SACKGRAM 隐私政策

生效日期： 2026年10月9日 · 最后更新： 2026年10月9日

第0条 概述与基本原则

0-1 本《隐私政策》解释了 Sackgram Labs, Inc.（“本公司”）在 SACKGRAM 应用程序中处理哪些信息，以及这些信息如何被处理和保护。本政策旨在清晰易懂，并基于系统的实际运行方式制定。

0-2 本公司不拥有也不运营自己的数据库服务器。提供服务所需的数据存储在 Google 的云服务（Google Cloud 和 Firebase，合称“Google Cloud”）上。

0-3 核心要点：

• 在注册时，不要求也不收集电话号码、电子邮件地址和真实姓名。
• 消息、照片、视频和文件均经过端到端加密，并仅以加密形式存储在 Google Cloud 上；本公司和任何第三方都无法读取其内容。通话音频在传输过程中也经过端到端加密，不会存储在任何地方。
• 提供服务所需的最小元数据（如连接信息、发送时间和群组名称）以本公司可读取的形式处理。详细列表见第1条。
• Everplace 房间的招牌根据本服务的性质设计为公开信息。
• 本公司不会出售用户的个人信息，也不会将其用于定向广告。

第1条 收集和存储的信息

1-1 SACKGRAM 处理的数据分为两大类：

• 受端到端加密保护（本公司无法读取）：
  • 消息文本，以及在对话中交换的照片、视频和文件，包括其文件名和格式
  • 通话音频（传输中加密，不存储）
  • 用于找回账号的密钥的加密副本，以及通过二维码迁移到新设备时传输的密钥副本（第9条）
• 不受端到端加密保护（本公司可读取以提供服务）：
  • 账号 ID、SACKGRAM ID、公钥，以及年龄验证和条款同意记录（1-2）
  • 已建立联系的用户列表及赋予他们的昵称、已加入的群组和 Everplace 房间列表、群组名称、房间内的个人资料名称（1-3、1-4）
  • 每条消息的发送信息（发送者、发送时间、消息类型、附件大小和已读状态）及通话历史记录（1-3、1-5）
  • 群组通话和 Everplace 房间通话参与者的账号 ID、房间名称，以及每位参与者的扬声器和 Voice Privacy 状态（1-5）
  • Everplace 房间的加入申请、举报和措施记录、套餐使用和订阅记录，以及通知令牌（1-4、1-6、1-8、1-10）
  • Everplace 房间的招牌信息和发布的照片（公开数据，1-7）

注：Google Cloud 在存储（磁盘）级别应用默认加密。这是独立于端到端加密的基础设施安全措施，不会限制本公司在系统级别对数据进行处理。

[账号信息]

• 1-2a 账号 ID： 首次打开应用程序时随机生成的唯一值。它不是根据用户的电话号码等个人信息生成的。
• 1-2b SACKGRAM ID： 用户在注册时设置的唯一名称。存储和管理它是为了防止重复。
• 1-2c 公钥： 提供该密钥是为了让其他用户可以向用户发送加密消息。用于解密的配对私钥仅存储在用户的设备上。
• 1-2d 年龄验证记录： 仅存储年龄段和验证结果，不存储出生日期本身。（在使用 Google Play Store 年龄信号的情况下，这包括年龄判断结果和 Google 安装 ID。）输入的出生日期仅存在于用户的设备上。
• 1-2e 条款和政策同意记录： 包括同意时间、语言设置以及确认知晓 Voice Privacy 提示的事实。

[消息、媒体与文件]

• 1-3a 消息文本和附件的内容、文件名和格式均经过端到端加密，本公司无法读取。
• 1-3b 对话参与者的账号 ID、发送时间、每条消息的类型以及附件大小可由本公司查看，以便提供服务。
• 1-3c 对于群组，会存储群组名称、每位成员在房间内的个人资料名称以及发送者姓名。这样即使成员退出后，也能保持此前的消息发送者的可识别状态。
• 1-3d 已读状态（「已读回执」）： 用于向对方展示消息何时被阅读。这可以在设置中关闭；关闭时，不会记录用户的已读状态，也不会显示其他人的已读状态。

