OiYOi 鸥友同城的学生,彼此搭把手
隐私政策
人话摘要
我们只收跑平台必须的信息:学校邮箱、标签、帖子和聊天。不收真名、不卖数据, 聊天全员看完 72 小时就删。你随时能在 app 里自己把账号删干净。
位置地图右侧的定位按钮开着时,app 在前台读你的位置,用来把你标在你自己的地图上; 进后台或再点一下定位按钮关掉就停。有一样是 app 自己发的,不用你按:你停在地图那一屏、在同一处待满 3 分钟, app 会把取整到约 20 米的位置发到我们的服务器,问一句「这是哪家店」,好在地图上冒个泡让你打分 —— 不存进数据库、不写进日志,一小时最多问 4 次。其余会离开你手机的位置,都是你自己按出来的: 发 Live(你选给好友、密友或特别关心看,默认密友,没有公开;每次发布前问你一次,同意了才带上约 10 米的位置)、发吆喝时你自己在地图上搜到并点了「确定」的见面地点(所有同学看得到)、 出闲置的取货点(默认大家只看到约 200 米的大概位置,精确地点要你自己在确认卡上选「公开这个地点」)、 你安的家(能进你家的人 —— 互为密友,或你设的互为特别关心 —— 在地图上只看到约 200 米的大概位置)、 「我就在这儿」认店、搜「电话卡」(你家约 1 公里的大概位置发给 TfL 和 postcodes.io 算信号,不存)。 没有后台定位,也没有行踪轨迹。详见第 2 节。
1. 谁在处理你的数据
OiYOi 鸥友(oiyoi.org)目前由个人创始人运营,公司尚未注册。运营主体:宋钰博 Yubo Song(个人运营,公司未注册)。 在英国法下,运营者就是你个人数据的“控制者”,按英国《通用数据保护条例》(UK GDPR)对你负责。
2. 我们收集什么(以及故意不收什么)
收集的:
- 学校邮箱:必须是英国高校邮箱(.ac.uk),只用来确认“你真的是在读的高校学生”。库里存的是加密值和哈希,不存明文。
- 答题画像标签:注册答题生成的标签,用来做匹配推荐。
- 习惯/爱好标签(可选):你自己选填,随时可改。
- 性别与出生年份(注册时的新人卡里填的):性别用来做定向受众 —— 有些吆喝发布时会选「只给女生看」这类范围,没有它就判不出该不该给你看; 出生年份用来卡年龄下限(未满 18 岁不能用,见第 9 节),并做粗年龄段的匹配。 只存年份,不存生日。两项都可以在「我」里改。
- 推送用的设备令牌(只在你自己允许了通知之后):苹果/安卓发给这台设备的一串 推送地址,加上设备的浏览器标识,用来把「有人回你了」这类提醒送到这台机器上。 关掉通知或注销账号时一并删除。它不是广告标识,我们也没有任何广告或追踪 SDK。
- 发帖内容与图片:你发的求助、组局、闲置等内容。图片上传时会清掉 EXIF(含 GPS)。
- 聊天消息:互助沟通的消息(存得很短,见第 4 节)。
- 联系方式(微信号):加密存储,平时谁都看不到,只在你和对方都确认达成互助后才互换展示。
- 片区:你在新手答题里自己选的那一片(或者在那道题里按「用一次定位帮我选」,按那一刻的位置归一次)。 开着定位不会自动改它,也不会上传。
- Live 的位置:你发 Live 时会记下发布位置。谁看得到由你每次发的时候选:好友、密友(默认,也就是互标密友) 或特别关心(互为密友且双方都设了特别关心);三档都要双方同意的关系才算,没有公开选项 (还没更新的老版本 app 发来的「公开」或不带选择的,一律按只给互标密友存)。 每一次发布前,app 会先摆一张卡:这条会带上你现在的位置(约 10 米)、只有你选的那一档看得到、不带位置就发不了 Live; 你点「同意并发布」才会带上位置,点取消就退回发布页,什么都不上传。我们把这次同意记下来(谁、什么时候、哪条 Live、哪一档), 下一条 Live 会重新问你一次。还没更新的老版本 app 没有这张卡,它发的 Live 一律只记约 1 公里的大概位置。 24 小时后连同文件一起删除。照片上传时清掉 EXIF(含 GPS),视频上传时清掉文件里的位置信息。
