本隐私政策（以下简称"政策"）描述了DAPFOR SAS（以下简称"服务提供商"、"我们"）如何收集、使用、存储和保护Zestly服务（以下简称"服务"）用户的个人数据。服务可通过网站https://zestly.org (https://zestly.org)及移动应用程序访问。
版本 2.2 — 2026年9月20日发布并生效
本政策依据《通用数据保护条例》（GDPR）（EU 2016/679）、法国《信息与自由法》以及适用情况下的《加利福尼亚州消费者隐私法》（CCPA）制定。
数据处理责任方为DAPFOR SAS，地址：26 rue Hector Berlioz, 92500 Rueil-Malmaison, 法国。 如有任何数据相关问题，请通过以下方式联系我们：info@zestly.org
• 账户数据：姓名、电子邮件地址、密码（已加密）
• 个人资料数据：偏好设置、参数
• 教育内容：您上传的文档和图片
• 生成内容：测验、问答、考试、摘要及结果
• 通讯内容：支持请求及往来通信
• 语音数据：通过语音输入功能上传的音频录音（用于转录），实时处理，Zestly不会长期存储
• 学习卡片会话数据：学习卡片会话历史、提交的答案、得分及学习进度
• 推荐/联盟计划数据：适用于申请或参与推荐/联盟计划的用户 — 联系方式、推广渠道、付款方式（PayPal 邮箱、银行信息）
• 书面作业：您提交的（或素材所有者代其群组成员提交的）手写答题页的照片或扫描件、其转写内容，以及生成的评语和总结 — 见第2.4节
• 公开候选人数据：当您在没有账户的情况下使用通过公开链接分享的内容时，您的答案和结果关联到您设备的技术标识符，而非账户
• 设备数据：设备类型、操作系统、浏览器类型、设备唯一标识符、推送通知令牌（APNs或FCM，如您启用通知）
• 使用数据：使用的功能、花费时间、执行的操作
• 连接数据：IP地址、访问时间、浏览的页面
• 位置数据：基于IP地址的大致位置（仅限国家/地区级别）
• 使用计数器：按内容类型统计的创建数量、剩余额度单位、上次授予日期和累计使用量；连接计数器（设备、平台、首次和最近一次使用、活跃天数和小时数）
• 营销归因数据：保存在您浏览器本地存储中的技术标识符（设备标识符，以及在适用情况下首次访问时记录的推荐代码）；每一次通过推荐链接或材料公开页面到达的记录：设备标识符、IP 地址、日期时间、来源类型
• 身份验证提供商：如果您通过Google或Apple登录，我们将收到您的姓名和电子邮件地址
• 支付提供商：Stripe、Apple或Google提供交易确认（我们不接收或存储您的银行卡数据）
使用"书面作业"格式时，您拍摄或扫描手写填写的答题页并提交给本服务。这些图像属于个人数据：包含您的笔迹、您的答案，以及您在页面上可能写下的任何其他内容。
• 处理：每一页都传输给我们的人工智能服务提供商（第5.1节），由其转写手写文本并根据素材的参考答案评估答案；第二步处理生成总体评语。图像不用于任何其他目的。
• 不通过笔迹识别身份：手写文本仅用于识别其内容。不用于识别或验证个人身份，不进行任何生物特征处理，也不用于训练任何笔迹识别模型。
• 数据主体：书写答案的人。如果是家庭群组或班级群组中的未成年成员，则由拥有该素材的家长、监护人或教师负责提交页面及相应的同意（第9节）。
• 访问：已提交的作业仅对其作者、素材所有者和相关群组的共同管理者可见。页面图像通过不可预测的技术地址托管在我们的服务器上，这些地址绝不公开、不可索引，且仅告知授权账户；但持有该地址的任何人都可以打开文件（第5.2节）。书面作业的公开链接仅提供空白答题纸和提交表单。
• 保存：图像和结果在素材和作者账户存续期间保留，随后随其一并删除（第7节）。
我们处理您的数据是为了：
• 提供、维护和改进服务
• 创建和管理您的账户
• 处理订阅和付款
• 生成个性化教育内容
• 允许与其他用户分享测验和考试
• 发送与服务相关的通讯
• 回复支持请求
• 确保安全并防止欺诈
• 履行法律义务
• 分析使用情况并改善用户体验（使用匿名/汇总数据）
• 向您的设备发送推送通知（仅在您明确同意的情况下）
