隐私保护协议

我们收集什么

账号信息：注册与登录需要邮箱地址和昵称。邮箱用于识别账号和接收验证码，昵称是您在团契里显示的称呼。头像、性别和生日由您自己决定是否填写。

用 Google 登录：如果您选择用 Google 账号登录或绑定，我们只从 Google 取得您的邮箱、Google 上的名字和头像地址，用来找到或建立同一邮箱的账号（名字只在新建账号时用作默认昵称）。我们拿不到您的 Google 密码。

登录与安全记录：为了拦截机器人注册和异常登录，我们会记录一段设备特征值（网页上是浏览器与屏幕参数的哈希，App 上是手机型号、品牌、系统版本和语言的哈希，不含任何身份信息）、访问时间与 IP。每次登录还会记下登录时间、IP、浏览器或 App 版本，以及 App 自己生成的随机设备编号（不是手机的硬件编号）。IP 只留在安全记录里供排查，不会显示在任何页面、邮件或通知里，也不会用来推算您的位置。

登录设备：为了让您看清是哪些设备登录了您的账号（同一台设备无论登录多少次都只算一台），并在新设备登录时提醒您，我们会给每台登录过的设备记下：

• App：设备名称（手机设置里的「设备名称」，读不到时用品牌和型号）、品牌、厂商、型号、Android 版本、屏幕尺寸与像素密度、处理器类型、系统语言、时区、App 版本，以及当时用的是 Wi-Fi 还是移动数据。用来认出「同一台手机」的设备标识，是 Android 为本 App 单独生成的 Android ID 经过单向哈希（SHA-256）后的结果：原始的 Android ID 不会离开您的手机；它只对本 App 有效（别的 App 拿到的不一样），重装 App 不变，手机恢复出厂设置后会变。
• 网页：浏览器和版本、操作系统、屏幕尺寸、语言、时区，以及一个随机生成的登录设备 Cookie（用来认出同一个浏览器，fenli.org 各站点共用）。
• 每台设备：首次登录、最近登录和最近使用的时间，登录方式（密码、验证码、Google、扫码登录等），登录次数，以及您给它起的名字。

您可以在 App「我的 › 账号安全 › 登录设备」里查看每台设备、给它改名，或让不认识的设备退出登录（网页上在 auth.fenli.org 的「装置与工作阶段」）。新设备登录提醒：账号在一台从没用过的设备上登录时，我们会给账号邮箱发一封提醒邮件（写明设备名称、型号、系统、登录方式和时间，不含 IP 或位置；同一账号每天最多 3 封），并在您其他已登录的 App 上提示。

扫码登录：用已登录的 App 扫描电脑网页上的二维码登录时，App 会先显示那台电脑的系统和浏览器、扫码时间，以及它和手机是否在同一网络（只比较网络地址是否相同，不推算位置），请您确认；电脑的 IP 不会发到手机上。确认后，我们会在登录记录里记下这次登录的时间、电脑和手机的 IP、电脑浏览器的标识（User-Agent，例如「Windows 上的 Chrome」），用于安全核查。二维码 2 分钟内有效，只能用一次。

网页上的 Cookie 与本地存储：网站用 Cookie 保持登录状态；另有一个防止验证码被刷的设备 Cookie（180 天）、一个认出同一浏览器的登录设备 Cookie（400 天，见上文「登录设备」）、登录页面写下的只含屏幕尺寸和时区的短期 Cookie（1 天），以及一个随机编号，用来在您未登录时保存收听进度。主题、字号等偏好存在您浏览器的本地存储里。我们不使用广告 Cookie。

随账号同步的数据

登录后，下面这些内容保存在我们的服务器上，换手机、重装 App 或在网页上登录同一账号都能接着用：

• 读经：书签、高亮、笔记、上次读到的位置、阅读历史与已读章节
• 收听：圣经朗读与查考音频的收听进度和收藏，圣诗收藏与最近播放
• 查考文库：阅读进度与收藏
• 读经计划：加入的计划与每天的完成情况
• 读经报告：每天读完的章节、各类内容的收听时长、圣诗播放次数
• 设置：主题、字号、字体、行距、语速、语言、提醒时间、长辈模式、匿名使用统计开关等设置随账号同步
• 互动：视频点赞，以及您发表的视频评论（评论对其他人可见）

