TellDone（以下简称“我们”）是一款以语音为核心的规划应用，由 Evgheni Taracanov（一名自然人）运营。本隐私政策说明当您使用我们的移动应用（iOS、watchOS）、位于 app.telldone.app 的网页应用及云服务（统称“服务”）时，我们如何收集、使用、存储和保护您的个人数据。
使用本服务即表示您已阅读并理解本隐私政策。如您不同意，请停止使用本服务。
如果您连接 Todoist、Notion 或 Microsoft To Do，授权在我们的服务器上完成，我们会在应用层加密存储以下数据：
您可随时在“设置 → 集成”中断开任何集成。断开时，我们会向第三方撤销相关 OAuth 令牌（如第三方提供撤销接口），从数据库中删除存储的令牌，并停止同步。此前从 TellDone 同步到第三方服务的条目不会被自动删除；如有需要，您可在该服务中手动删除。
以下法律依据适用于 GDPR/UK GDPR；在加利福尼亚州、瑞士及其他类似法规下同等适用。
| 目的 | 使用的数据 | 法律依据 |
|---|---|---|
| 提供服务 | 音频、账户、内容 | 合同履行，第 6(1)(b) 条 |
| 生成生产力报告 | 笔记、任务、事件 | 合同履行 |
| 发送邮件报告 | 邮件、笔记、任务 | 同意（可在设置中退出） |
| 多设备同步 | 所有内容、设备 ID | 合同履行 |
| 第三方集成（Todoist、Notion、Google Tasks、Apple Calendar、Apple Reminders、Things 3、Microsoft To Do、Apple Notes、Apple Journal） | 您同步的条目；仅限我们在服务器上保存的集成才涉及 OAuth 令牌 | 同意（用户针对每项集成主动发起连接） |
| Sign in with Apple / Google | Apple/Google sub 声明、姓名、邮件 | 合同履行（账户创建和身份验证） |
| 配额执行和计费 | 使用计数 | 合同履行 |
| 安全与欺诈预防 | 登录尝试、设备数据 | 合法权益，第 6(1)(f) 条 |
| 服务改进与调试 | 匿名化错误日志 | 合法权益 |
我们不会：
我们使用以下第三方服务提供核心功能。您的数据依据与各提供商签订的数据处理协议（DPA）进行处理（提供商作为我们的处理商），或依据提供商自身条款进行处理（提供商作为独立身份提供商）：
| 服务 | 角色 | 目的 | 共享的数据 | 所在地 |
|---|---|---|---|---|
| netcup GmbH | 处理商 | 托管应用程序、数据库和对象存储 | 所有账户数据、音频录音、转录文本及生成内容 | 德国 |
| Hetzner Online GmbH | 处理商 | 加密异地备份 | 数据库及音频录音的加密副本 | 德国 |
| Soniox | 处理商 | 语音转文字转录 | 音频录音 | 美国或欧盟，取决于您账户的注册地 |
| OpenAI | 处理商 | AI 分析、笔记结构化、嵌入、报告生成 | 转录文本、任务及报告上下文 | 美国或欧盟 |
| Fireworks AI | 处理商 | AI 分析与笔记结构化 | 转录文本、任务及报告上下文 | 美国或欧盟 |
| Mistral AI | 处理商 | AI 分析与笔记结构化 | 转录文本、任务及报告上下文 | 美国或欧盟 |
| Resend | 处理商 | 事务性邮件投递 | 电子邮件地址、报告内容 | 美国 |
| Paddle.com Market Ltd | 记录商户 / 处理商 | 网页版订阅计费、付款处理、开具发票、退款 | 计费姓名及联系方式、交易数据（不含完整卡号） | 英国 / 欧盟 |
| Apple Inc. | 独立控制者 | Sign in with Apple 身份提供商；私密邮件中继 | Sign in with Apple 标识符、姓名（如已共享）、中继邮件（如选择隐藏邮件） | 美国 |
| Google LLC | 独立控制者 | Sign in with Google 身份提供商 | Google sub 声明、姓名、邮件 | 美国 |
| Google LLC | 独立控制者 | Google Tasks 同步（连接后） | 您在 TellDone 中创建的任务内容 | 美国 |