[好友、群组与 Everplace 房间]

• 1-4a 已建立联系的用户的账号、赋予他们的昵称以及建立每次联系的时间。
• 1-4b 每个群组的成员列表。
• 1-4c Everplace 房间的顾客列表、对话历史记录（端到端加密）以及申请加入的信息。申请加入的人填写的昵称和消息以明文形式发送和存储，以便店主阅读。

[通话数据]

• 1-5a 本公司不录音通话，也无法截获或收集语音对话。
• 1-5b 一对一通话： 默认情况下，音频在设备上加密并通过中继服务器（Cloudflare）投递，因此通话的另一方无法获知用户的 IP 地址。中继服务器仅转发加密音频；它无法收听内容，也不会存储。用户可以在设置中关闭此保护；关闭时，两个设备直接连接以提升通话质量（此时使用 Google 的连接服务来查找每台设备的网络地址），通话的另一方可以获知用户的 IP 地址。为建立通话而交换的连接信息在通话结束时从 Google Cloud 删除，如果当时未被清除，也会最迟在24小时内自动删除。
• 1-5c 群组通话与 Everplace 房间通话： 音频流通过媒体服务器（LiveKit）投递。由于音频在发送前已在设备上加密，LiveKit 的服务器也无法收听内容。LiveKit 接收参与者的账号 ID、房间名称以及扬声器和 Voice Privacy 的开关状态，并用于在参与者的屏幕上显示这些信息。连接时，LiveKit 还会接收技术连接信息（IP 地址、操作系统及其版本以及设备型号）。
• 1-5d 对话中的通话记录（发起通话的一方、通话结果、通话时长，以及群组通话的最大参与人数）作为未加密的元数据存储。用户无法逐条删除通话记录，但可以在自己的屏幕上将其隐藏；隐藏的记录仍会保留在其他参与者的屏幕上。如果对话开启了自动消失计时器，通话记录会在计时器到期后与该对话的消息一起消失。对话或房间本身被删除时，通话记录也会一并删除。

[通知]

• 1-6a 如果用户允许通知，设备的通知令牌（推送令牌）及其所依赖的应用安装标识符将被存储，并通过 Google 的推送通知基础设施投递通知。
• 1-6b 推送通知仅包含房间 ID 和通话 ID 等技术信息，不包含用户名或消息内容。屏幕上显示的名称在设备本身上关联，并可通过设置中的「在通知中隐藏房间名称」选项进行控制。
• 1-6c 当有人申请加入时，Everplace 房间的店主会收到通知；当顾客被准入时，顾客会收到通知。（请求被拒绝时，不会发送通知。）

[Everplace 房间招牌（公开信息）]

• 1-7a 发布在招牌上的商家名称、说明、联系方式、地址、公告、商家类别、地区和主要照片属于公开数据。任何 SACKGRAM 用户都可以查看它们，发布的照片未经过加密。
• 1-7b 招牌照片在发布前会在设备上转换为 JPEG 格式，并清除包括位置信息在内的元数据（EXIF）。无法转换的照片不会被发布。
• 1-7c 在搜索招牌时，用户选择的筛选条件（国家、地区、商家类别和标签）会作为搜索条件发送到服务器。

[举报与措施记录]

• 1-8a 当招牌被举报时，会记录举报人的账号 ID、被举报的招牌、原因、任何附加细节和时间。该记录不会向他人披露，举报人的信息也不会提供给店主。
• 1-8b 当本公司对招牌或账号采取措施时，会记录采取措施的时间和原因。（不包含举报人的信息。）

[账号找回与安全密钥]

