隐私政策

2026年10月24日起生效

本中文文本为便于阅读的译本。具有约束力的原文是越南语版；两者不一致时，以越南语版为准。

您正在考虑把一款App交到孩子手里，因此有权确切地知道它会怎样处理您家庭的数据。本页简要说明这款软件实际做了什么，不把不方便说的内容藏在最后。

1. 责任方

Digi Dinos 股份公司决定 Dino Kids 中数据的处理方式。关于数据的任何问题或请求，请发送至 dinokids@digidinos.com。

2. 我们保存的信息

2.1 创建账号时

这个设备标识符不是广告标识符。App不读取 Apple 的 IDFA 或 IDFV，不请求跟踪权限，也不读取任何操作系统的广告标识符——这个值由App自己随机生成。

自2026年9月起，这个标识符在删除App后依然保留：在 iPhone 和 iPad 上保存在钥匙串中，在安卓上由这台设备特有的值推导而来。在此之前，它会随App一起消失，而这带来了一个出乎意料的问题——每重装一次，设备列表里就为同一台实体设备多出一行，最后谁也分不清该删哪一行。账号页面里的“移除设备”按钮会把该设备从您的账号中移除，并立即让它退出登录。

除这个标识符外，登录时App还会额外发送两项信息，方便您在列表中区分设备：操作系统类别——操作系统对自身报告的字符串， iPhone 和 iPad 上是“ios”，其他设备上是“android”或“macos”——以及由该字符串生成的固定标签（“Dino Kids · ios”）。App不会发送设备型号或操作系统版本。

2.1b 使用 Apple 或 Google 登录时

除电子邮箱和密码外，您还可以通过通过 Apple 登录或 Google 账号创建账号。每种操作系统只提供其中一种，在 iPhone 和 iPad 上是 Apple。选择这种方式时，从您的设备发往我们服务器的只有一个由 Apple 或 Google 签名的身份令牌，别无其他。

我们的服务器会自行验证该令牌的签名，只取出上述几项。我们不会从 Apple 或 Google 获取通讯录、照片、好友列表、历史记录或任何其他信息；除了用于验证的令牌本身，我们也不向它们发送任何东西。

如果您选择 Apple 的“隐藏邮件地址”，我们看到的只有…@privaterelay.appleid.com 形式的中转地址。邮件可以送达这个地址，所以账号正常可用，而您的真实地址我们永远不会知道。

用这种方式创建的账号没有密码——我们没有东西可存，连哈希值也没有。需要再次确认身份时，比如删除账号，您再按一次同一服务提供方的按钮即可。

2.1c 打开App时——版本检查

每次打开，App只向服务器问一个问题：“应用商店里有没有比我正在运行的更新的版本？”这个问题不需要登录，而这是一个前提而不是为了方便：运行严重过时版本的设备，通常正是从未创建过账号的设备。

随这个问题一起发送的有三项：2.1中的设备标识符、操作系统类别和您正在运行的App版本。我们把它们保存在一张单独的表中，以便回答“还有多少设备停留在旧版本”——也就是判断一次错误修复是否真正送达了所有人。

这张表还保存另外两项。第一，设备上设置的地区和时区——您在“语言与地区”中选择的地区（例如越南）以及设备时钟的时差。这不是位置信息：App不请求位置权限，我们也不根据您的IP地址推断您在哪里。第二，最近一次同步：每次同步完成时，App会报告那个时刻，以及这台设备是否在使用账号。我们用这些信息了解设备所在的国家，并在您告诉我们“设备收不到新课程”时作答。

这张表中没有电子邮箱、名字或IP地址，也没有与账号直接相连的关联。如果设备曾经登录过，我们可以把标识符与您的账号对应起来——因为您登录时亲自告诉了我们这台设备。从未登录过的设备没有可以对应的东西，并将一直如此。

2.2 孩子的档案

显示名称、头像、周岁年龄（可选）、喜欢的颜色和一些学习偏好。没有出生日期。头像默认是一幅提供的动物图画。

您可以在面向家长的“添加/编辑孩子”页面中，用孩子的真实照片作头像（现拍，或从已有照片中选择）。这张照片只保存在这台设备上：App 会把它裁成正方形并缩小，去掉照片附带的全部信息（包括拍摄地点），并且从不上传到服务器或发送到您的其他设备——其他设备上仍显示动物图画。删除孩子，或改回动物图画，照片就会从设备上删除。与 App 在设备上的其他数据一样，如果您开启了设备备份（iCloud、Google），照片也会包含在该备份中。

只有在家长选择拍照时，App 才会打开相机（用于孩子的头像，或添加一幅给孩子涂色的画）。从相册选择的照片经由系统的照片选择器，App 只收到您选中的那一张，从不读取您的整个相册。

