员状态、房主的静音、移出和封禁等操作、房间标题与分类，以及开始、加入和结束的时间戳。如果有人就某次语音会话提交举报，频道或房间标识符会随举报一并记录，以便我们分辨那是哪一场会话。
不包括什么：音频。CHRYSA 不录制语音匹配或语音房的音频。语音通过我们的实时语音提供商 Agora 在参与者之间实时传输。我们的服务器从不接收音频流，没有开启任何录制功能，因此也不存在任何录音供我们保存、审看、提供或遗失。
来源：你使用语音功能时生成。
用途：把你接入正确的通话、执行麦位上限与房主管理、关闭被弃置的房间、施加频率限制、调查举报。
提供给：Agora, Inc.，它接收频道名、我们为该会话生成的一个数字标识符（不是你的 CHRYSA 账号标识符）和一个访问令牌，并在你说话时在参与者之间承载你的实时音频；以及其他参与者，他们看到你的昵称、头像和麦位。
保留：房间的文字、成员、封禁与禁言记录在房间关闭一小时后清除。语音匹配记录在通话结束 60 分钟后清除。若届时仍然存在，它们会随你的账号一并删除。

6.27 收藏的店铺、合集、约会计划、邀请与店铺看板

内容：你收藏的店铺、你用它们建立的合集、你创建或接受的约会计划（含店铺详情、日期、时间、人数和任何备注）、你发出和收到的邀请，以及你在店铺看板上写下的帖子和回复。
来源：你本人，以及 Google Places 就你所选店铺返回的店铺信息。
用途：让你保留和回看店铺与计划、与对方协调一次约会、发布你选择发布的内容，并为匹配中「共同收藏店铺」这一项评分。
提供给：计划或邀请中的另一方；其他 CHRYSA 用户，仅限你在看板上发布的内容；OpenAI，它接收你看板帖子的文字，用于 6.16 所述的自动筛查。
保留：至你删除该项或删除账号为止。约会计划是例外，我们在本版本中更正了这一条。只属于你一个人的计划——由你为自己创建、没有其他人在其中的——会在你删除账号时被直接删除。你与他人共享的计划不会被删除，因为删除它会破坏对方的副本；取而代之的是，它会被标记以显示其中一方的账号已经消失。你的账号标识符仍留在那条共享计划上。它不再指向任何东西，因为你的账号记录已经没了，所以没有人能把它还原成你的姓名或照片。但我们不会把这描述成「已抹去你的姓名」，因为那个标识符在物理上仍然在那里。如果你希望移除某条具体的共享计划，请在删除账号之前先在应用里删掉它，或者告诉我们，我们替你移除。

6.28 频率限制计数

内容：按人、按受保护的操作、按天各一条的计数，记录你使用某项我们设有限额的功能的次数。
来源：由我们的后端生成。
用途：阻止滥用、垃圾信息和成本攻击。
提供给：除我们的服务提供商外无人。
保留：昨天的计数不会被自动清扫；它们在你删除账号时被删除。

6.29 支持与法律往来信件

内容：你发送至 support@chrysa.app 的消息内容（含你随附的任何信息）以及我们的回复。
来源：你本人。
用途：答复你、核验并处理隐私请求、处理投诉与删除请求，并保留我们已作处理的记录。
提供给：除 CHRYSA 内部和我们的专业顾问外无人；但信件本身依法必须被转交的情形除外，例如第 19 条所述的版权反通知。
保留：保存至事项解决所需的期间，其后再保存我们可能需要证明自己已作回应的期间；对隐私权利请求，加利福尼亚州法律要求该期间至少为二十四个月。

第 7 条敏感个人信息

上述部分信息在加利福尼亚州法律下被视为敏感信息，在美国其他州法律下属于同等类别，在日本则属于需特别关照的个人信息（要配慮個人情報）或其他受特别保护的信息。在 CHRYSA 中，敏感类别为：

精确地理位置，仅在获得你的许可后采集，用于店铺发现、地图结果和匹配中的距离。这包括 6.6 所述的历史日志。
政府签发的身份识别信息，即你为可选核验而上传的身份证件。
揭示性取向的信息。一份写明你的性别和你希望结识的性别的约会资料，本身就内含这一点；你选择发布的内容同样会揭示它。
你私人通信的内容——你在任一模式中与其他用户交换的消息。加利福尼亚州法律在我们不是预期接收人的情况下将其视为敏感信息，而我们不是你发给另一位用户的消息的预期接收人。我们处理消息内容，仅为投递它、使对话对你保持可用、执行第 11 条所述的发送前检查，以及处置举报。
饮食与过敏备注，如果你选择保存它们；因为它们可能揭示健康信息，在某些情况下还会揭示宗教习俗。这些内容不会留在 CHRYSA 内部。当你要求预订时，它们会被发送给 Browser Use, Inc.，被填进店铺自己的预订表单中作为过敏或特殊要求备注，并在需要人工完成预订时被 CHRYSA 员工读到。这比任何其他资料字段的流传范围都更广，之所以如此，是因为餐厅需要知道。如果你不希望它传得这么远，就把该字段留空，自己告诉餐厅。
你的 CHRYSA 约会教练对话，以你在其中谈及自身生活为限。只有你本人可读；参见 6.16。

我们仅为第 6 条所述的目的收集这些信息。我们仅为提供你所要求的功能、保障服务与你的账号安全、发现并处置违法行为，以及遵守法律，而使用和披露它们。我们不使用或披露敏感个人信息来推断关于你的特征，也不将其用于任何会使你依加利福尼亚州法律享有限制权的目的。正因如此，界面上没有「限制我的敏感个人信息使用」链接可点。如果你不认同我们的判断，写信给我们，我们照样为你施加该限制。

我们不出售敏感个人信息，不为跨场景行为广告而共享它，也不将其用于任何形式的广告或用户画像。

我们不使用人脸识别，不采集或存储面部模板、指纹或声纹等生物识别标识符。构成你蝴蝶星球测试结果的那五个数字，是你对五道选择题的作答，不是对你本人的任何测量。

第 8 条我们不出售你的个人信息，也不为广告而共享它

按《加利福尼亚州消费者隐私法》对「出售」的定义，CHRYSA 不出售个人信息；按该法对「共享」的定义，CHRYSA 也不为跨场景行为广告而共享个人信息。在过去十二个月里我们没有出售或共享过个人信息，今后也没有这样的打算。我们是对着代码核对这一点的，不是对着我们的意图核对的：这个应用里没有广告 SDK、没有归因 SDK、没有数据经纪商接入，也没有广告标识符。

按弗吉尼亚、科罗拉多、康涅狄格、犹他、得克萨斯、俄勒冈、蒙大拿、马里兰等州隐私法或任何其他美国州隐私法的同等定义，我们不出售个人数据，也不为定向广告或产生法律效果或类似重大影响的用户画像而处理个人数据。

由于我们不跨其他公司的应用和网站追踪你，我们不会弹出 Apple 的 App Tracking Transparency 提示，它也没有什么可问你的。

出售和共享，与第 13 条所述的预订披露不是一回事。当你要求我们预订时，我们把你的预订详情交给该店铺，好让它把位子留住。我们不因此收取任何报酬，它只在你提出要求时发生，也不构成上述法律意义上的出售或共享。我们把它明写出来，而不是塞进服务提供商名单里蒙混过去。

即使这两件事我们都不做，法律仍要求我们给你一个退出出售与共享的途径。你如果向我们发出退出请求，我们会予以记录。参见第 22 条。

第 9 条我们凭什么可以使用你的信息

不同法律的表述方式不同，所以同一个答案我们用两套框架各说一遍。

在加利福尼亚州及美国其他州法律下，我们处理个人信息，是因为你要求了一项服务而我们在提供它，以及为了第 20 条所列的商业目的。凡法律要求在处理敏感数据前取得你的同意的，第 21 条逐项载明哪一项同意覆盖哪一类，以及你如何撤回。

在日本《个人信息保护法》下，我们事先特定利用目的，并在该范围内处理。23.1 就是那份清单。未告知你并在必要时取得你的同意，我们不会将你的个人信息用于清单以外的目的。

实务上我们依据四项理由，分清哪件事落在哪一项之下是有用的：

你要求了这项功能。匹配、聊天、发布、预订、日历日程、语音、教练和破冰建议，都是因为你使用了它们而存在。第 6 条的绝大部分属于这一项。
我们必须保障服务安全。内容审核、举报、拉黑、频率限制、规避封禁的侦测和保留的安全记录都基于这一项。这也是为什么内容审核不是你可以关掉的东西，以及为什么有些记录比你的账号活得更久。
我们必须让服务能够运转。身份验证、崩溃诊断、错误日志和分析基于这一项。
法律要求。年龄核查、数据泄露通报、对合法法律程序的回应，以及我们为证明合规而必须保存的记录。

凡某项使用以你的同意为基础的——定位权限、麦克风权限、日历权限、相册访问、上传政府证件——你在我们询问的那一刻给出了该同意，并且可以在设备设置中或通过清空该字段撤回。撤回会停止今后的使用；它不会撤销已经发生的事。

第 10 条我们保存多久

第 6 条按类别给出了期限或判断标准，请先读那一条。总结如下。

有三样东西按计划自动过期：语音房的文字、成员、封禁与禁言，在房间关闭一小时后；语音匹配记录，在通话结束 60 分钟后；以及蝴蝶模式的孤立媒体文件，每六小时清扫一次，超过一天的会被清除。

