隐私政策

词语过滤、举报和屏蔽

Doomate 服务器在发布前将共享文字与有限的禁用词列表比对。该词语过滤器不分析照片或语音消息，也不将内容发送给 Google。它无法识别所有有害消息或上下文。人工举报和屏蔽仍可使用。Doomy 的独立 AI 审核仍需每位真人参与者同意。

举报会打开邮件草稿，供你检查并发送至 contact@doomate.app。草稿包含相关请求、消息和用户标识符、显示的文字及媒体标记；不会自动附加媒体。创始人负责处理该邮箱。邮件副本位于应用存储之外，不会因删除账户或应用而自动清除。

屏蔽记录私密保存。屏蔽会将对方移出你的圈子，让你退出其他共同圈子，并使相关待处理请求过期。已确定的访问授权仍然有效。解除屏蔽不会恢复关系。屏蔽记录随账户删除而移除。 被移出请求的人员将无法访问其对话历史。

账户、请求和对话

Firebase 为提供服务而存储账户身份、电子邮件、个人资料、支持关系、限制、请求、投票以及对话文字、照片和语音消息。请求参与者可查看请求及其对话。定期清理会删除创建满14天的请求和对话；重试或积压可能导致延迟。设备已缓存的副本和备份不在此清理范围内。

服务提供商与基础设施

Google Firebase和Google Cloud运营我们的身份验证、数据库、后端和API服务。它们处理此处说明的账户和服务数据，以及运营和保护服务所需的技术请求信息、IP地址、安装、设备和安全信息。这些必要处理与可选的分析和诊断分开进行。

使用Apple或Google登录涉及所选提供商和Firebase Authentication。它们处理登录凭据、提供商标识符以及提供商提供的姓名和电子邮件地址。邮箱和密码登录也使用Firebase Authentication。Doomate不会收到您的Apple或Google密码。

启用通知后，Google Firebase Cloud Messaging和Apple Push Notification service会处理安装标识符、推送令牌和通知内容。内容可能包括发送者或请求者姓名、群组名称和简短的对话预览。照片和语音文件不会附加到推送通知中。

Firebase App Check使用Apple App Attest验证来自iOS应用的请求。Apple、Google和我们的后端会交换应用/设备证明信息和验证令牌，以防止滥用。网站验证使用下文说明的Google reCAPTCHA Enterprise。这些安全检查不依赖于可选分析的同意。

Vercel托管我们的公开网站，并处理IP地址、浏览器/设备信息、请求详情和技术日志，以提供和保护网站。网站的Google Analytics仅按照此处说明的独立分析选择运行。

Cloudflare Email Routing将发送至contact@doomate.app的邮件转发至Apple iCloud Mail，我们在其中接收和存储邮件。两家提供商都会处理电子邮件地址、邮件头、正文以及您发送的附件。这些支持和举报邮件不属于应用存储；删除账户不会自动将其删除。如需删除，请联系我们。

对于受邀测试者，Google Firebase App Distribution会处理测试者姓名和电子邮件地址、iOS设备标识符、安装/测试活动以及提交的反馈，以分发测试版本。Apple也会处理用于Ad Hoc安装的设备和签名信息。这些测试处理与可选的应用内分析分开进行。

有关各提供商的处理和保留方式，请参阅Google/Firebase、Apple、Vercel和Cloudflare的隐私信息。

Doomy AI 与 Google

只有请求中的每位真人参与者分别同意后，Google Vertex AI 才可接收 Doomy 所需的有限上下文：所有者的姓名、年龄、目标、语言、限制、最多七天的使用记录、近期请求、十二条消息、请求照片以及对话中最新的照片和语音消息。不包含所选 Apple 活动令牌。Google 处理这些数据以生成 Doomy 的审核，并可能为滥用监控保留被标记的输入最多90天，由授权人员审核。 全球端点不保证在特定地区处理。参见Google 滥用监控文档。

