隐私政策

我们只收集为制作和交付您的书或礼品卡，以及在您选择留下评价时处理该评价所需的信息：

• 您的联系方式——您的姓名和电子邮箱地址，以便我们发送收据、您的电子版和订单动态。
• 礼品卡信息——赠送人的电子邮箱地址、收礼人的电子邮箱地址、您提供的任何赠送人和收礼人姓名或赠言，以及您选择的发送日期，以便我们发送收据和赠言。
• 参考照片——书中主角（以下称“收礼人”）这位成年人的一到三张照片，以及（可选）最多三位成年配角每人一到三张照片。
• 故事信息——收礼人的名字和代词、对方与您的关系、您选择的场合（如有）、书是谁送的、您在“跟我们说说…”一栏填写的文字，以及您告诉我们不要拿来开玩笑的任何内容。每本书使用相同的问题。
• 配角信息——每位配角的名字及其与收礼人的关系。
• 照片检查——是否能看到脸、照片中是否只有一个人、对方看起来是否成年、眼睛是否被遮挡，以及一段外貌描述：头发、面部毛发、眼镜、眼睛、皮肤、脸型和看起来的年龄。检查结果与每张被接受的照片一起存储。
• 生成的角色画像——在付款前绘制的画像，以便您判断它与收礼人是否相像。
• 订单和运送信息——您选择的版本，以及对于印刷版，我们转交给印刷合作方的收货地址。
• 已保存的草稿——仅在您选择保存进度时：您提供的电子邮箱地址、您浏览本网站时使用的语言，以及草稿本身：所选的书和版本、收礼人的名字、您的回答、配角的名字、关系和已存储照片的引用，以及您对照片的确认。已保存的草稿绝不包含收货地址。如果您在另一个浏览器中打开它的链接，我们还会记录该浏览器的随机角色会话密钥，以便它能打开同一个角色。
• 付款信息——由Stripe处理。我们从不会看到或存储您完整的卡号。
• 评价——如果您通过我们评价邀请邮件中的链接选择为一本已送达的书写评价，我们会收集您的星级评分、标题、评价正文和您提供的名字，并将其与您的订单号和电子邮箱关联，以便我们知道它来自真实的购买者。
• 使用情况和诊断信息——经过清理的页面地址、来源和营销活动标签、浏览器和设备信息、大致地区、下单流程步骤、经过清理的错误报告、化名的浏览器或会话标识符，以及用于执行绘制次数限制的哈希处理后的IP地址。

• 检查上传的照片，绘制收礼人的角色，并撰写您订购的书、为其绘制插图。
• 收取款项，以及印刷和寄送印刷版。
• 发送交易类邮件：您的订单确认、礼品卡购买收据和发给收礼人的赠言、书送达后的评价邀请，以及如果结账在您付款前超时，一封附有完成付款链接的提醒邮件。
• 如果您保存了进度：通过电子邮件给您发送一封附有返回草稿链接的邮件，之后最多再发一封提醒。任一封邮件底部的停止链接都会终止所有关于以您的地址保存的草稿的邮件，包括上述结账提醒。
• 在发布之前阅读每一条评价，并且只有在您勾选了单独的评价复选框时才发布。我们显示的是您的名，以及您姓氏的首字母；对于用空格书写的中文、日文或韩文姓名，只显示第一部分；对于只有一个词的名字，只显示其第一个字符并加上一个句点。如果没有勾选，只有我们会阅读它。
• 提供支持、了解哪些页面有帮助、诊断错误，以及改进本网站和书。

我们不出售您的个人信息。我们不使用上传的照片训练AI模型。除非您订阅，否则我们不会发送营销邮件。

• 仅限成年人的照片。Hello Sorry的书是成人喜剧；我们不接受儿童的照片。
• 自本保留政策生效之日起上传的照片，删除期限为书送达后30天，且最迟不晚于上传后120天。只要使用某张照片的任何已付款订单仍在处理中、尚未送达，期限即为上传后120天。如果有多笔订单使用同一张照片且均已送达，30天从最后一次送达起算。如果不会有送达（未付款、已放弃、已取消或已退款的订单），期限为上传后30天。在本保留政策生效之前上传的照片沿用此前的规则：在被一笔已付款且未退款的订单引用期间，期限为上传后120天；否则为上传后30天。
• 照片绝不会被出售、与广告商分享、公开发布，或用于训练任何AI模型。
• 您可以随时要求我们删除照片，以及我们持有的关于您的其他一切信息。

收礼人和任何配角都是并未亲自在我们这里注册的真实成年人。我们为您的书处理他们的照片、名字和您提供给我们的信息，包括照片检查和收礼人的角色画像。您在上传前确认，他们会愿意当这本书的主角。

