隐私政策

Tauvio（tauvio.com）是 Moon Sherpa Labs 的产品。就本政策所述的个人数据而言，Moon Sherpa Labs 是数据控制者，本政策适用于 Tauvio 网站及其上的每一项工具。

如有任何疑问，或希望行使下文所述的权利，请致信 support@tauvio.com。这个地址背后没有可登录的账号，也没有工单系统：它是一个由真人查阅的邮箱。

本网站的每一项计算都在您自己的设备上完成。您在工具中输入的内容会写入该浏览器的本地存储，这样重新加载页面也不会丢失，而且在任何时候都不会传送给我们。

以下是完整清单：正在运行或已暂停的秒表及其计次记录；计时器，连同任何课堂站点轮换设置，以及您上一次选用的显示方式；您命名过的厨房计时器；在某个固定时长计时器页面上启动的计时进度；倒计时及其目标时间；闹钟时间及其标签，以及「还有多久」页面设定的响铃时间；番茄钟周期；番茄钟和秒表共用的学习记录，包括其中的各次记录、每日目标和科目；国际象棋棋钟的时间设置、选项和正在进行的对局；间歇计时器的设置和当前进度，以及您按名称保存的训练；工时计算器当前的一周、已保存的各周记录，以及您选择的国家、默认班次和时薪，还有您在其时间算术功能里输入的时钟时间和时长；工时表中的人员、其时薪和其各周记录；您选择的导出模板，以及您为它填写的公司和姓名；您在时区转换器上保留的地点；您在 24 小时制转换器里输入的最后一个时间；您在日历周数页面上选择的周数规则；当前时间是否显示秒；您的提示音设置；您的色彩主题和是否开启动态效果；您的 12 小时制或 24 小时制偏好；记录一次购买的令牌；该浏览器创建过的倒计时页面清单及各自的编辑令牌；以及您尚未发布的倒计时页面草稿（不含其照片）。

这些内容全部由您掌控。工时计算器和工时表各有一个按钮，可以把以上全部内容导出为 JSON 文件，也各有一个按钮可以一次性删除以上全部内容；清除浏览器的网站数据效果相同。我们无法读取其中任何一项，也无法为您恢复任何一项，我们这边没有任何内容可供您要求删除。有一项内容的存储方式不同：当您将电视闹钟与手机配对时，每块屏幕会把配对中属于自己的那一部分，存储在该标签页的会话存储中，浏览器关闭该标签页时就会清除它。

法定加班门槛因国家而异，因此工时计算器必须默认打开某一个国家。我们的托管服务商会在每个请求中添加一个标头，其中带有它根据连接判断出的两位字母国家代码，我们在渲染页面时读取这个代码。

我们把它写入一个名为 tauvio-geo 的 cookie，这样即使是站内链接直接打开、没有经过服务器渲染的页面，也能读到这个代码。该 cookie 只包含一个两位字母的国家代码，别无其他——没有标识符，没有会话，没有用户画像。它会在 6 小时后过期，因此旅行中的用户不会被困在上周所在的国家；它的属性设为 SameSite=Lax，因此绝不会从其他网站的页面发出。

根据电子隐私指令（ePrivacy Directive）第 5(3) 条，这属于提供您所要求的服务所严格必需的存储，因此我们不需要征求您的同意，本网站也没有 cookie 横幅。您自己明确选择的国家，始终优先于这个 cookie。我们不会把这个代码存储在服务器上，不会记录日志，除了决定计算器默认适用哪个国家的规则外，不作任何其他用途。

本网站运行两项统计分析服务。两者都只在您的浏览器进入闲置状态后才会加载，因此绝不会与工具本身争抢首次渲染的资源；即使您屏蔽其中任何一项，网站的其他功能也不受影响。

Google Analytics 4 配置了 Google Consent Mode v2，将统计存储（analytics storage）、广告存储（ad storage）、广告用户数据（ad user data）和广告个性化（ad personalisation）默认全部设为拒绝（denied），本网站从不会授予这四项中的任何一项。在这种状态下，Google Analytics 以无 cookie 的方式运行：它不会在您的浏览器中写入 _ga cookie 或任何其他标识符，无法在多次访问或跨网站识别您，也不启用任何广告或再营销功能。随页面浏览一起发送的内容是该页面的地址、标题、来源地址，以及浏览器、操作系统、屏幕尺寸和语言等常规请求信息。Google 收到的请求必然带有您的 IP 地址；Google 声明 Analytics 不会记录或存储 IP 地址，我们也从未看到过任何 IP 地址。

