关于你的数据
隐私政策
了解 Nook 使用哪些数据、用途、保留期限以及如何行使权利。消息加密并不会隐藏提供服务所需的全部数据。
手机号与在线登录 使用手机号登录，进行聊天、分享照片和视频、加入邀请制群组。应用及新功能是否可用取决于商店、渠道和已安装版本。笔记保持私有，仅在你选择分享时才发送文字。
1. 谁处理数据
数据控制者为 Kreluna Software（个体企业 GADDUCCI ANDREA 的商号）。如需信息、支持或提出数据相关请求，请联系： krelunaid@gmail.com。Nook 为项目名称。
Nook 由 Kreluna Software 提供，该名称是个体企业 GADDUCCI ANDREA 的商号。营业地址：Via Dante Alighieri 3, 51016 Montecatini Terme (PT), Italia。增值税号：02114130475。REA 登记号：PT-622714。认证电子邮箱（PEC）：gadducci.andrea@pec.it。 业务电话：+39 351 429 0127。支持与投诉：krelunaid@gmail.com.
最低年龄
使用 Nook 须年满 13 岁，或达到所在国家要求的更高最低年龄。如果你未满 18 岁，请与父母或监护人一起阅读使用条款和隐私声明。 Nook 不为未达到最低年龄的人士提供由家长管理的账户。年龄提示和创建个人资料时的声明不构成证件年龄核验或经过验证的家长同意。如需举报不符合年龄要求的账户，请联系支持。
服务最低年龄与同意能力是不同概念。对于适用 GDPR 第8条的基于同意的处理，意大利的年龄门槛为14岁，其他国家可能不同。与父母共同阅读本页本身不构成经过验证的家长同意。短信验证不能证明年龄。
2. 数据和用途
| 数据 | 用途和去向 |
|---|---|
| 本地模式 | 个人笔记、收藏、归档、已保存的消息及本地设置保留在设备的应用数据中。个人笔记没有收件人。 保存的姓名和照片资料留在本机，按账户及空间分开。私密空间的资料保存在其加密档案中。转移聊天密钥不会转移这些模板、看板或提醒。将模板应用到群组会创建副本，修改或删除模板不会自动更新群组。 |
| 手机号与在线登录 | 当你请求验证码时，系统会处理含国家区号的电话号码、请求、请求结果及可能产生的会话数据，用于注册和验证账户，即使验证码发送失败也是如此。电话号码不会显示在你的 Nook 公开资料中。 |
| 在线个人资料 | 包括账号标识、用户名、显示名称、公钥和创建日期。其他已登录用户可以查看个人资料，以查找联系人并开始会话。 我们还会保存您接受的条款版本、确认已阅读的隐私声明版本以及作出该选择的日期，以记录分享功能的使用依据。 在更新版本中，我们记录账户 ID、文档修订版本、语言、服务器时间，以及接受条款和已知悉隐私声明的确认。修订版本关联文档路径和指纹。该记录证明提供过的链接和您的声明，不证明实际阅读。它不新增 IP 或设备标识符，也不跟踪页面是否打开。记录随账户一同删除。 |
| 可选头像 | 你可以从相册中选择照片。应用会将其缩小为不超过 512 × 512 像素、最大 256 KiB 的 JPEG，并保存在没有公开地址的服务器私有存储空间中。每次加载都需要身份验证：仅本人、处于未屏蔽会话中的联系人，以及通过精确个人资料搜索获得临时权限的用户可以查看。头像不使用聊天的端到端加密，也不会透露是否存在私人空间。 |
| 在线消息和附件 | 在线功能会在发送前，在设备上加密文字和附件。服务器保存加密内容及送达所需的数据。接收者可以阅读内容并保留副本。 群组内容会为每位已接受邀请的成员分别加密。受邀者在接受邀请前不会收到消息。 |
| 会话元数据 | 包括参与者、会话、消息和发送者的标识、日期及已读回执。内容加密并不会隐藏全部这些服务数据。 对于群组，服务还会保存群组名称和照片、成员关系、角色、邀请以及所选资料的名称和标签。这些元数据（包括群组照片）可由服务读取，不受内容加密保护。 确认创建群组、加入或保存群组资料时，所选个人姓名、标签和照片也会发送到服务。授权成员可以看到，服务可以读取；它们与主资料和消息加密分开处理。 |
