隐私政策
Gym+ 是一本训练日志。你记录的内容默认留在你的设备上，只有经你授权才会以摘要形式离开：发送给你的 Coach，以及排行榜或你的团队，取决于你开启了什么；如果你开启，还会以加密副本的形式保存在你的账号中（第 4.11 节）。应用读取的健康数据（心率、卡路里和步数）不会离开，除非你授权：发送给你的 Coach，用于训练验证和排行榜（排行榜中只会传输验证等级），或作为保存在你账号中的记录副本。本文档准确说明读取了什么、用于什么、哪些内容会离开设备、谁能看到什么，以及你可以要求我们做什么。
1. 谁是责任方
Gym+ 应用由 ALAS TECHNOLOGY LLC 发布和运营，这是一家在美国注册的公司，EIN（美国国税局雇主识别号）为 93-3927200。
就 LGPD 而言，我们是此处所述数据的控制者（controlador）。就 GDPR（《通用数据保护条例》）而言，我们是控制者（controller）。
个人数据处理负责人（LGPD 第 41 条）：负责人的官方渠道是 privacy@gymplus.life。该地址受理有关个人数据的任何请求、疑问或投诉，必要时我们也通过它与巴西国家数据保护局（ANPD）联络。
2. 健康数据
这是最重要的部分，所以放在最前面。
应用读取什么
当且仅当你授权时，Gym+ 会在 iPhone 上从 Apple“健康”（HealthKit）、在 Android 上从 Health Connect 读取：
- 心率
- 消耗的活动卡路里
- 消耗的总卡路里
- 步数
- 仅在你于应用初始设置中点按导入时读取：iPhone 上为体重、身高、出生日期和性别；Android 上为体重和身高
并且只写回一样东西：你刚刚完成的那次锻炼，让这次训练计入你当天的活动，并出现在系统健康应用的历史记录中。
用于什么
用于在你记录的训练中显示训练进行时身体的状态，并展示这些数据的图表和趋势。这些图表和趋势都在设备上计算。没有任何其他用途：不做统计，不做商业用途，也不做推荐。唯一的例外是你授权的用途：发送给你的 Coach（第 7 节），用于训练验证或排行榜（第 11 节），以及保存在你账号中的记录副本，该副本只用于把记录交还给你（第 4.11 节）。
导入这些个人资料数据仅用于在应用初始设置中填写你的个人资料（对于出生日期，应用只保留你的年龄）。只有在你点按导入时，应用才会读取它们，而且它们和个人资料的其他内容一样留在设备上（第 3 节）。个人资料中只有两项会发送到我们的服务器，且仅用于排行榜（第 6 节）：与你的性别对应的组别，以及你在“排行榜设置”中确认后的体重。
它们绝不会被怎样使用
- 健康数据留在设备上：它们在设备上被读取和显示，未经你授权，不会发送到我们或任何第三方的服务器。只有在你授权的用途中，它们才会经由我们的服务器离开设备：发送给你的 Coach，详见第 7 节；或用于训练验证或排行榜，详见第 11 节；或作为保存在你账号中的记录副本，详见第 4.11 节，该副本只用于把记录交还给你。在排行榜中，只会传输由此得出的验证等级，绝不会传输心率序列。而且仅在该授权有效期间。
- 健康数据不会被出售、出租、转让或交换。
- 健康数据不会用于广告、营销、定向或画像，无论是我们还是任何其他人。第 4.10 节所述的 Meta SDK 不会收到任何健康数据。
- 健康数据不会输入任何外部自动推荐系统，也不会发送给任何第三方服务进行处理。
问诊问卷、评估和进度照片
我们同样将你的问诊问卷回答、体能评估、身体成分评估（生物电阻抗）和进度照片视为健康数据。只有在你将其发送给 Coach 或与 Coach 共享时（每一类都需单独同意），或者在你要求自动读取生物电阻抗报告时，它们才会到达我们的服务器；自动读取仅在内存中进行，在我们的托管处理者的基础设施上完成，文件不会被保存。所有这些内容详见第 7 节。
如何撤回授权
- iPhone：设置 隐私与安全性 健康 Gym+，然后关闭你想关闭的项目。
- Android：打开 Health Connect 应用权限 Gym+。
撤回授权不会删除你健康应用中已有的内容，这些历史记录由系统本身管理，也要在那里删除。Gym+ 只是不再读取。
3. 留在设备上的内容
以下内容保存在你的设备上、应用的私有存储中，默认不会发送给我们：
- 你的训练日志：动作、组、重量、次数、休息、日期。
- 你的训练计划和编排好的训练。
- 你的个人资料（如果你填写）：显示名称、性别、年龄、身高、体重和活动水平（头像和封面图片一旦发布，适用第 8 节；与你的性别对应的排行榜组别和你为排行榜确认的体重，适用第 6 节）。
- 身体围度（如果你记录）。
- 进度照片（如果你拍摄或从相册中选择，且没有与你的 Coach 共享，见第 7.2 节）。
- 你记录的体能评估和身体成分（生物电阻抗）评估，直到你与 Coach 共享为止（第 7.4 节）。
- 你写的笔记。
- 偏好设置：语言、主题、单位、每周目标。
- 第 2 节所述的健康数据。
训练日志只有经你授权才会离开设备，并且以每次训练摘要的形式发送，取决于你开启了什么：包含重量和次数的各组会发送给你的 Coach（第 7 节）和排行榜（第 6 节），你所在的团队会收到每日摘要（训练次数、分钟数、训练容量、连续天数和纪录，以及仅在你打开卡路里开关时，由 Gym+ 根据训练自行估算的卡路里，绝不是从健康应用读取的数值）。如果你开启了“保存在账号中的记录”，训练日志和第 4.11 节所列其他内容的加密副本会保存在我们的服务器上，仅用于交还给你。
如果你卸载应用，这些数据会随应用一起从设备上移除。只有在你开启了“保存在账号中的记录”（第 4.11 节）时，我们才有副本可以还给你。当你导出备份或分享一次训练时，文件会按你的意愿去往你选择的地方。你决定让他人看到的内容（你在排行榜中的 @用户名、你允许 Coach 查看的内容，以及你发布的照片和视频）见第 5 至第 8 节。
4. 离开设备的内容
只有下面描述的内容，而且每一项都只在你使用相应功能时才会发生。
4.1 你的账号
账号通过通过 Apple 登录、使用 Google 账号登录或发送到你电子邮件地址的验证码创建。Gym+ 没有密码。你通过 Apple 或 Google 登录时，提供方会向应用提供一份签名的身份凭证，应用把它发送到我们的服务器，服务器用提供方公布的密钥核验签名。由此我们获得：
- 你在提供方处的账号标识符（一个固定的代码，不是你的姓名）；
- 提供方告知的电子邮件地址。如果你在 Apple 选择了隐藏邮件地址，我们只会收到 Apple 的中转地址，我们也从不索取真实地址。
- 你的姓名，如果提供方告知：Apple 只在你首次登录时把它提供给应用，应用再把它发送到我们的服务器；Google 则把它包含在身份凭证本身之中；
- 你在首次登录后立即选择的 @用户名。它是公开的：别人通过它在 Gym+ 中找到你，你也以它出现在排行榜中。
如果你用验证码登录，你向我们提供电子邮件地址，我们向该地址发送一个 6 位数的验证码，有效期 10 分钟，最多可尝试 5 次。对于验证码，我们只保存其加密摘要。
注册时提供的姓名以及电子邮件地址中 @ 之前的部分，只用于推荐你的第一个 @用户名。它们加密保存，仅保存到你选择 @用户名为止，届时即被删除。在此之前，它们不向任何人显示（不在排行榜中显示，也不向你的 Coach 显示），包含在你的数据导出中，并在账号删除时被删除。此后你更改 @用户名时，推荐来自应用随请求一起发送的内容，该内容不会被保存。我们服务器返回的会话凭证只保存在内存中，在你退出账号或关闭应用时被丢弃。
同一时间只用一台设备。 你的账号同一时间只在一台设备上保持登录：在另一台设备上登录会让之前的设备退出登录。为此，也为了防止他人使用你的账号，应用会在设备的安全芯片（iPhone 上的 Secure Enclave、Android 上的 Keystore）中生成一个永不离开芯片的加密密钥，并用它为发往我们服务器的每个请求签名。我们会保存并关联到你的账号：应用由该密钥得出的设备标识符（不是序列号、IMEI、MAC 地址或广告标识符）、大致机型（如“iPhone”或“Pixel 8”）以及最后一次访问的日期和时间。这些数据只用于账号安全：保持同一时间只有一台设备登录，在有新设备登录时通过邮件通知你（附带可让所有设备退出登录的“不是我本人”按钮），并在 设置 > 安全 中显示当前设备和最近的设备。它们遵循保留期限一节中访问记录的保留期限，并在账号删除后与你解除关联。
使用里程碑。 我们只保存与你的账号关联的若干使用里程碑的类型和日期，不含任何健康数据（第一次完成的训练、第一个完成 2 次训练的完整周，以及每类功能的首次使用：健康应用连接、社交功能、Coach 和个人纪录），用于了解大家如何开始使用 Gym+，并通过内部分析改进产品；这些里程碑会包含在你的数据导出中，并在账号删除时一并删除。
你如何使用 Gym+。 注册时，应用会问“你如何使用 Gym+？”：你是自己训练、有私人教练，还是本身就是私人教练。我们在服务器上保存该回答及其日期，并与你的账号关联，用于调整应用和我们发给你的信息，并以汇总方式统计各种使用方式的人数。该回答绝不会发送给 Meta 或任何其他广告合作伙伴，也不会显示给你的 Coach；它会包含在你的数据导出中，并在账号删除时一并删除。
4.2 订阅验证
为了确认你的订阅是否有效，应用会向我们的服务器发送商店（Apple 或 Google）签发的购买标识符和产品标识符。服务器向商店查询并保存结果：方案（个人方案或 Coach 方案）、订阅状态（免费试用期、有效、宽限期、已过期、已撤销）、到期日期和最近一次查询日期，并与你的账号关联。商店也会在订阅状态变化（续订、取消、退款）时通知我们的服务器。
