隐私
隐私政策
版本 1.6 · 最后更新 2026 年 10 月 7 日
这是英文版隐私政策的中文翻译，提供给你方便阅读。 如果两个版本在意思上有出入，以英文版为准：它是我们承担法律责任的那一份文本。 两份文件描述的是同一套做法，我们不会只更新其中一份。
Habitus Mind 持有真实的个人数据 — 你的账号、你记录下来关于自己身体的东西， 以及你见过的人的资料。这份政策写清楚到底存了什么、它会去到哪里，以及你可以要求我们做什么。 其中两个部分特别值得你看：健康数据和 关于其他人的数据。
1. 谁负责
habitusmind.com 的控制者（GDPR）与数据使用者（马来西亚 PDPA）是 Habitus Mind，位于马来西亚吉隆坡。
以下任何一个途径都直接找得到我们：
- 电邮 — privacy@habitusmind.com，用于隐私与数据请求
- 联络表单 — habitusmind.com 首页上的表单
- WhatsApp — +60 12-210 4914
根据第 12 条，一项请求不管从哪个途径送到我们手上都是有效的。我们不会因为它走了「错的」渠道而拒绝它。
2. 我们收集什么
| 类别 | 内容 | 来源 |
|---|---|---|
| 账号 | 你的电子邮箱（用来登入）以及它是否已确认。用户名、显示名称、经过哈希的密码、群组、状态和语言，以及（如果你启用两步验证）一组加密的两步验证密钥 | 你，在建立账号或在个人资料里添加邮箱时 |
| 注册与邮箱验证 | 我们用电子邮件寄出、用来确认邮箱或重设密码的一次性验证码，只以加盐哈希储存。每一次注册尝试，连同 IP 地址和所填的邮箱，用来限制重复注册。在你领取 AI Credit 的欢迎赠送后，一个你邮箱的单向哈希，让同一个邮箱无法领取两次 | 你，以及自动 |
| 安全 | 登入尝试及其 IP 地址和大约位置（城市／地区／国家，由 Cloudflare 从 IP 推得 — 没有另外的定位服务商）、工作阶段、密码重设与两步验证挑战、频率限制计数 | 自动 |
| 审计 | 你的账号中重要操作的纪录 | 自动 |
| 健康记录 | 饮食纪录、你保存的食物、你提交到食物库的食物、你的圈子成员资格和你发出的邀请、你发送或接受的记录、运动纪录、体重纪录、目标、任务、生成的摘要 | 你 |
| 生命灵数 | 你新增的人的姓名、出生日期和备注，以及由此生成的论盘 | 你 |
| 人脉管理 | 联络人姓名、电话、电邮、任职公司、职称、所在地、社群账号、特质、自由文字备注、见面纪录，以及包含名片在内的照片 | 你 |
| 询问 | 来自联络表单的姓名、电邮、讯息和 IP 地址 | 你 |
| 计算器提交 | 你在公开生命灵数计算器输入的姓名和出生日期，以及该日期产生的根数、日主、十二组密码和九宫格。两个栏位都是必填，而且都在你按下「计算」时被储存 — 页面在按钮上方已写明这一点。我们用它来看哪些数字比较常出现，不是用来联络你。电话号码是选填的，只有在你于结果下方填写时才会储存。IP 地址以单向哈希储存，只用于这个页面的频率限制，不作他用 | 你 |
| 使用量 | 消耗的 Credit 与 AI token 用量、今天各项每日上限的用量，以及你的 AI Credit 钱包（赠送给你的、以及日后购买的 AI Credit，永不过期） | 自动 |
我们不收集支付卡资料。我们不出售个人数据，也不会把它提供给数据中介或广告商。
3. 健康数据 — 以及它在法律上代表什么
你在健康模块里记录的东西是健康数据。体重、饮食摄取和运动，说的是关于你身体的事， 而根据 GDPR 第 9 条，那属于「特殊类别」— 个人数据当中受保护最严格的一类。
我们处理它的依据，是你依第 9(2)(a) 条给出的明示同意， 也就是你选择使用健康模块并输入数据这个行为。你可以随时撤回这份同意， 只要要求我们删除你的健康记录；我们会照做，而且你可以继续使用其他所有功能。