Ahrefs Web Analytics 在设计上就不使用 cookie，也不设置任何标识符。它记录页面的地址和标题、来源地址、您到达时链接中带的任何推广参数，以及从请求中得出的浏览器、操作系统、设备类型、语言和大致的国家或城市。

这两项服务给我们的都是计数：哪些页面被阅读、使用什么语言、来自什么渠道。两者都无法让我们识别出您是谁，我们也不会尝试把它们与其他任何信息合并。由于两者都不在您的设备上存储任何内容，也从不出售或共享任何信息，因此没有需要我们征求同意的事项。

结算在我们自己的结算页面上进行，但页面上的付款输入框属于 Stripe：它们从 Stripe 加载，您在其中输入的内容直接发送给 Stripe。您在那里填写的邮箱地址由您的浏览器发送给 Stripe，而不是发送到我们的服务器。银行卡号在任何时候都不会到达 Tauvio，我们也没有任何方式看到它。

付款完成后，我们会向 Stripe 查询这一次结算会话，读回三项信息：对应的方案、是否已实际付款，以及 Stripe 记录的邮箱地址。随后我们生成一个签名令牌并交给您的浏览器。该令牌包含版本号、方案、Stripe 结算会话 ID、邮箱地址的 SHA-256 哈希值——绝非邮箱地址本身——以及一个有效期。我们不保留任何副本，也不运行任何客户数据库：令牌一旦交出，我们这边就没有任何记录能证明您买过东西。Stripe 会保留它自己的记录，这是支付处理方的法定义务。

在另一台设备上恢复购买的方式相同。您提供一个邮箱地址，我们向 Stripe 查询该邮箱最近一次有效的购买记录；如果存在，我们会通过我们的邮件服务商 Resend，向该地址发送一条恢复链接。无论查询结果如何，页面给出的回应都完全一样，因此无法被用来查出某个邮箱是否曾经购买过任何东西。Resend 处理该邮箱地址和邮件内容是为了投递邮件，并保留它自己的投递日志。

我们的支付 webhook 只记录一个 Stripe 事件的类型，以及它所指向对象的 ID。它绝不会记录邮箱地址、姓名或任何付款细节。当一种稍后才结清的付款方式（例如 boleto 或银行转账）最终确认付款时，webhook 会向 Stripe 获取该结算会话，并通过 Resend 向 Stripe 记录的地址发送一封解锁链接邮件。

已发布的倒计时页面，是您内容中存放在服务器上的主要部分，因为一个只能在您自己设备上打开的链接，就不算是链接。将电视闹钟与手机配对也会短暂存储一些内容，但不包含您的任何内容；本节末尾会说明这一点。

当您发布一个倒计时页面时，我们会在由 Supabase 托管的 Postgres 数据库中存储：您选定的标题、目标日期和时间、您所指定的时区名称、您选择的场合模板和外观（主题、浅色或深色、字体、背景、显示的单位、是否向上计数或每年重复）、您在页面上排列的区块（标题、文字、说明文字、链接按钮）以及时刻到达时显示的消息、如果您以 Pass 设置过的主色和标志地址、是否显示 Tauvio 标记、编辑令牌的 SHA-256 哈希值（绝非令牌本身）、该记录的创建和修改时间、一个可选的过期时间，以及一个记录页面被加载次数的简单计数器。

我们不会针对某个倒计时页面存储 IP 地址、用户代理、邮箱地址或任何按访客区分的记录。这个计数器只是一个不附带任何信息的数字。页面创建时，请求来源地址仅用作限流计数器，最多在内存中保留 1 小时；它绝不会写入数据库，也绝不会被记录日志。照片上传或举报的来源地址同样如此处理。

如果您添加照片（每个页面最多六张，包含背景），我们绝不会保留您发送的原始文件。我们的服务器会对每一张重新解码并写成一个新文件：最长边最多 2,400 像素，采用 WebP 格式，并去除全部元数据，包括相机信息和手机可能记录的任何位置信息。这份副本连同您为它写的描述和说明文字，一起存放在 Supabase 的一个私有存储桶中，只通过 tauvio.com 提供给访客，并且只在页面存在且仍在使用它期间提供。上传后未被绑定到任何页面的照片，会在超过一天后由自动清理程序删除，该程序在有照片上传时运行。

任何人都可以用页面上的链接举报该页面。一次举报会存储对应的页面、从列表中选择的原因、举报者填写的文字（如果填写了）以及时间。关于举报者本人的信息不会被存储：没有 IP 地址，没有浏览器信息，没有邮箱地址。关于某个页面的举报记录会随该页面一起删除。

倒计时页面在设计上是公开的。任何拿到链接的人都可以打开它，也可以把它嵌入到其他网站上——这正是它存在的意义。该地址包含十二个随机字符，因此无法被猜中，但它并不是一个秘密：不要在标题、备注或照片里放入任何您不愿意出现在公开网页上的内容。

