隐私政策
01我们是谁
LeWell 由位于泰国曼谷的 LEWELL Co., Ltd.（“LeWell”或“我们”）运营。对于由我们决定处理方式和目的的个人数据，我们是数据控制者。如有隐私问题或请求，请联系 privacy@lewell.app。
LeWell 仅供年满18岁的人士使用。我们不会明知而为未满18岁的人士创建或保留账户。如果此前尚未确认年龄，我们会要求提供出生日期，之后才能完成账户创建或继续使用账户。
本政策涵盖通过现有功能处理的信息，以及从 LeWell 早期版本保留的记录。
02我们处理的信息
候补名单记录： 我们保留此前通过网站候补名单提交的电子邮箱地址和注册来源信息。
账户和法律记录： 我们收集您的电子邮箱地址、用户名；如果您使用密码，则收集密码哈希值；如果您使用社交登录，则收集 Google 或 Apple 提供的标识符。我们绝不会收到您的 Google 或 Apple 密码。Apple 可能提供私密转送邮箱。为检查年龄资格，您必须提供出生日期。我们记录您接受的法律文件版本及接受时间，以及您对可选使用数据和设备健康连接的选择，以及从早期版本保留的任何权限历史记录。创建、保护账户或核实账户使用资格所需的信息，是使用账户的必要条件；您可以拒绝回答可选的个人资料问题，也可以拒绝使用情况分析。
访客入门草稿： 在您创建或登录账户之前，设备会存储恢复入门流程所需的目标、可选个人资料回答、计量单位、学习安排、提醒选择和进度。草稿在连续七天未更新后过期，并在应用下次读取时或成功完成入门流程后删除。草稿绝不包含登录凭据或令牌。在获得同意之前，我们不会记录或暂存访客的分析交互数据。草稿回答仅在成功创建账户或登录、接受现行条款、知悉本政策并决定继续后上传。
个人资料和个性化： 我们处理目标及已保存的学习主题、学习和提醒偏好、计量单位、时区、入门流程版本和进度，以及优惠状态。我们使用这些信息恢复您的使用体验并推荐学习内容。这些推荐不会对您作出具有法律影响或类似重大影响的决定。我们还会将您选择的应用语言保存在您的账户中，用于显示界面、提供相应语言的通知，以及准备可用下载。
我们保存您首次完成入门流程时设定的初始目标，以及此后目标变更的历史记录，包括变更时间和来源。获接受的课程、测验、练习和挑战完成记录会记录相关内容、完成时间、当地日期、时区，以及相关目标、主题和精通课程（Masteries）。应用版本、平台和可用的发布标识符帮助我们区分不同使用体验。这些第一方记录用于进度追踪、个性化，以及对已完成和重复进行的行动作汇总报告；它们并不能证明健康益处。
健康与身心健康信息： 您会提供出生日期，也可以在入门流程中自愿提供生理性别和体重、营养或日常安排信息，以及在练习回答中提供健康或情绪相关细节。早期版本还允许情绪打卡、步数日志、活动日志，以及静息心率、心率变异性、血糖、血脂和睡眠等健康读数。这些信息可能属于敏感个人数据。
我们将您自愿提供的可选身体资料回答和健康信息用于相关的个性化指导 在这些功能可用时。情绪打卡、步数记录、健康指标页面和设备健康同步在当前 MVP 中不可用。这项变更不会删除早期版本创建的记录；保留的记录按照本政策中的保留和删除条款处理。如需询问账户中保留的数据，请联系 privacy@lewell.app。跳过可选问题不会删除购买记录或学习进度。
早期版本曾使用情绪打卡、步数日志和活动记录计算第一方 Insights，包括每日和每周平均值、趋势，以及打卡与活动之间的关联。这些面向用户的情绪、步数和健康指标功能在当前 MVP 中不可用。我们不会使用这些记录对您作出具有法律影响或类似重大影响的决定。
早期版本在支持的平台上可在获得单独设备权限后，从 Apple Health 或 Health Connect 读取步数、活动能量、运动分钟数、静息心率、心率变异性和睡眠时长。访问方式仅限只读；LeWell 不会向这些服务写入数据。当前 MVP 不会请求设备健康权限，也不会从 Apple Health 或 Health Connect 读取新数据，即使您此前已在设备设置中授予权限。这项功能变更不会删除已复制到您 LeWell 账户的读数或历史权限记录；这些记录仍受本政策约束。
学习路径记录： 我们存储您选择的路径和内容版本、重点、进度和活动时间、计划、可选的实用性评分，以及后续选择。我们还保留可用的入口来源或活动推广背景，以及防止重复更新所需的标识符。这些记录用于支持您的学习路径，并随账户一同删除。它们并不能证明健康益处。