它只有你和你所属群组的管理员看得到。我们绝不将它用于广告、绝不出售， 也绝不提供给保险公司或雇主。
唯一的例外由你自己决定：你提交到食物库的食物（名称、品牌、份量、热量、蛋白质，以及你提供的来源）， 经审核人通过后会显示给其他成员，但不显示你的名字；如果你的账户关闭，它会留在食物库中， 不再与你关联。
如果你加入圈子，其他成员会看到你的显示名称和你加入的日期。你可以把一条饮食或运动记录发给某一位成员， 对方会看到你的显示名称、这条记录、它的日期和餐次以及你的备注，并可以选择接受或拒绝； 在对方接受之前，不会有任何内容写入对方的账户。排行榜只显示你开启的百分比：你有记录的天数比例、 热量在目标上下 10% 以内的比例、蛋白质达标的比例，或你向目标体重前进了多少， 只以百分比显示给你圈子里的成员，每一项在你开启之前都是关闭的。圈子里的人看不到你的饮食记录、体重或目标。
圈主用邮件发送邀请时，邮箱地址会交给我们的邮件服务商，只用于投递那一封邮件。 我们只保留这个地址的单向哈希值，用来限制一个圈子能发出的邀请数量。
这不是医疗服务。健康模块生成的任何内容都不是医疗建议、不是诊断， 也不能取代合格的专业人士。
4. 关于其他人的数据
人脉管理和生命灵数这两个模块存在的目的，就是让你储存关于其他人的资料 — 他们的姓名、出生日期、电话号码、任职公司、你们对话的备注，以及他们名片的照片。 那些人同样是数据主体，而这些资料不是他们给我们的。是他们给你的。
你输入关于他们的东西，责任在你。只记录你有正当理由记录的内容， 保持它准确，而且不要输入任何一个人读到会感到震惊的内容。 根据第 14 条，被你持有资料的人，可能有权被告知你持有它。
如果有人来要求我们移除另一位用户持有的、关于他的资料，我们会找出来并处理 — 我们做得到，因为这些纪录是按拥有者建立索引的。请透过第 1 节的任一途径联络我们。
5. AI 处理
部分功能会把你的内容送到 Anthropic 交由其 AI 模型处理： 论盘与健康摘要、名片文字抽取，以及联络人回忆提示。 这表示相关的文字或图像 — 包含其中的个人数据 — 会离开我们的服务器， 并在美国被处理。
Anthropic 作为我们的处理者，依其商用条款不会使用这些数据训练模型。 如果你希望某一笔纪录完全不被任何 AI 功能碰到，就不要对它执行 AI 操作； 应用程式的其余部分在没有它们的情况下照常运作。
6. Cookie 与分析
我们使用一个严格必要的工作阶段 cookie 让你保持登入状态。 它无法被关闭 — 没有它就无法登入 — 而且它不需要取得同意。
在欧洲经济区、英国和瑞士，除此之外，没有经过你同意不会设定任何东西。 那里的访客会看到 cookie 横幅。Google Analytics 和 Google Tag Manager 不只是在你选择之前被停用：它们根本没有被载入， 所以在你接受之前，不会有任何请求送到 Google，也不会储存任何识别码。
在其他地区，包括马来西亚，Google Analytics 默认在公开页面上运行。 那里没有横幅。你随时可以用本节末尾的按钮关闭它；如果你的浏览器发送 Global Privacy Control（全球隐私控制）信号，我们会把它当作关闭，分析工具就不会载入。 你已经作出的选择，不论是哪一项，都会保留。我们依据 Cloudflare 从你的连线推断出的国家来区分这两组； 得出的答案只有「先询问」或「不询问」，不会被储存，而如果无法判断国家，就会先询问你。
登入后的应用程式完全没有任何分析工具。Google Analytics 和 Tag Manager 已于 2026 年 9 月 6 日从仪表板、健康、人脉管理、人员、个人资料、 设定、数字方法、历史、询问和登入页面上彻底移除 — 不是在那里加了同意闸门，是移除。
它们先前会在那些画面上载入，这表示 Google 会收到来自那些页面的路径和互动事件 — 而那些页面讲的是你的体重、你的饮食，和你见过的人。取得同意会让那件事合法； 但不会让它变成一件适合拿健康数据去做的事。分析现在只在公开的行销页面上运行 — 首页、联络页和博客。