- 吆喝 / 组局的地点:地点是你自己在地图上搜出来的(店名、地址或邮编),发吆喝这一步不读你的当前位置。 落钉时底下有一条「这个地点所有鸥友都能看到」,你点了「确定」,这一条才会存这个精确地点(约 1 米), 所有验证过的同学都看得到 —— 它是你们要去的地方,不是你现在在哪。我们同时记下你是什么时候确定的。 钉上只显示你的海鸥代号。老版本 app 发来、没经过这一步的坐标,由服务端粗化到约 500 米的大概区域。
- 闲置的取货点:所有验证过的同学都看得到,所以默认只存约 200 米的大概位置,地图上的钉也只落在这个大概位置上 —— 知道去哪附近,找不到门牌。想让买家找到具体地点,在发布页点「公开精确地点」,在确认卡上自己选「公开这个地点」 (默认选项是「只显示大概区域」),我们记下你选择公开的时间。用「我的当前位置」落的取货点不能公开。
- 家:你安家时,家的位置存在我们的服务器上,原始坐标只有你自己读得到。
谁能进你家由你选:互标密友(默认)或互为特别关心,不能更松;普通好友、陌生人和你拉黑的人
连你「有没有家」都看不到。能进你家的人看得到:
- 地图上的一栋小房子:位置由服务器取整到约 200 米的格点,地图上不画圈、不显示地址或门牌; 另外看得到你家所在片区的名字。
- 你「在屋里」:你在 app 里打开自己家那一屏时,能进你家的人会看到你「在屋里」; 你离开那一屏就不显示,最迟约 90 秒后消失。这一条不读你的位置,只记最近一次打开的时间。
- 你「在家」:只在你自己点「到家了」或打开「自动判断在家」(默认关)之后才显示。 点「到家了」时,那一刻的位置发到服务器和你家比一下远近,比完就丢、不存; 「自动判断在家」打开后只上传「在家 / 不在家」,不传坐标。两样都没有时,门牌上写「出门了」。
- 串门:他们可以在 app 里点进你家,你和其他能进来的人都看得到此刻谁在屋里 (离开或约 90 秒没动静就不显示)—— 这和任何人实际在哪无关,串门不读位置。
- 点评:别人写的点评,对外只显示是哪一天写的,不显示几点几分。
- 搜「电话卡」(按你家到学校的路线看四家运营商的信号):打开时,我们把你家的位置取整到约 1 公里 (手机上先取整、服务器再取整一次),或者你手输的邮编只取前半段(比如 WC1E 6), 连同学校的位置(公开的校门位置)一起发给 TfL(伦敦交通局,算通勤路线)和 postcodes.io(查所在的区)。 如果我们开通了 Ofcom 的逐地址信号查询,还会发给 Ofcom(英国通信管理局)一个我们在那个 1 公里格点附近挑的邮编 —— 不是你的邮编。 这几家都在英国,收到的不带你的代号或任何账号信息;这次的位置不存进我们的数据库、不写进日志,算完就丢。
- 加好友 / 问卖家时附的一句话(可以不写):对方点头之前就看得到这一句。它加密存储,发出前过一遍文字过滤; 加好友那一句在对方点头或婉拒后删除;问卖家那一句在卖家点头后变成你们聊天的第一条(按第 4 节聊天的保留期删), 卖家婉拒就删除。在对方点头之前,卖家只看得到你的标签(学校 · 年龄段 · 性别),看不到你的代号; 对方可以举报或拉黑你,举报时这句话会附进举报记录,供我们处理。 对方的锁屏提醒里会显示这一句的开头(不写是谁)。