我们不接收也不存储银行卡号、银行信息、账单地址或任何支付方式。收费的是商店，保存这些信息的也是商店。
4.3 每周回顾
当你请求每周回顾时，并且只在那一刻，应用会向我们的服务器发送：
- 你希望文本使用的语言；
- 你选择的每周目标；
- 对最近 4 个完整的周中的每一周，三个数字：训练次数、训练的不同天数以及组数。
十二个数字、一种语言、一个目标。不会发送动作名称、重量、次数、照片、围度、笔记、原始历史记录或任何健康数据。当前这一周被刻意排除在外，因为它还没有结束。服务器生成回顾文本，返回给应用，并且不保存这些数字。
4.4 邀请计划
如果你使用邀请朋友功能，服务器会保存你的邀请码、谁邀请了谁，以及每个邀请所处的阶段。为了防止同一台设备只为获取奖励而创建多个账号，应用会发送一个由它自己随机生成的安装标识符。它不是硬件标识符，也不是广告标识符，重新安装应用后会改变，服务器只以带密钥的加密摘要形式保存它。当你兑换获得的一个月时，我们会使用账号的电子邮件地址来安排发放。
4.5 你发给我们的消息
如果你写信到我们的任一电子邮件地址，我们会收到这封邮件、你的地址以及你决定附上的内容，例如截图。我们只用这些来回复和处理你的请求。
4.6 我们发送的电子邮件
我们使用你账号的电子邮件地址、应用语言和设备时区，从 gymplus.life 域名发送消息，确保语言正确、时间合适：
- 服务消息：登录码和确认码、欢迎邮件、关于你订阅的通知（例如免费试用期的开始和结束、付款失败以及访问权限结束）、安全通知，以及关于你内容的审核决定。这些消息始终会发送，因为它们是账号运作的一部分。
- 每周和每月报告（第 4.7 节）。
- 订阅提醒和回归提醒（第 4.8 节）。
- 学员动态通知（面向使用 Coach 方案者）和产品新闻：只有在你开启后才会发送。
每一封非服务消息都带有一键退订链接，只会关闭该类型的消息。我们会记录你的每一项选择，包括日期、来源以及当时显示的文本版本。
4.7 电子邮件报告
报告内容是关于你自己使用 Gym+ 的情况。每种报告都有独立的开关，默认开启，你可以随时在应用的通知设置中、在电子邮件偏好设置页面上，或通过每份报告末尾的链接将其关闭。
- 个人方案的每周和每月报告：为生成报告，应用只向我们的服务器发送该期间的汇总数据：训练次数、分钟数、训练容量、纪录、连续天数或训练周数、奖章以及练得最多的肌群。不会发送任何健康数据或身体围度。每周汇总最多保存 8 周，每月汇总最多保存 3 个月，仅用于与上一期间进行比较。
- Coach 的每周和每月报告：在我们的服务器上生成，显示活跃学员人数、对训练计划的平均执行率、执行率上升或下降 10 个百分点及以上的学员（以 @用户名标识）、即将结束的训练计划，以及仍在等待回复的学员消息。执行率只统计允许 Coach 查看其训练的学员，且只统计已完成和已计划的训练次数。
Coach 报告绝不包含健康数据：没有心率、卡路里、疼痛、围度、评估、生物电阻抗、问诊问卷或照片。为生成报告而对某位学员数据的每一次读取，都会记入该学员的访问日志，与在应用中进行的读取一样。
4.8 订阅提醒和回归提醒
如果你创建了账号但没有订阅，我们可能会在最初 14 天内发送最多 4 封电子邮件提醒你完成订阅。如果你的方案到期未续订，我们可能会在随后 60 天内发送最多 3 封回归提醒邮件；曾获得退款或订阅被撤销的人不会收到。这些邮件属于推广邮件，并在页脚中注明，只在你所在时区的 10:00 至 20:00 之间发送，一旦你订阅即停止，且不包含价格、健康数据或身体围度。
- 在欧洲以外，这些邮件以我们提醒已创建 Gym+ 账号者的正当利益为依据，默认开启，每封邮件都带有一键退订链接，应用内和偏好设置页面上也有“订阅提醒”开关。
- 在欧洲（当你账号的时区属于欧洲时），只有在你开启该开关后才会发送，即以你的同意为依据，你可以用同样的方式撤回。
- 设备上的提醒：只有在你接受一项专门请求后，应用才会安排订阅提醒通知；该请求独立于系统的通知权限，并在其之前显示，即以你的明确同意为依据。提醒最多 2 次，你可以在应用或系统设置中将其关闭。
4.9 错误诊断、性能和问题报告
为了修复故障，应用会把其中发生的错误的技术数据发送到我们的服务器：错误的类型和信息、代码的技术追踪（已混淆，不含你的任何内容）、发生错误的页面、应用版本、系统和设备的大致型号，以及出错前你在应用中的最近 50 个操作（打开的页面、主要操作和对服务器的请求，包括路径、结果、耗时和请求编号）。我们也会收到系统本身记录的应用意外退出（Android 上为退出原因，iPhone 上为 MetricKit）。
- 绝不发送的内容： 你输入的内容、密码、登录代码、令牌、明文邮箱地址、证件号或电话号码、坐标以及健康数据。应用在发送前会遮盖这些数据，服务器也会再次遮盖。
- 关联： 登录状态下，错误会关联到你的账号；登录前只关联到安装时生成的随机标识，并以加密摘要形式保存。
- 如何关闭： 在 设置 > 隐私与数据 中使用“发送错误诊断”开关，默认开启。关闭后，应用会停止向我们的服务器、Sentry 和 PostHog 发送本节所述的全部内容，等待发往我们服务器的数据也会从设备上删除。
- 报告问题： 在 设置 > 帮助与关于 和 个人资料 中，你可以写下发生了什么，并选择是否附加诊断信息。文字会经过与应用其他部分相同的仇恨和威胁过滤，被遮盖后获得一个显示在屏幕上的支持代码（例如 GP-7K3Q9）。支持团队通过邮件收到报告，并回复到你账号的邮箱。
- 建议、截图和网站： 在 个人资料 的“建议”中，你可以发送想法；在“报告问题”中，以及通过 gymplus.life 网站每个页面上的“报告问题”按钮，你可以附上一张屏幕截图（发送前可查看，表单字段会被遮盖），或附加一张图片。随之发送的还有屏幕或页面、应用或网站版本、系统、语言、屏幕尺寸、浏览器（网站上）以及账号（如果你已登录）；绝不发送密码或令牌。我们只将其用于修复故障和评估建议。保存 180 天，随账号删除而删除，并通过电子邮件发送给支持团队。
性能和易用性（汇总形式）。应用会测量自身的打开时间和每个页面的流畅度（缓慢帧和冻结帧），并按页面统计点击次数、在同一位置快速连续重复的点击、没有得到响应的点击，以及点击发生在屏幕的哪个区域（将屏幕分为 12 乘 24 的网格，绝不记录确切位置）。这些计数在设备上汇总后发送到我们的服务器，不含账号、不含安装标识，也不含时间；服务器按天汇总，不保存 IP 地址（只保存其加密摘要，用于限制过量发送）。它们只用于发现缓慢的页面和难以使用的按钮。在健康相关页面（健康数据、身体成分、身体围度、你的照片、时间线和身材对比）以及屏幕上显示受保护内容时，不统计任何点击；在这些页面上只测量页面的流畅度。保存 180 天。
Sentry。错误、意外退出、“应用无响应”事件（Android）和卡顿（iPhone）也会发送给 Sentry（Functional Software, Inc.），它是我们委托的处理者，数据存储在欧盟（德国法兰克福）。Sentry 收到错误的类型和信息、代码的技术追踪、发生错误的页面及之前打开的页面、应用版本、系统和设备型号，所有内容在发送前都已在设备上遮盖。如果你年满 18 岁，它还会收到性能测量数据（打开时间以及页面和操作的耗时），以及通过加密摘要从你的账号派生出的代码，其中不含你的电子邮件地址和姓名。它不会收到你输入的内容、对服务器的请求、屏幕录像或屏幕图像，也不会收到健康数据。
PostHog。为了了解应用的哪些部分被使用、用户在哪里放弃（例如，有多少账号打开了方案页面、有多少开始了试用），我们向 PostHog, Inc.（我们委托的处理者，数据存储在欧盟德国法兰克福）发送一份封闭的事件列表：打开的页面（绝不包括健康相关页面）、登录和退出账号、打开方案页面、购买确认（只有方案以及是否为免费试用，不含金额和货币）、训练开始和结束，以及应用的安装、更新、打开和转入后台。随之发送的还有同一个由账号派生的代码和设备技术数据（型号、系统、应用版本和语言）。不进行屏幕录制，不自动捕获点击，不含健康数据，也不会发送你个人资料中的任何信息。16 或 17 岁的人，或年龄尚未确认的人，不会向 PostHog 发送任何内容。
Sentry 和 PostHog 都不会将这些数据用于广告、在其他应用或网站上跟踪你，或用于自身目的，这些数据也不会发送给 Meta。两者都已设置为不保存数据来源的 IP 地址。
这些数据只用于发现和修复错误、改进应用以及处理你的报告，绝不用于广告。错误在我们的服务器保存 30 天，在 Sentry 最长保存 90 天（性能测量数据保存 30 天），性能和易用性的汇总计数保存 180 天，使用事件在账号使用期间保存在 PostHog（连续 12 个月未使用应用即删除），报告保存 180 天。我们服务器上的错误、PostHog 中的事件和报告会随账号删除而删除，我们服务器上的错误和报告包含在你的数据导出中。
4.10 Meta SDK
我们只使用 Meta 的 SDK 来衡量我们在应用之外投放的付费广告推广活动；应用本身不显示广告。为此，应用和我们的服务器只向 Meta 发送以下事件：应用的安装和打开、完成注册以及订阅（免费期开始和购买，附带方案、价格和币种）。随这些事件一起发送的还有设备标识符：SDK 为本次安装生成的随机标识符、广告点击标识符（如有），以及设备的技术数据，例如机型、操作系统和应用版本。绝不会发送的内容：健康数据、训练数据或位置数据，以及你对“你如何使用 Gym+？”的回答。如需退出，请发送电子邮件至 support@gymplus.life。
