本页为译文，仅供参考。法文版本为具有法律效力的参考文本，如有出入，以法文版本为准。
隐私政策
最后更新：2026年10月3日
Joya Home 面向家庭，因此也面向儿童。本页准确说明 Joya Home（家长端）和 Joya Home Kids（儿童端）应用收集哪些数据、为什么收集、保存多久，以及谁能看到。如果您觉得某句话不够清楚，请写信给我们：contact@joyahomekids.com。
概要
- 没有广告，不转售数据，应用中也没有任何其他公司的广告追踪或统计工具。
- 您的孩子能在自己的应用中看到您能看到他的哪些信息。
- 定位功能默认关闭；来玩的小伙伴绝不会被监控。
- 行程、SOS 求助、网站浏览记录、提醒中的句子、各应用使用时间、呼叫和语音留言、暖心话、任务照片以及家庭动态，都会在 30 天后自动删除。
- 您可以随时直接在应用中删除您的账户。
1. 谁是负责人
数据处理的负责人为 Benjamin Taieb，个体经营者，地址：11 Rue Jacques Duchesne, 75019 Paris, France（SIRET 528 074 370 00032），Joya Home 的发行方。联系方式：contact@joyahomekids.com。
在 Joya Home 中创建“家”的家长，决定应用于孩子手机的设置（定位、网站浏览记录、提醒……）。我们处理数据只是为了让这项服务运转，别无他用。
2. 家长的数据
| 数据 | 用途 |
|---|---|
| 名字、电子邮箱、密码 | 创建您的账户并登录。密码绝不会以明文保存：我们只保存一个无法还原出密码的散列值（bcrypt）。 |
| 如果您使用“通过 Apple 登录”或“通过 Google 登录”：Apple 或 Google 传给我们的标识符、您已验证的电子邮箱（使用 Apple 时，可能是一个私密中转地址）、您的名字 | 无需密码即可登录。使用 Apple 时，我们还会保存一个技术令牌，它仅用于在您删除账户时撤销在 Apple 处的授权。 |
| 家的名称、时区、语言 | 以您的语言显示应用，并在正确的时间执行时间安排（如 21:30 的“睡觉”）。 |
| 每部已连接的手机（最多 5 部）：通知令牌、手机类型（iPhone 或 Android）、语言 | 向您发送通知。 |
| 您在应用中创建的内容：时段和时间安排、呼叫（标题、文字、可选的不超过一分钟的语音留言）、暖心话、任务、挑战和惩罚、家庭地点、门口的篮子、“家庭问答”的题目（问题、四个答案、正确答案、一个主题）、本周冠军的奖励 | 让这些功能正常运行。 |
| 订阅：方案（按月或按年、孩子人数）、开始和结束日期、续订状态、试用期、商店（App Store 或 Google Play）、Apple 或 Google 传来的交易标识符或购买令牌，以及在 Apple 上通过家人共享获得购买的标记 | 向 Apple 或 Google 核实订阅是否有效，并为整个家开放各项功能。我们绝不会收到您的银行信息。 |
| 您的电子邮箱以及 Apple 或 Google 标识符的散列值（SHA-256） | 确保 7 天免费试用每人只能享受一次。这不是邮箱地址本身：无法从散列值还原出地址。 |
电子邮箱只用于登录，以及向您发送“忘记密码”验证码（见第 10 节）。没有新闻简报，没有广告。
3. 其他成年人和来玩的小伙伴
- 另一位家长：与您相同的数据（名字，然后是电子邮箱和密码，或 Apple，或 Google）。其权限与您相同。
- 保姆或爷爷奶奶（“看护人”角色）：仅一个名字。他们的访问权限会在所选时长（最多 12 小时）结束后自动失效。他们可以呼叫孩子、开放屏幕、回复申请、查看家庭动态，并接收孩子的 SOS 求助（附当时的位置）；他们看不到地图、行程、网站浏览记录、各应用使用时间以及提醒中的句子，也不能更改设置。
- 来玩的小伙伴：扫描家里的二维码后，在自己手机上输入的一个名字。访问权限在当天午夜失效。来访期间，他们的手机会遵守家里的暂停安排和成人网站过滤，但不会有任何监控：没有定位、没有网站浏览记录、没有内容提醒、没有各应用使用时间，也没有应用审批。即便如此，在给他们二维码之前，请先告知他们的父母。
4. 孩子的数据
孩子没有电子邮箱，也没有密码：他通过家长生成的代码（或二维码）加入家庭。