• 1-9a 注册通行密钥时，会存储通行密钥的公开识别信息和验证数据（注册时间和最后使用时间）。通行密钥自身的秘密数据仅保留在用户选择的设备和密码管理器中。
• 1-9b 对话找回： 启用时，用于解密对话的密钥的加密副本将存储在 Google Cloud 上。该副本只能使用用户的通行密钥（指纹、面部或屏幕解锁）进行解密，本公司不拥有能够解密它的密钥。
• 1-9c 迁移到新设备（二维码）： 旧设备使用仅包含在二维码中的一次性密钥加密账号密钥，并临时存储在 Google Cloud 上，新设备从中提取。在传输完成时，或在连续5次输入错误的确认码后，它会被立即删除。未完成的传输将在短时间内过期，其记录通常会在一天内自动删除。

[套餐与使用情况]

• 1-10a 管理订阅套餐级别（免费、试用、Silver、Gold）、购买的产品信息和到期时间。支付通过应用商店处理，本公司不直接收集信用卡信息。
• 1-10b 管理提供服务所需的数量数据，包括联系数量、群组数量、创建的邀请二维码数量、Voice Privacy 的每月累计使用时长，以及每月发送附件的体积。

[设备与连接技术信息]

• 1-11a IP 地址和连接信息在通信过程中被收集，并可能临时保存在系统运行日志中（保存期限见第6条）。
• 1-11b Google 的安全服务（Firebase App Check / Play Integrity）用于验证应用程序是否真实。这些服务仅返回应用程序真实性和设备完整性的验证结果，不会识别单个用户。

[未收集的信息与未开展的活动]

• 1-12a 本公司不会向第三方出售或出租用户的个人信息，也不会将其用于定向广告。
• 1-12b 应用程序不包含第三方广告追踪器、商业分析 SDK 或崩溃报告追踪器。因此，无需单独回应来自 Web 浏览器的“Do Not Track”信号。
• 1-12c 本公司不收集用户的实际 GPS 位置、设备联系人（通讯录）或电话号码。

第2条 处理的目的与法律依据

2-1 本公司仅出于以下目的处理信息：

• 提供服务： 投递消息、连接通话、维持好友、群组和 Everplace 房间，以及应用订阅套餐
• 安全运营服务： 诊断系统错误、防止滥用本服务，并通过应用程序真实性验证保护服务基础设施
• 处理招牌举报： 审查违反规则的招牌举报并采取适当措施
• 履行法律义务： 保存年龄验证和条款/政策同意记录（1-2d、1-2e）

2-2 根据欧盟和英国 GDPR 处理个人信息的法律依据如下：

• 履行合同（GDPR第6条第1款(b)项）： 提供服务和应用订阅套餐
• 合法利益（GDPR第6条第1款(f)项）： 确保本服务的稳定性、防止滥用，以及处理非法招牌举报
• 履行法律义务（GDPR第6条第1款(c)项）： 年龄验证和保存同意记录
• 本公司不将同意作为任何处理的唯一法律依据。

2-3 如果缺少必需的注册项目（SACKGRAM ID、密码和出生日期），则无法创建账号。除年龄验证流程外，不存在对用户产生法律效果的自动化决策。

第3条 受托处理方

3-1 为提供本服务，本公司委托以下专业服务商执行特定的数据处理。这些服务商仅在本公司的控制和指示下处理数据：

3-2 除第5条（法律要求）中所述的情况外，本公司不会向上述受托处理方以外的任何第三方提供用户信息。

第4条 跨境数据传输

4-1 本公司作为一家美国公司运营本服务，存储在 Google Cloud 上的所有信息均保存在位于美国的数据中心。数据库在 Google Cloud 位于美国的多区域内进行冗余备份，加密的附件和招牌照片存储在美国南卡罗来纳州区域（us-east1）。

4-2 群组通话和 Everplace 房间通话的音频仅通过位于美国的 LiveKit 服务器进行实时转发，不会存储在这些服务器上。一对一通话的音频仅通过距离用户最近的 Cloudflare 数据中心进行实时转发，不会存储。RevenueCat 也在位于美国的基础设施上处理订阅数据。