| 屏蔽与举报 | 屏蔽和举报会记录举报人、相关用户及会话的标识符，以及原因和日期；针对特定消息的举报还包含消息标识符。Nook审核人员会在私密安全收件箱中收到通知。只有在你明确选择分享时，他们才会额外收到最多4,000个字符的所选文字。不会自动附带完整聊天、照片或视频。通知不会透露是否使用了私密空间，也不会发送密码或密钥。 提交至内部系统以及安全邮箱中的提醒属于技术步骤，并不表示持续监控，也不保证立即答复。Nook 举报不是紧急求助渠道。 |
| 支持服务 | 包括电子邮箱、请求内容以及你选择发送的附件，用于回复请求和处理问题。 |
| 恢复 Apple 一次性购买 | 为在账户删除后恢复 Apple 购买，Nook 会保留一份私有记录，包括原始交易标识符及 Apple 环境、关联的 StoreKit 令牌、关联账户的标识符（在账户删除后保留，并在重新关联时更新）、手机号码的假名化指纹（HMAC）、购买状态以及验证和重新关联的日期。此 HMAC 使用的密钥与试用记录的密钥不同。记录不包含明文号码、消息或聊天密钥。 |
| Google Play 购买与恢复 | 为验证 Google Play 购买，Nook 会在服务器的私有记录中保存购买令牌及其哈希值、账号及关联标识、商品、环境、状态、购买确认信息、数量、订单标识和日期。系统会向 Google 重新核实状态，包括在退款或撤销后更新访问权限；不保证即时更新或离线更新。 |
| 技术数据 | 网络服务会接收 IP 地址、由 IP 推断的大致城市和国家、客户端技术信息（user-agent）、请求、日期、响应及错误代码和响应时间。这些数据用于提供和保护服务、发现滥用及诊断运行问题。服务提供商将其保存在运营和安全日志中。 |
除您输入的数据外，我们还会从其他参与者、群组管理员、举报者及验证购买的商店接收信息。共享的信息取决于相关功能及使用者的选择。
对于注册和短信验证、聊天送达与同步、群组、购买及恢复，我们依据合同处理所请求服务必需的数据（GDPR 第6(1)(b)条）。这也适用于支持服务和您选择使用的可选功能，但仅限该请求所必需的数据。安全、处理滥用以及防止重复免费试用基于合法利益（第6(1)(f)条），必须与您的权利进行权衡；您可以提出反对。法律义务仅在相关情况下适用（第6(1)(c)条）。手机权限本身不等于 GDPR 同意。在线访问需要已验证的号码；照片、位置和通知仍是可选功能。
3. 私密空间与手机权限
文档
要添加文档附件，请选择“文档”，在系统文件选择器中选择文件，然后检查预览并确认发送。应用使用临时副本，不修改原文件。在线聊天中的文件及其名称采用端到端加密；个人笔记中的文件保留在本地。您可以主动选择打开或导出收到的文档：在Nook之外保存或打开的副本由您选择的应用或服务处理。预览和导出可能在设备上产生临时副本。
当前位置
位置分享为可选功能。选择“当前位置”后，Nook会请求仅在使用应用期间的位置权限，并获取一个位置点，在确认前显示预览。应用不会跟踪您的移动，也不会在后台使用位置。在线聊天中的坐标和地图链接以端到端加密的文本发送。打开链接是另一项独立选择，会根据相应隐私政策将坐标传递给Google地图或处理该链接的地图应用。如果您举报该消息并明确选择附上其文本，Nook审核人员也会收到所选文本中包含的坐标。
个人背景
您可以保留Nook的原始背景，选择内置背景，或通过系统选择器选择自己的照片。照片在设备上处理，并保留在应用的本地数据中；在私人空间中，照片保存在该空间的加密存档内。背景不会上传到服务器，也不会发送给聊天参与者。它不会改变个人头像或群组照片。图库中的原图及可能存在的备份副本仍然独立保留。
私密空间由从手机上设置的秘密口令派生的密钥保护。该口令和私密存储的密钥保留在手机上。用于在线消息的设备密钥和会话令牌通过系统的安全存储工具保存。