| Notion Labs, Inc. | 独立控制者 | Notion 同步（通过 OAuth 连接 Notion 后） | 您同步条目的页面/数据库内容 | 美国 |
| Doist S.L.（Todoist） | 独立控制者 | Todoist 同步（通过 OAuth 连接 Todoist 后） | 您同步条目的任务内容 | 欧盟 |
| Cultured Code GmbH（Things） | 独立控制者 | Things 同步（连接 Things 后） | 您同步条目的任务内容 | 德国 |
| Microsoft Corporation | 独立控制者 | Microsoft To Do 任务同步（连接后） | 您同步条目的任务内容 | 美国 |
所有第三方处理商均通过合同约束，仅按我们的指示处理您的数据，并维持适当的安全措施。这些提供商均不会使用您的数据训练其 AI 模型。上表中列为“独立控制者”的 Apple、Google、Notion、Doist、Cultured Code 和 Microsoft 服务，一旦数据进入其系统，将依据各自的隐私政策处理您的数据。建议您查阅：
如果您通过用户 MCP 端点连接外部 AI 客户端（参见服务条款第 23 节），该客户端并非我们的处理商。它是根据您的指示、在您授予的凭据下行事：我们仅传输该客户端所发出的特定工具调用的响应，而该客户端的供应商如何处理这些响应，则受该供应商自身隐私政策的约束。我们绝不会将您的账户内容批量发送给此类客户端，也绝不会为完成您的请求以外的任何目的与该供应商共享这些内容。您可随时在“设置 → 集成 → AI 代理”中撤销某个客户端的访问权限。
我们的服务器位于欧洲（德国），处于欧洲经济区内。由于数据控制者居住在罗马尼亚（欧盟成员国），EEA 内部传输无需单独的传输机制。第 3 条所列的部分第三方处理商和身份提供商位于美国。语音转文字处理根据您账户的注册地在美国或欧盟运行；语言处理目前在美国或欧盟运行，尚未与您的账户注册地绑定。对于这些传输，我们依赖：
您可通过发送邮件至 support@telldone.app，索取我们就某项特定传输所依赖的保障措施副本（例如相关的标准合同条款）。
| 数据类型 | 保留期限 |
|---|---|
| 账户数据 | 至账户删除 |
| 音频录音 | 至您删除或账户删除 |
| 笔记、任务、事件 | 至您删除或账户删除 |
| 软删除条目（回收站） | 免费版：7天 · 基础版：30天 · 专业版：90天 · 旗舰版：365天 |
| 报告 | 至账户删除 |
| 我们保存的 OAuth 集成令牌（Todoist、Notion、Microsoft To Do） | 至您断开集成或删除账户；断开时在技术可行的情况下向提供商撤销令牌。Google Tasks 和 Things 3 在您的设备上完成授权，我们从不接收这些令牌；Apple Calendar 和 Apple Reminders 使用 iOS 系统权限，完全不涉及令牌 |
| Sign in with Apple/Google 标识符 | 至账户删除；删除时我们会尝试通过 Apple 的 REST 接口撤销刷新令牌，无论该调用是否成功，删除都会继续进行 |
| API 使用日志 | 12 个月后匿名化 |
| 错误日志 | 30 天 |
| 备份（加密） | 持续轮换；已删除账户的数据可能在月度备份快照中保留最长 6 个月 |
| 数据导出（GDPR / CCPA） | 生成后 48 小时删除 |
确认删除后，请求将在 7 天宽限期后执行。您可在宽限期到期前随时取消待处理的删除请求。宽限期结束后，所有个人数据将被永久删除，包括：数据库记录（级联删除）、对象存储中的音频文件、OAuth 令牌（在可能的情况下向第三方撤销）、Apple 刷新令牌（通过 Apple REST API 撤销）、GDPR/CCPA 导出文件及 Redis 配额计数器。整个流程无需人工审核。
如果您位于欧洲经济区、英国或瑞士，您享有以下权利：
如果您是加利福尼亚州居民，您有权：
依 CCPA/CPRA 收集的个人信息类别：标识符（邮件、Apple/Google sub 声明、设备 UUID）；音频和电子信息（语音录音）；网络活动（使用日志）；敏感个人信息（音频录音，其中可能包含用户选择录制的敏感内容）。
