ViceLume隐私政策
本文件以英文版本为准，其他语言译文仅供参考。
本翻译仅供参考。如本文件的中文版本与英文版本存在任何差异,应以英文版本为准。
本政策说明 ViceLume 处理哪些个人信息、出于何种目的、依据何种法律基础、保留多长时间,以及您可以采取哪些措施。本政策是我们依《通用数据保护条例》(GDPR)第13条和第14条作出的告知。
简而言之:无需账户即可阅读、收听和搜索。在您说“是”之前,没有任何东西会对您进行统计——我们自己的计数器不会,Google Analytics 也不会——而且这个“是”,您只需点击一下即可收回。注册账户需要通行密钥(passkey)和电子邮箱地址。
1. 个人信息处理者
就本文所述处理活动而言,GDPR第4条第(7)款意义上的个人信息处理者为:
- 公司名称
- MATTALNET GRUPP OÜ
- 地址
- Tuukri tn 19-315, 10120 Tallinn, Estonia
- 公司注册号
- 14744075
- 增值税识别号
- EE102519059
如您就本政策中的任何事项(包括第15节项下的一切请求)与我们联系,请写信至上述邮箱,并在主题中注明“数据保护”,我们将据此转交相关部门处理。
我们未指定数据保护官。我们的处理活动未达到GDPR第37条第(1)款规定的门槛:我们不进行大规模、经常性和系统性的监控,也不大规模处理特殊类别的数据。上述电子邮箱即为数据保护事宜的联系方式。
2. 本政策适用范围
本政策适用于 vicelume.com 网站、ViceLume 的 iOS 和 Android 应用程序、广播流以及我们发送的服务邮件。本政策不适用于我们链接到的其他网站。一旦您点击链接前往某一媒体网站,该网站自身的隐私政策即适用,我们对此无法施加影响。
3. 处理活动一览
下表每一行对应一个处理目的,列出所需数据、依GDPR第6条第(1)款确定的法律依据以及数据保留期限。表格之后的章节将以文字形式逐一说明。
| 目的 | 数据 | 法律依据 | 保留期限 |
|---|---|---|---|
| 提供页面、订阅源和广播流内容 | IP地址、请求的URL、时间、状态码、用户代理——仅记录于网络服务器日志中 | Art. 6(1)(f)——我们在维持服务可用及抵御攻击方面的正当利益 | 30天后删除 |
| 您的账户 | 用户名、电子邮箱地址、通行密钥公钥及凭证ID、登录计数器、套餐、语言 | Art. 6(1)(b)——履行您注册时与我们订立的合同 | 直至您删除账户为止(见第13节) |
| 确认您的电子邮箱地址并发送服务邮件 | 电子邮箱地址、语言、确认令牌 | Art. 6(1)(b),对于发布前名单则为Art. 6(1)(a)——同意 | 直至您删除账户或取消订阅为止 |
| 每周来信及关注列表提醒 | 两个开关、您的电子邮箱地址、语言、一个取消订阅令牌,以及您开启时浏览器报告的时区;来信所报道的关注列表主题。取消订阅时:一行记录,包含订阅类别、途径、时间及掩码处理后的地址。 | Art. 6(1)(a)——按订阅类别分别给予的同意,一键即可撤回。取消订阅日志适用Art. 6(1)(f)——我们了解自身退订率的正当利益 | 开关与令牌:直至您关闭或删除账户为止。日志记录行:随其所指向的账户或名单条目一并删除 |
| Coach 训练计划 | 您填写的游戏时间、目标及经验水平;生成的计划内容 | Art. 6(1)(b) | 直至您删除账户为止 |
| 第一方使用行为统计分析 | 随机会话密钥、平台、语言、事件类型及其属性;仅当您已登录时才包含账户ID。不存储IP地址,也不存储用户代理字符串。 | Art. 6(1)(a)——您在隐私选择面板中给予的同意,可随时撤回 | 自事件发生之日起400天 |
| 第三方使用行为统计分析(Google Analytics 4) | 由 Google 在 _ga Cookie 中设置的标识符、您的IP地址(用于推断粗略位置,不予存储)、不含查询字符串的页面路径、引荐来源网站、您的语言,以及浏览器和设备信息。不含账户ID,不含用户名,不含您输入的任何内容。 | Art. 6(1)(a)——您在隐私选择面板中给予的同意,可随时撤回 | 依 Google Analytics 属性中的设置:最长14个月 |
