隐私政策 与数据保护

1. 我们收集的数据

1.1. 账户与身份识别： 姓名或昵称、电子邮箱、内部用户标识符，以及当您使用Apple或Google登录时，该账户的标识符。

1.2. 健康与计划（敏感数据，LGPD第11条）： 年龄、体重、身高、生理性别、身体测量数据、目标、活动水平和经验水平、您申报的医疗状况、过敏和饮食限制、日常作息和时间安排、可用器材、训练、饮食和饮水记录，以及进度照片和评估照片。

1.3. 您发送的内容： 发送给AI教练的餐食照片、语音、消息和附件（图片、视频或PDF）。

1.4. 电话： 当您在个人资料中填写电话号码时的电话号码。

1.5. 订阅与购买： 套餐，开始、续订和取消日期，金额和币种，以及商店中的购买标识符。TapFit不接收也不存储您的银行卡信息：付款在Apple App Store或Google Play中完成。

1.6. 设备与广告： 操作系统、型号、语言、应用版本、通知令牌、IP地址、用户代理、广告标识符（iPhone上的IDFA，仅在您允许跟踪时收集；Android上的GAID），以及来自广告的点击和安装标识符。

1.7. 使用情况： 所使用的页面和功能、注册流程及订阅页面中的事件、技术错误，以及AI使用的技术记录（日期、功能、模型和处理量，不含内容）。

1.8. 同意记录： 您对《使用条款》《隐私政策》及其他授权的每一次接受，包括类型、所接受文本的版本及SHA-256哈希值、服务器日期和时间、平台、账户标识符和电子邮箱。

1.9. Apple“健康”与 Health Connect（可选）： 如果您将TapFit连接到Apple“健康”（iPhone）或Health Connect（Android），本应用会在其中写入您在TapFit中完成的训练（包括时长和估算的活动卡路里）以及您记录的体重和饮水，并从中读取您的步数、活动卡路里、其他应用或手表记录的训练，以及联网体重秤测得的体重。读取的数据仅保留在您的设备上：仅用于在进展页面显示您的活动、建议记录一次训练或称重，以及避免将同一次训练重复计算。这些数据不会发送到我们的服务器，也不会发送给人工智能、广告、归因或错误监控服务提供商，不会被出售，也不会用于广告。建议的训练或称重只有在您点按记录时才会进入TapFit；此后，它就和其他记录一样成为您自己的记录（第1.2条）。连接是可选的：您可以随时在应用的个人资料中断开连接，并在那里删除TapFit写入的数据，也可以在系统设置中断开。

2. 人工智能

2.1. 服务提供商： TapFit的AI功能（生成计划、AI教练、识别餐食照片、语音记录、食物替换）由主要服务提供商OpenAI（OpenAI, L.L.C.，美国）处理，并由Google Gemini（Google LLC，美国）在主要服务提供商出现故障时或在特定功能中处理。

2.2. 发送的内容： 每次回复所需的第1.2条中的数据，以及您发送的内容（第1.3条）。TapFit不会将您的电子邮箱或电话号码发送给AI服务提供商：请求通过内部代码标识。您的名字（不含姓氏）可能会被用于个性化教练的回复。

2.3. 目的： 生成应用内显示的内容并组织客户服务。TapFit不会将发送给AI的数据用于广告。

2.4. 同意： 向AI服务提供商发送健康数据（涉及向美国的跨境传输）须经您的特定同意，该同意在应用程序的同意页面中作出。未经同意，AI功能将无法运行。撤回：本政策第6条及《使用条款》第12条。

