隐私政策

最后更新:2026-09-04

You’ 是一款只在两个人之间共享状态的 App:一个账号只能与一个人配对,所有内容都只在你和你的伴侣之间流转。本政策逐项说明我们收集什么、为什么收集、共享给谁、保留多久,以及你如何控制。

一句话概括

我们收集的一切,目的只有一个:展示给与你配对的那一个人。
我们不投放广告,不做跨 App / 跨网站追踪,不出售数据,不把数据交给数据经纪商。
除了你自愿填写的「创始会员署名」,没有任何内容会展示给第三个人。
大部分收集是你逐项开关的:关掉某个权限,只影响对应的那一项,App 其余部分照常用。

运营者与数据存储地

App	You’(iOS / Android)
运营者	个人开发者 PlumsXD
隐私负责人	Maitong Yang(开发者本人)· yangmt0409@gmail.com——关于个人信息保护的问题、投诉与行权请求由其直接负责处理
联系方式	yangmt0409@gmail.com
数据存储地	Supabase(数据库 / 文件存储 / 账号认证),服务器位于新加坡区域

我们收集什么

位置信息(核心功能)

精确位置	约 10 米级经纬度。授予「始终允许 / 后台定位」后,App 在后台持续获取(静止时定位芯片休眠不更新,移动时才更新)
位置历史	用于地图轨迹回放
行程记录	起点 / 终点(坐标与地名)、时间、路径、距离、最高时速、途中拿起手机的次数
地点提醒	你设置的常用地点名称、坐标、半径,以及到达 / 离开事件
见面记录	两人同处一地时自动记下的日期、大致地点(坐标约 1.1 公里取整分桶)、开始与结束时间
SOS 求助	触发时的位置、地名、可选留言与可选语音;发出后 30 分钟内你的实时位置会以更高频率上报,点「我没事了」立即结束
运动状态	步行 / 骑行 / 驾车等运动类型(用于「上车 / 下车」提醒)
时区	用于按对方本地时间显示日程与闹钟

逆地理编码:为把坐标显示成「XX 大厦」这样的地名,坐标会由我们的服务器代为发送给地图服务商换取地名——中国大陆用高德开放平台,海外用 OpenStreetMap Nominatim。发送的只有坐标,不含你的账号信息。

行程与停留由服务器从轨迹派生:你上传的位置点是唯一的原始数据,「几点从哪出发、几点到了哪、走了多远、在哪停了多久」这些是我们的服务器事后从这串点算出来的,不是另外采集的。这样做是因为手机在到达那一刻往往正在休眠,算不准。派生结果与原始轨迹的保留期见下文「数据保留多久」。

设备与手机使用动态

在你打开对应开关后收集,用于「TA 现在在做什么」这类实时状态:

数据	平台	说明
电量、是否充电、预计可用时间	双端
WiFi 名称(SSID)	双端	只有网络名,不含密码
蜂窝网络制式	双端	如 5G / 4G
是否正在用手机	双端	屏幕亮起 / 解锁状态与持续时长
铃声模式	双端	响铃 / 震动 / 静音
今日流量、剩余存储	双端	「手机报告」卡片
定位权限状态	双端	用于提示对方「TA 关掉了定位」
通知权限状态	双端	用于让对方知道「TA 是不是把推送关了」(消息没回时的第一排查项)
系统通话状态	双端	来电 / 拨出、是否接通、通话时长。不收集电话号码、通讯录、通话内容
当前使用的 App	仅 Android	需你在系统设置手动授予「使用情况访问」
App 使用时长统计	仅 Android	按小时汇总的应用名与秒数
正在播放的音乐 / 播客	仅 Android	曲名、艺人、来源 App,需你手动授予「通知使用权」
机型、系统版本、App 版本、最近活跃时间、语言	双端	兼容性排查与推送文案语言

iOS 因系统限制,不采集「当前使用的 App」「App 使用时长」「正在播放」——iOS 用户只能查看对方(Android)分享过来的这几项。

账号信息

注册邮箱、密码(以哈希形式保存,我们无法看到明文)、昵称、头像(照片;没有照片时显示昵称首字)、主题色、语言、配对关系与邀请码、在一起的起始日期。其中昵称、头像、时区在情侣空间内双方都可以编辑(改动双方都能看到)。

你主动创建的内容(只在两人之间)

聊天(文字 / 图片 / 语音 / 贴纸)、时刻相册(照片与文字、评论、表情回应)、日记(标题 / 正文 / 心情 / 照片)、纪念日、愿望清单(标题 / 照片 / 链接)、心情状态、聊天背景。

减肥打卡(健康数据):体重数值、作为凭证的体重秤照片、备注、目标体重。仅在你使用该功能时产生,只共享给你的伴侣。
情侣记账(财务数据):金额、分类、备注、日期、由谁付款。我们不接触你的银行卡、支付账户或交易流水,只保存你自己手输的记录。

日历日程(可选,默认关闭)

开启后,App 只读你勾选的那些系统日历,把「今日与未来 7 天」的日程标题、地点、起止时间、来源日历名同步给对方。永远不写入、不修改、不删除你的任何日程,也不读取你未勾选的日历。

互设闹钟(可选,默认关闭)

需要你先在设置里打开「允许对方给我设闹钟」。数据包括闹钟时间、标签、状态与最近一次操作者。

实时语音对讲(可选,默认关闭)

「按住说一句,松手后你的声音立刻在对方手机上响起」。这是一项双方各自持开关、能力对称的功能,不是后台监听:

要对方先同意:只有当对方打开了「允许对方给我发实时语音」,你才能对 TA 说话。这道门禁在数据库层面强制,不只是界面上藏起来;任何一方都可以随时关掉,关掉即刻生效。
是否绕过静音由接收方自己决定:「允许对方的语音绕过我的静音 / 勿扰」默认关闭,只有你本人能打开。
我们保存的是:你录下的这段语音(存放在私有存储桶)、时长、发送与接收人,以及对方「已听」的时间。
7 天后自动删除,语音文件一并清除。

语音与视频通话

你们之间可以直接打一通语音或视频电话——聊天页顶栏的电话与摄像机按钮,任一方都可以发起,对方的手机会以系统来电界面响铃。这是真的通话,和下面那通「后台恢复来电」是两回事。视频通话目前只对创始会员开放:你们中有一人是创始会员,由管理员为你们这一对开通一个每月的视频通话余额,双方共用、双方都能发起。

我们听不到、看不到,也不留下声音或画面。通话中的音频与视频由声网(Agora)的实时网络在你们两台设备之间中转,不经过我们的服务器;我们没有开启任何录音、录像或云端录制,通话内容不会被保存到任何地方,挂断即消失。
我们保存的只有一条通话记录,不含内容:谁打给谁、语音还是视频、发起时间、接通时间、结束时间(也就是时长)、结束原因(挂断 / 拒接 / 取消 / 无人接听),以及发起方为这一通选择的画质与音质档位。这条记录在你们两人之间可见——本来就是你们两个人的通话。视频通话的每月余额(管理员设置的分钟数)与本月已用分钟数也记在你们这一对名下。
声网收到的是什么:为把两端接上,声网会处理这通电话的频道编号、通话中的音频流与视频流,以及建立连接所必需的网络信息(如 IP 地址与网络质量数据)。每通电话由我们的服务器现签一张 2 小时到期的通行凭证,频道名就是这通电话的编号,通话结束即作废;App 里不内置任何密钥。声网的节点遍布全球,音频与视频可能在中国境外中转(见「跨境传输」)。
需要麦克风权限,不给就打不了电话;视频通话另需相机权限——拒绝相机时你仍能接听并看到对方,只是不会传出你的画面。摄像头只在视频通话进行中、且你没有关闭它时工作;通话页随时可以关闭摄像头或切换前后摄像头。响铃走的是与「后台恢复来电」同一条 VoIP 推送通道,因此我们会保存你设备的 VoIP 推送令牌(见下文「技术与诊断数据」)。
iOS 会把它记进你本机的「最近通话」——这是系统对待真实通话的正常行为,记录只留在你自己手机上,不会回传给我们。
不想接就不接:拒接、忽略,或者干脆不授予麦克风权限都可以;解除配对之后对方再也打不进来。

后台恢复来电(仅 iOS,可关闭)

App 被系统清理、或被你从后台划掉之后,共享就断了,对方那头看到的是「设备连接中断」。为把它唤回,我们的服务器会给你的设备发一条 VoIP 推送,系统据此弹出一通标着「正在恢复后台连接」的来电界面。

那不是真的通话:线路另一端没有人,约 2 秒后自动结束,不会留下通话记录,铃声已被静音顶掉(但设备仍会震动一下)。接、挂、无视,结果都一样。
为此我们会保存你设备的 VoIP 推送令牌,与 APNs 令牌一样,只用于把这条唤醒送到你的设备。
频率有上界:同一次中断最多 3 通,心跳一恢复即清零,中断超过一小时不再呼。
可以彻底关掉:「设置 → 后台恢复来电」。关掉后本机不再注册 VoIP 令牌,也不会再出现任何来电界面;代价是被划掉之后,要等你下次打开 App 才恢复共享。

技术与诊断数据

推送令牌:APNs(iOS)/ FCM(Android)令牌、iOS 实时活动令牌与 VoIP 令牌,用于把通知、语音 / 视频通话的来电与后台唤醒送到你的设备。
崩溃报告:App 版本、机型、线程与调用栈,用于修 Bug,不含你的位置与内容。
状态与事件历史:到达 / 离开、充电与电量档位、亮屏、WiFi 变化等条目,用于「动态」时间线。
设备在线时间轴:你的设备在哪些时段有在上报、哪些时段断了、断了几次、是被什么唤回的,以及退出原因的统计数字。用来让对方分辨「TA 那边没动静」究竟是「什么都没发生」还是「手机压根没在上报」,也是我们排查后台被系统杀掉的依据。
已读回执:对方看过你的哪一条状态记录、行程或时刻,以及看到的时间。
聚合运营统计:每日账号数、活跃数、配对数、崩溃条数等纯数字统计,不含任何个人内容。

