清楚说明家人的隐私。

我们是谁

Dial Santa（“我们”）是一款由家长主导的娱乐应用：成人完成设置并购买分钟，孩子与家长或监护人一起使用。本政策适用于 Dial Santa iOS 应用和本网站。

我们收集什么

• 家长邮箱。这是你的账户。我们用它帮助你登录（一次性验证码，无需密码）、关联购买的分钟，并发送购买收据。加入网站上线等候名单是另外一项自愿选择。
• 你提供的通话个性化信息。孩子的名字，以及可选的年龄、城市、愿望清单或好事——由家长自行决定填写内容。这些信息用于让圣诞老人问候孩子并进行真实对话。
• 购买记录。你何时购买了哪个分钟套餐。应用内购买由 Apple 处理，网站购买由 Stripe 处理，我们从不查看或存储银行卡号。
• 基本通话记录。通话时间和时长，以便准确计量分钟，并退回失败通话的费用。

上线等候名单

网站等候名单仅供成人加入。加入后，我们保存邮箱、报名日期及你的同意记录，以便在 Dial Santa 上线时发送一封邮件。加入不会创建应用账户或购买任何内容。我们不会自动将应用账户邮箱加入等候名单，也不会将该名单用于无关营销。

等候名单邮箱保存在 Railway 数据库中，直到我们发送上线通知或你要求移除。上线前如需退出，请发邮件至 hohoho@dialsanta.app。删除应用账户也会移除匹配的等候名单邮箱。为防止垃圾报名，我们会短暂保存经密钥处理、无法直接读取的报名 IP 地址版本，一小时后失效。

网站语言

你可以通过语言选择器选择网站语言。选择会保存在浏览器本地并包含在链接中，让你浏览时保持同一语言。我们不会请求你的位置。

可选应用分析

在提供“帮助改进 Dial Santa”的应用版本中，这项独立选择默认关闭。如果家长开启，我们的 API 会向 PostHog（美国托管）发送所选应用步骤、验证和初始设置结果、语言、所选角色、来源类别、通话连接结果、可选反馈选项，以及已验证购买或退款的金额、产品和币种。随机应用标识符和家长账户标识符会跨会话及已登录设备关联这些事件。这些标识符是化名化的，而非匿名：我们的服务可将家长 ID 与账户关联。网站衡量不与其关联。我们不向 PostHog 发送名字、邮箱、儿童资料、表单输入、通话音频、文字记录、视频、录制或广告标识符。没有会话回放或自动交互采集。位置补充已关闭，事件通过我们的服务器到达 PostHog。

在“家长”中关闭“帮助改进 Dial Santa”，可停止来自该设备的今后应用事件。设备重新联网时，账户偏好会传达至服务器；关闭不会删除已接收事件。退出登录会清除本地分析队列并更换设备随机 ID。删除账户会将关联的 PostHog 人物记录和事件加入删除队列，验证完成前显示清理待完成。从未关联账户的事件可能保留；数据请求请联系支持。分析记录会保留用于产品报告，直到删除或适用保留期结束。此选择不影响通话、购买或活动访问。

通话过程中发生什么

此处说明的账户同意流程适用于版本 1.0.2（构建版本 40）及以后版本。TestFlight 构建版本 39 具有 AI 专用权限控制及“家长”中的撤回控件，构建版本 40 中没有这些控件。

通话是与 AI 角色的实时对话。家长邮箱页面底部显示带链接的说明：“继续即表示你确认已阅读并同意我们的隐私政策、条款与条件及 EULA。”选择“继续”会暂存该同意，在同一邮箱完成验证后记录。已登录但没有当前同意记录的用户，会在通话前看到“继续”和“暂不”以及同样的链接说明；仅为该同意无需重新验证邮箱。本政策说明 AI 数据共享和服务商名称，应用中没有独立的 AI 共享面板。iOS 麦克风权限另行处理。孩子的声音会被实时处理，以便角色听见并回应。摄像头自我预览保留在设备上，不会发送给 AI 服务商或我们的服务器。可选的本地录制会包含该自我预览。