我们的网站（telldone.app）。使用 Google Analytics 4 统计整个网站的基本访问数据，仅在您接受 Cookie 通知后加载。我们不使用广告 Cookie、追踪像素或跨站追踪器。字体等资源均由我们自己的服务器提供，页面不会连接第三方内容分发网络。
网页应用（app.telldone.app）。完全不发送任何使用分析数据。会发送技术性错误报告——例如录音失败、上传失败、连接中断。您可在“设置 → 数据与隐私”中关闭该功能；该设置仅适用于当前浏览器，不会在其他浏览器或设备间同步。
iPhone 和 Apple Watch 应用。不包含广告 SDK、第三方分析 SDK 或追踪 SDK，也不会显示 App Tracking Transparency 提示，因为我们不在该意义上追踪您。应用会发送两类独立的数据流：
本服务不面向 16 岁以下儿童，我们不会故意收集 16 岁以下任何人的个人信息。在美国，本服务不在《儿童在线隐私保护法》（COPPA）意义上面向 13 岁以下儿童，我们不会故意收集 13 岁以下儿童的个人信息。如发现我们收集了未达适用最低年龄的儿童数据，我们将立即删除。如您认为儿童向我们提供了个人数据，请联系 support@telldone.app，我们将立即采取行动。
我们可能会不时更新本隐私政策。当我们作出重大变更（即实质性影响我们收集或使用数据方式的变更，包括对 Google API 用户数据或 Sign in with Apple 数据使用方式的任何变更），我们将：
如您不同意变更，可在生效日期前关闭账户，我们不会对您适用变更后的政策。
TellDone 对从 Google API 接收的信息的使用和向其他应用的传输，将遵守 Google API 服务用户数据政策，包括限制用途要求。
https://developers.google.com/terms/api-services-user-data-policy
具体而言：
您可随时在 https://myaccount.google.com/permissions 撤销我们对您 Google 账户的访问权限，也可在 TellDone“设置 → 集成”中断开连接。
如果您连接 Microsoft To Do，TellDone 将提供一项可选的、严格由用户主动发起的双向同步功能，用于同步 TellDone 与您的 Microsoft To Do 账户之间的任务。该集成适用于 Basic 及以上套餐（Basic 套餐包含一个集成名额；Pro 及以上套餐包含无限集成），且仅在您完成 Microsoft 的 OAuth 授权流程后才会连接。TellDone 是一款与 Microsoft To Do 协同工作的独立应用；我们与 Microsoft 之间不存在关联、赞助或背书关系。
授权通过 Microsoft 身份平台（OAuth 2.0，认证机构为 login.microsoftonline.com/common）完成，同时支持个人 Microsoft 账户及工作或学校账户。我们仅请求委托权限（即代表您行事的权限；我们绝不请求仅限应用程序或管理员权限）：
我们不使用管理员（“admin consent”）权限；每位用户均针对自己的账户单独同意授权。集成启用后，我们会在您的 Microsoft To Do 中创建一个名为“TellDone”的专属任务列表，并将您 TellDone 任务的标题、描述、截止日期和完成状态写入该列表。我们会轮询该“TellDone”列表（使用增量查询，大约每五分钟一次）以获取完成和删除方面的变更，并将其反映回 TellDone。我们仅与我们创建的“TellDone”列表交互；不会读取您的其他 Microsoft To Do 列表。我们绝不会使用从 Microsoft 获取的数据来开发、改进或训练 AI 或机器学习模型，也不会将其用于广告。
您的 Microsoft OAuth 访问令牌和刷新令牌以加密方式（Fernet 对称加密）存储在我们的数据库中，且刷新令牌轮换会被持久化，以确保连接保持有效。我们的生产服务器位于欧盟（德国）。