在 Android 上，以及未经你许可的 iPhone 上。不会发送设备的广告标识符、你的电子邮件地址和你的账号标识符：不会向 Meta 发送任何能识别你身份的信息，而且在 iPhone 上，SDK 保持受限模式。
在 iPhone 上，经你许可。应用可能会通过 iPhone 自身的提示，向你请求一次跟踪许可（App Tracking Transparency）。如果你允许，Gym+ 还会与 Meta 共享以下内容，仅用于衡量推广活动：哈希处理后的电子邮件地址和账号标识符、设备的广告标识符、你的购买（免费期开始和订阅）以及互动事件（安装、打开和注册）。你可以随时在 iPhone 的设置中撤回该许可；此后，重新适用上一段。
当你通过 Google 广告安装 Gym+ 时，我们会保存点击标识符（gclid）和推广活动来源。如果你年满 18 岁，我们只会向 Google Ads 告知该标识符，以及账号已创建或试用期已开始这一事实，用于衡量我们的广告效果。我们绝不会发送你的姓名、电子邮件、电话号码，也不会发送任何训练或健康数据。你可以随时通过客服电子邮件提出反对。
4.11 保存在账号中的记录
默认情况下，你的记录只留在设备上（第 3 节）。如果你开启把我的记录保存在我的账号中（设置 > 账号），Gym+ 会在我们的服务器上保存一份与你的账号关联的加密副本，以便你换手机或重新安装应用时找回记录。该功能默认关闭，只有在你阅读并接受专门的同意页面后才会开启。如果你不想开启，应用不会有任何变化：记录仍只留在设备上。
保存的内容：
- 训练：动作、组数、重量、次数、休息、用力程度、训练备注，以及与训练关联的手表数据，例如心率和卡路里；
- 训练计划、每周日程和你创建的动作；
- 个人资料（显示名称、性别、年龄、身高、体重和活动水平）、身体围度和体重记录；
- 在应用中获得的奖章、笔记、训练地点（名称和器材，不含地址或坐标）以及应用偏好设置。
不保存的内容：任何类型的照片和媒体（进度照片、头像、动作照片和视频，以及笔记中的媒体）。它们仍只留在设备上。
用途：仅用于把记录交还给你（在同一台设备或另一台设备上），并在每次训练后让副本保持最新。该副本不会用于广告、营销、回归提醒、定向或使用分析，不会发送给 PostHog、Sentry、Meta 或任何其他合作伙伴，也不会因本功能而展示给你的 Coach、你的监护人或其他人。你与 Coach 共享的内容仍适用第 7 节及其中的各项同意。
法律依据：由于记录包含健康数据，处理以你明确、具体且单独突出的同意为依据（LGPD 第 11 条第 I 项，以及 GDPR 第 9(2)(a) 条，结合第 6(1)(a) 条），你可以随时在应用设置中撤回。我们保存一份同意记录，只包含日期、文本版本和你的选择，在该功能开启期间以及关闭后 5 年内保存，作为证明。
存放位置和保护方式：副本存放在 Cloudflare 的对象存储（R2）中，Cloudflare 即第 12 节所述的托管处理者，存储位于欧盟管辖区。副本只保存在欧盟；在你的设备与存储之间的传输途中，已加密的数据可能会经过 Cloudflare 位于欧盟以外的网络，并受 Cloudflare 合同条款的保护。每个文件都使用你账号专属的密钥以 AES-256-GCM 加密，文件名不包含你的账号标识符。我们的数据库中只保存索引（月份、修订版本和大小），绝不保存训练内容，我们的服务器也不会把记录的内容写入日志。
同一时间只用一台设备：副本遵循同一时间只有一台设备登录的规则（第 4.1 节）。在新设备上登录账号时，应用会下载副本，并与设备上已有的内容合并，不会产生重复的训练。
方案：保存新的训练需要有效的方案。没有方案时，不会保存任何新内容，账号中已有的内容仍可下载、关闭或删除。
如何关闭和删除：在 设置 > 账号 中关闭该开关。关闭后，副本会在 24 小时内从服务器删除，设备上的内容保持不变。副本的索引（月份、修订版本和大小，绝不包含内容）可能在数据库备份中保留最多 30 天。撤回同意不影响此前已进行的处理，也不影响应用的其他部分。你在应用中删除的训练只会在服务器上留下一个不含内容的删除标记，保存 90 天，以便其他设备得知该训练已被删除。
保存多久：在账号存在且该功能开启期间保存。如果你连续 24 个月未使用应用且没有有效的方案，副本会被删除，并提前 30 天通知：如果你同意通过电子邮件接收该通知，则以电子邮件通知，否则在你再次打开应用时于应用内通知。在此期间使用应用即取消删除。
账号删除和数据导出：账号删除后，副本随之删除。你的数据导出包含保存的记录。
16 或 17 岁的用户：该功能默认关闭并锁定，只有在监护人于监护人面板中允许后才能开启（第 17 节）。如果监护人撤回许可，云端会关闭，云端副本会在 30 天内删除；记录只留在设备上。监护人看不到保存的记录：监护人面板仍只显示第 17 节所述的内容。
iPhone 上的 iCloud 备份：该功能开启期间，应用会把设备上的记录排除在 iCloud 备份之外，避免健康数据保存在两个地方。关闭后，记录会像以前一样重新纳入 iCloud 备份。
5. 位置信息与健身房识别
如果你允许，Gym+ 仅在应用使用期间使用设备的位置信息，且只有一个目的：识别你所在的健身房，让你的训练计入该健身房的排行榜。
- 你的精确位置绝不会发送到我们的服务器，我们也不保存它：服务器至多接收一个近似的网格，如下文所述。
- 为了查找附近的健身房，应用会向服务器发送一个约 1 公里的 geohash 网格，即地图上表示大致区域的一个方格；它用于搜索，不会被保存。
- 签到时，应用会发送健身房标识符和你所在的约 150 米的网格，以确认你在健身房。该网格会与健身房的网格进行核对，且不被保存。
- 如果你登记一家新的健身房，应用发送的位置只是你所在的约 150 米网格，绝不是你的精确位置；服务器会拒绝任何比该网格更精确的位置。该网格的中心成为健身房的位置，并向查找健身房的人显示。我们不保存任何将你与该位置及登记时间联系起来的记录：只留下你登记了该健身房这一说明，会在你删除账号时被删除。
- 为了显示城市名称，以及在 iPhone 上推荐附近的健身房，应用会使用系统自身的定位服务：iPhone 上是 Apple 的，Android 上是 Google 的。对于这些请求，坐标可能从设备发送到 Apple 或 Google，由它们按照各自的隐私政策处理；Gym+ 只收到返回的地点名称。
- 应用不在后台使用位置信息，不记录你的行动轨迹，也不将位置信息用于广告。
该权限是可选的。你可以在系统请求时拒绝，也可以之后随时在设备设置中撤销（iPhone：设置 隐私与安全性 定位服务 Gym+；Android：设置 应用 Gym+ 权限 位置信息）。没有该权限，应用照常运行，只是不再自动识别健身房。
6. 公开排行榜
健身房排行榜在 Gym+ 内是公开的：任何打开它的人都能看到榜上每个人的名次，每个人以各自的 @用户名标识。排行榜显示的是你的 @用户名，而不是你的电子邮件地址或你 Apple、Google 账号上的姓名。
你可以随时在应用内退出排行榜或将自己隐藏。你也可以写信至 privacy@gymplus.life 请我们代为处理。退出后，你的 @用户名不再出现在榜单中；你的训练仍保留在你的设备上。
组别。如果你有账号，并在应用的个人资料中回答了性别问题（在初始设置中、在设置中，或从健康应用导入），应用只会把与你的回答对应的排行榜组别发送到我们的服务器：男子、女子或公开组（适用于不愿透露的人）。组别决定你进入哪些榜单，以及力量等级和体重级别所用的对照表。在按组别划分的榜单上，任何查看者都能知道榜上每个人的组别。你可以在“排行榜设置”中更改组别。
体重。只有在你于“排行榜设置”中点按“确认体重”后，你的体重才会发送到我们的服务器。它用于将力量和训练量除以你的体重，并确定你在力量榜单中的体重级别。没有人能看到具体数值：它以加密形式保存，榜单只显示体重级别。没有体重，你就不会进入力量和训练量榜单；自最后一次确认起 90 天后，体重将停止使用，直到你再次确认。
如何停止参与。在“排行榜设置”中点按“退出排行榜”，会让你退出所有榜单；在设置中关闭“勋章、等级和竞赛”也会让你退出榜单。组别和体重仍会保存并与你的账号关联，包含在你的数据导出中，并在账号删除时被删除。
7. 与你的 Coach 共享
7.1 你选择共享的内容
如果你跟着一位使用 Coach 方案的教练训练，Gym+ 可以让对方跟进你的训练。未经你的同意，不会共享任何内容，而且同意是按类别给予的：每一类你都可以单独选择：
- 训练表现：训练、包含重量和次数的各组，以及对训练计划的执行情况。
- 健康摘要：每次训练的平均心率和最高心率、活动卡路里以及在各心率区间的时长，不包含心率序列。由于属于健康数据，只有在你就这一类别给予具体同意后才会共享。
- 手表验证：由手表确认你的训练确实进行过。
- 进度照片、问诊问卷、体能评估和身体成分：每一类都需单独同意，详见第 7.2 至第 7.4 节。
你未授权的内容不会发送给你的 Coach。你可以随时撤回同意，全部撤回或按类别撤回；此后该类别的共享即停止。Coach 也可以解除与你的关联，例如当你不再是其学员时。这种情况下，共享同样停止。
共享的数据经由我们的服务器传送给 Coach，并在关联和你的同意存续期间保存。Coach 只能将看到的内容用于跟进你的训练，不得用于任何其他目的。
7.2 进度照片
进度照片留在你的设备上。如果你给予针对照片的专门同意，就可以与你的 Coach 共享，每次一张。它们只用于让 Coach 跟进你的进展。
- 谁能看到：只有你与之共享的那个关联中的 Coach，而且仅在关联有效且你的同意存续期间。Coach 在应用中查看照片，图像上会叠加标注其本人的 @用户名，查看通过几分钟后即失效的临时链接进行，Coach 无法下载该文件。
