Little Binder 隐私政策

1. 我们处理的信息

账户信息包括姓名、电子邮件地址、账户标识符、登录和恢复信息、家庭角色、偏好以及选择和同意的记录。密码以哈希形式存储。如果您添加通行密钥，我们存储其公共凭证及相关安全记录，而非您的指纹、面部数据或设备 PIN。您的凭证提供商处理任何私有凭证的同步。两步登录使用受保护的验证器密钥和哈希恢复代码。

家庭信息包括儿童显示名称、可选的生日或出生年份、可选的肖像和姓名发音、创作图像、录音、标题、文字记录、日期、组织方式及编辑选择。生日支持适龄展示和家庭搜索；受邀查看者不会收到生日信息，且该信息不会发送给人工智能或用于广告。肖像可能对家庭及共享中包含该儿童的授权查看者可见。肖像不用于面部识别或人工智能分析。

共享信息包括邀请接收者及关系、访问权限、共享相册和创作、查看回执、反应、书面回复及语音回复。礼品信息包括购买者和接收者详情、交付消息、领取状态及付款记录。支持信息包括消息、反馈、回复选择及可选的技术细节。表单会标明其请求的信息。

运营信息包括有限的请求和安全日志、IP 地址、设备和安装标识符、应用程序和平台版本、语言、通知令牌及交付记录，以及用于可靠性和账户功能的服务使用信息。例如，我们记录启动总数和已忽略的提醒，而非用于这些计数器的儿童屏幕历史或会话时长。可选的由成人提供的地点或“家”的回答仅用于所述功能或消息目的，不会添加到儿童档案或用于基于儿童的广告。我们不请求设备位置。

2. 我们使用信息的原因

我们使用信息以提供和保障家庭档案、验证身份、应用权限、同步内容、履行所选的共享和打印、操作请求的人工智能功能、处理付款和礼品、交付允许的消息、提供支持以及管理导出和删除。我们还使用必要记录以调查滥用、遵守法律，并在允许的情况下确立或抗辩法律主张。我们不使用广告网络、数据经纪商或跨应用广告追踪器。

3. 儿童及成人权限

成人持有账户并管理儿童档案。儿童可通过家庭功能创建图像和录音，因此信息可能来自儿童，也可能来自成人。父母、监护人或其他拥有合法权限的人必须授权儿童参与及提供的信息。接受账户和应用程序 PIN 不能替代法律要求的父母同意。

父母或监护人可联系 privacy@littlebinder.com 要求查看或更正其儿童的信息、停止进一步收集或使用、撤回适用的同意或请求删除。我们在采取行动前可能会验证身份和权限。某些功能若缺少提供该功能所需的信息则无法运行。我们不要求儿童提供超出其参与合理必要范围的个人更多信息。如果您认为儿童的信息是在未获得必要授权的情况下收集的，请联系我们。

4. 家庭管理员、查看者及副本

家庭管理员在其权限范围内控制访问权限。邀请使用授权成年人提供的收件人详细信息。共享仅在接受后开始，并限于当前权限。共享的创作可以识别其所有儿童创作者，包括共同创作者。相册和自动共享遵循家庭所选的设置。我们存储查看和响应信息，以便家庭查看互动情况。

查看者可以使用可用的打印功能，包括在支持的情况下保存 PDF，但不会收到家庭的完整档案导出。移除或暂停访问会停止进一步的授权服务访问；它无法召回已在服务外制作的截图、打印件、下载的导出件或其他副本。离线设备可能会保留之前可用的副本，直到重新连接并处理更新的权限或删除指令。

关闭一个人的账户不会自动删除另一个家庭对某项创作、回复或互动的独立记录。根据关系和适用权利，在贡献者离开后，家庭可能会在其档案中保留带有归属的贡献。如有具体的删除或权限争议，请联系我们。我们会对此进行审查，而不是将账户角色视为忽视他人法律权利的许可。

5. AI 辅助和搜索

家庭AI辅助和语音笔记转录是独立选项，默认处于关闭状态。它们在我们位于美国的系统上处理所选功能所需的图像、录音或文字。我们不使用第三方AI服务。您孩子的艺术作品、语音笔记及其他家庭内容不会发送给AI公司，也不会用于训练AI模型。已保存的标题和转录文本将保留在对应的创作内容中，直至被删除。临时处理输入会在处理完成后移除。