| 数据 | 用途 |
|---|---|
| 名字（由家长输入）、颜色、应用风格 | 在两个应用中显示家庭成员。 |
| 出生年月——可选 | 设定“本周算术”的难度等级。绝不收集出生日。 |
| 家长选择的设置（如果他有两个家，则分别对应每个家） | 在他的手机上执行家里的规则。 |
| 保护状态：是否开启、iPhone 或 Android、应用版本、已授予的权限、最后一次联系的时间 | 在保护被关闭时通知家长。 |
| 电量和是否在充电——只保留最新的数值 | 显示给家长，并在电量低于 15% 时提醒一次。 |
| 当天的屏幕时间（分钟）、赢得的时间、处罚 | 如果家长设置了每日上限，则执行该上限。 |
| 时间申请（可附文字）、任务和惩罚，以及它们的照片（1 或 2 张，由孩子拍摄并发送） | 让家长能够回复申请并确认任务。 |
| 挑战：游戏、走法、结果、惩罚、再来一局；本周积分和往期冠军 | 让游戏、全家积分榜和本周冠军功能正常运行。 |
| 每周测验、练习和知识对决（算术、听写、词汇、常识、逻辑）：题目、答案、答题时间、成绩；以及每个答案的题目类型和对错（薄弱点记忆和进步）；他的徽章和每周总结 | 给出成绩和奖励，向家长展示详情，让做错的题更常出现，展示他的进步曲线和徽章，并在周日把总结发给家长。 |
| 手机放入门口篮子的记录：哪个篮子、放入时间、暂停结束时间、取回 | 让手机暂停，并告知家长。 |
| 收到的暖心话和他的回复；小铃铛里的消息 | 显示这些内容，并通知写信的家长。 |
| 家庭动态：呼叫和回复（“我来了！”）、到达和离开地点、在两个家之间切换、关闭保护、提醒、挑战、任务、篮子 | 家庭日志，家中的成年人可见。 |
| 他的时间存钱罐（赢得的分钟数、到期日期、已使用的分钟数）以及他的“再玩 5 分钟？”申请（时间、答复） | 把赢来的时间留到以后用，并让家长能够答复。 |
5. 定位、地图和 SOS 求助
- 定位功能默认关闭。由家长在孩子的资料页中开启，并可随时关闭；来玩的小伙伴绝不会被开启定位。
- 只有在孩子的手机允许时，定位才会生效：应用会弹出 iOS 或 Android 的权限请求，并向孩子解释原因。
- 我们保存最后一次已知位置（纬度、经度、精度、时间），每次更新时替换。当孩子移动了约 150 米时，手机会发送新的位置。
- 行程记录只保留有意义的位置：孩子移动至少 100 米才会记录一个新点；只要他没有移动，就延长同一个点的时间，由此形成停留记录（“8:05 到 16:30 在学校”）。不精确的位置（误差超过 100 米）绝不会被记录。每个点都会在 30 天后自动删除。
- 家庭地点（名称、表情符号、坐标、半径）用于在孩子到达或离开时通知家中的成年人。这些到达和离开会记录在家庭动态中。
- 位置、地图和行程只有家长能看到。定位关闭时，服务器会忽略发来的位置，也不会记录任何行程。
- 地图底图：为了绘制地图，家长端应用会在 iPhone 上从 Apple（地图）下载地图图片，在 Android 上从 Google 地图或 OpenStreetMap 下载。这些服务会收到所显示的区域和家长手机的 IP 地址——绝不会收到孩子的名字或已记录的行程。
- SOS 求助（“提醒我的爸妈”）：孩子按住 2 秒后，求助会发送给家长和在场的看护人，附带电量和当时的位置——即使定位功能未开启：位置是孩子本人在这一刻、经手机授权后提供的。这不涉及任何持续追踪。求助及其位置会在 30 天后自动删除。
6. 两个家（父母分开）
当父母各有自己的家时，孩子可以同时属于两个家。这需要双方家长都同意：第一个家的家长生成一个代码，另一位家长在自己的应用中输入。
- 每个家都保留自己的规则，并且只能看到自己家里发生的事。当孩子在另一个家时，这个家只会收到他的名字和“在他的另一个家”：没有位置、没有行程、没有网站、没有动态，也没有手机状态。
- 每次在两个家之间切换时，他的最后位置都会被删除。
- 切换可以由家长手动操作，也可以在孩子到达另一个家的“这是我们家”地点时自动完成——前提是两个家都为他开启了定位。
- 每个家保存的关于他的数据（网站、行程、篮子）都留在该家中，如果孩子离开这个家，这些数据也随之删除。
7. 保护、应用和上网
在 iPhone 上