- 审核：照片在可供查看之前，会经过与发送到 Gym+ 的所有其他图片相同的安全分析（第 8 节），该分析会考虑健身场景。
- 存储：照片、姿势和日期在我们的服务器上加密保存。与照片有关的任何内容都不会出现在通知或收件箱中。
- 删除：当你删除照片或撤回同意、关联结束或被屏蔽，或任一方的账号被删除时，照片及其所有已保存的副本都会立即删除。
7.3 问诊问卷
问诊问卷是你的 Coach 可以发给你的健康问卷：PAR-Q、Gym+ 标准问卷或由 Coach 编写的问题。它让 Coach 在制定或调整你的训练之前了解你的健康史。
- 这些回答属于健康数据。只有在你就问诊问卷给予具体同意后才会发送，每一次提交都作为一个永不更改的版本保存。
- 它们在我们的服务器上加密保存。Coach 只能在关联有效且你的同意存续期间阅读，每一次阅读都会被记录。
- 当你撤回同意时，Coach 处的副本会立即删除。关联结束时，这些副本同样会被删除，已结束关联中的问诊问卷请求会在关联结束 30 天后删除。
7.4 体能评估和生物电阻抗
你可以记录体能评估（皮褶厚度、围度和体能测试）和身体成分评估（生物电阻抗）。它们留在你的设备上，用于跟踪你的进展。
- 与 Coach 共享：只有当你与 Coach 共享某项评估，或 Coach 为你记录评估时，评估才会到达我们的服务器，两者都取决于专门的同意（体能评估一项，身体成分另一项）。测量数据在服务器上加密保存。Coach 只能看到你共享的评估和其本人记录的评估，每一次阅读都会被记录。在你的下一次评估临近时，你和 Coach 都会收到提醒。
- 撤回和删除：你可以删除自己记录的评估，也可以隐藏 Coach 记录的评估。一旦没有任何有效关联持有你的同意，你共享的副本即被删除；只保留一个不含任何测量数据的标记，用于同步你的其他设备，该标记会在 30 天后删除。Coach 记录的内容仍归你所有。如果你的账号被删除，所有这些内容都会被删除；如果 Coach 的账号被删除，其记录的内容仍归你所有，但不再显示其姓名。
- 自动读取报告：你不必手动输入数值，可以发送设备生成的 PDF 或生物电阻抗报告的照片，由系统自动读取。这需要单独的同意，你可以在应用的隐私页面中撤回。文件在我们的服务器上由自动化文档读取系统（人工智能）读取，该系统运行在我们的托管处理者的基础设施上（第 12 节），该处理者不保留内容，也不将其用于训练模型。读取期间文件仅存在于内存中：不会写入任何地方，使用日志只保留技术数据，例如文件类型、页数和处理结果，绝不保留文本、图像或数值。报告为 PDF 时，姓名和报告编号会在自动化系统读取文本之前被替换为标记。如果是照片，整张图片（包括印在上面的姓名和身份信息）都会被自动分析，以提取数据。姓名返回应用只是为了让你在设备上核对该报告是否属于你，不会被保存。照片会经过与其他图片相同的安全分析。读取到的数值只有在你核对并确认后才会保存。
7.5 Coach 的归档
Coach 可以归档与你的关联，例如在你暂停训练时；当 Coach 的学员多于名额时，关联也可能被归档，详见使用条款。归档会断开关联，但不会终止关联：
- 停止共享的内容：Coach 不再看到你的任何数据（训练、指标、健康、评估、照片、问诊问卷和执行率），也不会收到任何新内容；在此期间你记录的训练只留在你的设备上。你不再收到 Coach 的训练计划、视频和训练计划对话，这些内容在你设备上的副本也会被删除。
- Coach 仍能看到的内容：只有你的姓名和 @用户名、关联被归档的时间和操作人、归档结束的日期，以及其发送过的训练计划列表。其私人备注会被保留，取消归档后会恢复。
- 同意暂停：你的各项同意仍有记录，但在关联归档期间不授权任何共享。如果 Coach 取消归档，这些同意会按原样重新生效。你可以随时撤回同意，或永久结束关联。
- 通知：关联被归档时（不说明理由）以及取消归档时，你都会在应用中收到通知。
- 保存 12 个月及结束：已归档的关联最多保存 12 个月，Coach 会在结束前 30 天收到通知。如果无人取消归档，关联会在 12 个月期满后结束，各项同意随之关闭并留有记录，双方都会收到通知。删除你的账号或 Coach 的账号，会像结束任何其他关联一样结束已归档的关联。
7.6 Coach 的公开页面和联系请求
使用 Coach 方案者可以在 gymplus.life/p/ 后接其 @用户名的地址发布公开页面。页面显示 Coach 的个人资料（姓名、简介、城市、专长、线下还是线上指导，以及仅在核实后显示的 CREF 编号），以及经审核批准的照片和封面。Coach 可以开启和关闭页面，并选择是否允许搜索引擎收录。如果 Coach 方案失效，页面将不再显示。
任何想跟着该 Coach 训练的人，都可以通过页面或应用发送联系请求，其中包含姓名、联系方式（电子邮件地址或 @用户名）和一条消息。这些数据只有一个用途，即供 Coach 回复：
- 它们在我们的服务器上加密保存，只有 Coach 可以阅读；对于通过应用发出的请求，Coach 的回复可供发送者查看；
- 它们会在发送后 180 天删除，如果 Coach 或发送者将其移除则会更早删除；通过页面发送的人会收到一个用于删除自己请求的链接；
- 为了阻挡机器人和滥用行为，页面表单使用 Cloudflare 的反机器人验证（仅在你开始填写时加载），并按 IP 地址设置发送限制，IP 地址只以加密摘要形式保存，且仅在限制期间内保存；同一联系方式再次向同一位 Coach 发送时，会更新先前的请求，而不是新建一条。
删除 Coach 的账号会删除其页面和收到的请求；删除通过应用发送请求者的账号，会删除其发出的请求。
8. 你发布的照片和视频
有些媒体本来就是给别人看的：你的头像、封面图片、你决定发布的照片，以及使用 Coach 方案者为学员录制的动作视频。当你上传这类媒体时，我们会将其保存在我们的服务器上，以便展示给共享对象。
这些媒体会经过审核（自动分析加人工复核），以执行社区准则。违反准则的内容可能会被移除；被移除的内容保留 30 天，以便对决定提出申诉，之后即被删除。审核只针对已发布的媒体；你保留在设备上的进度照片既不会上传，也不会被分析。
你可以写信至 privacy@gymplus.life，要求移除你发布过的任何媒体。删除账号时，你发布的媒体会被删除。
举报
你可以举报他人的个人资料、照片、视频、消息、评论、训练计划和其他内容。对于每一项举报，我们会保存举报人、被举报的内容及其作者、所选的理由、你填写的说明（如有，最多 1,000 个字符）以及日期。举报提交后，该内容会从你的视图中消失，应用会提示你屏蔽其作者。
审核团队会看到作出决定所需的背景信息：被举报的片段以及作者的审核记录。我们会告知举报人一个概括性的处理结果。当举报涉及儿童或青少年时，举报会直接转交儿童安全团队，处理结果不会告知举报人；经确认的案件会报告给主管机关，详见儿童安全。举报的保存期限见第 13 节。
9. 截屏与录屏
Gym+ 的部分内容受到保护，例如 Coach 制作的付费训练。在这些页面上，应用会察觉到截屏或录屏的发生，以保护这些内容。
- 应用记录的只是该事件在某项受保护内容上发生过这一事实。
- 该记录发送到我们的服务器，用于内容审核和保护内容，不会发送给 Coach。
- Gym+ 不会拍摄、保存或发送任何屏幕图像，这也不会让应用访问系统生成的截图或你的相册。
- 检测只在受保护内容的页面上运行，应用的其他部分不会使用。
10. 蓝牙与传感器
Gym+ 使用蓝牙仅为连接你选择的心率带和传感器。只有在你要求连接传感器时才会搜索设备，且不作他用。应用不会用蓝牙定位你，不会出于任何其他目的搜索你周围的其他设备，也不会把搜索到的设备列表发送到我们的服务器。从传感器读取的心率与第 2 节中的其他健康数据同样处理。你可以随时在设备设置中撤销蓝牙权限。
11. 手表与传感器
Gym+ 可与你选择连接的手表和传感器配合使用：
- Apple Watch；
- Wear OS 手表；
- Garmin 手表，通过适用于 Connect IQ 的 Gym+ 应用；
- 蓝牙心率带。
收集哪些数据
训练期间，这些设备会记录组数、次数、重量、以 15 秒为单位取平均值的心率，以及训练摘要。
数据如何到达手机
数据通过各制造商的官方渠道从手表传到手机：
- Garmin：Garmin Connect IQ Mobile SDK 和 Garmin Connect 应用；
- Apple Watch：Apple 的配对功能；
- Wear OS：Wear OS 的数据层；
- 心率带：标准蓝牙，如第 10 节所述。
经过 Garmin 的数据，由 Garmin 按其自身的隐私政策处理。Apple 和 Google 对其各自的系统也是如此。
数据存放在哪里
存放在你的设备上。只有在你授权发送给你的 Coach（第 7 节）或授权用于训练验证或排行榜（第 6 节）时，或者在你开启“保存在账号中的记录”（第 4.11 节）时，数据才会离开设备；后者会保存训练（包括手表数据）的加密副本，仅用于交还给你。在排行榜中，只会传输由这些数据得出的验证等级，绝不会传输心率序列。
法律依据
由于这些属于健康数据，处理以你的同意为依据：在 LGPD 下为具体且单独突出的同意（第 11 条第 I 项），在 GDPR 下为明确同意（第 9(2)(a) 条）。完整的表格见第 14 节。
如何撤回授权
- 在应用中断开手表或心率带的连接；
- 在系统设置或 Garmin Connect 应用中撤销权限；
- 在应用中撤回对 Coach、训练验证或排行榜的授权；