- 「我就在这儿」认店时的当下坐标:你按这颗按钮时,我们会把设备当时的精确坐标 发给公共地图服务(OpenStreetMap 的 Overpass 查询镜像),问它「你脚下 250 米内有哪些有名字的场所」。 这一次坐标不进我们的数据库、不跟你的账号绑,只用于换回那份场所清单; 发出去时也不带你的代号或任何账号信息。哪些镜像、在哪个国家,见第 5 节。
- 停留认店(app 自己发的,不用你按):定位按钮开着、app 在前台时, app 在手机上数你在同一处(约 35 米内)待了多久。待满 3 分钟、而且你正停在地图那一屏, 它把当时的位置取整到约 20 米发到我们的服务器,问「附近是哪家店」—— 为的是在地图上冒个泡,你点一下就能给这家店打分。一小时最多问 4 次; 你走开(超过约 35 米)、app 进后台或把定位关掉,计时作废。 服务器先查我们自己的地点表;表里查不到你附近的店时,才像「我就在这儿」那样去问 OpenStreetMap 的 Overpass 查询镜像(不带你的代号或任何账号信息,见第 5 节)。 这对坐标不存进我们的数据库、不写进日志,查完就丢,我们不拿它记你去过哪。 不想要这件事:把地图右侧的定位按钮关掉,就不会发生。
- 最近一次活动:你的账号最近一次用 app 的时间,以及那一刻用的是哪个功能 (只记到接口的路径,不含你搜了什么、位置或任何参数)。只留最近的这一次,新的盖掉旧的,不留历史。 用处两个:做推荐时只算最近来过的账号;运营后台统计活跃人数、看在线的人此刻在用哪个功能。
- 匿名使用统计:为了知道大家最常用哪些功能、每次大概用多久,从而改进产品,app 会统计两类不含任何身份信息的数字 —— 某个功能当天一共被用了几次(打开今日推荐、发吆喝、报名、唠嗑发消息、碰卡、问 Yoi、进家、加好友、发帖这几样); 每次打开 app 停留的时长落在哪一档(1 分钟以内 / 1–5 分钟 / 5–15 分钟 / 15 分钟以上),以及当天所有停留一共多少秒、几次(只加总,单次最多算 1 小时)。 这些数字在你的手机上先攒一会儿,再成批发给我们的服务器(发不出去就丢掉),服务器只把它们加到当天的总数上: 我们不记是谁、用的哪台设备、IP 地址,库里只有「哪天 · 哪一项 · 几次」,没法把这些数字和你联系起来。
- 家乡(选填,老乡用):新人题目或「老乡设置」里可以选你来自中国哪个省 / 市,也可以选「神秘的东方」不填。 用处只有一个:你和对方都打开了「老乡」时,认出你们是同省老乡(加好友时会标出来,也会告诉你有几位老乡)。 它不公开、不出现在你的主页或任何别人能看到的地方;后台审计只记「填了 / 清了」,不记是哪里; 我们的工作人员在后台看单个账号时也看不到你的家乡。我们知道家乡可能透露你的民族出身,所以按敏感信息对待。 你随时可以改,或选「神秘的东方」清掉;删号时一起删除。
- 安全与滥用信号:限流命中、登录失败、疑似爬取等事件。其中 IP 只存哈希,反推不出原值。
- 语音 —— 两条路不一样,分开说(两条都只在你按住麦克风时才开麦,不按不开):
- 跟 Yoi 说话(按住提问):那一段录音发到转写服务商转成文字,转完即弃 —— 这一条路上我们不保存音频,音频不落盘也不入库,留下的只有转出来的那句文字 (和你自己打字问的没有区别)。
- 聊天里发的语音消息:这一条路会保存音频文件 —— 因为对方要能点开听。 文件和这条消息一起走同一套保留期:所有参与者已读后 72 小时内删除,最迟 7 天兜底删除, 删消息时连音频文件一起删。
- 苹果账号信息(只在你自己选择用 Sign in with Apple 登录时):苹果只把 姓名和邮箱给我们,别的一概没有。你可以在苹果那一步选「隐藏我的邮箱」—— 那样我们拿到的是苹果给的一个转发地址,你的真实邮箱我们从头到尾都看不到。 我们只用它给你发通知(比如身份审核的结果)。 ⚠️ 用苹果登录不等于进得来:它只是一次登录,还要再核一次学生 / 校友身份。
