隐私政策

最后更新:2026-09-15

You’ 是一款只在两个人之间共享状态的 App:一个账号只能与一个人配对,所有内容都只在你和你的伴侣之间流转。本政策逐项说明我们收集什么、为什么收集、共享给谁、保留多久,以及你如何控制。

一句话概括

我们收集的一切,目的只有一个:展示给与你配对的那一个人。
我们不投放广告,不做跨 App / 跨网站追踪,不出售数据,不把数据交给数据经纪商。
除了你自愿填写的「创始会员署名」,没有任何内容会展示给第三个人。
大部分收集是你逐项开关的:关掉某个权限,只影响对应的那一项,App 其余部分照常用。

运营者与数据存储地

App	You’(iOS / Android)
运营者	个人开发者 PlumsXD
隐私负责人	Maitong Yang(开发者本人)· yangmt0409@gmail.com——关于个人信息保护的问题、投诉与行权请求由其直接负责处理
联系方式	yangmt0409@gmail.com
数据存储地	Supabase(数据库 / 文件存储 / 账号认证),服务器位于新加坡区域;加密备份另存于 Cloudflare(见「数据安全」)

我们收集什么

位置信息(核心功能)

精确位置	约 10 米级经纬度。授予「始终允许 / 后台定位」后,App 在后台持续获取(静止时定位芯片休眠不更新,移动时才更新)
位置历史	用于地图轨迹回放。按会员档位保留:你或当前与你配对的伴侣是创始会员时,轨迹永久保存,可回看 2026 年 7 月 1 日起的任意一天;其他账号(You Pro 与免费用户)的轨迹保存 1 年,超过 1 年的轨迹点每天自动删除——You Pro 可回看近一年里的任意一天,免费用户只看当天(2026 年 9 月 7 日之前注册的账号可看近 7 天)。删除账号即一次性清除
行程记录	起点 / 终点(坐标与地名)、时间、路径、距离、最高时速、途中拿起手机的次数
地点提醒	你设置的常用地点名称、坐标、半径,以及到达 / 离开事件
见面记录	两人同处一地时自动记下的日期、大致地点(坐标约 1.1 公里取整分桶)、开始与结束时间
SOS 求助	触发时的位置、地名、可选留言与可选语音;发出后 30 分钟内你的实时位置会以更高频率上报,点「我没事了」立即结束
运动状态	步行 / 骑行 / 驾车等运动类型(用于「上车 / 下车」提醒)
时区	用于按对方本地时间显示日程与闹钟

逆地理编码:为把坐标显示成「XX 大厦」这样的地名,坐标会由我们的服务器代为发送给地图服务商换取地名——中国大陆用高德开放平台(新版 iOS App Store 版在 App 内改用 LocationIQ),海外用 LocationIQ(基于 OpenStreetMap 数据的地理编码服务)。发送的只有坐标,不含你的账号信息。

行程与停留由服务器从轨迹派生:你上传的位置点是唯一的原始数据,「几点从哪出发、几点到了哪、走了多远、在哪停了多久」这些是我们的服务器事后从这串点算出来的,不是另外采集的。这样做是因为手机在到达那一刻往往正在休眠,算不准。派生结果与原始轨迹的保留期见下文「数据保留多久」。

设备与手机使用动态

在你打开对应开关后收集,用于「TA 现在在做什么」这类实时状态:

数据	平台	说明
电量、是否充电	双端
预计可用时间	仅 Android	按耗电速度估算;充电中或样本不足时不显示
WiFi 名称(SSID)	双端	只有网络名,不含密码
蜂窝网络制式	双端	如 5G / 4G
网络差标记	双端	你的状态上传变慢或因网络失败时标记,让对方知道消息、位置可能晚到;不读取信号强度。只在内部测试版本中提供
是否正在用手机	双端	屏幕亮起 / 解锁状态与持续时长
打开 App 的时间	双端	每次把 App 切到前台记一次时间(60 秒内只算一次),用于「昨日小结」里你们昨天各打开了几次;不需要开关,伴侣可见
铃声模式	仅 Android	响铃 / 震动 / 静音
今日流量	仅 Android	当天用掉的蜂窝流量,「手机报告」卡片
剩余存储	双端	「手机报告」卡片
定位权限状态	双端	用于提示对方「TA 关掉了定位」
通知权限状态	双端	用于让对方知道「TA 是不是把推送关了」(消息没回时的第一排查项)
系统通话状态	双端	来电 / 拨出、是否接通、通话时长。不收集电话号码、通讯录、通话内容
当前使用的 App	仅 Android	需你在系统设置手动授予「使用情况访问」
App 使用时长统计	仅 Android	按小时汇总的应用名与秒数
正在播放的音乐 / 播客	仅 Android	曲名、艺人、来源 App,需你手动授予「通知使用权」
机型、系统版本、App 版本、最近活跃时间、语言	双端	兼容性排查与推送文案语言

iOS 因系统限制,不采集「当前使用的 App」「App 使用时长」「正在播放」「铃声模式」「今日流量」「预计可用时间」——iOS 用户只能查看对方(Android)分享过来的这几项。

账号信息

注册邮箱、密码(以哈希形式保存,我们无法看到明文)、昵称、头像(照片;没有照片时显示昵称首字)、主题色、语言、配对关系与邀请码、在一起的起始日期。其中昵称、头像、时区在情侣空间内双方都可以编辑(改动双方都能看到)。

你主动创建的内容(只在两人之间)

聊天(文字 / 图片 / 语音 / 贴纸,以及表情回应与引用)、时刻相册(照片与文字、评论、表情回应)、日记(标题 / 正文 / 心情 / 照片)、纪念日、愿望清单(标题 / 照片 / 链接)、心情状态(每人每天一条,可附一句话)、关心(谁在什么时间给谁送出一次「你还好吗」,以及收到的一方回复的一句话与回复时间)、时间胶囊(写给对方的信:标题、正文,可附一张图片或一段语音,以及封面标题、样式与约定的开启时间;开启时间到之前,正文对你们两人——包括写信的人——都不可见)、同框合拍(每天一个随机时刻,两人各拍的一张照片与可选的自拍、一句话、地名与拍摄时间)、聊天背景。聊天记录也会保存在你的手机上(按账号分开存放,退出登录不删除)。保留期见下文「数据保留多久」。

减肥打卡(健康数据):体重数值、作为凭证的体重秤照片、备注、目标体重。仅在你使用该功能时产生,只共享给你的伴侣。新版本起,减肥打卡只在内部测试版本中提供;已有的记录照常保存,没有这个入口的版本里想删除,来信由我们代为处理。
情侣记账(财务数据):金额、分类、备注、日期、由谁付款。我们不接触你的银行卡、支付账户或交易流水,只保存你自己手输的记录。

日历日程(可选,默认关闭)

开启后,App 只读你勾选的那些系统日历,把「今日起 14 天」(创始会员为「今日起 3 个月」)的日程标题、地点、起止时间、来源日历名同步给对方。永远不写入、不修改、不删除你的任何日程,也不读取你未勾选的日历。

互设闹钟(可选,默认关闭)

需要你先在设置里打开「允许对方给我设闹钟」。数据包括闹钟时间、标签、状态与最近一次操作者。

经期记录(可选,默认关闭)

这是健康类敏感个人信息,只有你主动使用「经期记录与关怀」时才会产生。功能需要 You Pro / 创始会员并已绑定伴侣;你们两人里没有人把性别填成「女」时,这个入口根本不会出现(性别可以留空,本人与对方都能填,只用来决定要不要出现这个功能)。

新版本起,经期记录与关怀(连同只为它而设的性别选项)只在内部测试版本中提供。已有的记录与设置照常保存;没有这个入口的版本里想删除记录或关掉「关怀提醒」,来信由我们代为处理。

记录的内容:每次经期的开始日期、结束日期(可选)、流量(少 / 中 / 多)、症状、疼痛程度、一句话备注,以及你的周期长度、经期长度与「关怀提醒」开关。
你们两人都能看到,也能互相代记——这一点请先知道:经期记录与设置在你们两人之间默认互相可见,不需要对方另行同意;对方也可以替你记(替你填一次开始日、改结束日或周期长度),你同样可以替 TA 记,双方也都能删除。如果你不希望对方看到,唯一的办法是不使用这个功能,并删掉已有的记录。
用来做什么:显示「经期第几天 / 距下次还有几天」,并按「最近一次开始日 + 周期长度」预测下次的开始日期;在「关怀提醒」开着时,我们的服务器会在预计来的前 3 天、预计当天(按你所在时区的当地早上 9 点),以及你自己记下开始日的当下,给你的伴侣发一条提醒。提醒只发给你的伴侣,不发给任何其他人。
怎么关、怎么删:每条记录都可以在 App 内逐条删除;关掉「关怀提醒」即停止全部相关提醒;删除账号会把全部经期记录与设置一并删除。我们不会自动删除这些记录——它们保留到你或你的伴侣删掉,或者你删除账号。
不是医疗功能:上面的预测只是简单的日期加减,不是排卵期或易孕期计算,不能作为避孕或备孕的依据;记录与提醒都不构成医疗建议,身体不适请就医。我们不把这些数据用于医疗、保险、广告或任何分析用途,也不共享给你的伴侣以外的任何人。

心率与 Apple Watch(可选,默认关闭)

同样是健康类敏感个人信息,只在 iOS + Apple Watch 上、且你在手表上主动开始一段「心跳分享」时才会产生。功能需要 You Pro / 创始会员并已绑定伴侣。

怎么读取:由手表上的 You’ 经 HealthKit 读取心率,系统会就「心率」这一项单独向你请求授权,不授权就不采集。我们只读取心率这一项,不读取任何其它健康数据,也从不向「健康」App 写入任何数据;为了每几秒拿到一拍而开启的那段体能训练不会保存进你的活动记录。
上传并共享给对方:开始分享后,手表把最新的一拍(每 15 秒最多一次)交给 iPhone,由 iPhone 上传到我们的服务器,并实时共享给你的伴侣(TA 在 iOS 或安卓上都看得到)。我们只保存最新的那一次读数(数值、测量时间、来源),不保存心率曲线,也不做任何健康分析或健康状况推断。
怎么停止、怎么撤回:在手表上停止分享,服务器上那条记录立即删除;你也可以随时在 iPhone 的「健康」App →「共享 → App → You’」里撤回心率读取授权,撤回后手表再也取不到数据。
保留多久:只保存最新一次读数,新的覆盖旧的;停止分享即删除;万一没删干净,超过 2 小时没有更新的读数会被自动删除,对方界面上也不再显示。
安卓:安卓端没有对应的采集能力,只能看到对方分享过来的数字,不采集你的任何健康数据。

航班行程(可选,默认关闭)

只有你在纪念日 / 倒数日上主动填了航班号和起飞日期时才会产生(需要 You Pro / 创始会员并已绑定伴侣)。新版本起,航班行程只在内部测试版本中提供。

记录的内容:你填的航班号、起飞日期、这班是谁坐的(你或对方),以及由航班数据源补齐的航司、起降机场与城市、计划 / 预计 / 实际起降时刻、航站楼与登机口、行李转盘、机型、当前状态与延误分钟;每次变化都会留一条动态记录(类似航旅纵横的时间线)。
会发给航班数据服务商:为了查询这班飞机的动态,我们的服务器会把航班号与起飞日期发给 AeroDataBox(通过 RapidAPI 平台调用)。只发这两项,不带你的账号、姓名、位置或任何其它信息;服务商按其自己的隐私政策处理这两项数据(链接见下文「我们与谁共享」)。数据源没有配置时,只保留倒计时与明日提醒,不向任何第三方发送。
对方能看到:你们两人都能看到这趟航班的全部信息与动态;飞行中,坐这班的一方在对方锁屏卡 / 灵动岛上会显示「飞往某地 · 预计几点落地」。起飞前一天与动态变化(延误、登机口、起飞、落地、取消、改降)时,你们双方都会收到提醒。
怎么删、保留多久:每一段航班都可以在那条纪念日里单独移除(动态记录一起删);删掉那条纪念日、或删除账号,航班信息一并删除。此外,从航班数据源取回的信息只保存约 6 天,由每小时运行一次的清理任务自动删除:动态记录在写入约 6 天后删除;已落地、取消或过期的航班,在最后一次取回数据约 6 天后整段删除(纪念日 / 倒数日本身保留);仍在跟踪中的航班若约 6 天没有取回新数据,航司、机场、时刻、登机口等由数据源补齐的内容会被清空,只留下你自己填的航班号、起飞日期与乘坐人。
不用于其它目的:航班信息只用来显示与提醒,不做画像,不共享给你的伴侣以外的任何人。

实时语音对讲(可选,默认关闭)

「按住说一句,松手后你的声音立刻在对方手机上响起」。这是一项双方各自持开关、能力对称的功能,不是后台监听:

要对方先同意:只有当对方打开了「允许对方给我发实时语音」,你才能对 TA 说话。这道门禁在数据库层面强制,不只是界面上藏起来;任何一方都可以随时关掉,关掉即刻生效。
是否绕过静音由接收方自己决定:「允许对方的语音绕过我的静音 / 勿扰」默认关闭,只有你本人能打开。
我们保存的是:你录下的这段语音(存放在私有存储桶)、时长、发送与接收人,以及对方「已听」的时间。
7 天后自动删除,语音文件一并清除。

语音与视频通话

你们之间可以直接打一通语音或视频电话——聊天页顶栏的电话与摄像机按钮,任一方都可以发起,对方的手机会以系统来电界面响铃。这是真的通话,和下面那通「后台恢复来电」是两回事。视频通话目前只对创始会员开放:你们中有一人是创始会员,由管理员为你们这一对开通一个每月的视频通话余额,双方共用、双方都能发起。

我们听不到、看不到,也不留下声音或画面。通话中的音频与视频由声网(Agora)的实时网络在你们两台设备之间中转,不经过我们的服务器;我们没有开启任何录音、录像或云端录制,通话内容不会被保存到任何地方,挂断即消失。
我们保存的只有一条通话记录,不含内容:谁打给谁、语音还是视频、发起时间、接通时间、结束时间(也就是时长)、结束原因(挂断 / 拒接 / 取消 / 无人接听),以及发起方为这一通选择的画质与音质档位。这条记录在你们两人之间可见——本来就是你们两个人的通话。视频通话的每月余额(管理员设置的分钟数)与本月已用分钟数也记在你们这一对名下。
声网收到的是什么:为把两端接上,声网会处理这通电话的频道编号、通话中的音频流与视频流,以及建立连接所必需的网络信息(如 IP 地址与网络质量数据)。每通电话由我们的服务器现签一张 2 小时到期的通行凭证,频道名就是这通电话的编号,通话结束即作废;App 里不内置任何密钥。声网的节点遍布全球,音频与视频可能在中国境外中转(见「跨境传输」)。
需要麦克风权限,不给就打不了电话;视频通话另需相机权限——拒绝相机时你仍能接听并看到对方,只是不会传出你的画面。摄像头只在视频通话进行中、且你没有关闭它时工作;通话页随时可以关闭摄像头或切换前后摄像头。响铃走的是与「后台恢复来电」同一条 VoIP 推送通道,因此我们会保存你设备的 VoIP 推送令牌(见下文「技术与诊断数据」)。
iOS 会把它记进你本机的「最近通话」——这是系统对待真实通话的正常行为,记录只留在你自己手机上,不会回传给我们。
不想接就不接:拒接、忽略,或者干脆不授予麦克风权限都可以;解除配对之后对方再也打不进来。

后台恢复来电(仅 iOS,可关闭)

App 被系统清理、或被你从后台划掉之后,共享就断了,对方那头看到的是「设备连接中断」。为把它唤回,我们的服务器会给你的设备发一条 VoIP 推送,系统据此弹出一通标着「正在恢复后台连接」的来电界面。

那不是真的通话:线路另一端没有人,约 2 秒后自动结束,不会留下通话记录,铃声已被静音顶掉(但设备仍会震动一下)。接、挂、无视,结果都一样。
为此我们会保存你设备的 VoIP 推送令牌,与 APNs 令牌一样,只用于把这条唤醒送到你的设备。
频率有上界:同一次中断最多 3 通,心跳一恢复即清零,中断超过一小时不再呼。
可以彻底关掉:「设置 → 后台恢复来电」。关掉后本机不再注册 VoIP 令牌,也不会再出现任何来电界面;代价是被划掉之后,要等你下次打开 App 才恢复共享。