您可以随时通过创建该页面的那个浏览器，用它所持有的编辑令牌来编辑或删除页面。删除会移除对应的记录、它的照片以及关于它的任何举报记录；删除或替换一张照片会删除旧文件。已经显示过该照片的浏览器可能保留自己的一份副本，我们的托管服务商在照片删除后最多一小时内也可能仍提供一份缓存副本。目前，当过期时间到达后，我们不会自动删除页面——已过期的页面不再对外提供访问，但其记录会一直保留，直到被删除为止。如果您丢失了编辑令牌，例如清除了该浏览器的存储数据，请致信 support@tauvio.com 并附上链接，我们会为您删除该页面。

将电视闹钟与手机配对，是这个数据库存储的另一件事，它是一个会话，而不是内容：在电视上打开闹钟即会创建它，并附带一个十字符的配对码，用于把手机与它关联起来。我们只存储该配对码的 SHA-256 哈希值，以及每块屏幕自身能力令牌的 SHA-256 哈希值——绝非配对码或令牌本身——连同闹钟时间、其标签、主题、提示音和音量，以及它当前是否正在响铃。配对会话不会关联任何姓名、邮箱地址、账号或 IP 地址。配对码的有效期很短：如果没有人在手机上输入它，会在电视打开后十分钟过期。一旦配对完成，无论如何整个会话都会在三十小时后自动过期；从电视或手机任一端断开连接都会立即删除它，任何超过有效期仍残留的会话，会在下一次创建新会话时被清除。

Vercel 托管本网站，并从全球各地的边缘节点提供访问。和所有网站托管服务商一样，为运行和保护平台安全，它会保留自己的请求日志，其中包含请求来源地址。我们不会在这些日志中添加任何内容，也不会据此建立任何用户画像。

Supabase 托管存放已发布倒计时页面及其举报记录的 Postgres 数据库，以及存放这些页面照片的私有存储。

Stripe 处理付款，包括您在结算时提供给它的邮箱地址和付款信息。

Resend 投递本网站唯一的事务性邮件：用于解锁购买的链接，在您申请恢复购买或延迟付款到账时发送。

Google 和 Ahrefs 提供上文所述的两项统计分析服务。

以上就是完整清单。我们不使用任何广告网络、数据经纪商、客户关系管理或营销平台、会话记录工具或热图工具，也不运营任何新闻通讯（newsletter）。

在适用《通用数据保护条例》（GDPR）或英国《通用数据保护条例》（UK GDPR）的情况下，以下是我们处理个人数据所依据的法律基础。

履行合同，第 6(1)(b) 条：收取 Pass 或 Teams 方案的付款，签发并恢复记录该付款的令牌，以及按您的要求发布、提供和删除倒计时页面。

正当利益，第 6(1)(f) 条：维持网站正常运行，让计算器默认适用正确国家的规则，限制对页面创建、照片上传和举报接口的自动化滥用，处理关于已发布页面的举报，以及汇总统计哪些页面被阅读，以便我们知道接下来该写什么。我们已将这些利益与您的权利进行了权衡，并将处理范围控制在每个目的所需的最小限度内，这正是统计分析不使用 cookie、限流机制只保留地址 1 小时且不作记录的原因。

在您设备上的存储，电子隐私指令第 5(3) 条：上文所述的工具状态和国家 cookie，是提供您所请求的服务严格必需的，因此不需要征求同意。除此之外，我们不在您的设备上存储任何其他内容，这正是我们完全不征求同意的原因。

在您的设备上：保留至您清除为止。各工具存储的内容，以及记录一次购买的令牌，会无限期保留在您浏览器的本地存储中，可通过「删除全部」按钮或清除网站数据来移除。tauvio-geo cookie 在 6 小时后过期。

倒计时页面：保留至您删除为止，连同它的照片和关于它的任何举报记录。如上文所述，目前没有对页面的自动清理机制。上传后未绑定到任何页面的照片：大约一天。

电视闹钟配对：配对码在无人输入的情况下保留十分钟，整个会话无论如何都保留三十小时，以先到者为准；从任一屏幕断开连接会立即删除它，超过有效期仍残留的会话，会在下一次创建新会话时被清除。

在我们的处理方那里：按照它们各自设定的保留期限，这些期限并非由我们设定。Stripe 会按照金融监管要求的期限保留付款记录。Google Analytics 会在该资源属性所配置的期限内保留事件数据，且不超过 Google 允许的最长期限。我们的托管服务商会按其自身的运营周期保留请求日志。Resend 会保留一份投递日志。