- 领英账号信息(只在你自己选择用领英登录或绑定时):姓名、邮箱、头像、 以及「领英有没有给你做过官方认证」这一项。加密存储;解绑时一并删除。
- 学生证 / 毕业证照片(只在你申请校友认证时,而且是你自己主动传的): 加密存放、只有管理员看得到、判完立刻删 —— 不留底片。 你可以先把学号成绩涂掉,我们只需要看清学校和你的名字。
故意不收的:
- 真实姓名 —— 你在平台上是一个海鸥代号,外加可选昵称 (例外:用领英登录时会拿到你的姓名,见上;不用领英就不会有这一项);
- 你的行踪 —— 没有后台定位、没有位置历史表:app 在后台不会读你的位置, 我们也不记录你去过哪、几点在哪。位置只在上面列的那几个动作里被读那一次, 按上面写的档位存下来。但要说清楚:app 确实会读精确位置 (在你自己的地图上标出你、「我就在这儿」认店、在同一处待满 3 分钟时自动认店;你同意之后发的 Live 存到约 10 米、只给你选的那一档朋友; 你安家时存下家的位置,原始坐标只有你自己读得到,给别人的只有约 200 米的格点), 所以我们在 App Store 的隐私标签里申报的是「精确位置」,不是「粗略位置」;
- 身份证、护照、签证这类政府证件 —— 一律不要。 校友认证只看学生证/毕业证,而且看完就删(见上);
- 任何支付信息 —— 平台不经手钱,自然也不碰你的卡。
3. 为什么收(法律依据,说人话)
- 为了把服务跑起来(合同履行):没有邮箱验证就没法确认学生身份,没有标签就没法匹配,没有聊天就没法互助。
- 为了大家的安全(正当利益):处理举报、封禁骗子和骚扰者、过滤违禁内容、防止刷号滥用。 我们权衡过,这些用途对你隐私影响很小,对社区明显有利。
- 你自己点头的那几样(同意):学生证 / 毕业证照片、推送通知用的设备令牌, 你选填的家乡(只用于你也打开了的「老乡」,见第 2 节)、你在地图上点「确定」公开的吆喝地点、在确认卡上选择公开的闲置取货点,以及 Yoi 把你的话发给第三方 AI(发之前先问你,见第 5 节)。这几样不给也能用平台, 只是对应的功能用不了。你随时可以反悔 —— 见第 8 节「撤回同意」。
- 为了把产品做得更好(正当利益):第 2 节的「匿名使用统计」—— 只有每天的总数,认不出任何人。
我们不用你的数据做广告投放,也不做与上述目的无关的分析。
4. 存多久
- 聊天消息:所有参与者已读后 72 小时内物理删除;无论是否已读,最迟 7 天兜底删除。 例外:如果有人对某条消息做了“收藏快照”,那份快照由收藏者保留,不随原消息删除。
- 其他数据(邮箱、标签、帖子、图片、加密微信号):账号存续期间保留。你发起注销后, 账号先进入冷静期(其间账号停用、你可随时反悔恢复);冷静期一过,数据被永久删除。
- 治理记录(举报、封禁、后台审计):删号后保留但匿名化 —— 指向你的那一头会被抹成空值, 认不出是谁。不保留的话,注销就成了洗白重来的通道,受骚扰的人得不到保护。 这一项的法律依据是防止欺诈与滥用的正当利益。
- 被举报 / 被保全的对话是例外:如果有人举报了某段对话,或者对话里的任何一方 按下了「保全证据」,那段对话的消息会暂停删除,最多 180 天,到期自动恢复正常删除。 为什么要有这个:被骗、被骚扰的人往往几天后才来举报,那时按正常节奏证据已经没了 —— 没有证据,受害的一方就没法维权。保全只针对被举报或被当事人指明的那一段, 不是所有人的聊天都留更久。法律依据是「确立、行使或抗辩法律主张」的必要处理。