普通搜索可以在设备上运行。家庭 AI 搜索还可以在我们的服务器上处理搜索词以及相关的已保存标题和转录文本。对于新的查看者账户，相关搜索默认开启，并且可以关闭。它仅包括已授权该 AI 使用的家庭当前共享的内容。现有的关闭或状态不确定的遗留选择保持关闭，除非更改。关闭家庭 AI 会停止对该家庭内容的新 AI 处理，包括查看者的相关搜索；未完成的结果将被丢弃，而已接受的结果保留直到被移除。

语音搜索是一个独立的选择。识别在支持的设备上运行，或者将临时录音发送到我们的服务器，并使用说话者已获授权使用的姓名来改进识别。临时录音和搜索处理数据在处理完成后不被保留，也不用于训练。查看者的语音选择不会授权对未共享内容进行 AI 处理。我们保留偏好和同意记录，但不保留搜索查询历史或单独的内容搜索索引。

6. 服务提供商和支付

服务提供商帮助我们托管和保护服务，发送电子邮件和通知，处理支付，并响应支持请求。他们接收执行这些功能所需的信息，并受适用的合同和法律限制约束。我们的基础设施包括 DigitalOcean 托管；自动电子邮件使用 Resend。Expo、Apple 和 Google 处理推送传递的令牌和通知负载。账户和邀请电子邮件可能包含其目的所需的信息；推送消息避免敏感创作和儿童详细信息。

Stripe 根据其自身的隐私政策处理支付详情。我们不接收或存储完整的支付卡或银行账户凭证。我们保留必要的交易、权益、收据、礼品、会计和欺诈预防记录。礼品不会赋予其购买者访问收件人家庭内容的权限，也不会将收件人注册到营销中。当您选择使用时，第三方凭证提供商和设备服务也根据其自身的政策处理信息。

7. 消息、网站存储和反馈

可选的促销电子邮件需要成年人的独立选择，并包含退订机制。促销推送和应用内建议有单独的控制。我们记录选择，并不使用源自儿童的数据或设备位置进行活动定位。账户、账单、安全、法律和请求的共享消息与营销是分开的，在需要且被允许时可能会继续。设备权限仍然控制推送。我们不会跟踪私密事务性消息或可选更新电子邮件中的打开或点击。

我们按天和链接统计对我们公开社交链接的请求次数。这些统计数据不会保存 IP 地址、Cookie、账户详情或浏览历史。

网站和应用使用必要的本地存储和类似技术用于登录、安全、语言、偏好和记住的登录方法。设备存储还可能保存离线创作和未发送的工作。删除应用、清除其数据或丢失设备可能会丢失未发送的工作。您设备上的副本在同步完成之前不是服务器备份。

反馈是可选的。我们使用其消息、类别、账户引用、提交时间和回复选择用于支持和改进服务。可选的技术细节可以在发送前预览，并且不附带原始日志、创作、录音、姓名或文件路径。授权人员的访问受到限制并经过审计。发送反馈不会授予人员访问家庭档案的权限。反馈不用于广告或 AI 训练。

8. 安全、支持和法律披露

我们使用访问控制、私有存储、加密网络传输、受限的人员访问以及其他适合该服务的保障措施。上传的创作图像在共享保存的图像之前会移除嵌入的位置元数据；有用的非位置元数据可能会保留。没有存储或传输系统能保证绝对的安全或可用性。

常规人员支持访问创作需要成年人记录在案且有时限的许可。此外，当合理必要且法律允许时，我们可能会访问、保留或披露信息，以遵守法律程序、调查滥用行为、执行我们的条款、保护免受安全威胁或保护某人免受严重伤害。此类访问仅限于授权人员用于相关目的。我们按照美国法律的要求报告明显的儿童性剥削，包括向国家失踪和被剥削儿童中心进行强制报告。

9. 保留和删除

在提供档案及其选定功能所需的期间，我们将保留账户和家庭信息，但须遵守删除请求、账户状态、依法保留要求以及任何已适当通知的服务终止规定。我们不会保留儿童信息用于无关的未来用途。普通的订阅取消本身并不构成删除请求。获得全额退款的家庭在 90 天内保留访问权限；该期限届满后，我们可能会删除其存储的内容。我们并不承诺在访问权限结束当天删除所有副本。