付费与订阅

iOS:订阅通过 Apple 的 App 内购买完成,我们只保存计划等级与到期时间。我们不接触也不保存你的支付方式、卡号或账单地址——这些全部由 Apple 处理。
Android:App 内不出售订阅,权益由我们在后台手动开通,不涉及支付数据。

我们不收集的

通讯录 / 联系人、电话号码、短信、通话录音与通话内容、相册全量(只取你主动选择的那几张照片)、浏览器记录、广告标识符(IDFA / GAID)、生物特征(面容 ID / 指纹由系统校验,App 只拿到「通过 / 不通过」)。

上文的「实时语音对讲」是你按下按钮主动录制并发送的一段话,不是后台录音——你没有按下时,App 不会打开麦克风。

上文的「语音与视频通话」同样不留声音与画面:我们不录音、不录像,也不保存任何通话内容。本节说的「通话录音与通话内容」指的是你手机上的系统电话——那些我们一样不碰。

对方能看到什么、看不到什么

对方能看到:你的实时与历史位置、行程与轨迹、到达 / 离开提醒、你已开启的设备与手机使用动态、你的设备在线时间轴、你创建的全部共享内容、你发过去的实时语音、你们之间的通话记录(语音或视频、时间、时长与结果,不含内容)、你同步的日程、你的体重打卡与记账记录、你的心情状态,以及你有没有看过 TA 发的内容(已读回执)。
对方看不到:你的密码、你未勾选的日历、你没主动分享的照片、你的通讯录与通话内容、你在其他 App 里的私人数据、你的支付信息。
这是双向的:你能看到对方的这些,对方也能看到你的。绑定关系一旦解除或账号删除,共享立即停止。

例外之一:如果你是创始会员并自愿填写了署名,该署名会出现在 App 内的「致谢」名单里,对所有登录用户可见(只有署名文字与成为创始会员的先后顺序,不含邮箱、位置或任何其他信息)。留空即不展示。

你主动公开的信息(公开时刻)

这是本 App 里第二个、也是唯一涉及内容的例外。默认情况下你的一切内容都只在你们两个人之间;只有当你主动开通「公开身份」、并在发布时逐条选择公开,内容才会离开你们两人的范围。

始终公开的:你的公开昵称、不可更改的 6 位公开 ID、公开头像,以及你发布的公开时刻的正文与照片。
你逐项决定是否公开的(默认全部关闭,可随时关闭):个性签名、生日、在一起的天数。
生日只取月和日,不采集出生年份。完整出生日期属于敏感个人信息,我们不需要也不收集。
「在一起天数」只显示一个数字,不显示具体日期,也不显示你的伴侣是谁。
公开身份与情侣空间完全独立:公开昵称不是你在情侣空间里的昵称,公开头像也是单独上传的另一张图。你现有的头像与情侣合照不会出现在公开范围内。
公开的图片存放在可公开访问的存储空间,以便所有用户加载。这是「公开」的技术含义:一旦发布,拿到图片地址的人即可访问,直到该内容被删除。
你的伴侣也能看到并删除你发布的公开时刻。我们不允许在一个双人 App 里存在一个对方看不见的对外身份。

开通公开身份时,我们会单独向你展示一次上述告知并请求你的同意,同时请你确认已满 18 岁;这两项确认会记录在服务端,作为你作出该选择的凭据。你可以随时注销公开身份,届时你发布过的全部公开时刻与图片会一并删除,私密内容不受影响。

公开时刻需要 You Pro 或创始会员,且必须已与伴侣绑定。如果你从未开通公开身份,本节对你完全不适用。

我们如何使用这些信息

在你与你配对的唯一一位伴侣之间展示状态、位置、内容与提醒。
发送你已开启的通知(到达 / 离开、充电、低电量、关机、戳一戳、闹钟、SOS、实时语音、对方的日程即将开始、到达某个地点的位置卡等)。
在你们两人之间接通语音或视频通话,并记下这通电话的类型、时间、时长、结果与所选的画质音质档位(见上文「语音与视频通话」)。
在共享中断时把 App 唤回,恢复你已开启的共享(见上文「后台恢复来电」)。
维持 App 运行:登录鉴权、版本更新提示、修复崩溃、防止滥用。
统计聚合数字了解整体使用规模。
把已收集的信号在服务端汇总成两人互见的作息规律,并在行程进行中据此估计可能前往的目的地与预计到达时间,显示在行程卡上(见下文)。

我们不会把你的数据用于广告、以广告或营销为目的的用户画像、跨 App / 跨网站追踪、训练模型或出售给任何人。下文的作息规律只在你们两人之间呈现,不属于、也不会被用于上述任何用途。

作息规律与到达预测

基于上文已列明收集的信号(位置与行程、充电、亮屏,及 Android 的应用使用时长),我们的服务器每天汇总一次两人的作息规律:常去地点、常用路线,以及通常几点醒来 / 入睡 / 充电 / 出门 / 回家;对方行程进行中时,再据此估计可能前往的目的地与预计到达时间(ETA),连同按历史常走路线画出的虚线,显示在行程卡与行程详情上。

零新增采集:全部由已收集的数据在服务端事后统计得出;原始数据按「数据保留多久」各自过期后,统计每晚按剩余窗口(最近 45–60 天)重建。
完全对称、仅两人可见:你能看到 Ta 的规律,Ta 也能看到你的(「我们 → 作息规律」页两个主体同构);不用于广告、不提供给任何第三方。
把握不足就不显示:样本太少或置信度不够时,预测一概留空,不会瞎猜。
展示可关:「设置 → 行程 ETA 预测」控制自己这台设备是否显示预测;行程卡右上角还可单独隐藏某一趟的预测。开关只影响你查看侧的展示——同一份规律对你的伴侣仍然可见(对称),服务端汇总照常进行。
删除:解除配对后最迟一天内自动删除;删除账号立即随级联删除。

我们与谁共享

除了你的伴侣,只共享给为提供服务所必需的服务商:

服务商	用途	涉及数据	其隐私政策
Supabase	数据库、文件存储、账号认证(新加坡)	本政策所述全部数据	supabase.com
Apple(APNs)	iOS 推送、实时活动	推送令牌与通知内容	www.apple.com
Google(FCM)	Android 推送	推送令牌与通知内容	firebase.google.com
Google Play 服务	Android 的融合定位、地理围栏、活动识别(仅设备带 Google 服务时启用;无 GMS 机型降级为系统原生定位)	位置坐标、运动状态(在本机处理)	policies.google.com
声网 Agora	语音与视频通话的实时音视频中转(音频与视频都不经我们的服务器)	通话中的音频流与视频流(实时中转,不录音、不录像、不留存)、本通电话的频道编号与临时通行凭证、建立连接所需的网络信息(如 IP 地址)	shengwang.cn
高德开放平台	地图渲染、逆地理编码、地点搜索、轨迹贴路、通知卡片里的静态地图缩略图(大陆默认)	坐标	lbs.amap.com
MapTiler	MapLibre 引擎的海外底图瓦片	视野范围坐标	www.maptiler.com
Google Maps	Android 查看海外位置时的渲染回退	坐标	policies.google.com
Apple 地图 / WeatherKit	iOS 地图渲染与天气	坐标	www.apple.com
Open-Meteo	安卓端主页天气;双方的降水提醒(由我们的服务器代查,两端都适用)	大致坐标	open-meteo.com
OpenStreetMap Nominatim	海外坐标转地名	坐标	osmfoundation.org
Apple	iOS 订阅收款	由 Apple 直接处理,我们只收到验签结果	www.apple.com

这些服务商各自按其隐私政策处理收到的数据。地图引擎的选择存在你的手机本地,不会上传。

只有在法律强制要求、或为保护他人人身安全所必需时,我们才会披露相关数据。除此之外,我们不向任何第三方出售或分享你的数据。

为排查故障与处理滥用举报,开发者拥有对数据库的技术访问权限。我们仅在必要时(例如你来信报告问题)访问相关数据,不会浏览用户的私人内容。

数据保留多久

位置历史	30 天后自动删除
状态历史(电量 / 亮屏 / WiFi 等)	30 天后自动删除
设备在线时间轴	30 天后自动删除(退出原因的统计数字 60 天)
动态事件(到达 / 离开 / 充电等)	180 天后自动删除
App 使用时长统计(Android)	14 天后自动删除
已同步的日历日程	结束 2 天后自动删除
实时语音对讲	7 天后自动删除,语音文件一并清除
通话记录(语音 / 视频、时间、时长、结果、画质音质档位)	保留到你删除账号;通话的音频与视频本身从不保存
心情状态	24 小时后自动过期
见面、照片、聊天、日记、愿望、记账、体重、闹钟	保留到你删除它或删除账号
纪念日	保留到你删除它;共同创建,不随单方删除账号消失(见「你的控制权」的例外)
行程	保留到你删除账号(行程不支持在 App 内单条删除)
作息规律统计(常去地点 / 常用路线 / 作息画像 / 行程预测)	每晚由近 45–60 天数据重建;解除配对后最迟一天内自动删除,删除账号立即删除
账号与资料	保留到你删除账号

你的控制权

每一项权限都可随时撤回,且只影响对应的那一项:

权限	关掉之后
定位	立即停止位置收集与共享;地点提醒、行程、见面记录不再产生
后台定位	只在你打开 App 时更新位置
运动与健身	不再有「上车 / 下车」提醒
通知	收不到提醒,其余功能正常
麦克风	不能打语音或视频通话,也不能录聊天语音、SOS 语音与实时语音对讲
相机	视频通话时传不出你的画面(仍可接听并看到对方);不能拍体重打卡凭证
相册	不能保存时刻照片到本地
日历	停止同步日程(已同步的可在 App 内删除)
使用情况访问(Android)	不再共享「当前使用的 App」与使用时长
通知使用权(Android)	不再共享「正在播放」
通话状态 / 通话记录(Android)	不再共享通话动态
安装未知应用(Android)	不能在 App 内直接安装官网下载的新版本;仍可手动到官网下载安装。该权限只用于安装 You’ 自己的安装包,不读取任何数据

iOS 在「设置 → 隐私与安全」中管理,Android 在「设置 → 应用 → You’ → 权限」中管理。App 内还可单独关闭:「允许对方给我设闹钟」、「允许对方给我发实时语音」与「允许语音绕过我的静音」、「后台恢复来电」(iOS)、「行程 ETA 预测」(只控制本机展示,行程卡上还可单独隐藏某一趟)、日历同步、各类通知,以及开启隐私锁(面容 / 指纹解锁 App)。

删除单条内容:时刻、照片、日记、地点提醒、记账、体重记录等都可在 App 内逐条删除。行程不在此列——App 内不提供逐条删除行程的入口,行程会随删除账号一并清除;想单独删掉某一段行程,来信由我们代为处理(见下条)。
解除配对:停止一切共享。
删除账号:App 内「设置 → 账号 → 删除账号」。你的资料、配对关系、位置与状态历史、照片、语音、聊天与你创建的全部内容会立即从服务器删除,无法恢复。
一个例外:你们共同创建的东西属于你们两个人。纪念日、聊天背景,以及情侣空间本身(邀请码、在一起的起始日期)没有「作者」之分,删你的账号不会删掉它们——那样等于同时毁掉对方的那一份。它们会留在对方的空间里。如果你希望这些也一并清除,请在删号前与对方商量,或来信告诉我们。
你也可以发邮件给我们,由我们代为删除,或索取你的数据副本。

在你所在地区法律适用的范围内,你有权访问、更正、删除你的个人信息,撤回同意,以及获取数据副本。行使方式:App 内自助操作,或发邮件给我们(通常 30 天内回复)。

数据安全

传输全程使用 HTTPS / TLS 加密。
数据库启用行级安全(RLS):每一行数据在数据库层面就限定只有你和你的伴侣能读写,不依赖客户端自觉。
照片、语音等文件存放在私有存储桶,只能通过限时签名链接访问,无法被公开抓取。
密码以哈希形式保存,开发者也看不到明文。
但请注意:没有任何系统能保证 100% 安全。请为账号使用独立密码。

跨境传输

我们的服务器在新加坡。你在中国大陆、日本或其他国家使用本 App 时,你的个人信息会被传输到新加坡存储与处理。关于这一境外接收方,完整告知如下:

境外接收方	Supabase, Inc.(服务器位于新加坡)
联系方式	其隐私政策与联系入口:supabase.com/privacy
处理目的	仅为实现本政策「我们如何使用这些信息」一节所述功能而存储与读写你的数据
处理方式	静态存储 + 按行级安全策略读写,以及为实现 App 功能所做的服务端统计(行程 / 停留派生、上文的作息规律,结果仅你们两人可见);不用于广告画像或对外分析,不再提供给他人
个人信息种类	本政策「我们收集什么」一节列出的全部数据,其中包含精确位置与行踪轨迹、健康(体重)与财务记录等敏感个人信息
保存期限	与「数据保留多久」一节一致
你如何行权	访问、更正、删除均可在 App 内自助完成(数据即时从境外服务器移除);也可来信 yangmt0409@gmail.com,由我们代为向境外接收方提出,通常 30 天内答复

除 Supabase 外,下列服务商也可能在中国境外处理相应数据,各自涉及的数据种类与隐私政策见上文「我们与谁共享」:Apple(iOS 推送、实时活动、订阅)、Google(Android 推送;海外地图渲染回退)、声网 Agora(语音与视频通话的实时音视频中转,节点遍布全球;实时中转、不录音不录像不留存)、MapTiler(海外底图瓦片)、Open-Meteo(天气与降水提醒)、OpenStreetMap Nominatim(海外坐标转地名)。

单独同意与撤回:出境传输单独征求你的同意——读完并同意本政策之后,App 会再弹一页只讲出境这一件事的告知,由你单独点「同意出境传输并继续」;在此之前我们不会启动任何采集,也不会向境外写入任何数据。你可以随时删除账号来终止传输——账号删除后,境外服务器上属于你的数据一并清除(共同创建内容的例外见「你的控制权」一节)。

未成年人

本 App 面向成年伴侣设计,不面向儿童。未满 18 周岁的用户应在监护人同意下使用;根据所在地法律,未满 14 周岁(中国)/ 13 周岁(部分地区)的儿童不得使用本 App。注册时必须勾选年龄声明才能创建账号。我们不会主动收集儿童个人信息;若发现,会尽快删除——如你认为有此情况,请来信告知。

公开时刻另有一道门槛:开通公开身份时必须单独确认已满 18 周岁。我们不采集真实年龄(生日只取月和日),所以这是一次自我声明,而非年龄验证。

政策变更

功能变化涉及数据面时,我们会更新本政策并修改顶部的「最后更新」日期。本政策更新后,App 会在启动时再次弹出全文,请你阅读到底并重新确认——在你确认之前,App 不会继续收集或使用你的数据,也不提供任何功能。你也可以随时在「设置 → 关于」里重看本政策与使用条款。

联系我们

关于隐私的任何问题、投诉、数据副本或删除请求:yangmt0409@gmail.com(隐私负责人:Maitong Yang)

プライバシーポリシー

最終更新日:2026-09-04

You’ はふたりだけでステータスを共有するアプリです。1 つのアカウントはひとりの相手としかペアリングできず、すべての内容はあなたとパートナーの間だけを行き来します。本ポリシーでは、収集する情報、その理由、共有先、保持期間、そしてあなたによる管理方法を項目ごとに説明します。

ひとことで言うと

収集するすべての目的はただ 1 つ、ペアリングしたその 1 人に見せるためです。
広告は出しません。アプリやウェブサイトをまたいだトラッキングもしません。データを販売することも、データブローカーに渡すこともありません。
あなたが自分の意思で記入する「ファウンディングメンバーのクレジット」を除き、第三者に表示される情報はありません。
収集の多くはあなたが個別にオン / オフできます。ある権限を切っても、影響を受けるのはその項目だけで、ほかの機能はそのまま使えます。

運営者とデータの保存先

アプリ	You’(iOS / Android)
運営者	個人開発者 PlumsXD
プライバシー保護責任者	Maitong Yang(開発者本人)· yangmt0409@gmail.com——個人情報の保護に関するご質問・苦情・権利行使のご依頼を直接担当します
連絡先	yangmt0409@gmail.com
保存先	Supabase(データベース / ファイルストレージ / 認証)、サーバーはシンガポールリージョン

収集する情報

位置情報(中心的な機能)

正確な位置	約 10 m レベルの緯度経度。「常に許可 / バックグラウンド位置情報」を付与すると、バックグラウンドで取得し続けます(静止中は測位チップが休止して更新せず、移動したときだけ更新します)
位置の履歴	地図での軌跡の再生に使います
移動の記録	出発地 / 到着地(座標と地名)、時刻、経路、距離、最高速度、途中でスマホを手に取った回数
場所リマインダー	あなたが登録した場所の名前・座標・半径、および到着 / 出発のイベント
会った記録	ふたりが同じ場所にいたときに自動で残る日付、おおよその場所(座標を約 1.1 km 単位に丸めたもの)、開始と終了の時刻
SOS	発信時の位置、地名、任意のメッセージと任意の音声。送信後 30 分間はリアルタイムの位置をより高い頻度で送信します(「もう大丈夫です」で即終了)
モーション	徒歩 / 自転車 / 乗車などの種別(「乗車・降車」の通知に使います)
タイムゾーン	相手の現地時間で予定やアラームを表示するために使います

逆ジオコーディング:座標を「〇〇ビル」のような地名で表示するため、座標はサーバー経由で地図事業者に送られます(中国本土は高德オープンプラットフォーム、それ以外は OpenStreetMap Nominatim)。送るのは座標だけで、アカウント情報は含みません。

移動と滞在はサーバーが軌跡から導き出します:元データはあなたが送信した位置の点だけで、「何時にどこを出て、何時にどこへ着き、どれだけ走り、どこに何分いたか」は、その点列からサーバーが後から算出したものです。別途取得しているわけではありません。到着したその瞬間、スマホはたいてい休止していて正確に判定できないためです。保持期間は下記「保持期間」をご覧ください。

デバイスとスマホの利用状況

該当するスイッチをオンにしたときに収集し、「いま相手が何をしているか」の表示に使います。

データ	対象	説明
バッテリー残量、充電状態、残り使用可能時間	両方
Wi-Fi 名(SSID)	両方	ネットワーク名のみ。パスワードは含みません
モバイル回線の種別	両方	5G / 4G など
スマホを使用中かどうか	両方	画面の点灯 / ロック解除の状態と継続時間
マナーモードの状態	両方	着信音 / バイブ / サイレント
今日の通信量、空き容量	両方	「スマホレポート」カード
位置情報権限の状態	両方	「位置情報がオフになっています」の表示に使います
通知権限の状態	両方	「相手が通知をオフにしていないか」を知るために使います(返信がないときに最初に確かめる項目です)
システムの通話状態	両方	着信 / 発信、応答の有無、通話時間。電話番号・連絡先・通話内容は収集しません
使用中のアプリ	Android のみ	システム設定で「使用状況へのアクセス」を手動で許可した場合のみ
アプリの利用時間	Android のみ	1 時間単位で集計したアプリ名と秒数
再生中の音楽 / ポッドキャスト	Android のみ	曲名・アーティスト・再生元アプリ。「通知へのアクセス」を手動で許可した場合のみ
機種、OS バージョン、アプリバージョン、最終アクティブ時刻、言語	両方	不具合の調査と通知の言語判定

iOS では OS の制約により、「使用中のアプリ」「アプリの利用時間」「再生中」は収集しません。iOS ユーザーは、相手(Android)から共有されたこれらを見られるだけです。