显示名称由您自己填写。用昵称完全没问题，对于年幼的孩子，我们也建议用昵称。

2.3 学习记录和画作

登录后，App会与服务器同步：孩子档案、画作（包括图片文件）、每课的进度、星星、徽章、连续学习天数，以及孩子调出的颜料盒。每次学习的时间向下取整到分钟，而不是精确到秒。

已同步的画作只有在验证身份后才能获取，并且只限于您的家庭之内：请求必须带有有效的会话令牌；有人请求另一个家庭的图画时，服务器会回答“未找到”，而不是确认这幅图存在。图片文件不通过任何公开路径提供。正因为这样，孩子在 iPad 上涂的画，才能在登录同一账号的 iPhone 上看到。

2.4 大人的录音

如果您使用录音功能，大人的音频文件会被上传，以便在同一账号的其他设备上重复使用。这是您真实声音的录音，它确实会离开设备——我们在请求麦克风权限的那一刻就会说明这一点。

这些文件只有在验证身份后才能获取：请求必须带有有效的会话令牌，设备和账号必须仍处于启用状态，且录音必须属于该家庭。它们不通过任何公开路径提供。

2.5 孩子的声音——留在设备上

这是最敏感的一类信息，处理也最严格。

• “听孩子朗读”功能默认关闭。关闭时，麦克风按钮不会出现。
• 识别在设备本身上完成。不会把任何音频发送到任何地方，包括我们。
• 每次尝试都会在设备上保存一个短文件，供您回放。没有任何途径会把它带到服务器——没有接口，也没有对应的数据表。
• 设备每个孩子只保留最近400次尝试；更早的会自动删除，文件和记录一并删除。
• 您可以随时在家长专区删除某一次或全部尝试。

由于这些文件位于App自己的数据区，它们会像其他App数据一样包含在您的 iCloud 或电脑备份中。那是您在 Apple 的备份，而不是流向我们的数据。

2.6 通过联系表单给我们写信时

联系页面上有一个表单。您填写的内容——名字、电子邮箱、咨询类别和留言——会以电子邮件形式直接发到项目邮箱，不保存在我们的数据库中：没有数据表，没有字段，也没有可以回看的管理页面。它只是待在邮箱里，和您亲自写信给我们时完全一样。

我们只用您的名字和邮箱来回复这条留言。没有邮件列表，没有广告，也不会交给任何人。

表单不设置 Cookie，也不运行 JavaScript。为防止垃圾信息，服务器会限制一个 IP地址每分钟可发送的留言数；这个计数存放在临时缓存中，会自动过期，并且不与您的身份关联。

2.7 您浏览本网站时

本网站有一小段由我们自己编写的代码，用来统计浏览次数。您每打开一个页面，它只向项目服务器发送两样东西：您正在看的页面地址，以及把您带到这里的那个页面的域名（例如 google.com）。只发送域名，不发送完整地址——所以您刚才搜索的关键词不会随之发出。

服务器只是把当天、该页面、该来源的计数加一。这个计数器不设置 Cookie，不在您的浏览器里存任何东西，不记录 IP 地址，也没有任何能认出您、或把这次浏览与下次浏览联系起来的标识。我们知道的是“这个页面被读了多少次、读者从哪里来”，而不是谁读了。它不是 Google Analytics，也不是任何其他公司的统计服务。

计数器不在联系页面（第 2.6 节）运行，也不包含在App内打开的使用指南页面中。与联系表单一样，为防止有人刷数，服务器会限制一个 IP 地址每分钟可发送的次数；这个计数存放在临时缓存中，会自动过期。

3. 我们不做的事

• 不向任何人出售、出租或交换您的数据。
• 不把您的数据用于广告，也不展示广告。
• 不用您的画作、声音或作业来训练人工智能模型。
• 不跨其他App或网站追踪您。
• 不建立行为画像来推断孩子的性格或能力。

4. 第三方

App内部：没有。我们检查过加载的每一个库和组件——没有 Firebase、Crashlytics 或 Sentry，也没有任何形式的统计、崩溃报告、广告或测量工具。

服务器端：我们使用 Google 的文字转语音服务预先生成课程的示范语音。发送的只有大人编写的课程文字——您和孩子的数据都不经过它。您设备上的App从不调用这项服务。

第一次开启“听孩子朗读”时，设备可能会从 Apple 下载识别用的语言包。发出去的只是下载语言包的请求，不带任何音频。

电子邮件经过 Google。项目邮箱和我们的发信服务器都是 Google 的服务。这意味着您通过联系表单发来的邮件，以及我们发给您的邮件——邮箱确认、密码重置——都会经过 Google 的基础设施并存放在那个邮箱中。我们之所以明说，是因为上一段写着您的数据都不经过 Google 的服务；这对录制的语音来说是真的，但如果漏掉这一段，就不是真的了。

