隐私政策
1. 谁负责你的数据
【待填：运营实体名称】（地址：【待填：注册地址】）是 KIVO 的个人信息控制者。联系：support@kivosocial.ai。
2. 我们收集什么
- 账号：用户 ID、用户名、头像网址、你用来登录与主动绑定的钱包地址（公开的区块链地址）。
- 头像与显示名称（可选）：你自己设置的头像与名称。头像上传之前，你的设备会把它重新编码成 512×512 的 JPEG，这样会移除位置等 EXIF 数据（见第 10 节）。
- 聊天：消息、你选择发送的照片、视频（包括圆形视频）、语音消息与 PDF、表情回应与举报。
- 公开动态：你发布的动态、评论与图片，你的点赞与关注，站内通知，以及被举报动态和评论的副本（见第 10A 节）。
- 钱包读取：为了显示余额与交易记录，App 经 KIVO 的服务器向区块链服务商查询你的地址；你批准的交易经同一路径模拟与广播。
- 通知：推送令牌；开启到账通知时登记的地址。
- 地区：Android 的 SIM 国家；由 IP 地址推断的国家（IP 地址只在查询时使用，不会写入我们的数据库）。
- 安全：收款地址与你连接钱包的网站域名（风险检查）、设备完整性信号与设备型号（见第 8 节）。
- 诊断与使用：崩溃与错误报告、匿名的使用事件。
- 支持与删号请求：你写信到 support@kivosocial.ai（包括通过电子邮件提出删号请求）时，我们会收到你的电子邮件地址、邮件内容与你附上的签名声明，只用来回复与处理这项请求，不作其他用途；处理完后最多保留 12 个月。
除此之外，我们不收集：电话号码、通讯录、精确位置（电子邮件地址只在你写信给我们时收到），不会要求你提供真实姓名，也永远不会收到你的助记词、私钥、钱包密码或钱包备份。
有些设置只留在你的设备上，不会发送给 KIVO：计价货币、隐藏余额、自动锁定时间、聊天背景与地址簿标签。汇率由 KIVO 的服务器向 CoinGecko 获取，这些请求不含任何用户数据。
3. 聊天
聊天由 KIVO 运营，消息与附件由 Supabase 存储在新加坡（ap-southeast-1 区域）。聊天不是端到端加密：KIVO 的服务器存有你的消息与附件。消息被举报，或命中我们的诈骗话术过滤时，运营人员可以看到内容并进行审核。聊天通知由 KIVO 的服务器经 Apple / Google 推送服务送达，内容含发送者名称与消息摘要。
你举报一条消息时，KIVO 的服务器会保存这条消息和对方在同一个对话里最近的消息（含被举报的那条，最多 5 条）的副本，内容是发送者、时间、文字与附件；已删除的消息只记录为已删除。只有你是这个对话的成员、看得到这条消息时才会保存。这些副本只有 KIVO 的服务器与运营人员能读取，你和对方都读不到，也不会发送给 OpenAI。对方之后删除消息，副本仍会保留（见第 13 节）。
4. AI 内容审核
你同意后，你在社群房间发送的消息文字与图片链接会发送给 OpenAI（美国）做自动内容审核，依 OpenAI 的 API 数据使用政策处理。私聊与普通群组的文字和图片不会发送给 OpenAI。这项同意不能单独撤回；撤回的方法是删除账号。
公开动态与社群房间用同一项同意。你同意后，你发布的动态和评论的文字，以及动态里图片的链接，会在发布后发送给 OpenAI（美国）做自动内容审核，依 OpenAI 的 API 数据使用政策处理。详见第 10A 节。
头像不做自动或 AI 审核，也不会发送给 OpenAI，所以不需要另外同意。详见第 10 节。
5. 安全检查
你发送资产之前，收款地址与链会由 KIVO 的服务器发给 GoPlus Security 做风险查询；你在浏览器或经 WalletConnect 连接钱包时，该网站的域名也会由服务器发给 GoPlus 查询。GoPlus 收不到你的账号或 IP；结果按地址或域名缓存 24 小时，不与你的账号关联。钓鱼网站名单由 App 从 KIVO 的服务器下载、在设备上比对，不会上传你的浏览记录。
6. 地区判断
KIVO 依地区提供功能。地区由 Android 的 SIM 国家，以及 KIVO 服务器用 MaxMind GeoLite2 数据库从你的 IP 地址推断的国家判断。IP 地址只在查询时使用，不会写入我们的数据库；它可能短暂出现在基础设施供应商的请求日志中（最多 7 天）。被拒绝的请求会记录国家代码与账号，保留 24 个月；删除账号时移除与账号的关联。
7. 诊断与使用分析
崩溃与错误报告由 Sentry 处理，不存储 IP 地址，并移除助记词、密码与密钥等内容。PostHog 从 App 第一次启动起以随机的安装 ID 记录匿名使用事件（例如打开与切到后台、安全相关的计数），不与你的账号关联，并丢弃 IP 地址。