技术与诊断数据

推送令牌:APNs(iOS)/ FCM(Android)令牌、iOS 实时活动令牌与 VoIP 令牌,用于把通知、语音 / 视频通话的来电与后台唤醒送到你的设备。
设备标识:App 为识别「是不是同一台手机」记下的编号(iOS 为系统提供的 identifierForVendor,安卓为由 ANDROID_ID 派生的编号)。用于卸载重装后自动认回原来的设备绑定,以及推荐奖励的防刷(见下文);不用于广告或跨 App 追踪。
崩溃报告:App 版本、机型、线程与调用栈,用于修 Bug,不含你的位置与内容;90 天后自动删除。
状态与事件历史:到达 / 离开、充电与电量档位、亮屏、WiFi 变化等条目,用于「动态」时间线。
设备在线时间轴:你的设备在哪些时段有在上报、哪些时段断了、断了几次、是被什么唤回的,以及退出原因的统计数字。用来让对方分辨「TA 那边没动静」究竟是「什么都没发生」还是「手机压根没在上报」,也是我们排查后台被系统杀掉的依据。
已读回执:对方看过你的哪一条状态记录、行程或时刻,以及看到的时间。
戳一戳送达回执:你戳对方时,对方的设备收到推送后会自动回报一次;我们记下这次戳一戳有没有响、回报的时间与设备平台(iOS / Android),以及推送发送结果的技术摘要,用来告诉你「Ta 的手机响了 / 没响」;7 天后自动删除。
聚合运营统计:每日账号数、活跃数、配对数、崩溃条数等纯数字统计,不含任何个人内容。

付费与订阅

iOS:订阅通过 Apple 的 App 内购买完成。我们保存计划等级与到期时间,以及每笔购买的核销记录(Apple 交易编号、商品、到期与退款 / 撤销时间、购买前的会员档位),用于防止一笔购买被多个账号使用,并在你退款或 Apple 撤销购买时收回相应权益;Apple 发来的订阅状态通知(续订、退款等)只记录通知类型、交易编号与处理结果,180 天后自动删除。我们不接触也不保存你的支付方式、卡号或账单地址——这些全部由 Apple 处理。
Android:App 内不出售订阅,权益由我们在后台手动开通,不涉及支付数据。

我们不收集的

通讯录 / 联系人、电话号码、短信、通话录音与通话内容、相册全量(只取你主动选择的那几张照片)、浏览器记录、广告标识符(IDFA / GAID)、生物特征(面容 ID / 指纹由系统校验,App 只拿到「通过 / 不通过」)、精确的健康数据(除你自己填的体重、你自己记的经期、你授权同步的心率外——这三项都要你主动开启才会有,见上文)。

上文的「实时语音对讲」是你按下按钮主动录制并发送的一段话,不是后台录音——你没有按下时,App 不会打开麦克风。

上文的「语音与视频通话」同样不留声音与画面:我们不录音、不录像,也不保存任何通话内容。本节说的「通话录音与通话内容」指的是你手机上的系统电话——那些我们一样不碰。

对方能看到什么、看不到什么

对方能看到:你的实时与历史位置、行程与轨迹、到达 / 离开提醒、你已开启的设备与手机使用动态、你的设备在线时间轴、你创建的全部共享内容、你发过去的实时语音、你们之间的通话记录(语音或视频、时间、时长与结果,不含内容)、你同步的日程、你的体重打卡与记账记录、你的心情状态、你的经期记录与设置(你们两人都能看,也能互相代记)、你分享中的心率、你挂在纪念日上的航班及其动态,以及你有没有看过 TA 发的内容(已读回执)。
对方看不到:你的密码、你未勾选的日历、你没主动分享的照片、你的通讯录与通话内容、你在其他 App 里的私人数据、你的支付信息。
这是双向的:你能看到对方的这些,对方也能看到你的。绑定关系一旦解除或任一方删除账号,你们的空间随即解散,共享立即停止:位置、状态、经期、体重等个人记录从此只有本人看得到;共同的聊天、时刻、日记、纪念日等进入冷静期(解除的一方选 3 天或 30 天,默认 3 天;删除账号按 3 天),期间双方都只能只读回看,到期删除。冷静期内两人重新配对可以恢复。

例外之一:如果你是创始会员并自愿填写了署名,该署名会出现在 App 内的「致谢」名单里,对所有登录用户可见(只有署名文字与成为创始会员的先后顺序,不含邮箱、位置或任何其他信息)。留空即不展示。

你主动公开的信息(公开时刻)

这是本 App 里第二个、也是唯一涉及内容的例外。默认情况下你的一切内容都只在你们两个人之间;只有当你主动开通「公开身份」、并在发布时逐条选择公开,内容才会离开你们两人的范围。

始终公开的:你的公开昵称、不可更改的 6 位公开 ID、公开头像,以及你发布的公开时刻的正文与照片。
你逐项决定是否公开的(默认全部关闭,可随时关闭):个性签名、生日、在一起的天数。
生日只取月和日,不采集出生年份。完整出生日期属于敏感个人信息,我们不需要也不收集。
「在一起天数」只显示一个数字,不显示具体日期,也不显示你的伴侣是谁。
公开身份与情侣空间完全独立:公开昵称不是你在情侣空间里的昵称,公开头像也是单独上传的另一张图。你现有的头像与情侣合照不会出现在公开范围内。
公开的图片存放在可公开访问的存储空间,以便所有用户加载。这是「公开」的技术含义:一旦发布,拿到图片地址的人即可访问,直到该内容被删除。
你的伴侣也能看到并删除你发布的公开时刻。我们不允许在一个双人 App 里存在一个对方看不见的对外身份。
拉黑:你可以拉黑其他用户,拉黑后你们互相看不到对方的公开时刻,也无法互相回应。我们只记录谁拉黑了谁与拉黑的时间;名单只有拉黑的一方自己看得到,被拉黑的人查不到自己被谁拉黑。拉黑记录保留到你解除拉黑,或任一方删除账号。

开通公开身份时,我们会单独向你展示一次上述告知并请求你的同意,同时请你确认已满 18 岁;这两项确认会记录在服务端,作为你作出该选择的凭据。你可以随时注销公开身份,届时你发布过的全部公开时刻与图片会一并删除,私密内容不受影响。

公开时刻需要 You Pro 或创始会员,且必须已与伴侣绑定。如果你从未开通公开身份,本节对你完全不适用。

我们如何使用这些信息

在你与你配对的唯一一位伴侣之间展示状态、位置、内容与提醒。
发送你已开启的通知(到达 / 离开、充电、低电量、关机、戳一戳、闹钟、SOS、实时语音、对方的日程即将开始、到达某个地点的位置卡等)。
在你们两人之间接通语音或视频通话,并记下这通电话的类型、时间、时长、结果与所选的画质音质档位(见上文「语音与视频通话」)。
在共享中断时把 App 唤回,恢复你已开启的共享(见上文「后台恢复来电」)。
维持 App 运行:登录鉴权、版本更新提示、修复崩溃、防止滥用,以及保存加密备份、在服务器数据丢失时恢复服务(见「数据安全」)。
统计聚合数字了解整体使用规模。
推荐奖励:记录推荐关系、判断是否达标并发放奖励(见上文「推荐奖励」)。
把已收集的信号在服务端汇总成两人互见的作息规律,并在行程进行中据此估计可能前往的目的地与预计到达时间,显示在行程卡上(见下文)。

我们不会把你的数据用于广告、以广告或营销为目的的用户画像、跨 App / 跨网站追踪、训练模型或出售给任何人。下文的作息规律只在你们两人之间呈现,不属于、也不会被用于上述任何用途。

作息规律与到达预测

基于上文已列明收集的信号(位置与行程、充电、亮屏,及 Android 的应用使用时长),我们的服务器每天汇总一次两人的作息规律:常去地点、常用路线,以及通常几点醒来 / 入睡 / 充电 / 出门 / 回家;对方行程进行中时,再据此估计可能前往的目的地与预计到达时间(ETA),连同按历史常走路线画出的虚线,显示在行程卡与行程详情上。

零新增采集:全部由已收集的数据在服务端事后统计得出;原始数据按「数据保留多久」各自过期后,统计每晚按剩余窗口(最近 45–60 天)重建。
完全对称、仅两人可见:你能看到 Ta 的规律,Ta 也能看到你的(「我们 → 作息规律」页两个主体同构);不用于广告、不提供给任何第三方。
把握不足就不显示:样本太少或置信度不够时,预测一概留空,不会瞎猜。
展示可关:「设置 → 行程 ETA 预测」控制自己这台设备是否显示预测;行程卡右上角还可单独隐藏某一趟的预测。开关只影响你查看侧的展示——同一份规律对你的伴侣仍然可见(对称),服务端汇总照常进行。
删除:解除配对后最迟一天内自动删除;删除账号立即随级联删除。

熬夜、睡醒与日报里的睡眠估计

除上面的作息规律外,还有两处会根据你使用手机的时间推断作息,结果同样只在你们两人之间可见:

熬夜与睡醒:由你的手机在本机判断。在你设定的睡觉时段内(默认 23:00–05:00)解锁手机,记一次「熬夜」;睡觉时段结束后 7 小时内的首次解锁,如果距上次锁屏已达到你设定的最短睡眠时长(默认 3 小时),记一次「睡醒」并附上这一觉睡了几个小时。每一觉各最多记一次。它们作为动态事件上传,默认会推送提醒给你的伴侣(Ta 可以在通知设置里关掉「对方睡醒时通知我」「对方熬夜未睡时通知我」),熬夜次数也会计入月度回忆;180 天后随动态事件自动删除。
日报里的睡眠:打开某一天的日报时,我们的服务器会按你那天亮屏、发消息、发时刻等活动的时间,把醒来落在这一天、长度在 3–16 小时之间的最长一段空档估计为那一觉;当天还没醒时显示「还在睡」。你们两人的日报里都会显示这一项。它是打开日报时现算的,服务器不另外保存;那段时间你的设备没有上报时,只作为估计标注。
以上都只是根据手机使用时间做的粗略估计:不读取任何健康数据,不做医疗判断,也不提供给任何第三方。

我们与谁共享

除了你的伴侣,只共享给为提供服务所必需的服务商:

服务商	用途	涉及数据	其隐私政策
Supabase	数据库、文件存储、账号认证(新加坡)	本政策所述全部数据	supabase.com
Apple(APNs)	iOS 推送、实时活动	推送令牌与通知内容	www.apple.com
Google(FCM)	Android 推送	推送令牌与通知内容	firebase.google.com
Google Play 服务	Android 的融合定位、地理围栏、活动识别(仅设备带 Google 服务时启用;无 GMS 机型降级为系统原生定位)	位置坐标、运动状态(在本机处理)	policies.google.com
声网 Agora	语音与视频通话的实时音视频中转(音频与视频都不经我们的服务器)	通话中的音频流与视频流(实时中转,不录音、不录像、不留存)、本通电话的频道编号与临时通行凭证、建立连接所需的网络信息(如 IP 地址)	shengwang.cn
高德开放平台	地图渲染、逆地理编码、地点搜索、轨迹贴路、通知卡片里的静态地图缩略图(大陆默认;新版 iOS App Store 版的地图渲染、地点搜索与轨迹贴路不经高德)	坐标	lbs.amap.com
MapTiler	MapLibre 引擎的海外底图瓦片	视野范围坐标	www.maptiler.com
Google Maps	Android 查看海外位置时的渲染回退	坐标	policies.google.com
Apple 地图 / WeatherKit	iOS 地图渲染(新版 iOS 起含行程轨迹信号中断段的驾车路线规划:中断段两端的坐标发给 Apple);双端主页天气与双方的降水提醒(安卓与服务端经我们的服务器代查)	坐标	www.apple.com
Open-Meteo	仅改由 Apple WeatherKit 之前发布的安卓版本的主页天气(客户端直连);新版起安卓与服务端天气统一由 Apple WeatherKit 提供	大致坐标	open-meteo.com
AeroDataBox(经 RapidAPI)	航班行程的动态查询(由我们的服务器代查,两端都适用)	航班号、起飞日期(不含任何账号或个人信息)	aerodatabox.com · rapidapi.com
LocationIQ(Unwired Labs)	海外坐标转地名、海外地点搜索(由我们的服务器代查);新版 iOS App Store 版在中国大陆的逆地理编码与地点搜索也会使用它	坐标、搜索关键词	locationiq.com
Apple	iOS 订阅收款;订阅状态通知(续订、退款、撤销);推荐奖励兑换码的兑换	由 Apple 直接处理;我们只收到 Apple 签发的交易凭证与状态通知(交易编号、商品、到期 / 退款时间)	www.apple.com
Cloudflare(R2 对象存储)	异地加密备份的存储(见「数据安全」)	数据库与照片、语音等文件的加密副本:上传前已用只有我们持有的密钥加密,Cloudflare 无法读取内容	www.cloudflare.com
GitHub(GitHub Actions)	运行备份任务:在用完即销毁的临时虚拟机里取出数据、加密后上传到 Cloudflare	备份过程中短暂经手的数据库与文件(加密之前);任务结束随虚拟机一并销毁	docs.github.com

这些服务商各自按其隐私政策处理收到的数据。地图引擎的选择存在你的手机本地,不会上传。

只有在法律强制要求、或为保护他人人身安全所必需时,我们才会披露相关数据。除此之外,我们不向任何第三方出售或分享你的数据。

为排查故障与处理滥用举报,开发者拥有对数据库的技术访问权限。我们仅在必要时(例如你来信报告问题)访问相关数据,不会浏览用户的私人内容。

数据保留多久

位置历史(轨迹点)	你或当前与你配对的伴侣是创始会员时永久保存;其他账号(You Pro 与免费)保存 1 年,超过 1 年的轨迹点每天自动删除;删除账号时立即删除全部轨迹
状态历史(电量 / 亮屏 / WiFi 等)	30 天后自动删除
打开 App 的记录	35 天后自动删除
设备在线时间轴	30 天后自动删除(退出原因的统计数字 60 天)
动态事件(到达 / 离开 / 充电等)	180 天后自动删除
App 使用时长统计(Android)	14 天后自动删除
关心	30 天后自动删除;收到关心的一方回复的那句话同时记作一条动态事件,随动态事件 180 天后删除
戳一戳送达回执	7 天后自动删除
崩溃报告	90 天后自动删除
已同步的日历日程	结束 2 天后自动删除
实时语音对讲	7 天后自动删除,语音文件一并清除
通话记录(语音 / 视频、时间、时长、结果、画质音质档位)	保留到你删除账号;通话的音频与视频本身从不保存
心情状态	不自动删除;保留到你删除它或删除账号。主页与地图上只显示 24 小时内更新过的那一条,心情页可回看你们两人近 30 天的记录
时间胶囊	不自动删除;开启前写信人可以撤回,撤回即删除正文;开启后在 App 内不能删除,保留到删除账号,或解除配对后按「冷静期」删除
同框合拍	不自动删除;保留到你删除自己拍的那张或删除账号,解除配对后按「冷静期」删除
见面、照片、聊天、日记、愿望、记账、体重、闹钟	保留到你删除它或删除账号;其中两人共同的内容在解除配对后按「冷静期」删除
经期记录与设置	不自动删除;保留到你或你的伴侣删除它,或你删除账号
分享中的心率	只保存最新一次读数(新的覆盖旧的);停止分享即删除,超过 2 小时没有更新即自动删除
航班行程(航班信息与动态记录)	从数据源取回的信息约 6 天后自动清理:动态记录写入约 6 天后删除;已落地、取消或过期的航班在最后一次取回数据约 6 天后整段删除;仍在跟踪的航班只清空数据源补齐的内容,保留你填的航班号、日期与乘坐人。在此之前,你移除那一段航班、删掉那条纪念日或删除账号时随之删除
纪念日	保留到你删除它,或解除配对 / 任一方删除账号后冷静期到期
行程	保留到你删除账号(行程不支持在 App 内单条删除)
作息规律统计(常去地点 / 常用路线 / 作息画像 / 行程预测)	每晚由近 45–60 天数据重建;解除配对后最迟一天内自动删除,删除账号立即删除
解除配对后的共同内容(聊天、时刻、日记、纪念日与航班、愿望、日历计划、便利贴、时间胶囊、同框、见面记录,以及聊天背景等空间设置)	空间解散即进入冷静期:3 天(默认)或 30 天,由解除配对的一方选;删除账号按 3 天。期间双方只读回看,到期自动删除(含照片与语音文件)。冷静期内两人重新配对则恢复。聊天记录也存在你们各自的手机上,冷静期满后 App 下次打开时删除手机上的那份。位置、状态、经期、体重、通话记录、记账等个人记录不在此列,解除后只有本人可见
推荐奖励(推荐码、推荐记录、奖励记录)	推荐码保留到你删除账号;推荐记录在被推荐的一方删除账号时删除,推荐人删除账号时抹去其中的推荐人信息,过期或不符合条件的满 365 天自动删除;奖励记录保留到领奖人删除账号(已分出的兑换码为对账保留,与领码人的关联在其删除账号时清除)
异地加密备份	数据库每周一份、文件每天一份,按份数轮换,最多保留约 8 周。删除账号或内容后,相应数据还会在备份中留存最多约 8 周,随后随轮换删除;备份只用于在服务器数据丢失时恢复服务
账号与资料	保留到你删除账号