| 推送通知 | 由您的浏览器或设备提供的推送端点及密钥、语言 | Art. 6(1)(a)——您开启该功能时给予的同意 | 直至您关闭该功能或端点失效为止 |
| 版权及内容投诉 | 您的电子邮箱地址、被投诉的内容项以及您写给我们的一切内容 | Art. 6(1)(c)——我们依法处理投诉的义务;抗辩主张时依据Art. 6(1)(f) | 案件了结后3年 |
| 安全与滥用防范 | 以IP地址为键的速率限制计数器、登录失败次数、管理员操作审计日志 | Art. 6(1)(f)——我们在保障服务及用户安全方面的正当利益 | 计数器:数分钟至数小时。审计日志:12个月 |
| 付款(计费功能启用后) | 由我们的支付服务提供商处理:姓名、账单地址、支付方式、交易数据。我们仅存储订阅状态及该服务提供商分配的客户ID。 | Art. 6(1)(b);出于税务记录保存目的适用Art. 6(1)(c) | 订阅状态:账户存续期间。发票:7年 |
4. 您的账户与通行密钥
ViceLume不使用密码。注册与登录均通过通行密钥(WebAuthn)完成。您的设备生成一对密钥;私钥永不离开设备,我们只会接收并存储公钥、凭证ID及签名计数器。我们的数据库中不存在任何一旦泄露即可被冒用为密码的信息,钓鱼网站也无从窃取任何有效凭证。
我们会在账户中存储一个电子邮箱地址。其作用在于确认该地址确属于您、便于我们就服务事项联系您(安全提示、文件变更通知、对您请求的回复),并为您提供一个找回渠道。它并非登录凭证,也绝不会被用于对您进行画像分析。
用户名可由您自行设定。如果您不希望被识别身份,可以选择一个非真实姓名的用户名——本服务的任何功能都不要求您使用真实姓名。
5. 使用行为统计分析
我们会衡量服务的使用情况,以了解哪些语言、报道和电台值得投入成本继续制作。统计分析共有两项,在您开启之前,两项均处于关闭状态。在您开启之前,不会加载任何统计分析脚本,不会写入任何统计分析 Cookie,也不会将有关您本次访问的任何信息发送至任何地方——包括发送给 Google。
我们自己的统计
第一项统计属于第一方统计:数据仅发送至我们位于德国的自有服务器,不会发送给任何其他人。运营控制台的报表正是基于这项统计,我们也正是据此判断将内容翻译成某种语言是否值得。
- 会话密钥:由您的浏览器或应用自行生成的随机标识符。我们不会依据与您有关的任何信息来生成该标识符,该标识符也不会跨设备关联。
- 平台(网页、iOS、Android)、您的界面语言、事件类型,以及该类型下一小组固定的属性——例如不含查询字符串的路径、报道ID、您点击的外部链接、电台标识。
- 您的账户ID,但仅当您当时处于登录状态时才会包含。若未登录,事件记录中不含任何用户信息。
- 不包含您的IP地址,也不包含您的用户代理字符串。这两项均不会写入统计分析数据库。
原始事件记录会在记录之日起400天后删除。我们为报表统计而保留的汇总计数(如每日访问量、每个电台的播放量)不含任何标识信息。
Google Analytics 4
第二项统计不属于我们。若您开启统计分析,我们会从 googletagmanager.com 加载 Google Analytics 4(属性 G-GS3J1SR3NS),它会将您的页面浏览情况报告给 Google Ireland Limited,地址为 Gordon House, Barrow Street, Dublin 4,爱尔兰。Google 属于第三方。它依GDPR第28条按照我们的指示处理这些数据,但处理是在其自有基础设施上、按照其自有条款进行的,我们无法查看其所保存的内容。加入这项统计,是本服务此前运作方式的一项变更,本节对此如实说明,而非将其掩盖。
- Google 接收的内容:您当前所在页面的路径、引荐来源网站、您的界面语言,以及有关您的浏览器、设备和屏幕的技术信息。
- 一个跨站标识符。Google 会设置第10节所述的