已确认的账户删除请求通常设有 14 天的取消期；在该期间内登录将取消该请求。确认时，会话将被撤销。该期限届满后，符合条件的活跃账户和家庭数据将被删除。共享家庭管理或依法保留要求可能需要额外处理。其他设备上由应用管理的副本将在这些设备重新连接并处理删除时清除。独立保存在 Little Binder 之外的副本仍由其持有者控制。

普通的加密备份副本在主动删除后 35 天内过期，且不可用于常规访问或用户恢复。受依法保留要求约束的记录可能会被隔离并保留以满足该要求。我们仅可保留为会计、安全、欺诈预防、依法抑制或法律索赔所合理必要且法律允许的信息，并在该目的结束时将其删除。这些例外情况并不授权无限期保留整个家庭档案。一份最小的删除回执将记录完成情况。

具体的操作限制包括：原始安全 IP 地址，最长 30 天；反馈消息，最长 90 天；附带的反馈技术细节，最长 14 天；导出请求和下载历史，最长 35 天；以及未发送的共享交付记录，最长 35 天。礼品交付详情将在购买后 30 天内离开活跃队列，未支付的结账详情将在两天内离开。仅在适用特定依法例外情况时，识别记录方可保留更长时间。备份过期与活跃记录删除是分开的。

通知偏好、授权交付集合、可选的主页回答、启动计数器以及保存的功能结果遵循其账户或家庭目的及删除规则。交付集合不会保留已擦除的创作。账户关闭将移除可用凭证和与账户关联的反馈。涉及其他家庭贡献的请求将按上述描述进行审查。您可以询问我们适用于特定记录的保留政策。

10. 您的选择与隐私请求

可用的账户控制功能允许授权成年人更正信息、更改共享和可选处理选择、导出家庭信息以及请求删除。也可在 littlebinder.com/delete-account.html 进行账户删除。如需访问、更正、删除、撤回同意或适用法律下的其他权利，请联系 privacy@littlebinder.com。我们可能会要求相称的验证，并解释对请求的任何依法限制。撤回同意不会使已依法完成的处理无效。

在适用法律要求法律依据的情况下，我们将使用与目的相称的依据，例如提供所请求的服务、可选处理的同意、遵守法律义务，或在允许的情况下合法的运营和安全利益。儿童信息和敏感用途需要适用其的权限。如果您对我们的回应不满意，您可以联系相关的隐私监管机构。

11. 地点与业务转让

Little Binder 总部位于美国波多黎各。我们的服务器和加密备份均位于美国。AI处理在设备上运行，或在我们位于美国的系统上运行。负责支付、电子邮件和通知的独立服务提供商可能在其他国家处理这些服务所需的信息。适用的保障措施和传输要求仍然有效。外国法院和当局可能对其司法管辖区内持有的信息拥有合法访问权。加拿大居民可以联系加拿大隐私专员办公室，或在魁北克省联系魁北克信息访问委员会。我们的隐私联系人同时也担任我们的隐私官联系人。

如果 Little Binder 涉及合并、收购、融资、重组或服务转让，必要信息可能会在保密和数据保护保障措施下披露或转让，并受适用法律约束。继任者必须遵守适用的隐私承诺。这并不授权为广告或无关目的出售家庭信息，或利用业务转让来规避所需的通知或同意。

12. 更新与联系

我们将公布修订日期，并对重大变更给予适当的事先通知。在变更后的用途开始之前，我们将按要求获取新的同意。修订后的政策不会悄悄扩大在先前承诺下收集的信息所获授权的目的。

Little Binder LLC, 1654 Calle Tulipan, Ste 100, San Juan, PR 00927-6242, 美国。隐私官与请求：privacy@littlebinder.com。支持：support@littlebinder.com。电话：+1 787-699-3505。

我们免费活动页面的隐私

我们的免费活动页面和下载内容不会要求提供姓名、年龄、电子邮件地址、住址、图片或录音。我们不会使用 Cookie、浏览器存储、分析工具、广告、社交组件或第三方嵌入。本地页面控件用于打开帮助和打印选项，不会将活动选择发送到任何地方。我们的服务器仅处理交付页面所需的网络信息。我们不会为活动页面或其下载内容保留访客访问日志。独立的家庭应用拥有自己的登录、家长同意和隐私控制功能。