你的控制权

每一项权限都可随时撤回,且只影响对应的那一项:

权限	关掉之后
定位	立即停止位置收集与共享;地点提醒、行程、见面记录不再产生
后台定位	只在你打开 App 时更新位置
运动与健身	不再有「上车 / 下车」提醒
通知	收不到提醒,其余功能正常
麦克风	不能打语音或视频通话,也不能录聊天语音、SOS 语音与实时语音对讲
相机	视频通话时传不出你的画面(仍可接听并看到对方);不能拍体重打卡凭证
相册	不能保存时刻照片到本地
日历	停止同步日程(已同步的可在 App 内删除)
健康(iOS / Apple Watch)	手表不再读取心率,心跳分享停止;已上传的那一次读数最迟 2 小时内自动删除
使用情况访问(Android)	不再共享「当前使用的 App」与使用时长
通知使用权(Android)	不再共享「正在播放」
通话状态 / 通话记录(Android)	不再共享通话动态
安装未知应用(Android)	不能在 App 内直接安装官网下载的新版本;仍可手动到官网下载安装。该权限只用于安装 You’ 自己的安装包,不读取任何数据

iOS 在「设置 → 隐私与安全」中管理,Android 在「设置 → 应用 → You’ → 权限」中管理。App 内还可单独关闭:「允许对方给我设闹钟」、「允许对方给我发实时语音」与「允许语音绕过我的静音」、「后台恢复来电」(iOS)、「行程 ETA 预测」(只控制本机展示,行程卡上还可单独隐藏某一趟)、日历同步、各类通知,以及开启隐私锁(面容 / 指纹解锁 App)。

删除单条内容:时刻、照片、日记、地点提醒、记账、体重与经期记录等都可在 App 内逐条删除。行程不在此列——App 内不提供逐条删除行程的入口,行程会随删除账号一并清除;想单独删掉某一段行程,来信由我们代为处理(见下条)。
解除配对:你们的空间随即解散、共享立即停止;个人记录从此只有本人可见,共同内容在冷静期(3 天或 30 天,由你选)内双方只读回看,到期删除。解散的空间谁都不能再加入,邀请码作废。
删除账号:App 内「设置 → 账号 → 删除账号」。你的资料、配对关系、位置与状态历史、照片、语音、聊天与你创建的全部内容会立即从服务器删除,无法恢复,这台手机上保存的聊天记录也一并删除;加密备份里的副本最多再留存约 8 周,随后随备份轮换删除(见「数据保留多久」)。若你开通过公开身份,公开头像的图片文件由每周一次的清理任务删除:删除账号(或注销公开身份)后一般 8 天内清除,在此之前,拿到原图片地址的人仍可能访问到它。
共同创建的东西属于你们两个人。纪念日、聊天背景这类没有「作者」之分的共同内容,删你的账号不会当场删掉——空间解散,对方还能只读回看 3 天,之后自动删除;情侣空间本身只留「已解散」记录,邀请码作废,谁都不能再加入。
你也可以发邮件给我们,由我们代为删除,或索取你的数据副本。

在你所在地区法律适用的范围内,你有权访问、更正、删除你的个人信息,撤回同意,以及获取数据副本。行使方式:App 内自助操作,或发邮件给我们(通常 30 天内回复)。

数据安全

传输全程使用 HTTPS / TLS 加密。
数据库启用行级安全(RLS):每一行数据在数据库层面就限定只有你和你的伴侣能读写,不依赖客户端自觉。
照片、语音等文件存放在私有存储桶,只能通过限时签名链接访问,无法被公开抓取。
密码以哈希形式保存,开发者也看不到明文。
异地加密备份:数据库每周、照片与语音等文件每天,在上传前用只有我们持有的密钥加密,另存到 Cloudflare,以防服务器数据丢失。备份只用于恢复服务(以及定期验证备份能否恢复),不用于其他目的。
但请注意:没有任何系统能保证 100% 安全。请为账号使用独立密码。

跨境传输

我们的服务器在新加坡。你在中国大陆、日本或其他国家使用本 App 时,你的个人信息会被传输到新加坡存储与处理。关于这一境外接收方,完整告知如下:

境外接收方	Supabase, Inc.(服务器位于新加坡)
联系方式	其隐私政策与联系入口:supabase.com/privacy
处理目的	仅为实现本政策「我们如何使用这些信息」一节所述功能而存储与读写你的数据
处理方式	静态存储 + 按行级安全策略读写,以及为实现 App 功能所做的服务端统计(行程 / 停留派生、上文的作息规律,结果仅你们两人可见);不用于广告画像或对外分析,不再提供给他人
个人信息种类	本政策「我们收集什么」一节列出的全部数据,其中包含精确位置与行踪轨迹、健康(体重)与财务记录等敏感个人信息
保存期限	与「数据保留多久」一节一致
你如何行权	访问、更正、删除均可在 App 内自助完成(数据即时从境外服务器移除);也可来信 yangmt0409@gmail.com,由我们代为向境外接收方提出,通常 30 天内答复

除 Supabase 外,下列服务商也可能在中国境外处理相应数据,各自涉及的数据种类与隐私政策见上文「我们与谁共享」:Apple(iOS 推送、实时活动、订阅)、Google(Android 推送;海外地图渲染回退)、声网 Agora(语音与视频通话的实时音视频中转,节点遍布全球;实时中转、不录音不录像不留存)、MapTiler(海外底图瓦片)、Open-Meteo(仅旧版安卓客户端的主页天气,逐步下线)、LocationIQ(海外坐标转地名与地点搜索)、AeroDataBox / RapidAPI(航班动态查询,只收到航班号与起飞日期)、Cloudflare(异地加密备份的存储,只收到加密后的副本)、GitHub(运行备份任务的临时虚拟机,短暂经手数据库与文件)。

单独同意与撤回:出境传输单独征求你的同意——读完并同意本政策之后,App 会再弹一页只讲出境这一件事的告知,由你单独点「同意出境传输并继续」;在此之前我们不会启动任何采集,也不会向境外写入任何数据。你可以随时删除账号来终止传输——账号删除后,境外服务器上属于你的数据一并清除(共同创建内容的例外见「你的控制权」一节)。

未成年人

本 App 面向成年伴侣设计,不面向儿童。未满 18 周岁的用户应在监护人同意下使用;未满 16 周岁的用户不得使用本 App。注册时必须勾选年龄声明(确认已年满 16 周岁,且未满 18 周岁时已获监护人同意)才能创建账号。我们不会主动收集儿童个人信息;若发现,会尽快删除——如你认为有此情况,请来信告知。

公开时刻另有一道门槛:开通公开身份时必须单独确认已满 18 周岁。我们不采集真实年龄(生日只取月和日),所以这是一次自我声明,而非年龄验证。

政策变更

功能变化涉及数据面时,我们会更新本政策并修改顶部的「最后更新」日期。本政策更新后,App 会在启动时列出要点(全文可在同一页阅读),请你重新确认——在你确认之前,App 不会继续收集或使用你的数据,也不提供任何功能。你也可以随时在「设置 → 关于」里重看本政策与使用条款。

联系我们

关于隐私的任何问题、投诉、数据副本或删除请求:yangmt0409@gmail.com(隐私负责人:Maitong Yang)

プライバシーポリシー

最終更新日:2026-09-15

You’ はふたりだけでステータスを共有するアプリです。1 つのアカウントはひとりの相手としかペアリングできず、すべての内容はあなたとパートナーの間だけを行き来します。本ポリシーでは、収集する情報、その理由、共有先、保持期間、そしてあなたによる管理方法を項目ごとに説明します。

ひとことで言うと

収集するすべての目的はただ 1 つ、ペアリングしたその 1 人に見せるためです。
広告は出しません。アプリやウェブサイトをまたいだトラッキングもしません。データを販売することも、データブローカーに渡すこともありません。
あなたが自分の意思で記入する「ファウンディングメンバーのクレジット」を除き、第三者に表示される情報はありません。
収集の多くはあなたが個別にオン / オフできます。ある権限を切っても、影響を受けるのはその項目だけで、ほかの機能はそのまま使えます。

運営者とデータの保存先

アプリ	You’(iOS / Android)
運営者	個人開発者 PlumsXD
プライバシー保護責任者	Maitong Yang(開発者本人)· yangmt0409@gmail.com——個人情報の保護に関するご質問・苦情・権利行使のご依頼を直接担当します
連絡先	yangmt0409@gmail.com
保存先	Supabase(データベース / ファイルストレージ / 認証)、サーバーはシンガポールリージョン。暗号化したバックアップは別途 Cloudflare に保管します(「安全対策」参照)

収集する情報

位置情報(中心的な機能)

正確な位置	約 10 m レベルの緯度経度。「常に許可 / バックグラウンド位置情報」を付与すると、バックグラウンドで取得し続けます(静止中は測位チップが休止して更新せず、移動したときだけ更新します)
位置の履歴	地図での軌跡の再生に使います。会員プランによって保持期間が異なります:あなたか、いまペアリングしている相手が創始メンバーの場合は永久に保存し、2026年7月1日以降の好きな日を再生できます。それ以外のアカウント(You Pro と無料プラン)は1 年間保存し、1 年を過ぎた軌跡の点は毎日自動で削除します。You Pro は直近 1 年の好きな日を再生でき、無料プランは当日のみ表示されます(2026年9月7日より前に登録したアカウントは直近 7 日間)。アカウントを削除すれば一括で消去されます
移動の記録	出発地 / 到着地(座標と地名)、時刻、経路、距離、最高速度、途中でスマホを手に取った回数
場所リマインダー	あなたが登録した場所の名前・座標・半径、および到着 / 出発のイベント
会った記録	ふたりが同じ場所にいたときに自動で残る日付、おおよその場所(座標を約 1.1 km 単位に丸めたもの)、開始と終了の時刻
SOS	発信時の位置、地名、任意のメッセージと任意の音声。送信後 30 分間はリアルタイムの位置をより高い頻度で送信します(「もう大丈夫です」で即終了)
モーション	徒歩 / 自転車 / 乗車などの種別(「乗車・降車」の通知に使います)
タイムゾーン	相手の現地時間で予定やアラームを表示するために使います

逆ジオコーディング:座標を「〇〇ビル」のような地名で表示するため、座標はサーバー経由で地図事業者に送られます(中国本土は高德オープンプラットフォーム〔新しい iOS の App Store 版はアプリ内で LocationIQ を使用〕、それ以外は OpenStreetMap データを使う LocationIQ)。送るのは座標だけで、アカウント情報は含みません。

移動と滞在はサーバーが軌跡から導き出します:元データはあなたが送信した位置の点だけで、「何時にどこを出て、何時にどこへ着き、どれだけ走り、どこに何分いたか」は、その点列からサーバーが後から算出したものです。別途取得しているわけではありません。到着したその瞬間、スマホはたいてい休止していて正確に判定できないためです。保持期間は下記「保持期間」をご覧ください。

デバイスとスマホの利用状況

該当するスイッチをオンにしたときに収集し、「いま相手が何をしているか」の表示に使います。

データ	対象	説明
バッテリー残量、充電状態	両方
残り使用可能時間	Android のみ	電池の減り方から推定します。充電中やデータが足りないときは表示しません
Wi-Fi 名(SSID)	両方	ネットワーク名のみ。パスワードは含みません
モバイル回線の種別	両方	5G / 4G など
通信が不安定かどうか	両方	状態の送信が遅いときや通信の問題で失敗したときに付けるしるしで、メッセージや位置情報が遅れて届くかもしれないことを相手に伝えます。電波の強さは読み取りません。社内テスト版でのみ提供します
スマホを使用中かどうか	両方	画面の点灯 / ロック解除の状態と継続時間
アプリを開いた時刻	両方	アプリを前面に切り替えるたびに時刻を 1 件記録(60 秒以内は 1 回として扱います)。「昨日のまとめ」でふたりが昨日それぞれ何回開いたかを表示するために使います。スイッチは不要で、パートナーも閲覧できます
マナーモードの状態	Android のみ	着信音 / バイブ / サイレント
今日の通信量	Android のみ	その日に使ったモバイルデータ通信量。「スマホレポート」カード
空き容量	両方	「スマホレポート」カード
位置情報権限の状態	両方	「位置情報がオフになっています」の表示に使います
通知権限の状態	両方	「相手が通知をオフにしていないか」を知るために使います(返信がないときに最初に確かめる項目です)
システムの通話状態	両方	着信 / 発信、応答の有無、通話時間。電話番号・連絡先・通話内容は収集しません
使用中のアプリ	Android のみ	システム設定で「使用状況へのアクセス」を手動で許可した場合のみ
アプリの利用時間	Android のみ	1 時間単位で集計したアプリ名と秒数
再生中の音楽 / ポッドキャスト	Android のみ	曲名・アーティスト・再生元アプリ。「通知へのアクセス」を手動で許可した場合のみ
機種、OS バージョン、アプリバージョン、最終アクティブ時刻、言語	両方	不具合の調査と通知の言語判定

iOS では OS の制約により、「使用中のアプリ」「アプリの利用時間」「再生中」「マナーモードの状態」「今日の通信量」「残り使用可能時間」は収集しません。iOS ユーザーは、相手(Android)から共有されたこれらを見られるだけです。

アカウント情報

登録メールアドレス、パスワード(ハッシュ化して保存され、平文を見ることはできません)、ニックネーム、アイコン(写真。ない場合はニックネームの頭文字を表示)、テーマカラー、言語、ペアリング関係と招待コード、付き合い始めた日。このうちニックネーム・アイコン・タイムゾーンは、カップル内でどちらからでも編集でき、変更は二人とも見られます。

あなたが作成したコンテンツ(ふたりの間だけ)

チャット(テキスト / 画像 / 音声 / スタンプ、リアクションと引用)、モーメント(写真とテキスト、コメント、リアクション)、日記(タイトル / 本文 / 気分 / 写真)、記念日、ウィッシュリスト(タイトル / 写真 / リンク)、気分ステータス(1 人 1 日 1 件、ひとこと添えられます)、「気にかける」(誰がいつ誰に気持ちを届けたか、受け取った側が返したひとことと返信の時刻)、タイムカプセル(相手に宛てた手紙:タイトル、本文、任意の画像 1 枚または音声 1 件、表紙のタイトル・デザイン・開封日時。開封日時になるまでは、書いた本人を含めふたりとも本文を見られません)、同時撮影(毎日ランダムな時刻にふたりがそれぞれ撮る写真 1 枚と任意の自撮り、ひとこと、地名、撮影時刻)、チャットの背景。チャットの履歴はあなたのスマホにも保存されます(アカウントごとに分けて保存し、ログアウトしても削除されません)。保持期間は下記「保持期間」をご覧ください。

ダイエット記録(健康データ):体重の数値、証拠として撮る体重計の写真、メモ、目標体重。この機能を使ったときにだけ発生し、パートナーにのみ共有されます。新しいバージョンからは、ダイエット記録は社内テスト版でのみ提供します。すでにある記録はこれまでどおり保存され、この機能がないバージョンで削除をご希望の場合は、メールでご連絡いただければこちらで対応します。
ふたりの家計簿(金銭に関するデータ):金額、カテゴリ、メモ、日付、支払った人。銀行口座・決済アカウント・取引明細には一切アクセスせず、あなたが手入力した記録だけを保存します。

カレンダーの予定(任意・初期状態はオフ)

オンにすると、あなたがチェックしたカレンダーだけを読み取り、「今日から 14 日間」(創設メンバーは「今日から 3 か月」)の予定のタイトル・場所・開始終了時刻・カレンダー名を相手に共有します。予定の作成・変更・削除は一切行いません。チェックしていないカレンダーは読みません。

おたがいのアラーム(任意・初期状態はオフ)

設定で「相手がわたしにアラームを設定するのを許可」をオンにする必要があります。データはアラームの時刻、ラベル、状態、最後に操作した人です。

生理の記録(任意・初期状態はオフ)