アカウント情報

登録メールアドレス、パスワード(ハッシュ化して保存され、平文を見ることはできません)、ニックネーム、アイコン(写真。ない場合はニックネームの頭文字を表示)、テーマカラー、言語、ペアリング関係と招待コード、付き合い始めた日。このうちニックネーム・アイコン・タイムゾーンは、カップル内でどちらからでも編集でき、変更は二人とも見られます。

あなたが作成したコンテンツ(ふたりの間だけ)

チャット(テキスト / 画像 / 音声 / スタンプ)、モーメント(写真とテキスト、コメント、リアクション)、日記(タイトル / 本文 / 気分 / 写真)、記念日、ウィッシュリスト(タイトル / 写真 / リンク)、気分ステータス、チャットの背景。

ダイエット記録(健康データ):体重の数値、証拠として撮る体重計の写真、メモ、目標体重。この機能を使ったときにだけ発生し、パートナーにのみ共有されます。
ふたりの家計簿(金銭に関するデータ):金額、カテゴリ、メモ、日付、支払った人。銀行口座・決済アカウント・取引明細には一切アクセスせず、あなたが手入力した記録だけを保存します。

カレンダーの予定(任意・初期状態はオフ)

オンにすると、あなたがチェックしたカレンダーだけを読み取り、「今日から 7 日先まで」の予定のタイトル・場所・開始終了時刻・カレンダー名を相手に共有します。予定の作成・変更・削除は一切行いません。チェックしていないカレンダーは読みません。

おたがいのアラーム(任意・初期状態はオフ)

設定で「相手がわたしにアラームを設定するのを許可」をオンにする必要があります。データはアラームの時刻、ラベル、状態、最後に操作した人です。

リアルタイム音声トーク(任意・初期状態はオフ)

「押しながら一言しゃべると、離した瞬間にあなたの声が相手のスマホで鳴る」機能です。双方がそれぞれスイッチを持つ対等な仕組みで、バックグラウンドでの盗聴ではありません。

相手の同意が先です:相手が「相手からのリアルタイム音声を許可」をオンにしている場合にのみ話しかけられます。この制限はデータベース側で強制しており、画面上で隠しているだけではありません。どちらからでもいつでもオフにでき、オフにすれば即座に有効になります。
サイレントを貫くかどうかは受け取る側が決めます:「相手の音声をサイレント / おやすみモードでも鳴らす」は初期状態でオフで、ご本人だけが変更できます。
保存するのは、録音された音声(非公開ストレージ)、長さ、送信者と受信者、相手が「聞いた」時刻です。
7 日で自動削除され、音声ファイルもあわせて消去されます。

音声通話とビデオ通話

ふたりのあいだで音声通話またはビデオ通話ができます。チャット画面上部の電話ボタン・カメラボタンから、どちらからでも発信でき、相手のスマホには OS の着信画面が表示されます。これは本物の通話で、下の「バックグラウンド復帰の着信」とは別物です。ビデオ通話は現在ファウンディングメンバー限定です:ふたりのどちらかがファウンディングメンバーであれば、管理者がそのカップルに月ごとのビデオ通話枠を設定し、ふたりで共用してどちらからでも発信できます。

こちらには聞こえず、見えず、音声も映像も残しません。通話中の音声と映像はAgora(声網)のリアルタイムネットワークが二台の端末のあいだで中継します。当社のサーバーは経由しません。録音・録画・クラウド録画は一切有効にしておらず、通話の内容はどこにも保存されず、切った時点で消えます。
保存するのは通話履歴の一行だけで、中身は含みません:誰から誰へ、音声かビデオか、発信時刻、応答時刻、終了時刻(つまり通話時間)、終了理由(切断 / 拒否 / 取消 / 応答なし)、そして発信側がその通話に選んだ画質・音質の設定です。この記録はふたりの双方から見えます——もともとふたりの通話だからです。ビデオ通話の月ごとの枠(管理者が設定した分数)と今月の使用分数も、そのカップルの情報として記録します。
Agora が受け取るもの:両端をつなぐために、その通話のチャンネル番号、通話中の音声ストリームと映像ストリーム、そして接続に必要なネットワーク情報(IP アドレスや品質データなど)を処理します。通話ごとに当社サーバーが有効期間 2 時間の通行証を発行し、チャンネル名はその通話の番号そのもので、終了すれば無効になります。アプリ内に鍵は一切埋め込んでいません。Agora のノードは世界中にあり、音声と映像は中国国外を経由する場合があります(「国外への移転」を参照)。
マイクの許可が必要です。許可しなければ通話はできません。ビデオ通話にはさらにカメラの許可が必要です——カメラを許可しなくても応答して相手の映像を見ることはできますが、あなたの映像は送られません。カメラはビデオ通話中で、あなたがオフにしていないあいだだけ動作します。通話画面でいつでもカメラをオフにしたり、前後を切り替えたりできます。着信は「バックグラウンド復帰の着信」と同じ VoIP プッシュの経路を使うため、端末の VoIP トークンを保存します(下の「技術・診断データ」)。
iOS では端末の「履歴(最近の通話)」に残ります——本物の通話に対する OS の通常の動作で、記録はあなたの端末内だけに残り、こちらには送られません。
出たくなければ出なくて構いません。拒否・無視、あるいはマイクを許可しないという選択もできます。ペアリングを解除すれば、相手はもうかけられません。

バックグラウンド復帰の着信(iOS のみ・オフにできます)

アプリが OS に終了されたり、あなたがバックグラウンドからスワイプで消したりすると共有が途切れ、相手には「デバイスの接続が中断しました」と表示されます。これを呼び戻すため、サーバーから端末へ VoIP プッシュを送り、OS が「バックグラウンド接続を復旧しています」と表示された着信画面を出します。

本当の通話ではありません:回線の向こうに誰もおらず、約 2 秒で自動的に終了し、通話履歴は残りません。着信音は無音に差し替えていますが、端末は一度振動します。応答しても、切っても、無視しても結果は同じです。
そのために端末の VoIP プッシュトークンを保存します。APNs のトークンと同様、この呼び出しを届けるためだけに使います。
回数に上限があります:1 回の中断につき最大 3 回、通信が戻ればリセット、中断が 1 時間を超えると呼び出しません。
完全にオフにできます:「設定 → バックグラウンド復帰の着信」。オフにすると端末は VoIP トークンを登録しなくなり、着信画面も一切出ません。そのかわり、スワイプで消したあとは次にアプリを開くまで共有が戻りません。

技術・診断データ

プッシュトークン:APNs(iOS)/ FCM(Android)のトークン、iOS のライブアクティビティ用トークン、VoIP トークン。通知、音声通話・ビデオ通話の着信、バックグラウンド復帰を届けるために使います。
クラッシュレポート:アプリのバージョン、機種、スレッド、スタックトレース。不具合修正のためだけに使い、位置やコンテンツは含みません。
ステータスとイベントの履歴:到着 / 出発、充電とバッテリー残量の節目、画面点灯、Wi-Fi の変化など。「アクティビティ」のタイムラインに使います。
デバイスのオンライン・タイムライン:端末がどの時間帯に送信できていて、どの時間帯が途切れていたか、何回途切れたか、何によって復帰したか、そして終了理由の統計です。相手側の「動きがない」が「何も起きていない」のか「そもそも送信できていない」のかを見分けるために使い、こちらがバックグラウンド終了を調査する材料でもあります。
既読の記録:相手があなたのどのステータス記録・移動・モーメントを見たか、その時刻。
集計統計:1 日ごとのアカウント数、アクティブ数、ペア数、クラッシュ件数などの数値だけの統計で、個人の内容は含みません。

課金とサブスクリプション

iOS:サブスクリプションは Apple のアプリ内課金で処理され、こちらが保存するのはプランの種別と有効期限だけです。お支払い方法・カード番号・請求先住所には一切触れず、保存もしません。すべて Apple が処理します。
Android:アプリ内では販売せず、権利は管理側で手動で付与するため、決済データは発生しません。

収集しないもの

連絡先、電話番号、SMS、通話の録音と内容、写真ライブラリ全体(あなたが選んだ写真だけを取得します)、ブラウザ履歴、広告 ID(IDFA / GAID)、生体情報(Face ID / 指紋は OS が判定し、アプリは「成功 / 失敗」だけを受け取ります)。

上記の「リアルタイム音声トーク」は、あなたがボタンを押して自分で録音し送信する一言であり、バックグラウンドでの録音ではありません。押していないとき、アプリがマイクを開くことはありません。

上記の「音声通話とビデオ通話」も音声や映像を残しません。録音も録画も、通話内容の保存も行いません。本節でいう「通話の録音と内容」は端末の電話アプリの通話を指しており、そちらにも同様に一切触れません。

相手に見えるもの・見えないもの

相手に見えるもの:現在と過去の位置、移動と軌跡、到着 / 出発の通知、あなたがオンにしたデバイス・利用状況、デバイスのオンライン・タイムライン、あなたが作成した共有コンテンツすべて、あなたが送ったリアルタイム音声、ふたりの通話履歴(音声かビデオか・時刻・通話時間・結果。内容は含みません)、共有した予定、ダイエット記録と家計簿、気分ステータス、そしてあなたが相手のコンテンツを見たかどうか(既読の記録)。
相手に見えないもの:パスワード、チェックしていないカレンダー、共有していない写真、連絡先や通話の内容、ほかのアプリの中身、支払い情報。
これは双方向です:あなたが相手のこれらを見られるのと同じように、相手もあなたのものを見られます。ペアリングを解除するかアカウントを削除すると、共有はただちに止まります。

