隐私

GRILL ME 会就一个决定向你提问。你在这个过程中说的话是这个应用里最私密的东西，所以它从一开始就被造成不保存这些内容。

数据控制者

Oliver Strebel-Mark
Emmericher Weg 76a
47574 Goch，德国
hello@grillofficer.app

没有账号

没有注册，没有登录，没有邮箱。应用从不向你索取任何能识别你的东西。

你的声音不会离开设备

你说话时，说的内容在你的 iPhone 上变成文字。录音从不传输，也从不存储。

什么会被发送，什么不会被保存

你的主题和回答会以文字形式发送到我们的服务器，用来生成下一个问题，以及最后的判决。我们的服务器不保存这些文字。对话的状态在你的设备上，随每一个问题来回。

服务器留下的是计数，不是内容。为了让免费额度和订阅能够运作，它会针对你的设备标识符记录：哪些 Grill 被开始过、你在当前周期用掉了几次、订阅是否有效，每一项都带写入时间。你的主题、你的回答和判决都不在其中。

有一个例外，而且它是故障情形。如果模型返回的内容服务器无法读取，服务器会把其中几百个字符写进它在 Cloudflare 上自己的运行日志，以便找出并修复故障。那段文字是军官的，可能复述你说过的话。它不会进入我们的分析工具。

为了处理而不是为了我们保存，这些文字会到达：

Anthropic（经 Vercel AI Gateway）——生成问题和判决。
ElevenLabs——如果你保持语音开启，它生成朗读。只发送军官说的那句话，绝不发送你的回答。
Cloudflare——运行这两者经过的服务器。

什么留在你的设备上

一次 Grill 结束后会写入你的设备：主题、军官记录下的你的回答、各条主张及其结果，还有判决。只存在那里。不会发送给我们，也不在你的 iCloud 或设备备份里。除非你自己发出去，否则没有别人能读：应用可以把一条判决做成分享卡片，你这样分享出去的内容离开你的设备，是因为你选择发送。

你随时可以在设置 → 在这台设备上 → 删除所有 Grill 里全部清除。删除应用同样会清除。既然我们从未收到过，那里就是它唯一存在的地方，也是唯一需要删除的地方。

我们测量什么

我们统计应用是怎么被使用的：一次 Grill 开始或结束了，一个问题花了多久，语音是否正常。这些事件在构造上就不携带自由文本。一个值只能是数字、真假值，或者最长四十个字符的短文本——这个长度是刻意定得太小，装不下一个主题、一个问题或一条回答。你的主题、你的回答、军官的问题都不会放进去。这是应用遵守的规则和服务器强制的上限，而不是数学上的不可能；与其向你许诺一个不可能，我们宁愿把话说清楚。

事件带有一个设备标识符，即苹果的 identifierForVendor。它不是你的名字，也不含任何你告诉过我们的内容。但它处处是同一个标识符：使用计数、免费额度、订阅和分析都挂在它上面，所以这些记录属于同一台设备，并且彼此相关。苹果只把它用于我们的应用，而且只有当我们的每一个应用都从那台设备上被删除之后，苹果才会重置它——只删除 GRILL ME 并不一定会改变它。它们经由我们的服务器在 PostHog 上分析，为我们使用的数据中心位于欧盟。PostHog Inc. 是一家美国公司，也会在欧盟之外处理这些数据——下面一节说明这一点。

没有广告标识符，也没有跨其他应用或网站的追踪，因此也不会出现苹果的追踪弹窗。

出问题的时候

应用捕获到错误时会上报，以便修复：错误的类型、应用写给自己的那条消息、发生在哪个界面、苹果自己的错误域和错误号，以及最多四十行应用内部的调用栈。这些会发送到 PostHog，使用与使用事件相同的设备标识符。

那条消息是应用写自己的，永远不是你写的。里面是状态码或解码失败之类的东西，长度上限为三百个字符。它不是放你的主题或你的回答的地方。

这个网站

网站也统计访问：哪个页面、用哪种语言、从哪里来。分析由欧盟境内的 PostHog 完成，走我们自己的地址 z.grillofficer.app，请求不会交给第三方。

你的设备上不会留下任何东西：没有 Cookie，也不用本地存储。所以这里没有横幅问你是否同意，也所以每次来都算新的一次，因为没有东西认得你。你的 IP 地址会被处理，用来送出页面并判断所在国家。

不记录点击，也不录制会话。

购买

订阅通过苹果进行。我们用同一个设备标识符在 RevenueCat 管理权限。我们从不看到支付信息，那些留在苹果那里。

保留多久

在你的设备上：一次结束的 Grill 一直在，直到你删除它；删除应用同样会清除。那里的东西不会自行过期，因为那里没有一样东西是我们的。

在我们的服务器上：某次 Grill 被开始过的那条记录七天后删除。它背后的计数，也就是这台设备用掉了几次免费 Grill、订阅是否有效，没有时间限制地保留。我们宁愿把这句话说清楚，也不愿编一个期限：免费额度是按设备算的，只要那个标识符还在就一直算；而我们永远不会知道你删除了应用，所以没有任何事件能触发一次删除。两行记录，没有内容，你可以写信到上面的地址让我们删掉。

在我们的受托处理方那里：

PostHog，使用事件和错误报告：最长七年，由我们的套餐决定。PostHog 按项目逐个启用这个限制，对我们的项目尚未生效，所以今天不会自动移除任何东西。我们的合同约定在合同结束时删除或返还。
Cloudflare，那份可能包含几百个字符无法读取的回复的运行日志：最长七天。
RevenueCat，订阅状态：在我们的合同结束后三十天内销毁或返还。
ElevenLabs，它收到的始终只有军官说的那句话：一百八十天不使用后删除。
Vercel，它把请求送到模型：合同结束时删除。

在欧盟之外会去哪里

你的主题和回答会在欧盟之外被处理，使用事件也是。下面每一家公司都在美国，每一次传输都基于我们与它签订的合同。

Vercel Inc. 把请求送到模型，Anthropic 作为 Vercel 的次级受托方生成问题和判决。我们和 Anthropic 没有单独的合同，应用也从不直接触达它。欧盟委员会标准合同条款，执行决定 (EU) 2021/914，模块二，适用爱尔兰法律。
ElevenLabs Inc. 生成朗读。标准合同条款以及欧盟-美国数据隐私框架，适用爱尔兰法律。
PostHog Inc. 分析使用事件。为我们使用的数据中心在欧盟，但处理也发生在欧盟之外。数据隐私框架，另加标准合同条款，模块二，适用爱尔兰法律。
RevenueCat Inc. 管理订阅。标准合同条款，模块二，附英国附录，适用爱尔兰法律。
Cloudflare Inc. 运行这一切经过的服务器。标准合同条款，模块二，以及数据隐私框架。

这些公司各自公开自己次级受托方的名单，每一份合同都要求它把这些义务传递下去。

法律依据

发送你输入的内容本身就是服务（GDPR 第六条第一款 b 项）。匿名的使用测量基于我们对应用正常运行的正当利益（第六条第一款 f 项）。

你的权利

你可以要求访问、更正、删除、限制处理、可携带，以及提出反对，写信到上面的地址。由于我们不保存内容，实际涉及的是使用事件；请告诉我们大致的时间段，好让我们找到它们。你的 Grill 不在此列，因为它们从未到达我们这里：它们在你的设备上，由你在那里删除。你也可以向数据保护监管机构投诉。