Bilipito 隐私政策

Bilipito 是一项家庭安全服务。它帮助父母了解孩子在哪里、这一天过得怎样，以及孩子什么时候需要帮助。本政策说明我们收集哪些数据、为什么收集、保存多久、提供给谁，以及您有哪些权利。

个人数据控制者：

• AIRSTREAM SRL，摩尔多瓦共和国
• IDNO（税务识别码）：1018600007654 · 增值税代码（cod TVA）：0508154
• 注册地址：MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59
• 通信地址（办公室）：MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• 个人数据请求和数据保护问题：[email protected]
• 其他问题：[email protected]

本政策中的“我们”指 AIRSTREAM SRL。“您”指 Bilipito 的成年用户：父母、法定代理人或由他们邀请的成年人。如何使用服务，见使用条款；如何付款，见付款与订阅条款。

Bilipito 可在 Android、iPhone、iPad 和浏览器上使用。如果推出其他平台的版本，我们会事先更新本政策，并列出参与其运行的其他服务提供商。

应用标识符：Bilipito：pasitos.airstream.md（Google Play）、md.airstream.pasitos（App Store）；Bilipito Kids：pasitoskids.airstream.md（Google Play）、md.airstream.pasitoskids（App Store）。

• 我们收集数据，是为了让家人知道孩子在哪里、是否一切安好。
• 我们不出售个人数据，也不把它用于广告。
• 孩子不与我们订立合同，也不创建账户。我们基于父母或其他法定代理人的同意处理孩子的数据。达到一定年龄后，还需要孩子本人的同意（第 7 节）。
• Bilipito Kids 公开运行：会告诉孩子家人能看到什么，孩子的手机上始终显示应用正在运行的通知。
• 声音和摄像头只能实时使用，不录制任何内容（第 11 节）。
• 详细的行动轨迹保存 30 天，之后自动删除。
• 您可以随时删除账户和数据（第 16 节）。

我们不获取银行卡数据：付款完全由 Google Play 或 App Store 处理。

家庭所有者可以邀请其他成年人：另一位家长、奶奶、爷爷、保姆。

受邀成人无需支付订阅费用：他占用所有者订阅中的一个名额。

孩子不与我们订立合同。与父母的合同本身也不构成处理孩子数据的依据。我们依据以下法律依据：

• 大部分数据：孩子法定代理人的同意；如果孩子已达到其所在国家的数字同意年龄，还需要他本人的同意（第 7 节）；
• SOS 信号：履行与父母的合同以及孩子的重大切身利益；
• 实时声音和摄像头会话日志、技术日志和崩溃报告：我们的正当利益，即孩子的安全、防止滥用、服务运行；
• 同意记录：证明已取得同意的法律义务。

我们不收集：通讯录、短信、通话记录、浏览器历史记录、其他应用中的聊天内容、相册照片（用户本人选作头像或发到家庭聊天的照片除外）、输入的文字和屏幕内容。Bilipito Kids 使用 Android 无障碍服务只为两件事：识别当前打开的是哪个应用并执行父母设定的规则，以及关闭被父母屏蔽的应用的“画中画”窗口。为此，该服务会查看屏幕上是哪个应用，以及此类窗口的标题，以判断它属于哪个应用。标题只在手机上检查，不会发送到任何地方。该服务不读取输入的文字和屏幕内容；发给父母的报告中只有被屏蔽应用的名称。

如果 Bilipito Kids 在 iPhone 上运行。目的和保存期限与上表相同，但 iOS 收集部分数据的方式有所不同：

• 权限：位置“始终”、“运动与健身”（步数）、通知、麦克风和摄像头（仅用于实时会话）以及屏幕使用时间。目的与 Android 上相同。
• 屏幕使用时间和限额通过 Apple 的 Screen Time API（Family Controls、ManagedSettings、DeviceActivity）实现。父母在 Apple 的系统选择器中选择应用和网站。我们只接收并保存 Apple 为所选应用生成的不透明令牌以及父母设定的规则；这些令牌不会告诉我们应用的名称。iPhone 上详细的应用使用报告由 Apple 自己在设备上生成（DeviceActivityReport），不会到达我们的服务器。我们的服务器只接收某条规则已触发或已达到限额这一事实，以及是哪条规则。iPhone 上没有已安装应用列表和“当前打开的应用”。
• 无障碍服务在 iPhone 上不使用。
• 崩溃报告由同一个 Firebase Crashlytics 收集，数据和保存期限相同。