例外のひとつ:ファウンディングメンバーで、自分の意思でクレジット名を記入した場合、その名前はアプリ内の「クレジット」一覧に載り、ログイン中のすべてのユーザーに表示されます(表示されるのは名前と参加の順番だけで、メールアドレス・位置などは含みません)。空欄なら表示されません。

あなたが自ら公開する情報(公開モーメント)

これは本アプリで2 つめの、そしてコンテンツに関わる唯一の例外です。既定ではすべての内容がふたりの間だけにとどまります。あなたが自ら「公開プロフィール」を作成し、投稿ごとに公開を選んだ場合にのみ、内容がふたりの範囲を離れます。

常に公開されるもの:公開用の名前、変更できない 6 桁の公開 ID、公開用の写真、そして投稿した公開モーメントの本文と写真。
項目ごとに選べるもの(初期状態はすべてオフ、いつでもオフに戻せます):ひとこと、誕生日、一緒にいる日数。
誕生日は月と日だけで、生まれた年は取得しません。完全な生年月日は機微な個人情報であり、必要としないため収集しません。
「一緒にいる日数」は数字だけを表示します。具体的な日付も、パートナーが誰かも表示されません。
公開プロフィールはふたりの空間とは完全に独立しています:公開用の名前はふたりの空間のニックネームではなく、公開用の写真も別にアップロードする一枚です。現在お使いの写真やふたりで写った写真が公開範囲に出ることはありません。
公開した写真は、誰でもアクセスできるストレージに保存されます。すべての利用者が読み込めるようにするためです。これが「公開」の技術的な意味であり、いったん投稿すると、その画像アドレスを知っている人は削除されるまでアクセスできます。
あなたが投稿した公開モーメントは、パートナーも見られますし削除もできます。ふたりのためのアプリの中に、相手から見えない対外的な顔があってはならないと考えています。

公開プロフィールの作成時には、上記のご案内を一度だけ個別に表示して同意をお願いし、あわせて 18 歳以上であることをご確認いただきます。この 2 つの確認は、その選択をされたことの証跡としてサーバーに記録されます。公開プロフィールはいつでも削除でき、その際に投稿したすべての公開モーメントと写真も削除されます。非公開のコンテンツは影響を受けません。

公開モーメントのご利用には You Pro またはファウンディングメンバーであること、およびパートナーとのペアリングが必要です。公開プロフィールを一度も作成していない場合、本節はまったく当てはまりません。

情報の使い方

ペアリングしたただひとりの相手との間で、ステータス・位置・コンテンツ・リマインダーを表示するため。
あなたがオンにした通知(到着 / 出発、充電、バッテリー低下、電源オフ、つつく、アラーム、SOS、リアルタイム音声、相手の予定がまもなく始まるお知らせ、ある場所に到着したことを伝えるカードなど)を送るため。
ふたりのあいだで音声通話・ビデオ通話をつなぎ、その通話の種類・時刻・通話時間・結果・選択した画質音質の設定を記録するため(上記「音声通話とビデオ通話」)。
共有が途切れたときにアプリを呼び戻し、あなたがオンにした共有を復旧するため(上記「バックグラウンド復帰の着信」)。
アプリを動かすため:ログイン認証、アップデート案内、クラッシュ修正、不正利用の防止。
全体の利用規模を把握するための集計。
収集済みのシグナルをサーバー側でふたりが互いに見られる生活リズムとしてまとめ、移動中はそこから行き先の候補と到着予測時刻を推定して移動カードに表示するため(下記参照)。

広告、広告・マーケティング目的のプロファイリング、アプリ / ウェブをまたいだトラッキング、モデルの学習、第三者への販売には一切使いません。下記の生活リズムはふたりのあいだだけに表示されるもので、上記のいずれの用途にも該当せず、使われることもありません。

生活リズムと到着予測

本ポリシーに記載済みの収集シグナル(位置と移動、充電、画面点灯、Android のアプリ使用時間)をもとに、当社サーバーが1 日 1 回ふたりの生活リズム(よく行く場所、いつものルート、起床 / 就寝 / 充電 / 外出 / 帰宅のおおよその時刻)を集計します。相手が移動中のときは、そこから行き先の候補と到着予測時刻(ETA)を推定し、過去に実際に通ったルートの点線とともに移動カードと詳細画面に表示します。

新たな収集はゼロ:すべて収集済みデータからサーバー側で後から統計するものです。元データが「保持期間」どおりに消えたあとは、残りの窓(直近 45〜60 日)から毎晩作り直します。
完全に対称、ふたりだけが閲覧可:あなたが相手のリズムを見られるのと同じものを、相手もあなたについて見られます(「ふたり → 生活リズム」ページは両者同構)。広告には使わず、第三者にも提供しません。
確信度が足りなければ表示しない:サンプルが少ない・確度が低い場合、予測は空欄のままです。
表示はオフにできます:「設定 → 移動の到着予測(ETA)」で自分の端末での表示を制御でき、移動カード上で特定の移動だけ非表示にもできます。スイッチはあなたの見え方だけに作用し、同じリズムは相手側には引き続き表示されます(対称)。サーバー側の集計は続きます。
削除:ペア解除後は遅くとも 1 日以内に自動削除、アカウント削除時は即時に削除されます。

共有する相手

パートナー以外では、サービス提供に必要な事業者にのみ共有します。

事業者	用途	対象データ	プライバシーポリシー
Supabase	データベース、ファイル保存、認証(シンガポール)	本ポリシーに記載の全データ	supabase.com
Apple(APNs)	iOS のプッシュ、ライブアクティビティ	トークンと通知内容	www.apple.com
Google(FCM)	Android のプッシュ	トークンと通知内容	firebase.google.com
Google Play 開発者サービス	Android の統合位置情報・ジオフェンス・行動認識(Google サービス搭載端末のみ。非搭載端末は OS 標準の測位に切り替わります)	位置座標、行動状態(端末内で処理)	policies.google.com
Agora(声網)	音声通話・ビデオ通話のリアルタイム音声・映像中継(音声も映像も当社サーバーを経由しません)	通話中の音声・映像ストリーム(リアルタイム中継のみ。録音・録画・保存はしません)、その通話のチャンネル番号と一時的な通行証、接続に必要なネットワーク情報(IP アドレスなど)	agora.io
高德オープンプラットフォーム	地図描画、逆ジオコーディング、スポット検索、経路スナップ、通知カードの静的地図画像(中国本土の既定)	座標	lbs.amap.com
MapTiler	MapLibre エンジンの海外地図タイル	表示範囲の座標	www.maptiler.com
Google Maps	Android で海外を表示するときの描画フォールバック	座標	policies.google.com
Apple マップ / WeatherKit	iOS の地図描画と天気	座標	www.apple.com
Open-Meteo	Android のホーム画面の天気、および降水の知らせ(当社サーバーが代わりに照会、iOS も対象)	おおよその座標	open-meteo.com
OpenStreetMap Nominatim	海外の座標から地名への変換	座標	osmfoundation.org
Apple	iOS のサブスクリプション決済	Apple が直接処理し、こちらは検証結果のみ受け取ります	www.apple.com

各事業者は、受け取ったデータを自社のプライバシーポリシーに従って取り扱います。地図エンジンの選択は端末内にのみ保存され、アップロードされません。

法令で義務づけられる場合、または他者の生命・身体の安全を守るために必要な場合を除き、データを第三者に販売・提供することはありません。

不具合の調査や不正利用への対応のため、開発者はデータベースへの技術的なアクセス権を持ちます。アクセスするのは必要な場合(たとえばあなたから不具合の連絡があったとき)だけで、利用者の私的な内容を閲覧することはありません。

保持期間

位置の履歴	30 日で自動削除
ステータス履歴(バッテリー / 画面 / Wi-Fi など)	30 日で自動削除
デバイスのオンライン・タイムライン	30 日で自動削除(終了理由の統計数値は 60 日)
イベント履歴(到着 / 出発 / 充電など)	180 日で自動削除
アプリ利用時間(Android)	14 日で自動削除
同期したカレンダーの予定	終了から 2 日で自動削除
リアルタイム音声トーク	7 日で自動削除(音声ファイルもあわせて消去)
通話履歴(音声 / ビデオ・時刻・通話時間・結果・画質音質の設定)	アカウントを削除するまで保持(通話の音声・映像そのものは一切保存しません)
気分ステータス	24 時間で自動的に期限切れ
会った記録、写真、チャット、日記、ウィッシュ、家計簿、体重、アラーム	あなたが削除するかアカウントを削除するまで
記念日	あなたが削除するまで。ふたりで作るものなので、一方がアカウントを削除しても消えません(「あなたによる管理」の例外をご覧ください)
移動	アカウントを削除するまで(移動はアプリ内で 1 件ずつ削除できません)
生活リズムの統計(よく行く場所 / いつものルート / リズム / 移動の予測)	直近 45〜60 日のデータから毎晩作り直し。ペア解除後は遅くとも 1 日以内に自動削除、アカウント削除時は即時削除
アカウントとプロフィール	アカウントを削除するまで