其余几乎所有东西都没有时间表。它们保留到你删除账号为止。这是有意的设计——如果一个约会应用悄悄在一年后删光你的匹配，那会是个更糟的产品——但这也意味着「你们保存多久」在本文件中大部分情况下是同一个答案，而这个答案是「只要你还有账号」。

有三样东西比账号删除活得更久：安全记录，见 6.23 和第 17 条；共享的约会计划以及其他提到你的、属于他人的记录，它们被标记而非删除；以及 6.20 所述的崩溃特征库，那是我们正在修补的疏漏，不是决定。

我们判断时适用的标准是：

我们需要该信息多久，才能提供你正在使用的功能。
它是否同时构成另一个人的记录的一部分，就像一段对话那样。
是否为保护他人安全、执行我们的规则，或阻止被封账号卷土重来所必需。
我们是否负有保存的法定义务，或需要它来提出、行使或抗辩法律主张。
它是否已经分发给了其他用户，那会限制删除所能达到的效果。

当某项信息按上述任一标准都不再需要时，它会被删除或不可逆地去标识化。

第 11 条自动化与 AI 功能，以及它们做不到的事

法律要求我们准确描述这些功能，我们也愿意。本条最重要的一句话是：CHRYSA 的自动内容审核并不覆盖一切，而且在它覆盖的地方也不保证有效——我们会明确告诉你它在哪里适用、在哪里止步。

哪些内容被筛查。以下界面上的文字会被提交给 OpenAI 的审核模型：广场动态、评论、QuickDate模式与蝴蝶模式的私信、语音房文字、语音房标题，以及包括昵称在内的资料自由文本。图像的提交范围是广场动态和QuickDate模式资料照片。这份清单比上一版政策给出的更宽，而上一版的清单是错的，不只是不完整。

动态的发布前审核。广场上的一条动态创建出来时处于待审状态，在扫描完成之前，其他任何人都看不到它。通过扫描则公开；未通过则被拦下，你会收到一条泛化的通知。阈值由我们设定并在服务器上调整。

聊天审核实际是怎么运作的，这一点值得了解。你的消息在发出时被检查。由此产生两个后果。第一，如果审核服务缓慢、不可用或超出频率限制，检查会降级为仅在本地筛查，而不是把你挡在应用外面——所以在服务中断期间，被抓住的更少。第二，因为我们会快速投递你的消息而不是扣住它，一条消息完全可能在模型返回结果并抹除它之前，已经被投递并推送给了对方。接收方可能已经看到了。抹除仍然会执行，举报也仍然会开出。

哪些地方完全没有自动筛查。聊天中发送的图片不被筛查。实时语音不被筛查——音频从不到达我们的服务器，因此没有任何东西可供模型读取，这是功能的构造方式决定的，不是一个我们能打开的开关。视频不是逐帧筛查的：只有静态封面帧被检查，第一帧之后的每一帧都未经检查，而封面帧由发送方设备生成，我们并不核对它是否确实来自它所附着的那段片段。考虑到一段视频可以长达一小时，请把这当作一项真实的限制，而不是形式上的免责。

在上述所有地方，以及在上述检查降级的每一处，保护你的是：年满 18 周岁的要求、可选的身份核验和作为开设语音房门槛的已认证状态、应用内的举报工具、聊天中的快速标记、拉黑、内容在被三名不同用户举报后的自动隐藏，以及人工审核——在举报被查实后 24 小时内移除内容并将违规用户逐出。

自动审核在两个方向上都会出错——它会拦下可以接受的内容，也会漏掉不可接受的内容。我们本着诚意进行审核。我们不是用户内容的作者，也不保证你看到的一切都已被正确审看。

举报与自动隐藏。当一项内容被三名不同用户举报时，它会在人工审核前被自动隐藏。那是一个数量触发的动作，不是关于内容不良的判断。

CHRYSA 约会教练。一个基于 OpenAI 模型构建的对话式顾问，单次会话有上限，另有每日上限。它给出的是一般性的约会建议。它不是治疗师、咨询师、律师或安全服务，除了你告诉它的之外它对你约会的对象一无所知，而且它的输出可能是错的。你的会话被完整存储——见 6.16，包括那里的访问提示。

蝴蝶模式破冰建议。最多三条建议开场白，由双方的标签、星球和该对话的近期消息生成。建议会受频率限制、被缓存、被过滤掉联系方式，并在呈现给你之前经过审核。我们不会代你发送任何东西；是否发送由你决定。如果你原封不动地发送某条建议，它会被标记为 AI 辅助。

预订代理。CHRYSA 预订会用你提供的信息，尝试在店铺自己的公开预订页面上完成一次预订。该代理是一个由 AI 驱动的自动浏览器，由美国的服务提供商 Browser Use, Inc. 替我们运行，它接收预订详情以便填写表单。它经常失败，因为各家店铺的网站千差万别。失败时该尝试转入人工队列，由 CHRYSA 团队的成员人工完成预订，包括打电话给店铺——这意味着有一个人会读到你的姓名、电话号码、邮箱地址和饮食备注。该代理被指示绝不填写银行卡信息，并在店铺要求刷卡时停止。只有店铺确认，预订才算确认，而店铺可以拒绝。

上述功能都不会对你作出产生法律效果或类似重大影响的决定。限制或移除内容或账号的审核决定可由人工复核；写信到联系地址即可申请复核。

第 12 条语音功能与麦克风

蝴蝶模式包含两项实时语音功能：两位已匹配用户之间的限时语音匹配（只有双方都在计时结束前同意，身份才会揭示），以及带麦位和听众、由房主管理的语音房。

我们请求麦克风权限，是为了让你能在这些功能里说话。麦克风只在你处于语音匹配中、坐在语音房麦位上或在通话中时使用，绝不用于广告、用户画像或环境监听。音频与麦克风功能只在应用打开并显示于屏幕时工作；你把应用切到后台或关闭，它们就会暂停。如果你把应用留在后台或一直没有操作，大约五分钟后，你的麦位会让给正在听的其他人。房间知道的是在线状态，不是声音。

CHRYSA 不录制语音匹配或语音房的音频。你说过的话没有任何存储的录音。你的实时音频确实会经由 Agora 的实时网络传输，以便到达其他参与者，第 24 条对此有披露；它是被承载，不是被保存。

有一项当前的限制你应当知道。房间里谁有权发言，是由应用和我们的数据库规则来执行的，而不是由语音网络本身来执行。我们正在收紧这一点。在此期间，请把语音房当作一个随时可能冒出意外声音的地方；真的发生时，请使用房主控制和举报按钮。

你不得录制其他参与者。我们经营所在的一些法域，包括加利福尼亚州，要求录音需取得通话中每一方的同意。未经他人同意录制、直播或以其他方式采集其语音，为我们的条款所禁止，并可能构成犯罪。如果你认为自己被人未经同意录制，请通过联系地址举报。

如果你要举报语音会话中发生的事，请在会话中举报，或记下房间，因为随举报一并记录的频道标识符，是我们能够确知你所指哪一场对话的唯一可靠线索。

CHRYSA 还提供一对一语音通话和视频通话。在QuickDate模式中，你可以在聊天里直接呼叫与你匹配的人。在蝴蝶模式中，当对话开启之后——也就是对方回复了你的第一条消息之后——你就可以呼叫对方。

进行视频通话时，我们还会请求相机权限。我们在发起通话之前请求，而不是之后，这样你就不会被困在一个无法完成的呼叫里。相机仅在视频通话进行期间使用。

我们不录制通话，也不保存通话。任何一种通话都不存在已保存的音频或视频。与语音房一样，你的实时音频和视频会经由 Agora 的实时网络传输，以便到达对方；它是被承载，不是被保存。

我们确实会保存一条关于每次通话的简短记录，这与通话本身不是一回事。该记录包含：谁呼叫了谁、属于哪一种模式、是语音还是视频、从哪个对话发起、开始的时间、是否被接听，以及如何结束。我们用它让通话得以运作，因为正是它让对方的手机响铃、并防止两通电话彼此冲突；用它在事后向你显示未接来电；也用它执行单个账号每日可呼叫人数的上限。已结束的通话记录会在结束约一小时后删除。

你没有接起的通话，可能会留下你之后能看到的东西：在蝴蝶模式中是一条通知，在QuickDate模式中是对话里的一条消息。你主动拒绝的通话不会留下，因为你已经看到了它。

QuickDate模式中的通话，要求双方都已通过认证。蝴蝶模式中的通话不要求，因为蝴蝶模式根本不会向你索取身份证件。它要求的是对方已经回复了你。

基于上文关于语音房所述的相同理由，你不得录制通话中的对方。

第 13 条服务提供商与其他接收方

我们为商业目的向下列提供商披露个人信息，每一家都受合同约束、只能为我们处理这些信息。截至生效日期，本清单是完整的。

Google（Firebase 平台）。Firebase Authentication 保存账号凭证与标识符。Cloud Firestore 保存资料、动态、评论、聊天、日历日程、举报、拉黑，以及数据库的其余部分。Cloud Storage 保存照片、视频、封面帧和身份证件。Cloud Functions 运行我们的后端逻辑，包括匹配、审核、预订、语音令牌签发，以及生成 6.4 所述的媒体副本。Google Analytics for Firebase 接收使用与诊断事件，其中许多带有你的账号标识符。Firebase Cloud Messaging 投递推送通知并接收推送令牌。App Check 接收完整性证明数据。Remote Config 向应用下发配置。我们的数据库位于美国，Cloud Storage 位于日本，Cloud Functions 运行在台湾。Firebase Authentication 由 Google 仅在美国的数据中心运行。Google Analytics for Firebase、Firebase Cloud Messaging、App Check 和 Remote Config 运行在 Google 的全球基础设施上，可能在 Google 设有数据中心的任何国家或地区处理数据。

