非官方翻译，仅供参考。以英文版本为准。 English

Liveink 隐私政策

生效日期：2026-10-10 · 最后更新：2026-10-10 · English

1. 我们是谁

Liveink（"我们"）是一款面向小圈子亲密好友的绘画应用。对你的数据负责的人（"控制者"）是 App Dexter Limited，Rm C, 7/F, World Trust Tower, 50 Stanley Street, Central, Hong Kong。本政策所有事项的联系方式：[email protected]。

2. 简短版本

• 你不需要向我们提供邮箱、手机号或密码。你会获得一个随机账号和一个 6 位邀请码。你可以选择关联 Google 或 Apple 登录，以便在新手机上找回账号。
• 你的画作只会发给你已连接的好友。没有公开信息流，陌生人也无法找到你。
• 我们会在服务器上保存你发送的画作，以便好友接收，并显示在你的"回忆"中。你可以随时在应用内删除账号。
• 不出售数据。Android 应用会向没有 Liveink Plus 的用户展示 Google AdMob 的广告；iPhone 应用不展示任何广告（第 3.12 节）。我们使用 Google Firebase Cloud Messaging 推送通知，并（通过一个由你控制的开关）使用 Google Firebase Analytics 做使用统计（通过假名用户 ID 与你的账号关联）、使用 AppsFlyer 了解是广告还是邀请把你带到这里（第 3.9 节）。
• 我们不读取你的通讯录或位置。相机仅在应用内、且仅在你主动使用时启用：在你的手机上扫描好友的邀请 QR 码，以及（在提供拍照模式的地方）拍摄一张由你决定添加到画作中的照片。它绝不会在后台录制（第 12 节）。

3. 我们收集什么以及为什么

3.1 你的账号

• 账号 ID（随机）、显示名称（你输入的名字，最多 24 个字符，好友可见）、邀请码（随机 6 个字符；任何拥有它的人都能看到你的显示名称并向你发送好友请求）、账号创建时间和最近活跃时间（大约每小时更新一次）。
• 访问令牌：你的手机用来与我们服务器通信的随机密钥。我们只存储它的单向哈希值。
• 目的：创建和运行你的账号，让好友通过邀请码找到你，并清理不再使用的账号。

3.2 登录、其他设备与找回

• 使用 Google 或 Apple 登录（可选）。如果你使用它，应用会在你的手机上从 Google 或 Apple 获取一个签名的身份令牌并发送给我们。我们验证后保留：你使用的提供方、你的提供方用户 ID 的带密钥单向哈希、你邮箱地址的单向哈希及其遮盖版本（例如 a***@gmail.com）以便你辨认关联的是哪个账号，以及仅在需要作为你初始显示名称时保留你的名字（可以更改）。我们不会收到你的 Google 或 Apple 密码、联系人或任何其他个人资料数据，也不保留该令牌。对于 Apple，我们可能保存一个加密的 Apple 令牌，以便在你解除关联或删除账号时撤销 Apple 关联。你可以随时解除关联（只要你保留另一种找回方式）。
• 恢复码（可选）。你可以创建一个恢复码，用于把账号迁移到新手机。我们只存储该码的慢速单向哈希（加上前 5 个字符用于查找）。它只向你显示一次。
• QR 设备登录。要在第二台设备（例如平板或手表）上登录，你在新设备上显示一个 QR 码，并在已登录的设备上批准。在此过程中，我们会存储最多几分钟的一次性验证码哈希、新设备的名称、平台和应用版本，以及新设备的大致国家/地区（由 Cloudflare 根据其 IP 地址推断；IP 地址本身不存储在此记录中）。
• 已登录的设备。每台登录的设备都有自己的会话。我们存储会话的哈希令牌、可选的设备名称（最多 40 个字符）、平台和应用版本、创建时间和最近出现时间，以及大致国家/地区。你可以在应用内查看并注销你的设备。