あなたによる管理

権限はいつでも取り消せます。影響を受けるのは該当する項目だけです。

権限	オフにすると
位置情報	収集と共有がただちに停止。場所リマインダー・移動・会った記録も作られません
バックグラウンド位置情報	アプリを開いているときだけ位置が更新されます
モーションとフィットネス	「乗車・降車」の通知がなくなります
通知	お知らせが届かなくなります(ほかの機能は通常どおり)
マイク	音声通話・ビデオ通話ができず、チャットの音声・SOS 音声・リアルタイム音声トークも録音できません
カメラ	ビデオ通話であなたの映像を送れません(応答して相手を見ることはできます)。ダイエット記録の写真も撮れません
写真	モーメントの写真を端末に保存できません
カレンダー	予定の同期が止まります(同期済みのものはアプリ内で削除できます)
使用状況へのアクセス(Android)	「使用中のアプリ」と利用時間を共有しなくなります
通知へのアクセス(Android)	「再生中」を共有しなくなります
電話 / 通話履歴(Android)	通話のステータスを共有しなくなります
不明なアプリのインストール(Android)	公式サイトからダウンロードした新しいバージョンをアプリ内から直接インストールできません(手動でのダウンロードとインストールは可能です)。この権限は You’ 自身のインストールパッケージのためだけに使い、いかなるデータも読み取りません

iOS は「設定 → プライバシーとセキュリティ」、Android は「設定 → アプリ → You’ → 権限」で管理できます。アプリ内でも、「相手のアラーム設定を許可」・「相手からのリアルタイム音声を許可」と「音声をサイレントでも鳴らす」・「バックグラウンド復帰の着信」(iOS)・「移動の到着予測(ETA)」(自分の端末での表示のみを制御。移動カード上で特定の移動だけ非表示にもできます)・カレンダー同期・各種通知を個別にオフにでき、プライバシーロック(Face ID / 指紋でアプリを解錠)も使えます。

個別の削除:モーメント、写真、日記、場所リマインダー、家計簿、体重の記録などは、アプリ内で 1 件ずつ削除できます。移動の記録は対象外です——アプリ内に 1 件ずつ削除する入口はなく、アカウントを削除すると一緒に消えます。特定の移動だけを削除したい場合は、メールでご連絡ください(次項)。
ペアリング解除:すべての共有が止まります。
アカウント削除:アプリ内の「設定 → アカウント → アカウントを削除」。プロフィール、ペアリング関係、位置とステータスの履歴、写真、音声、チャットを含むあなたが作成したすべての内容がただちにサーバーから削除され、復元できません。
ひとつだけ例外があります:ふたりで作ったものは、ふたりのものです。記念日、チャットの背景、そしてふたりの空間そのもの(招待コード、付き合い始めた日)には「作成者」の区別がなく、あなたのアカウントを削除しても消えません——消すことは、相手の分まで壊すことになるからです。これらは相手の空間に残ります。あわせて消したい場合は、削除の前に相手とご相談いただくか、こちらへご連絡ください。
下記の連絡先にメールをいただければ、こちらで削除したり、データのコピーをお渡ししたりすることもできます。

お住まいの地域の法律が適用される範囲で、あなたは個人情報へのアクセス・訂正・削除、同意の撤回、データのコピーの取得を求める権利を持ちます。アプリ内の操作か、メールでご連絡ください(通常 30 日以内に返信します)。

安全対策

通信はすべて HTTPS / TLS で暗号化しています。
データベースでは行レベルセキュリティ(RLS)を有効にし、各行を「あなたとパートナーだけが読み書きできる」ようデータベース側で制限しています(クライアント任せにしていません)。
写真や音声などのファイルは非公開バケットに保存し、期限付きの署名 URL でしかアクセスできません。
パスワードはハッシュ化して保存され、開発者にも平文は見えません。
ただし、100% 安全なシステムは存在しません。アカウントには使い回しのないパスワードをお使いください。

国外への移転

サーバーはシンガポールにあります。日本・中国本土その他の国から利用する場合、個人情報はシンガポールへ送られ、そこで保存・処理されます。移転先の詳細は以下のとおりです。

移転先	Supabase, Inc.(サーバーはシンガポール)
連絡先	プライバシーポリシーと問い合わせ窓口:supabase.com/privacy
利用目的	本ポリシー「情報の利用方法」に記載の機能を実現するための保存・読み書きのみ
取り扱い方法	保存と行レベルセキュリティに基づく読み書き、およびアプリ機能のためのサーバー側統計(移動 / 滞在の導出、上記の生活リズム。結果はふたりだけが閲覧可)。広告目的のプロファイリングや外部向け分析には使わず、第三者提供も行いません
個人情報の種類	本ポリシー「収集する情報」に記載の全データ。正確な位置・移動履歴、健康(体重)、家計の記録などの機微な情報を含みます
保存期間	「保持期間」の記載と同じ
権利の行使方法	閲覧・訂正・削除はアプリ内で完結します(海外サーバーからも即時に削除)。yangmt0409@gmail.com にご連絡いただければ、こちらから移転先へ取り次ぎ、通常 30 日以内に回答します

Supabase のほか、次の事業者も中国国外でデータを取り扱う場合があります(対象データと各社ポリシーは上記「共有先」を参照):Apple(iOS のプッシュ・ライブアクティビティ・サブスクリプション)、Google(Android のプッシュ、海外地図の描画フォールバック)、Agora(音声通話・ビデオ通話のリアルタイム音声・映像中継。ノードは世界中にあり、中継のみで録音・録画・保存はしません)、MapTiler(海外地図タイル)、Open-Meteo(天気と降水の知らせ)、OpenStreetMap Nominatim(海外の地名変換)。

個別の同意と撤回:越境移転については個別に同意をいただきます。本ポリシーに同意したあと、移転のことだけを説明する画面をもう一度表示し、「国外移転に同意して続ける」を押していただきます。それまでは収集も、海外への書き込みも行いません。アカウントを削除すればいつでも移転を終了でき、海外サーバー上のあなたのデータも併せて削除されます(ふたりで作った内容の例外は「あなたによる管理」の節をご覧ください)。

未成年の方へ

本アプリは成人のカップル向けで、子ども向けではありません。18 歳未満の方は保護者の同意のもとでご利用ください。お住まいの地域の法律により、14 歳未満(中国)/ 13 歳未満(一部地域)の子どもは利用できません。アカウント作成時に年齢の確認へのチェックが必須です。子どもの個人情報を意図的に収集することはありません。判明した場合はすみやかに削除しますので、心当たりがあればご連絡ください。

公開モーメントにはもうひとつの条件があります:公開プロフィールの作成時に、18 歳以上であることを個別にご確認いただきます。実年齢は取得しない(誕生日は月と日だけ)ため、これは年齢確認ではなく自己申告です。

ポリシーの変更

機能の変更がデータの取り扱いに関わる場合、本ポリシーを更新し、冒頭の「最終更新日」を書き換えます。更新後は、アプリ起動時に全文を再表示し、最後までお読みいただいたうえで改めてご同意いただきます——ご同意いただくまで、データの収集・利用は行わず、機能もご利用いただけません。「設定 → アプリについて」からいつでも読み返せます。

お問い合わせ

プライバシーに関するご質問・苦情・データのコピー・削除のご依頼:yangmt0409@gmail.com(プライバシー保護責任者:Maitong Yang)

Privacy Policy

Last updated: September 4, 2026

You’ is a status-sharing app for exactly two people. One account can be paired with one person only, and everything stays between you and your partner. This policy explains, item by item, what we collect, why, who we share it with, how long we keep it, and how you stay in control.

In One Line

Everything we collect exists for one purpose: showing it to the one person you paired with.
No ads, no cross-app or cross-site tracking, no selling your data, no data brokers.
Apart from the Founding Member credit you choose to fill in yourself, nothing is ever shown to a third person.
Most collection is switched on and off by you, item by item. Turning off a permission affects only that one thing; the rest of the app keeps working.

Who We Are and Where Data Lives

App	You’ (iOS / Android)
Operator	PlumsXD, an independent developer
Person in charge of privacy	Maitong Yang (the developer) · yangmt0409@gmail.com — personally responsible for privacy questions, complaints and rights requests
Contact	yangmt0409@gmail.com
Storage	Supabase (database / file storage / authentication), servers in the Singapore region

What We Collect

Location (the core feature)

Precise location	Coordinates accurate to roughly 10 m. Once you grant “Always / background” access, the app keeps updating in the background (the GPS chip sleeps while you are stationary and updates when you move)
Location history	Used to replay your route on the map
Trips	Start and end point (coordinates and place names), times, path, distance, top speed, and how many times you picked up your phone on the way
Place alerts	Names, coordinates and radii of the places you save, plus arrival / departure events
Meetups	Recorded automatically when you are in the same place: the date, an approximate location (coordinates bucketed to about 1.1 km), and start and end times
SOS	Your location, place name, an optional message and an optional voice clip when you trigger it; for 30 minutes afterwards your live location is reported more frequently, until you tap “I am safe now”
Motion	Walking / cycling / driving activity type, used for “got in / out of a car” alerts
Time zone	Used to show schedules and alarms in your partner’s local time

Reverse geocoding: to turn coordinates into a readable place name, our server forwards the coordinates to a map provider — AMap inside mainland China, OpenStreetMap Nominatim elsewhere. Only the coordinates are sent; no account information is attached.

Trips and stops are derived by our server from your track: the only raw data is the stream of location points you upload. “Left here at this time, arrived there at that time, covered this distance, stayed this long” is computed afterwards on the server from those points — it is not collected separately. We do it this way because at the moment you actually arrive, your phone is usually asleep and cannot judge it accurately. Retention for both the raw track and what we derive from it is listed under “How Long We Keep It”.

Device and phone activity

Collected once you enable the matching switch, to power the “what are they up to right now” view:

Data	Platform	Notes
Battery level, charging state, estimated time left	Both
WiFi network name (SSID)	Both	The network name only — never the password
Cellular network type	Both	e.g. 5G / 4G
Whether the phone is in use	Both	Screen-on / unlocked state and how long
Ringer mode	Both	Ring / vibrate / silent
Today’s data usage, free storage	Both	For the “phone report” card
Location permission state	Both	So your partner can be told “location is off”
Notification permission state	Both	So your partner knows whether you have push turned off — usually the first thing they check when you do not reply
System call state	Both	Incoming / outgoing, answered or not, call duration. We do not collect phone numbers, contacts, or call content
App currently in use	Android only	Requires you to grant “Usage access” manually in system settings
Daily app usage time	Android only	App names and seconds, aggregated per hour
Music / podcast now playing	Android only	Track, artist and source app; requires you to grant “Notification access” manually
Device model, OS version, app version, last active time, language	Both	For compatibility troubleshooting and notification language

Because of platform limits, iOS does not collect “app in use”, “app usage time”, or “now playing”. iOS users can only view these when an Android partner shares them.