在我们自己的服务器上：不再保留任何其他内容。除倒计时页面表和电视闹钟配对表之外，没有任何用户记录，没有您计算内容的日志，也没有任何其他会过期的信息。

Moon Sherpa Labs 在美国运营，上文列出的各家服务商均为美国公司，或在全球范围内运营且基础设施位于美国。因此，使用本网站意味着数据会到达美国，也可能到达其他国家。

在个人数据从欧洲经济区（EEA）、英国或瑞士转移出境的情况下，我们依赖这些服务商所提供的数据转移机制，包括标准合同条款（standard contractual clauses）。

如果《通用数据保护条例》（GDPR）或英国《通用数据保护条例》（UK GDPR）适用于您，您有权要求查阅您的个人数据、要求更正或删除、要求限制其处理、要求以可携带的形式接收，以及有权反对基于正当利益的处理。您也可以向您所在地的监管机构投诉，不过我们更希望您先告知我们。

如果《加州消费者隐私法》（CCPA）适用于您，您有权知悉收集了哪些个人信息以及收集的原因，有权要求删除，有权要求更正，并有权选择不允许出售或共享您的个人信息。我们不出售个人信息，也不为该法所定义的「跨情境行为广告」共享个人信息，过去 12 个月内我们也未曾这样做过。无论您行使上述哪一项权利，您获得的服务都不会因此打折：本网站没有「精简版」。

上述大多数权利，您可以自行行使，而且比我们能替您处理得更快，因为这些数据本来就在您的设备上。导出功能赋予您数据可携权，「删除全部」功能则让您立即、彻底地行使删除权。

对于我们这边持有的内容——一次购买记录，或您发布的一个倒计时页面——请致信 support@tauvio.com。我们只需要足以找到相应记录的信息，不需要更多：您付款时使用的邮箱地址，或该页面的链接。我们会尽快答复，并在适用法律允许的期限内答复，这在 GDPR 下是 1 个月，在加州法律下是 45 天。我们可能会要求您证明自己确实掌控该邮箱地址或该页面，因为在未经核实的情况下响应请求，本身就会造成隐私事故，而不是解决隐私问题。

部分浏览器会发送「请勿追踪」（Do Not Track）标头或「全球隐私控制」（Global Privacy Control）信号。全球隐私控制信号是一项「不出售或不共享个人信息」的请求，我们从设计上就满足这一要求：因为本来就没有可供关闭的出售或共享行为，也从未设置任何跨站广告标识符。无论您是否发送这两种信号中的任何一种，本网站的行为都完全相同。

Tauvio 并非面向儿童。我们不会在明知情况下收集任何 13 岁以下人士的个人数据；在欧洲经济区，我们不会在明知情况下收集任何 16 岁以下人士的个人数据，或某成员国设定的更低年龄以下人士的个人数据。

这里没有账号可以创建，也没有用户画像可以建立。如果您认为某位儿童仍然向我们发送了个人数据，例如通过倒计时页面的标题或照片，请致信 support@tauvio.com，我们会将其移除。

本网站通过 HTTPS 提供服务。记录一次购买的令牌使用 HMAC-SHA256 签名，并以恒定时间方式验证，因此无法被伪造或篡改。倒计时页面的编辑令牌只以 SHA-256 哈希值的形式存储；错误的令牌与不存在的页面会得到完全相同的回应，因此该接口无法被用来探知哪些页面存在。倒计时页面数据表无法通过任何公共密钥访问：行级安全（row-level security）已开启且不设任何策略，默认权限也已被撤销，因此只有我们自己的服务器代码才能读写它；举报记录表和照片存储也以同样的方式关闭访问。上传的照片会先被解码并重新编码后才存储，因此我们提供的文件是我们服务器写入的文件，不是发送过来的原始文件。银行卡信息由 Stripe 持有，我们从未看到过任何卡号。

没有任何系统是完美的，任何关于安全的承诺也不会比它实际做到的更有价值。我们能给出的最诚实的说法是结构性的：我们持有的越少，可能失去的就越少，而我们持有的几乎什么都没有。

本页顶部的日期标明您正在阅读的版本。如果我们处理的内容或处理的目的发生变化，我们会更新本页并同步更新该日期；任何重大变更都会在此处说明，而不会悄悄地进行。

Moon Sherpa Labs 发布 Tauvio，关于该公司的更多信息见 https://moonsherpa.com。

如对本政策的任何内容有疑问，包括提出数据保护请求，请致信 support@tauvio.com。这是本产品刻意只公开的唯一一个联系地址：一个分散在两个邮箱之间的承诺，注定会有一个被漏掉。

本政策以多种语言发布。如译文与英文版本存在差异，以英文版本为准。