隐私政策

CMFI Connect 的发布者是 Communauté Missionnaire Chrétienne Internationale（BP 6090，Cameroun），也是你的数据的控制者。

如对你的数据有任何疑问，或想行使你的权利，请发邮件至 [email protected] 联系我们。

我们只处理应用运行所必需的数据：

• 你的账户：名、姓、手机号（用于登录）、邮箱地址（选填）、用户名和密码。密码经过哈希处理（bcrypt）后保存，任何人都无法还原读取，包括我们自己。
• 你的个人资料：国家、城市、教会和聚会点。
• 你的头像（选填）：你可以用相机拍摄，或从相册中选择，然后在应用中裁剪。头像保存在 CMFI Connect 的服务器上，照片的元数据（例如拍摄地点）会被删除。你可以随时在应用中更换或移除头像；删除账户时，头像也会一并删除。
• 你的每日汇报：你记录的项目（读经、祷告时间、禁食……），包括你自己创建的项目，以及对应的数量、时长和你的笔记；如果你设定了每日目标，还包括每天的达成百分比。
• 你的祷告生活：你完成的 15 分钟祷告（日期和时段）、你为之祷告过的团契代祷事项要点、你的祷告名单（你在其中写下的姓名和备注，以及蒙应允的祷告），以及你的恒切祷告事项（标题、说明、目标、宣告次数、受邀者）。
• 你的属灵带领者：你手动填写之人的姓名、电话号码和邮箱。如果你通过用户名添加某位成员，还包括你们两个账户之间的关联、对方的答复，以及你是否与其分享你的汇报。
• 你的活动报名信息：人数、是否需要住宿以及出发城市。
• 你的通知：你手机的推送令牌、手机系统（Android 或 iOS）和应用语言；你收到的公告以及你是否已读。
• 你的 Premium 订阅（如果你订阅）：订阅状态和购买记录，由 RevenueCat 连同你的账户编号保存。我们永远看不到你的银行卡信息。
• 崩溃报告：应用崩溃时，关于错误和你手机的技术信息（见「为我们提供帮助的服务」）。
• 对于管理员：他们为团契发布的活动、海报、动态、照片、代祷事项和公告。
• 技术数据：安全保存在你手机上的登录令牌，以及用于安全目的的服务器日志（IP 地址、日期、请求）。

你的汇报、祷告生活、属灵带领者、活动报名、教会和聚会点会反映你的信仰。法律将其列为敏感数据（《通用数据保护条例》第 9 条）。我们处理这些数据的依据是：

• 你的明确同意：是否填写由你决定，哪些属灵带领者能看到你的汇报也由你决定；你可以随时删除这些数据，或停止这种分享；
• Communauté Missionnaire Chrétienne Internationale 作为宗教组织、为其成员及与其保持经常联系的人开展的正当活动（《通用数据保护条例》第 9 条第 2 款 (d) 项），未经你同意，绝不向外部提供。

这些数据绝不会被出售，也不会用于广告。你的汇报是你与神同行的个人工具：除你之外，只有你与之分享的属灵带领者能看到（见「谁可以看到你的数据」）。

• 你手机的位置（GPS）、联系人或通讯录、日历。
• 没有任何广告、广告追踪器或广告标识符。
• 没有任何统计分析或受众测量工具：只有应用崩溃会被上报，以便修复。
• 你的银行卡：付款通过 App Store 或 Google Play 完成。

• 让你选择使用的应用正常运行：你的账户、汇报、诗歌、祷告、活动以及你的属灵带领者。依据：履行我们的使用条款；属灵数据的依据见上文。
• 向你选择分享的属灵带领者展示你的汇报，让他们在属灵道路上陪伴你。依据：你在选择这些属灵带领者时给予的明确同意；你可以随时在每位带领者的卡片上分别撤回。
• 组织你报名参加的团契活动。依据：履行使用条款。
• 通过通知向你发送负责人的公告。依据：你在允许通知时给予的同意；你可以在手机设置中撤回。
• 管理你的 Premium 订阅，并在你提出要求时重置你的密码。依据：履行使用条款。
• 修复崩溃，保护应用及其用户，防止滥用和欺诈性访问。依据：我们提供可靠、安全的应用的正当利益。
• 回答你的问题，处理你的请求，并履行我们的法律义务。