健康に関する機微な個人情報です。あなたが「生理の記録とケア」を自分で使ったときにだけ発生します。You Pro / ファウンディングメンバーで、パートナーとペアリング済みであることが必要です。また、ふたりのどちらも性別を「女性」にしていない場合、この機能はアプリ内に表示されません(性別は未入力のままでもよく、ご本人でも相手でも設定できます。この機能を表示するかどうかの判断にだけ使います)。

新しいバージョンからは、生理の記録とケア(この機能のためだけにある性別の設定を含む)は社内テスト版でのみ提供します。すでにある記録と設定はこれまでどおり保存されます。この機能がないバージョンで記録の削除や「ケア通知」の停止をご希望の場合は、メールでご連絡いただければこちらで対応します。

記録する内容:生理の開始日、終了日(任意)、量(少ない / ふつう / 多い)、症状、痛みの程度、ひとことメモ。あわせて周期の長さ、生理の日数、「ケア通知」のスイッチ。
ふたりとも見られ、おたがいに代わりに記録できます——ここは先にお伝えします。生理の記録と設定はふたりのあいだで最初から相互に見える状態で、相手の同意を別途取る仕組みはありません。相手があなたの代わりに記録すること(開始日の入力、終了日や周期の変更)もでき、あなたも相手の代わりに記録できます。削除もどちらからでもできます。相手に見せたくない場合は、この機能を使わず、すでにある記録を削除するほかありません。
使い道:「生理◯日目 / 次まであと◯日」の表示と、「直近の開始日 + 周期の長さ」による次回開始日の予測です。「ケア通知」がオンのときは、予測日の 3 日前と予測日当日(記録した方のタイムゾーンで現地の朝 9 時)、およびあなたが自分で開始日を記録した時点に、あなたのパートナーへお知らせを送ります。送り先はパートナーだけで、ほかの誰にも送りません。
オフにする・削除する:記録はアプリ内で 1 件ずつ削除できます。「ケア通知」をオフにすれば関連する通知は止まります。アカウントを削除すれば、記録と設定もすべて削除されます。自動削除は行いません——あなたかパートナーが削除するか、あなたがアカウントを削除するまで保持されます。
医療目的の機能ではありません:予測は単純な日付の足し算です。排卵日や妊娠しやすい時期の算出ではなく、避妊や妊活の根拠にはできません。記録も通知も医療上の助言ではありませんので、体調がすぐれないときは医師にご相談ください。これらのデータを医療・保険・広告・分析のいずれにも使わず、パートナー以外の誰にも共有しません。

心拍数と Apple Watch(任意・初期状態はオフ)

こちらも健康に関する機微な個人情報です。iOS と Apple Watch の組み合わせで、あなたが時計側で「心拍シェア」を自分で開始したときにだけ発生します。You Pro / ファウンディングメンバーで、パートナーとペアリング済みであることが必要です。

読み取り方:Apple Watch 上の You’ が HealthKit から心拍数を読み取ります。OS が「心拍数」という項目について個別に許可を求め、許可しなければ取得しません。読み取るのは心拍数だけで、ほかの健康データは一切読み取らず、「ヘルスケア」App への書き込みも一切行いません。数秒ごとに値を得るために開始するワークアウトは、あなたのアクティビティには保存されません。
アップロードとパートナーへの共有:シェアを開始すると、時計が最新の 1 拍(15 秒に 1 回まで)を iPhone に渡し、iPhone がわたしたちのサーバーへアップロードして、リアルタイムでパートナーに共有します(相手は iOS でも Android でも見られます)。保存するのは最新の 1 件だけ(数値・計測時刻・取得元)で、心拍の推移は保存せず、健康状態の分析や推定も行いません。
停止と許可の取り消し:時計でシェアを止めると、サーバー上のその 1 件はただちに削除されます。iPhone の「ヘルスケア」App →「共有 → App → You’」から、いつでも読み取りの許可を取り消せます。取り消すと、時計はデータを取得できなくなります。
保持期間:最新の 1 件のみで、新しい値が古い値を上書きします。シェアを止めれば削除され、2 時間以上更新がない値は自動的に削除されます(相手の画面にも表示されなくなります)。
Android:Android 版に同等の取得機能はなく、相手から共有された数値を表示するだけで、あなたの健康データは一切取得しません。

フライトの追跡(任意・初期状態はオフ)

記念日 / カウントダウンにあなたが便名と出発日を入力したときにだけ発生します(You Pro / ファウンディングメンバーで、パートナーと連携済みであることが必要です)。新しいバージョンからは、フライトの追跡は社内テスト版でのみ提供します。

記録する内容:入力した便名、出発日、その便に乗るのが誰か(あなたか相手か)。加えて、フライトデータの提供元から補完される航空会社、出発・到着の空港と都市、予定 / 見込み / 実際の出発・到着時刻、ターミナルと搭乗口、手荷物受取所、機材、現在の状態と遅延分数。変化があるたびに 1 件の動態記録(タイムライン)が残ります。
フライトデータの提供元に送るもの:その便の運航状況を照会するため、当社のサーバーが便名と出発日を AeroDataBox(RapidAPI 経由)に送ります。送るのはこの 2 項目だけで、あなたのアカウント、氏名、位置情報などは一切含みません。提供元はこの 2 項目を自社のプライバシーポリシーに従って取り扱います(リンクは下記「共有先」を参照)。データ提供元が設定されていない場合はカウントダウンと前日の通知だけを残し、第三者には何も送りません。
相手に見えるもの:ふたりともこの便の情報と動態のすべてを見られます。飛行中は、搭乗している側の情報が相手のロック画面カード / Dynamic Island に「○○へ · 着陸予定 ○時」と表示されます。出発の前日と、動態の変化(遅延、搭乗口、出発、着陸、欠航、目的地変更)の際にはふたりに通知が届きます。
削除する方法と保持期間:各区間は、その記念日の中で個別に削除できます(動態記録も一緒に削除)。その記念日を削除するか、アカウントを削除すると、フライト情報も一緒に削除されます。また、フライトデータの提供元から取得した情報は約 6 日間だけ保存し、1 時間ごとに動く削除処理で自動的に消去します。動態記録は書き込みから約 6 日で削除し、到着・欠航・期限切れとなった便は最後にデータを取得してから約 6 日で区間ごと削除します(記念日 / カウントダウンそのものは残ります)。追跡中の便でも約 6 日間新しいデータを取得できなかった場合は、航空会社・空港・時刻・搭乗口など提供元から補完した内容を消去し、あなたが入力した便名・出発日・搭乗者だけを残します。
他の目的には使いません:フライト情報は表示と通知にのみ使い、プロファイリングは行わず、パートナー以外の誰にも共有しません。

リアルタイム音声トーク(任意・初期状態はオフ)

「押しながら一言しゃべると、離した瞬間にあなたの声が相手のスマホで鳴る」機能です。双方がそれぞれスイッチを持つ対等な仕組みで、バックグラウンドでの盗聴ではありません。

相手の同意が先です:相手が「相手からのリアルタイム音声を許可」をオンにしている場合にのみ話しかけられます。この制限はデータベース側で強制しており、画面上で隠しているだけではありません。どちらからでもいつでもオフにでき、オフにすれば即座に有効になります。
サイレントを貫くかどうかは受け取る側が決めます:「相手の音声をサイレント / おやすみモードでも鳴らす」は初期状態でオフで、ご本人だけが変更できます。
保存するのは、録音された音声(非公開ストレージ)、長さ、送信者と受信者、相手が「聞いた」時刻です。
7 日で自動削除され、音声ファイルもあわせて消去されます。

音声通話とビデオ通話

ふたりのあいだで音声通話またはビデオ通話ができます。チャット画面上部の電話ボタン・カメラボタンから、どちらからでも発信でき、相手のスマホには OS の着信画面が表示されます。これは本物の通話で、下の「バックグラウンド復帰の着信」とは別物です。ビデオ通話は現在ファウンディングメンバー限定です:ふたりのどちらかがファウンディングメンバーであれば、管理者がそのカップルに月ごとのビデオ通話枠を設定し、ふたりで共用してどちらからでも発信できます。

こちらには聞こえず、見えず、音声も映像も残しません。通話中の音声と映像はAgora(声網)のリアルタイムネットワークが二台の端末のあいだで中継します。当社のサーバーは経由しません。録音・録画・クラウド録画は一切有効にしておらず、通話の内容はどこにも保存されず、切った時点で消えます。
保存するのは通話履歴の一行だけで、中身は含みません:誰から誰へ、音声かビデオか、発信時刻、応答時刻、終了時刻(つまり通話時間)、終了理由(切断 / 拒否 / 取消 / 応答なし)、そして発信側がその通話に選んだ画質・音質の設定です。この記録はふたりの双方から見えます——もともとふたりの通話だからです。ビデオ通話の月ごとの枠(管理者が設定した分数)と今月の使用分数も、そのカップルの情報として記録します。
Agora が受け取るもの:両端をつなぐために、その通話のチャンネル番号、通話中の音声ストリームと映像ストリーム、そして接続に必要なネットワーク情報(IP アドレスや品質データなど)を処理します。通話ごとに当社サーバーが有効期間 2 時間の通行証を発行し、チャンネル名はその通話の番号そのもので、終了すれば無効になります。アプリ内に鍵は一切埋め込んでいません。Agora のノードは世界中にあり、音声と映像は中国国外を経由する場合があります(「国外への移転」を参照)。
マイクの許可が必要です。許可しなければ通話はできません。ビデオ通話にはさらにカメラの許可が必要です——カメラを許可しなくても応答して相手の映像を見ることはできますが、あなたの映像は送られません。カメラはビデオ通話中で、あなたがオフにしていないあいだだけ動作します。通話画面でいつでもカメラをオフにしたり、前後を切り替えたりできます。着信は「バックグラウンド復帰の着信」と同じ VoIP プッシュの経路を使うため、端末の VoIP トークンを保存します(下の「技術・診断データ」)。
iOS では端末の「履歴(最近の通話)」に残ります——本物の通話に対する OS の通常の動作で、記録はあなたの端末内だけに残り、こちらには送られません。
出たくなければ出なくて構いません。拒否・無視、あるいはマイクを許可しないという選択もできます。ペアリングを解除すれば、相手はもうかけられません。

バックグラウンド復帰の着信(iOS のみ・オフにできます)

アプリが OS に終了されたり、あなたがバックグラウンドからスワイプで消したりすると共有が途切れ、相手には「デバイスの接続が中断しました」と表示されます。これを呼び戻すため、サーバーから端末へ VoIP プッシュを送り、OS が「バックグラウンド接続を復旧しています」と表示された着信画面を出します。

本当の通話ではありません:回線の向こうに誰もおらず、約 2 秒で自動的に終了し、通話履歴は残りません。着信音は無音に差し替えていますが、端末は一度振動します。応答しても、切っても、無視しても結果は同じです。
そのために端末の VoIP プッシュトークンを保存します。APNs のトークンと同様、この呼び出しを届けるためだけに使います。
回数に上限があります:1 回の中断につき最大 3 回、通信が戻ればリセット、中断が 1 時間を超えると呼び出しません。
完全にオフにできます:「設定 → バックグラウンド復帰の着信」。オフにすると端末は VoIP トークンを登録しなくなり、着信画面も一切出ません。そのかわり、スワイプで消したあとは次にアプリを開くまで共有が戻りません。

技術・診断データ

プッシュトークン:APNs(iOS)/ FCM(Android)のトークン、iOS のライブアクティビティ用トークン、VoIP トークン。通知、音声通話・ビデオ通話の着信、バックグラウンド復帰を届けるために使います。
端末の識別子:「同じスマホかどうか」を見分けるためにアプリが記録する番号です(iOS はシステムが提供する identifierForVendor、Android は ANDROID_ID から導出した番号)。アプリを再インストールしたときに元の端末の設定へ自動で戻すことと、紹介特典の不正防止(下記)に使います。広告やアプリをまたぐ追跡には使いません。
クラッシュレポート:アプリのバージョン、機種、スレッド、スタックトレース。不具合修正のためだけに使い、位置やコンテンツは含みません。90 日で自動削除します。
ステータスとイベントの履歴:到着 / 出発、充電とバッテリー残量の節目、画面点灯、Wi-Fi の変化など。「アクティビティ」のタイムラインに使います。
デバイスのオンライン・タイムライン:端末がどの時間帯に送信できていて、どの時間帯が途切れていたか、何回途切れたか、何によって復帰したか、そして終了理由の統計です。相手側の「動きがない」が「何も起きていない」のか「そもそも送信できていない」のかを見分けるために使い、こちらがバックグラウンド終了を調査する材料でもあります。
既読の記録:相手があなたのどのステータス記録・移動・モーメントを見たか、その時刻。
「つつく」の着信確認:あなたが相手をつつくと、相手の端末が通知を受け取った時点で自動的に 1 回応答します。鳴ったかどうか、応答の時刻と端末の種類(iOS / Android)、通知送信結果の技術的な要約を記録し、「相手のスマホが鳴った / 鳴らなかった」をお知らせするために使います。7 日で自動削除します。
集計統計:1 日ごとのアカウント数、アクティブ数、ペア数、クラッシュ件数などの数値だけの統計で、個人の内容は含みません。

課金とサブスクリプション

iOS:サブスクリプションは Apple のアプリ内課金で処理され、こちらが保存するのはプランの種別と有効期限に加え、購入ごとの照合記録(Apple の取引番号、商品、有効期限と返金・取り消しの日時、購入前のプラン)です。1 つの購入を複数のアカウントで使われないようにし、返金や Apple による取り消しの際に該当する特典を戻すために使います。Apple から届くサブスクリプション状態の通知(更新・返金など)は、通知の種類・取引番号・処理結果だけを記録し、180 日後に自動で削除します。お支払い方法・カード番号・請求先住所には一切触れず、保存もしません。すべて Apple が処理します。
Android:アプリ内では販売せず、権利は管理側で手動で付与するため、決済データは発生しません。

紹介特典(任意)

「設定 → 友だちに紹介」で自分の紹介コードを共有したとき、または友だちの紹介コードを入力したときにだけ発生します。

記録する内容:あなたの紹介コード(6 文字。紹介ページを初めて開いたときに作成)、誰が誰の紹介コードを入力したか(紹介関係)、入力した日時、紹介者がその時点で属していたふたりのスペース、紹介の進み具合(達成待ち / 達成 / 付与済み / 期限切れ / 対象外)、あなたに付与された特典(特典コード、または会員期間の延長先の日付)。
達成の判定:紹介された人がパートナーとペアリングしてから 14 日以内に、ふたりがそれぞれ 3 日以上アプリを開いたり操作したりしたかを確認します。日ごとに使ったかどうかだけを見て、何をしたかは見ません。本ポリシーに記載済みのデータを使い、新たな収集はありません。
不正の防止:紹介されたふたりと紹介者が同じスペースにいる、または過去にいたことがないか、またふたりが最近使った端末の種類(iOS / Android)と端末の識別子(上記「技術・診断データ」)を照合します。同じスマホで 2 つのアカウントを使っている場合は達成になりません。
誰に何が見えるか:紹介者に見えるのは、達成した紹介と達成待ちの紹介の件数だけで、紹介された人が誰か、そのパートナーが誰か、何日使ったかは見えません。紹介された人に見えるのは、自分の紹介の進み具合だけです。
特典の付与:ふたりのどちらかが iPhone を使っている場合、特典は App Store の特典コード(You Pro 1 か月分)で、App Store で引き換えます。引き換えとその後のサブスクリプションは Apple が処理します(上記「課金とサブスクリプション」)。ふたりとも Android の場合は、こちらで会員期間を直接 30 日延長します。特典が付与されると、受け取る人に通知が届きます。
保存期間:下記「保持期間」をご覧ください。

収集しないもの

連絡先、電話番号、SMS、通話の録音と内容、写真ライブラリ全体(あなたが選んだ写真だけを取得します)、ブラウザ履歴、広告 ID(IDFA / GAID)、生体情報(Face ID / 指紋は OS が判定し、アプリは「成功 / 失敗」だけを受け取ります)、詳細な健康データ(あなたが自分で入力する体重、自分で記録する生理、許可のうえで同期する心拍数を除きます——この 3 つは、あなたが自分でオンにしたときにだけ発生します。上記をご覧ください)。

上記の「リアルタイム音声トーク」は、あなたがボタンを押して自分で録音し送信する一言であり、バックグラウンドでの録音ではありません。押していないとき、アプリがマイクを開くことはありません。

