隐私政策
Rupa 是由 Indise LLC（“我们”）开发的 iPhone 照片编辑 App。本政策说明 Rupa 使用哪些数据、数据去往何处以及保留多久。
简要说明
- 大多数工具完全在你的 iPhone 上运行。用这些工具编辑的照片绝不会被上传。
- 只有当你启动云端 AI 工具并在同意页面中同意时，照片才会离开你的 iPhone。照片会以较小的 JPEG 格式发送，不含位置信息或其他元数据。
- 云端照片在不再需要时，Rupa 会立即将其从自己的服务器删除，且始终在 24 小时内删除。部分运行模型的 AI 合作方会将副本保留更久：Google 可能为防止滥用而将 AI 改图的照片保留最多 55 天。各工具的详情见第 3 节。
- Rupa 绝不使用你的照片训练 AI。我们绝不出售你的数据，也绝不为广告目的分享你的数据。
- 无需账户，没有广告，没有追踪，不使用广告标识符。
1. 我们是谁
Indise LLC 对 Rupa 处理的数据负责（即“控制者”）。无论你身在何处，如有任何隐私问题或请求，请通过 dimonzalis@gmail.com 联系我们，或致函 Indise LLC, 1110 Brickell Ave #400, Miami, FL 33131, USA。
2. 留在你 iPhone 上的工具
修脸修身与塑形、一键焕颜、磨皮、自由塑形、背景虚化与去背景、人脸打码、裁剪、光线、滤镜、模板、Rupa 相机以及“照片”App 中的 Rupa 均在你的 iPhone 上运行。这些工具可离线使用。为应用这些效果，Rupa 会在你的设备上使用 Apple 的 Vision 框架来识别人脸、面部特征点、身体姿态和轮廓。这些特征点和蒙版仅用于应用你选择的编辑。它们绝不会离开你的 iPhone，绝不会被记录，也绝不会被用于识别任何人。Rupa 不会创建人脸模板或任何其他生物识别标识。
你的编辑、历史记录和设置保存在你 iPhone 上 Rupa 的私有存储中。保存的照片会以原始分辨率存入你的照片图库，并移除位置信息。
3. 云端 AI 工具
少数工具需要的算力超出手机的能力：画质增强、老照片修复、消除物体（包括去文字）和 AI 改图。它们在云端运行，且只有在你于首次云端编辑前 Rupa 显示的同意页面中同意后才会运行。如果你拒绝，所有手机端工具仍可继续使用。
当你开始一次云端编辑时：
- 发送的内容：仅限你正在编辑的照片，经缩小并保存为 JPEG，已移除位置信息和其他元数据（EXIF）。对于消除物体和去文字，标记要移除区域的蒙版也会一并发送。对于 AI 改图，你输入的文字也会一并发送。
- 发送去向：先发送到我们在 Google Firebase 上的后端（Google Cloud，新加坡区域 asia-southeast1），再发送到我们的 AI 服务提供方 fal.ai（Features & Labels, Inc.，美国）。画质增强和老照片修复由 fal.ai 自行运行。对于消除物体和 AI 改图，fal.ai 会将照片转交给开发该模型的公司（见下文）。
- 内容审核：编辑前，照片会由 fal.ai 与一家合作方共同运行的模型自动进行违禁内容（例如色情内容）审核。被拦截的照片会立即删除，且该次编辑不计次数。结果也会以同样方式审核；被拦截的结果会被删除，该次编辑同样不计次数。
- 我们这边的删除：处理完成后，你的原图会立即从我们的存储中删除。Rupa 将结果下载到你的 iPhone 后，结果会立即删除。任何未被下载的内容都会自动删除，因此每张云端照片都会在上传后 24 小时内从 Rupa 的服务器删除。该存储的版本控制和“软删除”均已关闭，因此已删除的照片无法恢复。
- 在 fal.ai：每次请求时，我们都会要求 fal.ai 不在其请求历史中保存该请求及其结果，并在一小时内删除其生成的结果文件。fal.ai 的条款规定，它不会使用客户内容训练其模型。
- 不用于训练：Rupa 绝不使用你的照片或结果来训练或改进 AI 模型。
消除物体和去文字。这些工具运行在 Bria AI（Bria Artificial Intelligence Ltd.，以色列）开发的模型上。fal.ai 会将照片和蒙版发送给 Bria 完成编辑。我们尚未能确认 Bria 会将其保留多久。一旦确认，我们会更新本页面。