Google（地图与 Places）。接收你的坐标和店铺搜索词，以返回地图、店铺结果、店铺详情和店铺照片。这些调用由你的设备直接发给 Google，不经过我们的服务器。仅用于QuickDate模式。

Apple。提供 Apple 登录，此时 Apple 会给我们一个账号标识符和一个邮箱地址（可能是私密转发地址）；通过 Apple 推送通知服务投递推送；提供你开启日历同步时使用的设备端日历接口；并提供设备端的地理编码服务，把你的原始坐标转换为城市与国家名称——这意味着 Apple 会收到那些坐标。Apple 还通过 App Store 分发本应用。CHRYSA 今天没有任何应用内购买、订阅或支付。

OpenAI。接收提交给自动审核的内容，即你的动态文字与图片、评论文字、语音房文字、语音房标题、资料自由文本与昵称、QuickDate模式资料照片、你所发视频的封面帧，以及你在两个模式中发出的私信文本。图像以链接形式交付，由 OpenAI 的服务器自行取回，详见 6.4。它还接收 CHRYSA 约会教练和蝴蝶模式破冰建议的输入与输出，其中包括你的兴趣标签、你的星球和相关对话的近期消息。相关处理通过 OpenAI 的商业 API 完成，OpenAI 作为我们的服务提供商，唯一目的是把结果返回给我们。我们不向 OpenAI 发送你的电子邮箱地址、出生日期、身份证件、电话号码或坐标。

Agora。为语音匹配和语音房提供实时语音传输。接收频道名、我们为该会话生成的数字参与者标识符（不是你的 CHRYSA 账号标识符）、一个访问令牌、连接质量信息，以及你说话时的实时音频。音频在参与者之间实时传输；它不被我们录制，也没有开启任何录制功能。

Expo, Inc.。提供应用运行时，以及你选择照片或视频时使用的设备端媒体选取与压缩。Expo Application Services 投递空中更新，每次应用检查更新时接收你的安装与运行时标识符、应用版本、平台和设备型号。Expo 的推送服务把我们的通知转发给 Apple 和 Google 的推送服务，接收你的推送令牌和通知内容——在QuickDate模式中，其中包含触发该通知的消息的前 40 个字符。

Resend, Inc.。投递 6.24 所述的员工告警邮件。接收收件地址和消息正文；对身份核验告警而言，正文含你的姓名、账号邮箱地址和账号标识符；对预订失败告警而言，正文含你的姓名、账号邮箱地址、账号标识符、店铺和时段。它从不接收你的身份证件图像。

Browser Use, Inc.（browser-use.com），美国。运行由 AI 驱动的自动浏览器，在你使用 CHRYSA 预订时替你填写店铺自己的预订表单。仅在你要求预订时，接收你账号上的名、姓和全名、你的电话号码、你的预订邮箱地址、店铺及其预订页面、日期、时间、人数，以及你保存的任何饮食或过敏备注，全部以纯文本形式包含在我们发出的指令中。它被指示绝不填写银行卡信息。

店铺及其使用的预订平台。这一项与上面所有各项性质不同，我们把它单独拎出来，免得被埋没。当你要求我们预订时，我们会把你的预订提交给该店铺，或提交给该店铺使用的在线预订平台。提交的内容是：用于预订的姓名、一个联系电话、一个电子邮箱地址、人数、所请求的日期与时间，以及任何饮食或过敏备注——代理被明确指示把它填进店铺的过敏或特殊要求栏。店铺及其预订平台不是我们的服务提供商。它们作为独立的商家接收这些信息，并按其自身的隐私做法处理，用以保留、确认、更改或取消你的预订；之后它们如何处理，我们不加控制。这只在你要求预订时发生。如果你不愿意分享这些信息，就不要使用 CHRYSA 预订——你仍然可以在 CHRYSA 里找到这家店铺，然后自己去订。

除上述提供商外，我们还可能在下列情形披露个人信息：

向另一位用户披露，如果你已选择与其分享；
向执法机关、监管机构或法院披露，在我们负有法定义务时，或在为防止迫在眉睫的人身伤害所必需时；
向我们的专业顾问披露，在为取得法律或会计意见所必需时；以及
在合并、收购或资产出售时向收购方披露，此种情形下我们会在你的信息适用另一套政策之前告知用户。

上述预订披露只在你提出要求时才发生；除它之外，我们不为任何一方自身的独立商业目的向其披露个人信息。我们不向广告网络、归因公司或数据经纪商披露个人信息，因为我们不使用任何此类机构。

还有两处值得点名，因为那是你的信息最终会到达、却不属于通常意义上「接收方」的地方。我们的后端会向 Google Cloud Logging 写入运行日志，这些日志中可能含有账号标识符和消息文本的短片段。另外，我们为一次预订发给 Browser Use 的那条指令，会留在该公司自己的任务历史中；我们的系统里没有任何东西会删除它。

第 14 条你的数据在哪里处理：跨境传输

CHRYSA 运行在位于多个国家和地区的 Google Cloud 基础设施上。我们的数据库配置在美国的一个多区域位置。上传的文件（照片、视频、封面帧和身份证件）存储在日本东京的 Cloud Storage 中。读写这些数据、并生成 6.4 所述媒体副本的后端函数运行在台湾。这意味着如果你在日本，从你创建账号的那一刻起，你的账号记录、资料、消息以及我们数据库中的其余内容就存储在美国，而不是日本；我们的后端处理这些数据时，处理地点在台湾。保存登录凭证的 Firebase Authentication 仅在美国运行；Google Analytics for Firebase、Firebase Cloud Messaging、App Check 和 Remote Config 则如第 13 条所述，可能在 Google 设有数据中心的任何国家或地区处理数据。这些数据由第 13 条列明的提供商处理，这些提供商全部是美国公司；例外有两处：Agora 的全球实时网络会把语音流量经由离参与者最近的区域转发，以及你要求我们预订的店铺，它们位于你所预订的国家。

美国没有一部与日本《个人信息保护法》相当的、单一而全面的全国性数据保护法。保护来自几方面的组合：联邦贸易委员会对不公平或欺骗性行为的执法、特定行业的联邦法律，以及加利福尼亚、弗吉尼亚、科罗拉多、康涅狄格、犹他、得克萨斯、俄勒冈、蒙大拿、马里兰等州的综合性隐私法，这些法律赋予消费者查阅、更正、删除和退出的权利。加利福尼亚州法律适用于总部位于洛杉矶的 YoYo LLC，是其中最严格的，由加利福尼亚州隐私保护局和加利福尼亚州总检察长执法。我们的后端函数所在的台湾，有一部综合性的个人数据保护法律，即《个人资料保护法》。美国和台湾均未获得日本个人信息保护委员会的同等认定，因此我们在 23.3 和 23.7 中专门列明接收方与保障措施。

我们所依赖的保障措施是：与每一家提供商签订书面数据处理协议，限制其仅按我们的指示、为我们的目的处理数据；合同上的保密与安全义务；传输中与静态存储的加密；访问仅限获授权人员；以及各提供商自身公布的安全与隐私方案。

你在日本使用 CHRYSA，就是在要求我们提供一项必然运行在这套基础设施上的服务。23.3 载有《个人信息保护法》所要求的具体披露。

第 15 条举报、拉黑，以及我们对此如何处理

本条之所以在这里，是因为安全与隐私本来就是同一件事。

你可以在应用内举报资料、动态、评论、聊天、语音房或语音匹配，并且在QuickDate模式中可以直接从聊天里标记某条消息。两个模式的举报方式相同，所有举报都进入同一个队列、由同一个团队审看。

蝴蝶模式有完整的拉黑，由我们的服务器执行，立即在蝴蝶模式的每一个界面上双向生效。QuickDate模式今天没有拉黑功能：它有「隐藏资料」、「取消匹配」和「举报用户」，第 5 条已作准确说明，而「隐藏资料」目前无法在应用内撤销。你在一个模式中所做的一切都不会带到另一个模式。我们宁愿你知道这一点，也不愿你误以为自己拥有并不存在的保护。

我们承诺及时审看关于不良内容和滥用行为的举报，并在举报被查实时，于举报后 24 小时内移除内容并将违规用户逐出。被三名不同用户举报过的内容会在审核前被自动隐藏。我们也可能警告、限制、暂停或终止账号，并且我们会终止惯犯的账号。

举报在账号删除后仍被保留，而且如 6.23 所述，自动生成的举报中含有触发它的那条消息的文本。如果你提交举报，你所举报的内容会成为一份可能比双方账号都活得更久的安全记录的一部分。

