隐私说明
三句话说清
1. 你录入的家庭内容存在运营者自己控制的服务器上，不放进任何云盘、不卖给任何人。
2. 页面不向任何第三方发请求：没有统计脚本、没有广告、没有第三方字体和图标（都自己托管）。你打开页面这件事，除了服务器自己和下面的 Cloudflare，没有别人知道。
3. 唯一的例外是邮件：审批结果通知和密码重设邮件会经过邮箱服务商（腾讯 QQ 邮箱）。所以邮件里会出现收件地址和邮件正文。
一、我们收集哪些信息
1. 账号信息
- 登录名、姓名、邮箱 —— 你注册或管理员添加成员时填的。
- 密码 —— 只保存不可逆的哈希值（PBKDF2-SHA256，18 万次迭代，每个账号独立随机盐）。我们看不到、也无法还原你的密码。
- 登录状态 —— 会话令牌只保存哈希；另外记录会话的过期时间和最后活跃时间。
2. 你主动录入的家庭内容
这是这个产品的主体，全部由你和家人自己填写或上传：
- 家庭成员、家庭名称
- 每个人写的「现在的状态」（一句给家里人看的话），以及家人对它「暖一下」的回应 —— 连着谁暖了谁一起记下来。这些同样只有你家里的成员能看到。
- 家庭任务、事件审批（申请内容、审批链路、审批说明）
- 家庭时间线、家庭公告、家庭资产（金额、分类、备注）
- 站内私信
- 上传的文件 —— 照片、合同、证件、检查报告等。原始文件保存在服务器磁盘上。
3. 技术信息
- 申请重设密码时记录的请求来源 IP —— 仅用于限流（防止有人拿这个功能当邮件轰炸机）。
- 操作留痕 —— 谁在什么时候改动了什么，用于家庭内部追溯。
4. 我们不收集的信息
- 没有访问统计、没有埋点、没有广告标识符。
- 不做用户画像，不分析你上传的内容。
- 不读取你设备上的其他信息。
二、我们不做什么
- 不卖、不租、不交换你的任何数据。没有「与合作伙伴共享」这种条款。
- 不用于广告或推荐。
- 不接入任何第三方分析服务（百度统计、Google Analytics 之类，一个都没有）。
- 不用你的数据训练任何模型。
三、数据存在哪里
存在运营者自己控制的服务器上。数据库是一个 SQLite 文件，上传的文件放在同一台机器的
uploads/ 目录。备份也在运营者自己控制的机器上。
换句话说：这些数据没有交给任何云服务商或平台托管。
四、什么情况下数据会离开这台服务器
只有下面两种，没有第三种。我们宁可写得啰嗦，也不想让你事后才发现。
1. 邮件 —— 经过腾讯 QQ 邮箱
这三类邮件会真的发出去： 审批结果通知（申请通过或被驳回时发给申请人）、 任务派发通知（有人把一项任务派给你时发给你）和 密码重设邮件。
因此下面这些内容会经过腾讯的邮件服务：
- 收件人的邮箱地址
- 邮件主题（例如「家迹：你的申请《…》已通过」「家迹：某某 给你派了一项任务《…》」）
- 邮件正文（包含审批的说明文字、以及任务的标题和说明）
给你的实际建议：审批的「说明」和任务的「说明」都会进到邮件正文里， 所以别在那里写你不想让邮件服务商看到的内容。敏感的事情写在站内信里 —— 站内信只存在服务器上，不会发邮件。
2. 流量 —— 经过 Cloudflare
域名解析和网页流量经过 Cloudflare。因此 Cloudflare 能看到连接的元数据 （来源 IP、访问时间、请求的路径）。它看不到你的家庭内容，也看不到数据库。
五、你的权利
- 查看：登录后就能看到全部内容，没有藏起来的部分。
- 更正：昵称、邮箱、密码都可以在「成员 → 我的账号」里自己改；家庭内容随手可编辑。
- 导出：家庭管理员可以一键导出 —— 在「我的账号 → 数据与条款」里点一下， 就能把全部记录 + 上传的原始文件打成一个 zip 下载。不需要理由、不收费。 包里不含密码、登录会话和邀请码：拿到包的人能看到你们家的资料， 但不能用它登录你们的账号。 如果你不是管理员，找管理员导，或者直接联系我们。
- 删除：可以联系运营者删除整个家庭及其全部数据（含上传的文件）。删除后不可恢复。
- 注销账号：同样联系我们。
这些请求我们会在合理时间内处理，不会设置障碍、不会收费。
六、关于孩子的信息
这个产品里会出现未成年人的信息 —— 孩子的照片、生日， 以及家人记下的关于他们的内容。在法律上这属于敏感个人信息， 所以我们把话说得更明白一点：
1. 关于孩子的信息只应由其监护人录入。录入即表示监护人同意我们按本说明处理这些信息。
2. 我们不会把孩子的信息用于任何其他目的 —— 不做训练、不做分析、不给第三方。
3. 除了你自己的家庭成员，没有其他人能访问你家庭里的内容。
七、我们做了哪些保护
只列真实做了的，不写「银行级加密」这种空话：
- 密码不可逆哈希存储（PBKDF2-SHA256 / 18 万次迭代）。
- 会话令牌只存哈希，30 天过期；登录 cookie 带
HttpOnly。 - 上传的文件必须登录且有权限才能下载。不会因为拿到了链接就能看。
- 忘记密码用一次性令牌：30 分钟有效、用后立即失效、只存哈希；改密码会踢掉该账号所有已登录设备。
- 连续输错密码会暂时锁定账号（15 分钟）。
- 数据管理页只能在本机打开，且需要运营者身份。
- 页面不加载任何第三方资源（见开头第 2 条）。
也要诚实说一句：这是一个人维护的小服务，不是有安全团队的大平台。 我们会认真做上面这些，但请不要把它当成存放最重要东西的唯一地方 —— 重要的原件请自己另存一份。
八、保存多久
- 家庭内容：直到你删除。
- 登录会话：30 天。
- 密码重设令牌：30 分钟（用过就作废）。
- 发件记录：保留投递状态以便排查问题，可清理。
九、本说明的变更
如果处理方式有实质变化（比如换发信服务商、增加新的数据出口），我们会更新这一页并改掉上面的「最近更新」日期。 涉及你权益的重大变化，会在你登录时提示。
十、联系我们
任何与隐私有关的问题、请求（查看 / 更正 / 导出 / 删除）都可以发到： 待填：联系方式邮箱
另见：使用条款