4-3 居住在美国以外的用户的信息在注册和使用本服务时，通过互联网传输到美国进行处理。如果用户不希望其信息被跨境传输，可以停止使用 SACKGRAM 应用程序或删除账号。（在此情况下，将无法使用本服务。）

4-4 欧盟和英国用户的数据向美国的传输基于与 Google Cloud/Firebase 的数据处理条款中包含的标准合同条款（SCC）。向 LiveKit、Cloudflare 和 RevenueCat 的传输同样受各公司数据处理协议（DPA）中规定的保护措施约束。

第5条 向第三方披露与法律调取

5-1 当产生法律义务（如有效的法院命令或有管辖权的调查机关发出的合法搜查令）时，本公司可以披露其掌握的最小限度的必要信息。披露仅限于第1条中所述的未受端到端加密保护的元数据。

5-2 消息、照片、视频、文件和通话音频的实际内容经过端到端加密，本公司不掌握解密后的原文。因此，即使应执法机关或法院的要求，本公司在技术上也无法提供这些内容。

第6条 保存期限与删除

6-1 消息和附件将被保存，直到发送者将其删除，或者为其设置的自动消失计时器到期。

6-2 删除与自动消失： 当发送者删除消息或其计时器到期时，数据将从以下所有三个位置删除：①SACKGRAM 应用程序屏幕、②发送者和接收者设备的内存与存储、以及③Google Cloud。如果接收者的设备未连接，数据将在其重新连接后立即被删除。设备上临时创建的缩略图和查看副本也会在应用程序接收到变更后立即删除，任何打开的媒体屏幕都会自动关闭。计时器到期的消息通常会在1分钟内从 Google Cloud 删除。

6-3 收到消息的用户可以在其自己的屏幕上将其隐藏，但只有发送者才能真正将其删除。被隐藏的消息在计时器到期时也会被删除。

6-4 自动消失计时器的到期时间是使用 Google Cloud 的服务器时间计算的，而不是用户设备上的时钟。

6-5 用于建立一对一通话的连接信息在通话结束时被删除，如果当时未被清除，也会最迟在24小时内自动删除。

6-6 Google Cloud 的系统运行日志（可能包含 IP 地址和账号 ID）保留30天，之后自动删除。

6-7 招牌举报及采取措施的记录在创建1年后自动永久删除。如果举报人删除其账号，其举报将立即被删除。

6-8 删除账号时立即删除的信息（「设置 → 删除账号」）：

• 账号个人资料和公钥
• 好友列表，以及其他用户的好友列表中该用户的条目
• 一对一对话及其中的所有数据（消息、媒体、文件和通话历史记录），在两位用户的屏幕上立即删除
• 群组成员身份（如果用户是群组的最后一位成员，整个群组及其数据将被删除）
• 在用户作为顾客加入的 Everplace 房间中：对话历史记录、文件、加入申请，以及封禁和举报记录
• 对于用户拥有的 Everplace 房间：招牌、照片和永久二维码链接，以及该房间的所有顾客关系数据（对话历史记录、媒体、通话历史记录和待处理的加入申请）。即使其他成员留存，房间的招牌也会被撤下，其顾客关系终止
• 账号找回数据（通行密钥的公开部分和加密的密钥副本）
• 存储在 Google Cloud 上的套餐和使用数据、通知令牌，以及创建或使用的所有邀请链接数据
• 仍有其他成员存在的群组中留存的已读状态和封禁 ID 数据
• RevenueCat 中的客户记录。对于 Google Play 订阅，自下一个账单日起的自动续订停止，且已支付的金额不予退还

