隐私政策

1. Giữ Lửa 存储哪些信息

Giữ Lửa 存储您自行输入的内容：亲人的姓名、去世日期与时间、照片；您撰写或附加的信件、照片和录音；上香次数；手续清单的进度；讣告和忌日邀请函草稿（出生年份、籍贯、丧礼日程、家人姓名、地点，以及您填写的联系电话）；用于填写祭文的信息（祭拜人的姓名和地址、对逝者的称呼、墓地所在地）；以及您的各项设置。

2. 默认情况下，一切都保存在您的手机上

在您登录之前，所有数据仅保存在这部手机上。我们不会收到任何副本。如果您在未备份的情况下删除应用，数据将会丢失。

3. 当您登录时

我们保存您的电子邮箱，以便您通过验证码登录。使用免费账户时，您的数据仍只保存在手机上；登录仅用于在家人邀请时加入共享祭坛。开通 Premium 后，您的数据（包括讣告草稿、邀请函和祭文信息）将备份到由 Supabase 运营的服务器上，且只能通过应用以您的账户访问。数据在传输和存储时均经过加密，但并非端到端加密，这意味着服务运营方在技术上能够访问这些数据。我们不会阅读您的信件内容。

4. 与家人共享祭坛

只有在您主动共享时，亲人的姓名、去世日期与时间、上香次数，以及您为其撰写的讣告和忌日邀请函草稿，才会保存在服务器上，供您邀请的家人查看。家人通过邀请码加入，可以看到彼此的显示名称（看不到电子邮箱），以及今天谁上过香。您的信件默认仅您本人可读。如果您为一封文字信件开启“让家人一起读”，该信件的文字内容将保存在服务器上，供共享祭坛的成员阅读；约定在忌日开启的信件在开启日之前仍对家人保密。您可以随时关闭共享，将该信件从服务器上移除。您的照片、录音和祈祷词永远不会被共享。当您退出或被移出祭坛时，您共享过的信件也会从该祭坛中移除。您可以随时移除成员或停止共享。

5. 发送讣告、邀请函和祭文

当您发送讣告、邀请卡、日历文件或祭文时，应用只会打开手机的分享面板；内容将直接发送到您选择的应用（Zalo、Facebook、短信等），此后受该应用的政策约束。以这种方式发送的内容不会保存在 Giữ Lửa 的服务器上。这些内容通常包含家中其他成员的姓名和详细信息，因此请只发送家人同意公开的内容。

6. 公开分享页面（giulua.app）

当您为讣告或忌日邀请函点击“生成发布链接”时，卡片图片及其文字（您填写的姓名、时间、地点和家人姓名）会保存在服务器上，并显示在 giulua.app/c/… 这样的地址，供您发布到社交网络。任何拿到链接的人都能查看，即使没有安装应用；页面不会被搜索引擎收录，社交网络可能按其政策保留预览图。页面在最后一次更新 90 天后自动删除，您也可以随时在应用中撤下；删除账户时，您的所有页面都会被删除。生成页面需要登录。giulua.app 网站不使用追踪 Cookie。

7. 朗读祭文

朗读功能使用手机自带的语音（Apple 或 Google）。Giữ Lửa 不会将祭文发送到自己的服务器。根据手机设置，语音提供方可能会按照其自身政策处理文本。

8. 我们不做的事

我们不会出售或共享您的数据，不展示广告，也不会在其他应用和网站上追踪您。

9. 匿名使用统计

为了了解哪些功能有用、哪些需要改进，应用会向 Mixpanel 发送匿名使用统计：您打开了哪些页面、使用了哪些功能（例如已上香、已保存一封信、已分享讣告），以及语言、应用版本、亲人数量、是否使用共享祭台或 Premium 等概况。绝不会发送姓名、去世日期、书信、祭文、照片、录音或邮箱。登录后，统计会关联您账户的随机编号，使您的多台手机算作同一人。您可以随时在“设置 → 分享匿名使用数据”中关闭。

10. 提醒通知

忌日、农历十五、初一、各节日、7日、49日、100日等纪念节点，以及您在祭拜后自行设置的撤供提醒，都直接在手机上排定。提醒内容不会发送到服务器。您可以在“设置”中隐藏通知里的姓名。

11. 应用锁

如果您开启使用面容 ID、触控 ID 或指纹的应用锁，验证由操作系统处理。Giữ Lửa 不会接收或存储任何生物识别数据。

12. 您的权利

您可以直接在“设置”和“账户”中导出数据、删除这部手机上的全部数据，或删除账户及服务器上的备份。删除账户后，备份将被永久删除。

13. 儿童

Giữ Lửa 不面向 13 岁以下的儿童。

14. 变更与联系

如果本政策发生变更，我们将更新页面顶部的日期，并在发生重要变更时于应用内通知您。如有任何疑问，请通过“设置”中的“意见反馈”与我们联系。