普通会话不采用与私密存储相同的本地加密。附件预览会临时解密以供显示。原文件仍保留在图库及手机可能存在的备份中。
媒体选择使用系统图库，权限可在手机设置中管理。此版本不会导入通讯录；上文说明了通过 IP 地址推断的大致位置信息。应用未集成广告 SDK 或行为分析 SDK，不进行广告画像，也不进行具有法律效力的自动化决策。 仅针对本地提醒：提醒通知在本机运行，可自愿启用。系统仅收到不含原始信息的标识符、到期时间及通用文字，不含笔记、姓名、聊天或私密空间标记。使用设备密钥加密的本地索引保存标识符、时间及最少技术数据，使私密空间锁定时仍可保留通用通知。不注册推送令牌，也不向通知服务器发送笔记或到期时间。打开铃铛时请求权限；Android可能还需要精确闹钟权限。通知可能暴露正在使用Nook。声音、显示及准时性取决于系统设置。本机每个账户在普通和私密空间合计最多可有60条未来的有效通知。
Nook 不承诺绝对匿名、无法被发现、无法截图、等同于其他通讯协议或经过认证的安全性。Nook的加密系统未经过独立审计。以上信息说明产品局限，不排除法律赋予且不可放弃的权利。 创建传输包时属于私密的聊天在新设备上保持隐藏。其存档和私密密码不会传输，请在原设备上打开。请先更新两台设备并创建NOOK-ID2包；旧NOOK-ID1包无法导入。没有原设备或兼容的传输包，就无法恢复密钥。
服务器会验证 Apple 和 Google Play 购买记录，然后授予账号访问权限。Stripe 尚未启用。本页说明了两个商店的购买记录及恢复条件。
4. 接收方、基础设施和数据传输
Nook 服务器部署于 欧盟巴黎区域的 Supabase，用于身份认证、数据库、同步和加密附件存储。该信息仅指项目所在区域，不表示所有服务商的全部运营活动都只在欧盟境内进行。
Twilio Verify 负责发送和验证登录短信验证码。它处理收件人号码及验证所需的数据，移动运营商参与短信投递。Nook 聊天内容不会作为短信发送给 Twilio。
服务提供商及次级处理者也可能在欧洲经济区以外处理数据。数据库位于欧洲并不代表所有处理地点均在欧洲。提供商的公开文件请参阅：Supabase 数据处理协议、其 子处理者名单 以及 Twilio 隐私文档。如需了解适用于您数据的接收方、国家和保障措施，或索取现有保障措施的副本，请联系数据控制者。
支持请求经由发送方及支持邮箱所使用的电子邮件服务传递。仅在法律要求时向有关机关提供信息。内容加密不会隐藏全部服务元数据。
5. 保存与删除
本地数据保存在应用容器中，直到通过现有功能或系统将其移除。卸载可能导致密钥和私密空间的唯一副本丢失，请勿把卸载当作恢复方法。
在已更新且启用此功能的版本中，在线照片和视频按服务器时间自实际发送起48小时后过期，即使未读。服务器阻止访问，自动清理会删除加密文件，失败时会重试。新系统中未完成的上传和孤立文件将在24小时后清理。文字、说明和消息元数据按聊天和账号规则保留。文档（最大25 MiB）不适用此期限。此变更不会追溯删除旧附件。已存入相册的副本仍保留在手机上。 “仅为我删除”和“删除聊天”仅作用于当前设备 ，不会删除服务器或接收者手机上的副本。接收者的副本和图库中的原文件需另行管理。
文件到期不会自动删除所有元数据。技术媒体登记表在文件删除后仍保留账户、聊天和消息标识符、路径、大小、加密文件指纹及日期；目前没有单独的自动到期期限。它不包含可读取的照片或视频内容。
试用记录现已启用：删除账号后，同一已验证的电话号码不能再次获得30天免费试用。只要Nook仍提供30天试用，我们就会保留该号码的假名化指纹（HMAC）和首次试用开始日期；此记录不保存明文电话号码。
如需请求删除账号或数据控制者保存的数据，请发送邮件至 krelunaid@gmail.com。账号可用功能位于“账号”选项卡。我们可能需要适量信息，以核实请求确实来自账号持有人。 每个已验证的手机号仅可享受一次30天免费试用。为防止删除账号后重新开始试用，只要 Nook 仍提供这项30天试用，我们就会保留该号码的假名化指纹（HMAC）和首次试用的开始日期。此记录不包含明文号码或消息，也不会随账号一同删除。如遇错误、号码被重新分配，或需要提出有关数据的请求，请联系 Nook 支持团队。