• 优化您的学习卡片体验（针对未掌握卡片的自适应复习）
• 允许群组所有者追踪成员的学习进度
• 转写和评估提交的书面作业并生成其总结
• 自动检测上传图片和输入主题中明显违法的内容（审核）
• 提供示例库并统计其使用情况
• 向您告知本服务的更新和合同文件的变更（应用内公告和推送通知）
我们依据以下法律依据处理您的数据：
• 合同履行：为提供您所要求的服务
• 法律义务：为遵守适用法律
• 合法利益：为改进和保障服务、防止欺诈
• 同意：用于可选通讯或法律明确要求的情形
• 监护权持有人的同意：用于在家庭群组或班级群组中处理儿童的数据，包括手写的书面作业（第9节）
• 合法利益：用于自动内容审核，以保护用户和未成年人，并履行我们对应用商店的义务
我们与可信赖的服务提供商共享数据：
• 托管服务：Scaleway SAS（法国/欧盟）——服务器和数据存储
• 人工智能：设立于美国的生成式模型服务提供商（文本、视觉、语音识别与合成），依据欧盟标准合同条款——分析您的文档并生成测验、考试、摘要和学习卡片；考试对话与评估；手写页面的转写与评估；您的语音录音的转录以及内容的朗读。音频录音实时传输，处理完成后不予保留。对于家庭群组内儿童成员的个人资料，我们仅使用其条款排除将内容用于训练其模型、并将保留期限限制为30天（仅用于滥用监控，法律或安全原因除外）的服务提供商。现行分处理者的具名清单可应要求提供（第8.3节）
• 自动内容审核：设立于美国的自动分类服务提供商——分析上传的图片（在存储之前）和输入的主题，以检测明显违法的内容；仅保留分类结果
• 邮件发送：Resend（或自托管 SMTP）— 事务性邮件（登录验证码、邀请、通知）
• 支付：Stripe, Inc.——网页支付处理
• 应用分发：Apple Inc.、Google LLC——应用商店服务
• 身份验证：Google、Apple——如您使用社交登录
• 推送通知：Apple Inc.（APNs）和Google LLC（Firebase Cloud Messaging / FCM）——推送通知分发；您设备的识别令牌将为此目的被传输
• 分析：使用情况和营销渠道归因数据（来源网址、活动/UTM 参数、浏览页面）— 用于了解哪些渠道带来了访问者；如果您已登录，可能会与您的账户相关联
当您分享测验、考试或学习卡片时：
• 接收方可以查看内容及其结果
• 您控制谁可以接收共享内容
• 公开链接使任何拥有该链接的人都可访问内容
在协作群组范围内：
• 群组所有者和联合管理员可以查看所有群组成员的结果、得分及学习进度
• 群组成员只能查看自己的结果
• 发送邀请时，收件人的电子邮件地址将用于创建或找到相应账户
对于书面作业：
• 素材所有者和群组共同管理者可以看到群组成员提交的作业，包括页面图像、转写内容和评语
• 通过公开链接提交的作业对其作者和素材所有者可见
• 任何书面作业都不会被公开、列出或被索引；页面图像通过不可预测的技术地址提供——持有该地址的任何人都可以打开文件，但这些地址既不公开也不可索引，且仅告知授权账户（第2.4节）
对于示例库： 目录中的素材是公开的；您对素材的使用（结果、会话）仍关联到您的账户，或在没有账户时关联到您设备的技术标识符，且仅对您可见。
如法律要求、法院命令或为保护我们的权利、安全或财产，我们可能会披露数据。
在合并、收购或资产出售的情况下，用户数据可能转移至继承实体。
我们绝不将您的个人数据出售给第三方。
当您通过合作伙伴计划成员的链接或材料到达并随后订阅时，该合作伙伴会在其面板中看到：您的名字加姓氏首字母、您账号中已有的头像、您的订阅开始日期以及他所得佣金的金额。您的电子邮件地址、全名和支付信息绝不会提供给他。
该合作伙伴还会看到按来源分类、涵盖最近三十天的汇总计数，即打开过其链接和材料的不同设备数量；这些计数无法用于识别您本人。
此项提供的法律依据是合作伙伴与我们在衡量并酬谢订阅者引荐方面的合法利益。您可以来信提出反对（第8.3节）。
您的数据主要存储在欧盟境内。当数据传输至欧盟境外时（例如传输至总部位于美国的服务提供商），我们将确保提供适当的保障措施：