3.3 你的个人资料

• 时区（例如 Asia/Ho_Chi_Minh）和应用语言（应用提供的 20 种语言之一）：注册时从你的手机读取。你的时区用于给"回忆"标注日期、应用你的免打扰时段，并且对好友可见。语言用于以你的语言撰写通知。
• 头像：一种颜色和可选的表情符号，好友可见。
• 个人资料照片（可选）：你通过手机的照片选择器选取并裁剪的一张图片。应用把它缩小到最多 256 x 256 像素，我们的服务器重新编码，这会去除隐藏的图片数据（位置、相机、日期）；我们绝不存储原图。只有你和已接受的好友可以获取它（没有公开链接）。在你们是好友期间，好友的手机会保留一份缓存副本。你可以随时移除它。如果有好友举报了它，我们会保留一份副本作为证据 90 天。
• 生日（可选）：完整日期或仅月日。除非你开启"分享我的生日"，否则为私密。
• 免打扰时段（可选）、隐藏我的状态（"幽灵模式"）、针对每位好友的昵称，以及你的通知和隐私开关（例如"已看"回执和在通知中显示说明文字）：仅你自己可见；服务器读取免打扰时段、语言和时区来安排和撰写通知。

3.4 你的好友

• 你的好友列表（最多 20 人，使用 Liveink Plus 可提高上限；每个连接都是双向的）、你们成为好友的日期，以及双方任一人可设置的可选共享"始于"日期。
• 你为每位好友设置的私密标签（昵称、"伴侣"标记、"已静音"）：只有你能看到。
• 好友请求。未经你同意，任何人都不会成为你的好友。当有人输入你的邀请码或打开你的邀请链接时，我们会存储一条请求（谁向谁请求、何时、如何以及其状态），直到你接受、拒绝、被取消或在 30 天后过期。被拒绝、过期或取消的请求会再保留最多 7 天，以防止立即重复发送，然后删除。在你接受之前，对方只能看到你的显示名称。拒绝绝不会显示给发送者。你的"谁可以添加我"设置和邀请链接令牌（可重置）与你的账号一起存储。
• 羁绊。对于每段好友关系，我们的服务器会在不涉及任何内容的情况下统计你和该好友为彼此画了多少（每天：每个方向的画作、回画和首次反应；每段好友关系：一个只升不降的 1 到 10 级等级、每级达到的日期、总数以及可选的共享墨水颜色）。只有你和该好友能看到。你可以对自己隐藏它。羁绊在 18 岁及以上（或年龄未知时）默认开启，16-17 岁默认关闭（你可以开启），16 岁以下始终关闭。
• 伴侣状态。"伴侣"关系需要双方：一方发起，另一方确认。我们存储发起者、状态、共享的"在一起始于"日期以及请求过期时间（30 天）。拒绝是无声的。任何一方都可以随时结束。

3.5 你的画作、小组件和背景

一幅画是一组笔画（带时间、颜色、画笔、压力和对称设置的点）、你选择的纸张或背景样式、可选的说明文字、你的显示名称以及你发送给的好友。

• 当你绘画时，笔画会通过我们的服务器实时传给最多 5 位选定的好友。其他人收到完成的画作。
• 最新画作：你发给每位好友的最新一幅画会被存储，以便他们的应用和小组件能显示它，即使他们当时离线。小组件本身只显示已在手机上的画作。
• 回忆：当一幅画完成时，我们会把它的最终版本归档到你的"回忆"中（每天最多 8 幅；当天最早的会被替换）。在你们是好友期间，接收者会在他们的"回忆"中看到它。
• 说明文字（最多 80 个纯文本字符，链接和格式会被去除）与画作一起存储，并显示给接收者。只有当好友开启了相应选项（默认关闭）时，它们才会出现在该好友的锁屏上。
• 反应（来自一个简短固定列表的表情符号）、回画链接（一幅画可以指向它所回应的画）和"已看"回执（只记录一次，仅作者可见；你可以关闭）与画作一起存储。
• "想你"提醒实时传递且不存储（只保留一个不含内容的标记最多 24 小时，以避免重复通知）。