上記の「音声通話とビデオ通話」も音声や映像を残しません。録音も録画も、通話内容の保存も行いません。本節でいう「通話の録音と内容」は端末の電話アプリの通話を指しており、そちらにも同様に一切触れません。

相手に見えるもの・見えないもの

相手に見えるもの:現在と過去の位置、移動と軌跡、到着 / 出発の通知、あなたがオンにしたデバイス・利用状況、デバイスのオンライン・タイムライン、あなたが作成した共有コンテンツすべて、あなたが送ったリアルタイム音声、ふたりの通話履歴(音声かビデオか・時刻・通話時間・結果。内容は含みません)、共有した予定、ダイエット記録と家計簿、気分ステータス、生理の記録と設定(ふたりとも見られ、おたがいに代わりに記録できます)、シェア中の心拍数、記念日に追加したフライトとその動態、そしてあなたが相手のコンテンツを見たかどうか(既読の記録)。
相手に見えないもの:パスワード、チェックしていないカレンダー、共有していない写真、連絡先や通話の内容、ほかのアプリの中身、支払い情報。
これは双方向です:あなたが相手のこれらを見られるのと同じように、相手もあなたのものを見られます。ペアリングを解除するか、どちらかがアカウントを削除すると、ふたりのスペースは閉じられ、共有はただちに止まります。位置、状態、生理、体重などの個人の記録は本人だけが見られるようになり、共有のチャット、モーメント、日記、記念日などは猶予期間(解除する側が 3 日か 30 日を選択、既定は 3 日。アカウント削除の場合は 3 日)のあいだふたりとも閲覧のみ可能で、期間が過ぎると削除されます。猶予期間中にもう一度ペアリングすると元に戻せます。

例外のひとつ:ファウンディングメンバーで、自分の意思でクレジット名を記入した場合、その名前はアプリ内の「クレジット」一覧に載り、ログイン中のすべてのユーザーに表示されます(表示されるのは名前と参加の順番だけで、メールアドレス・位置などは含みません)。空欄なら表示されません。

あなたが自ら公開する情報(公開モーメント)

これは本アプリで2 つめの、そしてコンテンツに関わる唯一の例外です。既定ではすべての内容がふたりの間だけにとどまります。あなたが自ら「公開プロフィール」を作成し、投稿ごとに公開を選んだ場合にのみ、内容がふたりの範囲を離れます。

常に公開されるもの:公開用の名前、変更できない 6 桁の公開 ID、公開用の写真、そして投稿した公開モーメントの本文と写真。
項目ごとに選べるもの(初期状態はすべてオフ、いつでもオフに戻せます):ひとこと、誕生日、一緒にいる日数。
誕生日は月と日だけで、生まれた年は取得しません。完全な生年月日は機微な個人情報であり、必要としないため収集しません。
「一緒にいる日数」は数字だけを表示します。具体的な日付も、パートナーが誰かも表示されません。
公開プロフィールはふたりの空間とは完全に独立しています:公開用の名前はふたりの空間のニックネームではなく、公開用の写真も別にアップロードする一枚です。現在お使いの写真やふたりで写った写真が公開範囲に出ることはありません。
公開した写真は、誰でもアクセスできるストレージに保存されます。すべての利用者が読み込めるようにするためです。これが「公開」の技術的な意味であり、いったん投稿すると、その画像アドレスを知っている人は削除されるまでアクセスできます。
あなたが投稿した公開モーメントは、パートナーも見られますし削除もできます。ふたりのためのアプリの中に、相手から見えない対外的な顔があってはならないと考えています。
ブロック:ほかの利用者をブロックできます。ブロックすると、お互いの公開モーメントが見えなくなり、リアクションもできなくなります。記録するのは誰が誰をいつブロックしたかだけで、リストはブロックした本人にしか見えず、ブロックされた側は誰にブロックされたかを調べられません。ブロックの記録は、ブロックを解除するか、どちらかがアカウントを削除するまで保持します。

公開プロフィールの作成時には、上記のご案内を一度だけ個別に表示して同意をお願いし、あわせて 18 歳以上であることをご確認いただきます。この 2 つの確認は、その選択をされたことの証跡としてサーバーに記録されます。公開プロフィールはいつでも削除でき、その際に投稿したすべての公開モーメントと写真も削除されます。非公開のコンテンツは影響を受けません。

公開モーメントのご利用には You Pro またはファウンディングメンバーであること、およびパートナーとのペアリングが必要です。公開プロフィールを一度も作成していない場合、本節はまったく当てはまりません。

情報の使い方

ペアリングしたただひとりの相手との間で、ステータス・位置・コンテンツ・リマインダーを表示するため。
あなたがオンにした通知(到着 / 出発、充電、バッテリー低下、電源オフ、つつく、アラーム、SOS、リアルタイム音声、相手の予定がまもなく始まるお知らせ、ある場所に到着したことを伝えるカードなど)を送るため。
ふたりのあいだで音声通話・ビデオ通話をつなぎ、その通話の種類・時刻・通話時間・結果・選択した画質音質の設定を記録するため(上記「音声通話とビデオ通話」)。
共有が途切れたときにアプリを呼び戻し、あなたがオンにした共有を復旧するため(上記「バックグラウンド復帰の着信」)。
アプリを動かすため:ログイン認証、アップデート案内、クラッシュ修正、不正利用の防止、そして暗号化したバックアップを保管し、サーバーのデータが失われたときにサービスを復旧するため(「安全対策」参照)。
全体の利用規模を把握するための集計。
紹介特典のため:紹介関係の記録、達成の判定、特典の付与(上記「紹介特典」)。
収集済みのシグナルをサーバー側でふたりが互いに見られる生活リズムとしてまとめ、移動中はそこから行き先の候補と到着予測時刻を推定して移動カードに表示するため(下記参照)。

広告、広告・マーケティング目的のプロファイリング、アプリ / ウェブをまたいだトラッキング、モデルの学習、第三者への販売には一切使いません。下記の生活リズムはふたりのあいだだけに表示されるもので、上記のいずれの用途にも該当せず、使われることもありません。

生活リズムと到着予測

本ポリシーに記載済みの収集シグナル(位置と移動、充電、画面点灯、Android のアプリ使用時間)をもとに、当社サーバーが1 日 1 回ふたりの生活リズム(よく行く場所、いつものルート、起床 / 就寝 / 充電 / 外出 / 帰宅のおおよその時刻)を集計します。相手が移動中のときは、そこから行き先の候補と到着予測時刻(ETA)を推定し、過去に実際に通ったルートの点線とともに移動カードと詳細画面に表示します。

新たな収集はゼロ:すべて収集済みデータからサーバー側で後から統計するものです。元データが「保持期間」どおりに消えたあとは、残りの窓(直近 45〜60 日)から毎晩作り直します。
完全に対称、ふたりだけが閲覧可:あなたが相手のリズムを見られるのと同じものを、相手もあなたについて見られます(「ふたり → 生活リズム」ページは両者同構)。広告には使わず、第三者にも提供しません。
確信度が足りなければ表示しない:サンプルが少ない・確度が低い場合、予測は空欄のままです。
表示はオフにできます:「設定 → 移動の到着予測(ETA)」で自分の端末での表示を制御でき、移動カード上で特定の移動だけ非表示にもできます。スイッチはあなたの見え方だけに作用し、同じリズムは相手側には引き続き表示されます(対称)。サーバー側の集計は続きます。
削除:ペア解除後は遅くとも 1 日以内に自動削除、アカウント削除時は即時に削除されます。

夜ふかし・起床と日報の睡眠の推定

上記の生活リズムのほかにも、スマホを使った時刻から生活リズムを推定するものが 2 つあります。結果はやはりふたりのあいだだけに表示されます。

夜ふかしと起床:あなたのスマホが端末内で判定します。あなたが設定した就寝時間帯(既定は 23:00〜5:00)にロックを解除すると「夜ふかし」を 1 回記録します。就寝時間帯が終わってから 7 時間以内の最初のロック解除で、前回のロックから設定した最短睡眠時間(既定は 3 時間)以上たっていれば「起床」を記録し、その睡眠が何時間だったかを添えます。どちらもひと眠りにつき 1 回までです。イベントとしてアップロードされ、既定ではパートナーに通知が届きます(相手は通知設定の「相手が起きたら通知」「相手が夜更かししていたら通知」でオフにできます)。夜ふかしの回数は「月間の思い出」にも数えられます。イベント履歴として 180 日で自動削除されます。
日報の睡眠:ある日の日報を開くと、当社サーバーがその日の画面点灯・メッセージ送信・モーメント投稿などの時刻から、起床がその日にあたる 3〜16 時間のいちばん長い空白を、そのときの睡眠として推定します。その日まだ起きていなければ「まだ眠っています」と表示します。ふたりの日報のどちらにも表示されます。日報を開いたときにその場で計算するもので、サーバーには別途保存しません。その時間帯に端末が送信できていなかった場合は、推定値として表示します。
いずれもスマホの利用時刻にもとづく大まかな推定です。健康データは一切読み取らず、医療上の判断は行わず、第三者にも提供しません。

共有する相手

パートナー以外では、サービス提供に必要な事業者にのみ共有します。

事業者	用途	対象データ	プライバシーポリシー
Supabase	データベース、ファイル保存、認証(シンガポール)	本ポリシーに記載の全データ	supabase.com
Apple(APNs)	iOS のプッシュ、ライブアクティビティ	トークンと通知内容	www.apple.com
Google(FCM)	Android のプッシュ	トークンと通知内容	firebase.google.com
Google Play 開発者サービス	Android の統合位置情報・ジオフェンス・行動認識(Google サービス搭載端末のみ。非搭載端末は OS 標準の測位に切り替わります)	位置座標、行動状態(端末内で処理)	policies.google.com
Agora(声網)	音声通話・ビデオ通話のリアルタイム音声・映像中継(音声も映像も当社サーバーを経由しません)	通話中の音声・映像ストリーム(リアルタイム中継のみ。録音・録画・保存はしません)、その通話のチャンネル番号と一時的な通行証、接続に必要なネットワーク情報(IP アドレスなど)	agora.io
高德オープンプラットフォーム	地図描画、逆ジオコーディング、スポット検索、経路スナップ、通知カードの静的地図画像(中国本土の既定。新しい iOS の App Store 版では地図描画・スポット検索・経路スナップに高德を使いません)	座標	lbs.amap.com
MapTiler	MapLibre エンジンの海外地図タイル	表示範囲の座標	www.maptiler.com
Google Maps	Android で海外を表示するときの描画フォールバック	座標	policies.google.com
Apple マップ / WeatherKit	iOS の地図描画(新しい iOS からは、移動記録で電波が途切れた区間の両端の座標を Apple に送り、車の経路を計画します);両 OS のホーム画面の天気、および降水の知らせ(Android とサーバー側は当社サーバーが代わりに照会)	座標	www.apple.com
Open-Meteo	Apple WeatherKit への切り替え前に配布した Android 版のホーム画面の天気のみ(端末から直接照会);新版以降は Android・サーバー側とも Apple WeatherKit に統一	おおよその座標	open-meteo.com
AeroDataBox(RapidAPI 経由)	フライト追跡の運航状況照会(当社サーバーが代わりに照会、両プラットフォーム対象)	便名、出発日(アカウント情報や個人情報は含みません)	aerodatabox.com · rapidapi.com
LocationIQ(Unwired Labs)	海外の座標から地名への変換、海外の場所検索(当社サーバーが代わりに照会)。新しい iOS の App Store 版では中国本土の逆ジオコーディングと場所検索にも使用	座標、検索キーワード	locationiq.com
Apple	iOS のサブスクリプション決済、サブスクリプション状態の通知(更新・返金・取り消し)、紹介特典の特典コードの引き換え	Apple が直接処理し、こちらが受け取るのは Apple が署名した取引情報と状態通知(取引番号、商品、有効期限・返金日時)のみです	www.apple.com
Cloudflare(R2 オブジェクトストレージ)	暗号化したオフサイトバックアップの保管(「安全対策」参照)	データベースと写真・音声などのファイルの暗号化されたコピー。アップロード前にこちらだけが持つ鍵で暗号化しており、Cloudflare は内容を読めません	www.cloudflare.com
GitHub(GitHub Actions)	バックアップ処理の実行:使い終わると破棄される一時的な仮想マシンでデータを取り出し、暗号化して Cloudflare にアップロード	バックアップ処理中に一時的に扱うデータベースとファイル(暗号化前)。処理が終わると仮想マシンごと破棄されます	docs.github.com

各事業者は、受け取ったデータを自社のプライバシーポリシーに従って取り扱います。地図エンジンの選択は端末内にのみ保存され、アップロードされません。

法令で義務づけられる場合、または他者の生命・身体の安全を守るために必要な場合を除き、データを第三者に販売・提供することはありません。

不具合の調査や不正利用への対応のため、開発者はデータベースへの技術的なアクセス権を持ちます。アクセスするのは必要な場合(たとえばあなたから不具合の連絡があったとき)だけで、利用者の私的な内容を閲覧することはありません。

保持期間

位置の履歴(軌跡の点)	あなたか、いまペアリングしている相手が創始メンバーの場合は永久に保存します。それ以外のアカウント(You Pro と無料プラン)は 1 年間保存し、1 年を過ぎた軌跡の点は毎日自動で削除します。アカウントを削除すると全軌跡をただちに削除します
ステータス履歴(バッテリー / 画面 / Wi-Fi など)	30 日で自動削除
アプリを開いた記録	35 日で自動削除
デバイスのオンライン・タイムライン	30 日で自動削除(終了理由の統計数値は 60 日)
イベント履歴(到着 / 出発 / 充電など)	180 日で自動削除
アプリ利用時間(Android)	14 日で自動削除
「気にかける」	30 日で自動削除。受け取った側が返したひとことはイベントとしても記録され、イベント履歴として 180 日で削除
「つつく」の着信確認	7 日で自動削除
クラッシュレポート	90 日で自動削除
同期したカレンダーの予定	終了から 2 日で自動削除
リアルタイム音声トーク	7 日で自動削除(音声ファイルもあわせて消去)
通話履歴(音声 / ビデオ・時刻・通話時間・結果・画質音質の設定)	アカウントを削除するまで保持(通話の音声・映像そのものは一切保存しません)
気分ステータス	自動削除しません。あなたが削除するか、アカウントを削除するまで保持します。ホーム画面と地図に表示されるのは 24 時間以内に更新した最新の 1 件だけで、気分のページではふたりの直近 30 日間の記録を見返せます
タイムカプセル	自動削除しません。開封日時の前なら書いた人が取り消せ、取り消すと本文を削除します。開封後はアプリ内で削除できず、アカウントを削除するまで、またはペアリング解除後の「猶予期間」が過ぎるまで保持します
同時撮影	自動削除しません。自分が撮った 1 枚を削除するか、アカウントを削除するまで保持します。ペアリング解除後は「猶予期間」が過ぎると削除されます
会った記録、写真、チャット、日記、ウィッシュ、家計簿、体重、アラーム	あなたが削除するかアカウントを削除するまで。ふたりの共有コンテンツは、ペアリング解除後の「猶予期間」が過ぎると削除されます
生理の記録と設定	自動削除しません。あなたかパートナーが削除するか、アカウントを削除するまで保持
シェア中の心拍数	最新の 1 件のみ(新しい値が上書き)。シェアを止めると削除、2 時間以上更新がなければ自動削除
フライトの追跡(フライト情報と動態記録)	提供元から取得した情報は約 6 日で自動的に整理します。動態記録は書き込みから約 6 日で削除、到着・欠航・期限切れの便は最後の取得から約 6 日で区間ごと削除、追跡中の便は提供元から補完した内容だけを消去し、入力した便名・出発日・搭乗者は残します。それ以前でも、その区間・記念日・アカウントを削除すると一緒に削除されます
記念日	あなたが削除するまで、またはペアリング解除 / どちらかのアカウント削除後に猶予期間が過ぎるまで
移動	アカウントを削除するまで(移動はアプリ内で 1 件ずつ削除できません)
生活リズムの統計(よく行く場所 / いつものルート / リズム / 移動の予測)	直近 45〜60 日のデータから毎晩作り直し。ペア解除後は遅くとも 1 日以内に自動削除、アカウント削除時は即時削除
ペアリング解除後の共有コンテンツ(チャット、モーメント、日記、記念日とフライト、ウィッシュ、カレンダーの予定、付箋、タイムカプセル、ツーショット、会った記録、チャットの背景などのスペース設定)	スペースが閉じられると猶予期間に入ります:3 日(既定)または 30 日。解除する側が選び、アカウント削除の場合は 3 日。期間中はふたりとも閲覧のみ可能で、期間が過ぎると自動削除(写真と音声ファイルを含む)。猶予期間中にもう一度ペアリングすると元に戻ります。チャットの履歴はそれぞれのスマホにも保存されており、猶予期間が過ぎたあと、次にアプリを開いたときにスマホ側のものも削除されます。位置、状態、生理、体重、通話記録、家計簿などの個人の記録は対象外で、解除後は本人だけが見られます
紹介特典(紹介コード・紹介の記録・特典の記録)	紹介コードはアカウントを削除するまで。紹介の記録は、紹介された人がアカウントを削除すると削除し、紹介者がアカウントを削除すると記録から紹介者の情報を消します。期限切れまたは対象外の記録は 365 日で自動削除。特典の記録は受け取った人がアカウントを削除するまで(付与済みの特典コードは照合のために残し、受け取った人との紐づけはそのアカウントの削除時に消します)
暗号化したオフサイトバックアップ	データベースは週 1 回、ファイルは毎日 1 回。件数で入れ替え、最長で約 8 週間保持します。アカウントやコンテンツを削除した後も、該当データはバックアップに最長約 8 週間残り、その後の入れ替えで削除されます。バックアップはサーバーのデータが失われたときのサービス復旧にのみ使います
アカウントとプロフィール	アカウントを削除するまで