_gaCookie,并借此在后续访问中识别出同一浏览器。该标识符属于 Google,而非属于我们,我们也无法看到 Google 还将哪些信息与之关联。 - 您的IP地址,Google 会据此推断出粗略位置。Analytics 4 不会记录或存储IP地址,除此之外我们还启用了该跟踪代码的IP匿名化标志。
- 不包含您的账户ID、用户名、电子邮箱地址,也不包含您输入的任何内容。我们从不向 Google 发送用户ID,并且每个页面地址都仅依据路径重新拼接而成——因此留在查询字符串中的搜索词绝不会离开您的浏览器。
- 不涉及广告。
ad_storage、ad_user_data和ad_personalization均设置为denied并始终保持拒绝状态;Google Signals 和广告个性化功能均已关闭;广告数据脱敏功能已开启。我们不销售广告,这些信号对我们毫无用处。 - 在您接受之前不会有任何动作。Google 的常规安装方式会在每个页面上加载跟踪代码,并允许其在读者尚未作出任何回应之前,就向 Google 发送无 Cookie 的测量请求。我们的安装方式则在您开启统计分析之前完全不会加载。
Google 如何处理这些数据,详见Google 隐私权政策以及Google 如何使用来自使用我们服务的网站的信息。位于美国的 Google LLC 作为再受托处理者参与其中;相关转移见第12节。数据按属性中所配置的期限保留——在用户和事件层面最长14个月。
如何关闭
一个开关同时控制这两项统计,它出现在三处:您首次访问时的横幅、每个页面的页脚,以及本文档末尾的隐私选择面板。关闭操作在您正在阅读的页面上即刻生效——Google Analytics 会立即停止发送数据,_ga Cookie 会被删除,我们自己的统计工具排队待发的内容也会被丢弃。两者的法律依据均为:GDPR第6条第(1)款(a)项及TDDDG第25条第(1)款,即您的同意。撤回同意不影响撤回前已收集数据处理行为的合法性。
6. 广播、音频及语音报道
广播播放由AI生成的纯音乐及无歌词人声音乐、由合成主播声音朗读的新闻播报,以及音频广告。其中没有任何内容是真人表演的录音,也绝不会采集任何听众的声音——本服务不会访问麦克风,也不存在任何语音输入功能。
收听功能面向已登录用户开放,因此服务器会知道是哪个账户在收听,并统计播放次数。若您已同意统计分析,该次播放还会按照上文所述方式生成一条 radio_play 事件记录。若您拒绝统计分析,则仅会增加服务器端与该曲目(而非与您)相关联的播放计数器。
7. 推送通知与电子邮件
推送通知为可选功能,默认关闭,直至您开启为止。开启后,您的浏览器或操作系统会生成一个推送端点及一对密钥,我们会存储它们以便向您推送消息。我们仅将其用于您所开启的用途(新摘要、突发播报),不做其他任何用途。
在应用程序或浏览器的网站设置中关闭该功能,即会删除相应订阅信息。法律依据:您的同意,GDPR第6条第(1)款(a)项。
您可以开启的来信
共有两种来信,两者在您开启之前均处于关闭状态,开关位于您账户的通知设置中:一封每周来信,汇总您所关注主题的动态;以及提醒,用于通报不宜等到当周才发出的变化。两者均绝不会发送给未曾开启的人。法律依据:您的同意,GDPR第6条第(1)款(a)项。
- 为发送这些来信,我们存储的内容:两个开关、您的电子邮箱地址、撰写所用的语言、在取消订阅链接中标识该订阅的令牌,以及您开启时浏览器报告的时区——以便每周来信在您的清晨送达,而不是在您的深夜。来信只报道您自行选择的关注列表主题;除此之外,关于您阅读内容的任何信息都不会进入其中。
- 退出只需一次点击,并且切实生效。每一封订阅类来信的页脚都设有停止按钮,并带有
List-Unsubscribe邮件头,因此您邮件程序自带的退订按钮同样有效,无需打开来信。您账户中的开关作用相同。 - 我们会记录有人退出这一事实。每一次取消订阅都会追加一行记录:属于哪个订阅类别、通过何种途径(页脚中的按钮、邮件程序的一键退订、您的账户设置,或管理员操作)、时间、地址的掩码形式——