连接经过 Cloudflare。App连接我们的服务器（dino-kids-api.digidinos.com），以及打开本网站（dino-kids.digidinos.com），所有连接都会先经过 Cloudflare，再到达我们的服务器。HTTPS 加密在 Cloudflare 处结束，因此在这一段路上，Cloudflare 会处理每个请求的内容：IP 地址、请求的路径，以及随请求发送的数据——包括同步时孩子的画作和大人的录音。Cloudflare 只负责转发，不会把这些内容保存为缓存副本：我们检查过，所有响应都直接来自项目的服务器。Cloudflare 在转发过程中自行记录的信息，适用Cloudflare 的隐私政策。我们之所以明说，是因为本页旧版写着“没有CDN，没有外部服务”——那句话是错的，现已更正。

5. 谁能读取数据

家庭之间的边界由服务器强制执行：没有任何接口会返回另一个家庭的数据。

6. 数据存放在哪里

存放在我们自己运营的服务器上，位于 Digi Dinos 的基础设施中。我们不使用第三方云存储保存用户数据。Cloudflare（第 4 节）只转发连接，不是存放数据的地方。

7. 保存多久，以及如何删除

7.1 删除账号

您可以在App内的家长专区删除账号。有密码的账号用该密码确认；用 Apple 或 Google 创建的账号没有密码，因此再按一次该服务提供方的按钮来确认。无论哪种，最后都还有一个确认框。您不必写信请我们代为删除。

删除账号时，我们立即永久删除，没有等待期：

• 服务器上您家庭的全部数据——账号、孩子档案、画作、进度、徽章、颜料盒、录音；
• 连同磁盘上的文件：画作目录和录音目录；
• 家庭中每台设备上的全部会话令牌，因此这些设备会立即退出登录。

删除后，这个邮箱可以再次用来注册新账号。

7.2 删除一个孩子

删除孩子的档案会永久删除该档案、学习记录以及其画作（包括图片文件）。删除前，App会告诉您将失去多少幅画。录音不会随之删除，因为录音属于整个家庭，由孩子们共用。

7.3 退出登录

普通的退出登录会把数据留在设备上。如果您要把设备交给别人，请使用“退出登录并清除此设备上的数据”。

7.4 保存期限

我们的服务器不会按时间自动删除数据。没有清理旧用户数据的定时任务。数据会一直保留，直到您删除账号或孩子档案。如果您希望数据消失，确定且立即生效的方法是使用App里的删除功能。

反方向有一个例外：删除档案或录音时，我们会保留一个空标记，记录该项已被删除，好让同一账号下的其他设备也知道要删除它。这个标记不含任何内容，只有一个标识符和一个时间戳。

8. 儿童

本App为在大人看护下使用的幼儿设计。创建账号的大人决定录入孩子的哪些数据。孩子不能创建账号，不能购买任何东西，不能给陌生人发消息，App里也没有任何社交功能。设置、统计和录音管理都在一道孩子自己通不过的关卡之后。

如果您认为孩子以您不希望的方式向我们提供了数据，请写信告诉我们，我们会将其删除。

9. 关于登录，您需要知道的

登录意味着同步，而登录是可选的。第一屏提供“无需账号，直接开始”。选择它，全部课程都能用。App仍会从我们的服务器下载课程和音频——幼小衔接部分的内容就是这样获得的，因为这部分没有打包在App里。反方向什么都不会发送：孩子档案、画作、进度、星星和徽章都留在设备上，App也不会发送任何能识别出您设备的名字或标识符。这种下载就像打开一个网页：服务器看到的是请求来自的IP地址，而不是哪个孩子在使用App。

登录后，孩子档案和画作会与服务器双向同步，App里没有单独的开关——登录和同步是一体的。换句话说，决定数据是否到达我们服务器的开关，就是您是否登录。

您随时可以改变主意，并且不会丢失任何东西：如果孩子在没有账号的情况下用了一个月，家长之后才登录，已有的档案、画作和进度会在第一次同步时上传。

10. 您的权利

您可以在App内查看和修改您家庭的数据，并可按第7条所述随时删除账号。如果您想要一份数据副本、希望我们更正某些内容，或对我们处理数据的方式有意见，请写信至 dinokids@digidinos.com。我们会在合理的时间内回复。

11. 本政策变更时

我们会更新本页，并修改顶部的生效日期。如果某项变更确实影响到您——例如我们开始收集以前不收集的东西——我们还会在生效前通过邮件通知您注册时使用的地址。

越南语版是具有约束力的原文。日语版、英语版、韩语版和中文版仅供参考；如有不一致，以越南语版为准。

12. 联系方式

dinokids@digidinos.com ——项目唯一的联系渠道，问题和数据请求都可以发到这里。

← 返回介绍页