匿名化的步行小径。如果在不同的日子有人沿同一条线路行走，并且我们的工作人员确认这是一条真实的小路，我们会把它加到自己的地图上。地图上只留下这条线：没有孩子、家庭、设备、日期和时间。这样的线路无法识别任何人，因此不属于个人数据。此类线路作为地图的一部分永久保存。

6.1. Bilipito Kids 与儿童应用规则

Bilipito Kids 面向儿童和青少年，由成年人安装。其中没有广告、没有广告标识符（AAID/IDFA）、没有行为分析，也没有购买。我们不从孩子的手机收集序列号、IMEI、IMSI、MAC 地址以及 Wi-Fi 网络的名称和地址。为保护免费试用期，绑定手机时会发送设备标识符（并非广告标识符）的不可逆哈希；它无法用于识别孩子或手机（第 6 节）。

在 Android 上，Bilipito Kids 包含以下第三方组件，均由 Google 提供：

• Firebase Cloud Messaging：传送通知；接收推送令牌、Firebase 安装 ID 和通知文本；
• Firebase Crashlytics：崩溃报告，自应用首次启动起收集；接收错误的技术堆栈、手机型号、系统和应用版本、可用内存、安装 ID 和应用会话信息；保存 90 天；
• ML Kit 条码扫描器：在手机本地识别用于绑定的二维码。这一 Google 组件会向 Google 发送有关该功能使用和运行情况的匿名指标以及一个安装标识符；摄像头图像和二维码内容不会被发送；
• Google Play 服务：在手机上确定位置，并通过 Google Play 应用检查是否有 Bilipito Kids 的新版本。我们不会从更新检查中获得任何数据。

在 iPhone 上，通知由 Apple Push Notification service 传送，二维码由 iPhone 自带的相机系统识别，位置由 iOS 定位服务确定。

孩子的数据不会出售给第三方，也不会提供给第三方用于其自身目的，但 ML Kit 的技术指标除外，Google 将其用于运行和改进该功能。

法定代理人可以随时在 Bilipito 应用中查看孩子的数据、获取一份副本、更正或删除这些数据，并拒绝进一步收集（解除孩子手机的绑定或删除资料）：请参阅第 16 节，或写信至 [email protected]。同意为运行 Bilipito 而收集孩子的数据，并不等于同意将其提供给第三方用于其自身目的；我们不会进行此类提供。

我们只在 Bilipito 功能需要的期间内、按照第 15 节规定的期限保存孩子的数据，绝不会永久保存孩子的个人数据。

7.1. 可验证的法定代理人同意

孩子不会自己注册 Bilipito。孩子的手机由拥有 Bilipito 账户的成年人绑定。

1. 首次登录时，成年人要勾选两个独立的复选框。两项都勾选后才能使用服务：
   • 接受使用条款，并确认已阅读本政策；
   • 确认自己是孩子的父母或其他法定代理人，并同意处理孩子的数据。受邀成人则改为确认是孩子的父母邀请了他。
2. 添加孩子时，成年人根据所在国家的数字同意年龄门槛指明孩子的年龄组（第 7.2 节）。我们不询问出生日期。
3. 核验。我们用与风险相称的合理方式核验成年人：使用已验证电子邮箱登录账户、以所有者名义订阅 Google Play 或 App Store、绑定时实际接触孩子的手机（验证码或二维码）、孩子手机上的公开通知。
4. 记录。每项同意都保存为一条无法更改的单独记录。记录包括：同意类型、所展示文本的版本和指纹（哈希）、服务器时间、平台、应用版本、语言和登录方式。IP 地址不写入记录。
5. 撤回。您可以随时撤回同意：解除孩子手机的绑定、删除孩子的资料或账户，或写信至 [email protected]。撤回前的处理仍然合法。撤回后，我们停止从孩子的手机收集数据。
6. 如果确认内容不实。有时手机是由无权绑定的人绑定的：例如，不是父母的人在追踪别人的孩子或某个成年人。如果我们得知此事或有合理怀疑，我们可以停止从该手机收集数据，并要求对方证明权限。如果无法证明，我们会删除未经适当授权收集的数据并封禁账户（见使用条款）。此类情况可以报告至 [email protected]。

7.2. 孩子的年龄和本人同意

每个国家的数字同意年龄门槛不同。摩尔多瓦共和国为 14 岁（第 195/2024 号法律）。欧盟和欧洲经济区国家适用各国规定的 13 至 16 岁，英国和美国为 13 岁。如果国家未知，我们适用 16 岁。

• 低于门槛年龄的孩子。由法定代理人决定。绑定时，手机会用简单的话告诉孩子家人能看到什么，孩子点击“继续”。这是告知，而不是同意。我们保存已展示过的记录。
• 门槛年龄至 17 岁的孩子（或未填写年龄）。除法定代理人的同意外，还需要孩子本人的同意。孩子的手机上会显示同样的文本，孩子点击“我已了解并同意继续”。否则手机无法绑定。