- 在 设置 > 账号 中关闭“保存在账号中的记录”。
撤回授权不影响撤回之前已进行的处理。
12. 我们与谁共享
我们不会为金钱出售个人数据，也不会用个人数据换取服务、折扣或任何其他回报。涉及的第三方是让应用得以运行的服务商：
| 谁 | 收到什么 | 为什么 |
|---|---|---|
| Apple 和 Google（商店） | 你的购买和订阅状态 | 销售、收费并管理订阅。它们作为独立的控制者，依照各自的隐私政策处理这些数据。 |
| Apple 和 Google（系统定位） | 应用请求城市名称或附近健身房时设备的坐标 | 由设备系统完成的地理编码和地图搜索，按照它们各自的隐私政策处理。 |
| Apple 和 Google（登录） | 你用它们的账号登录了 Gym+ 这一事实 | 验证你的身份并向我们提供身份凭证。它们作为独立的控制者，依照各自的隐私政策处理这些数据。 |
| Cloudflare | 账号标识符、电子邮件地址、提供方告知的姓名（仅保存到 @用户名选定为止）、@用户名、订阅状态、邀请计划数据、生成每周回顾期间的那十二个数字、排行榜数据（健身房）、你授权与 Coach 共享的内容（包括进度照片、问诊问卷和评估）、你发布的媒体、电子邮件报告的汇总数据、发给 Coach 的联系请求、你要求自动读取的生物电阻抗报告（仅在读取期间存在于内存中）、保存在你账号中的记录的加密副本（如果你开启，第 4.11 节），以及访问服务器和本网站者的 IP 地址和技术数据。账号中记录的副本只保存在欧盟；在你的设备与存储之间的传输途中，已加密的数据可能会经过 Cloudflare 位于欧盟以外的网络，并受 Cloudflare 合同条款的保护。 | 作为我们委托的处理者，托管我们的服务器和数据库（Cloudflare Workers 和 D1）、为保存在你账号中的记录提供对象存储（R2）、托管本网站、发送 Gym+ 的电子邮件、转发发往 @gymplus.life 地址的电子邮件、自动读取报告以及进行反机器人验证。 |
| Google（Google Workspace） | 你通过电子邮件发给我们的消息 | 作为我们委托的处理者，提供公司邮箱，我们在其中阅读和回复邮件。 |
| Sentry（Functional Software, Inc.），位于欧盟 | 第 4.9 节所述的错误、卡顿和性能技术数据，以及（如果你年满 18 岁）由你的账号派生的代码 | 作为我们委托的处理者，发现和修复错误及性能问题。 |
| PostHog, Inc.，位于欧盟 | 第 4.9 节列出的应用使用事件，附带由你的账号派生的代码；不含 16 或 17 岁用户的任何内容 | 作为我们委托的处理者，了解应用的使用情况以改进应用。 |
| Meta | 第 4.10 节所述的应用事件，以及该节所述的设备标识符；在 iPhone 上，仅在你许可跟踪（App Tracking Transparency）时，还包括哈希处理后的电子邮件地址和账号标识符，以及设备的广告标识符 | 衡量我们在应用之外投放的付费广告推广活动。Meta 按照其自身的条款和隐私政策处理这些数据。 |
| 你的 Coach | 仅限你授权的类别：训练表现、健康摘要、手表验证、进度照片、问诊问卷和评估；如果你发送了联系请求，还包括你在其中填写的内容 | 在关联和你的同意存续期间跟进你的训练，以及回复联系请求。关联归档期间，以上内容均不共享。 |
| Gym+ 的其他用户 | 你的 @用户名和你在排行榜中的名次；你发布的媒体（面向其共享对象）；如果你是 Coach 并发布了自己的页面，则包括页面显示的内容（面向任何打开页面的人） | 运行排行榜，并展示你选择公开的内容。 |
Cloudflare、Google（Google Workspace）、Sentry 和 PostHog 作为处理者行事：它们只按照我们的指示处理数据，受要求保密和采取安全措施的合同约束，不得将数据用于自身目的。这些数据的跨境传输见第 16 节。
在有法院命令、主管机关要求或法定义务时，我们也可能共享数据。在法律允许告知的情况下，我们会告知你。
13. 我们保存多久
| 内容 | 期限 |
|---|---|
| 健康数据 | 我们不保存。它们留在设备上；例外是你授权发送给 Coach 的内容，适用“与 Coach 共享的数据”一行，用于排行榜的验证等级，适用“排行榜数据”一行，以及保存在你账号中的记录副本（如果你开启），适用其单独的一行。 |
| 手表和传感器数据（组数、次数、重量、心率和训练摘要） | 在账号存在期间留在设备上。与你的 Coach 共享的部分，适用“与 Coach 共享的数据”一行；保存在你账号中的记录里的副本，适用其单独的一行。 |
| 日志、个人资料、未发布的进度照片、围度、笔记 | 我们不保存，除非你开启了保存在账号中的记录，该记录适用其单独的一行。它们留在设备上，直到你删除或卸载应用。排行榜组别和体重适用其单独的一行。你授权发送的训练摘要适用与 Coach 共享数据那一行或排行榜数据那一行；发送给团队的每日摘要会在账号删除时一并删除。 |
| 保存在你账号中的记录（第 4.11 节） | 在账号存在且该功能开启期间保存。关闭后 24 小时内删除；账号删除时随之删除；或在连续 24 个月未使用应用且没有有效的方案后删除，并提前 30 天通知。对于 16 或 17 岁的用户，如果监护人撤回许可，会在 30 天内删除。索引（月份、修订版本和大小，不含内容）可能在数据库备份中保留最多 30 天。 |
| 账号中保存的记录里已删除训练的标记 | 90 天，不含内容。 |
| 保存在账号中的记录的同意记录（只包含日期、文本版本和你的选择） | 在该功能开启期间以及关闭后 5 年内保存，作为同意的证明。 |
| 账号（标识符、电子邮件地址和 @用户名） | 在账号存在期间保存。账号删除后即被删除。 |
| 注册时提供的姓名以及电子邮件地址中 @ 之前的部分 | 加密保存，仅保存到你选择 @用户名为止；届时即被删除。 |
| 电子邮件登录验证码 | 只保存加密摘要，最长 10 分钟或最多 5 次尝试。 |
| 精确位置坐标 | 我们既不接收也不保存。 |
| 约 150 米的签到网格 | 我们不保存：它在签到时被核对后即被丢弃。 |
| 你登记的健身房的位置 | 在该健身房存在于 Gym+ 期间保存。你登记了该健身房的记录在账号删除时被删除。 |
| 排行榜数据（健身房） | 在你参加排行榜且账号存在期间保存。退出排行榜后，你的 @用户名不再显示；账号删除后即被删除。 |
| 排行榜组别和体重 | 在账号存在期间保存，即使你退出排行榜后也是如此；体重自最后一次确认起 90 天后停止使用。账号删除后即被删除。 |
| 与 Coach 共享的数据 | 在关联和同意存续期间保存。撤回同意或解除关联后，共享即停止；账号删除后即被删除。 |
| 被 Coach 归档的关联 | 最多 12 个月，在此期间不与 Coach 共享任何内容。如果无人取消归档，关联会在期满时结束，各项同意随之关闭并留有记录。 |
| 与 Coach 共享的进度照片 | 保存到你删除照片或撤回同意、关联结束或被屏蔽，或任一方的账号被删除为止。届时照片及其所有副本会立即删除。 |
| 问诊问卷回答 | 在关联有效且同意存续期间保存。撤回同意或关联结束后，Coach 处的副本即被删除；已结束关联中的问诊问卷请求在关联结束 30 天后删除。 |
| 共享的体能评估和生物电阻抗评估 | 在有有效关联持有该同意期间保存。此后测量数据被删除，只保留一个不含任何测量数据的标记 30 天。Coach 记录的评估仍归你所有，保存到你的账号被删除为止。 |
| 为自动读取而发送的报告 | 我们不保存。它只在读取期间存在于内存中。只保留不含任何内容的技术使用记录，在账号删除时一并删除。 |
| 电子邮件报告的汇总数据 | 每周汇总：最多 8 周。每月汇总：最多 3 个月。账号删除后即被删除。 |
| 你对电子邮件和提醒的选择 | 在账号存在期间保存。账号删除后即被删除或匿名化。 |
| 发给 Coach 的联系请求 | 发送后 180 天；如果 Coach 或发送者将其移除，则更早删除。 |
| 举报和审核案件 | 最多 2 年，用于作出决定、允许申诉并证明所作的决定。如果账号被删除，它们只与一个假名化标识符关联。儿童安全案件适用儿童安全中所述的法定期限。 |
| 已发布的照片和视频 | 保存到你要求移除、被审核移除或账号删除为止。 |
| 被审核移除的内容 | 保留 30 天，以便对决定提出申诉，之后即被删除。 |
| 订阅状态 | 在账号存在期间保存。账号删除后，与你的关联即被删除。 |
| 付款的税务记录 | 按适用税务法规要求的期限保存。 |
| 邀请计划（邀请码和安装标记） | 在账号存在期间保存。账号删除后即被删除，未完成的邀请随之关闭。 |
| 已使用购买的标记（tombstone） | 无限期保存。它是账号标识符和购买密钥的不可逆加密摘要，不含电子邮件地址，也不含姓名。 |
| 每周回顾的十二个数字 | 我们不保存。它们用于生成回顾后即被丢弃。 |
| 服务器访问日志和审计日志 | 按巴西《互联网民事框架法》（第 12.965/2014 号法律）第 15 条的要求保存 6 个月；仅在调查安全事件或执行主管机关命令所需期间内保存更久。媒体审核记录在该期限的最后几个月存放于假名化归档中，详见下文。 |
| 数据库备份 | 最多 30 天。 |
| 电子邮件消息 | 在处理请求所需的时间内保存，之后按法律要求的期限保存，以证明我们已提供服务。 |