AI 改图。使用 AI 改图时，fal.ai 会将你的照片和文字发送给 Google 的 Gemini 图像模型（Google LLC，美国）完成编辑。Rupa 会在 24 小时内从自己的服务器删除你的照片、文字和结果。Google 针对 Gemini 付费使用的条款规定，Google 可能将提示词、图像和结果保留最多 55 天，仅用于检测和防止滥用，且不会将其用于改进其产品。用 AI 改图生成的图像带有 Google 的隐形 SynthID 水印，标明其为 AI 生成。
文字安全审核。当你为 AI 改图输入请求时，请求的文字（绝不包括你的照片，绝不包括你的 App ID）还会由自动文字模型进行安全审核。fal.ai 通过其合作方 OpenRouter 和 Groq 执行这项审核。你的文字仅用于该审核，不会用于训练 AI。OpenRouter 表示不会保留这些文字。Groq 表示在需要调查滥用或错误时可能保留最多 30 天。
Rupa 会在你首次云端编辑前征求一次同意，只有在本说明发生变化时才会再次询问。你可以随时撤回同意：“设置”>“删除我的云端数据”会删除你的云端数据并重置同意，Rupa 会在下次云端编辑前再次询问。在你再次同意之前，不会上传任何内容。撤回同意不会撤销已完成的编辑，也无法删除我们的 AI 合作方依其自身条款保留的副本（如上所述）。
4. Rupa 使用的其他数据
- 匿名 App ID。Rupa 没有账户。首次使用时，Firebase Authentication 会为你的安装创建一个随机的匿名 ID。它不与你的姓名、电子邮件、电话号码或 Apple 账户关联。
- 免费编辑计数器。每台 iPhone 有 3 次免费云端 AI 编辑。为了计数（即使你重新安装 App），我们使用 Apple 的 DeviceCheck，它允许我们在 Apple 为每台设备保存两个比特（一个 0 到 3 的数字）。其中不包含任何其他内容。
- App 完整性。Firebase App Check 配合 Apple 的 App Attest 确认请求来自正版 Rupa App。Rupa 还会在你的 iPhone 上保存一个随机安装编号，并与你的匿名 App ID 一起发送到我们的后端，以限制滥用（例如每分钟请求过多）。为实施这些限制，我们的后端只保存你 IP 地址的带密钥哈希值，绝不保存地址本身。
- 编辑记录。每次云端编辑，我们会保留一条简短的技术记录（工具、状态、时间、图像尺寸、成本），不含照片。该记录约 1 到 2 天后自动删除。对于 AI 改图，我们会保留一条简短记录（匿名 App ID、工具、模型、风格以及由你的文字生成的代码；绝不包括文字或照片）90 天，以便结果仍可被举报；“删除我的云端数据”会将其删除。每月编辑次数会保留到该月结束后 60 天。如果你举报某个结果，我们会将工具、模型、你的举报理由以及由文字生成的简短代码（不含文字，不含照片）保留 90 天。
- 购买。付款由 Apple 处理。我们绝不会看到你的姓名或付款信息。为开通 Rupa Plus，我们会收到 Apple 签名的交易数据（产品、交易 ID、日期、续订状态），并通过 Apple 的 App Store Server API 进行验证。
- 通知。如果你允许通知，我们会保存一个推送令牌，以便在云端编辑完成时通知你，并更新锁定屏幕上的实时活动。
- 诊断与使用数据。Firebase Crashlytics 收集崩溃报告和性能数据。Firebase Analytics 收集 App 使用事件（例如打开了哪个工具）、App 内购买事件、App 实例 ID、设备型号、iOS 版本、语言以及根据你的 IP 地址推断的大致地区。这些数据不与你的匿名 App ID 关联，仅用于修复问题和改进 Rupa。如果你是从欧洲经济区、英国或瑞士的 App Store 获取 Rupa，使用统计在你于 App 中开启之前处于关闭状态（我 > 共享使用数据）。在其他所有地区，使用统计默认开启，你可以随时在同一位置将其关闭。崩溃报告在所有地区均开启，且绝不与你的 App ID 关联。
Rupa 不使用广告标识符（IDFA），不请求追踪权限，不显示广告，也不会在其他 App 或网站上追踪你。
5. 我们使用数据的原因
- 你的同意：为云端 AI 工具上传和处理照片（以及 AI 改图的文字）。
- 提供你要求的服务：匿名 ID、编辑计数器、你发起的云端编辑、购买和通知。
- 你的同意：欧洲经济区、英国和瑞士的使用统计。
- 正当利益：安全、防止免费编辑和 AI 改图被滥用、崩溃报告，以及欧洲经济区、英国和瑞士以外地区的使用统计，且以不识别你身份的方式进行。
- 法律义务：例如与购买相关的税务和会计记录。