r***@example.test,绝不记录地址本身——以及指向其所属账户或名单条目的引用。设置该日志是为了让我们能够看到每发出一千封来信所对应的退出比率,正是据此才能把一封糟糕的来信与平常的一周区分开来。法律依据:GDPR第6条第(1)款(f)项,即我们在了解自身邮件是否有效方面的正当利益。 - 该日志绝不会被用于向任何人发送邮件。它仅供运营控制台读取,别无他处,其中任何一行都无法被还原为地址。
事务性邮件是另一回事,且无法关闭。确认您的地址、通行密钥邀请、收据、有关您账户或本文件的通知——这些都不属于订阅类邮件,也都不附带退订方式,因为没有它们,您将失去对自己账户的访问权限。这一区分并不交由撰写邮件的人决定:每一封邮件都会被声明为事务性邮件或订阅类邮件,邮件生成组件会拒绝不提供退出途径的订阅类邮件,也会拒绝提供了退出途径的事务性邮件。法律依据:GDPR第6条第(1)款(b)项,即您与我们之间的合同。
删除您的账户,这一切也随之消失——两个开关、订阅令牌,以及指向它们的日志记录行。
8. 服务器日志、安全与滥用防范
我们的网络服务器会记录标准的访问日志:IP地址、时间、请求的URL、响应状态、来源页面及用户代理。正是这些信息使我们能够发现页面故障、爬虫对订阅源的过度访问,或有人正在尝试通行密钥枚举攻击。该日志会在30天后删除,绝不会用于构建用户画像,也不会与统计分析数据库进行关联。
以IP地址为键的速率限制机制保护登录、下架申请表单及AI相关接口。管理与内容审核操作会被记录在审计日志中,以便日后能够重现某项内容决定的作出过程。上述全部处理的法律依据均为GDPR第6条第(1)款(f)项,即我们在维持服务持续可用且不被滥用方面的正当利益。我们认为该利益不会被您的利益所超越,因为相关数据量极小、留存时间短,且从不用于其他任何用途。
9. 付款
计费功能尚未上线。 高级版目前仅作为一种套餐存在,当前不收取任何款项,也不处理任何付款数据。
计费功能启用后,付款将由Stripe处理(Stripe Payments Europe, Limited,爱尔兰,数据将进一步转移至位于美国的Stripe, Inc.)。银行卡信息将在Stripe自有的基础设施上录入,不会到达我们的服务器。我们将存储订阅状态、订阅期限以及Stripe分配的客户ID——足以确定您所享有的权益,仅此而已。发票将依爱沙尼亚会计法律要求保留七年。在首次收款之前,本政策及本节内容将会更新替换。
10. Cookie 与本地存储
我们不使用任何广告Cookie。本服务可能设置的第三方Cookie仅有下表所列的两个 Google Analytics Cookie,且仅在您开启统计分析后才会存在。本服务在您的浏览器中存储的全部内容,均已在此完整列出。
| 名称 | 类型 | 用途 | 存续期限 | 是否需要同意 |
|---|---|---|---|---|
vicelume_session | Cookie(httpOnly、secure、SameSite=Lax) | 使您在完成通行密钥身份验证后保持登录状态 | 会话期间,定期轮换 | 否——为实现您主动请求的功能所必需 |
vicelume_locale | Cookie | 记住您选择的语言,以便下一页面以该语言显示 | 12个月 | 否——严格必要 |
vicelume-consent | localStorage | 记住您在同意面板中的回应——您接受了哪些类别,以及接受的时间 | 直至您清除网站数据为止 | 否——用于存储该选择本身 |
vicelume-usage-session | localStorage | 第5节所述的随机统计分析会话密钥 | 直至您清除网站数据为止 | 是——仅在您开启统计分析后写入 |
_ga、_ga_G-… | Cookie,由 Google Analytics 在本域名下设置 | 使 Google 能在后续访问中识别出同一浏览器,从而统计访问次数而非页面加载次数 | 24个月,每次访问时刷新 | 是——仅在您开启统计分析后写入,并在您关闭时删除 |
| Service Worker缓存 | Cache Storage | 已访问过的页面及资源的离线副本 | 直至您清除网站数据为止 | 否——为离线功能所必需 |