由 Apple 的“屏幕使用时间”负责暂停应用、执行单个应用限时、在家长要求时禁止安装新应用和应用内购买，并过滤成人网站。Apple 不会向 Joya Home 提供应用名称、各应用的使用时间、访问过的网站或消息内容：家长在 Apple 界面中选择的应用以不透明标识符的形式保存。因此在 iPhone 上，没有网站浏览记录、没有各应用使用时间，也没有内容提醒。
在 Android 上
Joya Home Kids 使用 Android 的无障碍服务，由孩子和家长在安装时开启。它可以：
- 知道当前打开的是哪个应用，以便在正确的时间暂停它，统计屏幕时间和每个应用的使用时间；
- 读取主流浏览器的地址栏（Chrome、三星浏览器、Firefox、Edge、Opera、Brave……）：我们只保存网站名称（“youtube.com”），绝不保存完整网址、输入的搜索内容或网页内容。也正是它会让 Google、Bing 或 DuckDuckGo 的搜索带上过滤重新执行（“安全搜索”），并在家长要求时把 YouTube 转到 YouTube Kids——这些都不会向服务器发送任何内容；
- 在部分即时通讯应用中发现令人担忧的词语（WhatsApp、Snapchat、Instagram、TikTok、Messenger、Telegram、Discord、Google 和三星的信息应用）。与词语清单（涵盖应用的 9 种语言，包括俚语）的比对在手机上完成；不会发送任何对话进行分析。
| 功能（家长可设置） | 发送到服务器的内容 | 谁能看到 | 保存多久 |
|---|---|---|---|
| 成人网站过滤 | 网站被拦截时：在动态中记一条“网站已拦截” | 家中的成年人 | 30 天 |
| 网站浏览记录 | 网站名称、日期、首次和最后一次访问时间、大致时长 | 仅家长 | 30 天，之后自动删除 |
| “风险网站”提醒（毒品、武器、约会交友、与陌生人聊天、赌博、自残……） | 网站名称及其类别，每个网站每天最多一次 | 家中的成年人（在动态中） | 30 天 |
| 即时通讯中的内容提醒 | 类别（自我伤害、敲诈或勒索、性内容或陌生人接近、威胁、武器、霸凌、仇恨、毒品、赌博）、应用名称，以及仅包含相关词语的那一句话，最多 200 个字符。绝不包括对话的其余部分，绝不包括发送者的名字。每个类别、每个应用最多每 30 分钟一次提醒。 | 那句话：仅家长。提醒条目（类别、应用）：家中的成年人 | 30 天，之后自动删除 |
| 各应用使用时间 | 每天每个应用：应用名称和总分钟数——绝不包括逐分钟的明细 | 仅家长 | 30 天，之后自动删除 |
| 已安装应用列表 | 每个应用的名称和技术标识符，便于家长选择要限时的应用 | 仅家长 | 每次更新时替换；孩子被移出家庭时删除 |
| 新应用审批 | 新安装应用的名称，以及家长的决定（允许或拒绝） | 家长（动态：家中的成年人） | 只要家存在就保留（以免每次重新安装都要重新询问） |
求助类网站（心理热线、自杀预防等）不在风险网站清单之列。提醒中的那句话可能是别人写给您孩子的；正因如此，它只向家长显示，并在 30 天后删除。这些词语清单刻意保持简单：它们可能在两个方向上出错（误报，或漏掉令人担忧的消息）。
8. 相机、麦克风、照片和 NFC
- 相机：用于扫描家里或篮子的二维码，以及在孩子端拍摄已完成任务的照片。
- 照片：仅限孩子选择为任务发送的照片。Joya Home 不会访问任何其他照片。
- 麦克风：仅在成年人为呼叫（“吃饭了！”）录制语音留言时使用，最长一分钟。
- NFC：家长端应用会在篮子的贴纸上写入一个包含秘密代码的链接；孩子把手机放上去时，孩子端应用读取这个链接。不会读取任何其他内容。
9. 通知
通知通过 Apple 的服务（APNs，用于 iPhone）和 Google 的服务（Firebase Cloud Messaging，用于 Android）发送。为了让通知有用，部分通知包含少量文字。具体如下：
| 通知 | 包含的内容 |
|---|---|
| 呼叫（“吃饭了！”） | 呼叫的标题、发起呼叫的成年人的名字、倒计时 |
| 暖心话及回复 | 作者的名字和暖心话的文字 |
| 时间申请、任务、惩罚 | 名字、分钟数、申请或任务的文字 |
