隐私政策

你给的（账号信息）：邮箱地址。如果用 Google 登录，还有 Google 提供的姓名和头像 URL。如果你设置了显示名/头像 emoji，也会保存。

你产生的（茶饮记录）：体质问卷答案、药材柜内容、每日签到（感觉、水量、flags）、收藏的方子、AI 生成的方剂、生成方剂时输入的文字描述、月度回顾、女性用户的周期数据（若启用）、健康问卷（过敏、孕哺、病史 — 仅在你主动填写时）。

我们自动收的（最少必要）：匿名使用事件（你打开了哪些页面、点了哪些按钮 — 用来改产品，不绑定到具体身份）；技术日志（设备类型、浏览器、IP 地址 — 仅短期保留用于排错）。

我们不会用第三方追踪 cookie，不会做跨站追踪，也不会构建广告画像。

• 提供服务本身 — AI 出方、签到追踪、月度回顾、跨设备同步。
• 改进产品 — 通过聚合的、匿名的使用数据看哪些功能有用、哪些没人用。
• 排错和安全 — 短期保留的技术日志，用来追踪 bug 和滥用。
• 和你沟通 — 服务变更、安全通知、（如果你订阅了）账单提醒。我们不发营销邮件 unless 你勾选了 newsletter。

本地优先：大部分茶饮记录默认存在你设备的浏览器 localStorage 里。哪怕你不登录也能用，所有数据都在你本地。

云端同步（仅登录后）：你登录之后，体质、药材柜、签到、收藏等会同步到 Supabase（PostgreSQL，托管在美国 AWS us-east-1）— 这样你换设备也能看到自己的数据。同步是端到端可加密的连接，但数据库本身按行级权限隔离，不是端到端加密。

AI 调用是临时的：你点 AI 生成方剂的时候，我们把你输入的文字（症状描述、体质、药材柜）发到 OpenAI 和/或 Anthropic 的 API。我们不在他们端落库；他们的合同条款承诺不用此类数据训练模型。

我们用以下服务来跑这个产品。它们各自有自己的隐私政策。

• Supabase — 账户 + 数据库 + Auth（美国）。
• Vercel — 应用托管 + 边缘网络。
• OpenAI / Anthropic — AI 模型（出方 + 月度回顾）。仅 API 调用，不落库训练。
• PostHog — 匿名产品分析。我们用它的事件追踪，不开 session replay，不绑定到身份。
• Google — 可选 OAuth 登录（仅在你点 Google 登录时）。
• Stripe — 未来订阅付款。我们绝不接触你的信用卡号 — 全部走 Stripe。

我们不卖你的数据。我们不和第三方广告网络分享。

不论你在哪个司法辖区，下面的权利都对你生效：

• 查看 — 在 /settings 里能看到所有储存的数据。
• 导出 — 在 /settings → 数据 → 导出 下载完整 JSON。
• 更正 — 应用内随时可以改你输入的任何数据。
• 删除 — 在 /settings → 危险区 一键清空全部本地数据；写信给我们删除云端账号。
• 撤回同意 — 你随时可以登出（停止同步）或不再使用产品。

欧盟（GDPR）/英国/巴西（LGPD）/加州（CCPA）/中国（PIPL）用户额外享有当地法律授予的权利（投诉权、数据可携权等）。要行使这些权利，写信到 hello@teatheory.co — 我们 30 天内回复。

我们用浏览器 localStorage 来记住你的体质、药材柜、签到等本地数据。这是必要的功能性存储，不是追踪。

登录之后会用一个 Supabase auth cookie 来维持会话。

PostHog 的事件分析用一个匿名 distinct_id（一段随机字符串），不绑定真实身份。你可以在 /settings 关闭分析。

本服务面向 13 岁以上用户（欧洲/英国 16 岁以上）。我们不主动收集儿童数据。如果你是家长发现自己孩子在用，写信给我们删除。

购买订阅需要满 18 岁，或者由家长/监护人代理。

你在体质问卷、签到 flags、健康问卷、周期日记里输入的内容属于敏感的健康相关数据。我们对它有额外的小心：

• 本地优先 — 不登录的话，这些数据从不离开你的设备。
• 登录后只有你自己能看见 — Supabase 行级安全（RLS）按 user_id 隔离。
• 我们不卖、不共享、不用做广告，也不和第三方健康/保险/雇主分享。
• 本服务不是 HIPAA covered entity（美国医疗法），也不构成医疗建议 — 详见服务条款里的 AI & 健康免责。

我们的服务器在美国。如果你在欧盟、英国、中国或其他国家用，你的数据会被传输到美国。

对于欧盟/英国数据传输，我们依赖 Supabase 提供的 SCC（标准合同条款）。中国大陆用户的数据流程仍在评估中 — 在我们获得相应 PIPL 合规之前，强烈建议中国大陆用户仅以本地不登录方式使用。

传输全程 TLS 加密。后端密钥用 Vercel/Supabase 的 secret 存储管理。账号密码用 Supabase 的 bcrypt 哈希（如果用邮箱+密码）。

没有哪个系统是 100% 安全的。一旦发生数据泄露，我们会在 72 小时内通知受影响的用户，并向相关监管机构报告（如适用）。

账户数据：你保留账号期间一直存。删除账号后 30 天内永久清除（除非法律要求保留）。

技术日志：90 天滚动删除。

AI 调用：我们不在自家库里持久化 prompt 或 response 内容（除非你显式收藏方剂）。

我们可能会更新这份隐私政策。重大变更（比如新的第三方服务、新增数据类别）会在变更生效前 30 天通知你（应用内 + 邮件）。日期戳就是上面那个。

数据相关的问题、要求导出/删除、或 GDPR/CCPA/PIPL 行权请求 — 写信到：

hello@teatheory.co

TeaTheory · 独立开发 · 全球范围。运营主体地址在我们正式注册公司后会更新到此处。