严格必要类项目的法律依据为《德国电信数字服务数据保护法》(TDDDG)第25条第(2)款及欧盟其他成员国的相应规定,并结合GDPR第6条第(1)款(b)项及(f)项。至于两项统计分析项目——会话密钥和 _ga Cookie:其法律依据为TDDDG第25条第(1)款及GDPR第6条第(1)款(a)项——即您的同意。
11. 受托处理者与再受托处理者
我们使用以下服务提供商。每一家均依GDPR第28条项下的数据处理协议按照我们的指示行事;若某服务提供商完全不接触任何个人数据,则依普通服务合同行事。
| 服务提供商 | 所提供的服务 | 所在地 | 涉及的个人数据 |
|---|---|---|---|
| IONOS SE | 托管、服务器、数据库、备份、媒体存储 | 德国(欧盟) | 全部数据——本服务运行于此 |
| one.com A/S | 邮箱及对外发送的服务邮件 | 丹麦(欧盟) | 您的电子邮箱地址及邮件内容 |
| Google Ireland Limited | Google Analytics 4——受众衡量,且仅针对已开启该功能的读者 | 爱尔兰(欧盟),并进一步转移至位于美国的 Google LLC | 第5节所述数据:由 Google 设置的标识符、您的IP地址、页面路径、引荐来源网站、您的语言及设备信息 |
| Moonshot AI(Kimi) | 根据已公开发布的媒体报道撰写并翻译摘要 | 中国 | 不涉及任何个人数据。仅发送已公开的文章文本,绝不发送用户数据 |
| OpenAI | 为语音报道及播报提供文本转语音服务 | 美国/爱尔兰 | 不涉及任何个人数据。仅发送播报文稿 |
| ElevenLabs | 生成电台主播的合成语音 | 美国 | 不涉及任何个人数据。仅发送主播文稿 |
| Stability AI | 生成电台播放的纯音乐 | 英国 | 不涉及任何个人数据。仅发送文本提示词 |
| Stripe(计划中) | 计费功能启用后的订阅付款处理 | 爱尔兰(欧盟),并向美国进行后续数据转移 | 姓名、账单地址、支付方式、交易数据 |
上述AI服务提供商仅出于透明目的列出,尽管实际上不会有任何个人数据到达它们:我们发送的仅是已公开发布的文章文本、我们自己撰写的文稿以及提示词。绝不会发送您的账户信息、阅读记录或您写给我们的任何内容。
我们不出售个人数据,不与广告商共享个人数据,也不会将其转交给任何其他人——法律另有强制要求,或为确立、行使或抗辩法律权利所必需的情形除外。
12. 向第三国的数据转移
服务器、数据库、备份和邮件均保留在欧盟境内。有三项转移超出欧盟范围。其中只有第一项与您有关,且仅在您开启统计分析的情况下才涉及您;其余两项涉及的是内容素材——已发布的文章文本以及我们自己撰写的文稿——列出仅为使情况完整可见:
- 美国——依GDPR第46条第(2)款(c)项采用标准合同条款,若相关服务提供商已获认证,则再辅以 EU–US Data Privacy Framework(GDPR第45条)。Google LLC 已依该框架获得认证,第5节所述统计分析数据正是据此转移至该公司。
- 英国——受欧盟委员会2021年6月28日充分性认定决定的保护,无需另行采取保障措施。
- 中国——依GDPR第46条第(2)款(c)项采用标准合同条款,并配合一份转移影响评估。我们通过仅发送已公开发布的文本、不发送任何个人数据的方式,在实践中将剩余风险降至为零。
如您希望获取上述任一转移所采取保障措施的副本,可致函 mail@vicelume.com 向我们索取。
13. 我们内容的来源
我们的摘要撰写自发布者已经公开的新闻文章、官方公告及创作者报道。这些属于内容素材,而非关于您的个人数据,因此GDPR第14条几乎无适用余地——但为完整起见:若某篇公开文章提及某人姓名,该姓名可能出现在关于该文章的摘要之中,其法律依据为GDPR第6条第(1)款(f)项(我们及公众对已发布信息进行报道的利益),您可依下文所述,依据第21条提出异议。
我们不购买数据,不从第三方来源丰富账户信息,也不抓取社交媒体资料。