| 到达或离开某地点、在两个家之间切换 | 孩子的名字和地点或家的名称 |
| SOS 求助 | 孩子的名字和电量——位置在应用中查看 |
| 电量低 | 孩子的名字和电量 |
| 安装了新应用（Android） | 孩子的名字和应用名称 |
| 风险网站 | 孩子的名字和网站名称 |
| 内容提醒 | 仅孩子的名字——绝不包含那句话，那句话需在应用中查看 |
| 保护已关闭 | 孩子的名字 |
| 门口的篮子 | 孩子的名字和暂停的结束时间 |
| 挑战、结果、每周测验、周日总结、徽章、本周冠军 | 名字、游戏、成绩、惩罚或奖励、本周摘要、徽章 |
| 时间存钱罐、“再玩 5 分钟？” | 名字和分钟数；“再玩 5 分钟？”还包括暂停的名称和答复 |
用于唤醒应用的“静默”通知只包含一个技术类型（例如“指令”），不含任何个人数据。
10. 电子邮件
Joya Home 发送的唯一一封电子邮件，是应家长要求发送的“忘记密码”6 位数验证码。它在 15 分钟内有效，我们只保存其散列值，并在其过期后约一小时自动删除。邮件从我们托管于 Gandi 的邮箱发出。我们绝不会给孩子写信。
11. 法律依据
- 履行合同（GDPR 第 6.1.b 条）：您的账户、您使用的功能、订阅及其在 Apple 或 Google 处的核验。
- 对于孩子的数据，本服务是应家长（行使亲权者）的要求并在其负责下使用的。监护类功能——定位和行程、网站浏览记录、内容提醒、各应用使用时间、应用审批——都是家长可以随时开启或关闭的选项；对于 15 岁以下的儿童，由家长代为同意（GDPR 第 8 条，法国《信息与自由法》第 45 条）。SOS 求助由孩子本人发起。
- 我们的合法利益（GDPR 第 6.1.f 条）：服务安全和防止滥用（尝试次数和发送次数限制、技术日志、免费试用仅限一次）。
12. 数据存放地点及我们的服务提供商
| 服务提供商 | 作用 | 地点 |
|---|---|---|
| Render Services, Inc. | 服务器托管 | 法兰克福（德国） |
| MongoDB, Inc.（MongoDB Atlas） | 数据库，磁盘加密 | 法兰克福（德国） |
| Apple Inc. | iPhone 通知（APNs）、“通过 Apple 登录”、屏幕使用时间、App Store 和订阅、iPhone 上的地图底图（地图） | 美国及全球 |
| Google LLC（含 Firebase） | Android 通知（Firebase Cloud Messaging）、“通过 Google 登录”、Google Play 和订阅、Android 上的 Google 地图底图 | 美国及全球 |
| OpenStreetMap Foundation | 在 Android 上未使用 Google 地图时提供地图底图（仅地图图片） | 英国及欧洲 |
| Gandi SAS | 发送“忘记密码”邮件、联系邮箱 | 法国 |
| Cloudflare, Inc. | 托管本网站（不含任何应用数据） | 美国及全球 |
Render、MongoDB、Apple、Google 和 Cloudflare 均为美国公司。任何向欧盟以外的传输均受 GDPR 规定的保障措施约束（欧盟委员会标准合同条款、欧盟—美国数据隐私框架，或针对英国的充分性认定）。订阅付款由 Apple 或 Google 处理：我们绝不会收到您的银行信息。
13. 保存多久
| 数据 | 期限 |
|---|---|
| 行程（有意义的位置） | 30 天，自动删除 |
| SOS 求助（含位置） | 30 天，自动删除 |
| 网站浏览记录（Android） | 最后一次访问后 30 天，自动删除 |
| 提醒中的那句话（Android） | 30 天，自动删除 |
| 各应用使用时间（Android） | 30 天，自动删除 |
| 呼叫和语音留言、暖心话、家庭动态 | 30 天，自动删除 |
| 申请和任务的照片 | 申请后 30 天删除（申请处理完毕后）；申请本身保留在家庭记录中 |
| 每周测验、练习和知识对决的答题记录（题目类型、对错、答题用时） | 400 天，自动删除（用于一年的进步曲线） |