| 通知邮件的参考编号（Ref.） | 发送后 24 个月。我们只保存 Ref. 编号、邮件模板和类别、语言、发送和送达日期以及地址的加密摘要，绝不保存地址本身。登录验证码和欢迎邮件不带 Ref.。账号删除后，Ref. 与你解除关联，在到期前仍可在 gymplus.life/zh/verify 核验。 |
| 应用发送到我们服务器的错误诊断 | 30 天。在此之前，随账号删除而删除。 |
| Sentry 中的错误和性能数据 | 错误：最长 90 天。性能测量数据：30 天。由于 Sentry 只保存由账号派生的代码，不含电子邮件地址和姓名，这些记录不会因账号删除而提前删除，而是在期限届满时删除。 |
| 性能和易用性的汇总计数（不含账号和安装标识） | 180 天。 |
| PostHog 中的使用事件 | 在账号使用期间保存。连续 12 个月未使用应用或删除账号时，由我们服务器上的每日例行程序自行删除。 |
| 问题报告、建议、附加的截图和图片以及支持代码 | 180 天。在此之前，随账号删除而删除。 |
| 订阅计费事件（金额、币种和日期） | 在税务和会计义务要求的期限内保存；删除账号后，不再与你关联。 |
购买标记的存在有一个具体原因：防止一个已经使用过的订阅在第一个账号被删除后被转移或重复用于另一个账号。它无法重新识别你，也无法恢复任何原本属于你的内容。
已归档的审核记录
我们的媒体分发系统作出的每一项决定（授予、拒绝、暂扣或撤销访问，以及第 9 节中的截屏事件）都会生成一条审计记录。我们借此调查付费内容的滥用行为，它也属于应用访问记录，巴西《互联网民事框架法》第 15 条要求我们保存 6 个月。这些记录在数据库中保存 90 天，之后转入一个独立的、访问受限的私有归档：
- 在归档中，记录不包含你的账号标识符，只包含一个假名化标识符，它由一个密钥和每个人专属的随机值计算得出，两者彼此分开保存；
- 只要该随机值存在，你的归档记录就包含在你的数据导出中，但不含假名；
- 账号删除时，该随机值会被销毁，归档记录即与你永久解除关联：任何人（包括我们）都无法再将其与你关联。它们作为匿名审计轨迹保留至 6 个月期满，之后即被删除；
- 数据库备份最多保存 30 天，只在恢复服务时读取；恢复后，在服务重新运行之前，会重新执行备份日期之后发生的每一次账号删除。
14. 各项处理的法律依据
每一个目的都有 LGPD（第 13.709/2018 号法律）规定的法律依据；对于身处欧洲经济区、英国或瑞士的人，还有 GDPR 规定的法律依据。凡以同意为依据的，你都可以随时撤回，不影响此前已进行的处理，也不影响应用的其他部分。
| 目的 | LGPD | GDPR |
|---|---|---|
| 账号、@用户名、订阅、每周回顾、邀请计划以及应用的正常运行 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 从健康应用和蓝牙传感器读取心率、卡路里、步数、体重、身高、出生日期和性别（敏感的健康数据） | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 手表和传感器数据（组数、次数、重量、心率和训练摘要），包括发送给 Coach、训练验证和排行榜 | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 使用位置信息识别健身房、签到和登记健身房 | 同意（第 7 条第 I 项） | 同意（第 6(1)(a) 条） |
| 用于推荐 @用户名的姓名和电子邮件地址的一部分 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 以你的 @用户名显示的公开排行榜 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 排行榜组别（根据个人资料中的性别确定） | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 在“排行榜设置”中确认的体重，用于相对力量和体重级别 | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 与 Coach 共享训练表现 | 同意（第 7 条第 I 项） | 同意（第 6(1)(a) 条） |
| 与 Coach 共享健康摘要和手表验证 | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 保存和展示你发布的媒体 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 内容审核和执行社区准则 | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 在受保护内容上检测截屏和录屏 | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 已使用购买的标记和安装标记，用于防范欺诈 | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 付款的税务记录 | 履行法定义务（第 7 条第 II 项） | 法定义务（第 6(1)(c) 条） |
| 回复消息和请求 | 履行合同和行使权利（第 7 条第 V 项和第 VI 项） | 履行合同和法定义务（第 6(1)(b) 条和第 6(1)(c) 条） |
| 服务消息以及每周和每月电子邮件报告（个人方案和 Coach） | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 订阅提醒和回归提醒电子邮件 | 正当利益（第 7 条第 IX 项和第 10 条），附一键退订 | 同意（第 6(1)(a) 条，结合第 2002/58/EC 号指令第 13 条及相应的国家规定） |
| 设备上的订阅提醒、学员动态通知和产品新闻 | 同意（第 7 条第 I 项） | 同意（第 6(1)(a) 条） |
| 与 Coach 共享的进度照片、问诊问卷、体能评估和生物电阻抗 | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 自动读取生物电阻抗报告 | 具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 保存在你账号中的记录（包含健康数据），用于在另一台设备上把记录交还给你（第 4.11 节） | 明确、具体且单独突出的同意（第 11 条第 I 项） | 明确同意（第 9(2)(a) 条，结合第 6(1)(a) 条） |
| 保存在账号中的记录的同意记录，在关闭后保存 5 年，作为证明 | 依法行使权利（第 7 条第 VI 项） | 证明已取得同意的法定义务（第 6(1)(c) 条，结合第 7(1) 条） |
| 归档关联并保存最多 12 个月 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| Coach 的公开页面 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 发给 Coach 的联系请求 | 应数据主体请求执行与合同相关的前期程序（第 7 条第 V 项） | 应数据主体请求采取的订立合同前的步骤（第 6(1)(b) 条） |
| 反机器人验证和发送限制 | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 举报和保存审核案件 | 正当利益（第 7 条第 IX 项），就保存而言还包括依法行使权利（第 7 条第 VI 项） | 正当利益（第 6(1)(f) 条） |
| 访问记录和审计轨迹，包括假名化归档 | 履行法定义务（第 7 条第 II 项，以及《互联网民事框架法》第 15 条） | 正当利益（第 6(1)(f) 条）：安全和滥用调查 |
| 错误、性能和汇总易用性诊断（包括通过 Sentry 和 PostHog），用于修复故障、保障应用安全并改进应用（你可以关闭“发送错误诊断”开关表示反对） | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 问题报告和支持服务 | 履行合同（第 7 条第 V 项） | 履行合同（第 6(1)(b) 条） |
| 网站上的 Meta Pixel | 同意（第 7 条第 I 项） | 同意（第 6(1)(a) 条） |
| 应用中的 Meta SDK，用于衡量付费推广活动，不含能识别你身份的数据（第 4.10 节；你可以发送电子邮件至 support@gymplus.life 表示反对） | 正当利益（第 7 条第 IX 项） | 正当利益（第 6(1)(f) 条） |
| 在 iPhone 上，经系统的跟踪许可（App Tracking Transparency）：与 Meta 共享哈希处理后的电子邮件地址和账号标识符以及广告标识符，用于衡量推广活动（第 4.10 节；你可以在 iPhone 的设置中撤回该许可） | 同意（第 7 条第 I 项） | 同意（第 6(1)(a) 条） |