reCAPTCHA 被视为必要项目，不设同意闸门。它保护首页的申请表单和注册表单， 防止垃圾讯息和自动注册，我们依据正当利益使用它。如果替它加上闸门，任何拒绝 cookie 的人都会无法使用这些表单。 它只出现在这两个表单上，不是整个网站。
| Cookie | 设定者 | 用途 | 需要同意吗？ |
|---|---|---|---|
| 工作阶段 cookie | Habitus Mind | 让你保持登入。HttpOnly、Secure、SameSite=Strict，每一次请求都在服务器端检查 | 不需要 — 严格必要 |
hm.consent | Habitus Mind | 记住你对 cookie 的选择（在你作出选择之后；在那之前不会储存任何东西）。保存在你自己的浏览器里，从不传送到任何地方 | 不需要 — 它只记录你作出的决定 |
| reCAPTCHA cookies | 在首页申请表单和注册表单上分辨真人与机器人 | 不需要 — 见上文 | |
_ga、_ga_* | Google Analytics | 计算访问次数并区分浏览器，仅限行销页面 | 在欧洲经济区、英国和瑞士需要。其他地区默认开启，可在下方关闭 |
你随时可以改变主意，不论你身在何处 — 同一个面板，一个按钮。在那里选择拒绝， 会在这一页以及之后的每一页关闭分析工具：
清除浏览器中本网域的网站资料同样会清除这个选择（在欧洲经济区、英国和瑞士以外， 这表示分析工具会重新开启，直到你再次关闭），而且不论你在这里选了什么， 你浏览器自己的 cookie 控制项都能挡下这些 cookie。
7. 合法依据
- 合约（第 6(1)(b) 条）— 运作你的账号和你使用的模块。
- 明示同意（第 9(2)(a) 条）— 健康与身体数据。
- 同意（第 6(1)(a) 条）— 欧洲经济区、英国和瑞士访客的分析工具（见第 6 节）。 在其他地区，分析工具依据本通知默认开启，你随时可以用第 6 节的按钮或 Global Privacy Control 关闭它。
- 正当利益（第 6(1)(f) 条）— 维持服务的安全与可用： 登入尝试纪录、频率限制、审计轨迹，以及回覆你寄来的询问。 同样的依据也涵盖维持免费方案的公平：限制重复注册，以及保留阻止第二次欢迎赠送的邮箱哈希。
- 法律义务（第 6(1)(c) 条）— 在法律要求我们保留或披露某些内容时。
8. 谁会收到
- Cloudflare, Inc. — 主机、CDN，以及你的数据所在的 D1 数据库。
- Anthropic, PBC — AI 处理，如第 5 节所述。
- Google LLC／Google Ireland Limited — 分析与 reCAPTCHA。
- Resend：我们的电子邮件发送服务。它会收到你的邮箱地址以及我们寄给你的讯息内容： 注册与重设密码验证码、欢迎讯息，以及账号已删除的确认。我们不寄送任何行销邮件。
Cloudflare、Anthropic 和 Google 都位于美国，所以个人数据会被传输到欧洲经济区之外、也在马来西亚之外。 在服务商已取得认证的情况下，这些传输依据欧盟–美国数据隐私框架； 否则依据各服务商数据处理条款中的标准合约条款。 电子邮件发送服务在欧洲经济区或马来西亚以外处理数据时，也适用同样的保障措施。 在法律强制的情况下，我们也会披露数据。
9. 保存多久
| 数据 | 保存期限 |
|---|---|
| 账号、健康记录、联络人、论盘 | 直到你删除它们，或你的账号被关闭为止 |
| 工作阶段、重设与两步验证挑战 | 直到过期，然后移除 |
| 电子邮件一次性验证码 | 10 分钟内有效，只能用一次；哈希纪录在大约一天内删除 |
| 注册尝试（IP 地址与所填邮箱） | 大约 24 小时，然后删除 |
| 从未完成确认的注册 | 直到有人完成它，或再次用该邮箱注册为止。告诉我们，我们会将它移除 |