如果您是出现在某本Hello Sorry书中的人，并希望删除您的照片或信息，请发邮件至hello@hellosorry.com。我们会删除这些信息；如果书尚未印刷，我们会停止制作。

在适用GDPR（欧盟《通用数据保护条例》）或英国GDPR的情况下，我们依据的是：履行与您的合同（制作和交付书或礼品卡、付款、交易类邮件）以及应您的要求在下单前采取的步骤（保留您选择保存的草稿，并通过电子邮件向您发送其链接和一封提醒）；我们的法定义务（会计和税务记录）；您的同意（在需要同意的情况下进行的分析，以及可选的邮件简报），您可以随时撤回同意；以及我们的正当利益（在不需要同意的情况下进行的分析、错误诊断、防范欺诈，以及为您的书处理收礼人和配角的照片和信息）。

我们绝不会为唯一识别任何人而处理照片——不会创建或存储任何生物识别模板。

我们使用PostHog进行产品分析，使用Sentry（Functional Software, Inc.）进行错误诊断。两者都只接收经过清理的数据：在任何内容离开您的浏览器或我们的服务器之前，我们会去除电子邮箱地址、姓名、私密链接和表单中输入的内容，并丢弃任何包含图像数据的错误报告。

我们还使用Google Analytics 4（Google LLC）来了解访客如何找到本网站，以及购买是否完成。它衡量的内容包括：经过清理的页面地址（绝不包含私密链接或查询字符串）、来源网站的地址、营销活动标签、大致位置、浏览器和设备信息、我们跟踪的下单步骤，以及对于已完成的购买，订单号、版本、金额和币种。在允许分析时，它使用第一方Cookie。它绝不会收到姓名、电子邮箱或收货地址、照片、输入的回答或付款信息。

对于欧洲经济区、英国和瑞士的访客，分析只在您接受之后才开始。如果您拒绝，或在您做出选择之前，分析保持关闭，而且根本不会加载Google Analytics，因此Google什么也收不到。在其他地区，分析在法律允许的范围内运行。任何人都可以随时在“Cookie设置”中更改这一选择。

少数几家服务商，每一家只收到其工作所需的信息：

• Stripe——付款处理。
• 我们的印刷合作方——可直接印刷的书籍文件和收货地址。
• Railway和Cloudflare——托管、内容分发、安全以及粗略的国家判断。
• Supabase——保存您的订单、照片检查和角色记录的数据库，以及用于存放上传照片和生成的角色画像的私密存储。
• Brevo——交易类邮件，以及仅在您选择订阅时发送的邮件简报。
• 您上传的每张照片都会发送给Anthropic进行照片检查。收礼人的参考照片、检查生成的外貌描述以及我们的提示词会发送给OpenAI，用于绘制收礼人的角色。画好的图在向您展示之前，会发送给Anthropic进行安全检查。以上这些都发生在您付款之前。
• PostHog和Sentry——如上所述，经过清理的分析和错误诊断。
• Google LLC——如上所述，Google Analytics 4，用于流量获取和购买报告。

当您赠送礼品卡时，我们会把您的电子邮箱地址作为赠言邮件的回复地址提供给收礼人，以便对方可以直接回复您。无论赠言是立即发送，还是在您选择的发送日期发送，都是如此。

在法律要求时，或作为合并、收购或资产出售的一部分，我们也可能披露信息。我们绝不出售您的数据。

Renji Labs, Inc.位于美国，我们的服务商可能在美国或其他国家处理信息。当我们把个人信息转移出欧洲经济区、英国或瑞士时，我们依靠公认的保障措施，例如欧盟-美国数据隐私框架或欧盟委员会的标准合同条款。

Hello Sorry面向成年人。本网站不针对任何未满18岁的人，我们不会在知情的情况下收集未成年人的信息，也不会制作关于未成年人的书。如果您认为有未成年人向我们发送了信息或照片，请联系我们，我们会将其删除。