如果你无法使用应用内的举报工具，或希望升级处理，请写信到 support@chrysa.app。你可以用英语或日语书写。

第 16 条你在应用里真正拥有的控制

我们只列出今天存在的控制，并对不存在的直接说明。

资料编辑。你可以在资料页添加、修改或清空任何可选的QuickDate模式资料字段，包括敏感的那些。这是应用真正实现得最好的一项权利。
照片。你可以添加、替换、重新排序和移除你的资料照片。
蝴蝶资料。你可以随时更换头像、星球和兴趣标签，并每七天重做一次性格测试。昵称一经创建即不可更改——你改不了，我们也不会应请求为你更改，因为它是别人认识你的标识。
隐身模式。开启后，你不会出现在其他用户的候选列表中，你也看不到他们的。隐身是双向的。
蝴蝶模式的拉黑。立即在蝴蝶模式全域双向生效，且可撤销。参见第 5 条。
QuickDate模式的隐藏资料、取消匹配和举报用户。今天没有拉黑功能，而且隐藏资料无法在应用内撤销——告诉我们，我们替你撤销。参见第 5 条。
举报。从任一模式把内容或用户提交审核，进入同一个队列。
通知。应用内有一个开关控制 CHRYSA 推送通知的开与关，而且它由我们的服务器在发送之前予以遵守，不只是在你的设备上生效。你的设备设置也独立地控制通知权限。在蝴蝶模式中，即便关闭推送，通知中心仍会显示应用内的条目，所以关掉推送并不意味着丢失信息。
日历同步。一个开关控制 CHRYSA 是否读取你的设备日历用于设备端显示。关掉它就停止读取；在设备设置中撤回日历权限同样能停止读取。请注意，只要授予过日历权限，CHRYSA 就会把已接受的约会写入你的设备日历，与这个开关无关。
定位权限。在你的设备设置中管理。没有它 CHRYSA 仍然可用，只是店铺和距离相关功能会减弱。
麦克风权限。在你的设备设置中管理。仅语音功能需要。
身份核验。完全可选。
匿名发布。逐条决定是否显示你的昵称，但受第 5 条的限制。
删除账号。可在应用内从任一模式进行，见第 17 条。

不存在的控制，写出来免得你去找：

应用内没有数据下载。告诉我们，我们人工整理你的数据。参见第 22 条。
没有产品分析开关。参见 6.19。
没有退出内容审核的办法。这是有意的。
没有「数据共享偏好」页面，也没有广告退出选项，因为我们不出售、不共享、不投放广告。

第 17 条删除账号，以及删除会移除什么、不会移除什么

你可以在应用内删除你的 CHRYSA 账号。在QuickDate模式中，入口在账号设置里。在蝴蝶模式中，入口在最右边那个标签页（显示你自己头像的那个）→ 设置 → 删除账号。两条路径通向同一套删除流程。我们的网站上也有一个删除申请页面，因此你不必安装应用就能启动流程；你也可以用账号上的邮箱地址写信到 support@chrysa.app。对邮件请求，我们在 3 个工作日内确认收到、核实其来自账号持有人，并在核实后 30 天内完成删除，能更快时会更快。以这种方式提出的请求，删除的内容与在应用内删除完全相同。

它实际是怎么运作的，因为时间点很重要。删除账号会使你退出登录并移除你的登录凭证，而正是凭证的移除触发了我们服务器上的完整清除。清除分两个阶段进行——先蝴蝶模式，后QuickDate模式——并且要走完数十个各自独立的步骤。绝大部分在几秒内完成。任何未能完成的步骤都会被记录下来，一个每三十分钟运行一次的进程会接手剩下的部分并完成它。

我们在用词上很小心。「立即且永久」不准确。「我们立即开始，并由一个定时进程完成第一遍没能完成的部分」才准确。如果你想知道自己的删除是否已经完成，写信给我们，我们会查记录并告诉你。

删除会移除什么。删除覆盖两个模式，而且做得相当彻底。

蝴蝶模式方面，它移除：你的资料及其私有记录；你的公开资料镜像；你以昵称发布的动态和你匿名发布的动态——后者通过 6.14 所述的私有作者记录找到，这是我们唯一一次用那条记录去清除而不是去执法；你的评论，包括你留在别人动态下的评论；指向你动态的每一个点赞和你给出的每一个点赞；你双向的关注关系；你对他人设置的拉黑；你的对话、其中的消息和缓存的破冰建议；你的通知，以及别人通知栏里关于你的通知；你开设的语音房，含其文字、成员、封禁与禁言列表，以及你在别人房间里发过的消息，包括那些从不关闭的常驻创始房间；你在别人房间里获得的管理员授权；你的房间成员身份；你的语音匹配记录；你的匹配队列条目、结果、冷却和配额；配对日志中提到你的条目；你发出的擦灰；你在存储中的蝴蝶图片和视频；以及 6.18 所述的内部身份映射。

在这一切之前，你的资料会先被标记，使你在一个轮询周期内退出候选池，你正在主持的任何实时房间都会被关闭并清空麦位。你先「下线」，再被清除，这样清除过程中就不会有人还在对着一个已经不存在的人说话。

QuickDate模式方面，它移除：你在公开快速约会看板上的条目；你双向的加入请求；你的聊天、其中的全部消息和随附文件，并从每一位仍然存在的参与者的聊天列表中移除你的标识符；只属于你一个人的约会计划；你的预订尝试；你的匹配；你双向的通知；你的活动日志；你的 CHRYSA 约会教练会话；你的身份核验记录和证件文件本身；你的反馈；你的错误记录；你的推送投递回执；你的位置历史日志；你的频率限制计数；你保存的计划；你的日历日程，包括你约会对象日历上的对应条目；你收藏的店铺和合集；你的预订；最后是你的整条用户记录及其下的一切，之后还会检查一次以确认它确实没了。

你的 Firebase Authentication 账号会被删除，因此你无法再登录。删除是永久的。它不是停用，我们无法撤销，也不会从备份中恢复已删除的账号。

删除不会移除什么，以及为什么。我们如实描述这一点，而不是承诺彻底抹除。

举报，双向保留，并被标记以显示该账号已被删除。对自动生成的举报而言，这包括触发它的那条消息的文本。法律依据载于 6.23。
针对你的账号设置的拉黑，保留下来，以便在你离开后继续保护对方。你对他人设置的拉黑会被删除。
你在别人房间里累积的封禁和禁言，它们属于那些房间。
共享的约会计划，被标记而非删除，且你的账号标识符仍在其上，见 6.27。只属于你一人的计划会被删除。
仅仅因为你与人同行而提到你的预订。你的标识符会从对方的副本中移除，预订本身保留，使其记录得以存续。
你的昵称和头像在其他用户通知历史中的显示，它们会自行随时间淘汰。
人工队列中仍在进行中的预订，它会被取消并做脱敏处理，而不是被删除。
属于其他用户、其中含有你标识符的隐藏与拉黑名单。我们有意不去编辑幸存者的保护名单，来替他们所防备的那个人做收尾。
6.20 所述的崩溃特征库。这一项是疏漏而非决定，也是唯一一处诚实的答案为「我们目前触及不到你的数据」的地方。写信给我们，我们会人工移除。
法律要求我们保存的记录，或我们为提出、行使或抗辩法律主张所需要的记录。
已去标识化和汇总、无法再与你关联的数据。
6.19 所述你在 Google 处的产品分析历史，我们的删除流程触及不到它。告诉我们，我们会代你向 Google 提出请求。
我们基础设施提供商保存的备份副本。已删除的数据在从线上服务移除之后，仍可能在例行加密备份中留存一段时间，其时间表由该提供商而非我们决定。
已经发出的员工告警邮件，见 6.24。

时间。在两个模式中，你在线上服务里的记录都是即时或接近即时地删除，第一遍没能完成的部分，由一个每三十分钟运行一次的定时进程补完。已上传的蝴蝶图片和视频还会由一个清扫进程处理，因此一个孤立文件最多可能在存储中留存约一天。语音房的麦位状态大约在五分钟内清空。

如果删除看起来没有生效，或者你想确认还剩下什么，写信给我们，我们会告诉你。

第 18 条我们如何保护你的信息——以及在哪些地方它比你以为的更薄弱

本条我们分两半写，因为一个只列举优点的安全章节不构成信息。

我们做了什么。应用与后端之间的全部通信在传输中加密，存储的数据在 Google Cloud 基础设施上静态加密。生产数据的访问仅限于确有需要的人员。管理性操作通过服务器端函数进行，而不是由客户端直接访问，因此计数、认证状态、审核状态和其他受保护字段只能由我们的后端写入。敏感的后端函数适用按用户的频率限制。有若干集合已被单独、正确地锁定：你的政府证件记录只有你和我们的后端读得到；你的约会教练对话记录只有你本人可读；你的位置历史日志对任何客户端都不可读；举报对任何客户端都不可读；匿名动态的私有作者记录对任何客户端都不可读；蝴蝶身份映射对所有客户端在两个方向上都被拒绝；崩溃库接受写入但不允许任何人读回。你在蝴蝶模式的拉黑由我们的数据库规则而不是应用来执行，因此改装过的客户端也绕不过去。

哪些地方更薄弱，直说。我们的访问规则中留有一条历史遗留的默认规则：凡是还没有单独设定规则的集合，它都把读写权限授予任何已登录用户。我们一直在把集合逐个迁出这条默认规则——用户记录、聊天、政府证件、举报、拉黑、崩溃上报、员工配置等若干项现已单独受控。由此产生两件你应当知道的事：