Doomy 数据共享同意注明版本并私密保存直到账户删除，与分析及广告同意分开。所有者不能代表其他参与者同意。推理前及发布结果前都会检查同意；撤回会暂停 Doomy，但真人聊天和投票仍可使用。之后没有真人支持者的请求，也只有在同意有效时才可自动启动 Doomy。回复对参与者可见。AI 批准可立即授予访问权限；拒绝计为一票。如不想在未来使用，请将 Doomy 从圈子中移除。

账户删除与联系

通过“个人资料 → 删除账户”并确认身份可申请删除。服务器删除账户、个人资料、自有群组和请求，以及其他请求中你的消息和身份信息期间，你会退出登录。他人的内容会保留。临时删除记录用于防止清理期间访问。删除 Doomate 不会取消 Apple 订阅；请在 Apple 订阅设置中管理。隐私问题请联系 contact@doomate.app。

账户设置回答

创建账户后，我们会将你的年龄、目标、选择的陪伴者、来源渠道、互助监督选择以及输入的屏幕时间估计值，保存在Google Firebase Firestore的私密账户资料中。这些回答用于在重新安装后恢复偏好，并计算你请求的时间预测。它们不会出现在他人可见的公开资料中。详细屏幕使用活动在你的设备上呈现，不包含在这些设置回答中。

没有这些回答的旧账户会使用显示默认值：年龄18岁、陪伴者为朋友、来源为其他。默认年龄与用户提供的年龄有所区分，不代表已确认的回答或年龄验证结果。删除账户会移除已保存的账户资料及设置回答。

可选分析与诊断

新版本会分别征求你对使用分析和崩溃及性能诊断的同意。两者默认关闭，可在“个人资料 → 法律信息”中更改。使用分析采用 Google Analytics for Firebase 和仅限本次安装的标识符，事件数据保留两个月。事件记录应用流程、方案选择和操作结果，不包含账号标识符。

开启后，Firebase Crashlytics 接收崩溃堆栈和已去除敏感信息的错误代码，Firebase Performance Monitoring 接收具名计时记录。报告包含应用及设备信息，不包含姓名、邮箱、所选应用或类别、限制、屏幕使用时间、聊天、媒体、身份验证令牌和签名购买凭证。会话回放、广告个性化和付费分析导出均关闭。广告同意单独管理。

两个月的设置适用于 Analytics 的事件和用户级数据；汇总报告可能继续保留。Firebase 将 Crashlytics 数据保留 90 天，Performance 数据依类型保留 30 或 60 天。

网站分析单独征求同意，并使用浏览器专属标识符。页面地址不包含查询参数和片段，也不发送来源页面。你可以通过“隐私设置”更改选择。

旧版应用的设置指标

旧版本使用以下收集方式。注册前，我们会统计用户查看和完成了哪些设置步骤，以及结构化的选择，包括来源、陪伴者、目标、宽泛年龄段、互助监督选择、自报小时数、所选限制、活动选择数量和权限选择。指标使用年龄段，而非精确年龄。姓名、用户名、电子邮件、照片、消息、邀请码、所选应用或网站令牌以及详细设备活动均不包含在内。

事件使用随机的初始设置会话标识符，而不使用账户、设备、广告或安装标识符。我们在资料保存后记录账户创建完成，但不会将账户身份加入指标。会话事件30天后到期，汇总计数90天后到期；过期记录由定时清理任务删除。应用仅在有容量上限的队列中，将未发送且未关联身份的事件保留最多30天。此收集不会启用广告分析SDK。

Firebase App Check保护此端点免受自动化滥用。账户完成事件还需要身份验证，但账户标识符和验证令牌不会存入指标。

可选头像

你可以为个人资料选择或拍摄照片。添加照片是可选的。系统照片选择器只分享你选中的图像，我们不会请求访问整个照片图库。只有当你选择拍照时，才会请求相机访问权限。

我们会调整所选图像的尺寸，并在账户设置时上传缩略图之前，移除位置等原始元数据。缩略图与资料一同保存在Google Firebase Firestore中，会在Doomate的个人资料、支持关系、申请、聊天和账户搜索结果等位置与姓名一起显示。你可以在资料设置中更换或移除。