凡以正当利益为依据的，该利益都是具体的，对你的影响也很小：防范欺诈时，我们只保存不含电子邮件地址和姓名的加密摘要；审核时，我们只处理你选择发布的内容，以维护社区安全；检测截屏时，我们只记录事件发生过，以保护内容创作者的成果；在欧洲以外发送订阅提醒时，我们只写信给已创建账号的人，次数很少，不含健康数据，并附一键退订；在反机器人验证和发送限制中，我们只使用请求中的技术数据，以保护 Coach 免受垃圾信息侵扰；通过 Meta SDK 衡量推广活动时，我们只发送第 4.10 节所述的事件，不含健康数据，并且在未获得 iPhone 跟踪许可时，不含设备的广告标识符，也不含你的电子邮件地址；在诊断、Sentry 和 PostHog 中，我们只使用技术数据和由账号派生的代码，不含健康数据，PostHog 绝不接收 16 或 17 岁用户的任何内容，而且你可以通过“发送错误诊断”开关全部关闭。你可以写信至 privacy@gymplus.life 反对这些处理。
15. LGPD：你在巴西的权利
各项处理的法律依据见第 14 节。
你可以要求什么
你可以随时免费提出以下请求（LGPD 第 18 条）：
- 确认我们是否处理你的数据，并访问这些数据；
- 更正不完整、不准确或过时的数据；
- 对不必要、过度或违法处理的数据进行匿名化、封存或删除；
- 将数据转移给其他服务提供者；
- 删除基于你的同意而处理的数据；
- 了解我们与谁共享你的数据；
- 了解如果你不同意会有什么后果；
- 撤回同意；
- 对仅基于自动化处理作出的决定进行复核，例如自动审核作出的内容移除（第 20 条）。
有些选择你可以自己完成，无需写信给我们：撤回给予 Coach 的同意（包括针对进度照片、问诊问卷和评估的同意）、撤回对自动读取报告的同意、结束关联（即使是已归档的关联）、关闭电子邮件报告和提醒、删除你发送的联系请求、关闭并删除保存在你账号中的记录、退出排行榜，以及在设备设置中撤销位置信息、蓝牙、通知和健康权限。此外，你还可以在个人资料 > 账号与订阅 > 导出账号数据中下载一个文件，其中包含我们保存的你的账号数据，即使没有有效的方案也可以。
如需行使其中任何一项权利，请写信至 privacy@gymplus.life。我们会在 15 个自然日内回复。删除账号可以直接在应用内完成，方法见删除账号。
如果你认为我们不当处理了你的数据，可以向巴西国家数据保护局（ANPD）投诉。
跨境传输
离开设备的数据会在美国以及我们的处理者运营基础设施的其他国家处理。这种传输以与每个处理者签订的标准合同条款（LGPD 第 33 条第 II 项 b 目）以及第 16 节所述的其他保障措施为依据。你可以要求我们提供适用保障措施的副本。保存在你账号中的记录副本（第 4.11 节）只保存在欧盟；在你的设备与存储之间的传输途中，已加密的数据可能会经过 Cloudflare 位于欧盟以外的网络，并受 Cloudflare 合同条款的保护。
16. GDPR：你在欧洲的权利
Gym+ 的界面支持 16 种语言，并在欧洲经济区国家的 Apple 和 Google 商店中销售。如果你身处欧洲经济区、英国或瑞士，以下规则同样适用。
法律依据（第 6 条和第 9 条）
各项处理的依据见第 14 节的表格。简而言之：应用和账号的运行以履行合同（第 6(1)(b) 条）为依据；位置信息、在 iPhone 上经跟踪许可与 Meta 共享、与 Coach 共享训练表现以及通过电子邮件和设备发送的订阅提醒以同意（第 6(1)(a) 条）为依据；凡涉及健康数据（属于特殊类别数据）的，即从健康应用和传感器读取数据、与 Coach 共享的健康摘要和手表验证、进度照片、问诊问卷、评估、自动读取生物电阻抗报告以及保存在你账号中的记录，以明确同意（第 9(2)(a) 条）为依据；税务记录以及保存在账号中的记录的同意记录以法定义务（第 6(1)(c) 条）为依据；防范欺诈、内容审核、举报、截屏检测、反机器人验证、访问记录、错误、性能和使用诊断（包括通过 Sentry 和 PostHog）以及通过应用中的 Meta SDK 衡量推广活动以正当利益（第 6(1)(f) 条）为依据。正因如此，只有在你在系统中授权后才会读取健康数据，而且每一项同意都可以撤回，不影响应用的其他部分。
国际传输
控制者是一家在美国注册的公司，我们的服务器、数据库、本网站和邮件转发都运行在 Cloudflare 的基础设施上，而 Cloudflare 可能在你所在国家以外（包括美国）的数据中心处理数据。因此，账号、订阅、邀请计划、排行榜、与 Coach 共享的数据，电子邮件和报告数据，联系请求数据，以及已发布的媒体，可能会被传输到欧洲经济区以外。
Cloudflare 已获得 EU-U.S. Data Privacy Framework（欧美数据隐私框架，以及其英国和瑞士扩展）认证，并在其数据处理协议中纳入了欧盟委员会批准的标准合同条款（第 46(2)(c) 条）。托管我们邮箱的 Google 也提供同样的保障。你可以要求我们提供适用保障措施的副本。
发送给 Sentry 和 PostHog 的数据（第 4.9 节）存储在欧盟（德国法兰克福），受这些公司的数据处理协议约束，并适用针对这些公司从美国访问数据的标准合同条款。
保存在你账号中的记录副本（第 4.11 节）使用 Cloudflare 位于欧盟管辖区的对象存储（R2），只保存在欧盟；在你的设备与存储之间的传输途中，已加密的数据可能会经过 Cloudflare 位于欧盟以外的网络，并受 Cloudflare 合同条款的保护。
从健康应用、手表和传感器读取的健康数据，只有在你授权时才会离开设备：发送给你的 Coach（健康摘要和手表验证），用于训练验证或排行榜，或作为保存在你账号中的记录副本（存放在欧盟）。在排行榜中，只会传输由此得出的验证等级，绝不会传输心率序列。你与 Coach 共享的进度照片、问诊问卷和评估，以及你要求自动读取的报告，也同样如此。这些特殊类别数据的传输依据是你的明确同意，并受上述同样的保障措施保护。
你的权利
- 访问权（第 15 条）、更正权（第 16 条）和删除权（第 17 条）。
- 限制处理权（第 18 条）和反对权（第 21 条）。
- 要求我们将更正、删除或限制处理的情况通知你的数据的接收方（第 19 条）。
- 不受仅基于自动化处理、产生重大影响的决定的约束（第 22 条），详见下文。
- 数据可携带权（第 20 条）。实际上：真正属于你的东西（训练日志）在设备上，应用本身就能把这些历史记录导出为文件，无需依赖我们。我们保存的账号数据，你可以自己在个人资料 > 账号与订阅 > 导出账号数据中下载，即使没有有效的方案，也会生成一个文件，其中包括账号、订阅、排行榜和与 Coach 共享的数据；如果你开启了保存在账号中的记录，还包括该副本。你发布的媒体，以及仍能与你关联的已归档审核记录，可应你的请求以机器可读的格式发送给你。
- 随时撤回同意（第 7(3) 条），不影响此前已进行的处理。
- 向你所在国家的数据保护机构投诉（第 77 条）。
请求请发送至：privacy@gymplus.life。我们会按 GDPR 的要求在一个月内回复，通常会早得多。
自动化决策
每周回顾是对四周数据的算术比较，而不是关于你的画像。已发布媒体的审核结合了自动分析和人工复核；如果关于你内容的某项决定完全由自动化方式作出，你可以写信至 privacy@gymplus.life，要求由人工复核。自动读取生物电阻抗报告只会给出建议数值：在你核对并确认之前，不会保存任何内容。我们不做第 22 条意义上完全自动化、产生法律效力或对你有类似重大影响的决策。
17. 儿童与青少年
最低年龄：16 岁。未满 16 岁的人不得使用 Gym+。未满 16 岁者的账号会被关闭；当我们得知某个账号属于未满该年龄的人时，我们会将其删除，任何人都可以写信至 privacy@gymplus.life 提出这一请求。Gym+ 不面向 13 岁以下的儿童，并且按照美国 COPPA 的要求，我们不会故意收集他们的数据。如果你所在国家的法律规定同意处理数据的年龄高于 16 岁（在欧洲经济区为 GDPR 第 8 条），则以当地年龄为准，未达到该年龄的使用须经监护人授权。
应用如何得知你的年龄
- 应用商店或系统信号：应用首先查询设备的年龄信号：在 iPhone 上是 Apple 的 Declared Age Range（iOS 26 或更高版本），在 Android 上是 Google Play 的 Play Age Signals。应用只接收一个年龄段（例如 16 至 17 岁，或 18 岁及以上）及其来源（本人声明、监护人声明或已验证），从不接收出生日期。
- 出生日期：没有该信号时（设备较旧、拒绝提供或服务不可用），应用会询问出生日期，出生日期只保存在设备上。
- 两者不一致时：如果两个来源不一致，以保护程度更高的为准。
- 发送到服务器的内容：只有此人是否已满 18 岁，以及确认的日期。
- 用途：年龄信号只用于让应用适合使用者的年龄，绝不用于广告、营销、用户画像或分析。
青少年模式（16 岁和 17 岁）
16 岁或 17 岁的人以青少年模式使用 Gym+，默认采用最高级别的隐私保护：
- 没有社交功能：没有排行榜、对决、团队、联赛、好友、公开 @、公开页面，也无法搜索其他人。
- 与 Coach 关联须经监护人同意：青少年可以跟随 Coach 训练，但只有在监护人确认后才会建立关联，详见下文。
- 不进行广告衡量：Meta SDK（第 4.10 节）和 Conversions API 不会从该账号收到任何内容，已为此类衡量存在的数据会被删除。
- 不进行使用分析：PostHog（第 4.9 节）不会从该账号收到任何内容，Sentry 只收到技术错误，不含任何账号标识，也不含性能测量数据。不识别任何人的性能和易用性汇总计数继续进行。
- 不发送营销邮件：订阅提醒和回归提醒（第 4.8 节）以及产品动态不会发送，即使本人已开启。本人要求的训练报告（第 4.7 节）会继续发送。
- 健康数据：与所有人一样，只有在取得专门同意时才会处理（第 2 节），且绝不用于广告。