你的用户记录现已单独受控，但那条规则写的是「任何已登录用户可读」。写入受到严格约束，读取却不是仅限所有者。这意味着另一位已登录 CHRYSA 用户的应用可以读取你账号记录上的字段，包括你的精确坐标、你的出生日期、你的电话号码和你的电子邮箱地址。应用界面不会把这些显示给他们。但数据仍然是可达的。这是本文件中最重要的一句话。
还有若干其他集合同样仍在其下，包括约会计划、匹配、通知、预订和反馈。错误记录与加入请求也已移出：两者仍接受已登录用户的写入（它们本就是为此存在的），但任何客户端都无法把它们读回来。

我们把这些告诉你，而不是描述一个理想状态。它们都在我们的整改清单上，完成时本政策会更新。

App Check 让我们的后端能够把正版应用与自动脚本区分开来，它已内置于应用中并接好了线，但强制执行目前是关闭的，以便旧版本安装赶上进度。现在打开会把使用旧构建的用户挡在门外。所以它是一项已经存在、但尚未起作用的控制，我们宁愿这样说，也不愿声称一项我们并未施加的保护。

带令牌的文件链接。照片和身份证件以文件形式存储，其链接带有访问令牌。这样的链接本身在不登录的情况下也能打开。我们把这类链接当作机密对待，持有链接的数据库记录本身也受访问控制——但真正起作用的不是文件层面的权限。参见 6.4 和 6.25。

实时语音不被筛查，而且按语音的构造方式也无法被筛查。参见第 11 条。

没有系统是绝对安全的，我们也不声称我们的是。请使用强度高、不重复使用的登录凭证，不要把账号访问权分享给别人。

数据泄露通报。如果我们发现影响你个人信息的安全事件，我们会调查、采取措施加以控制，并在法律要求时通知你和相关主管机关。在日本，这意味着向个人信息保护委员会报告，并在《个人信息保护法》规定的情形下通知受影响的个人；对于应当报告的事件，这意味着先尽快提交初步报告（速報），其后提交正式报告（確報）。在美国，这意味着按各州数据泄露通报法规定的期限通知受影响的居民，并在适用时通知州总检察长。我们会告诉你发生了什么、涉及哪些信息、我们做了什么，以及你可以做什么。

第 19 条侵权内容与删除请求

如果 CHRYSA 上的内容侵犯了你的权利——诽谤你、侵犯你的隐私、未经同意公布你的个人信息、未经许可使用你的照片，或侵犯你的著作权——你可以要求我们移除它。

请把请求发送至 support@chrysa.app，并写明：你的姓名、通信地址、电话号码和电子邮箱地址；对具体内容的指认，须详细到足以让我们找到它，例如昵称、动态和大致时间；你主张被侵犯的权利以及为何被侵犯的说明；以及一份声明，说明你请求中的信息是准确的。

如果你的主张是美国法下的著作权主张，你的通知还必须包含以下各项，因为《数字千年版权法》有此要求：你的手写或电子签名；对你主张被侵权的作品的指认，或在一份通知涵盖服务上多件作品时，一份作品代表性清单；对你主张构成侵权的材料的指认，以及足以让我们定位它的信息；你的地址、电话号码，以及如有则电子邮箱地址；一份声明，说明你善意地相信被投诉的使用方式未经著作权人、其代理人或法律授权；以及一份声明，说明通知中的信息准确，并在伪证罪的处罚下声明你是著作权人或已获授权代表著作权人行事。缺少这些要素的通知可能不产生效力，我们可能会请你补齐。依《美国法典》第 17 编第 512(f) 条，明知而作出材料构成侵权、或材料系被错误移除的重大不实陈述，可能使你承担损害赔偿责任，包括费用和律师费。

我们为接收所称著作权侵权通知指定的代理人是：

DMCA 指定代理人
YoYo LLC
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States
support@chrysa.app

我们会及时确认收到请求，并原则上在收到完整请求后 14 天内将我们的决定通知你；内容明显违法、涉及未成年人或存在危害风险的，会更快。我们可能会告知发布该内容的人有人提出了删除请求，并向其提供请求的实质内容，以便其作出回应。内容系匿名发布的，我们不会向你披露作者身份；我们处置的是内容。

如果我们因著作权通知而移除或屏蔽了某项材料，我们会采取合理步骤通知发布它的人，该人可以向我们发送反通知。反通知必须包含：其手写或电子签名；对被移除材料的指认及其被移除前所在的位置；一份在伪证罪处罚下作出的声明，说明其善意地相信该材料系因错误或误认而被移除或屏蔽；以及其姓名、地址和电话号码，连同一份声明，表示其同意接受其地址所在司法区的美国联邦地区法院的管辖，或者如其地址在美国境外，则接受 YoYo LLC 可被寻获的任何司法区的管辖，并将接受提出通知之人或其代理人送达的诉讼文书。最后这一点在此格外重要，因为许多 CHRYSA 用户在日本，而该法对美国境外的主张人有不同处理。

收到符合要求的反通知后，我们会把副本发送给提出原通知的人，告知其我们将在 10 个工作日内恢复该材料，并在收到反通知后不少于 10 个、不多于 14 个工作日恢复该材料；但如果我们在此之前被告知原主张人已就该被控侵权行为提起诉讼请求法院颁发禁令，则不予恢复。

对于重复侵犯著作权的用户，我们会在适当情形下终止其账号。

依日本关于平台上侵害他人权利信息处理的框架提出的请求，也适用本程序，日语请求我们以日语处理。

第 20 条你在加利福尼亚州的隐私权利

本条适用于加利福尼亚州居民，依据经《加利福尼亚州隐私权利法》修订的《加利福尼亚州消费者隐私法》。本政策连同应用内的即时提示，构成我们的收集告知。

过去十二个月内我们收集的个人信息类别：

标识符：你的姓名、电子邮箱地址、账号标识符、Apple 或 Google 登录标识符、设备标识符、安装标识符、会话标识符和推送令牌。
《加利福尼亚州民法典》第 1798.80 条所称的客户记录信息：你的电话号码和你的预订邮箱地址。
受保护分类特征：年龄与出生日期、性别，以及第 7 条所述揭示性取向的信息。
商业信息：你的预订活动、你收藏的店铺、你的合集和你的约会计划。
互联网与网络活动信息：应用使用情况、功能交互、访问过的页面、操作轨迹和诊断数据。
地理位置数据，包括精确地理位置及其历史记录。
音频与视觉信息：你上传的照片和视频，以及语音匹配或语音房期间在参与者之间承载的实时音频——须注意我们不录制该音频，也不持有任何录音。
职业或教育信息，仅限你自愿在资料上填写职业、工作单位、学校或教育程度的情形。
推断信息：6.13 和 6.17 所述的匹配分数、性格向量、星球和配对历史。
第 7 条所列的敏感个人信息。

来源：你本人；你的设备；其他用户，在他们举报你或与你互动时；Apple 或 Google，在你使用其登录时；Google Places，就你收藏店铺所附的店铺信息；以及我们自己的系统，它生成标识符、分数和记录。

商业目的：提供并维护服务、匹配、发布你的内容、投递消息与通知、完成预订、安全与内容审核、安全防护与反欺诈、调试、用于改进应用的分析、回应你，以及遵守法律。第 6 条按类别逐项载明。

接收方类别：第 13 条列明的服务提供商；在你要求我们预订时，店铺及其预订平台；其他用户，就你选择分享的内容，以及如第 18 条所述、任何已登录用户的应用可读取的账号记录字段；以及在法律要求时的法律或政府接收方。

过去十二个月内为商业目的的披露：我们已向第 13 条列明的服务提供商，为上述商业目的披露过上列每一类信息。在用户要求我们预订时，我们已向店铺及其预订平台披露过标识符和客户记录信息——具体为预订姓名、电话号码、电子邮箱地址和任何饮食备注。

保留：按类别载于第 6 条，判断标准概述于第 10 条。

出售与共享：我们不出售个人信息，也不为跨场景行为广告而共享个人信息，过去十二个月内亦未如此。参见第 8 条。

你的权利：

知悉我们收集了你的哪些个人信息、类别、来源、目的、接收方类别，以及具体的信息条目。
以可携带的、在技术可行范围内易于使用的格式取得你个人信息的副本。应用内没有下载按钮。请写信到联系地址，我们会人工整理后发给你。第 22 条给出时限。
删除我们从你处收集的个人信息，但受法定例外的限制，这些例外在第 17 条中已如实说明。
更正不准确的个人信息。大部分资料信息你可以自己在应用里更正；第 16 条列出了你不能更正的部分。
退出出售与为跨场景行为广告的共享。两件事我们都不做，所以没有可退出的对象，但你发来偏好我们仍会记录。
限制敏感个人信息的使用与披露。如第 7 条所述，我们并未将其用于会触发该权利的目的，因此无需设置链接。你提出要求，我们照样为你施加该限制。
不因行使权利而受到歧视。我们不会因你行使隐私权利而拒绝提供服务、收取不同价格或提供不同质量的服务。我们不为个人信息提供财务激励。