| 欢迎赠送纪录 | 邮箱地址的单向哈希，在账号删除后仍会保留，让赠送无法被领取两次。它无法还原成你的邮箱 |
| 登入尝试与频率限制计数 | 24 小时，然后自动删除。你账号的登入失败纪录，也会在你成功登入的那一刻被清除 |
| 审计纪录 | 24 个月，然后自动删除 |
| 询问 | 24 个月，然后自动删除 — 你要求的话可以更早 |
| Google Analytics | 不超过 14 个月，平台的上限 |
如需删除账号，请用你登入所用的邮箱发电邮到 privacy@habitusmind.com（见第 11 节）。删除会立即移除你的纪录，而不是留下一份休眠的副本， 让你在所有设备上登出，完成后我们会通知你。例外情况：审计纪录中的条目会在不连结你账号的情况下保留满 24 个月、 上述的欢迎赠送哈希会保留，以及我们为了履行法律义务而必须保留的内容，会保留到该义务结束为止。
10. 我们如何保护
- 密码以 PBKDF2-SHA256 哈希处理，每位用户有独立的随机盐值，并以固定时间比对。 我们从不储存、记录或传送你的密码。
- 可选的两步验证，其密钥以加密形式储存。
- 工作阶段使用 256 位元随机权杖，每一次请求都会对数据库检查一次， 所以停用一个账号或登出会立即生效。
- 对重复失败的登入进行频率限制与账号锁定。
- 电子邮件一次性验证码只以加盐哈希储存，只能用一次，10 分钟后过期，输错五次即作废。
- 严格的内容安全政策（CSP）、HSTS，以及对所有会改变状态的请求进行 CSRF 防护。
没有任何系统是绝对安全的。如果真的出了事，我们的 资料外泄通报承诺写明了我们会告诉你什么、以及什么时候告诉你。
11. 你的 GDPR 权利
在 GDPR 适用于你的情况下，你可以要求查阅你的数据、更正、删除、限制处理、可携带性， 并对我们以正当利益为依据的处理提出反对。 在我们依据同意的地方 — 包括健康数据的明示同意 — 你可以随时撤回， 而不影响已经进行的处理。
要行使其中任何一项，请用你账号登入所用的邮箱发电邮到 privacy@habitusmind.com，让我们确认请求确实来自你本人。 如果你的账号没有邮箱，请使用第 1 节的另外两个途径，我们会先确认是你本人再处理。 查阅或可携带性请求：我们会把账号里的全部内容整理成一个 JSON 文件寄给你，绝不包含密码和安全验证码。 删除请求：我们会依第 9 节所述删除账号及其中的一切。
我们会在一个月内回覆，如果需要更长时间会告诉你。我们不为此收费。 因为你持有一个账号，我们可以精确定位你的纪录，所以这些权利在这里是真实可行的， 而不是理论上的。
12. 你的 PDPA 权利
马来西亚《2010 年个人数据保护法》（经修订）给予你查阅与更正的权利、 撤回同意的权利、限制直效行销处理的权利，以及 — 在 2024 年修正之后 — 数据可携带权。 如需索取数据副本或删除账号，请按第 11 节所述发电邮到 privacy@habitusmind.com，或使用第 1 节的任一途径。
13. 儿童
Habitus Mind 不是给儿童使用的。任何人都可以建立账号，而我们的 服务条款规定你必须年满 18 岁才能建立。 我们不会在知情的情况下处理儿童的数据。如果你认为这里持有某个儿童的数据 — 包括作为另一位用户所记录的联络人 — 请告诉我们，我们会移除它。
14. 变更
重大变更会更新本页顶部的版本与日期。如果某项变更扩大了我们收集的范围， 或引入了新的用途，我们会重新征求你的同意， 而不是依赖你针对一件范围更小的事所做的决定。
15. 联络与投诉
请发电邮到 privacy@habitusmind.com。如果改用联络表单或 WhatsApp， 请说明你的讯息是一项隐私请求，以免被当成一般询问处理。 安全问题请改走安全页面。
你可以不必先找我们，直接向监管机关投诉。在欧洲经济区或英国，是你所在国家的主管机关； 在马来西亚，是个人数据保护专员（Jabatan Perlindungan Data Peribadi）。