• 录制默认关闭。可选的屏幕和声音录制保留在你的设备上。ElevenLabs 语音录制已禁用，其智能体设置为以零天保留期删除对话音频和文字记录。这不是 ElevenLabs 企业级 Zero Retention Mode。LiveAvatar 可能保留文字记录、会话记录和个性化上下文。删除账户会请求删除 ElevenLabs 对话及 LiveAvatar 上下文和事件，并验证 LiveAvatar 文字记录为空。该操作会停止 LemonSlice 会话，但不会验证任何历史 LemonSlice 日志或媒体是否已删除。服务商的技术、安全、计费及法律要求记录可能适用其他保留期限。
• 开始通话时，孩子的名字、可选的年龄、城市、愿望清单和好事，以及所选语言会发送给 Dial Santa。我们的后端将相关信息传给下列服务商，以定制对话。口述内容、文字记录和生成的回复也可能包含个人信息。请只分享你希望角色知道的内容。
• 圣诞老人的设计要求是不向孩子索取个人信息，也不承诺具体礼物。

可选通话录制

在支持的通话中，“录制”会捕获通话屏幕（包括摄像头自我预览）和双方声音。可见的录制控件可让你停止录制。将麦克风静音也会使录制中的你的声音静音。通话结束或应用进入后台时，录制停止。

录制内容是设备上的临时文件。Dial Santa 不会将其上传到我们的服务器或用于广告。通话后，你可以预览、删除或选择“保存到照片”。保存时只申请向图库添加视频的权限，不读取已有照片。如果保存失败或权限被拒绝，录制仍会保留在通话结束页面，供你重试。

如需保留录制，请保存到“照片”。未保存的录制会在你丢弃、确认删除后离开通话回顾页面，或重启应用时移除。已保存到“照片”的视频由你的“照片”和 iCloud 设置控制。删除 Dial Santa 账户不会删除已保存到“照片”的视频；请自行在“照片”中删除。

服务商

以下公司支持本应用。通话服务商会为所述目的接收以下数据：

• ElevenLabs 处理麦克风音频、文字记录和个性化信息，为圣诞老人、圣诞奶奶和彗星生成回复和声音。其语言模型处理使用 OpenAI 处理对话和资料文本，包括需要备用模型时。HeyGen (LiveAvatar) 接收生成的语音，为圣诞老人和圣诞奶奶制作动画；备用通话模式还会在那里处理麦克风音频、文字记录和个性化信息。LemonSlice (Infinity AI, Inc.) 接收生成的语音，为彗星制作动画。生成的语音可能重复通话中分享的细节。
• LiveKit 传输圣诞老人和圣诞奶奶的通话；Daily 传输彗星的通话。它们传输加密的麦克风音频、角色音视频、字幕、文字记录事件和会话标识符，不包含你的摄像头自我预览。服务商也会处理连接和服务运行信息。
• Apple、Stripe 和 RevenueCat — Apple 和 Stripe 通过各自支付服务处理购买和收据。RevenueCat 接收不含直接身份信息的账户标识符及 Apple 交易信息，以验证和报告应用内购买。我们不会向 RevenueCat 发送儿童资料、语音录制或通话内容。删除账户时，我们会请求删除对应的 RevenueCat 客户记录。
• Railway — 托管我们的服务器和数据库（位于美国）。
• Meta — 衡量哪些 Dial Santa 广告带来了应用安装。家长注册并验证邮箱后，应用中的 Meta SDK 会一次性发送安装和应用打开事件，包含设备型号、iOS 版本、语言、时区及应用专属匿名 ID 等基本设备信息。以后再次打开应用时，SDK 不会重新启动。只有你在 iOS 询问时允许跟踪，Meta 才会收到设备广告标识符。自动事件记录、自动高级匹配和 Meta 崩溃报告已关闭，Meta 的 Limited Data Use 设置已开启。我们不会向 Meta 发送儿童资料、名字、年龄、声音、通话内容、邮箱、账户信息或购买记录。Meta 已收到的信息依其自身政策处理。

服务商保护措施包括加密传输，以及适用条款中的安全、访问和权利承诺。HeyGen、ElevenLabs、LiveKit 和 Daily 的数据处理条款涵盖处理指令、保密、安全及分包处理商，各自范围和保留规则不同。我们从不出售个人信息。

