隐私政策
最后更新:2026-04-27 版本:v1.0
⚠️ 本政策为 MVP 阶段基线版本,参考欧盟 GDPR 起草,但尚未经过专业法律审阅。我们计划在产品稳定运行 30 天后送独立合规顾问 review,届时发布 v2.0。如对本政策有任何疑问或修订建议,欢迎联系 hello@yepally.org。
1. 导言
Yepally(域名 yepally.org · 以下简称"我们")是一家提供尘螨过敏检测比色卡 + 算法 + 公民科学数据集的科研工具平台。
本《隐私政策》适用于:
- 网站 yepally.org 及其所有子页面
- 我们的 iOS App、Android App、微信小程序、Web App
- 我们提供的所有 Yepally 服务(包括邀请码申请、询盘联络、邮件订阅等)
本政策参考标准:欧盟《通用数据保护条例》(GDPR)。我们以此为合规基线,以同时满足欧盟、中国、英美澳等不同法域用户的合理隐私期待。
2. 我们收集什么数据
2.1 你主动提供的数据
通过表单、邮件、App 内输入等方式,你可能向我们提供:
- 联系方式:姓名 / 昵称、邮箱、手机号、微信号、WhatsApp 等
- 机构与角色信息:所属机构、职位 / 头衔、研究方向(B 端表单)
- 个人健康信息:过敏症状、家庭情况(C 端表单 · 仅你主动填写时收集)
- 邀请码申请、询盘内容:你在表单中提交的具体描述
2.2 自动收集的数据
- 设备信息:浏览器名称与版本、操作系统、屏幕分辨率
- 访问数据:IP 地址(粗略地理位置)、访问页面、停留时间(经 Plausible 匿名聚合统计)
- App 端数据:GPS 坐标(自动降级到城市 / 区县级)、扫描时间戳、检测读数结果(仅在你使用 App 进行扫描时)
2.3 我们不会收集的数据
- 精确到门牌号的 GPS 坐标(App 自动降级)
- 你的社交媒体账户、通讯录、相册(App 不请求这些权限)
- 跨网站行为追踪(我们不使用 Facebook Pixel、Google Ads Remarketing 等任何广告追踪工具)
3. 我们为什么收集这些数据
我们对你数据的使用,严格限于以下四类目的:
- 产品功能所需 — 让"扫描 → 算法读数 → 数据上传"闭环可以工作
- 算法优化 — 仅基于脱敏后的检测数据训练模型,不涉及个人身份字段
- 科研共享 — 仅在你明确签署《数据共享条款》后,把脱敏数据贡献到公开数据集
- 联系你 — 邀请码发放、询盘回复、产品重要更新通知
任何超出以上目的的数据使用,我们承诺事先告知并征得你的同意。
4. 我们如何保护数据
- 传输加密:所有数据传输强制走 HTTPS(TLS 1.2+)
- 存储位置:数据存储在 Cloudflare 全球数据中心(详见第 6 节"跨境传输")
- 最小权限:MVP 阶段团队规模有限,仅创始人具备生产数据访问权限;未来扩张团队会按角色细化权限
- 第三方协议:与所有第三方数据处理者(Cloudflare / Resend / Plausible)签署 GDPR 合规的数据处理协议(DPA)
5. 第三方数据接收方
MVP 阶段,你的数据可能被以下第三方处理或接收:
- Cloudflare(美国/全球) — 网站托管、DNS 解析、Workers 运行时、Email Routing 邮件转发(你提交的邀请码申请、询盘、邮箱订阅邮件先经 Resend 发往
hello@yepally.org,再经 Cloudflare Email Routing 转发到运营者真实邮箱) - Resend(美国) — 邮件发送服务,从站点向
hello@yepally.org发送系统邮件 - Plausible(德国/欧盟) — 匿名聚合访问统计,不使用 tracking cookie
未来如需启用新的第三方,我们会在本政策更新后通知。在你看到通知前,任何新增第三方都不会接收你的数据。
6. 跨境传输
由于第三方服务涉及全球基础设施,你的数据可能被存储或经由位于欧盟、美国、中国等地的 Cloudflare 数据中心。
我们依据 GDPR 第 46 条所允许的标准合同条款(Standard Contractual Clauses · SCC)与第三方处理者签署协议,以确保跨境传输的合规性。
7. 你的权利
依据 GDPR 第三章,你对我们持有的你的数据享有以下七项权利:
| 权利 | 内容 | | --- | --- | | 访问权 | 申请查看我们持有的关于你的全部数据 | | 更正权 | 要求我们修正不准确或不完整的数据 | | 删除权 | "被遗忘权",要求我们删除你的数据 | | 限制处理权 | 要求我们暂停对你数据的某些处理 | | 可携权 | 要求我们以机器可读格式(如 JSON)导出你的数据 | | 反对权 | 反对我们基于合法利益的某项处理 | | 撤回同意权 | 随时撤回曾经给出的数据共享同意 |
如何行使这些权利:发送邮件至 hello@yepally.org,邮件标题写"隐私权利申请",并简要描述具体诉求(如"申请访问"或"申请删除")。我们承诺在 30 天内响应。
8. Cookie 与追踪
MVP 阶段,我们仅使用以下 Strictly Necessary cookies(按 GDPR 属"严格必需"类,不需要用户明示同意):
| Cookie 名 | 用途 | 有效期 |
| --- | --- | --- |
| yepally-locale | 记录你手动切换的语言偏好 | 1 年 |
| NEXT_LOCALE | 上述 cookie 的 next-intl 默认备用键 | 1 年 |
| Cloudflare Turnstile 会话 cookie | 表单人机验证 | 会话级(关闭浏览器即失效) |
我们明确不使用以下 cookie:
- Plausible 的 tracking cookie(Plausible 默认不写 cookie,仅做匿名聚合统计)
- 任何广告追踪 cookie(Facebook Pixel、Google Ads Remarketing 等均不接入)
- Google Analytics、Hotjar、Mixpanel 等行为追踪工具
9. 未成年人
Yepally 不面向 13 岁以下儿童。如发现我们意外收集了 13 岁以下儿童的数据,我们会立即删除相关记录并通知监护人。
如果你是儿童监护人,发现你的孩子向我们提交了数据,请联系 hello@yepally.org,我们会优先处理。
10. 政策变更
本政策的任何重大变更(如新增第三方接收方、扩展数据收集范围、修改用户权利行使方式)我们将通过两种方式同时通知:
- 向已订阅的邮箱发送变更通知
- 在网站首页和本页顶部显示横幅提醒至少 30 天
仅涉及表述清晰化、无实质行为变化的小修订(如错别字、术语统一)不需要重新获得同意,但会更新文末的"最后更新"日期。
11. 联系我们
数据隐私相关问题与权利申请请发送邮件至:
- 数据隐私专用:privacy@yepally.org(MVP 阶段未独立设置,自动转发到 hello@yepally.org)
- 一般联系:hello@yepally.org
我们承诺工作日 48 小时内回复一般咨询,30 天内响应正式的 GDPR 权利申请。
本政策为 MVP basic outline,内容会在 v0.2 阶段经独立法律审阅后扩充与精修,届时版本号升至 v2.0 并在本页顶部留痕。