Rupa 不会通过自动化方式对你作出具有法律效力或类似重大影响的决定。自动内容审核可能会拦截单次编辑；被拦截的编辑绝不计次数。如果你认为拦截有误，请联系我们。
6. 服务提供方
| 提供方 | 用途 | 所在地 |
|---|---|---|
| Google（Firebase / Google Cloud） | 后端、匿名 ID、临时照片存储、App Check、Remote Config、Crashlytics、Analytics | 新加坡；Analytics 和 Crashlytics 在美国 |
| fal.ai（Features & Labels, Inc.） | 为云端工具运行 AI 模型，或将请求转交给模型开发商 | 美国 |
| fal.ai 的内容审核合作方 | 审核照片和结果中的违禁内容 | fal.ai 未公开 |
| Bria AI（Bria Artificial Intelligence Ltd.，经由 fal.ai） | 为消除物体和去文字运行模型 | 以色列 |
| Google LLC（Gemini，经由 fal.ai） | 为 AI 改图运行 Gemini 图像模型 | 美国 |
| OpenRouter, Inc.（经由 fal.ai） | 将 AI 改图请求的文字转发给安全审核模型 | 美国 |
| Groq, Inc.（经由 fal.ai 和 OpenRouter） | 对 AI 改图请求的文字运行安全审核模型 | 美国 |
| Apple | App Store 付款、DeviceCheck、App Attest、推送通知 | 美国及 Apple 其他所在地 |
每个提供方只能将数据用于为我们提供其服务，但第 3 节所述提供方依其自身条款保留数据的情况除外（例如为防止滥用）。我们不出售你的数据，也不为广告目的分享你的数据。只有在法律要求时，我们才会向其他任何人披露数据。
7. 数据保留期限
| 数据 | 保留期限 |
|---|---|
| Rupa 服务器上的照片、蒙版和结果 | 直到处理结束或结果被下载为止；绝不超过 24 小时 |
| Rupa 服务器上的 AI 改图文字 | 直到编辑结束为止；绝不超过 24 小时 |
| fal.ai 上的结果文件 | 1 小时内删除；不保存请求历史 |
| Google 处的 AI 改图照片、文字和结果 | 最多 55 天，仅用于防止滥用 |
| Bria AI 处的消除物体照片和蒙版 | 尚未确认（见第 3 节） |
| Groq 处的 AI 改图文字 | 最多 30 天，仅在调查滥用或错误需要时 |
| 云端编辑记录 | 约 1 到 2 天 |
| AI 改图记录和举报 | 90 天 |
| 每月编辑次数 | 保留到该月结束后 60 天 |
| 用于频率限制的安装编号 | 最后一次使用 App 后 180 天 |
| 匿名 App ID、设置和同意日期 | 直到你使用“删除我的云端数据”为止 |
| 订阅记录 | 在订阅、账单、税务和法律所需的期限内 |
| 崩溃报告和使用统计 | 按照 Firebase 的保留设置保存，之后删除 |
8. 跨境传输
Indise LLC 和我们的服务提供方位于不同的国家或地区，因此你的数据可能在新加坡、美国、以色列及其他国家或地区处理。我们通过以下方式保护这些传输：
- Google（Firebase / Google Cloud）：Google LLC 已获得欧盟-美国数据隐私框架、其英国扩展以及瑞士-美国数据隐私框架的认证。Firebase 的数据处理条款还包含欧盟标准合同条款。
- fal.ai：fal.ai 的数据处理附录包含欧盟标准合同条款、英国国际数据传输附录，以及瑞士对上述条款的修改。
- Bria AI：以色列已获得欧盟委员会的充分性认定。
- 与 fal.ai 合作的伙伴（Gemini 的提供方 Google、OpenRouter、Groq 以及内容审核合作方）依据 fal.ai 与其签订的协议接收数据。
9. 你的权利
根据你所在的地区，你可以要求访问、更正、删除或获取你数据的副本，撤回同意，反对或限制处理，并了解我们与谁共享数据。你也可以向所在地的数据保护机构投诉。第 10 节和第 11 节说明了不同地区的规则。
由于 Rupa 没有账户，我们只能通过 App 找到你的数据。删除数据最快的方法是“设置”>“删除我的云端数据”。如有其他请求，请发送电子邮件至 dimonzalis@gmail.com，并附上 Rupa“设置”中显示的支持 ID。所有方式请见删除你的数据。我们会在 15 天内答复请求。我们不会因为你行使权利而对你区别对待。