如何行使这些权利，见第 22 条。

第 21 条你在美国其他州的隐私权利

如果你居住在弗吉尼亚、科罗拉多、康涅狄格、犹他、得克萨斯、俄勒冈、蒙大拿、马里兰，或其他有综合性消费者隐私法的州，你有权确认我们是否处理你的个人数据并加以查阅、更正不准确之处、删除数据、取得你提供给我们的数据的可携副本，以及退出定向广告、个人数据出售和为产生法律效果或类似重大影响之决定而进行的用户画像。如第 8 条所述，我们不做定向广告、不出售个人数据，也不做该类用户画像，因此这些退出权在此没有可作用的对象，但你发来的任何偏好我们都会遵守。部分州还赋予你取得我们向其披露过个人数据的第三方名单的权利；第 13 条就是那份名单。

处理敏感数据的同意。凡你所在州的法律要求我们在处理敏感数据前取得你的同意，我们依据你选择提供该数据时给出的同意，且每一类都可以撤回。

揭示性取向的数据。你在创建QuickDate模式约会资料、告诉我们你的性别和你希望被匹配的性别时给出该同意。我们不把它当作可有可无的附加项，因为匹配功能存在的意义正是依据这项信息运作，没有它QuickDate模式无法工作。你通过删除QuickDate模式资料或删除账号来撤回该同意。
精确地理位置。你通过授予定位权限给出该同意，通过在设备设置中撤回该权限来撤回。撤回会停止新的采集；6.6 所述的历史日志在你删除账号时被移除，你提出要求也可以更早移除。
政府身份识别信息。你通过选择为可选核验上传身份证件给出该同意，应用中没有任何环节要求你这样做。你通过要求我们删除该证件来撤回。
与健康相关的饮食与过敏信息。你通过填写饮食字段给出该同意，并已从第 7 条得知它会传到哪里；你通过清空该字段来撤回。

马里兰州居民。《马里兰州在线数据隐私法》仅允许在为提供或维护你所请求的产品或服务而严格必要的范围内收集和处理敏感数据，并直接禁止出售敏感数据。我们处理性别和性别偏好，因为匹配就是你所请求的产品，没有它们无法运行。精确地理位置、身份核验和饮食备注，只在你为某项你所请求的具体功能单独选择提供时才收集，其使用不超出第 6 条为其载明的目的，也从不用于广告或用户画像。我们在马里兰州以及任何其他地方都不出售敏感数据。

我们的分析提供商 Google Analytics for Firebase 提供若干可选的广告功能——Google 信号、广告个性化，以及与 Google 广告产品的关联——它们会为广告目的向 Google 发送数据。CHRYSA 不投放广告，也不使用这些功能。我们在 Google Analytics 配置中把它们保持关闭，并在每次发版前核对该配置。如果我们哪天开启其中任何一项，那将构成上述法律所定义的出售或共享；在其生效之前，我们会更新本政策、告知你，并给你本政策所说你应有的退出途径。

申诉。如果我们全部或部分拒绝你的请求，我们会告知理由，你可以提出申诉。请将申诉发送至 support@chrysa.app，主题行写「Privacy Request Appeal」，并附上原请求以及你认为我们的决定有误的理由。由未参与原决定的人员复核。我们会在收到申诉后 45 天内以书面形式答复，说明结果和理由。如果我们驳回申诉，我们会告知你向所在州总检察长提交投诉的方式。本申诉程序面向美国所有州的居民开放，不限于其法律有此要求的州。

第 22 条如何提交隐私请求

请把请求发送至 support@chrysa.app，或寄至第 1 条中的任一地址。请告诉我们你要行使哪一项权利；如果你不是用账号上的邮箱地址来信，请提供足以让我们找到你账号的信息。

请先读这一段，因为这是诚实的现状：CHRYSA 没有自助数据导出。没有下载按钮，没有导出页面，没有自动生成的报告。当你索取数据副本时，是由 CHRYSA 的一个人从我们的系统里人工整理出来发给你的。这比按一个按钮慢，这也是我们请求使用完整答复期限的原因，而这是我们打算补上的一处缺口。

身份核实。在我们就知悉、删除或更正请求采取行动之前，必须合理确信你就是你所声称的人。通常，用账号注册的邮箱地址发出请求，并确认一项只有账号持有人才知道的细节，就足够了。对于索取具体个人信息条目的请求，或涉及敏感个人信息的任何请求，我们适用更高的标准，可能会要求额外确认。我们仅将你为核实身份提供的信息用于核实，之后即予删除。如果我们无法核实你的身份，我们会告知你，并在法律允许的范围内，把该请求作为关于信息类别而非具体条目的请求处理。

授权代理人。你可以委托授权代理人提出请求。代理人须提供你签署的书面授权，我们可能会直接联系你以确认你授权了该请求并核实你的身份，除非代理人提供有效的授权委托书。

时限。我们在 10 个工作日内确认收到请求，并在 45 个日历日内作出实质答复。请求复杂或我们收到的请求数量众多时，我们可以再延长 45 天，总计最长 90 天，并会在最初的 45 天内告知你。对于依 23.5 提出的日本请求，我们力求在 30 天内答复。我们不收取费用，除非请求明显缺乏依据或过度，那种情况下我们会先告知你理由再采取任何行动。

Do Not Track 与全球隐私控制。CHRYSA 是移动应用而不是网站，它不响应浏览器的 Do Not Track 信号，因为它收不到这些信号。我们不出售或共享个人信息，因此也没有什么出售或共享行为，能让全球隐私控制之类的退出偏好信号去关掉。如果你向我们发送全球隐私控制信号或书面的同等声明，我们会将其视为有效的退出请求并予以记录，尽管我们的答复是：我们本来就没有在做你所要退出的那件事。

第 23 条日本：利用目的与你在《个人信息保护法》下的权利

本条适用于日本用户，依据《个人信息保护法》（個人情報の保護に関する法律）提供。处理个人数据的事业者是位于第 1 条所载东京地址的 YoYo KK, Ltd.，连同 YoYo LLC。

23.1 利用目的（利用目的）

未经你同意或缺乏法律依据，我们仅为下列目的使用个人信息：

注册、验证和管理你的账号，并核查你是否年满 18 周岁；
按你的选择向其他用户展示你的资料和内容；
运行匹配、店铺看板、合集、CHRYSA 日历、快速约会和广场；
投递聊天消息；
运行蝴蝶模式，包括化名资料、同国匹配、语音匹配和语音房；
完成你所请求的餐厅与店铺预订，包括由我们团队成员人工完成的情形；
提供 CHRYSA 约会教练和破冰建议；
提供店铺搜索、地图和店铺信息；
发送你要求接收的通知；
审核内容、调查举报、运行拉黑、预防并处置滥用、冒名顶替与欺诈，以及执行我们的条款；
在你选择接受核验时核验身份；
在提交或预订需要人工处理时，以邮件提醒我们自己的员工，如 6.24 所述；
维护、保障、调试和改进应用，包括通过崩溃诊断和使用分析；
使用 6.17 所述的配对日志研究我们所产生匹配的质量；
回应你的咨询、投诉和请求；以及
遵守法律、法规和公共机关的合法要求。

23.2 向第三方提供（第三者への提供）

未经你同意，我们不会为第三方自身的目的向其提供个人数据，但该法允许或要求的情形除外：法律要求的情形；为保护人的生命、身体或财产所必需且难以取得本人同意的情形；为改善公共卫生或促进儿童健全成长而特别必要且难以取得本人同意的情形；以及协助国家或地方公共团体履行法定职务、取得同意会妨碍其履行的情形。向第 13 条所列提供商的提供，属于在利用目的范围内的处理委托（委託），而非向第三方提供，我们依合同监督这些提供商。除 YoYo LLC 与 YoYo KK, Ltd. 之间的安排外，我们不采用共同利用（共同利用）；这两家公司为 23.1 所载目的共同利用第 6 条中的全部类别，对日本用户由 YoYo KK, Ltd. 承担共同责任。

确有一项向第三方的提供会发生，而且只在你要求时：当你要求我们预订时，我们会把用于预订的姓名、一个联系电话、一个电子邮箱地址、人数、所请求的日期与时间，以及任何饮食或过敏备注，提供给该店铺或该店铺使用的预订平台，以便店铺保留并确认你的预订。此后店铺会为其自身目的、按其自身做法处理该信息。你使用 CHRYSA 预订即构成对该项提供的同意，你也可以通过自己联系店铺而完全避免它。我们按该法要求保存向第三方提供的记录，你可以依 23.5 请求披露这些记录。

23.3 向外国的第三方提供（外国にある第三者への提供）

自你创建账号的那一刻起，你的个人数据中存放在我们数据库里的部分即在美利坚合众国存储和处理；上传的文件存储在日本；后端函数在台湾处理个人数据。我们的数据库位于美国；日本境内没有数据库的副本。这些地点，以及可能在其他国家或地区处理数据的 Firebase 服务，见第 14 条；台湾的制度载于 23.7。接收方为：

Google LLC（美国）——Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions、Google Analytics for Firebase、Firebase Cloud Messaging、App Check、Remote Config、Cloud Logging，以及 Google 地图与 Places。
OpenAI, L.L.C.（美国）——内容审核、CHRYSA 约会教练、破冰建议。
Agora, Inc.（美国）——实时语音传输，可能经由离参与者最近区域的服务器转发。
Apple Inc.（美国）——Apple 登录、推送投递，以及接收你坐标的设备端地理编码。
Expo, Inc.（美国）——空中应用更新与推送通知的转发，包括通知内容。
Resend, Inc.（美国）——投递 6.24 所述的员工告警邮件，其中含你的姓名、账号邮箱地址和账号标识符。
Browser Use, Inc.（美国）——完成店铺预订表单的自动浏览器，接收预订姓名、电话号码、电子邮箱地址、店铺、日期、时间、人数和任何饮食备注，且仅在你要求预订时。
YoYo LLC（美国）同时也是共同控制者。