我们已关闭 ElevenLabs 工作区针对新提交数据的模型训练偏好；这不会清除历史数据。各服务商允许的用途也有所不同。HeyGen 的政策允许将部分非企业方案数据用于模型训练，除非适用的退出选择生效。LemonSlice 的条款允许改进产品和训练模型，其隐私政策说明保护措施及保留规则。这些并不是普遍的不训练或零保留承诺。如需向服务商申请数据访问或删除，请联系我们寻求帮助。

儿童隐私

Dial Santa 由家长操作。账户、购买和设置由成人完成；涉及付款、隐私控制或离开应用的操作受家长验证保护。在家长按上述方式接受带链接的账户条款和隐私政策后，我们仅收集家长代表孩子填写的信息（例如名字），以及上述实时语音处理数据。Dial Santa 不展示第三方广告。广告衡量由家长在注册时接受，在家长邮箱验证后进行一次，可在“家长”中关闭，且从不接收儿童资料或通话数据。我们遵循 COPPA 原则：最少收集、家长同意、不向儿童投放行为广告，以及由家长控制删除。

你的选择与权利

• 删除账户：打开“家长 → 账户 → 删除账户”，验证邮箱并确认。我们会从活动数据库移除账户邮箱、分钟余额和通话记录，并清除此设备上的儿童资料和历史记录。其他已登录设备下次联系服务器时会退出登录并清除本地账户数据。通话服务商清理会在后台自动运行，并在临时故障后重试。清理通常需要几分钟；临时中断可能导致更长时间。请在“家长 → 账户”查看完成确认，或联系支持。
• 退出登录：打开“家长 → 账户 → 退出登录”。购买的分钟仍与邮箱关联，而该设备上的儿童资料和本地历史记录会被移除。
• 查看数据：联系支持申请访问。
• 停止今后的通话共享：结束当前通话，不再发起新的 AI 通话。你可以在“家长 → 账户”退出登录；重新登录前，该设备无法发起新的在线通话。离线活动仍可使用。构建版本 40 的“家长”中没有 AI 共享开关。停止通话或退出登录不会清除已处理的数据。如需删除，请删除账户或联系支持。
• 广告衡量：打开“家长 → 隐私与安全 → 关闭广告衡量”。此后 Dial Santa 不再从该设备向 Meta 共享信息，即使重新登录也一样，且你会保持登录。你也可以拒绝 Apple 的跟踪提示，或在“设置 → 隐私与安全性 → 跟踪”中关闭，以不提供广告标识符。美国部分州隐私法可能将为广告衡量共享设备信息视为“共享”个人信息；“家长”中的控件可让你在设备上退出，也可发邮件联系我们。
• 删除账户会移除未使用的分钟，但不会自动退款。需要退款帮助，请联系支持。

安全与保留

所有流量均在传输中加密（HTTPS/TLS）。登录验证码仅以单向哈希形式保存，10 分钟后失效。在账户存在期间，以及税务和会计要求的期限内，我们保留账户和购买记录；通话计量记录只保留至确保计费准确所需的时间。删除账户后，我们保留经密钥处理的账户摘要和支付引用，以防旧凭证或重复付款通知恢复已删除账户。支付处理商可能保留交易记录。临时服务商删除任务会保留完成下游删除所需的引用，任务完成后移除。服务商清理受上述限制约束；独立的技术、安全或法律记录可能按服务商条款继续保留。

变更

2026 年十月 7 日：说明提供“帮助改进 Dial Santa”控件的应用版本所使用的可选 PostHog 应用分析。

2026 年十月 7 日：在网站新增 Meta Pixel，欧洲显示同意横幅，页脚提供广告衡量控件。

2026 年十月 1 日：澄清 AI 数据共享、接收方、服务商条款和保留限制；更新构建版本 40 的账户同意流程及通话控制说明。

2026 年九月 30 日：新增通过 RevenueCat 验证和报告 Apple 应用内购买，以及删除客户记录。

2026 年九月 23 日：新增网站语言偏好，并澄清 Apple 和 Stripe 的支付处理。

如对本政策作出重要变更，我们会在生效前更新上方日期，并在此页面注明。

2026 年九月 18 日：新增可选的网站上线等候名单及退出方式。

2026 年九月 17 日：新增注册时通过 Meta 进行的一次性安装衡量及“家长”中的关闭控件，并澄清通话服务商可能保留文字记录，直到你删除账户。

联系我们

问题、数据请求或其他事项：hohoho@dialsanta.app