生效日期： 2026-03-28。 最后更新： 2026-10-11。
1. 我们是谁
Wellix（"我们"）提供一款由人工智能驱动的卡路里与宏量营养素追踪移动应用程序（下称"本应用"）。数据控制者为 Valeria Levitan，在以色列注册为免税个体经营者（Osek Patur），税号为 341083038。通讯地址：Anna Frank 34, Rishon LeZion, Israel。联系方式：privacy@wellix.cc。我们未依据 GDPR 第 27 条指定代表；欧洲经济区（EEA）和英国的数据主体可通过上述地址直接联系我们以行使其权利。
2. 我们收集哪些信息
- 账户： 电子邮箱、经过哈希处理的密码、姓名、出生日期、国家/地区、语言。
- 健康相关档案： 性别、身高、体重、活动水平、可选的身体测量数据、营养目标、饮食偏好。我们将其视为特殊类别数据（GDPR Art. 9）。
- 应用使用： 您提交用于 AI 分析的食物照片、识别出的项目、您记录的餐食、饮水与体重历史、为您生成的营养建议、支持消息。
- AI 教练： 您在应用内 Coach 聊天中撰写的消息以及教练的回复（参见第 4 节和第 5 节）。
- 应用内活动： 描述您如何使用本应用的事件——已完成的引导步骤、浏览过的 Premium 页面及在其中点击的按钮、购买结果，以及您对“您是从哪里了解到 Wellix 的？”的可选回答。这些数据与您的账户关联，仅用于产品分析；Premium 页面的浏览情况也会报告给我们的订阅服务提供商 RevenueCat。我们绝不会将其用于广告或与广告商共享，并会在 12 个月后或您删除账户时将其删除。
- 安装与使用统计： 首次启动时（在您登录之前），本应用会生成一个随机安装标识符（并非源自任何设备标识符或广告标识符），并将其与您的平台及应用构建版本号一起发送，以便我们统计安装量并衡量有多少安装最终完成注册；您登录后，该标识符会与您的账户关联。我们还会记录您使用本应用的日历日期，用于计算使用情况和留存统计。两者均基于我们的合法利益，仅用于产品分析。我们绝不会将其用于广告或与广告商共享，并会在 12 个月后将其删除；当您删除账户时，其与您账户的关联将被移除。
- 设备： 设备型号、操作系统版本、语言、时区偏移、IP 地址以及崩溃日志。我们仅投放非个性化广告：在 iOS 上，我们不使用广告标识符（IDFA）或应用追踪透明度（App Tracking Transparency）。在 Android 上，我们的广告合作伙伴 Unity（Unity Ads，通过其 LevelPlay 平台投放）可能仅使用 Google 广告 ID（AAID）来投放非个性化广告、限制广告频次并防范广告欺诈；您可以在设备设置中重置或删除它。
- 计费： RevenueCat 订阅者 ID 及您的订阅状态。银行卡支付由 Apple 或 Google 处理——我们绝不会看到卡号。
3. 我们为何处理这些信息（GDPR Art. 6 / Art. 9 下的法律依据）
- 合同履行： 创建您的账户、AI 食物识别、生成建议、处理订阅。
- 明示同意（Art. 9(2)(a)）： 处理健康相关档案与食物摄入数据——通过引导流程中的复选框收集；可随时通过删除账户予以撤回。
- 合法利益： 防止滥用、限流、安全、产品分析、抗辩法律主张，以及在免费层级中展示非个性化（情境）广告。
- 同意（GDPR Art. 6(1)(a)）： 可选的推送通知——可在设备设置中管理。其中包括可在应用“我的”页面的设置中关闭的可选每日饮食记录提醒，以及免费试用期结束前的提醒。
- 法律义务： 税务记录、欺诈报告、来自主管机关的合法请求。
4. AI 处理与次级处理者
食物照片及简短文字描述会被发送至我们的 AI 服务提供商 xAI（https://x.ai）和 Anthropic（https://www.anthropic.com）进行推理，两者均位于美国；具体由哪家提供商处理某个请求，取决于所用功能及我们的配置。发送至 xAI 的图像以瞬时方式处理，根据我们与 xAI 的协议，不会被保留用于模型训练。分析后我们不存储原始图像——仅将解析出的营养结果存储在您的账户中。
当您使用应用内的 Coach 聊天时，您撰写的消息会连同您在 Wellix 中数据的摘要一起发送至 Anthropic——包括已记录的餐食、营养目标、近期摄入、体重记录、基本档案信息（性别、年龄、身高、活动水平、国家/地区）以及饮食偏好——以便教练能够回答有关您自身数据的问题。对话（您的消息和教练的回复）会存储在您的账户中，直至您在应用中清空聊天记录或删除账户。
其他次级处理者：
- RevenueCat（美国）——订阅状态。