2.5. 服务提供商的政策： openai.com/policies/privacy-policy 和 policies.google.com/privacy。

3. 我们与谁共享数据

3.1. TapFit仅与以下供应商共享数据，每个供应商仅用于所列目的：

• Google Cloud和Firebase（Google LLC）：身份验证、数据库、服务器功能和文件存储。数据库位于圣保罗（巴西）；服务器功能在美国运行。
• OpenAI和Google Gemini：人工智能（第2条）。
• 作为应用商店的Apple和Google：付款、订阅以及通过Apple或Google登录。当您申请订阅退款时，购买所在的商店还会收到《使用条款》第10.3-A条所述的数据：购买数据、数字形式的使用指标以及TapFit对该申请的立场。
• RevenueCat（美国）：订阅管理。接收用户标识符和商店的购买凭证。
• Superwall（美国）：展示订阅页面。接收用户标识符、设备数据和该页面的事件。
• Meta Platforms（美国），Facebook和Instagram的所属公司：
  • 广告衡量与优化：通过应用中的Facebook SDK和服务器端的转化API（Conversions API），接收使用和购买事件（例如查看优惠、开始和完成订阅以及支付金额）、用户标识符、广告标识符、IP、用户代理、点击标识符，以及以加密格式（哈希）处理的您的电子邮箱和电话号码。
• Paywallo：广告活动和推广链接的归因。接收电子邮箱、电话号码、名字、姓氏和性别，用于识别您安装的来源并向Meta发送广告活动事件。
• AppsFlyer（美国）：来自广告的安装和购买的归因。接收设备和广告标识符、购买事件和收入。
• Sentry（美国）：错误监控。接收内部用户标识符（假名化数据）和错误的技术信息。
• Expo（美国）：应用更新和通知推送（通知令牌）。

3.2. 健康数据绝不用于广告： 体重、身体测量数据、医疗状况、照片、餐食和对话不会发送给Meta、Paywallo、AppsFlyer或Superwall。在退款申请中发送给商店的使用指标仅为计数，绝不包括这些记录的内容。从Apple“健康”和Health Connect读取的数据（第1.9条）不会发送给第3.1条所列的任何服务提供商。

3.3. TapFit不出售您的个人数据，也不将其提供给保险公司、药房、健康保险计划或雇主。

3.4. 广告控制： 在iPhone上，用于广告的跟踪取决于您的许可（设置 > 隐私与安全性 > 跟踪）。在Android上，您可以在设备设置中删除或重置广告ID。您还可以通过DPO的电子邮箱（contato@usetapfit.com）反对将您的数据用于衡量广告，该请求将依据LGPD第18条第2款进行审查。

3.5. 主管机关： 在法律要求或法院命令要求时，数据可能会提供给主管机关。

3.6. 跨境传输： 上述许多供应商位于巴西境外，主要在美国。对于依赖您特定同意的功能，传输以该同意为依据（第33条第VIII项），并以这些供应商提供的数据保护合同保障为依据（第33条第II项）。

4. 我们如何使用您的数据

• a) 提供服务：制定和调整您的计划，记录训练、饮食和进展；
• b) 通过AI生成回复和分析（第2条）；
• c) 处理和验证您的订阅；
• d) 发送您已授权的通知；
• e) 衡量和改进我们的广告（第3条）；
• f) 保障安全、防范欺诈并修复错误；
• g) 履行法律义务并在诉讼中为自身辩护。

4.1. 有限使用： 对从Health Connect收到的信息的使用（包括将其传输到任何其他应用）将遵守Health Connect权限政策，包括有限使用（Limited Use）要求。Apple“健康”的数据不会用于广告、数据挖掘或第1.9条所述以外的任何目的。

5. 数据安全

5.1. 我们采取技术和管理措施保护您的数据，包括传输中和静态存储时的加密、防止一名用户读取另一名用户数据的访问规则，以及仅限授权人员的管理访问权限。

5.2. 没有任何系统能做到100%不被攻破。如发生可能带来重大风险或损害的安全事件，TapFit将依照第11条通知ANPD和受影响的数据主体。

6. 您的权利（LGPD第18条）

您可以随时：

• 确认我们是否处理您的数据并访问这些数据；
• 在个人中心 > 设置 > 我的数据 > 导出中，以结构化格式（JSON）导出您的数据；
• 更正不完整、不准确或过时的数据；
• 请求对不必要或过度的数据进行匿名化、限制处理或删除；
• 了解我们与谁共享您的数据（第3条）；
• 撤回同意（《使用条款》第12条），并反对基于合法利益的处理；
• 在个人中心 > 设置 > 我的数据 > 删除账号中删除您的账户（第7条）；
• 向巴西国家数据保护局（ANPD）提出申诉。