• 自本保留政策生效之日起上传的照片，删除期限为书送达后30天，且最迟不晚于上传后120天。只要使用某张照片的任何已付款订单仍在处理中、尚未送达，期限即为上传后120天。如果有多笔订单使用同一张照片且均已送达，30天从最后一次送达起算。如果不会有送达（未付款、已放弃、已取消或已退款的订单），期限为上传后30天。在本保留政策生效之前上传的照片沿用此前的规则：在被一笔已付款且未退款的订单引用期间，期限为上传后120天；否则为上传后30天。每张照片存储的检查结果（包括其外貌描述）会在照片删除时一并清除。
• 生成的角色画像：与上传的照片分开存储，不会被照片保留期限的清理程序删除。
• 完成的书籍文件：保留以便您重新下载所购内容，直到您要求我们删除。
• 订单记录：为履行会计和税务义务保留7年。
• 未完成的结账：如果结账在付款前超时，订单会连同Stripe提供给我们的完成付款链接保持开放，最长30天，之后取消。其照片仍适用上述各自的期限。
• 已保存的草稿：您选择保存的草稿，以及您保存时使用的电子邮箱地址，会在您最后一次保存后30天删除，除非已用该草稿下单；您也可以要求我们提前删除。已保存草稿邮件中的停止链接只会终止这些邮件，不会删除草稿。草稿的照片仍适用上述各自的期限，草稿的链接会在照片删除之前失效，最迟在发送后14天。
• 分析和错误数据：保留时间不超过我们的服务商所设置的保留期限。
• Google Analytics事件数据：最长14个月；汇总报告可能保留更长时间。

无论您住在哪里，您都可以要求查看、更正或删除我们持有的关于您的数据，并可随时撤回任何同意。欧洲经济区、英国和加利福尼亚州的居民根据GDPR和CCPA等法律享有特定权利，包括访问、删除、可携带、限制处理和反对处理的权利。如需提出请求，请发邮件至hello@hellosorry.com。请求是免费的；我们会根据订单上的电子邮箱地址核实请求，并在一个月内答复。您也可以向当地的数据保护机构投诉，不过我们希望能先有机会把事情纠正过来。

如需停止接收关于您保存的草稿的邮件，请使用其中任意一封邮件底部的停止链接；您的草稿仍会保存。如需同时删除草稿，请发邮件至hello@hellosorry.com。

如果只想退出Hello Sorry邮件简报列表，请使用Hello Sorry的退订链接，或在hellosorry.com/unsubscribe输入您的电子邮箱；关于您所下订单的邮件仍会照常发送。邮件服务商页脚中标为“unsubscribe from all Renji Labs email”的链接，以及您邮箱应用中的退订（Unsubscribe）按钮，会停止所有Renji Labs营销邮件，包括我们的姊妹品牌。

• 必要：两个第一方Cookie（NEXT_LOCALE和hsy_locale_source）记住您浏览本网站时使用的语言——当您打开某个语言版本时保留7天，当您在语言选择器中选择语言时保留1年。本地存储记住您的同意选择。它还会在关闭的标签页之间保留一个随机的角色会话密钥（hsy_character_session），用于授权访问您的角色并统计您每天的绘制次数。本地存储还会记住您最初是如何来到本网站的——将您引荐过来的页面地址以及链接中的任何营销活动标签——最多保留90天；会话存储则记住您当前这次访问的相同信息，以便在您下单时，我们可以记录这笔订单来自哪里。
• 每一次明确的同意选择——接受、拒绝、保存设置或撤回——还会在我们的服务器上记录一行匿名数据，作为您的同意选择的证据。这行数据包含您的浏览器生成并保存在其本地同意记录中的一个随机标识符、您的分析选择、横幅版本、页面的语言标签，以及根据网络请求推断出的粗略的两个字母的国家代码。它不包含IP地址、用户代理、会话密钥、账户标识符或订单标识符。这个随机标识符是同一浏览器先后多次选择之间的唯一联系。基于地区和全球隐私控制信号的自动授予不属于明确选择，不会记录任何数据行。我们把这些数据行作为同意记录保留，并且由于它们无法识别任何人，不会因删除个人数据的请求而删除它们。
• 会话存储会在您关闭标签页之前记住您正在制作的书的草稿：收礼人的名字、所选的书和版本、回答、配角的名字和关系、已存储照片的引用、照片确认、角色引用、电子邮箱以及您输入的收货地址。如果浏览器存储被屏蔽，草稿和角色会话密钥只在当前页面浏览期间保留。
• 分析（仅在允许时）：PostHog存储化名的浏览器和会话标识符，保留约1年。
• 分析（仅在允许时）：Google Analytics设置第一方Cookie，例如_ga和_ga_<stream-id>，最长保留2年，用于区分化名的访客和会话。拒绝的访客不会收到任何此类Cookie，之后再拒绝会将其删除。

您可以随时使用本网站上的“Cookie设置”接受、拒绝或更改分析，也可以在浏览器中清除Cookie和存储。

随着产品的发展，我们可能会更新本政策。如果做出重大变更，我们会更新顶部的日期，并在适当时告知您。

有问题？请发邮件至hello@hellosorry.com，或写信至Renji Labs, Inc.，7775 Walton Pkwy, Ste. 100, New Albany, OH 43054, USA。