3.5a 画作中的照片

如果你在画作中添加照片（仅限 16 岁及以上的用户，这需要你的出生年份，该信息保持私密），照片会上传到我们的服务器，缩小并重新编码（去除位置和相机数据），在服务器上用我们持有的密钥加密，并且只与你发送画作的好友共享。这不是端到端加密：我们在技术上可以解密照片，这正是让我们能够去除隐藏元数据和处理举报的原因。照片最多保留 12 个月，或直到你或画作作者删除它们为止，并随你的账号一起删除。每个账号都有存储配额。如果一张照片被举报，我们会保留一份证据副本 90 天。

3.6 在线和绘画状态

当应用连接到我们的服务器时，好友可以看到你在线；当你绘画时，可以看到你正在绘画（除非你隐藏了状态）。我们不保留这方面的历史记录，也不显示"最后在线时间"。

3.7 通知令牌

注册后，应用向 Google Firebase Cloud Messaging（FCM）（在 iOS 上通过 Apple 的推送服务）请求一个设备令牌，并将其与你的平台、应用版本和语言一起发送给我们。我们只用它来推送有关好友动态的通知，以及在应用关闭时刷新你的小组件。即使你关闭了通知，令牌仍会注册，因为小组件刷新也要用到它。消息包含好友的显示名称和技术 ID，绝不包含画作本身（仅当接收者开启了相应选项时才包含说明文字）。

3.8 屏蔽与举报

• 消息：你可以向好友发送简短的文字消息（最多 1,000 个字符），单独发送或作为对某幅画作的回复。我们将每条消息（发送者、接收者、文本、时间、阅读时间、回复的是哪幅画作）存储在我们的服务器上，这样你们双方都能在自己的任何设备上阅读对话。消息为纯文本，未加密存储在我们的服务器上（非端到端加密），且只向对话中的两个人显示。我们会保留到你删除为止：你可以随时为自己删除任何消息，发送者可在 24 小时内为双方撤回一条消息。我们不会按计划删除消息。如果你移除或屏蔽某位好友，对话会被隐藏，在你们不是好友期间双方都无法打开；如果你们再次成为好友，对话会恢复。账号被删除时，该账号发送或接收的每条消息都会从我们的服务器删除，包括对方的对话中。好友可以向我们举报某条消息；我们随后会保留该消息的副本作为证据（见下文举报）。设置中可以选择在通知中隐藏消息文本。
• 如果你屏蔽某人，我们会存储该屏蔽，好友关系被移除，你们双方都无法再通过邀请码重新连接。对方不会被告知。
• 如果你举报一幅画、一张个人资料照片或一个人，我们会存储你的账号 ID、被举报的账号 ID、原因、你的可选备注（最多 300 个字符）以及你所看到的被举报内容的副本。会有真人审核。举报和证据保留 90 天，即使账号已被删除。
• 如果多个不同的人在 24 小时内举报同一账号，该账号的画作可能会在我们审核期间被暂扣最多 24 小时。我们可能警告或暂停违反条款的账号。