离线学习和已保存的提交： 为便于您在服务中断时继续学习，我们会在设备上保存账户专属副本，包括上次成功加载的个人资料、Journey、进度、已知访问状态和可用学习内容。应用会自动以您选择的语言准备可用的文字课程、测验和练习。我们不保证离线音频可用：账户专属设备缓存中已有的音频可能在访问期限内离线播放；缓存中没有的音频需要联网。副本可能包含您选择的目标、测验选项、完成标识符和已有的个性化默认目标，但不含私人自由文本回答或个性化 AI 反馈。
未完成的私密练习草稿与已提交的内容分开保存。活动完成记录和已提交的测验答案可持久保存在设备上，供服务器稍后核验。私密练习答案只有在您明确选择“提交”时才会进入此队列。队列可能包含您的答案，包括您选择提交的敏感反思内容、活动和内容版本、时间证据、唯一请求标识符，以及重试或复核状态。服务恢复后，LeWell 可在该账户通过登录、年龄和现行法律相关资格检查后，使用同一账户发送已保存的提交内容。如果活动需要 AI 反馈，该处理随后可能会将您提交的回答发送至下文所述的提供商。未完成的草稿不会自动提交，离线使用也不会在您的设备上生成个性化 AI 反馈。您可通过已保存进度的管理功能重试、查看或移除已保存的提交内容。移除本地副本无法撤回服务器或 AI 提供商已收到的请求。
学习和社交活动： 我们处理课程和练习进度、测验答案和分数、经验值（XP）、金币、宝石、连续天数、挑战、关注、连接、回应，以及提供服务所需的其他操作。
当您查看他人的个人资料时，我们会暂时记录双方的内部账户 ID 和当地日期，以生成匿名的每日浏览次数和通知。我们目前不会向被浏览的账户显示浏览者身份，也不会向 PostHog 发送浏览者与个人资料的配对信息或被浏览者的用户名。
练习回答和 AI 反馈： 当您依据条款请求 AI 反馈时，我们会处理您的回答，包括您选择包含的健康或情绪信息，并将其与相关练习说明一同发送至 Anthropic 的商业版 Claude API。我们不会附加您的账户 ID 或电子邮箱地址，但回答本身可能包含能够识别您身份的信息。您可以选择不提交回答并使用其他学习功能。AI 反馈根据活动要求评估回答；它不是医学评估。请避免包含他人的信息或您不希望为此目的处理的细节。Anthropic 默认不会使用商业 API 的输入或输出训练其模型。按照其标准保留规则，Anthropic 可保留输入和输出最长30天，并可能因安全、防止滥用或法律义务而保留更长时间。构成您 LeWell 历史记录的回答，例如承诺和打卡内容，会保留在您的账户中直至删除。
可选练习反馈： 完成练习后，您可以评价它是否有帮助。我们将所选评分及其时间与该次完成的练习一同保存在您的账户中，直至删除。这类反馈是可选的，不依赖“分享使用数据”设置，且不会发送给 AI 提供商或 PostHog。跳过不会影响进度或奖励。
可选产品分析： 如果您选择启用“分享使用数据”，PostHog 会收到关于入门流程、功能使用、计划参与、使用时长、购买、试用和留存的部分事件。PostHog 仅在您完成身份验证且您的选择已记录后启动。我们使用内部账户 ID 标识分析资料，并可能附加级别、Premium 状态，以及账户是否具有旧版目录访问权限或需要激活订阅等概括性产品属性。发送已获同意的事件时，PostHog 使用请求的 IP 地址推导大致位置属性，例如国家和地区。这是由网络信息推导的位置，不是 GPS 或设备精确位置；我们仅将其用于汇总产品分析，不用于广告。我们不会向 PostHog 发送您的电子邮箱、用户名、原始出生日期、性别、身高、体重、练习文本、自建日常计划名称、自选提醒时间或健康读数值。PostHog 数据托管在欧盟。如果您拒绝，设备不会发送任何 PostHog 产品分析数据。您可以随时在设置中更改此选择。
在您作出同一可选使用数据选择后，我们还会存储与账户关联的第一方记录，包括实际展示的推荐、其内容、排序、原因和目标背景，以及明确作出的选择、忽略或更改。明确选中的推荐可能与已完成的练习关联。可选实用性评分会与已完成的行动关联；它们不是医学评估。我们记录观察到的前台会话及日期、会话标识符、应用／平台／发布版本和入门流程版本，以及同意后观察到的可用推广活动／来源标签和引荐网站主机名。为进行这类衡量，我们不会收集完整归因 URL、私密查询参数、广告标识符或同意前的访客活动。在选择启用后，部分推荐、完成和实用性背景也可能发送至 PostHog。拒绝或撤回使用数据同意会停止新的可选收集，包括这些第一方记录，而不会妨碍正常使用 LeWell。