| 时间存钱罐（存入记录和历史）以及“再玩 5 分钟？”申请 | 30 天，自动删除（存钱罐里的一笔存入在到期 30 天后删除） |
| “忘记密码”验证码 | 15 分钟内有效，约一小时后自动删除 |
| 孩子的当前位置 | 只保留最新的一个，每次更新时替换，在两个家之间切换时以及孩子被移出家庭时删除 |
| 电量 | 只保留最新的数值 |
| 孩子的账户（名字、出生日期、设置、手机状态、应用列表）、每周测验成绩、薄弱点记忆、进步、徽章和每周总结 | 直到家长将其移出家庭，或直到家被删除 |
| 订阅数据 | 只要家存在就保留；随家一起删除。会计义务涉及的是销售记录，由 Apple 和 Google 保存。 |
| “已使用过免费试用”的散列值 | 账户删除后仍会保留，以确保试用只提供一次；它只是一个散列值，不含地址或姓名 |
| 其余所有数据（时段、地点、挑战和积分、冠军、任务、家庭问答、篮子及放入记录、已批准的应用、每日屏幕时间） | 只要家存在就保留：当最后一位家长删除账户时，全部删除 |
14. 家庭中谁能看到什么
| 谁 | 能看到什么 |
|---|---|
| 家长 | 与自己家有关的一切：动态、地图、位置和行程、电量、SOS 求助、访问过的网站、各应用使用时间、新应用、提醒中的句子、任务照片、本周算术成绩 |
| 保姆、爷爷奶奶 | 家庭动态、呼叫、申请及其照片、算术成绩、SOS 求助——看不到地图、行程、网站浏览记录、各应用使用时间、提醒中的句子，也看不到设置 |
| 另一个家（父母分开） | 看不到您家里发生的任何事：只知道孩子“在他的另一个家” |
| 孩子 | 他自己的呼叫、任务、挑战和成绩、家庭成员的名字、本周积分和冠军，以及“你的父母能看到”列表 |
| 来玩的小伙伴 | 在自己手机上看到家里的规则，直到午夜 |
15. 对孩子的透明
Joya Home 拒绝暗中监控。在 Joya Home Kids 的“我的家”栏目中，有一个“你的父母能看到”列表，内容与他手机的实际设置一致：他的屏幕时间、手机电量，开启定位时的“你在哪里，以及你过去 30 天的行程”，在 Android 上还有“你访问的网站”“附带问题句子的提醒”“你在每个应用上花的时间”和“你安装的新应用”。列表还写明：“绝不会看到你所有的对话，也不会看到你的照片。”
在 Android 上，请求无障碍权限的界面也会这样告诉孩子。我们建议您在安装时和孩子聊一聊这些内容。
16. 我们不做的事
- 没有广告，无论是家长端还是儿童端应用。
- 不出售或出租数据，不做广告画像。
- 应用中没有任何其他公司的统计或追踪工具。
- 不发送完整对话、完整网址或所访问网页的内容。
- 定位关闭时不进行持续的位置追踪（只有孩子本人发起的 SOS 求助会发送他当时的位置）。
- 不访问通讯录，也不访问为任务发送的照片以外的任何照片。
- 没有公开资料，陌生人也无法在 Joya Home 中联系孩子。
17. 安全
与服务器的通信均经过加密（HTTPS）。密码只以散列值（bcrypt）的形式保存，“忘记密码”验证码也是如此（HMAC 散列）。Apple 和 Google 的登录通过其签名进行验证，购买则向 Apple 或 Google 核实。每个家都相互隔离：任何人都无法读取另一个家庭的数据，即使是同一个孩子的两个家之间也是如此。位置、行程、网站浏览记录、各应用使用时间和提醒中的句子只有家长能读取。如发生数据泄露，我们会在 72 小时内通知 CNIL，并在法律要求时通知相关家庭。
18. 您的权利
您可以为自己以及您的未成年子女：访问您的数据并获取副本、要求更正、要求删除、要求限制处理、提出反对、要求数据可携、随时撤回同意，以及就您身故后数据的处理方式作出指示。
- 删除您的账户：直接在应用中操作，或通过电子邮件（见删除我的账户）。
- 其他所有事项：请写信至 contact@joyahomekids.com。我们最迟在一个月内答复。我们可能会要求您证明该账户属于您。
- 儿童或青少年也可以亲自给我们写信。
如果您对我们的答复不满意，可以向 CNIL 提出申诉：3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr。
19. 修改
本政策可能随应用的发展而更新。以页面顶部的日期为准。如有重大变更，我们会在生效前通知您。