• 欧盟标准合同条款
• 欧盟委员会的充分性决定
• 适用时的约束性公司规则
| 数据类型 | 保留期限 | |------------------------------------|--------------------------------------------------------| | 账户数据 | 账户存续期 + 删除后30天 | | 教育内容 | 至用户删除或随账户一并删除；立即变为不可访问，随后在下一次清理已停用数据时擦除 | | 生成内容 | 至用户删除或随账户一并删除；立即变为不可访问，随后在下一次清理已停用数据时擦除 | | 共享测验结果 | 至内容所有者删除 | | 连接日志 | 12个月 | | 账单信息 | 10年（法定义务） | | 支持通讯 | 3年 | | 推送通知令牌 | 账户存续期 + 删除后30天 | | 语音数据（音频） | 不予存储——仅实时处理 | | 学习卡片会话历史 | 至用户删除或随账户一并删除；立即变为不可访问，随后在下一次清理已停用数据时擦除 | | 书面作业（页面图像、转写内容、结果） | 直至素材或作者账户被删除 | | 考试对话记录 | 考试结束后90天（总结仍与考试关联保留） | | 应用内通知 | 90天 | | 自动审核结果 | 账户存续期 + 12个月 — 用于识别重复违规并答复主管机关的请求 | | 账户删除登记（电子邮件地址） | 最后一次删除后3年 — 仅用于执行账户删除次数限制 | | 使用和连接计数器 | 账户存续期间 — 随账户一并删除 | | 营销归因数据（到达记录、来源、广告活动参数） | 12 个月 |
您有权：
• 访问您的个人数据
• 更正不准确的数据
• 删除您的数据（"被遗忘权"）
• 限制处理
• 数据可携带性（以机器可读格式接收您的数据）
• 反对基于合法利益的处理
• 随时撤回您的同意
• 向CNIL（法国数据保护机构）提出申诉：https://www.cnil.fr (https://www.cnil.fr)
加利福尼亚州居民有权：
• 了解收集了哪些个人信息
• 要求删除个人信息
• 拒绝出售个人信息（我们不出售数据）
• 在行使隐私权时不受到歧视
如需行使您的权利，请通过以下方式联系我们：info@zestly.org
我们将在30天内作出回应（或依据适用法律规定的期限）。在处理请求前，我们可能需要验证您的身份。
未成年人可以通过父母或法定监护人管理的成员个人资料（家庭计划）或由教师管理的班级群组使用本服务：作为群组所有者的成年人创建或邀请孩子的个人资料，给予收集同意并监督孩子数据的处理。未满13岁的儿童仅可通过此类个人资料使用本服务；在此范围之外，我们不会有意收集13岁以下儿童的数据。如果您认为我们在此范围之外收集了此类数据，请立即与我们联系。
数字同意年龄。 如适用法律规定的数字同意年龄高于13岁——法国为15岁（法国《信息与自由法》第45条）——则在该年龄以下，以同意为基础的处理由监护权持有人与未成年人共同给予同意。对于独立使用本服务的13至17岁用户，视司法管辖区可能需要该同意；父母仍负责管理子女的数据。
人工智能服务提供商。 儿童在家庭群组个人资料中自身产出的内容——口试对话、测验和卡片的回答、手写页面——仅委托给其条款排除将内容用于训练其模型并将保留期限限制为30天（法律或安全原因除外）的服务提供商（第5.1节）。
儿童的书面作业。 在最常见的情形下，儿童手写答案，由成年人（家长、监护人或教师）拍照并提交页面，或由儿童从自己的成员资料提交。数据主体是儿童；对图像及其转写的处理（第2.4节）的同意由监护权持有人给出，或在班级群组中由教育机构按照使用条款第2条的条件给出。仅由拥有素材的成年人决定是否启用书面作业的公开链接；该链接仅提供空白答题纸。指向已提交页面和结果的链接仅向授权账户提供，二者均绝不会被公开或被索引；页面图像本身可被持有其技术地址的任何人打开（第5.2节）。
教育机构。 将未成年学生加入班级群组的教师和机构声明其已获得适用法律对此类处理所要求的授权；在需要监护权持有人同意的情况下，教师加入学生不能替代该同意。