我们另行保留提供和了解服务所必需的第一方运营记录，例如账户和入门流程完成情况、目标历史、获接受的学习和行动完成记录、购买、权益、订阅生命周期、通知投递，以及观察到已验证身份的应用请求的当地日历日期。运营活动日期用于汇总留存报告，与可选的前台会话观察记录不同。这些记录不是广告分析。
崩溃诊断： Sentry 会收到崩溃和技术诊断信息，其中可能包括设备型号、操作系统版本、应用版本、网络背景，以及错误涉及的代码路径。Sentry 用于安全和可靠性，不依赖可选的“分享使用数据”设置。我们会遮蔽已知敏感字段，不会有意包含练习文本或健康回答值。
访问资格： 我们保留账户的访问政策版本、适用情况下所选免费主题的标识符，以及购买和权益记录，以落实您的访问权利。
购买： Apple 或 Google 处理移动端付款，RevenueCat 验证收据和权益。我们收到产品和交易标识符、商店、权益状态、试用状态、续订、取消、到期和转化信息。我们不会收到银行卡或银行账户详情。
运营账务记录还包括与账户关联的提供商事件和交易参考编号、时间戳及其来源、优惠码、商店环境、取消原因、货币、购买和退款金额、税费、佣金，以及可获得的预估收入。这些记录用于对账和财务报告，不依赖可选使用数据同意。缺失的退款金额仍视为未知，预估收入不能证明银行结算已完成。
通知和电子邮件： 我们处理设备推送令牌、通知偏好、自选提醒时间、投递记录，以及验证、密码重置、账户通知和您请求的通信所需的邮件投递信息。如果您启用个人日常计划提醒，该计划文本会用于通知消息中，并可能根据通知设置显示在设备锁屏上。 为显示应用图标上的徽标，我们还会保存与账户关联的信息，用于确定哪些通知计入徽标，以及哪些通知已从徽标中清除。清除徽标不会将通知标记为已读。
爱心恢复提醒使用受影响活动的标识符和类型、受阻时间和状态检查时间，以及预计恢复时间。观察到恢复、发送提醒或放弃提醒时，会清除待处理提醒数据。这类处理与可选产品分析分开进行。
反馈和支持： 如果您在应用中提交产品反馈，我们会将类别和消息与您的账户一同存储。我们还存储提交前向您展示的有限技术背景：应用版本、平台，以及不含查询参数的应用页面路径。您可以选择是否允许 LeWell 就该反馈联系您。我们不会将消息文本发送至 PostHog。
04我们为何处理信息
我们处理信息，以创建和保护账户、提供请求的学习和社交功能、保存进度、个性化目标和练习、投递通知、处理购买、审阅产品反馈、提供支持、防止欺诈、诊断故障并遵守法律。可选产品分析需要您选择启用。您提供的可选身体资料和健康信息用于上述及条款中所述的相关目的。当前 MVP 不访问设备健康服务。
根据您的所在地和相关活动，我们的法律依据是履行与您的合同、您的同意、遵守法律义务，或我们运营和保护 LeWell 的合法利益。当我们依据合法利益进行处理时，会权衡这些利益与您的权利。您可以随时撤回同意，且不影响撤回前合法进行的处理。
05共享和服务提供商
我们不出售个人数据。我们仅为所述目的使用以下提供商：
- Anthropic： 您请求的 AI 反馈。隐私政策
- PostHog： 在欧盟托管的可选产品分析。隐私政策
- Sentry： 崩溃和诊断报告。隐私政策
- Render： 应用和数据库托管。隐私政策
- Cloudflare： DNS、营销网站托管、邮件路由，以及预先制作的练习音频的托管与分发。隐私政策
- Resend： 事务性电子邮件。隐私政策
- Google： 登录、Android 推送投递和 Google Play 付款。隐私政策
- Apple： 登录、iOS 推送投递和 App Store 付款。隐私政策
- RevenueCat： 收据、购买、订阅和权益管理。隐私政策
提供商可能依据其合同保护措施及适用的传输保障措施，在泰国境外处理信息，包括欧盟、美国或英国。我们也可能在法律要求、保护权利和安全，或企业交易的情况下披露信息，并在需要时提供适当保密保护和通知。
06安全
我们使用 HTTPS、加盐密码哈希、短期访问令牌、受限数据库访问、经过身份验证的购买 Webhook、字段遮蔽及其他合理保障措施。在网页端，刷新令牌使用设置 HttpOnly 属性的 Cookie。原生应用将刷新令牌存储在由应用控制的本地存储和原生偏好设置中，以使会话在重启后保持。离线副本和已提交答案保存在应用或网站存储中；此功能不为其提供端到端加密。其保护也取决于您的设备、操作系统和浏览器。没有任何存储或传输方式是绝对安全的。
尚未提交的私人练习草稿同样受上述存储和加密限制：它们存储在浏览器或 WebView 的本地存储中，不会镜像到安全的原生存储。
07保留和删除