8. 设备安全
App 使用 Talsec 的 freeRASP 检测 root、越狱、被篡改或被注入的设备。Talsec 会收到检测结果与其他设备及 App 完整性信号、设备型号，以及匿名的 App 实例标识符与设备标识符；Talsec 的服务器还会从发送这些报告的 IP 地址推断大致位置（国家、地区与城市）与网络运营商。这些数据都不与你的 KIVO 账号关联。依 Talsec 的政策，这些记录保留 12 个月；除了为我们生成安全报告，Talsec 也会把它们用于自己的用途，例如改进其产品、撰写安全报告与文章，因此除非与 Talsec 的书面协议另有约定，我们把这些数据视为与 Talsec 共享。检测到风险时，App 会限制敏感操作，而不是拒绝使用。
9. 推送通知
钱包的到账通知经 Expo 的推送服务转给 Apple / Google，内容固定为“你有一笔新到账”，不含金额、地址或交易哈希。
10. 头像与显示名称
两者都是可选的。头像发布后，所有 KIVO 用户都能看到；显示名称同样看得到。
你上传的每张头像会先放到私有上传区。KIVO 的服务器只检查它在你自己的上传路径内、是 JPEG、没有超过大小上限，然后立即发布。头像不做自动或 AI 审核，发布前没有人检查内容，也不会发送给 OpenAI，所以不需要另外同意。
上传区里的副本在发布后立即删除；留下的文件（例如上传后放弃的）由每晚的清理任务删除，最多约 48 小时；删除账号时一并删除（见第 13 节）。
已发布的头像由 Supabase 存放在新加坡的公开可读存储空间：任何人只要有头像的链接就能打开。
更换或移除头像时，旧头像通常会一并删除。删除账号时，你的所有头像与显示名称都会删除。
服务条款第 8 节的社群守则同样适用于头像与显示名称。你可以举报其他用户，运营人员可以移除被举报的头像。
10A. 公开动态
KIVO 有公开动态。设好用户名、接受服务条款、同意 AI 审核并确认年满 18 岁之后，你可以发布文字和最多 4 张图片的动态，也可以点赞、评论和关注其他用户。
谁看得到
动态和评论在 KIVO 内是公开的：所有通过 App 门控（用户名、服务条款、AI 审核同意、年龄与地区）的 KIVO 用户都看得到，不限于关注你的人。点赞数、评论数、你的动态数、粉丝数和关注数同样看得到，其他用户还可以打开你的粉丝与关注列表。好友会自动互相关注，每个账号都会自动关注 KIVO 的官方账号，所以你的好友可能出现在这些列表里。其他用户可以保存或截图你发布的内容，他们存下的东西我们无法收回。
你屏蔽对方或对方屏蔽你之后，双方互相看不到动态、评论和通知，彼此的关注也会取消。被停用账号的动态和评论不再对其他人显示。被审核隐藏的动态和评论只有作者本人看得到。运营人员可以看到所有动态和评论，包括被隐藏的。
时间线显示你关注的人和你自己的动态；发现页先显示我们精选的动态，其余最近的动态按点赞、评论与发布时间排序。两者都不做个性化推荐。
图片与链接
图片上传之前，你的设备会把它重新编码成 JPEG，这样会移除位置等 EXIF 数据。图片由 Supabase 存放在新加坡的私有存储空间，App 用签名链接读取，每个链接最长有效 24 小时：任何人只要有这个链接，在到期之前都能打开图片，即使动态之后被隐藏。动态里的链接会在 App 内置浏览器打开，打开前会比对钓鱼名单（见第 5 节）。动态不显示链接预览卡。
审核
动态和评论先发布、后审核。发布之前，文字要过我们的词表：辱骂与威胁会被拦下，邀请码、返佣与推荐推广也会被拦下；命中诈骗话术的内容照常可见，但不进发现页，并进入人工审核。发布之后，动态和评论的文字、动态里图片的链接会发送给 OpenAI（美国）做自动内容审核（见第 4 节）。被判定为高风险的内容会自动隐藏，其他被标记的内容仍然可见，两者都进入人工审核。图片审核涵盖色情、自残与暴力内容，并不涵盖所有内容。
删除与保留
你可以随时删除自己的动态和评论，动态作者也可以删除自己动态下的评论。删除动态时，它的评论和点赞会一并删除。删除后内容立即移除，图片由每晚的清理任务清除。上传了但没有发布的图片，满 1 天后由每晚的清理任务删除，最多约 48 小时。站内通知（点赞、评论、关注；评论通知含评论开头最多 80 个字符）保留 90 天。
删除账号时，你的动态、评论、点赞、关注和通知都会删除，图片由每晚的清理任务清除。
举报时保存的副本
你举报动态或评论时，KIVO 的服务器会保存它的副本，内容是作者、动态或评论 ID、时间、文字与图片路径。只有你看得到这条内容时才会保存，举报都会照常提交。这些副本只有 KIVO 的服务器与运营人员能读取，你和作者都读不到，也不会发送给 OpenAI。