我们实施适当的技术和组织措施：
• 传输过程中（TLS）和静态存储的数据加密
• 密码的安全哈希处理
• 访问控制和身份验证
• 定期安全评估
• 数据保护员工培训
• 事件响应程序
没有任何系统是绝对安全的。如果您发现安全漏洞，请向以下地址报告：info@zestly.org 发行方的授权人员可在提供支持或打击滥用的范围内访问账户，并以用户所见的方式查看该账户；每次此类访问均被记录。
我们使用必要的 Cookie 用于：
• 身份验证和会话管理
• 安全与防欺诈
• 记住您的偏好设置
我们还使用您浏览器的本地存储（而非 Cookie）来保存设备技术标识符——它可将试用额度归属于同一台设备等——以及在适用情况下首次访问时记录的推荐代码。该代码会保存至您订阅为止。
此外，我们在服务器上记录进入本服务的到达情况，用于受众衡量和营销归因（第2.2节），包括通过推荐链接或材料公开页面的到达。这些记录按第7节所载期限保存。
我们不使用广告 Cookie，也不为广告目的进行第三方跟踪，且不会将这些数据提供给广告联盟。
服务可能包含指向第三方网站的链接。我们对其隐私保护措施不承担责任。在提供个人数据之前，请查阅其隐私政策。
我们可能会定期更新本政策。重大变更将通过电子邮件或应用内通知告知。收到通知后继续使用即视为接受。
当前版本始终可在以下地址查阅：https://zestly.org/legal/privacy (https://zestly.org/legal/privacy)
本政策可翻译成多种语言。如有歧义，以法语版本为准。
如有隐私问题或需行使您的权利：
DAPFOR SAS 26 rue Hector Berlioz 92500 Rueil-Malmaison, 法国 电子邮件：info@zestly.org
您可以随时在应用或网站的个人资料 (/profile)页面（"删除账户"按钮）删除您的账户，或写信至 info@zestly.org。删除立即生效：无法再登录该账户，电子邮件地址与账户解除关联。
立即删除的内容： 您的个人资料和偏好设置、身份验证凭据、通知、摘要、群组成员身份（群组所有者会收到通知）以及您拥有的群组，其成员相应失去访问权限。 您的使用计数器和连接计数器也会一并删除。 与您账号关联的营销归因数据也会一并删除。
立即停用随后永久删除的内容： 您的素材、上传的文档、测验、考试、学习卡片会话和书面作业在删除时即无法访问，随后在第7节规定的期限内从我们的服务器上清除（账户数据最迟在删除后30天，各类内容按其规定期限）。与您的素材关联的公开链接停止工作。
保留的内容： 账单信息和付款凭证（10年，法律义务）；连接日志（12个月）；删除登记中的电子邮件地址记录，仅用于限制同一账户连续删除和重建的次数（第7节）；其他用户对示例库素材所做的副本；通过 Apple 或 Google 订阅的订阅，仍由这些商店管理，可关联到新账户。
删除家长或教师账户将关闭其拥有的群组；与这些群组关联的成员（子女、学生）内容按同样方式处理。成员保留自己的账户。
如需对账户删除未涵盖的数据行使删除权，请写信给我们（第8.3节）。
• 版本 2.2 — 2026年9月20日：人工智能分处理者按类别列明及对儿童个人资料的保障要求（第5.1、9节）；数字同意年龄（第9节）；书面作业页面图像的访问（第5.2、9节）；内容保留期限与账户存续期保持一致（第7节）。
• 版本 2.1 — 2026年9月20日：新增营销归因数据（第2.2、7、11、16节）、合作伙伴计划成员可以看到的与您有关的信息（第5.5节），以及浏览器本地存储的说明（第11节）。
• 版本 2.0 — 2026年9月20日：新增手写书面作业（第2.1、2.4、3、4、5.1、5.2、7、9节）、自动内容审核（第3、4、5.1、7节）、示例库（第3、5.2节）、应用内公告（第3节）、授权人员访问（第10节）以及"账户和数据的删除"一节（第16节）、使用计数器和连接计数器（第2.2、7、16节）；引入版本号和本修订历史。
• 版本 1.x — 2026年5月：引入修订历史前的最后一次修订。
使用本服务即表示您确认已阅读并理解本隐私政策。