- 身份验证会话和已撤销旧令牌的哈希： 与账户关联的会话和令牌截止记录会在账户成功删除时移除；到期或撤销本身不会自动删除会话行。已撤销旧刷新令牌的哈希不关联账户。其到期日期会限制令牌检查，但不会删除哈希；目前尚未为这些哈希设定自动删除期限。
- 访客入门草稿： 连续七天未更新后过期，在下次读取或成功完成入门流程时删除
- 临时个人资料浏览记录： 通常不超过三天，之后通过滚动清理删除
- 有效账户的个人资料、健康、学习、社交和产品反馈数据： 账户有效期间保留，除非提前删除
- 第一方目标历史、完成证据，以及可选推荐、前台会话和实用性记录： 账户有效期间保留；撤回同意后停止可选收集，删除账户时移除现有记录
- 设备上的学习副本、未完成的进度位置和已保存的提交内容： 适用第3节中各类别的期限和控制方式。同步确认保存后，会移除本地队列中的提交内容及其私密载荷；这不会删除服务器上已接受的历史记录
- 服务器提交回执和连续天数记录： 我们将与账户关联的请求标识符、根据您提交的请求生成的哈希值、活动引用、状态和有限的运行结果保留至账户删除，以防重复请求重复计入进度或奖励。回执不包含回答文本和个性化 AI 反馈。连续天数边界记录会将当地日期、适用时区、上次活动时间戳、服务器计数器和护盾状态保留至账户删除，而不保留回答文本。
- 可选 PostHog 分析： 依据项目保留设置，最长24个月，除非提前擦除
- Sentry 诊断： 依据项目保留设置，最长90天
- 日常应用和安全日志： 通常最长30天，仅在安全或法律事项尚未结束时延长
- Anthropic 商业 API 输入和输出： 依据 Anthropic 标准保留规则，通常最长30天，但受所述安全和法律例外约束
- 交易、同意、防欺诈、税务和法律记录： 仅保留至适用义务或时效期间要求的期限，可能长达七年
- 服务备份： 保留至托管备份周期覆盖，访问受限且仅用于恢复
您可以在设置中删除账户，或在账户删除页面请求删除。在删除本地账户之前，LeWell 会在适用时请求删除与账户关联的 PostHog 和 RevenueCat 客户数据。提供商的处理可能异步完成。服务器账户删除成功后，应用会尝试移除用于删除操作的设备上属于该账户的浏览器和原生离线记录，包括下载文件、已提交答案、草稿、计时器、进度位置和已保存的登录状态。设备清理失败时，仍可使用第3节所述的本地标记重试。我们不会通过猜测归属来删除属于其他账户的记录或无法确定所有者的旧版本地记录。这不会远程擦除其他设备；其他设备上的本地副本可保留至执行适用的清理、清除网站／应用数据或卸载。仅退出登录不会擦除已保存的离线内容。清除应用或网站数据、卸载、操作系统回收存储空间或遗失设备，可能永久删除尚未传至服务器的内容。
删除 LeWell 账户不会取消由 Apple 或 Google 管理的订阅。请通过相关商店另行管理或取消订阅；取消订阅不是请求删除账户的条件。Apple、Google 及法律要求保留的交易记录可能根据其政策或法律继续保留。我们可能在法律要求、解决未决争议或防止欺诈所必需的狭窄范围内保留记录，且不会将保留数据用于无关目的。
08您的权利
根据您的居住地，包括依据泰国《个人数据保护法》及欧盟或英国 GDPR，您可能享有访问、更正、删除、限制处理、提出异议、获取可携带副本、撤回同意，以及向数据保护机构投诉的权利。
使用应用内现有控制功能更新信息、更改有关使用数据的可选选择，或删除账户。当前 MVP 不提供用于管理健康读数或设备健康服务连接的应用内控制功能。请在设备设置中撤销早期版本授予的设备健康服务访问权限。如需申请保留的健康读数或历史权限记录，请联系 privacy@lewell.app。您可以在设置中更改使用数据的可选选择，也可以通过营销邮件中的退订链接取消订阅。对于应用内无法办理的其他请求，请联系 privacy@lewell.app；我们可能需要核实您的身份。撤回不会召回已发送的 AI 请求，也不会影响撤回前依法进行的处理。
09国际和地区权利
您居住地的强制性隐私和消费者权利继续适用。如有地区隐私问题，或希望了解适用的国际传输保障措施，请联系 privacy@lewell.app。
10变更
我们可能随着 LeWell 的变化更新本政策。我们会更改上述日期，并在发生重大变更时通过应用内或电子邮件通知。法律要求重新获得同意时，我们会在开始新的处理前提出请求。
11联系方式
- 电子邮箱：privacy@lewell.app
- 数据控制者：LEWELL Co., Ltd., Bangkok, Thailand