Account information

Sign-up email, password (stored hashed — we cannot see the plaintext), display name, avatar (a photo; the first letter of the display name when there is none), theme color, language, your pairing and invite code, and the date you started dating. Within a couple, either partner can edit the display name, avatar and time zone of both members, and both see the change.

Content you create (between the two of you only)

Chat (text / image / voice / stickers), the Moments album (photos and text, comments, reactions), diary entries (title / body / mood / photos), anniversaries, wish list (title / photo / link), mood statuses, and the chat background.

Weight check-ins (health data): your weight, the scale photo you take as proof, notes, and your target weight. Created only when you use the feature, and shared only with your partner.
Shared expenses (financial data): amount, category, note, date, and who paid. We never touch your bank cards, payment accounts, or transaction feeds — only the entries you type in yourself.

Calendar events (optional, off by default)

When enabled, the app reads only the calendars you tick and shares the title, location, start and end time, and calendar name of events for today and the next 7 days. It never creates, edits, or deletes anything in your calendar, and never reads calendars you did not tick.

Shared alarms (optional, off by default)

Requires you to turn on “let my partner set alarms for me” first. The data is the alarm time, label, state, and who last acted on it.

Live voice talk (optional, off by default)

“Hold to say something, and the moment you let go your voice plays on your partner’s phone.” Both of you hold your own switch, so the capability is symmetric. It is not background listening:

Your partner has to agree first: you can only speak to them once they have turned on “let my partner send me live voice”. That gate is enforced in the database, not merely hidden in the interface. Either of you can switch it off at any time, and it takes effect immediately.
Whether it bypasses silent mode is the recipient’s call: “let my partner’s voice bypass my silent / Do Not Disturb” is off by default and only you can turn it on.
What we store: the clip you recorded (in a private bucket), its length, who sent and received it, and when the recipient listened to it.
Deleted automatically after 7 days, audio file included.

Voice and video calls

The two of you can place a voice or video call to each other — the phone and camera buttons at the top of the chat screen. Either of you can start one, and the other phone rings with the system’s own incoming-call screen. This is a real call, and it is not the same thing as the “background restore call” below. Video calls are currently available to Founding Members only: if one of you is a Founding Member, the administrator sets up a monthly video-call allowance for the two of you, shared between you, and either of you can start a video call.

We cannot hear or see it, and we keep no audio or video. Call audio and video are relayed between your two devices by Agora’s real-time network and never pass through our servers. We have not enabled recording, video recording or cloud recording of any kind; nothing that is said or shown is stored anywhere, and it is gone the moment you hang up.
All we store is one call-log row, with no content: who called whom, whether it was voice or video, when it started, when it was answered, when it ended (that is, how long it lasted), how it ended (hung up / declined / cancelled / unanswered), and the video and audio quality settings the caller picked for that call. Both of you can see that row — it was your call to begin with. Your couple’s monthly video-call allowance (the minutes set by the administrator) and the minutes used this month are recorded against the two of you as well.
What Agora receives: to connect the two ends, it processes that call’s channel number, the audio and video streams while the call is live, and the network information needed to establish the connection (such as IP addresses and quality data). Our server mints a two-hour credential per call, the channel name is the call’s own identifier, and it expires when the call ends; no key is ever embedded in the app. Agora’s nodes are worldwide, so the audio and video may be relayed outside mainland China (see “International Transfers”).
Microphone permission is required — without it you cannot call. Video calls additionally need camera permission: if you decline it you can still answer and see your partner, but your own picture is not sent. The camera is only active during a video call and only while you have not turned it off; you can switch it off or flip between the front and back cameras at any time from the call screen. Ringing uses the same VoIP push channel as the background restore call, so we store your device’s VoIP push token (see “Technical and diagnostic data” below).
iOS records it in your phone’s own Recents list — normal system behaviour for a real call. That entry stays on your device and is never sent back to us.
You never have to answer: decline it, ignore it, or simply withhold microphone permission. Once you unpair, your partner can no longer reach you.

Background restore call (iOS only, can be turned off)

When the system reclaims the app — or you swipe it away — sharing stops, and your partner sees “device connection interrupted”. To bring it back, our server sends your device a VoIP push, and iOS shows an incoming-call screen labelled “restoring background connection”.

It is not a real call. Nobody is on the other end, it ends by itself after about 2 seconds, it leaves no entry in your call history, and the ringtone is replaced with silence (your device will still vibrate once). Answering, declining or ignoring it makes no difference.
For this we store your device’s VoIP push token. Like the APNs token, it is used only to deliver that wake-up to your device.
There is a ceiling: at most 3 calls per interruption, reset as soon as your device reports in again, and none at all once an interruption passes an hour.
You can turn it off completely: Settings → Background restore call. Your device then stops registering a VoIP token and no call screen ever appears; the trade-off is that after you swipe the app away, sharing resumes only when you next open it.

Technical and diagnostic data

Push tokens: APNs (iOS) / FCM (Android) tokens, iOS Live Activity tokens and VoIP tokens, used to deliver notifications, incoming voice and video calls and background wake-ups to your device.
Crash reports: app version, device model, thread and stack trace, used only to fix bugs. They contain none of your location or content.
Status and event history: arrivals / departures, charging and battery milestones, screen-on, WiFi changes and similar entries that build the activity timeline.
Device presence timeline: which stretches of time your device was reporting, which it was not, how many times it dropped out, what brought it back, and aggregate exit-reason figures. It lets your partner tell “nothing happened” apart from “the phone was not reporting at all”, and it is how we investigate the app being killed in the background.
Read receipts: which of your status entries, trips or moments your partner has looked at, and when.
Aggregate stats: daily account totals, active users, number of pairs, crash counts — numbers only, never personal content.

Payments and subscriptions

iOS: subscriptions run through Apple’s in-app purchase. We store only your plan tier and expiry date. We never see or store your payment method, card number, or billing address — Apple handles all of that under its own privacy policy.
Android: nothing is sold in the app; access is granted manually on our side, so no payment data is involved.

What we never collect

Contacts, phone numbers, SMS, call recordings or call content, your whole photo library (only the photos you actively pick), browsing history, advertising identifiers (IDFA / GAID), or biometrics (Face ID / fingerprint is verified by the OS; the app only receives a pass / fail).

“Live voice talk” above is a clip you record and send deliberately by holding a button — not background recording. The app does not open the microphone when you are not holding it.

“Voice and video calls” above leave no audio or video either: we neither record them nor store anything that is said or shown. The “call recordings or call content” in this section refers to your phone’s own calls — which we likewise never touch.

What Your Partner Can and Cannot See

They can see: your live and historical location, trips and routes, arrival / departure alerts, whichever device and phone-activity items you enabled, your device presence timeline, all the shared content you create, the live voice clips you send them, your call log with them (voice or video, time, length and outcome — never the content), the calendar events you sync, your weight check-ins and expense entries, your mood status, and whether you have looked at what they posted (read receipts).
They cannot see: your password, calendars you did not tick, photos you did not share, your contacts or call content, anything private in your other apps, or your payment details.
It is symmetric: you see theirs, they see yours. Unpairing or deleting your account stops the sharing immediately.

One exception: if you are a Founding Member and choose to fill in a credit name, that name appears in the in-app credits list, visible to all signed-in users (the name and join order only — no email, location, or anything else). Leave it blank and nothing is shown.

What You Choose to Make Public (Public Moments)

This is the second exception, and the only one that involves your content. By default everything you create stays between the two of you. Content leaves that circle only if you set up a public profile yourself and then choose, post by post, to make something public.

Always public: your public name, your unchangeable six-character public ID, your public photo, and the text and photos of the public moments you post.
Public only if you switch each one on (all off by default, and you can switch them off again at any time): your bio, your birthday, and the number of days you have been together.
The birthday is month and day only — we never collect the year. A full date of birth is sensitive personal information; we do not need it and do not collect it.
“Days together” shows a number only — never the date, and never who your partner is.
Your public profile is completely separate from your shared space: your public name is not your nickname there, and your public photo is a separate image you upload. Your existing avatar and photos of the two of you never appear publicly.
Public photos are stored in publicly accessible storage so that every user can load them. That is what “public” means technically: once posted, anyone with the image address can reach it until the content is deleted.
Your partner can also see and delete the public moments you post. We do not allow an outward-facing identity inside an app for two people that the other person cannot see.

When you set up a public profile we show you this notice once, separately, and ask for your agreement, along with a confirmation that you are 18 or older. Both confirmations are recorded on our servers as evidence of that choice. You can delete your public profile at any time; every public moment and photo you posted is deleted with it, and your private content is unaffected.

Public moments require You Pro or Founding Member status and an active pairing. If you have never set up a public profile, none of this section applies to you.

How We Use It

To show status, location, content and reminders between you and the one partner you are paired with.
To send the notifications you enabled (arrivals / departures, charging, low battery, shutdown, pokes, alarms, SOS, live voice, your partner’s event about to start, an arrival card for a place you reached, and so on).
To connect voice and video calls between the two of you, and to record each call’s type, when it happened, how long it lasted, how it ended and the quality settings chosen (see “Voice and video calls” above).
To bring the app back when sharing drops out, so the sharing you enabled resumes (see “Background restore call” above).
To keep the app running: sign-in, update prompts, crash fixes, abuse prevention.
To count aggregate numbers so we know the overall scale of usage.
To summarise the signals we already collect into routine patterns the two of you see about each other, and — while a trip is in progress — to estimate the likely destination and arrival time shown on the trip card (see below).