- 安全日志(登录失败、限流、异常访问):90 天后自动删除。它只记时间、访问了哪个地址, 以及一个认不出人的编号,用来发现有人在攻击或爬取。90 天够查清一次持续性的攻击, 再久就只是把你的行为轨迹留着而已,所以到点就清。
5. 存在哪(以及哪些内容会离开欧洲)
存下来的数据在欧洲:数据库和服务器在 Railway 欧洲区(荷兰),图片、语音、视频存 Cloudflare R2 欧洲节点,验证邮件经 Resend 发出。英国官方认可欧洲的数据保护水平(充分性认定),这样存放是合规的。 我们不会把账号库搬去欧洲以外。
但有几样东西会实时发到欧洲以外,必须讲清楚 —— 那是「发过去处理一次」,不是「搬过去存着」:
- 先问你,再发:下面三条(Yoi 的对话、语音转写、发给 Yoi 的图片)都是第三方 AI。 你第一次往 Yoi 发字、发图或按住说话之前,App 会先弹一张卡说明发给谁、发什么、不发什么, 你点「同意并继续」之后才会发送;点「不用了」就什么都不发,Yoi 的输入区挂一把小锁, 地图和其他功能照常用。说明的文字改过,会重新问你一次。 你随时可以在「我 › 设置 › Yoi 使用的 AI 服务」里撤回同意,撤回之后同样什么都不再发。 我们在服务器上记下你同意的是哪一版说明、在什么时候(撤回也记)—— 没有这条记录,服务器不会替 Yoi 转发任何东西。
- 美国 · Yoi 的对话:你跟 Yoi 说的话会发给 Anthropic(没配它的钥匙时退到 OpenAI), 两家都在美国。发过去的除了你这一轮的话和最近几轮上下文,还带你的海鸥代号、你自己起的昵称、 你常在的片区名(这样它才知道该怎么称呼你、先看哪一片);不带你的真名、邮箱、联系方式和你手机的定位。 你让 Yoi 查路线、找店时,你说到的地名(比如「UCL」「Heathrow」)会发给 TfL(伦敦交通局)、OpenStreetMap 的地名查询和 postcodes.io 换成地图上的点, 路线的起点终点再发给 TfL 查车次 —— 这几家不是 AI、在英国和欧洲,只收到地名和坐标,不带你的代号或任何账号信息。
- 美国 · 语音转写:你按住跟 Yoi 说的那段录音发给 Groq(退到 OpenAI),两家都在美国。 为了听准店名,会一并带上你常在片区里的店名清单(地图上人人看得见的公共信息)。 那段音频转完即弃,请求里不带你的代号、昵称或任何账号信息。
- 美国 · 你发给 Yoi 的图片:在 Yoi 那一屏点相机拍的(或从相册选的)照片, 会连同你那一句话一起发给 Anthropic(没配钥匙时退到 OpenAI)—— 它得看见那张图才答得上来。只发这一次:图片不进对话历史, 下一句话不会把它再发一遍,我们这边也不留副本。 这条只在你自己点相机时才发生 —— 我们不会去翻你的相册。
- 美国 · 帖子和评论的 AI 先审:你发帖子或评论时,帖子的文字和图(标题、正文、评论,以及你传的图片)会先交给 Anthropic 的 AI 审核 —— 看有没有色情、暴力、仇恨骚扰、违法交易、广告引流、别人的个人信息这类不能发的内容。 图片发的是我们重新生成的缩小副本(长边不超过 1024 像素),拍摄地点等 EXIF 信息全部去掉;视频本身不发(视频帖由我们的人看)。 不带你的代号、账号、邮箱、学校、片区和坐标。明显没问题的直接发布,拿不准的交给我们的人看,明显违规的不予发布、并告诉你是哪一类。 这一步是为了让所有同学看到的内容安全(法律依据是正当利益),不另弹同意卡 —— 不想经过它,可以不发帖子和评论,浏览不受影响。 审核记录里我们只留判定的类别和一句理由,不另存你内容的副本。 举报也一样:被举报的内容(帖子、评论、吆喝、闲置、点评、私聊里被举报的那条、个人资料)和举报理由,也会交给同一个 AI 判断严不严重 —— 只为处理举报,不带你的代号(举报人和被举报人的都不带)。