あなたによる管理

権限はいつでも取り消せます。影響を受けるのは該当する項目だけです。

権限	オフにすると
位置情報	収集と共有がただちに停止。場所リマインダー・移動・会った記録も作られません
バックグラウンド位置情報	アプリを開いているときだけ位置が更新されます
モーションとフィットネス	「乗車・降車」の通知がなくなります
通知	お知らせが届かなくなります(ほかの機能は通常どおり)
マイク	音声通話・ビデオ通話ができず、チャットの音声・SOS 音声・リアルタイム音声トークも録音できません
カメラ	ビデオ通話であなたの映像を送れません(応答して相手を見ることはできます)。ダイエット記録の写真も撮れません
写真	モーメントの写真を端末に保存できません
カレンダー	予定の同期が止まります(同期済みのものはアプリ内で削除できます)
ヘルスケア(iOS / Apple Watch)	時計が心拍数を読み取らなくなり、心拍シェアが止まります(アップロード済みの 1 件も遅くとも 2 時間以内に削除されます)
使用状況へのアクセス(Android)	「使用中のアプリ」と利用時間を共有しなくなります
通知へのアクセス(Android)	「再生中」を共有しなくなります
電話 / 通話履歴(Android)	通話のステータスを共有しなくなります
不明なアプリのインストール(Android)	公式サイトからダウンロードした新しいバージョンをアプリ内から直接インストールできません(手動でのダウンロードとインストールは可能です)。この権限は You’ 自身のインストールパッケージのためだけに使い、いかなるデータも読み取りません

iOS は「設定 → プライバシーとセキュリティ」、Android は「設定 → アプリ → You’ → 権限」で管理できます。アプリ内でも、「相手のアラーム設定を許可」・「相手からのリアルタイム音声を許可」と「音声をサイレントでも鳴らす」・「バックグラウンド復帰の着信」(iOS)・「移動の到着予測(ETA)」(自分の端末での表示のみを制御。移動カード上で特定の移動だけ非表示にもできます)・カレンダー同期・各種通知を個別にオフにでき、プライバシーロック(Face ID / 指紋でアプリを解錠)も使えます。

個別の削除:モーメント、写真、日記、場所リマインダー、家計簿、体重や生理の記録などは、アプリ内で 1 件ずつ削除できます。移動の記録は対象外です——アプリ内に 1 件ずつ削除する入口はなく、アカウントを削除すると一緒に消えます。特定の移動だけを削除したい場合は、メールでご連絡ください(次項)。
ペアリング解除:ふたりのスペースは閉じられ、共有はただちに止まります。個人の記録は本人だけが見られるようになり、共有コンテンツは猶予期間(3 日または 30 日、あなたが選択)のあいだふたりとも閲覧のみ可能で、期間が過ぎると削除されます。閉じられたスペースには誰も参加できず、招待コードは無効になります。
アカウント削除:アプリ内の「設定 → アカウント → アカウントを削除」。プロフィール、ペアリング関係、位置とステータスの履歴、写真、音声、チャットを含むあなたが作成したすべての内容がただちにサーバーから削除され、復元できません。この端末に保存したチャットの履歴も削除されます。暗号化したバックアップ内のコピーは最長約 8 週間残り、バックアップの入れ替えに伴って削除されます(「保持期間」参照)。公開プロフィールを作成していた場合、公開用の写真の画像ファイルは週 1 回の整理処理で削除します。アカウントの削除(または公開プロフィールの削除)からおおむね 8 日以内に消去され、それまでは元の画像アドレスを知っている人がアクセスできる可能性があります。
ふたりで作ったものは、ふたりのものです。記念日やチャットの背景など「作成者」の区別がない共有コンテンツは、あなたのアカウントを削除してもすぐには消えません——スペースが閉じられ、相手は 3 日間閲覧のみでき、その後自動削除されます。ふたりの空間そのものは「閉じられた」記録だけが残り、招待コードは無効になり、誰も参加できなくなります。
下記の連絡先にメールをいただければ、こちらで削除したり、データのコピーをお渡ししたりすることもできます。

お住まいの地域の法律が適用される範囲で、あなたは個人情報へのアクセス・訂正・削除、同意の撤回、データのコピーの取得を求める権利を持ちます。アプリ内の操作か、メールでご連絡ください(通常 30 日以内に返信します)。

安全対策

通信はすべて HTTPS / TLS で暗号化しています。
データベースでは行レベルセキュリティ(RLS)を有効にし、各行を「あなたとパートナーだけが読み書きできる」ようデータベース側で制限しています(クライアント任せにしていません)。
写真や音声などのファイルは非公開バケットに保存し、期限付きの署名 URL でしかアクセスできません。
パスワードはハッシュ化して保存され、開発者にも平文は見えません。
暗号化したオフサイトバックアップ:データベースは週 1 回、写真や音声などのファイルは毎日、アップロード前にこちらだけが持つ鍵で暗号化してから Cloudflare に別途保管し、サーバーの障害でデータが失われないようにしています。バックアップはサービスの復旧(と、復旧できるかどうかの定期的な確認)にのみ使い、それ以外には使いません。
ただし、100% 安全なシステムは存在しません。アカウントには使い回しのないパスワードをお使いください。

国外への移転

サーバーはシンガポールにあります。日本・中国本土その他の国から利用する場合、個人情報はシンガポールへ送られ、そこで保存・処理されます。移転先の詳細は以下のとおりです。

移転先	Supabase, Inc.(サーバーはシンガポール)
連絡先	プライバシーポリシーと問い合わせ窓口:supabase.com/privacy
利用目的	本ポリシー「情報の利用方法」に記載の機能を実現するための保存・読み書きのみ
取り扱い方法	保存と行レベルセキュリティに基づく読み書き、およびアプリ機能のためのサーバー側統計(移動 / 滞在の導出、上記の生活リズム。結果はふたりだけが閲覧可)。広告目的のプロファイリングや外部向け分析には使わず、第三者提供も行いません
個人情報の種類	本ポリシー「収集する情報」に記載の全データ。正確な位置・移動履歴、健康(体重)、家計の記録などの機微な情報を含みます
保存期間	「保持期間」の記載と同じ
権利の行使方法	閲覧・訂正・削除はアプリ内で完結します(海外サーバーからも即時に削除)。yangmt0409@gmail.com にご連絡いただければ、こちらから移転先へ取り次ぎ、通常 30 日以内に回答します

Supabase のほか、次の事業者も中国国外でデータを取り扱う場合があります(対象データと各社ポリシーは上記「共有先」を参照):Apple(iOS のプッシュ・ライブアクティビティ・サブスクリプション)、Google(Android のプッシュ、海外地図の描画フォールバック)、Agora(音声通話・ビデオ通話のリアルタイム音声・映像中継。ノードは世界中にあり、中継のみで録音・録画・保存はしません)、MapTiler(海外地図タイル)、Open-Meteo(旧版 Android のホーム画面の天気のみ、順次終了)、LocationIQ(海外の地名変換と場所検索)、AeroDataBox / RapidAPI(フライトの運航状況照会。受け取るのは便名と出発日のみ)、Cloudflare(暗号化したバックアップの保管。受け取るのは暗号化されたコピーのみ)、GitHub(バックアップ処理を実行する一時的な仮想マシン。データベースとファイルを一時的に扱います)。

個別の同意と撤回:越境移転については個別に同意をいただきます。本ポリシーに同意したあと、移転のことだけを説明する画面をもう一度表示し、「国外移転に同意して続ける」を押していただきます。それまでは収集も、海外への書き込みも行いません。アカウントを削除すればいつでも移転を終了でき、海外サーバー上のあなたのデータも併せて削除されます(ふたりで作った内容の例外は「あなたによる管理」の節をご覧ください)。

未成年の方へ

本アプリは成人のカップル向けで、子ども向けではありません。18 歳未満の方は保護者の同意のもとでご利用ください。16 歳未満の方は利用できません。アカウント作成時に、16 歳以上であること(18 歳未満の場合は保護者の同意を得ていること)の確認へのチェックが必須です。子どもの個人情報を意図的に収集することはありません。判明した場合はすみやかに削除しますので、心当たりがあればご連絡ください。

公開モーメントにはもうひとつの条件があります:公開プロフィールの作成時に、18 歳以上であることを個別にご確認いただきます。実年齢は取得しない(誕生日は月と日だけ)ため、これは年齢確認ではなく自己申告です。

ポリシーの変更

機能の変更がデータの取り扱いに関わる場合、本ポリシーを更新し、冒頭の「最終更新日」を書き換えます。更新後は、アプリ起動時に要点を表示し(全文も同じ画面でお読みいただけます)、改めてご同意をお願いします——ご同意いただくまで、データの収集・利用は行わず、機能もご利用いただけません。「設定 → アプリについて」からいつでも読み返せます。

お問い合わせ

プライバシーに関するご質問・苦情・データのコピー・削除のご依頼:yangmt0409@gmail.com(プライバシー保護責任者:Maitong Yang)

Privacy Policy

Last updated: September 15, 2026

You’ is a status-sharing app for exactly two people. One account can be paired with one person only, and everything stays between you and your partner. This policy explains, item by item, what we collect, why, who we share it with, how long we keep it, and how you stay in control.

In One Line

Everything we collect exists for one purpose: showing it to the one person you paired with.
No ads, no cross-app or cross-site tracking, no selling your data, no data brokers.
Apart from the Founding Member credit you choose to fill in yourself, nothing is ever shown to a third person.
Most collection is switched on and off by you, item by item. Turning off a permission affects only that one thing; the rest of the app keeps working.

Who We Are and Where Data Lives

App	You’ (iOS / Android)
Operator	PlumsXD, an independent developer
Person in charge of privacy	Maitong Yang (the developer) · yangmt0409@gmail.com — personally responsible for privacy questions, complaints and rights requests
Contact	yangmt0409@gmail.com
Storage	Supabase (database / file storage / authentication), servers in the Singapore region; encrypted backups are kept separately with Cloudflare (see “Security”)

What We Collect

Location (the core feature)

Precise location	Coordinates accurate to roughly 10 m. Once you grant “Always / background” access, the app keeps updating in the background (the GPS chip sleeps while you are stationary and updates when you move)
Location history	Used to replay your route on the map. How long it is kept depends on your plan: if you or the partner you are currently paired with is a founding member, your track is kept permanently and you can replay any day from 1 July 2026 on; for all other accounts (You Pro and free) it is kept for one year, and track points older than a year are deleted automatically every day. You Pro members can replay any day from the past year; free members see today only (accounts registered before 7 September 2026 can see the last 7 days). Deleting your account wipes it all
Trips	Start and end point (coordinates and place names), times, path, distance, top speed, and how many times you picked up your phone on the way
Place alerts	Names, coordinates and radii of the places you save, plus arrival / departure events
Meetups	Recorded automatically when you are in the same place: the date, an approximate location (coordinates bucketed to about 1.1 km), and start and end times
SOS	Your location, place name, an optional message and an optional voice clip when you trigger it; for 30 minutes afterwards your live location is reported more frequently, until you tap “I am safe now”
Motion	Walking / cycling / driving activity type, used for “got in / out of a car” alerts
Time zone	Used to show schedules and alarms in your partner’s local time

Reverse geocoding: to turn coordinates into a readable place name, our server forwards the coordinates to a map provider — AMap inside mainland China (newer iOS App Store builds use LocationIQ in the app instead), and elsewhere LocationIQ, a geocoding service built on OpenStreetMap data. Only the coordinates are sent; no account information is attached.

Trips and stops are derived by our server from your track: the only raw data is the stream of location points you upload. “Left here at this time, arrived there at that time, covered this distance, stayed this long” is computed afterwards on the server from those points — it is not collected separately. We do it this way because at the moment you actually arrive, your phone is usually asleep and cannot judge it accurately. Retention for both the raw track and what we derive from it is listed under “How Long We Keep It”.

Device and phone activity

Collected once you enable the matching switch, to power the “what are they up to right now” view:

Data	Platform	Notes
Battery level, charging state	Both
Estimated battery time left	Android only	Estimated from how fast the battery drains; not shown while charging or when there is too little data
WiFi network name (SSID)	Both	The network name only — never the password
Cellular network type	Both	e.g. 5G / 4G
Poor-connection flag	Both	Set when your status uploads slowly or fails for network reasons, so your partner knows messages and location may arrive late. Signal strength is not read. Offered only in internal test builds
Whether the phone is in use	Both	Screen-on / unlocked state and how long
When you open the app	Both	A timestamp each time the app comes to the foreground (at most once per 60 seconds), used by the daily recap to show how many times each of you opened the app yesterday; no switch needed, visible to your partner
Ringer mode	Android only	Ring / vibrate / silent
Today’s data usage	Android only	Mobile data used today, for the “phone report” card
Free storage	Both	For the “phone report” card
Location permission state	Both	So your partner can be told “location is off”
Notification permission state	Both	So your partner knows whether you have push turned off — usually the first thing they check when you do not reply
System call state	Both	Incoming / outgoing, answered or not, call duration. We do not collect phone numbers, contacts, or call content
App currently in use	Android only	Requires you to grant “Usage access” manually in system settings
Daily app usage time	Android only	App names and seconds, aggregated per hour
Music / podcast now playing	Android only	Track, artist and source app; requires you to grant “Notification access” manually
Device model, OS version, app version, last active time, language	Both	For compatibility troubleshooting and notification language

Because of platform limits, iOS does not collect “app in use”, “app usage time”, “now playing”, ringer mode, today’s data usage, or estimated battery time left. iOS users can only view these when an Android partner shares them.

Account information

Sign-up email, password (stored hashed — we cannot see the plaintext), display name, avatar (a photo; the first letter of the display name when there is none), theme color, language, your pairing and invite code, and the date you started dating. Within a couple, either partner can edit the display name, avatar and time zone of both members, and both see the change.

Content you create (between the two of you only)

Chat (text / image / voice / stickers, plus reactions and quoted replies), the Moments album (photos and text, comments, reactions), diary entries (title / body / mood / photos), anniversaries, wish list (title / photo / link), mood statuses (one per person per day, with an optional short note), “send love” (who sent it to whom and when, plus the one-line reply and when it was sent), time capsules (a letter to your partner: title, body, an optional image or voice clip, the cover title and style, and the agreed opening time — until that time neither of you, not even the writer, can see the letter itself), duet shots (at a random time each day, the photo each of you takes plus an optional selfie, a caption, a place name and the time it was taken), and the chat background. Chat history is also stored on your phone (kept separately per account, and not deleted when you sign out). See “How Long We Keep It” for retention.

Weight check-ins (health data): your weight, the scale photo you take as proof, notes, and your target weight. Created only when you use the feature, and shared only with your partner. From newer app versions on, weight check-ins are offered only in internal test builds; existing entries stay stored, and if your version no longer has the feature, email us and we will delete them for you.
Shared expenses (financial data): amount, category, note, date, and who paid. We never touch your bank cards, payment accounts, or transaction feeds — only the entries you type in yourself.

Calendar events (optional, off by default)

When enabled, the app reads only the calendars you tick and shares the title, location, start and end time, and calendar name of events for the next 14 days (3 months for founding members). It never creates, edits, or deletes anything in your calendar, and never reads calendars you did not tick.