只留在本机、不同步的有：通知权限、已下载的内容、是否自动发送错误报告。未登录时，以上数据只保存在您的手机或浏览器里。

App 权限与本机数据

Android App 只在用到时才申请权限，拒绝后其他功能照常使用：

• 相机：只在打开「扫一扫」时申请，只用来识别二维码。画面在手机上即时识别，不拍照、不保存、不上传。「从相册识别」使用系统的照片选择器，App 只能读到您选中的那一张图片，同样只在手机上识别，不需要存储权限。
• 通知：用于每日经文提醒、读经计划提醒、下载进度、播放控制、新版本和内容更新提醒。这些通知都由 App 在手机上发出，我们没有使用推送服务。「内容更新」大约每 8 小时联网查看一次公开的新内容列表，可以在「设置 › 提醒」里关闭。
• 安装应用：只用于安装您确认下载的 App 新版本。
• 其他：联网、后台播放与下载、开机后重新设定提醒、振动。App 不申请位置、通讯录、麦克风、电话、短信或存储权限。

手机上保存的数据：离线下载的经文、音频、圣诗和文稿存放在 App 自己的数据目录里，其他应用读不到，可以在 App 里删除，卸载 App 时一并清除。只有您选择「存到相册」时，图片卡片才会保存到相册的「电子圣经团契」文件夹。登录凭据用 Android Keystore 里的密钥加密保存，不会随手机备份或换机迁移带走。

系统备份：如果您开启了 Android 的系统备份，阅读数据和 App 设置可能随系统备份保存到您自己的 Google 账号（只在设备能端到端加密、也就是设了锁屏时）；登录凭据、设备编号和缓存不在备份之内。

检查更新：App 打开和回到前台时会联网查询最新版本（最多每 30 分钟一次），请求里不带账号或设备编号；分批推送新版本时用的随机编号只保存在手机上，不会上传。新版本安装包从 fenli.org 下载，安装前会核对文件指纹和签名。

错误报告与使用统计

错误报告：App 崩溃时，会在手机上留下一份错误记录：发生时间、App 版本、手机品牌和型号、Android 版本、出错的程序位置（堆栈）和最近一次出错请求的编号，不含您的笔记、搜索词或阅读内容。下次打开 App 时会先问您要不要发送；只有您同意，或在「关于电子圣经团契」页打开了「自动发送错误报告」（默认关闭），才会发给我们。发送时还会附上上面说的设备特征值和您自愿填写的邮箱，服务器会同时记下 IP、浏览器标识（User-Agent）和语言。错误报告存放在我们使用的 Cloudflare R2 存储里，30 天后自动删除。

问题反馈：在 App 里反馈问题时，只有您勾选，才会附上最近的运行日志（默认不附）；运行日志不记录邮箱、搜索词和笔记内容。

匿名使用统计：App 会把打开了哪类页面（只有页面类型，比如「读经页」，不带书卷、搜索词或编号）、通过什么方式打开 App（比如点通知、点桌面图标）、App 版本、Android 版本、屏幕尺寸和语言，发到我们自己架设的统计服务（Umami，部署在 fenli.org）。不带账号、邮箱、设备编号或 Cookie，统计服务也不保存 IP 地址。您可以在「设置 › 隐私与关于 › 匿名使用统计」里关闭，关闭后会立即清空还没发出的记录，之后不再发送。网站（fenli.org、m.fenli.org）也用同一套自建统计服务记录页面访问情况，同样不使用 Cookie、不记录账号。

我们怎么用

• 提供圣经阅读、收藏、笔记、同步等账号功能
• 发送登录验证码与必要的服务通知（例如确认注销申请）
• 识别并阻止滥用行为，保护其他弟兄姊妹的账号安全
• 根据错误报告修复问题，根据匿名统计了解哪些功能有人在用
• 在我们自己的服务器上根据 IP 判断大致地区，决定是否显示 Google 登录（不发给第三方）