7.3. 孩子长大后

• 孩子达到数字同意年龄门槛。如果孩子是以“低于门槛”添加的，那么在他达到门槛年龄时，法定代理人应写信至 [email protected] 告知我们（我们会更改年龄组），并重新绑定孩子的手机。绑定时，孩子会再次看到家人能看到什么，并可以给出本人同意。如果孩子不同意，手机就不会被绑定，也不再从该手机收集数据。
• 成年（18 岁）。Bilipito 不用于监视成年人。孩子年满 18 岁时，必须停止监控：法定代理人解除手机绑定并删除孩子的资料。如果已成年的孩子提出请求，可以在删除前把其数据副本交给他。为此，请写信至 [email protected]。

7.4. 孩子能看到什么

在请求权限和扫描验证码之前，Bilipito Kids 会向孩子显示“家人会看到什么”页面，并附有本政策的链接。应用运行期间，孩子的手机上始终显示通知。实时声音或摄像头会话期间，还会出现单独的通知以及系统的麦克风或摄像头指示标志。

• 家庭所有者是创建家庭并支付订阅费用的成年人。所有者邀请和移除其他成年人、设置他们的权限、添加和删除孩子。所有者负责确保受邀者有查看孩子数据的合法依据。
• 受邀成人（另一位家长、奶奶、保姆……）通过邀请加入家庭。对每个孩子，所有者决定受邀者能否查看历史记录、管理区域、开启声音和摄像头。
• 一个家庭最多可有 4 名成年人（含所有者）和 8 名孩子。
• 撤销访问权限。所有者可以随时撤回邀请或将成年人移出家庭。访问权限立即失效。受邀者也可以自己退出家庭。家庭数据仍归所有者所有。
• 孩子可以看到家庭中有哪些成年人以及他们是谁（“妈妈”、“爸爸”、“奶奶”）。

家庭中的成年人可以创建临时链接，让亲近的人看到孩子现在在哪里。

• 谁可以打开：任何拿到链接的人，无需账户。链接中有一个几乎不可能猜到的随机密钥。
• 能看到什么：孩子的显示名称、他现在在地图上的位置、测量精度和时间、链接有效期。通过链接看不到历史记录、电量、地址和其他数据。
• 有效期：15 分钟至 72 小时，由成年人选择。链接可以立即撤销。
• 日志：我们记录链接的创建和撤销（安全日志，90 天）。我们不记录谁在何时打开了链接。打开者的 IP 地址我们只在几分钟内使用，用于防止滥用。链接本身的记录在过期或撤销后保存 30 天。
• 链接页面不允许搜索引擎收录。
• 账户被删除时，它创建的所有链接都会被撤销。
• 链接发给了谁，由创建链接的人负责。

链接接收者的数据：IP 地址（几分钟）以及向 OpenFreeMap 发出的地图图像请求（第 14 节）。

Cloudflare Web Analytics 不使用 cookies，也不会在其他网站上跟踪您。网站上没有表单，也没有广告类和行为类 cookies。字体（Google Fonts）、网站程序库（jsDelivr）和地图图像（OpenFreeMap）从这些服务提供商的服务器加载，因此它们能看到您的 IP 地址。

我们的访问计数器运行在我们自己的服务器上，不使用 cookies、不使用浏览器存储，也不使用第三方服务。它只接收已知页面的地址，从不接收标识符或令牌；设备类型根据浏览器信息（user agent）判断。为了每天只把一位访客计数一次，服务器用一个保密的“盐”，对 IP 地址的网络部分（/24 或 /64）、浏览器信息和日期计算哈希。该哈希只保存在服务器内存（Redis）中，最多 48 小时，之后即被删除；IP 地址本身不会被保存。只保存按页面、语言、来源、国家和设备类型统计的每日汇总（浏览量和访客数）。这些汇总不与账户、孩子或位置数据关联。

数据总体来源：您本人；孩子的手机（Bilipito Kids）；Google Play 或 App Store（购买）；Google（通过 Google 登录：姓名和已验证的电子邮箱）；Apple（通过 Apple 登录：姓名和电子邮箱或 Apple 的私密中继地址）。