Shared alarms (optional, off by default)

Requires you to turn on “let my partner set alarms for me” first. The data is the alarm time, label, state, and who last acted on it.

Period tracking (optional, off by default)

This is sensitive health information, and it exists only if you use the period tracking and care feature yourself. It requires You Pro or Founding Member and a paired partner, and it does not appear in the app at all unless one of you has set their gender to female (gender can be left blank, either of you can set it, and it is used only to decide whether this feature shows up).

From newer app versions on, period tracking and care (together with the gender option that exists only for it) is offered only in internal test builds. Existing entries and settings stay stored; if your version no longer has the feature and you want entries deleted or care reminders turned off, email us and we will do it for you.

What gets recorded: the start date of each period, the end date (optional), flow (light / medium / heavy), symptoms, pain level and a short note, plus your cycle length, period length and the “care reminders” switch.
Both of you can see it, and either of you can log it for the other — this is the part to know up front. Period entries and settings are visible to both of you by default, with no separate approval step. Your partner can log a period for you (fill in a start date, change an end date or your cycle length), you can do the same for them, and either of you can delete an entry. If you do not want your partner to see this, the only option is not to use the feature and to delete the entries you already have.
What it is used for: showing “day N of your period” or “N days until the next one”, and predicting the next start date as “last start date + cycle length”. While care reminders are on, our server sends your partner a reminder three days before the predicted date and on the predicted date itself (at 9 a.m. in your own time zone), and again the moment you log a start date yourself. Those reminders go to your partner and to nobody else.
Turning it off, deleting it: every entry can be deleted individually in the app; turning off care reminders stops all of these reminders; deleting your account deletes every period entry and setting. We never delete these entries automatically — they stay until you or your partner delete them, or until you delete your account.
It is not a medical feature: the prediction is simple date arithmetic. It is not an ovulation or fertility calculation and must not be relied on for contraception or conception, and neither the entries nor the reminders are medical advice — please see a doctor if you feel unwell. We never use this data for medical, insurance, advertising or analytics purposes, and never share it with anyone other than your partner.

Heart rate and Apple Watch (optional, off by default)

This is sensitive health information too. It exists only on iOS with an Apple Watch, and only while you have deliberately started a “heartbeat sharing” session on the watch. It requires You Pro or Founding Member and a paired partner.

How we read it: You’ on the watch reads your heart rate through HealthKit. The system asks for permission for the heart rate type specifically, and nothing is collected if you decline. We read your heart rate and nothing else — no other health data — and we never write anything into the Health app. The workout session started so the watch can sample every few seconds is discarded rather than saved to your activity.
Uploaded and shared with your partner: once sharing starts, the watch hands the latest beat (at most one every 15 seconds) to your iPhone, which uploads it to our servers and shares it live with your partner (who can see it on iOS or Android). We store only the most recent reading — the value, when it was measured, and where it came from. We do not store a heart rate history, and we do not analyse it or infer anything about your health.
Stopping and revoking: stop sharing on the watch and that reading is deleted from our servers immediately. You can also revoke the permission at any time in the iPhone Health app under Sharing → Apps → You’, after which the watch can no longer read anything.
How long we keep it: only the latest reading, each new beat replacing the last; deleted when you stop sharing; and any reading not updated for two hours is deleted automatically and disappears from your partner’s screen.
Android: the Android app has no equivalent collection. It only displays the number your partner shares and collects no health data from you.

Flight tracking (optional, off by default)

This exists only when you deliberately add a flight number and departure date to an anniversary or countdown (requires You Pro or Founding Member, and a paired partner). From newer app versions on, flight tracking is offered only in internal test builds.

What we record: the flight number and departure date you enter, who is on the flight (you or your partner), plus what the flight-data provider fills in: airline, departure and arrival airports and cities, scheduled / estimated / actual times, terminals and gates, baggage belt, aircraft type, current status and delay in minutes. Every change leaves one timeline entry.
Sent to a flight-data provider: to look up that flight, our server sends the flight number and departure date to AeroDataBox (called through the RapidAPI platform). Only those two items are sent — never your account, name, location or anything else. The provider handles them under its own privacy policy (linked under “Who We Share With” below). If no data source is configured, only the countdown and the day-before reminder remain and nothing is sent to any third party.
What your partner sees: both of you can see everything about the flight and its timeline. While in the air, the traveller’s side shows “Flying to … · landing at …” on the partner’s Lock Screen card / Dynamic Island. Both of you are notified the day before departure and on changes (delay, gate, departure, landing, cancellation, diversion).
Deleting it, and how long we keep it: each leg can be removed individually inside that anniversary (its timeline goes with it); deleting the anniversary or your account deletes the flight data too. On top of that, anything fetched from the flight-data provider is kept for only about 6 days and removed by a cleanup job that runs every hour: timeline entries are deleted about 6 days after they are written; a flight that has landed, been cancelled or expired is deleted as a whole about 6 days after its data was last fetched (the anniversary or countdown itself stays); and for a flight still being tracked, if no new data has arrived for about 6 days, the airline, airports, times, gates and other provider-supplied details are cleared, leaving only the flight number, departure date and traveller you entered.
Nothing else: flight data is used only for display and reminders, never for profiling, and never shared with anyone but your partner.

Live voice talk (optional, off by default)

“Hold to say something, and the moment you let go your voice plays on your partner’s phone.” Both of you hold your own switch, so the capability is symmetric. It is not background listening:

Your partner has to agree first: you can only speak to them once they have turned on “let my partner send me live voice”. That gate is enforced in the database, not merely hidden in the interface. Either of you can switch it off at any time, and it takes effect immediately.
Whether it bypasses silent mode is the recipient’s call: “let my partner’s voice bypass my silent / Do Not Disturb” is off by default and only you can turn it on.
What we store: the clip you recorded (in a private bucket), its length, who sent and received it, and when the recipient listened to it.
Deleted automatically after 7 days, audio file included.

Voice and video calls

The two of you can place a voice or video call to each other — the phone and camera buttons at the top of the chat screen. Either of you can start one, and the other phone rings with the system’s own incoming-call screen. This is a real call, and it is not the same thing as the “background restore call” below. Video calls are currently available to Founding Members only: if one of you is a Founding Member, the administrator sets up a monthly video-call allowance for the two of you, shared between you, and either of you can start a video call.

We cannot hear or see it, and we keep no audio or video. Call audio and video are relayed between your two devices by Agora’s real-time network and never pass through our servers. We have not enabled recording, video recording or cloud recording of any kind; nothing that is said or shown is stored anywhere, and it is gone the moment you hang up.
All we store is one call-log row, with no content: who called whom, whether it was voice or video, when it started, when it was answered, when it ended (that is, how long it lasted), how it ended (hung up / declined / cancelled / unanswered), and the video and audio quality settings the caller picked for that call. Both of you can see that row — it was your call to begin with. Your couple’s monthly video-call allowance (the minutes set by the administrator) and the minutes used this month are recorded against the two of you as well.
What Agora receives: to connect the two ends, it processes that call’s channel number, the audio and video streams while the call is live, and the network information needed to establish the connection (such as IP addresses and quality data). Our server mints a two-hour credential per call, the channel name is the call’s own identifier, and it expires when the call ends; no key is ever embedded in the app. Agora’s nodes are worldwide, so the audio and video may be relayed outside mainland China (see “International Transfers”).
Microphone permission is required — without it you cannot call. Video calls additionally need camera permission: if you decline it you can still answer and see your partner, but your own picture is not sent. The camera is only active during a video call and only while you have not turned it off; you can switch it off or flip between the front and back cameras at any time from the call screen. Ringing uses the same VoIP push channel as the background restore call, so we store your device’s VoIP push token (see “Technical and diagnostic data” below).
iOS records it in your phone’s own Recents list — normal system behaviour for a real call. That entry stays on your device and is never sent back to us.
You never have to answer: decline it, ignore it, or simply withhold microphone permission. Once you unpair, your partner can no longer reach you.

Background restore call (iOS only, can be turned off)

When the system reclaims the app — or you swipe it away — sharing stops, and your partner sees “device connection interrupted”. To bring it back, our server sends your device a VoIP push, and iOS shows an incoming-call screen labelled “restoring background connection”.

It is not a real call. Nobody is on the other end, it ends by itself after about 2 seconds, it leaves no entry in your call history, and the ringtone is replaced with silence (your device will still vibrate once). Answering, declining or ignoring it makes no difference.
For this we store your device’s VoIP push token. Like the APNs token, it is used only to deliver that wake-up to your device.
There is a ceiling: at most 3 calls per interruption, reset as soon as your device reports in again, and none at all once an interruption passes an hour.
You can turn it off completely: Settings → Background restore call. Your device then stops registering a VoIP token and no call screen ever appears; the trade-off is that after you swipe the app away, sharing resumes only when you next open it.

Technical and diagnostic data

Push tokens: APNs (iOS) / FCM (Android) tokens, iOS Live Activity tokens and VoIP tokens, used to deliver notifications, incoming voice and video calls and background wake-ups to your device.
Device identifier: an ID the app keeps to recognise “the same phone” (on iOS, the system-provided identifierForVendor; on Android, an ID derived from ANDROID_ID). It is used to reconnect your existing device setup after you reinstall the app, and to prevent abuse of referral rewards (see below). It is never used for advertising or cross-app tracking.
Crash reports: app version, device model, thread and stack trace, used only to fix bugs. They contain none of your location or content, and are deleted automatically after 90 days.
Status and event history: arrivals / departures, charging and battery milestones, screen-on, WiFi changes and similar entries that build the activity timeline.
Device presence timeline: which stretches of time your device was reporting, which it was not, how many times it dropped out, what brought it back, and aggregate exit-reason figures. It lets your partner tell “nothing happened” apart from “the phone was not reporting at all”, and it is how we investigate the app being killed in the background.
Read receipts: which of your status entries, trips or moments your partner has looked at, and when.
Poke delivery receipts: when you poke your partner, their device reports back automatically once it receives the push. We record whether the poke rang, when the report came in and from which platform (iOS / Android), and a technical summary of the push delivery result, so we can tell you whether their phone rang. Deleted automatically after 7 days.
Aggregate stats: daily account totals, active users, number of pairs, crash counts — numbers only, never personal content.

Payments and subscriptions

iOS: subscriptions run through Apple’s in-app purchase. We store your plan tier and expiry date, plus a redemption record for each purchase (Apple transaction ID, product, expiry and refund or revocation time, and your plan before the purchase). We use it to stop one purchase being used by several accounts, and to take back the matching benefits if you get a refund or Apple revokes the purchase. Subscription status notifications from Apple (renewals, refunds and so on) are logged only as notification type, transaction ID and outcome, and deleted after 180 days. We never see or store your payment method, card number, or billing address — Apple handles all of that under its own privacy policy.
Android: nothing is sold in the app; access is granted manually on our side, so no payment data is involved.

Referral rewards (optional)

Created only when you share your referral code under Settings → Refer a friend, or enter a friend’s referral code.

What we record: your referral code (6 characters, created the first time you open the referral page); who entered whose code (the referral), when it was entered, the shared space the referrer was in at the time, and how the referral is progressing (waiting to qualify / qualified / rewarded / expired / not eligible); and the rewards issued to you (an offer code, or the date your membership was extended to).
How qualifying works: we check whether, within 14 days of the referred person pairing with their partner, each of the two opened the app or took an action on at least 3 different days — only whether they used it on a given day, not what they did. This uses data this policy already describes; nothing new is collected.
Preventing abuse: we check whether the referred couple and the referrer are, or have ever been, in the same shared space, and compare the platform (iOS / Android) and device identifier (see “Technical and diagnostic data” above) of the devices the two of them used most recently — two accounts on the same phone do not qualify.
Who sees what: the referrer sees only the number of successful and pending referrals — not who was referred, who their partner is, or how much they used the app. The referred person sees only the progress of their own referral.
How rewards are issued: if either of you uses an iPhone, the reward is an App Store offer code (1 month of You Pro) that you redeem in the App Store; the redemption and any subscription that follows are handled by Apple (see “Payments and subscriptions” above). If you both use Android, we extend your membership by 30 days directly. Whoever receives a reward gets a notification.
How long we keep it: see “How Long We Keep It” below.

What we never collect

Contacts, phone numbers, SMS, call recordings or call content, your whole photo library (only the photos you actively pick), browsing history, advertising identifiers (IDFA / GAID), or biometrics (Face ID / fingerprint is verified by the OS; the app only receives a pass / fail). Nor detailed health data, other than the weight you enter yourself, the periods you log yourself, and the heart rate you choose to sync — all three exist only if you turn them on (see above).

“Live voice talk” above is a clip you record and send deliberately by holding a button — not background recording. The app does not open the microphone when you are not holding it.

“Voice and video calls” above leave no audio or video either: we neither record them nor store anything that is said or shown. The “call recordings or call content” in this section refers to your phone’s own calls — which we likewise never touch.

What Your Partner Can and Cannot See

They can see: your live and historical location, trips and routes, arrival / departure alerts, whichever device and phone-activity items you enabled, your device presence timeline, all the shared content you create, the live voice clips you send them, your call log with them (voice or video, time, length and outcome — never the content), the calendar events you sync, your weight check-ins and expense entries, your mood status, your period entries and settings (both of you can see them, and either of you can log them for the other), your heart rate while you are sharing it, the flights you attach to anniversaries and their status, and whether you have looked at what they posted (read receipts).
They cannot see: your password, calendars you did not tick, photos you did not share, your contacts or call content, anything private in your other apps, or your payment details.
It is symmetric: you see theirs, they see yours. When you unpair, or either of you deletes their account, your shared space is closed and sharing stops immediately. Personal records such as location, status, period and weight become visible only to their owner; shared chats, moments, diary entries, anniversaries and the like enter a grace period (3 or 30 days, chosen by whoever unpairs — 3 days by default, and 3 days when an account is deleted) during which both of you can view them read-only, after which they are deleted. Pairing with each other again during the grace period restores everything.

One exception: if you are a Founding Member and choose to fill in a credit name, that name appears in the in-app credits list, visible to all signed-in users (the name and join order only — no email, location, or anything else). Leave it blank and nothing is shown.

What You Choose to Make Public (Public Moments)

This is the second exception, and the only one that involves your content. By default everything you create stays between the two of you. Content leaves that circle only if you set up a public profile yourself and then choose, post by post, to make something public.

Always public: your public name, your unchangeable six-character public ID, your public photo, and the text and photos of the public moments you post.
Public only if you switch each one on (all off by default, and you can switch them off again at any time): your bio, your birthday, and the number of days you have been together.
The birthday is month and day only — we never collect the year. A full date of birth is sensitive personal information; we do not need it and do not collect it.
“Days together” shows a number only — never the date, and never who your partner is.
Your public profile is completely separate from your shared space: your public name is not your nickname there, and your public photo is a separate image you upload. Your existing avatar and photos of the two of you never appear publicly.
Public photos are stored in publicly accessible storage so that every user can load them. That is what “public” means technically: once posted, anyone with the image address can reach it until the content is deleted.
Your partner can also see and delete the public moments you post. We do not allow an outward-facing identity inside an app for two people that the other person cannot see.
Blocking: you can block other users. Once blocked, neither of you can see the other’s public moments or react to them. We record only who blocked whom and when; the list is visible only to the person who blocked, and a blocked user cannot find out who blocked them. A block is kept until you unblock, or until either account is deleted.

When you set up a public profile we show you this notice once, separately, and ask for your agreement, along with a confirmation that you are 18 or older. Both confirmations are recorded on our servers as evidence of that choice. You can delete your public profile at any time; every public moment and photo you posted is deleted with it, and your private content is unaffected.

Public moments require You Pro or Founding Member status and an active pairing. If you have never set up a public profile, none of this section applies to you.

How We Use It

To show status, location, content and reminders between you and the one partner you are paired with.
To send the notifications you enabled (arrivals / departures, charging, low battery, shutdown, pokes, alarms, SOS, live voice, your partner’s event about to start, an arrival card for a place you reached, and so on).
To connect voice and video calls between the two of you, and to record each call’s type, when it happened, how long it lasted, how it ended and the quality settings chosen (see “Voice and video calls” above).
To bring the app back when sharing drops out, so the sharing you enabled resumes (see “Background restore call” above).
To keep the app running: sign-in, update prompts, crash fixes, abuse prevention, and keeping encrypted backups so the service can be restored if server data is lost (see “Security”).
To count aggregate numbers so we know the overall scale of usage.
To run referral rewards: recording referrals, checking whether they qualify, and issuing rewards (see “Referral rewards” above).
To summarise the signals we already collect into routine patterns the two of you see about each other, and — while a trip is in progress — to estimate the likely destination and arrival time shown on the trip card (see below).