• 你自己：与你账户有关的一切。
• 你的汇报：你自己，以及你与之分享的属灵带领者（见下一条）。管理员无法查看。如果你亲自把汇报发给你的属灵带领者，他们会收到你发送的内容（见下文）。
• 作为应用成员的属灵带领者：当你通过用户名找到某位成员，选择其作为你的门训者或其他属灵带领者，并且对方接受后，对方就能看到你的汇报：每天填写的项目及其数值（数量、时长）、你的规律性（填写天数、连续天数）、每日目标的达成百分比，以及已填写项目的百分比。但绝不会看到你的今日笔记。选择该带领者后，这种分享会自动开启；你可以随时在应用中该带领者的卡片上（「分享我的报告」）分别停止分享，或将其移除。手动填写的属灵带领者不会通过应用收到任何内容。
• 你的祷告名单：只有你自己。为某人祷告，写上名字和姓氏首字母就够了。
• 恒切祷告事项：你邀请的人能看到事项的标题、说明、总数以及正在祷告者的名字，但绝不会看到你本人的宣告次数。对于团契代祷事项，只显示祷告的人数，绝不显示他们的名字。
• 其他成员：通过你的用户名，只能看到你的资料卡（姓名、头像、教会、聚会点），绝不会看到你的手机号或邮箱。
• 你的头像（如果你设置了）：在显示你名字的地方（恒切祷告事项、邀请、属灵带领者等），其他成员都能看到它，管理员也能看到。管理员可以移除不当的头像。
• 你请求陪伴你的人，会看到你的请求（姓名、用户名、教会、聚会点）。如果对方接受，你就能看到对方的电话号码和邮箱；只要你与其分享，对方也能看到你的汇报（见上文）。
• 你报名参加的活动的管理员：为组织该活动，可以看到你的姓名、用户名、手机号、教会、聚会点和你的回答。
• 应用的管理员：他们管理角色、活动、代祷事项和公告。为了定向发送公告，他们只能看到符合某个国家、城市、教会或聚会点的成员人数，绝不会看到你的汇报、名单或属灵带领者。
• 我们的技术服务商：仅代表我们处理数据（见下一节）。

我们绝不出售、出租或交换你的数据。

应用的运行依靠几项外部服务。每项服务都依据合同代表我们行事，且仅限于此处所述的用途：

• 托管：Cloudflare, US 运行我们的服务器和数据库。
• 通知：Firebase Cloud Messaging（Google）。如果你允许通知，我们的服务器会保存你手机的令牌、手机系统和应用语言。当管理员发送公告（发给所有人，或根据个人资料发给某个国家、城市、教会或聚会点的成员）时，Google 会把公告的标题、正文和图片送到你的手机。你退出登录时，令牌会被移除。
• 崩溃报告：Firebase Crashlytics（Google）。应用崩溃时，会发送错误的技术细节、应用版本、手机型号和系统、一个随机生成的安装标识符，以及（如果你已登录）你的账户编号：绝不会发送你的姓名、手机号或汇报。开发版本不会发送任何内容。Google 会将这些报告保留 90 天。
• Premium 订阅：你使用 App Store（Apple）或 Google Play（Google）账户购买。RevenueCat 负责验证购买并保存你的订阅状态及账户编号，以便在另一部手机上恢复。我们和 RevenueCat 都看不到你的银行卡信息。

这些服务有各自的隐私政策：Google（policies.google.com/privacy）、RevenueCat（revenuecat.com/privacy）、Apple（apple.com/legal/privacy）。