- 保存在账号中的记录：默认关闭并锁定，只有在监护人于监护人面板中允许后才能开启。如果监护人撤回许可，云端会关闭，云端副本会在 30 天内删除；记录只留在设备上。它绝不用于广告、营销或分析，监护人也看不到它（第 4.11 节）。
- 购买：遵循应用商店的管控：在 App Store 为家人共享中的“购买前询问”，在 Google Play 为通过 Family Link 批准。
与 Coach 关联的监护人同意
16 岁或 17 岁的人可以跟随 Coach 训练，但只有在监护人确认后才会建立关联。
- 确认请求：当青少年发起或接受关联时，应用会要求提供监护人的电子邮箱地址。监护人会收到一封电子邮件，其中包含 Coach 的姓名和 @，以及一个 7 天后失效的确认链接。未经确认，不会与 Coach 分享任何内容。
- 同意记录：我们会记录监护人的电子邮箱地址（加密保存，并附带一个用于查找该记录的加密摘要，即哈希值）、日期、进行确认者的 IP 地址以及所接受文本的版本。该记录会随青少年的账号一并删除。
- 撤回：监护人可以随时通过邮件中附带的链接撤回同意。撤回后，与该 Coach 的关联立即终止。
- 向监护人发送的通知：每次与新的 Coach 建立关联时，监护人都会收到通知；关联终止时，监护人会收到一份摘要，其中包含 Coach 的姓名以及开始和结束日期。
- Coach 能看到的内容：只有该学员未满 18 岁这一信息，绝不包括确切年龄或学员的方案。Coach 须遵守专门针对未成年人的行为准则。照片、视频和消息与往常一样经过同样的审核，涉及未成年人的举报会被优先处理。
- 照片和年龄：16 或 17 岁的用户不会与 Coach 分享进度照片。在青少年分享的体能评估中，Coach 看到的是 17 岁，而不是确切年龄。
监护人的关注
16 或 17 岁用户的监护人可以关注其在 Gym+ 的活动，仅供阅读，无需创建账号。
- 如何开始： 青少年在应用中填写监护人的邮箱，或监护人已确认过某位 Coach。监护人通过邮件中的链接确认，链接 7 天后失效。
- 监护人能看到什么： 最近 90 天的应用时长和每天的训练（次数和分钟），以及监护人确认过的每位 Coach 与青少年之间的消息。监护人永远看不到照片、测量数据、健康数据、位置，也看不到与其未确认的 Coach 之间的消息。
- 访问： 每次访问时，监护人需要申请一个阅读链接，我们只发送到其邮箱，有效期 24 小时。撤回同意会立即终止访问。
- 访问记录与透明度： 我们记录每次访问的日期和 IP 地址，青少年可以在应用中看到访问时间以及可被看到的内容。
- 最少数据与保存期限： 为此我们只按天保存应用内分钟数、训练次数和训练分钟数，保存 90 天，且仅在有已确认的监护人期间保存。这些数据不会用于广告，也不会展示给 Coach，并会随账号一起删除。
青少年模式的其他部分保持不变：仍然没有排行榜、对决、团队、联赛、好友、公开 @ 和搜索他人功能，不进行广告衡量，也不发送营销邮件。
监护人与法律依据
监护人可以写信至 privacy@gymplus.life，要求访问、更正或删除该青少年的数据。我们遵守巴西的 ECA Digital（《儿童和青少年数字法》，第 15.211/2025 号法律，自 2026 年 3 月 17 日起施行）、第 12.880/2026 号法令以及 LGPD 第 14 条，该条要求对儿童和青少年数据的处理须符合其最大利益。涉及儿童或青少年的举报，按第 8 节举报中所述处理。
在巴西的法定代表（ECA Digital，第 15.211/2025 号法律，第 40 条）：ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18。联系方式：privacy@gymplus.life。
18. 安全与治理
认证
ALAS TECHNOLOGY LLC 持有 ISO/IEC 27001 和 ISO/IEC 27701 认证，并依据这些标准运行信息安全与隐私管理体系。该体系明确责任人，定期评估风险，并对下文所述适用于 Gym+ 的控制措施进行文档化。
ISO/IEC 认证：Information Security Management 27001:2022（证书 Q7LUQTCU20251113BRAIS1Z1）、Privacy Information Management 27701:2025（证书 Q7LUQTCU20251113BRAPI15R）以及 Compliance Management System 37301:2021（证书 Q7LUQTCC20251113BRACM1X7）。 查看证书（在新标签页中打开）
控制措施
- 传输加密：应用、本网站与我们服务器之间的所有通信都强制使用 HTTPS。应用会拒绝携带凭证的重定向。
- 静态加密：服务器上保存的数据进行静态加密；我们保存的订阅信息另外使用 AES-256-GCM 加密，进度照片、问诊问卷回答、评估和联系请求另外使用 AES-GCM 加密，保存在你账号中的记录副本另外使用 AES-256-GCM 加密（每个账号使用专属的密钥），账号和安装标识符以加密摘要形式保存。
- 数据最小化：我们只处理本政策各项目的所必需的数据。你的精确位置绝不会到达我们的服务器，服务器只会收到近似网格，签到网格也不会被保存。训练日志默认留在设备上，只有经你授权才会以摘要形式发送给你的 Coach 以及排行榜或你的团队，取决于你开启了什么，或者在你开启保存在账号中的记录时，以加密副本的形式保存在你的账号中；健康数据只有在你授权发送给 Coach、用于训练验证和排行榜，或作为保存在你账号中的记录副本时才会离开设备（第 2 节、第 3 节、第 4.11 节和第 5 节）。
- 访问控制：生产系统的访问权限仅限于运营服务所需的人员，并采用强身份验证和定期的权限审查。在应用中，会话凭证只保存在内存中，退出账号时即被丢弃；设备上保存的任何标记都不能授予付费访问：权益始终来自对商店的重新查询。
- 日志与审计：对生产系统的访问和管理操作都会被记录，我们会审查这些记录以发现滥用行为。保存期限见第 13 节，已归档的部分经过假名化处理（已归档的审核记录）。
事件响应
没有任何系统是牢不可破的。我们建立了事件响应程序，用于发现、控制、评估和处置任何安全事件。如果事件可能给数据主体带来重大风险或损害，我们会在 ANPD 法规规定的期限内通知巴西国家数据保护局（ANPD）和受影响的数据主体。对于位于欧洲经济区、英国或瑞士的用户，我们会在知悉事件后 72 小时内通知主管监管机构；风险较高时，还会按照 GDPR（第 33 条和第 34 条）的要求，毫不迟延地告知受影响的数据主体。
数据保护负责人
我们的数据保护负责人（即 LGPD 所称的 encarregado）负责监督该管理体系，并担任数据主体和主管机关的联络人：privacy@gymplus.life。如需报告漏洞，请查看安全页面，或写信至 security@gymplus.life。
19. 本网站
以下内容适用于你尚未同意广告衡量的情况。如果你在 Cookie 通知中同意，本网站会在首页以及邀请、支持和社区页面加载 Meta Pixel（来自 connect.facebook.net），但绝不会在计算器、政策和安全页面加载，并使用 Meta 的 _fbp（浏览器标识符，90 天）和 _fbc（广告点击标识符，90 天）Cookie，以及网站自己的 gp_utm Cookie，用于在访问期间保存广告来源（第 4.10 节）。除下文所述的两个 Cookie 外，你对通知的回答（同意或拒绝）会保存在功能性 Cookie gp_consent 中，最长 12 个月。你可以通过页脚的“Cookie 偏好设置”链接更改回答；拒绝或撤回会删除 _fbp、_fbc 和 gp_utm。
本网站不使用广告或分析类 Cookie，不从其他域名加载字体、脚本或图片，也不为访问者建立画像。它只使用两个 Cookie，都由本网站自己设置，且都仅用于实现功能。第一个是 gp_lang：只有在你通过语言选择器选择语言时才会创建，并将这一选择保存最长一年，以便下次以同一语言打开网站。第二个是 gp_invite：只有在你打开 gymplus.life/i 上的邀请链接时才会创建，只保存邀请码，仅对 /i 路径有效，最长保留 30 天，以便你在应用中填写之前随时能找到这个邀请码。它不会识别你本人或你的设备。托管本网站的 Cloudflare 会在提供页面和保护基础设施所需的时间内记录请求的 IP 地址和技术数据。
唯一的例外是 Coach 的公开页面（gymplus.life/p/）：当你开始填写联系表单时，页面会加载 Cloudflare 的反机器人验证，它只使用浏览器的技术数据来区分真人和机器人（第 7.6 节）。
20. 本政策的变更
本政策发布后可能会变更。如果变更会对我们处理你数据的方式产生重大影响，我们会在其生效前通过应用内通知和电子邮件告知你，并注明更新日期。
21. 如何联系我们
- 隐私、数据主体权利和数据保护负责人： privacy@gymplus.life
- 支持：support@gymplus.life 或 支持页面
- 安全与漏洞：security@gymplus.life 或 安全页面
- 其他事务：contact@gymplus.life
ALAS TECHNOLOGY LLC, EIN 93-3927200
在巴西的法定代表（ECA Digital，第 15.211/2025 号法律，第 40 条）：ALAS TECNOLOGIA LTDA, CNPJ 27.272.134/0001-18。联系方式：privacy@gymplus.life。