We never use your data for advertising, for advertising or marketing profiling, for cross-app or cross-site tracking, for model training, or for sale to anyone. The routine patterns below are shown only between the two of you and are neither part of, nor ever used for, any of the above.

Routine patterns and arrival predictions

From the signals this policy already lists as collected (location and trips, charging, screen-on, and app usage time on Android), our server computes a summary once a day of each of your routines: frequent places, usual routes, and the times you typically wake up / go to bed / charge / leave home / come home. While your partner is on a trip, it also uses this to estimate the likely destination and arrival time (ETA), shown on the trip card and trip detail together with a dashed line along the route they usually take.

Nothing new is collected: everything is computed after the fact, on the server, from data already collected. As raw data expires per “How Long We Keep It”, the summary is rebuilt nightly from what remains (the last 45–60 days).
Fully symmetric, visible to the two of you only: whatever you can see about your partner, they can see about you (the “Us → Routine” page is identical for both). Never used for advertising, never shared with any third party.
No guessing when unsure: with too few samples or low confidence, predictions simply stay blank.
Display can be turned off: “Settings → Trip ETA prediction” controls whether predictions appear on your own device, and each trip card lets you hide the prediction for that one trip. The switch affects only what you see — the same patterns remain visible to your partner (symmetry), and the server-side summary continues.
Deletion: removed automatically within a day of unpairing, and immediately when you delete your account.

Staying up, waking up, and sleep estimates in the daily report

Besides the routine patterns above, two more features estimate your routine from when you use your phone. Again, only the two of you see the results.

Staying up and waking up: your phone works this out on the device. Unlocking it during the sleep hours you set (11 p.m. to 5 a.m. by default) records one “up late”. The first unlock within 7 hours after your sleep hours end records one “woke up”, with how many hours you slept, provided your phone had been locked for at least the minimum sleep length you set (3 hours by default). Each is recorded at most once per sleep. They are uploaded as activity events and, by default, your partner is notified (they can turn off “Notify me when your partner wakes up” and “Notify me when your partner is up late” in their notification settings); late nights are also counted in the Monthly Recap. They are deleted automatically with other events after 180 days.
Sleep in the daily report: when a day’s report is opened, our server looks at when you lit up the screen, sent messages, posted moments and so on that day, and treats the longest gap of 3–16 hours that ends on that day as that sleep; if you have not woken up yet today, it shows “Still asleep”. It appears in both of your daily reports. It is calculated each time the report is opened and not stored separately on our servers; where your device was not reporting during that stretch, it is marked as an estimate.
These are rough estimates based only on when you use your phone. They read no health data, make no medical judgement, and are never shared with any third party.

Who We Share With

Besides your partner, only the providers needed to run the service:

Provider	Purpose	Data involved	Privacy policy
Supabase	Database, file storage, authentication (Singapore)	All data described in this policy	supabase.com
Apple (APNs)	iOS push and Live Activities	Push tokens and notification content	www.apple.com
Google (FCM)	Android push	Push tokens and notification content	firebase.google.com
Google Play services	Fused location, geofencing and activity recognition on Android (only on devices with Google services; others fall back to the OS location provider)	Coordinates and motion state (processed on device)	policies.google.com
Agora	Real-time audio and video relay for voice and video calls (neither audio nor video passes through our servers)	The live audio and video streams (relayed in real time, never recorded or stored), the call’s channel number and its temporary credential, and the network information needed to connect (such as IP addresses)	agora.io
AMap Open Platform	Map rendering, reverse geocoding, place search, route snapping, static map thumbnails in notification cards (default in mainland China; newer iOS App Store builds do not use AMap for map rendering, place search or route snapping)	Coordinates	lbs.amap.com
MapTiler	Overseas base-map tiles for the MapLibre engine	Viewport coordinates	www.maptiler.com
Google Maps	Rendering fallback when Android views overseas locations	Coordinates	policies.google.com
Apple Maps / WeatherKit	iOS map rendering (from newer iOS builds, also driving-route planning for signal gaps in trip tracks: the coordinates at both ends of a gap are sent to Apple); home-screen weather and precipitation alerts on both platforms (Android and our server query it via our server)	Coordinates	www.apple.com
Open-Meteo	Home-screen weather only on Android builds released before the switch to Apple WeatherKit (queried directly from the device); newer builds and our server use Apple WeatherKit	Approximate coordinates	open-meteo.com
AeroDataBox (via RapidAPI)	Flight-status lookups for flight tracking (queried by our server, both platforms)	Flight number, departure date (no account or personal information)	aerodatabox.com · rapidapi.com
LocationIQ (Unwired Labs)	Overseas coordinates to place names, and overseas place search (queried by our server); newer iOS App Store builds also use it for reverse geocoding and place search in mainland China	Coordinates, search keywords	locationiq.com
Apple	iOS subscription billing; subscription status notifications (renewals, refunds, revocations); redemption of referral offer codes	Handled entirely by Apple; we receive only Apple-signed transactions and status notifications (transaction ID, product, expiry or refund time)	www.apple.com
Cloudflare (R2 object storage)	Storage for encrypted off-site backups (see “Security”)	Encrypted copies of the database and of files such as photos and voice clips; they are encrypted with a key only we hold before upload, so Cloudflare cannot read them	www.cloudflare.com
GitHub (GitHub Actions)	Runs the backup job: a temporary virtual machine, discarded after each run, fetches the data, encrypts it and uploads it to Cloudflare	The database and files, handled briefly during the backup before they are encrypted; discarded with the virtual machine when the job ends	docs.github.com

Each provider handles what it receives under its own privacy policy. Your map-engine choice is stored on your device only and is never uploaded.

We disclose data only where the law requires it, or where it is necessary to protect someone’s physical safety. Otherwise, we do not sell or share your data with any third party.

To diagnose faults and handle abuse reports, the developer holds technical access to the database. We access data only when necessary — for example when you write in about a problem — and do not browse users’ private content.

How Long We Keep It

Location history (track points)	Kept permanently if you or the partner you are currently paired with is a founding member; for all other accounts (You Pro and free), kept for one year, with points older than a year deleted automatically every day. Deleting your account removes every track point immediately
Status history (battery / screen / WiFi …)	Deleted automatically after 30 days
App-open records	Deleted automatically after 35 days
Device presence timeline	Deleted automatically after 30 days (aggregate exit-reason figures after 60 days)
Event history (arrivals / departures / charging …)	Deleted automatically after 180 days
App usage time (Android)	Deleted automatically after 14 days
“Send love”	Deleted automatically after 30 days; the one-line reply is also recorded as an activity event and deleted with other events after 180 days
Poke delivery receipts	Deleted automatically after 7 days
Crash reports	Deleted automatically after 90 days
Synced calendar events	Deleted 2 days after the event ends
Live voice talk	Deleted automatically after 7 days, audio file included
Call log (voice / video, time, length, outcome, quality settings)	Kept until you delete your account; the audio and video themselves are never stored
Mood status	Not deleted automatically; kept until you delete it or delete your account. The home screen and map show only the latest mood updated within the past 24 hours, and the mood page lets you both look back over the last 30 days
Time capsules	Not deleted automatically; before the opening time the writer can withdraw one, which deletes the letter; once opened it cannot be deleted in the app and is kept until you delete your account, or until the unpairing grace period ends
Duet shots	Not deleted automatically; kept until you delete the shot you took or delete your account, and deleted after the unpairing grace period
Meetups, photos, chat, diary, wishes, expenses, weight, alarms	Kept until you delete them or delete your account; content the two of you share is deleted after the unpairing grace period
Period entries and settings	Never deleted automatically; kept until you or your partner delete them, or you delete your account
Heart rate while sharing	Only the most recent reading (each beat replaces the last); deleted when you stop sharing, and automatically after two hours without an update
Flight tracking (flight details and timeline)	Data fetched from the provider is cleaned up automatically after about 6 days: timeline entries are deleted about 6 days after they are written; landed, cancelled or expired flights are deleted as a whole about 6 days after their data was last fetched; for flights still being tracked only the provider-supplied details are cleared, keeping the flight number, date and traveller you entered. Before that, it is deleted whenever you remove the leg, delete the anniversary, or delete your account
Anniversaries	Kept until you delete them, or until the grace period ends after you unpair or either of you deletes their account
Trips	Kept until you delete your account (trips cannot be deleted one by one in the app)
Routine summaries (frequent places / usual routes / routine patterns / trip predictions)	Rebuilt nightly from the last 45–60 days of data; deleted automatically within a day of unpairing, and immediately when you delete your account
Shared content after unpairing (chat, moments, diary, anniversaries and their flights, wishes, shared calendar plans, sticky notes, time capsules, duet shots, meetups, and space settings such as the chat background)	When the space is closed a grace period starts: 3 days (default) or 30 days, chosen by whoever unpairs; 3 days when an account is deleted. Both of you can view it read-only during that time, then it is deleted automatically (including photo and voice files). Pairing with each other again during the grace period restores it. Chat history is also stored on each of your phones; once the grace period ends, the copy on each phone is deleted the next time the app is opened. Personal records such as location, status, period, weight, call history and expenses are not included; after unpairing they are visible only to their owner
Referral rewards (codes, referrals, reward records)	Your referral code is kept until you delete your account. A referral is deleted when the referred person deletes their account; if the referrer deletes theirs, the referrer’s details are removed from it. Referrals that expired or were not eligible are deleted automatically after 365 days. Reward records are kept until the recipient deletes their account (offer codes already issued are kept for reconciliation, and their link to the recipient is removed when that account is deleted)
Encrypted off-site backups	One database copy a week and one file copy a day, rotated by count and kept for up to about 8 weeks. After you delete your account or content, the data can remain in backups for up to about 8 weeks before rotation removes it. Backups are used only to restore the service if server data is lost
Account and profile	Kept until you delete your account

Your Controls

Every permission can be revoked at any time, and each one affects only its own feature:

Permission	If you turn it off
Location	Collection and sharing stop immediately; no more place alerts, trips, or meetup records
Background location	Location updates only while the app is open
Motion & Fitness	No more “got in / out of a car” alerts
Notifications	You stop receiving alerts; everything else still works
Microphone	No voice or video calls, no chat voice messages, no SOS voice clips, and no live voice talk
Camera	Your picture is not sent in video calls (you can still answer and see your partner); no weight check-in photos
Photos	Moments photos cannot be saved to your device
Calendar	Event syncing stops (already-synced events can be deleted in the app)
Health (iOS / Apple Watch)	The watch stops reading your heart rate and heartbeat sharing ends; the reading already uploaded is deleted within two hours at the latest
Usage access (Android)	“App in use” and usage time are no longer shared
Notification access (Android)	“Now playing” is no longer shared
Phone / call log (Android)	Call activity is no longer shared
Install unknown apps (Android)	New versions downloaded from our site can no longer be installed from inside the app; you can still download and install them manually. The permission is used only to install You’ itself and reads no data

Manage these in iOS Settings → Privacy & Security, or Android Settings → Apps → You’ → Permissions. In-app you can also turn off “let my partner set alarms for me”, “let my partner send me live voice” and “let voice bypass my silent mode”, “background restore call” (iOS), “trip ETA prediction” (display on your own device only; each trip card can also hide its own prediction), calendar syncing and individual notifications, and enable the privacy lock (Face ID / fingerprint to open the app).

Delete individual items: moments, photos, diary entries, place alerts, expenses, weight records and period entries can all be deleted one by one in the app. Trips are the exception — the app offers no per-trip delete; trips are removed when you delete your account. To have a single trip deleted, email us (see the next item).
Unpair: your shared space is closed and sharing stops immediately. Personal records become visible only to their owner; shared content stays read-only for both of you during the grace period (3 or 30 days, your choice), then it is deleted. Nobody can join a closed space, and its invite code stops working.
Delete your account: Settings → Account → Delete Account. Your profile, pairing, location and status history, photos, voice clips, chat and all the content you created are removed from our servers immediately and cannot be recovered, and the chat history saved on that phone is deleted too; copies in our encrypted backups remain for up to about 8 weeks and are then removed as the backups rotate (see “How Long We Keep It”). If you had set up a public profile, the image file of your public photo is removed by a cleanup job that runs once a week: it is normally gone within 8 days of deleting your account (or your public profile), and until then anyone who has its original image address may still be able to open it.
What the two of you made together belongs to both of you. Shared content with no single author, such as anniversaries and the chat background, is not deleted the moment you delete your account — the space is closed, your partner can still view it read-only for 3 days, and then it is deleted automatically. The shared space itself only keeps a “closed” record: its invite code stops working and nobody can join it.
You can also email us and we will delete your data for you, or send you a copy of it.

To the extent the laws of your region apply, you have the right to access, correct and delete your personal information, withdraw consent, and obtain a copy of your data. Use the in-app controls or email us (we normally reply within 30 days).

Security

All traffic is encrypted with HTTPS / TLS.
The database enforces row-level security: each row is restricted at the database layer so only you and your partner can read or write it — this does not rely on the app behaving correctly.
Photos, voice clips and other files live in a private bucket, reachable only through short-lived signed links, and cannot be crawled publicly.
Passwords are stored hashed; not even the developer can see them.
Encrypted off-site backups: every week for the database and every day for files such as photos and voice clips, data is encrypted with a key only we hold before upload and stored separately with Cloudflare, so it is not lost if our servers fail. Backups are used only to restore the service (and to check from time to time that a restore works), never for anything else.
That said, no system is ever 100% secure. Please use a unique password for your account.

International Transfers

Our servers are in Singapore. If you use the app from mainland China, Japan, or anywhere else, your personal information is transferred to Singapore and stored and processed there. Full details of that overseas recipient:

Overseas recipient	Supabase, Inc. (servers in Singapore)
Contact	Its privacy policy and contact channel: supabase.com/privacy
Purpose	Storing and reading your data solely to deliver the features described under “How We Use This Information”
Method	Storage at rest plus reads and writes governed by row-level security, and server-side summaries needed for app features (trip / stay derivation and the routine patterns above, visible to the two of you only). No advertising profiling, no external analytics, no onward disclosure
Categories	All data listed under “What We Collect”, including sensitive information such as precise location and movement history, health (weight) and expense records
Retention	As stated under “How Long We Keep It”
Exercising your rights	Access, correction and deletion are all self-service in the app (data is removed from the overseas servers immediately). You can also email yangmt0409@gmail.com and we will raise it with the recipient on your behalf, normally replying within 30 days

Besides Supabase, the following providers may also process data outside mainland China — see “Who We Share With” above for the data involved and each provider’s policy: Apple (iOS push, Live Activities, subscriptions), Google (Android push; overseas map rendering fallback), Agora (real-time audio and video relay for voice and video calls, on worldwide nodes; relayed only, never recorded or stored), MapTiler (overseas base-map tiles), Open-Meteo (home-screen weather on older Android builds only, being phased out), LocationIQ (overseas place names and place search), AeroDataBox / RapidAPI (flight-status lookups; they receive only the flight number and departure date), Cloudflare (storage for encrypted backups; it receives only encrypted copies), GitHub (temporary virtual machines that run the backup job and briefly handle the database and files).

Separate consent and withdrawal: the transfer is consented to separately. After you accept this policy, the app shows one more screen about the transfer alone, and you tap “Agree to the transfer and continue”. Until then we start no collection and write nothing abroad. You can end the transfer at any time by deleting your account — your data on the overseas servers is deleted with it (for content you created together, see the exception under “Your Controls”).

Children

This app is designed for adult couples and is not directed at children. Users under 18 should use it with a guardian’s consent. Anyone under 16 may not use it. You must tick an age declaration when you sign up (confirming you are at least 16 and, if under 18, that you have your guardian’s consent) before an account can be created. We do not knowingly collect children’s personal information; if we discover any, we delete it promptly — please contact us if you believe this has happened.

Public moments have an additional gate: setting up a public profile requires a separate confirmation that you are 18 or older. We do not collect your actual age (the birthday is month and day only), so this is a self-declaration rather than age verification.

Changes to This Policy

When a feature change affects what we collect, we update this policy and change the “last updated” date at the top. After an update the app asks you to accept it again on launch, showing the key points with the full text available on the same screen — until you do, we neither collect nor use your data and no features are available. You can re-read this policy and the Terms any time under Settings → About.

Contact

Privacy questions, complaints, data copies and deletion requests: yangmt0409@gmail.com (person in charge of privacy: Maitong Yang)