3.9 安全与技术数据

• IP 地址。我们的服务器和 Cloudflare（第 6 节）会看到每个连接的 IP 地址。我们用它来限制滥用（频率限制、临时屏蔽）。
• 服务器日志：每个请求的时间、方法、路径（不含查询字符串）、结果、耗时和 IP 地址；对于实时连接，还有账号 ID 的前 6 个字符。日志绝不包含你的令牌、画作或显示名称。
• 按 IP 地址、网段、账号或邀请码计的计数器（例如猜错邀请码的次数），在 1 分钟到 24 小时后过期，以及不含个人数据的汇总运营数字。运营者也可能从我们已持有的数据中统计总数（例如每周的账号数和画作数）以运营服务。
• 使用统计（产品分析）。应用会统计哪些功能被使用（例如"发送了一幅画"、选择了哪种画笔或纸张、某个界面打开了多久、到达了哪个引导步骤、是否完成了购买），并将这些计数发送到我们的服务器和 Google Firebase Analytics。事件携带由应用创建的随机安装 ID、将事件与你的账号关联的假名用户 ID（你账号 ID 的单向哈希，绝不是 ID 本身）、你的应用版本、语言和国家/地区（来自你设备的区域设置，以及在我们服务器上来自连接网络）。它们绝不包含你的画作、照片、姓名、邮箱、好友或你发送的任何内容。我们的服务器保留原始事件 180 天，之后只保留每日汇总。
• 安装归因。AppsFlyer 告诉我们你是在看到广告还是点击邀请链接后安装 Liveink 的，以便我们合理投放。在 Android 上它使用 Google Play 的 Play Install Referrer（而非广告 ID）；在 iOS 上，只有当你在系统提示中允许跟踪时它才会运行：如果你拒绝，它不会启动，也不会收到用户 ID、应用内事件或购买事件。
• 你的开关。在欧洲经济区、英国和瑞士，两者在你回答我们的询问之前都处于关闭状态；在其他地区默认开启；你可以随时在"设置 > 隐私"中分别关闭它们。关闭统计会停止向这三个目的地发送数据，要求我们的服务器删除你这次安装的原始事件，并重置你手机上的分析标识符。

3.10 购买与 Liveink Plus

Liveink Plus 是付费订阅。付款完全由 Google Play 或 Apple App Store 处理；我们绝不会看到你的银行卡或付款信息。我们只会收到你的订阅是否有效（以及有效期至何时），并与你的账号关联，以便解锁 Plus（全部贴纸包和更大的好友列表）。

3.11 在你的手机上

应用在其私有存储中保存你的访问令牌、好友、最新画作、历史记录、"回忆"缓存、未发送的画作、设置和小组件数据。在 Android 上，这些数据不包含在云备份和设备间迁移中。

3.12 Android 应用中的广告

Android 应用会展示由 Google AdMob（Google LLC / Google Ireland Ltd）投放的广告：偶尔在自然的间隙出现全屏广告（你发送画作之后、你回到应用时、你关闭历史记录时），在历史记录的画作之间出现广告卡片，以及仅在你主动选择时，通过观看一段短视频广告解锁一个贴纸包 24 小时。Liveink Plus 订阅用户看不到广告，iPhone 应用也不展示任何广告。广告仅限于被评为适合青少年的内容。

为了展示和衡量广告，应用中的 Google SDK 会按照 Google 自己的政策收集你设备的广告 ID、IP 地址、设备和应用信息，以及你与广告的互动。广告绝不会基于你的画作、消息、照片、好友或姓名，我们也不会把其中任何内容提供给 Google。在欧洲经济区、英国和瑞士，Google 的同意表单会先询问是否可以个性化广告，你可以随时在"设置 > 隐私 > 广告隐私选项"中更改你的回答。无论在哪里，你都可以在手机设置（Android：设置 > 隐私 > 广告）中重置或删除你的广告 ID，以停止个性化广告。

4. 我们不收集什么

不访问你的通讯录（如果你选择一位联系人来发送邀请，系统选择器只向应用提供该联系人的姓名和手机号，它们留在你的手机上，仅用于打开一条消息）、不收集位置（你的时区不是位置）、不使用麦克风、不出售个人数据（分析与归因：第 3.9 节，有开关；Android 应用中的广告：第 3.12 节）。应用不会获得你照片库的访问权限：在需要图片的地方，你只交出你选择的那一张图片。相机仅在应用内、且仅在你主动使用时，用于扫描 QR 码以及（可选，在提供拍照模式的地方）为画作拍摄照片（第 12 节）：没有后台录制，你拍摄的照片只有在你将其添加到所发送的画作时才会上传。