Google 和 RevenueCat 是美国公司：你的部分数据可能会在美国或其他国家处理。这些跨境传输受到法律规定的保障措施约束，例如欧盟—美国数据隐私框架或欧盟委员会的标准合同条款。

我们的服务器位于 Cloudflare, US。

使用「发送给我的属灵长辈」（在「设置」中）时，应用会按你选择的频率，在你的手机上准备好这段时间的汇报，以消息或 PDF 的形式。这种发送与「谁可以看到你的数据」中所述的应用内分享是分开的。

• 在这里，不会自动发出任何内容：由你本人通过 WhatsApp、邮件或手机的分享功能，发给你选择的属灵带领者。之后，消息遵循你所使用服务的规则。
• 这项设置和最近 12 次发送的记录保存在你的手机上，不经过我们的服务器。
• 导出（PDF、表格或消息）也是如此：文件在你的手机上生成，由你决定交给谁。

你的数据由 Cloudflare, US 托管。

只要你的账户存在，我们就会保存这些数据。你删除账户后，这些数据会立即从我们的数据库中删除，并在 30 天内从备份中删除。在删除之前已被组织者导出的报名名单，由该组织者负责。

在我们的服务商处：崩溃报告在 90 天后删除；你的购买记录按 Apple 或 Google 的规则保留在其处，并以你的账户编号（不含姓名）保留在 RevenueCat。

• 你最近的汇报、祷告名单以及你打开过的活动会在手机上保存一份副本，以便在没有网络时使用。退出登录时，这份副本会被删除。诗歌本和活动图片也会保留在手机上：其中不含任何个人信息。
• 有些内容永远不会离开你的手机：你的每日目标（只有每天的达成百分比会随汇报一起发送）、收藏和最近打开的诗歌、你的设置（语言、外观、阅读、提醒）以及发送给属灵带领者的设置。
• 登录令牌保存在手机的安全存储区中（iPhone 上的钥匙串，Android 上的 Keystore）。
• 提醒（晚间提醒、活动前提醒、祷告时间提醒、发送汇报提醒）由你的手机自行安排。只有负责人的公告通过 Firebase Cloud Messaging 发送。
• 主屏幕小组件（Premium）显示你今天的完成情况和目标。它在你的手机上计算，退出登录时会被清空；看得到你屏幕的人也能看到它。
• 「添加到日历」会打开你手机上的日历应用，我们不会读取你的日历。
• 相机和照片访问权限仅用于选择你的头像，以及供管理员选择要发布的图片。应用只能看到你拍摄或选中的照片。

与我们服务器之间的通信经过加密（HTTPS），密码经过哈希处理，登录令牌保存在手机的安全存储区中，管理功能的访问权限按角色加以限制。

你可以随时：

• 在应用中查看并更正你的信息（个人资料、头像、用户名、属灵带领者、汇报）；
• 导出你的汇报（PDF、表格或文本）；
• 通过应用或「删除我的账户」页面，删除你的账户及其全部数据；
• 撤回你的同意：在手机设置中关闭通知，停止与某位属灵带领者分享你的汇报（在其卡片上），删除某个项目、名单中的某个人或某位属灵带领者，或删除你的账户。撤回不影响此前已进行的处理；
• 发邮件至 [email protected]，向我们索取常用格式的数据副本（数据可携带），要求更正、删除或限制处理你的数据，或反对基于我们正当利益的处理。

我们会在 30 天内答复。你也可以向你所在国家的数据保护机构提出投诉。

本应用面向 13 岁及以上的用户。年龄更小的儿童，只有在征得父母同意并由父母负责的情况下才能使用。如果你所在国家的法律规定了更高的自主同意年龄（某些国家为 16 岁），则以该年龄为准。

父母可以发邮件至 [email protected]，代孩子行使权利或要求删除其账户。

如果本政策发生重大变更，我们会在应用中或本页面上通知你。最后更新日期显示在页面顶部。