- 「我就在这儿」那一次的坐标发去欧盟:这个功能问的是 OpenStreetMap 的公共 Overpass 查询镜像 —— overpass-api.de(德国)和 overpass.kumi.systems(奥地利), 两个都在欧洲经济区内。发过去的只有那一刻的坐标和「找附近有名字的场所」这句查询, 不带你的代号或任何账号信息,我们这边也不留这次坐标。 只在两种时候发生:你按了「我就在这儿」;或者第 2 节说的「停留认店」在我们自己的地点表里查不到你附近的店 (那一次发过去的是取整到约 20 米的位置)。 (2026-08-31 之前这里还排着一个由俄罗斯 VK / Mail.ru 运营的镜像、而且排在第一位; 创始人当天拍板删掉了它。我们把这件事留在这儿,而不是当作没发生过。)
凭什么可以发过去:我们和这三家(Anthropic、Groq、OpenAI)之间适用 欧盟标准合同条款(SCC,模块二/三),并附英国信息专员公署的国际数据传输附录 (模板 B.1.0,2022 年 2 月 2 日提交英国议会那一版) —— 这两份在我们接受它们的 商用服务条款时即已生效,英国法下这就是第 46 条要求的「适当保障」。 我们另外做了一份传输风险评估,结论是:发过去的内容本身已经最小化 (语音那条一个能认出你的字都不带,对话那条不带邮箱、联系方式和精确坐标), 与目的地的风险相称。评估会定期复审,换供应商或发的内容变多时立刻重做。
无论如何,每次都只发处理这一次请求所需的最少内容。 账号库、聊天记录、地图数据、以及校友认证的学生证/毕业证照片,一律不出欧洲。
6. 给谁看
- 不卖数据,不给广告商。 没有例外。
- 基础设施服务商(受我们指示的“处理者”):Railway(服务器)、Cloudflare(图片与网络)、Resend(发邮件)。 它们只替我们存和传,不能拿你的数据自己用。
- AI 与转写服务商(同样是受我们指示的“处理者”,都在美国,见第 5 节): Anthropic(Yoi 的对话,没配钥匙时退到 OpenAI)、Groq / OpenAI(把你按住说的那段话转成文字)。 发过去的只有这一次需要处理的内容。 说准确一点:Yoi 那条路会带上你的海鸥代号、你自己起的昵称和常在片区 —— 它得知道怎么称呼你、先看哪一片;不带你的邮箱、联系方式和精确坐标。 你主动发给 Yoi 的图片也走这条路(只发那一次,不进历史、我们不留副本)。 帖子和评论的 AI 先审也发给 Anthropic:只有帖子的文字和去掉 EXIF 的缩小图,不带代号和任何账号信息(见第 5 节)。 处理举报时,被举报的内容(帖子、评论、吆喝、闲置、点评、私聊里被举报的那条、个人资料)和举报理由也发给它判断严不严重,只为处理举报,同样不带代号。 转写那条路一个能认出你的字都不带。合同约定它们不得用来训练模型。
- 电话卡的数据源:只有你打开「电话卡」那一下,你家约 1 公里的大概位置(或邮编前半段)和学校的公开位置 发给 TfL(路线)和 postcodes.io(所在的区),开通了 Ofcom 逐地址查询时再发给 Ofcom 一个我们挑的邮编; 都在英国,不带账号信息,我们不存这次的位置(见第 2 节)。
- 地图查询镜像:只有你按「我就在这儿」那一下,或者「停留认店」在我们自己的地点表里查不到你附近的店时,坐标会发给 OpenStreetMap 的公共 Overpass 镜像换回附近场所清单(德国、奥地利各一个,都在欧洲经济区内;见第 5 节)。