5. 谁能看到什么

6. 我们与谁共享数据

我们不出售或出租个人数据。在 Android 应用中，Google AdMob 会直接从你的手机收集第 3.12 节所述的广告数据，用于展示和衡量广告（Plus 订阅用户除外）。如果你在 iOS 系统提示中允许跟踪，AppsFlyer 仅会将下文所述的归因数据用于衡量我们自己的广告活动。服务提供商代表我们处理数据：

• Cloudflare, Inc.：我们的服务位于 Cloudflare 之后。Cloudflare 终止 HTTPS 连接并将流量转发到我们的服务器，因此它在技术上能看到应用与我们服务器之间的所有流量（包括画作）和你的 IP 地址，并告诉我们连接的大致国家/地区。
• Google LLC / Google Ireland Ltd（Firebase Cloud Messaging）：接收你的设备令牌和上述通知消息，并使用 Firebase 安装标识符来投递它们。经你同意（第 3.9 节），Google Firebase Analytics 接收那里描述的假名使用事件（通过用户 ID 与你的账号关联），AppsFlyer Ltd 接收安装归因数据（在 iOS 上仅当你允许跟踪时）；Firebase 的广告 ID 收集保持关闭。Google ML Kit（Android 应用内的条码扫描库）使用应用内置的模型在你的手机上读取 QR 码；相机图像不会发送给 Google，但该库可能向 Google 发送性能数据和安装标识符等技术诊断信息。Google Play 还会在从 Google Play 安装后向应用提供一次你安装时所用链接的 referrer 文本（第 12 节）。Apple 在 iOS 上投递通知。
• Google AdMob（仅限 Android 应用，Plus 订阅用户除外）：第 3.12 节所述的广告数据，作为独立的控制者，受 Google 的政策约束。
• Google 和 Apple 登录：仅当你选择使用时（第 3.2 节），受它们各自的隐私政策约束。
• 托管服务商：我们的服务器和数据库运行在从 OVHcloud 租用的服务器上。
• 有关部门：如果法律要求，我们可能披露数据，且仅限于所要求的范围。

7. 你的数据存储在哪里

我们的服务器位于 Canada。如果你在越南或其他国家/地区使用 Liveink，你的数据会被传输到该国并存储在那里。Cloudflare 和 Google 可能在世界各地的数据中心处理数据。

8. 我们保留数据多长时间

Cloudflare 和 Google 按照各自的政策保留它们自己的日志。

9. 安全

• 应用与 Cloudflare 之间的连接采用 HTTPS/TLS 加密。从 Cloudflare 到我们服务器的这一段目前是通过公共互联网的明文 HTTP（我们尚未安装源站证书），因此你的流量在最后这一段未加密；完成后我们会更新本节。 令牌、恢复码和登录标识符仅以单向哈希形式存储。服务器的访问权限仅限运营者。
• 画作和个人资料数据未进行端到端加密，也未单独进行静态加密。删除账号会覆盖我们实时数据库中已删除的记录（在当前 SQLite 配置下）；备份中的副本在备份过期时移除（第 8 节）。
• 没有任何方法是 100% 安全的。如果发生影响到你的数据泄露，我们会按法律要求通知你和有关部门。

10. 你的选择与权利

根据你的居住地（包括依据越南《个人数据保护法》第 91/2025/QH15 号），你可以：

• 查看和更正你的数据：你的名字、个人资料、好友和画作都在应用中。其他事项请发邮件给我们。
• 删除你的账号（第 11 节）、某一条回忆、个人资料照片或某位好友。
• 撤回同意 / 反对：停止使用应用并删除账号；在手机设置中关闭通知；解除 Google 或 Apple 关联；隐藏你的状态；关闭"已看"回执。
• 获取副本：目前尚无自动导出。你可以把任何能打开的画作保存或分享为图片。如需索取我们持有的关于你的数据副本，请发邮件给我们。
• 向你所在地的数据保护机构投诉（在越南：公安部网络安全与高科技犯罪防范局，A05）。