更换或移除照片后，旧照片将无法再通过服务访问，系统会请求从存储中删除它。因错误而残留的文件会在账户永久删除前清理。这不会删除相册中的原图、已查看的副本或任何备份。
恢复记录在账户删除后继续保留，只要所购买的服务访问权限仍可恢复，即使免费试用活动结束也会保留。该记录用于验证购买归属和状态，不会恢复丢失的消息或密钥。
删除旧账户后，你可以使用与原始购买关联的同一已验证手机号码和仍然有效的真实 Apple 购买申请恢复。Nook 会向 Apple 验证购买凭证和状态，然后才向新账户授予访问权限。已退款或撤销的购买不能恢复。如验证失败，请联系支持。
删除账号后，Nook 会删除与该账号关联的购买数据，包括购买令牌。另一个私有恢复记录仍会保留，其中包含令牌哈希值、原账号及关联标识、已验证手机号的假名化指纹（HMAC）、状态和日期。HMAC 密钥与免费试用记录使用的密钥不同。此记录不含原始令牌、明文手机号、消息或聊天密钥，也没有自动到期机制。如需了解信息或提出数据请求，请联系支持团队。
删除账号后，如需恢复 Google Play 购买，请使用与原购买关联的同一已验证手机号登录，并通过相应的 Google Play 账号选择“恢复购买”。Nook 会再次向 Google 验证有效购买及其关联。原 Nook 账号必须已删除，且不能存在相冲突的购买或尝试。已退款或撤销的购买不会授予访问权限。恢复购买不会恢复消息或密钥。
支持请求和举报会在处理事项、调查滥用以及必要时维护权利的期间保留；目前没有统一的自动保留期限。删除账户标识符不一定使举报文本匿名化。日志和备份的期限及副本取决于提供商的服务；不保证立即删除每一份副本。您可以要求说明，或请求评估删除您数据的申请。
6. 你的权利
在 GDPR 规定的情况下，您可以请求访问、更正、删除、限制处理、数据可携带，以及反对基于合法利益的处理。您可以撤回已作出的同意，而不影响此前的处理。请向数据控制者提交请求：GDPR 的通常期限为一个月；因请求的复杂程度或数量，可再延长两个月，并在第一个月内告知理由。请求通常免费。身份核验必须适度：请勿发送密码、短信验证码或私钥。您也可以向以下机构投诉：意大利个人数据保护局 或有管辖权的机关。
本声明不限制适用于您情况的法律所规定的强制性权利。在英国，可能适用 UK GDPR 以及向 ICO 投诉的权利；在瑞士，可能适用 FADP 以及向 FDPIC 联系反映的途径，访问请求通常在30天内获答复。其他国家可能规定不同的权利和期限。请联系数据控制者并说明相关国家，不要发送未被要求的文件。
7. 本网站与更新
这些页面不包含表单、应用 Cookie、广告工具或分析脚本。网站托管于 Cloudflare，使用其静态页面托管服务。为提供和保护页面，Cloudflare 会处理连接技术数据，包括 IP 地址及流量信息。有关其处理活动，请查阅 Cloudflare 隐私政策。我们不在本网站使用受众分析工具。外部链接由您选择打开，并有各自的隐私声明。上方日期标识本次修订；不会追溯修改此前文本或选择。处理方式的重大变化需要适当告知，而不是对所有更新的一揽子同意。
消息通知
消息通知可用并启用时，Nook会在服务器登记设备令牌及安装和会话的技术标识符。设备专属名单允许普通聊天和群组发送通知，私密聊天被排除。Apple APNs或Google FCM接收令牌、不含原始信息的标识符和通用文字，不包含姓名、消息内容或私密空间标记。送达和显示取决于系统及服务可用性。已发送到系统的通知不一定能撤回。通知可能显示你正在使用Nook。可在应用或手机设置中停用通知。
通知注册在最后一次续期后30天到期；应用再次处于活动状态时可以续期。撤销、删除账户或令牌失效时，服务也会删除注册。队列中的通知有效期为5分钟，相关记录在7天后删除。这些期限不代表 Apple 或 Google 自身可能保留的日志期限。