（加密的媒体文件通常会在收到删除请求后几分钟内从服务器完全移除。）

6-9 账号删除后作为例外予以保留的信息：

• SACKGRAM ID： 永久保留在预留状态，不再链接到任何账号，以防止被他人滥用。
• 仍有其他成员存在的群组内的消息和文件： 以加密形式保留，以维护其他成员的对话历史记录，直到群组计时器将其移除或群组本身被删除。
• 年龄验证、条款和政策同意、Voice Privacy提示确认记录，以及账号已删除的记录： 作为遵守法律的证明自删除之日起另行保存3年，之后自动删除。
• 与用户拥有的招牌相关的举报： 自收到举报之日起保存1年，之后删除。
• 运行日志： 遵循6-6中所述的30天保存期限。
• Google Play 购买记录： 根据适用法律和 Google 的支付政策予以保存。
• 通行密钥数据： 保留在用户的设备和用户的密码管理器中，用户可从那里将其删除。

6-10 删除方法： 所有电子文件将从 Google Cloud 系统中删除，不存在本公司可以从中恢复已删除数据的备份。

第7条 用户的权利及行使方式

7-1 用户可以请求查阅、更正、删除本公司掌握的关于其个人的信息，或限制处理该等信息。根据用户居住地的法律（如 GDPR 或 CCPA），用户还可能拥有其他权利，例如数据可携权和提出异议的权利。

7-2 大多数权利可以通过应用程序的菜单（删除账号、禁用已读回执、「在通知中隐藏房间名称」，以及编辑或删除招牌）立即且直接行使。其他咨询和书面请求可发送至 info@sackgram.com，本公司将在收到后30天内予以回复。

7-3 由于 SACKGRAM 不收集电话号码或电子邮件地址，可能难以确认请求人是否为账号的合法所有者。如果无法确定所有权，本公司可能无法处理该请求。

7-4 如果对本公司处理个人信息有投诉，用户可以向居住地的数据保护机构（例如韩国个人信息保护委员会，或欧盟内的数据保护机构）提出申诉。

第8条 Voice Privacy

8-1 Voice Privacy 在音频离开设备之前，在设备内部实时转换声音。本公司不会在其服务器上收集或存储原始声音或转换后的音频。

8-2 通话期间 Voice Privacy 的状态（开/关）会实时发送给通话的另一方，并显示在其屏幕上（1-5c）。出于使用管理目的，仅记录每月累计使用时长（1-10b）。

8-3 本功能是一项改变声音音调的安全功能；它不会完全匿名化用户的说话特征（如语速、口音和语调）。

第9条 设备更换与账号找回

9-1 设备更换： 如果用户仍保留旧设备，可以通过扫描二维码，将 SACKGRAM ID、账号密钥和对话找回密钥（如果已启用）安全地迁移到新设备。好友、房间列表和消息将从 Google Cloud 重新下载到新设备。仅存储在设备上的密码和设置（如主题和字体大小）不会被迁移；用户在新设备上设置新密码。

9-2 设备丢失后的账号找回： 如果设备丢失，只有在事先注册了通行密钥的情况下才能找回账号。在使用相同密码管理器生态系统的新设备上，输入 SACKGRAM ID 并完成生物识别验证后，账号个人资料、好友和房间列表将被恢复。（支持 Android 9 或更高版本。）

9-3 对话找回： 对话找回在注册通行密钥时启用（目前首先在 Android 上提供）。如果已启用，找回账号时将恢复用户房间内的现有对话。如果已禁用，或者环境不受支持，则会找回账号个人资料，但不会恢复现有的加密对话，且无法在新设备上发送或接收加密对话。

9-4 对话找回可以在「设置 → 账号找回」中关闭。关闭时，存储在 Google Cloud 上的解密密钥副本将立即被删除；之后如果设备丢失，对话将无法找回，且无法在新设备上发送或接收对话。该功能可以随时重新开启。

9-5 如果设备丢失且未注册通行密钥，包括用户和本公司在内的任何人都无法找回账号。

9-6 被发送者删除的消息或媒体，或者因计时器到期而被移除的消息或媒体，在任何情况下都无法找回。

第10条 儿童隐私（18周岁及以上）

10-1 SACKGRAM 是一项面向18周岁及以上成年人的服务，本公司不会故意收集或处理未满18周岁个人的个人信息。

10-2 用户是否满18周岁是通过注册时输入的出生日期来验证的。本公司不要求提供身份证明文件等过度的个人信息。（在某些 Android 设备上，使用 Google Play Store 的年龄信号。）