拥有相应权限的成年人可以收听孩子周围的情况，或通过孩子手机的摄像头查看。例如，当孩子没有回应时。

• 会话只能由成年人开启。每次不超过 10 分钟；如有需要，成年人可以开始新的会话。
• 会话进行期间，孩子的手机上会显示通知以及系统的麦克风或摄像头指示标志。
• 声音和图像以加密方式在手机之间实时传输（WebRTC）。如果无法直接连接，由我们的中继服务器转发数据流。中继服务器无法解密它。
• 不录制任何内容：我们的服务器、孩子的手机、父母的手机上都不录制。Bilipito 没有录制功能。
• 我们只保存会话的发生记录（谁、针对哪个孩子、何时），保存 90 天。

这些功能只能按照使用条款使用。例如，不得收听或拍摄其他成年人和无关人员，不得用第三方工具录制会话，也不得在人们期待特别隐私的场所开启这些功能。

拥有有效订阅的家庭可以使用家庭聊天。

• 服务器充当“邮递员”。所有收件人都收到消息后，消息就会从服务器删除，且最迟在发送后 48 小时删除。照片也一样；未发送成功的照片在 1 小时后删除。
• 聊天记录只以加密形式保存在家庭成员的手机上。如果您在网页控制台中打开过聊天，也会保存在浏览器中；退出控制台时会被清除。
• 消息在传输中加密（HTTPS），但没有端到端加密。消息在服务器上等待投递期间（不超过 48 小时），服务器在技术上可以读取它。除非法律要求，我们不会这样做。
• 消息开头（最多 140 个字符）会显示在推送通知中。通知由 Google Firebase Cloud Messaging 传送，在 iPhone 和 iPad 上由 Apple Push Notification service 传送。
• 照片中的元数据会被删除，包括拍摄地点的 GPS 坐标。
• 把聊天记录转移到浏览器：最近 7 天，采用端到端加密；转移请求有效 30 分钟。
• “我在这里”消息包含发送者的一个地理位置点。

Bilipito 会自动识别移动类型（步行、乘车、静止），生成路线和停留点，标记进入和离开区域，建议把常去的地点设为区域，发放成就，并执行父母设定的应用限制。

这些决定是为了方便家庭，不会对孩子或成年人产生法律后果或其他同等重大的影响。我们不为广告建立用户画像，也不出售关于行为的推断。

我们只向帮助我们运营服务的各方提供数据，而且只提供他们需要的数据。

地址和路线由我们自己的服务器计算（Nominatim、OSRM，基于 OpenStreetMap 数据），因此不会为此把坐标提供给第三方。孩子 Android 手机上的位置由 Google Play 服务确定。如果手机上开启了系统设置“Google 位置信息精确度”，Google 会按照自己的规则获取有关 Wi-Fi 网络和基站的信息；该设置与 Bilipito 无关，可以在手机设置中关闭。在 iPhone 上，位置由 iOS 定位服务确定。我们不发送短信。

其他成年人只有在受到家庭所有者邀请后，才能看到孩子的数据。

如果法律要求（例如应法院或主管机关的要求），或为了保护他人的生命和健康，我们可能会披露数据。

跨境传输。部分接收方在摩尔多瓦共和国境外处理数据。对于此类传输，我们依据充分性认定，以及这些服务提供商的标准合同条款和标准数据处理条款。所适用保障措施的副本可以写信至 [email protected] 索取。

有保存期限的数据每天自动删除一次。

您可以在 Android、iPhone 或 iPad 上的 Bilipito 应用中删除账户（设置 → 账户 → “删除账户”），也可以在网页控制台中删除：登录 my.bilipito.com，打开“账户设置” → “删除账户”并确认。为安全起见，我们会请您重新登录一次。分步说明：bilipito.com/delete-account。您也可以直接写信至 [email protected]。

账户会立即删除。随账户一并删除的有：您拥有的家庭、孩子的资料和照片、行动轨迹、区域、屏幕使用时间、成就、奖励、通知、SOS、服务器上的聊天消息、同意记录。孩子的手机会收到停止运行并清除未发送数据的指令。您在 Google Firebase 中的登录账号会被删除。您创建的链接会被撤销。订阅账户中心会收到订阅已结束的消息。您在其中的姓名和语言会被删除，电子邮箱只随付款记录保留，并随付款记录一并删除。

如果您是别人家庭的成员，您只是退出该家庭。该家庭的数据仍归其所有者所有。

以下内容还会保存一段时间：安全日志（90 天）、与家庭解除关联的付款记录（第 15 节），以及我们依法必须保存的信息。

如果该家庭曾开通过订阅（包括免费试用期），电子邮箱和登录方式的不可逆指纹会保留（3 年）：无法从中还原邮箱地址，但可以据此判断免费试用期已被使用过。

删除账户不会取消 Google Play 订阅。我们会请求 Google 停止续订，但更稳妥的做法是您自己取消订阅：Google Play → 个人资料图标 → “付款和订阅” → “订阅” → Bilipito → “取消订阅”（play.google.com/store/account/subscriptions）。我们无法停止 App Store 订阅，需要您自己取消：在 iPhone 或 iPad 上打开“设置” → 您的姓名 → “订阅” → Bilipito → “取消订阅”（apps.apple.com/account/subscriptions）。