- 苹果:只有你自己点了「Sign in with Apple」时才会发生 —— 那一刻是你在苹果那边登录(面容 ID / 密码都在苹果的界面里,我们碰不到), 苹果只把姓名和邮箱回给我们。不用它就完全不发生。
- 苹果地图(没手绘的区域):在我们还没有手绘的区域,地图底图由 Apple 提供(MapKit JS)。 显示这部分地图时,你的设备会直接向 Apple 请求地图数据,Apple 可由此得知当前地图显示的大致区域(约几百米) 以及你的 IP 地址、设备和语言信息;地图正跟着你的位置走的时候,这个区域也就是你所在的大致区域。 我们不会把你的位置、账号或任何个人资料发给 Apple;我们也不使用 Apple 的搜索、路线或地理编码服务。 在我们已手绘的区域,地图不经过 Apple。 Apple 如何处理这些请求,见 Apple 的说明。
- 领英:只有你自己点了「用领英登录 / 绑定领英」时才会发生 —— 那一刻是你在领英那边登录,领英把姓名、邮箱和认证类目回给我们。不用它就完全不发生。
- 执法要求:收到合法的执法调取要求(比如涉及诈骗案件)时,我们会依法配合。
7. Cookie
只用维持登录状态的严格必要会话 cookie,没有追踪和广告 cookie。按英国 PECR 规则,这类 cookie 无需征求同意, 所以你不会看到 cookie 弹窗 —— 不是我们偷懒,是压根没有需要你同意的东西。 (iOS 应用里不用 cookie,登录令牌存在设备本地。)
8. 你的权利
按 UK GDPR,你可以:
- 看:要一份我们存的关于你的数据副本;
- 改:更正错误信息(标签、昵称在应用里自己就能改);
- 删:「我」→「注销账号」,在应用里自己发起,不用发邮件求人。 有冷静期可反悔,冷静期一过即永久删除,范围见第 4 节;
- 限制/反对:对基于“正当利益”的处理提出反对。
- 带走(数据可携):要一份你给我们的数据的机器可读副本,或者让我们直接转给别家 —— 针对基于合同和同意、而且是自动处理的那一部分。
- 撤回同意:第 3 节里靠“同意”收的那几样,你随时可以收回,而且不影响 收回之前已经做过的处理。怎么撤:通知令牌 —— 在手机系统设置里关掉通知; 公开过的精确地点 —— 删掉或下架那一条;学生证 / 毕业证照片 —— 判完它就已经删了, 还没判完的发邮件叫停,我们当场删掉,改按你填的文字信息人工看。
自动化决策只有一处,而且有人兜底。帖子和评论由 AI 先审(见第 5 节):明显没问题的直接发布,拿不准的交给我们的人看, 明显违规的不予发布并告诉你是哪一类。AI 放行的内容我们按比例抽查,放错了的会撤下并通知你;觉得自己被误判,改一改再发, 或者发邮件给我们,会有人复核。校友认证有一套内部打分,但它只是给审核的人排序用的信号, 通过与否一律由人决定。除此之外,我们不做对你有法律效果或类似重大影响的纯自动化判定。
哪些是非给不可的:只有学校邮箱 —— 不验证就确认不了你是在读的高校学生,进不来。 其余都是可选的,不给只是对应功能用不了。
行使权利请发邮件到 hello@oiyoi.org,我们会在一个月内回复。 如果你觉得我们处理得不对,可以向英国监管机构 ICO 投诉(ico.org.uk)—— 不过欢迎先来找我们,多数问题聊一聊就能解决。
9. 未成年人
平台仅限年满 18 岁的用户使用。发现未满 18 岁的账号,我们会删除账号及其数据。
10. 政策变更
政策有实质性变化时(比如新增数据类型、更换服务商),会在平台内显著位置提前通知,重大变化会请你重新确认; 小的文字修订直接更新并标注日期。