另外，如果你要求我们在日本境外的店铺预订，23.2 所述的预订详情会被提供给该国的该店铺。

关于美国数据保护制度的信息：美国没有单一而全面的全国性个人数据保护法，也没有一个具有一般管辖权的独立的国家数据保护监督机关。保护来自联邦贸易委员会对不公平和欺骗性行为的执法、特定行业的联邦法规，以及各州的综合性隐私法——主要是适用于 YoYo LLC、由加利福尼亚州隐私保护局和加利福尼亚州总检察长执法的经修订的《加利福尼亚州消费者隐私法》，以及弗吉尼亚、科罗拉多、康涅狄格、犹他、得克萨斯、俄勒冈、蒙大拿、马里兰等州的同类法律。这些法律提供的查阅、更正、删除、可携和退出权利，在性质上与《个人信息保护法》下的权利大体可比，但范围并不完全相同。在某些情形下，美国公权力机关可依法律程序获取美国公司持有的数据。

接收方所采取的措施：每一家接收方都受书面数据处理协议约束，仅可按我们的指示、为我们的目的处理数据；每一家在合同上负有保密与适当安全的义务；数据在传输中和静态存储时加密；访问仅限获授权人员；每一家接收方都维持已公开的信息安全方案。我们定期复核这些安排，若某一接收方的处理不再符合所要求的标准，我们会采取必要行动。你可以通过 23.6 的联系方式索取关于这些措施的进一步信息。

23.4 个人关联信息（個人関連情報）

我们发送给服务提供商的某些标识符——例如安装标识符、设备标识符、会话标识符和推送令牌——在接收方手中可能构成个人关联信息而非个人数据。我们不会向任何第三方提供个人关联信息，用于让该第三方把它与个人关联、从而成为个人数据；也不允许我们的提供商这样做。我们不向广告网络或数据经纪商提供此类标识符，因为我们不使用任何此类机构。请注意，我们的分析事件经常在安装标识符之外一并携带你的账号标识符，这意味着在 Google 手中，该数据并不只是个人关联信息；我们把它当作个人数据对待。

23.5 披露、更正与停止利用的请求程序（開示等の請求手続）

你可以请求披露你保有个人数据的利用目的、披露该数据本身（包括披露向第三方提供的记录）、对不准确数据的更正、追加或删除，以及在该法允许的理由下停止利用、消除或停止向第三方提供。你也可以要求以电子方式提供披露。

提出请求，请写信至 support@chrysa.app，主题写「個人情報開示等請求」，或寄至第 1 条所载地址的 YoYo KK, Ltd.。请说明你提出的是哪一项请求，并提供足以让我们识别你账号的信息。我们会核实你的身份，通常是确认该请求来自账号注册的邮箱地址，并再确认一项账号细节。请求可以通过代理人提出，代理人须提供你签署的书面授权；法定代理人须提供证明其身份的文件。我们不对这些请求收取费用。我们不会无故拖延，通常在 30 天内答复。如第 22 条所述，披露是人工整理的，而不是由自动导出生成的，这就是我们请求使用完整期限的原因。如果我们全部或部分拒绝某项请求，我们会告知理由。

当你要求我们停止利用或消除数据时，我们可以在该法允许的范围内拒绝，特别是在为保护人的生命、身体或财产而有保留必要的情形下。第 17 条说明了我们依赖该理由的各处情形：保留的举报、保留的拉黑记录，以及既属于你也属于另一位用户的记录。

23.6 投诉受理（苦情の申出先）

关于我们处理个人信息的投诉，请以日语或英语发送至 support@chrysa.app，或寄至 YoYo KK, Ltd., 566 Tensho Office Hamamatsucho Daimon, Eagle Hamamatsucho, 2-7-17 Hamamatsucho, Minato-ku, Tokyo 105-0013。对日语投诉我们将以日语答复。

你也可以向监督日本个人信息处理事业者的个人信息保护委员会（個人情報保護委員会），按其公布的联系方式提出投诉。

23.7 安全管理措施（安全管理措置）

我们采取下列措施：

组织性措施：明确个人数据处理的责任分工；关于处理、访问和事件应对的内部规程；向管理层报告事件的通道；对处理情况的定期复核。
人员方面的措施：对人员和承包商课以保密义务；就个人数据的处理提供指导；访问仅限职责需要者。
物理性措施：日常业务中不将个人数据保存于可移动介质；用于访问生产数据的设备受访问控制并设有屏幕锁。
技术性措施：在服务器端执行数据库与存储规则；受保护字段、审核字段和核验字段仅允许服务器写入；对举报、匿名作者记录、蝴蝶身份映射和崩溃库拒绝客户端读取；传输中与静态存储加密；对后端函数按用户施加频率限制；通过 Firebase App Check 进行应用完整性证明——如第 18 条所述，它已实施但尚未强制执行。
正在整改的已知薄弱之处：一条遗留的访问默认规则仍把部分集合的读写权限授予任何已登录用户，且用户记录可被任何已登录用户读取。第 18 条完整载明了这一点。我们认为把这一点告诉你，比描述一个理想状态更有用。
外部环境措施：个人数据存放于数据库所在的美国和上传文件所在的日本，并在后端函数所在的台湾处理。第 13 条列明的部分 Firebase 服务，还可能在 Google 设有数据中心的其他国家或地区处理数据，Google 不会事先告知具体是哪些国家或地区。我们就美国数据保护制度所采取的措施载于 23.3。台湾有一部综合性的法律《个人资料保护法》，规范企业对个人数据的收集、处理和利用，并赋予本人查询或请求阅览、请求制给复制本、请求补充或更正、请求停止收集处理或利用以及请求删除的权利。我们在了解这一制度的基础上，采取上列安全管理措施。

23.8 保有个人数据的保存（保有個人データ）

保存期限及我们所适用的判断标准，已在第 6 条按类别载明，并概述于第 10 条。

第 24 条日本：从你的设备向外部发送的信息

本条依据《电气通信事业法》的外部发送规律（電気通信事業法の外部送信規律）提供。它告知你本应用会使你的信息被发送给哪些外部方、发送了什么以及为什么发送。凡信息经由我们自己的后端而非直接从你的设备到达某一方的，我们也一并列出，因为对你而言重要的是它最终去了哪里。

Google LLC——Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions 与 App Check。发送内容：你的账号标识符与身份验证令牌、你发出的请求内容以及你创建或读取的数据、你上传的照片和视频、设备与应用版本信息，以及一个 App Check 完整性证明令牌。目的：运行应用。

Google LLC——Google Analytics for Firebase。发送内容：一个安装标识符、你的账号标识符、设备型号、操作系统版本、应用版本、语言、地区，以及描述你使用了哪些页面和功能的事件记录，另有崩溃与错误诊断。目的：衡量应用如何被使用、发现并修复故障、改进产品。不用于广告，也不与广告网络共享。应用内没有停止这项的开关。

Google LLC——Firebase Cloud Messaging。发送内容：你的推送令牌和设备信息。目的：投递你要求接收的推送通知。

Google LLC——Firebase Remote Config。发送内容：一个安装标识符、应用版本和设备信息。目的：不经更新即向应用下发配置。

Google LLC——Google 地图与 Google Places。直接从你的设备发送：在你授予定位权限时的坐标、你的店铺搜索词、你当前查看的地图范围，以及地点标识符。目的：在QuickDate模式中显示地图并返回店铺结果、店铺详情和店铺照片。

Apple Inc.。发送内容：使用 Apple 登录时的身份验证请求和你批准的凭证；推送通知的负载和你的设备令牌；以及用于地理编码的原始坐标，由操作系统的地理编码器解析为城市和国家名称。目的：身份验证、通知投递，以及把坐标转换为地名。

Expo, Inc.（Expo Application Services），美国。发送内容：每次启动时，你的安装与运行时标识符、应用版本、平台和设备型号，以便应用检查并下载空中更新；以及在推送时，签发给你这次安装的 Expo 推送令牌连同通知内容，由 Expo 转发给 Apple 和 Google 的推送服务。在QuickDate模式中，该内容包含触发该通知的消息的前 40 个字符。目的：投递应用更新和推送通知。

OpenAI, L.L.C.。经由我们的后端发送：你的资料自由文本与昵称、你的QuickDate模式资料照片、你在广场提交的动态的文字与图片、你的评论、你的语音房文字、你的语音房标题、你提交视频的封面帧、你店铺看板帖子的文字、你在任一模式中发出的私信文本、你发给 CHRYSA 约会教练的消息，以及用于破冰建议的双方兴趣标签、星球和该对话的近期消息。图像以链接形式发送，由 OpenAI 自行取回。目的：自动内容审核、CHRYSA 约会教练顾问，以及蝴蝶模式破冰建议。你的电子邮箱地址、出生日期、电话号码、身份证件和坐标不会被发送。私聊中的图片不会被发送。

Agora, Inc.。发送内容：语音频道名、我们为该会话生成的数字参与者标识符、一个访问令牌、连接与网络质量信息，以及你在语音匹配中或语音房麦位上说话时的实时音频流。目的：在参与者之间承载实时语音。CHRYSA 不录制该音频。