您也可以只删除一个孩子，其数据会以同样方式删除。或者只解除孩子手机的绑定：收集会停止，历史记录会保留，直到被删除或期限届满。

您有权：

• 了解我们处理您的哪些数据，并获取其副本；
• 更正不准确的数据（大部分可直接在应用中更正）；
• 删除数据（第 16 节）；
• 限制处理；
• 反对基于我们正当利益的处理；
• 以机器可读格式获取数据（可携带权）；
• 随时撤回同意（第 7.1 节）；
• 不受仅基于自动化处理、且产生重大影响的决定的约束（第 13 节）；
• 向监管机构或法院提出投诉。

未达到数字同意年龄门槛的孩子，其权利由法定代理人行使。已达到门槛的孩子也可以自己联系我们。

如何提出请求。您可以通过账户设置提交请求，或写信至 [email protected]。为保护您的数据，我们主要通过账户登录或发送到已验证电子邮箱的验证码来确认身份。只有在对申请人身份有合理怀疑时，我们才会要求补充信息，而且只要求核验所需的部分。通常不需要身份证件副本。

我们会及时答复，没有不当延误，一般在一个月内。如果请求复杂或数量较多，期限可以再延长两个月。届时我们会通知您并说明原因。如果我们拒绝请求，会解释原因，并提醒您可以向监管机构或法院投诉。

监管机构：摩尔多瓦共和国国家个人数据保护中心（Centrul Național pentru Protecția Datelor cu Caracter Personal），MD-2004, mun. Chișinău, str. Serghei Lazo 48，datepersonale.md。欧盟和欧洲经济区的居民也可以向本国的监管机构投诉。

应用中的设置：您可以关闭部分通知类别（包括“Bilipito 新闻”），并在手机设置中撤回权限。届时部分功能将无法使用。

• 网站 bilipito.com：没有 cookies。浏览器存储中只保存所选语言。我们的访问计数器（第 10 节）不在浏览器中保存任何内容。
• 网页控制台 my.bilipito.com：使用严格必需的浏览器存储，用于登录（会话令牌、您的电子邮箱、推送令牌）和家庭聊天记录（IndexedDB）。退出控制台时，这些数据会被清除。没有这些存储，控制台无法运行，因此我们不单独征求同意。Cloudflare Web Analytics 和我们的访问计数器都不使用 cookies，也不使用浏览器存储。
• Android 和 iOS 应用：登录令牌保存在手机的安全存储中（在 iPhone 和 iPad 上保存在钥匙串中），聊天记录和电子邮箱以加密形式保存在手机上。请求的技术信息（包括坐标）不会写入手机系统日志。应用数据不会复制到云存储。
• 没有广告类和行为类 cookies，没有广告标识符，也没有行为分析。我们不使用 Firebase Analytics。在 iPhone 和 iPad 上，我们不进行 App Tracking Transparency 意义上的跟踪，不请求跟踪许可，也不使用 Apple 的广告标识符（IDFA）。

如果我们添加新的分析系统或 cookies，会事先更新本政策，并在需要时征求您的同意。

所有流量都经过加密（HTTPS/TLS），实时声音和摄像头会话在手机之间加密传输。每次请求时，服务器都会核实：请求孩子数据的是其家庭中拥有相应权限的成员。头像照片不公开。员工对数据的访问受到限制。没有绝对安全的系统，但我们采取合理的技术和组织措施。如果数据泄露会给您带来高风险，我们会在法律规定的期限内通知您和监管机构。

我们可能会更新本政策，例如在推出新功能时。带有版本号和日期的现行版本始终可在 bilipito.com/privacy 查阅。对于重大变更，我们会提前通过应用或电子邮件通知您。如果变更需要新的同意，我们会单独征求。

• 个人数据请求及数据保护问题：[email protected]
• 其他问题：[email protected]
• 控制者：AIRSTREAM SRL，IDNO 1018600007654，注册地址：MD-2008, mun. Chișinău, str. Vasile Lupu 34/1, ap. 59，摩尔多瓦共和国；通信地址：MD-2004, mun. Chișinău, str. Sfatul Țării 59, et. 2
• 监管机构：摩尔多瓦共和国国家个人数据保护中心，datepersonale.md