10-3 如果获悉未成年人创建了账号并正在使用本服务，请发送电子邮件至 info@sackgram.com。经过验证程序后，本公司将根据第6条终止账号并删除相关信息。

第11条 安全措施

11-1 本公司对所有对话内容和通话音频应用端到端加密。解密所需的私钥存储在设备上受 Android Keystore 保护的安全存储中，并排除在设备备份之外。

11-2 Google Cloud 上的数据库应用严格的访问控制规则（Security Rules），以便只有经过身份验证的用户才能访问其自己的数据和其所属房间的数据。

第12条 本隐私政策的变更

12-1 本隐私政策变更时，顶部的“最后更新”日期将被更新，对用户产生实质性影响的变更将在生效前通过应用内通知或类似方式事先公告。

12-2 本政策可能提供多种语言版本。如果语言版本之间存在解释不一致的情况，应以英文版本为准。

第13条 隐私事务联系人与代表人

• 公司名称： Sackgram Labs, Inc.
• 地址： PO Box 40401, North Charleston, SC 29423, USA
• 联系电子邮件： info@sackgram.com

隐私事务联系人：

• 职务： Chief Executive Officer (CEO)
• 联系方式： info@sackgram.com

欧盟和英国代表人：

• 欧盟代表人（GDPR 第27条）： Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Vienna, Austria
• 英国代表人（UK GDPR 第27条）： Prighter Ltd, 20 Mortlake High Street, London, SW14 8JN, United Kingdom
• 欧盟法定代表人（《数字服务法》（DSA）第13条）： Prighter DSA GmbH (FN 503213 w), Schellinggasse 3, 1010 Vienna, Austria

如需联系我们的代表人，请使用 Prighter 信任中心（Trust Center）：https://app.prighter.com/portal/18096734485

第14条 面向巴西用户的补充信息（LGPD）

14-1 对于居住在巴西的用户，个人信息的处理还受巴西《通用数据保护法》（Lei nº 13.709/2018，"LGPD"）管辖。本条在本政策其他条款之外一并适用。

14-2 根据 LGPD 第7条处理个人信息的法律依据如下：

• 履行合同（LGPD第7条第V项）： 提供服务和应用订阅套餐
• 合法利益（LGPD第7条第IX项）： 确保本服务的稳定性、防止滥用，以及处理非法招牌举报
• 依法行使权利（LGPD第7条第VI项）： 保存年龄验证和同意记录
• 本公司不将同意（LGPD第7条第I项）作为任何处理的唯一法律依据。

14-3 根据 LGPD 第18条，居住在巴西的用户可以向本公司请求以下事项：

• 确认是否存在处理
• 访问其个人信息
• 更正不完整、不准确或过时的信息
• 对不必要、过度或违反 LGPD 处理的信息进行匿名化、封锁或删除
• 根据 ANPD 的规定，将其信息转移至其他产品或服务提供者
• 删除基于其同意而处理的个人信息（LGPD 第16条规定的情形除外）
• 关于本公司与之共享其信息的公共和私营实体的信息（参见第3条的数据处理者）
• 关于可以不提供同意以及拒绝同意的后果的信息
• 撤回同意（LGPD第8条第5款）

提出请求的方式和身份核实程序与第7条（7-2、7-3）相同。

14-4 居住在巴西的用户有权就其个人信息针对本公司向巴西国家数据保护局（ANPD）提出申诉（LGPD第18条第1款）。

14-5 如第4条所述，居住在巴西的用户的个人信息会被传输至美国并在美国处理。该跨境传输之所以进行，是因为其为履行用户作为一方当事人的合同所必需（LGPD第33条第IX项，并结合第7条第V项）。

14-6 数据保护负责人（Encarregado，LGPD第41条）：

• 姓名： Eric Yi
• 职务： Chief Executive Officer (CEO)
• 联系方式： info@sackgram.com