您可随时在 TellDone“设置 → 集成”中断开 Microsoft To Do。断开连接会立即删除存储在我们服务器上的令牌并停止同步。在 TellDone 中断开连接本身并不会撤销 TellDone 在 Microsoft 一侧的授权；如需同时撤销该授权，请在您的 Microsoft 账户设置中撤销 TellDone 的访问权限，网址为 https://account.live.com/consent/Manage。此前写入“TellDone”列表的任务在您断开连接时不会从您的 Microsoft To Do 中自动删除；如有需要，您可在 Microsoft To Do 中手动删除。
我们对 Microsoft API 的使用须遵守 Microsoft API 使用条款；一旦您的数据进入 Microsoft 的系统，将受 Microsoft 服务协议及 Microsoft 隐私声明的约束，详见 https://privacy.microsoft.com/privacystatement。
当您使用 Sign in with Apple 时，我们仅接收 Apple 提供的数据：
我们仅将这些数据用于创建和验证您的 TellDone 账户，以及（对于电子邮件地址）向您发送报告摘要、密码重置、安全通知等事务性邮件。我们不尝试对中继地址进行去匿名化处理，不向中继地址发送营销邮件，并尊重您在 Apple ID 设置中关闭邮件转发的选择。
当您删除 TellDone 账户时，我们会调用 Apple Sign in with Apple REST 撤销接口使颁发给我们的刷新令牌失效，同时删除我们这侧的账户数据。您也可随时在 iOS“设置 → [您的姓名] → 使用 Apple 登录”中撤销 Apple 的授权，或访问 https://appleid.apple.com。
当您通过 OAuth 连接 Notion 时，系统会跳转至 Notion 的授权页面，由您选择 TellDone 可访问的工作区及具体页面或数据库。我们只能看到您授权的资源，无法读取工作区中的其他内容。我们仅通过此访问权限创建、读取、更新和删除与您的 TellDone 笔记、任务或事件对应的条目。我们绝不使用您的 Notion 内容训练任何 AI 模型，也不会将其共享给第 3 条所列数据处理商以外的任何方，且严格限于提供同步功能。
当您通过 OAuth 连接 Todoist 时，我们仅请求两个精确的权限范围：data:read_write 和 data:delete。我们仅将此访问权限用于创建、读取、更新、完成及（如您选择加入）删除与您的 TellDone 任务对应的任务。我们不使用您的 Todoist 内容训练任何 AI 模型，也不会将其共享给第 3 条所列数据处理商以外的任何方。
您可随时在 TellDone“设置 → 集成”中断开任一集成；断开时我们会向提供商撤销 OAuth 令牌。您也可直接撤销集成：
本隐私政策下个人数据的数据控制者为 Evgheni Taracanov，一名自然人，以 TellDone 名义经营，联系方式如下：
地址：Mun. București, Sec. 3, Str. Lăcrămioarei nr. 35-37, bl. 3-4, sc. 2, et. 1, ap. 45, Romania
邮件：support@telldone.app
电话：+40 720 236 439
网站：https://telldone.app
如果您认为您的数据保护权利受到侵犯，您有权向当地数据保护监管机构提出投诉。数据控制者的主管监管机构为罗马尼亚个人数据处理监督局（Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal，ANSPDCP），网址：https://www.dataprotection.ro。其他欧洲经济区成员国的用户也可向当地监管机构提出投诉。
本隐私政策适用于 TellDone 移动应用（iOS、watchOS）、位于 app.telldone.app 的网页应用及 api.telldone.app 云服务。本政策不适用于从我们应用链接的第三方服务（Notion、Todoist、Things、Google、Apple、Microsoft 等），这些服务有各自的隐私政策。
本隐私政策适用于 TellDone 移动应用（iOS、watchOS）、位于 app.telldone.app 的网页应用及 api.telldone.app 云服务。本政策不适用于从我们应用链接的第三方服务（Notion、Todoist、Things、Google、Apple、Microsoft 等），这些服务有各自的隐私政策。