我们不做商业推广，不向第三方出售或交换您的信息，也不会把您的邮箱用于本平台之外的用途。

第三方服务

为了把内容送到您手里，我们用到下面这些服务，它们只经手完成各自工作所需的数据：

• Google：只在您选择用 Google 账号登录或绑定时使用，由 Google 按它自己的隐私政策处理。中国大陆的 IP 默认不显示 Google 登录。
• 腾讯云 EdgeOne（内容分发网络）：网站和 App 的请求经它转发加速，它会经手您的 IP 和访问的网址。另外，音频等媒体文件（audio.fenli.org）经 Cloudflare 转发，它同样会经手您的 IP 和访问的网址。
• Cloudflare R2（文件存储）：存放音频、圣诗等媒体文件，您上传的头像，以及错误报告与支持编号记录。您的设备一般经我们的服务器（fenli.org）取这些文件。
• 邮件发送：验证码和通知邮件通过邮件服务商发出，它会经手您的邮箱地址和邮件内容。目前使用 Google（Gmail / Google Workspace）的邮件服务。
• Airtime Pro：电台直播的音频由它直接提供，收听直播时您的设备会直接连接它。
• Zoom：加入聚会时打开的是 Zoom 的应用或网页，由 Zoom 按它自己的政策处理。

App 里没有广告，也没有接入第三方统计或第三方错误收集工具。

密码怎么存

密码经单向加密（哈希加盐）后保存，我们无法还原成明文，任何工作人员都看不到您的密码。如果您忘记密码，只能通过邮箱验证码重设，不能"找回"。

保存多久、存在哪里

• 账号信息与同步数据：账号存续期间保存；注销后按下文「注销账号」删除
• 验证码：数分钟后失效
• 错误报告与支持编号：30 天后自动删除
• 用于排查故障的访问日志：保留 14 天，之后自动清除
• 登录记录（登录时间、IP、设备）：保存在您的账号中，用于账号安全（例如发现异常登录）；注销账号时一并删除
• 登录设备（设备信息、登录时间与次数、您起的名字）：保存在您的账号中；让设备退出登录后记录仍保留，用来认出老设备；注销账号时一并删除
• 防刷验证码的设备 Cookie：180 天
• 登录设备 Cookie：400 天
• App 里还没发出的统计记录：在手机上最多留 3 天

数据保存在我们自己的服务器和 Cloudflare R2 中。服务器和 R2 存储都位于亚太地区。

您可以做什么

• 查看与更正：随时在「个人资料」里修改昵称、头像、性别和生日；在「账号安全」里修改邮箱和密码，查看登录设备、给它改名或让它退出登录
• 关闭统计和错误报告：「设置 › 隐私与关于 › 匿名使用统计」，以及「关于电子圣经团契」页的「自动发送错误报告」
• 收回权限：随时在手机系统设置里关闭相机或通知权限
• 索取副本：来信索要我们持有的与您有关的数据；笔记、高亮和书签也可以在 App「读经记录」页右上角的「导出」里自行导出为文本、Markdown 或图片（App 2.2.0 起）
• 删除账号：见下面的「注销账号」

注销账号

怎么申请：在 App「我的 › 账号安全 › 申请注销账号」提交（可以写原因，也可以不写）；或者用账号邮箱写信到 521@fenli.org。

之后会怎样：提交后不会立刻删除数据，也不会让您退出登录。我们会用账号邮箱与您联系，确认是本人申请；确认后删除账号资料与头像、登录记录与登录设备、书签、高亮、笔记、阅读与收听进度、收藏、读经计划、设置，以及用这个邮箱提交的联系表单；您发表过的视频评论会删除或匿名化。处理完成前想撤回，回复确认邮件或来信即可。我们会在收到申请后 7 个工作日内处理完毕。

保留什么：为了记录处理结果，我们只保留一条注销记录（账号编号、邮箱、申请与处理时间）；申请时记下的 IP 和设备信息在处理完成时清除。错误报告照常在 30 天后自动删除。注销不会删除您手机上已下载的内容，卸载 App 即可全部清除。

协议更新

协议如有实质性修改，我们会更新页首的生效日期；继续使用本平台即视为接受更新后的条款。