14. 我们的数据保留期限
- 账户数据——直至您删除账户为止。删除可在您的个人资料页面自助完成:账户会立即被标记为已删除并从服务中消失,相关记录将在30天内彻底清除。通行密钥凭证会被立即移除。
- 邮件名单条目——直至您取消订阅,或发布前名单在正式上线后被清除为止。
- 取消订阅日志——无单独的保留期限:每一行记录随其所指向的账户或名单条目一并删除。这些记录行中保存的是掩码处理后的地址,绝不保存地址本身。
- 统计分析事件记录——400天。
- 服务器访问日志——30天。
- 推送订阅信息——直至关闭或过期为止。
- 下架申请与投诉档案——案件了结后3年,以便日后就同一事项提出的申诉能够与首次申诉进行比对判断。
- 管理员审计日志——12个月。
- 发票与会计记录(计费功能上线后)——依爱沙尼亚法律要求保留7年。
15. 您的权利
依GDPR规定,您对我们享有以下权利。行使任何一项权利均为免费,我们将在一个月内予以答复。
- 查询权(第15条)——获取我们所持有的关于您的数据副本,以及关于我们如何处理这些数据的说明。您的个人资料页面还提供自助导出功能。
- 更正权(第16条)——更正任何不准确的信息。
- 删除权(第17条)——删除您的数据。可在个人资料页面自助操作,或致函我们办理。
- 限制处理权(第18条)——在有关准确性或合法性的争议解决期间,暂停相关处理。
- 可携带权(第20条)——以结构化、机器可读的格式获取您提供给我们的数据,以便转移至他处。
- 反对权(第21条)——针对我们基于正当利益进行的处理(见第8节及第13节),您可随时基于与您特殊情形相关的理由提出反对。届时我们将停止相关处理,除非我们能够证明存在足以超越您利益的令人信服的正当理由。
- 撤回同意(第7条第(3)款)——适用于统计分析、推送通知及邮件名单。一键操作即刻生效,且不影响撤回前处理行为的合法性。
请致函 mail@vicelume.com。我们可能会要求您先确认对该账户或该电子邮箱地址的控制权后再予处理——这并非为了阻挠您,而是因为若将账户导出数据交予错误之人,本身就构成一次数据泄露事件。
16. 投诉
如您认为我们对您数据的处理不合法,依GDPR第77条,您有权向监管机构提出投诉——可以是您居住地、工作地或涉嫌违规行为发生地所在成员国的监管机构。我们的主要监管机构是爱沙尼亚的相关机构:
- 监管机构
- Andmekaitse Inspektsioon (Estonian Data Protection Inspectorate)
- 地址
- Tatari 39, 10134 Tallinn, Estonia
- 电子邮箱
- info@aki.ee
当然,我们也欢迎您先与我们沟通——这样通常处理得更快,而且我们更愿意直接纠正问题,而不是就此争论不休。
17. 不进行自动化决策
我们不进行GDPR第22条第(1)款意义上的自动化决策或画像分析。关于您的任何事项均不由机器决定,您所阅读的内容也不会产生任何具有法律效力或类似重大影响的后果。
AI被用于生成内容——摘要、翻译、Coach训练计划、语音播报、音乐——而非用于评估用户个人。Coach训练计划是根据您自己填写的游戏时间和目标生成的建议,并非对您本人的评估,除了您所请求生成的计划本身之外,不产生任何其他后果。
18. 提供数据是否为强制性义务?
不是。阅读、收听和搜索均无需注册账户,也无需提供任何数据。如您希望注册账户,则需要用户名、通行密钥和电子邮箱地址——没有这些信息,合同便无法履行。其余一切信息均为可选提供,并会明确标注为可选。
19. 儿童
本服务并非面向儿童提供。账户仅供16周岁及以上用户注册;对于未满该年龄的用户,依GDPR第8条须由其父母责任承担人给予同意,而我们并不具备核实该同意的条件。如您认为有儿童注册了账户,请告知我们,我们将删除该账户。
20. 本政策的变更
当服务发生变化时——例如计费功能上线,或新增、终止某一受托处理者——我们会更新本政策。页面顶部的日期始终注明更新时间。重大变更将在生效前在网站上公告,若我们持有您的电子邮箱地址,还会另行邮件通知。