10. 欧洲经济区、英国和瑞士
如果你位于欧洲经济区、英国或瑞士，则适用 GDPR、英国 GDPR 或瑞士《联邦数据保护法》（FADP）。本节是对本政策其余部分的补充。
- 控制者：Indise LLC, 1110 Brickell Ave #400, Miami, FL 33131, USA，dimonzalis@gmail.com。
- 法律依据：履行与你之间的合同（GDPR 第 6(1)(b) 条），适用于匿名 ID、你发起的云端编辑、编辑计数器、Rupa Plus 和通知；你的同意（第 6(1)(a) 条），适用于将照片和 AI 改图文字发送到云端以及使用统计（在你开启之前处于关闭状态）；我们在安全、防止滥用和崩溃报告方面的正当利益（第 6(1)(f) 条）；法律义务（第 6(1)(c) 条），适用于税务和会计记录。
- 撤回同意：云端编辑请使用“设置”>“删除我的云端数据”；使用统计请关闭“我 > 共享使用数据”。这不影响此前已进行的处理。
- 接收方：第 6 节中的处理者：Google（Firebase / Google Cloud）、fal.ai 及 fal.ai 使用的模型提供方（Bria AI、Gemini 的提供方 Google、OpenRouter、Groq 以及一家内容审核合作方），以及 Apple。
- 跨境传输：见第 8 节。
- 保留期限：见第 7 节。
- 你的权利：访问、更正、删除、限制处理、数据可携带、反对基于正当利益的处理，以及随时撤回同意。请发送电子邮件至 dimonzalis@gmail.com。
- 投诉：你可以向你居住或工作所在地的数据保护机构、英国信息专员办公室（ICO）或瑞士联邦数据保护和信息专员（FDPIC）投诉。
- 自动化决策：我们不会仅通过自动化方式作出具有法律效力或类似重大影响的决定（GDPR 第 22 条）。
- 是否必须提供？没有任何法律要求你向我们提供数据。未经同意，云端工具无法使用；所有手机端工具仍可正常使用。
- 年龄：Rupa 面向 18 岁及以上的成年人。
11. 你所在地区的权利
许多国家和地区都赋予你隐私权利，通常包括访问、更正、删除和撤回同意。你可以通过发送电子邮件至 dimonzalis@gmail.com 行使这些权利，也可以向当地主管机构投诉。在适用的情况下，这包括：
- 巴西：LGPD（主管机构：ANPD）。
- 土耳其：KVKK（主管机构：个人数据保护局）。
- 印度尼西亚：《个人数据保护法》（2022 年第 27 号法律）。
- 越南：《个人数据保护法》。
- 菲律宾：《2012 年数据隐私法》（主管机构：国家隐私委员会）。
- 印度：《2023 年数字个人数据保护法》（印度数据保护委员会）。
- 日本：《个人信息保护法》（个人信息保护委员会）。
- 韩国：《个人信息保护法》（个人信息保护委员会）。
- 泰国、马来西亚和新加坡：各国的《个人数据保护法》及其数据保护机构。
- 台湾：《个人资料保护法》。
- 香港：《个人资料（私隐）条例》（个人资料私隐专员）。
- 沙特阿拉伯：《个人数据保护法》（SDAIA）。
- 阿拉伯联合酋长国：《联邦个人数据保护法》。
- 以色列：《隐私保护法》（隐私保护局）。
- 乌克兰：《个人数据保护法》（乌克兰议会人权专员）。
- 美国加利福尼亚州及其他州：你可以要求了解、更正和删除你的个人信息。我们不出售你的个人信息，也不为跨情境行为广告分享你的个人信息。我们不使用敏感个人信息来推断你的特征。
- 加拿大：PIPEDA（加拿大隐私专员办公室）。
- 澳大利亚：《1988 年隐私法》（澳大利亚信息专员办公室）。
12. 安全
数据在传输过程中经过加密。当你开始一次云端编辑时，Rupa 会将照片（对于消除物体和去文字，还包括蒙版）直接上传到我们的云存储，存入一个只有你安装的 Rupa 和我们的后端才能访问的文件夹。我们的后端仅将其用于执行你的编辑。
13. 儿童
Rupa 的分级为 18+，仅供成年人使用。我们不会在知情的情况下处理任何未满 18 岁者的数据。如果你认为有未满 18 岁的人使用了云端工具，请联系我们，我们会删除相关数据。
14. 变更
如果我们更改本政策，会更新本页面及顶部的日期。如果变更影响云端照片的处理方式，Rupa 会在下次云端编辑前再次征求你的同意。
15. 联系我们
Indise LLC
1110 Brickell Ave #400
Miami, FL 33131, USA
dimonzalis@gmail.com