- Google（Firebase、Google 登录）（美国）——推送投递、身份验证。
- Unity（Unity Ads、LevelPlay）（美国/以色列）——免费层级中的非个性化广告。
- Apple（通过 Apple 登录）（美国/爱尔兰）——身份验证。
- Resend（美国）——事务性电子邮件。
- 位于德国法兰克福（欧盟）的 VPS 托管——应用程序与数据库托管。
从 EEA/英国向美国的数据传输，在提供商已获认证的情况下依据《欧盟-美国数据隐私框架》进行，否则依据欧盟委员会的《标准合同条款》并辅以补充措施。
5. 保留期限
- 账户及档案数据：直至您删除账户，或在不活跃满 3 年后。
- 食物扫描任务（AI 识别与对话状态，不含原始图像）：最长 24 小时。
- 餐食、体重、饮水历史：直至删除。
- Coach 对话：直至您清空聊天记录或删除账户。
- AI 使用日志（不含提示文本，仅元数据）：为计费审计保留 12 个月。
- 安装标识符及应用使用日期（安装与使用统计）：12 个月；当您删除账户时，其与您账户的关联将被移除。
- 每日数据库备份：7 天。
- 我们依法必须保留的记录（如税务发票）：相关司法管辖区规定的法定保留期限。
6. 您的权利
您有权访问、更正、删除、限制、携带或反对对您个人数据的处理，并随时撤回同意。如需行使这些权利，请发送电子邮件至 privacy@wellix.cc，或使用应用内的"删除账户"选项。您可以向您的数据保护机构提出投诉。
加利福尼亚州（CCPA / CPRA）——请勿出售或分享我的个人信息
加利福尼亚州居民有权知悉、删除、更正个人信息，并有权选择退出个人信息的"出售"或"分享"。Wellix 仅通过 Unity Ads 投放非个性化广告，且不会为 CPRA 所定义的跨情境行为广告"出售"或"分享"个人信息。尽管如此，我们仍会尊重退出请求：
您可随时选择退出：
- 在应用中：无需任何操作——本应用默认会为每位用户向我们的广告合作伙伴发送"请勿出售或分享"信号。
- 通过电子邮件：以主题"CCPA Do Not Sell or Share"发送至 privacy@wellix.cc。我们将在 15 个工作日内回复。
- 通过您浏览器的全球隐私控制（GPC）信号——当我们的网页界面在传入请求中检测到
Sec-GPC: 1时，我们会将其视为该浏览器的有效退出请求，无需您采取任何进一步操作。
我们不会在知情的情况下出售 16 岁以下用户的个人信息。
俄罗斯（152-ФЗ）
Wellix 由以色列运营，并非专门面向俄罗斯联邦的用户。所有个人数据均存储和处理于俄罗斯境外的服务器上。我们未在 Roskomnadzor 注册为个人数据运营者，我们也不声明本应用满足俄罗斯联邦法律 152-ФЗ 的本地存储要求。选择使用本应用的俄罗斯居民系出于自身主动；如果您对此感到不安，请勿使用本应用。
以色列（《隐私保护法》5741-1981）
如果您是以色列居民，您享有与上文所列欧盟居民实质相同的权利。营销电子邮件需经选择加入（opt-in），且每封邮件均包含退订链接。
7. 儿童
Wellix 不面向 13 岁以下的儿童。我们不会在任何地方在知情的情况下收集 13 岁以下儿童的数据，也不会在以国家法律设定该门槛的欧盟成员国收集 16 岁以下儿童的数据。如果我们发现收集了此类数据，将会及时删除。
8. Cookie 与追踪器
本应用不使用 Cookie。我们仅投放非个性化广告，在 iOS 上不使用 Apple IDFA 或应用追踪透明度。本应用使用以下设备端标识符：Google 广告 ID（Android，我们的广告合作伙伴仅将其用于投放非个性化广告、限制广告频次并防范欺诈；可通过操作系统设置进行控制）、Firebase 安装 ID、RevenueCat 匿名 ID、随机生成的 Wellix 安装标识符（仅用于安装与使用统计，参见第 2 节）。每个广告请求都被标记为非个性化（未同意个性化广告，"请勿出售或分享"），因此本应用不会显示广告同意横幅。
9. 安全
数据在传输过程中（TLS 1.2+）以及在数据库和备份层的静态存储中均经过加密。密码使用 bcrypt 进行哈希存储。生产系统的访问权限根据最小权限原则仅限授权人员。
10. 数据泄露通知
如发生可能对您权利构成风险的个人数据泄露事件，我们将在 72 小时内通知主管监管机构，并毫不迟延地告知受影响的用户。
11. 变更
我们将公布本政策的重大变更，并至少在其生效前 30 天在应用内通知您。在该日期之后继续使用即构成接受。
12. 联系方式
电子邮件：privacy@wellix.cc · 支持：support@wellix.cc