由于我们通常不知道你的邮箱或手机号，我们可能要求提供你的显示名称和邀请码（以及应用中的其他细节）以确认请求来自账号持有人。

11. 删除你的账号

• 在应用内：打开设置，滚动到底部，点击删除账号，然后确认。立即生效。分步说明页面见 https://liveink.app/delete-account。
• 没有应用时：从任意邮箱地址发送邮件至 [email protected]，附上你的显示名称和邀请码。
• 从我们服务器删除的内容：你的账号、名字、邀请码、令牌、个人资料和个人资料照片、好友关系和标签、你作为最新画作发送和接收的画作、你的"回忆"、反应和回执、羁绊、通知令牌、设备和会话、恢复码、Google/Apple/邮箱关联（并且在已配置的情况下，会通知 Apple 撤销关联）以及实时状态。你好友的应用会被告知你不再是他们的好友。
• 保留的内容：你的好友已收到的画作可能仍留在他们的手机上（历史记录、小组件、保存的图片、截图）；好友发给你的画作仍留在他们自己的"回忆"中；涉及你的举报最多保留 90 天；服务器日志直到轮换；Cloudflare 和 Google 自己的日志。

12. 应用权限

• 互联网，以及通知（可选）。
• Android 前台服务（数据同步）：在你使用应用时保持实时连接，以便画作立即出现；运行时 Android 会显示一条通知。
• 开机启动（Android）：仅用于根据手机上已有的画作重绘你的小组件。它不会连接到我们的服务器。
• 相机（Android 和 iOS，可选，在你第一次使用时请求）：仅在应用内使用，且仅在你主动使用时启用。(1) 扫描 QR：应用显示实时相机预览，并在你的手机上逐帧识别好友的邀请码（Android 上使用应用内置的条码模型，iOS 上使用系统扫描器）；不会录制、保存或上传任何照片或视频，只使用码的文本。你也可以不用它：从照片中选择一张 QR 图片，或直接输入 6 位邀请码。(2) 为画作拍照（在提供拍照模式的地方）：只有在你按下快门时才会拍照；只有当你把它添加到画作并发送时才会上传（参见画作中的照片，第 3.5a 节，适用时）。相机绝不会录制视频，也不会在后台运行。
• Play Install Referrer（Android，仅限从 Google Play 安装）：从 Google Play 安装后首次启动时，应用会向 Google Play 请求你安装时所用链接的 referrer 文本。如果该文本包含有效的 6 位邀请码，应用会提议添加该好友；不会保留其他任何内容，该文本也不会发送给我们。
• 联系人选择器（可选）：当你通过消息邀请某人时，系统联系人选择器只向应用提供你选择的那一个姓名和手机号；它们在你的手机上用于打开消息，不会上传。
• 已安装哪些即时通讯应用（Android）：为了显示直接的"通过……邀请"按钮，应用会在你的手机上检查是否安装了几款即时通讯应用（例如 Messenger、Zalo、WhatsApp、Telegram、Viber）。结果留在你的手机上。
• 从照片读取 QR 码 / 个人资料照片 / 画作中的照片：系统照片选择器只允许应用读取你选择的那一张图片。QR 图片在手机上读取，不上传也不保留；只使用其中的邀请码。

13. 儿童

Liveink 面向 16 岁及以上的用户。我们不会故意允许更年幼的儿童使用。如果向我们的服务提供的出生年份使账号低于最低年龄，该账号会被拒绝。如果你认为有 16 岁以下的儿童在使用 Liveink，请发邮件给我们，我们将删除该账号。

14. 本政策的变更

我们会在本页面发布变更并更新上方的日期。如果变更很重要，我们还会在可行的情况下在应用内告知你。

15. 联系方式

[email protected] · App Dexter Limited，Rm C, 7/F, World Trust Tower, 50 Stanley Street, Central, Hong Kong。