副本跟着审核记录走，举报处理完 12 个月后删除（见第 13 节），即使作者已删除动态或评论；还没处理的记录不会删除。副本存在期间，它引用的图片会保留，所以被举报的图片在动态删除后仍可能留在我们的存储空间。
举报人删除账号时，移除与举报人的关联。作者删除账号时，移除内容并去标识化。例外：举报类别是违法内容，或运营人员手动保全副本时，副本不因作者删除账号而移除，保留至处理完 12 个月。运营人员解除保全时（例如举报不成立），内容在解除时移除。举报类别是违法内容时，系统还会发出内部警报。
11. 代表我们处理数据的服务商
- Supabase（新加坡）：账号与应用数据库、聊天消息与附件、公开动态与图片、文件存储、服务器函数。
- OpenAI（美国）：经你同意后的社群房间与公开动态自动审核。
- GoPlus Security：收款地址与连接网站的风险检查。
- Alchemy（美国）：EVM 链的余额、记录、交易模拟与广播（经 KIVO 服务器）。
- Reown (WalletConnect)：WalletConnect 连接与外部钱包登录的加密中继。
- Expo（美国）：钱包通知的转发。
- Apple Push Notification service and Firebase Cloud Messaging：把通知送到你的设备。
- Sentry（美国）：崩溃与错误报告。
- PostHog（美国）：匿名使用分析。
- Talsec (freeRASP)（欧盟）：设备完整性检测。
- Fly.io（新加坡）：KIVO 后台服务的主机（通知、审核、名单更新）。
- Cloudflare：app.kivosocial.ai 网站的托管与 DNS，以及发到 support@ 与 security@kivosocial.ai 的邮件转发。
- 【待填：接收转发邮件的邮箱服务商】：接收从 support@kivosocial.ai 转发来的邮件的邮箱（支持请求与通过电子邮件提出的删号请求）。
12. 跨境处理
你的数据会在新加坡、美国、欧盟以及上述服务商运营的其他地方处理。我们只把完成上述用途所需的数据交给服务商，并要求它们按合同保护数据。
13. 保留期
| 数据 | 保留 |
|---|---|
| 账号数据、绑定地址、推送令牌、同意记录 | 至删除账号 |
| 聊天消息与附件 | 至你删除消息或删除账号（私聊对双方一并删除）；举报时保存的副本见下一行 |
| 举报时保存的消息副本与附件 | 处理完 12 个月，即使发送者已删除消息。发送者删除账号时移除内容并去标识化；举报人删除账号时移除与举报人的关联。例外：举报类别是违法内容，或我们确认内容违法时，副本不因发送者删除账号而移除，保留至处理完 12 个月，以便依法向执法机关报告；举报不成立的，这项例外在结案时结束 |
| 头像与显示名称 | 至你更换、移除或删除账号（更换或移除头像时，旧头像通常会一并删除） |
| 私有上传区里的头像 | 发布后立即删除；留下的文件（例如上传后放弃的）由每晚的清理任务删除，最多约 48 小时；删除账号时一并删除 |
| 举报与审核记录 | 处理完 12 个月；删除账号时移除内容并去标识化 |
| 地区拒绝记录 | 24 个月；删除账号时移除与账号的关联 |
| 审核窗口记录 | 180 天 |
| 链接预览缓存 | 48 小时 |
| 崩溃报告 | 最多 90 天 |
| 使用分析 | 最多 12 个月 |
| 数据库备份 | 最多 7 天 |
| 支持与删号请求的往来邮件 | 处理完后最多 12 个月 |
| app.kivosocial.ai 网站的访客请求数据 | 我们自己不保存访问日志；Cloudflare（托管与 CDN）作为处理方，按其政策处理请求数据（含 IP 地址），其控制台的抽样请求记录最多保留 31 天 |
14. 你的权利
你可以要求查阅、更正或删除你的个人信息（香港《个人资料（私隐）条例》、马来西亚《个人资料保护法》等）。在 App 里可以直接删除账号；其他请求发到 support@kivosocial.ai，我们会在法律规定的期限内回复。
15. 儿童
KIVO 只供年满 18 岁的人使用。如果我们知道某个账号属于未满 18 岁的人，会删除该账号。
16. 安全
传输一律加密；数据库每张表都有访问控制；KIVO 的服务器从不接收助记词、私钥或钱包备份。
17. 来源与署名
This product includes GeoLite Data created by MaxMind, available from https://www.maxmind.com.（MaxMind）
18. 更新
我们可能更新本政策；重大变更会在 App 内通知。