Resend, Inc.，美国。经由我们的后端发送，且仅在触发事件发生时：身份核验提交时，你的姓名、你的账号邮箱地址和你的账号标识符；预订失败时，你的姓名、你的账号邮箱地址、你的账号标识符、店铺和所请求的时段；出现新的崩溃特征时，错误和页面。目的：向必须处理此事的 CHRYSA 员工发送邮件。你的身份证件图像绝不会被发送。

Browser Use, Inc.，美国。经由我们的后端发送，且仅在你要求我们预订时：你账号上的名、姓和全名、你的电话号码、你的预订邮箱地址、店铺及其预订页面、日期、时间、人数，以及你保存的任何饮食或过敏备注。目的：运行由 AI 驱动的自动浏览器，按你的指示完成店铺自己的预订表单。它被指示绝不填写银行卡信息。

店铺及其预订平台。经由我们的后端或自动浏览器发送，且仅在你要求我们预订时：用于预订的姓名、一个联系电话、一个电子邮箱地址、人数、所请求的日期与时间，以及任何饮食或过敏备注。目的：保留并确认你的预订。与上述各方不同，店铺不是代我们处理数据的一方；参见第 13 条。

其中一部分发送你可以自己停掉：不授予相应权限，或在设备设置中撤回（定位、麦克风、照片、通知），以及在应用内关闭通知；至于店铺那一项，办法是不使用 CHRYSA 预订。对 Firebase Authentication、Cloud Firestore、Cloud Storage、Cloud Functions 与 App Check 的发送，在你使用应用期间无法关闭，因为它们就是应用本身。对 Google Analytics for Firebase 的发送目前同样无法关闭，原因见 6.19。

第 25 条日本：18 岁以上与禁止的招揽行为

CHRYSA 仅面向年满 18 周岁的成年人。年龄在注册时按出生日期核查，并提供可选的政府证件身份核验。CHRYSA 未依《关于规制利用异性介绍事业引诱儿童行为的法律》作为互联网异性介绍事业者提出申报，本政策也不作相反的声称。

禁止引诱未成年人。同样禁止任何以金钱或其他对价换取性行为的帖子或消息，包括援助交际（援助交際），以及任何提供或寻求卖淫或其他非法性服务的帖子或消息。从事此类行为的账号将被终止，并在法律要求时报告主管机关。如果你认为某位用户是未成年人，请立即通过应用内举报工具举报该账号，或发邮件至 support@chrysa.app。

第 26 条年龄要求与未成年人

CHRYSA 是面向成年人的服务。你必须年满 18 周岁才能创建账号。

下面是我们确切在做的事，说得很精确，因为「我们核验每一位用户都年满 18 周岁」不属实，我们不会那样写。我们在注册时要求填写出生日期。我们把该出生日期与 18 周岁的门槛作比对，出生日期显示未满 18 周岁的账号会被拦在服务之外，包括蝴蝶模式在内——蝴蝶模式复用同一个出生日期，不再另行询问。当一个较早的账号上没有可读的出生日期时，我们的检查会返回「未知」并放行，而不是因为一个缺失的字段把一位成年人锁在门外。那是针对历史账号的一项刻意选择，它意味着我们的门槛是一次出生日期检查，不是一次年龄证明。使用政府证件的可选身份核验是更强的检查，任何想做的人都可以做。

CHRYSA 不面向儿童，我们不会在明知的情况下收集任何未满 18 周岁者的个人信息；美国《儿童在线隐私保护法》不适用于我们，因为我们不运营面向 13 岁以下儿童的服务。

如果我们得知某个账号属于未满 18 周岁的人，我们会终止该账号并删除与之相关的个人信息，仅保留为防止同一人重新注册和履行任何报告义务所需的最低限度记录。如果你是家长或监护人，认为有未成年人创建了账号，请写信到 support@chrysa.app，并提供足以识别该账号的信息，我们会优先处理。

第 27 条 Apple App Store 隐私标签

Apple 要求我们在 App Store 产品页上概述我们的数据做法。那些标签是概要；本政策是细节，凡标签比事实粗略之处，以本文件为准。

用于追踪你的数据：无。我们不为广告或效果衡量而把你的数据与来自其他公司应用和网站的数据关联，应用中也没有追踪 SDK。

与你关联的数据：联系信息（姓名、电子邮箱地址、电话号码）；用户内容（照片、视频、动态、评论、消息，以及「音频」——仅指实时语音会从中经过——和其他用户内容）；标识符（账号标识符、设备标识符、安装标识符）；使用数据（产品交互）；诊断（崩溃数据、性能数据，以及 6.20 所述的操作轨迹）；位置（精确与粗略）；健康与健身，仅限你的饮食或过敏备注可能构成的那部分；敏感信息（性取向——约会资料本身即内含，以及政府身份证件）；购买：无；财务信息：无；通讯录：无；浏览历史：无；搜索历史，仅限你所做的店铺搜索。

未与你关联的数据：我们不作任何此类主张，因为 CHRYSA 中几乎一切都附着于你的账号。在这里我们宁愿多报，也不愿少报。

第 28 条本政策的变更

当我们的做法发生变化时，我们会更新本政策；当我们发现此前所写并不准确时，我们同样会更新。发生实质性变更时——新的个人信息类别、新的目的、新的接收方，或缩减你权利的变更——我们会在其生效前，通过应用内通知，并在适当时通过发送至你账号邮箱的邮件告知你，并给你复核的机会。对于依适用法律需要你同意的变更，我们会主动征求同意，而不是从你继续使用中推定。非实质性变更（例如澄清和更正）自发布之时起生效。

本政策中有若干事项被描述为尚未建成或尚未强制执行：崩溃特征库的清除步骤、已上传身份证件的自动清除、QuickDate模式的拉黑功能和取消隐藏功能、自助数据导出、应用内的分析开关、App Check 的强制执行，以及第 18 条所述遗留访问默认规则的关闭。每一项发生变化时，我们都会更新本政策并提升版本号，而不是把过时的文字悄悄留在这里。

当前的版本号和生效日期在本文件顶部。

第 29 条联系方式

疑问、投诉、隐私权利请求、索取数据副本、对不良内容或滥用行为用户的举报、要求删除侵犯你权利之内容的请求，以及在应用之外要求删除账号的请求：

support@chrysa.app

YoYo LLC
453 S Spring St STE 400, PMB 1290
Los Angeles, CA 90013, United States

YoYo KK, Ltd.
566 Tensho Office Hamamatsucho Daimon, Eagle Hamamatsucho
2-7-17 Hamamatsucho, Minato-ku, Tokyo 105-0013, Japan

我们以英语和日语答复。

第 30 条本版本更正了什么

我们重写本政策的方式，是回到软件里去，把每一条事实性表述都对着代码实际的行为核对一遍。上一版本中的下列说法是错的，我们把它们列出来，而不是悄悄替换掉。

我们曾说 OpenAI 不会收到评论或语音房标题。它会，而且一直都会。两者都会被提交给自动审核。见 6.16 和第 11 条。
我们曾说我们不建立或保留位置历史轨迹。我们建立并保留。一份带日期的坐标日志被写入并被保存。见 6.6。
我们完全没有提到 Resend 或员工告警邮件。提交身份核验和预订失败，各会通过一家第三方邮件服务把你的姓名和账号邮箱地址发送到一小份员工地址名单。见 6.24。
我们完全没有提到崩溃特征库，而它不会被账号删除触及。见 6.20。
我们曾说约会计划会在删除后留在应用里，并已抹去你的姓名、照片和资料。这两半都不准确：只属于你一人的计划现在会被直接删除，而共享的计划仍带着你的账号标识符，并非被抹去。见 6.27。
我们描述了安全措施，却没有说明一条遗留访问规则使你的账号记录——包括你的坐标、出生日期、电话号码和电子邮箱地址——可被任何已登录用户读取。见第 18 条。
我们曾说 App Check 确认请求来自正版应用。它已实施，但目前并未强制执行。见第 18 条。
我们把举报描述成关于「被举报了什么」的记录，却没有说明自动生成的举报中包含消息文本本身的前 1,500 个字符。见 6.23。
我们曾说你给出的删除理由会与你的资料分开保留至多二十四个月。实际上它作为一个事件被发送给 Google Analytics，并与你这次安装的分析身份绑定。见 6.19。
我们给出了一种应用内并不存在的分析处理方式。没有分析开关。见 6.19。
我们没有把 Apple 列为你原始坐标的接收方，而它通过设备端地理编码器接收这些坐标。见第 13 条。
我们把视频描述为最长 30 秒。当前上限是一小时，这使「仅审核封面帧」这一限制变得更重要，而不是更不重要。见 6.4 和第 11 条。
我们描述了 18 岁以上的门槛，却没有说明没有可读出生日期的账号会被放行而不是被拦下。见第 26 条。
我们描述了QuickDate模式的「隐藏资料」，却没有说明它无法在应用内撤销。见第 5 条。
我们曾说数据库、存储和后端函数都在美国。数据库确实在美国，但上传的文件存储在日本，后端函数运行在台湾。见第 14 条。

这些更正都没有改变 CHRYSA 所做的事。它们改变的是我们告诉你的内容——那是我们能够控制的部分，而把它说错，是我们最想修正的一件事。