We never use your data for advertising, for advertising or marketing profiling, for cross-app or cross-site tracking, for model training, or for sale to anyone. The routine patterns below are shown only between the two of you and are neither part of, nor ever used for, any of the above.

Routine patterns and arrival predictions

From the signals this policy already lists as collected (location and trips, charging, screen-on, and app usage time on Android), our server computes a summary once a day of each of your routines: frequent places, usual routes, and the times you typically wake up / go to bed / charge / leave home / come home. While your partner is on a trip, it also uses this to estimate the likely destination and arrival time (ETA), shown on the trip card and trip detail together with a dashed line along the route they usually take.

Nothing new is collected: everything is computed after the fact, on the server, from data already collected. As raw data expires per “How Long We Keep It”, the summary is rebuilt nightly from what remains (the last 45–60 days).
Fully symmetric, visible to the two of you only: whatever you can see about your partner, they can see about you (the “Us → Routine” page is identical for both). Never used for advertising, never shared with any third party.
No guessing when unsure: with too few samples or low confidence, predictions simply stay blank.
Display can be turned off: “Settings → Trip ETA prediction” controls whether predictions appear on your own device, and each trip card lets you hide the prediction for that one trip. The switch affects only what you see — the same patterns remain visible to your partner (symmetry), and the server-side summary continues.
Deletion: removed automatically within a day of unpairing, and immediately when you delete your account.

Who We Share With

Besides your partner, only the providers needed to run the service:

Provider	Purpose	Data involved	Privacy policy
Supabase	Database, file storage, authentication (Singapore)	All data described in this policy	supabase.com
Apple (APNs)	iOS push and Live Activities	Push tokens and notification content	www.apple.com
Google (FCM)	Android push	Push tokens and notification content	firebase.google.com
Google Play services	Fused location, geofencing and activity recognition on Android (only on devices with Google services; others fall back to the OS location provider)	Coordinates and motion state (processed on device)	policies.google.com
Agora	Real-time audio and video relay for voice and video calls (neither audio nor video passes through our servers)	The live audio and video streams (relayed in real time, never recorded or stored), the call’s channel number and its temporary credential, and the network information needed to connect (such as IP addresses)	agora.io
AMap Open Platform	Map rendering, reverse geocoding, place search, route snapping, static map thumbnails in notification cards (default in mainland China)	Coordinates	lbs.amap.com
MapTiler	Overseas base-map tiles for the MapLibre engine	Viewport coordinates	www.maptiler.com
Google Maps	Rendering fallback when Android views overseas locations	Coordinates	policies.google.com
Apple Maps / WeatherKit	iOS map rendering and weather	Coordinates	www.apple.com
Open-Meteo	Android home-screen weather, plus precipitation alerts (queried by our server, both platforms)	Approximate coordinates	open-meteo.com
OpenStreetMap Nominatim	Overseas coordinates to place names	Coordinates	osmfoundation.org
Apple	iOS subscription billing	Handled entirely by Apple; we receive only the verification result	www.apple.com

Each provider handles what it receives under its own privacy policy. Your map-engine choice is stored on your device only and is never uploaded.

We disclose data only where the law requires it, or where it is necessary to protect someone’s physical safety. Otherwise, we do not sell or share your data with any third party.

To diagnose faults and handle abuse reports, the developer holds technical access to the database. We access data only when necessary — for example when you write in about a problem — and do not browse users’ private content.

How Long We Keep It

Location history	Deleted automatically after 30 days
Status history (battery / screen / WiFi …)	Deleted automatically after 30 days
Device presence timeline	Deleted automatically after 30 days (aggregate exit-reason figures after 60 days)
Event history (arrivals / departures / charging …)	Deleted automatically after 180 days
App usage time (Android)	Deleted automatically after 14 days
Synced calendar events	Deleted 2 days after the event ends
Live voice talk	Deleted automatically after 7 days, audio file included
Call log (voice / video, time, length, outcome, quality settings)	Kept until you delete your account; the audio and video themselves are never stored
Mood status	Expires after 24 hours
Meetups, photos, chat, diary, wishes, expenses, weight, alarms	Kept until you delete them or delete your account
Anniversaries	Kept until you delete them; created together, they do not disappear when one of you deletes their account (see the exception under “Your Controls”)
Trips	Kept until you delete your account (trips cannot be deleted one by one in the app)
Routine summaries (frequent places / usual routes / routine patterns / trip predictions)	Rebuilt nightly from the last 45–60 days of data; deleted automatically within a day of unpairing, and immediately when you delete your account
Account and profile	Kept until you delete your account

Your Controls

Every permission can be revoked at any time, and each one affects only its own feature:

Permission	If you turn it off
Location	Collection and sharing stop immediately; no more place alerts, trips, or meetup records
Background location	Location updates only while the app is open
Motion & Fitness	No more “got in / out of a car” alerts
Notifications	You stop receiving alerts; everything else still works
Microphone	No voice or video calls, no chat voice messages, no SOS voice clips, and no live voice talk
Camera	Your picture is not sent in video calls (you can still answer and see your partner); no weight check-in photos
Photos	Moments photos cannot be saved to your device
Calendar	Event syncing stops (already-synced events can be deleted in the app)
Usage access (Android)	“App in use” and usage time are no longer shared
Notification access (Android)	“Now playing” is no longer shared
Phone / call log (Android)	Call activity is no longer shared
Install unknown apps (Android)	New versions downloaded from our site can no longer be installed from inside the app; you can still download and install them manually. The permission is used only to install You’ itself and reads no data

Manage these in iOS Settings → Privacy & Security, or Android Settings → Apps → You’ → Permissions. In-app you can also turn off “let my partner set alarms for me”, “let my partner send me live voice” and “let voice bypass my silent mode”, “background restore call” (iOS), “trip ETA prediction” (display on your own device only; each trip card can also hide its own prediction), calendar syncing and individual notifications, and enable the privacy lock (Face ID / fingerprint to open the app).

Delete individual items: moments, photos, diary entries, place alerts, expenses and weight records can all be deleted one by one in the app. Trips are the exception — the app offers no per-trip delete; trips are removed when you delete your account. To have a single trip deleted, email us (see the next item).
Unpair: stops all sharing.
Delete your account: Settings → Account → Delete Account. Your profile, pairing, location and status history, photos, voice clips, chat and all the content you created are removed from our servers immediately and cannot be recovered.
One exception: what the two of you made together belongs to both of you. Anniversaries, the chat background, and the shared space itself (invite code, the date you started dating) have no single author, so deleting your account does not delete them — doing so would destroy your partner’s copy too. They stay in your partner’s space. If you want these cleared as well, please agree it with your partner before deleting, or write to us.
You can also email us and we will delete your data for you, or send you a copy of it.

To the extent the laws of your region apply, you have the right to access, correct and delete your personal information, withdraw consent, and obtain a copy of your data. Use the in-app controls or email us (we normally reply within 30 days).

Security

All traffic is encrypted with HTTPS / TLS.
The database enforces row-level security: each row is restricted at the database layer so only you and your partner can read or write it — this does not rely on the app behaving correctly.
Photos, voice clips and other files live in a private bucket, reachable only through short-lived signed links, and cannot be crawled publicly.
Passwords are stored hashed; not even the developer can see them.
That said, no system is ever 100% secure. Please use a unique password for your account.

International Transfers

Our servers are in Singapore. If you use the app from mainland China, Japan, or anywhere else, your personal information is transferred to Singapore and stored and processed there. Full details of that overseas recipient:

Overseas recipient	Supabase, Inc. (servers in Singapore)
Contact	Its privacy policy and contact channel: supabase.com/privacy
Purpose	Storing and reading your data solely to deliver the features described under “How We Use This Information”
Method	Storage at rest plus reads and writes governed by row-level security, and server-side summaries needed for app features (trip / stay derivation and the routine patterns above, visible to the two of you only). No advertising profiling, no external analytics, no onward disclosure
Categories	All data listed under “What We Collect”, including sensitive information such as precise location and movement history, health (weight) and expense records
Retention	As stated under “How Long We Keep It”
Exercising your rights	Access, correction and deletion are all self-service in the app (data is removed from the overseas servers immediately). You can also email yangmt0409@gmail.com and we will raise it with the recipient on your behalf, normally replying within 30 days

Besides Supabase, the following providers may also process data outside mainland China — see “Who We Share With” above for the data involved and each provider’s policy: Apple (iOS push, Live Activities, subscriptions), Google (Android push; overseas map rendering fallback), Agora (real-time audio and video relay for voice and video calls, on worldwide nodes; relayed only, never recorded or stored), MapTiler (overseas base-map tiles), Open-Meteo (weather and precipitation alerts), OpenStreetMap Nominatim (overseas place names).

Separate consent and withdrawal: the transfer is consented to separately. After you accept this policy, the app shows one more screen about the transfer alone, and you tap “Agree to the transfer and continue”. Until then we start no collection and write nothing abroad. You can end the transfer at any time by deleting your account — your data on the overseas servers is deleted with it (for content you created together, see the exception under “Your Controls”).

Children

This app is designed for adult couples and is not directed at children. Users under 18 should use it with a guardian’s consent. Depending on local law, children under 14 (China) or under 13 (some regions) may not use it. We do not knowingly collect children’s personal information; if we discover any, we delete it promptly — please contact us if you believe this has happened.

Public moments have an additional gate: setting up a public profile requires a separate confirmation that you are 18 or older. We do not collect your actual age (the birthday is month and day only), so this is a self-declaration rather than age verification.

Changes to This Policy

When a feature change affects what we collect, we update this policy and change the “last updated” date at the top. After an update the app shows the full text again on launch and asks you to read it to the end and accept it once more — until you do, we neither collect nor use your data and no features are available. You can re-read this policy and the Terms any time under Settings → About.

Contact

Privacy questions, complaints, data copies and deletion requests: yangmt0409@gmail.com (person in charge of privacy: Maitong Yang)