对于应用内无法完成的请求，请发送邮件至 contato@usetapfit.com。回复时限：最长15天。

7. 保留与删除

7.1. 只要您的账户存在，我们就会保留您的数据。

7.2. 在您删除账户时，TapFit会在删除时或最迟在30（三十）天内，从其服务器中删除个人资料、计划、历史记录、与教练的对话、发送的照片和媒体。

7.3. 即使在删除之后，以下内容仍会保留：

• a) 同意记录（第1.8条），最长保留5（五）年，作为您接受了哪些文件的证明（LGPD第16条第I项及第7条第VI项）；
• b) 购买记录及法律规定必须保留的其他数据，保留至法定期限；
• c) AI和额度使用的技术记录，已与您的身份脱钩。

7.4. 备份副本： 数据库具有自动备份副本，并按周期删除。已删除的数据可能会在这些副本中保留（不被使用）最长100（一百）天，直至这些副本被删除。

7.5. 供应商： 第3条所列供应商已接收的数据遵循各自的保留期限。删除后，TapFit将停止向其发送您的数据。

7.6. 删除账户不会取消商店中的订阅（《使用条款》第10.7条）。

8. 未成年人

TapFit不面向18岁以下的未成年人，且不会有意收集儿童或青少年的数据。如果我们发现在未获得法定监护人适当同意的情况下收集了未成年人的数据，我们将删除该数据。

9. 本政策的变更

本政策的现行版本（顶部注明最后更新日期）始终发布在TapFit网站以及应用内的个人中心 > 设置 > 隐私政策中。变更自更新版本发布之日起生效。

10. 可审计的同意记录

10.1. 依照LGPD（第8条第2款），TapFit保存所作每一项同意的记录，其中包含第1.8条所列数据。

10.2. 这些记录保存在位于圣保罗的数据库中应用程序无法修改的区域：只有服务器功能可以写入这些记录。

10.3. 您可以在数据导出（个人中心 > 设置 > 我的数据 > 导出）中查看您的同意记录，或向DPO索取报告。删除账户后，这些记录将按照第7.3条a)项的规定保存。

11. 安全事件

11.1. 如发生影响个人数据的安全事件，TapFit将：

• (i) 尽快遏制该事件；
• (ii) 评估事件范围、严重程度及受影响的数据；
• (iii) 如存在重大风险或损害，在CD/ANPD第15/2024号决议规定的期限内通知ANPD和受影响的数据主体；
• (iv) 记录该事件（LGPD第37条）；以及
• (v) 采取措施防止事件再次发生。

11.2. 事件报告渠道： contato@usetapfit.com，邮件主题为“INCIDENTE LGPD”。

12. 按用途划分的法律依据

13. 网站追踪

13.1. 网站 usetapfit.com 使用 Meta Pixel（Meta Platforms, Inc.）来衡量广告活动效果并创建用于广告投放的自定义受众。该像素工具会收集浏览数据（如页面浏览量）、IP地址、浏览器和设备信息，以及存储在Cookie中的标识符（_fbp），这些信息将与Meta共享。

13.2. 这些数据用于广告效果衡量、广告活动优化和再营销。您可以在Meta账户的广告设置（facebook.com/adpreferences/ad_settings）以及浏览器的Cookie和隐私设置中管理或拒绝此类追踪。有关Meta如何处理这些数据的详细信息，请参阅 Meta隐私政策。

13.3. 当您点按App Store按钮（iPhone）或Google Play按钮（Android）时，网站会先经过Paywallo的跳转链接（paywallo.link），该链接会在打开商店之前将此次访问归因到来源广告活动。