可选的应用内反馈

在应用内发送反馈是自愿的。如果你发送反馈，我们会将你的消息、所选语言以及应用版本和构建号关联到你的账户，并私密保存在Google Firebase Firestore中。我们使用这些信息来检查问题并改进Doomate。反馈不会公开分享，并会在你删除账户时一并删除。此反馈功能不接受附件，也不会自动收集详细的屏幕使用时间活动或诊断数据。

积分与主屏幕小组件

积分总数对可以查看你个人资料的人可见。积分记录和已完成日期的监控记录为私密数据，并在 Google Firebase Firestore 中与你的账户关联保存。我们为符合条件的支持投票，以及已确认限制全天持续生效、没有时间请求或紧急访问的完整一天奖励积分。完成日期的记录说明监控和限制执行的连续性；它们是应用报告的证据，并非 Apple 独立验证的使用时间总数。后续证据可能导致奖励更正。删除账户时会删除这些记录。

小组件读取本地共享快照中的限制和已确认监控阈值。阈值代表使用量的下限，因此缺失的测量值会保持未知，显示的进度也会包含确认时间。小组件不会从 Apple 的私密屏幕使用时间报告扩展中接收详细活动。退出登录或切换账户时会清除本地小组件数据。

候补名单电子邮件

如果你加入Doomate发布候补名单，我们会收集你提交的电子邮件地址，并存入Doomate应用Firebase项目中的Google Firebase Firestore，用于发送发布动态。候补名单不会公开。若要删除地址或停止接收发布通知，请联系contact@doomate.app。

我们使用结合Google reCAPTCHA Enterprise的Firebase App Check来防止候补名单遭受自动化滥用。Google会按照其隐私政策和服务条款处理浏览器与设备信号，以进行此验证。

订阅与付费积分

我们将已验证的App Store订阅、产品、交易标识符、试用状态和到期时间关联到你的Firebase账户，以执行套餐、恢复购买并防止重复发放月度积分。Apple处理付款资料；Doomate不会收到银行卡号。付费期间Plus每月发放100积分，Pro发放200积分；试用期不发放订阅奖励。年费用户同样按月获得奖励。

订阅邮件和推送提醒

启用订阅提醒后，Resend会发送试用和续订邮件，其中可能包含使用建议。Resend接收您已验证的电子邮件地址、提醒内容（如套餐、价格、货币、计费周期和试用/续订日期）以及投递和退订标识符。我们不会包含私人对话或用户上传的媒体。订阅提醒也可能通过Google Firebase Cloud Messaging和Apple Push Notification service发送。

Resend 将邮件内容和投递日志存储在美国。选择欧盟发送区域并不意味着这些存储数据会保留在欧洲经济区。其数据处理附录说明了国际数据传输的保障措施。

我们在Firebase中存储提醒计划、投递状态、退信/投诉信息和提醒偏好。记录计划在相关订阅周期结束30天后删除，但清理可能延迟。删除账户会移除我们与该账户关联的提醒记录。Resend自身的处理和保留方式见其隐私政策。

可使用提醒邮件中的退订链接停止接收提醒邮件，并通过设备通知设置管理推送通知。这些选择与可选分析相互独立，也不会取消您的Apple订阅。Apple处理支付和订阅更改；Resend不会从Doomate接收您的银行卡信息。

我们使用投递、延迟、退信、投诉和失败事件来运行提醒。我们不对这些邮件进行打开或点击跟踪。

Free中的广告

Free在提交请求、保存限制或目标修改以及支持投票前使用Google AdMob插页广告。Google Mobile Ads SDK可能处理IP地址（包括大致位置）、设备标识符、崩溃与性能诊断、看过的广告及广告互动，用于广告、衡量和防范欺诈。只有获得Apple跟踪许可后才能使用IDFA。我们绝不将私人聊天或Screen Time应用和网站令牌用于广告定向。付费套餐不初始化广告SDK。

Google同意流程会在需要时征求同意，应用内可重新打开广告隐私选项。未满16岁标记为低于同意年龄；未满18岁接收非个性化广告。成年人可单独选择Apple跟踪许可，拒绝不会影响使用Free。非个性化广告仍可能处理技术数据。请参阅Google隐私政策。