中文 Tusk 隐私政策
本政策说明您使用 tusk.best 网站、Tusk 应用及相关服务时会处理哪些个人数据、处理目的、数据接收方以及您管理自身数据的方式。本政策同时也是数据处理者关于个人数据处理的政策。
具体处理范围取决于版本、平台和您选择的功能。仅打开网站不会向我们传送任务或日记的内容。本政策用于告知数据处理情况，不能替代法律要求的同意。使用网站或接受《用户协议》，本身不构成对任何数据处理的概括同意。
1. 一般规定
“数据处理者”或“我们”指提供 Tusk 并组织个人数据处理的主体。其登记信息及联系方式见第15节。
本政策适用于网站访客、应用用户、账户持有人、共享参与者、购买者及联系支持的人员。外部网站、应用商店和支付服务独立进行的数据处理，还受其各自规则约束。
2. 数据及处理目的
2.1. 网站及网络连接
您通过网络发出请求时，服务器和基础设施提供商会接收 IP 地址、时间、请求资源的地址、请求结果以及浏览器或应用和操作系统的信息。这些信息用于提供页面和文件、运行服务、防止滥用和排查故障，并可能记录在技术日志中。
2.2. 账户及身份验证
账户使用电子邮箱地址、账户和登录提供商的标识符，以及邮箱验证和身份验证信息。通过 Google 登录时，可能接收 Google 提供的姓名和头像。根据可用的邮箱登录方式，密码由 Firebase Authentication 或 Tusk 身份验证服务处理。Tusk 自有服务保存用于验证的受保护密码表示形式，而非明文密码。验证结果和令牌用于提供和保护访问权限。
邮箱用于验证地址、恢复访问、回复咨询，以及发送有关账户、购买、安全和服务重大变更的必要通知。广告邮件需要另有合法依据，包括在法律要求时事先取得同意。
2.3. 任务及规划
应用处理您创建的任务名称和描述、子任务、列表、标签、计划、日期、提醒、完成和跳过记录、数值目标、计时器、模板、休息日、外观设置和技术标识符。这些数据用于规划、通知、统计、成就和执行您的指令。
本地使用时，数据保存在设备上。启用云同步后，数据会传送至 Tusk 服务器、保存在服务器上并发送至您的其他设备。普通同步任务不采用仅由您读取内容的端到端加密。并非所有本地文件和导出文件都经过加密。
2.4. 日记
日记包含您的条目、页面、分区结构及技术信息。在云端存储时，其内容以加密形式传输和保存。密钥访问能力取决于所选模式：
- 通过账户恢复。Tusk 使用服务器端保护措施保管和恢复密钥。此模式并不意味着数据处理者在技术上无法恢复密钥。
- 由您管理密钥并采用端到端加密。解密取决于您的秘密信息以及受信任设备上的密钥。不提供通过账户密钥进行服务器端恢复的功能。丢失必要的秘密信息和受信任副本，可能导致日记无法访问。
本地锁定与端到端加密是不同的保护措施。更改模式不会自动删除此前导出的文件和外部副本。日记不包含在供支持使用的任务诊断快照中。
2.5. 共享
共享时会处理您选择的内容、参与者及其标识符、邀请、角色、权限和对共享资料的操作。参与者仅在获得授权的范围内接收数据。撤销访问权限不会自动销毁其已导出的文件、截图或独立保存的副本。
2.6. 购买
为提供试用和付费访问、验证和恢复购买、防止重复使用购买凭证及处理退款，会使用账户标识符、产品、金额和币种、订单和交易标识符、日期、付款状态及访问期限。法定收据所需的联系信息用于办理结算。
完整银行卡信息和安全码在支付提供商或应用商店处输入。Tusk 支持人员不会要求您提供这些信息，Tusk 的购买数据库也不保存完整银行卡信息或安全码。
2.7. 支持
支持请求包含类型、主题、正文、回复地址、编号和发送时间。应用可能附加版本和构建号、平台、错误信息及运行环境，包括设备型号、系统版本、语言、时区、屏幕、缩放和字体设置。网站要求提供回复地址；应用内该地址可能为可选项。这些数据用于回复和分析问题。
请勿在自由文本中发送密码、令牌、支付信息以及有关您本人或他人的多余信息。您填写的内容会成为支持请求的一部分。
3. 自愿提供的任务诊断快照
在应用的反馈表单中发送咨询前，您可以检查并更改是否附加任务快照。您可以不附加快照而发送咨询；仅选择该选项本身不会发送任何内容。
快照包含经过转换的任务、列表、标签、计划、完成记录、计时器、休息日和设置的结构副本。文本、标识符、图标及部分其他值会被转换，某些技术字段会被删除。复现问题所需的关联、日期和数值参数会保留。因此不能保证快照完全匿名。快照可能包含从日历导入任务的转换后信息。
日记、加密密钥、密码、身份验证令牌和银行卡数据不包含在快照中。快照仅为分析请求而传送至 Tusk，采用加密方式单独保存，并向获授权的开发人员提供，访问会被记录。快照不用于广告，也不会作为附件发送至 Crashlytics。
自接收之日起最多保存30天。如需提前删除，请联系 support@tusk.best 并提供请求编号。网站不会自动附加任务快照。
4. 自动诊断及安全
Tusk 报告。 为发现和修复启动、保存、同步及恢复过程中的故障，应用会将自动收集和发送最少必要的技术错误报告作为其运行的一部分。报告可能包含随机的安装与启动标识符、应用版本与构建号、平台、可用的设备及系统参数、错误类型、经清理的调用堆栈、允许列表中的技术事件及重复次数。报告不包含任务和日记内容、消息、照片和视频、密码或令牌。报告不用于广告。
这些报告的收集和发送没有用户关闭开关，也不要求打开反馈表单。无网络时，报告会保存在设备上容量有限的队列中，直至重试或到期；重复故障会合并。无法保证在所有情况下都能送达。此类处理适用本政策所述的法律依据及用户权利。
Firebase Crashlytics。受支持的 Android、iOS 和 macOS 版本使用 Google 提供的独立崩溃诊断服务。它会接收有关错误和设备的技术信息、安装标识符、系统和应用版本。异常消息可能包含与错误相关的数据片段。有关诊断和数据删除的问题可联系数据处理者。
freeRASP / Talsec。移动版本会检查应用及设备的安全性，包括应用修改、root、jailbreak、调试和环境伪装迹象。Talsec 会接收检测结果、安装和设备的技术标识符及 IP 地址。为防止滥用，提供商可能根据 IP 推断大致位置和网络运营商。根据其条款，这些信息还用于改进安全产品及综合安全研究。没有姓名并不意味着这些数据完全匿名。
5. Google Calendar 及其他连接
日历由您选择通过 Google 授权连接。Tusk 会获取授权范围内可访问的事件信息，包括名称、描述、日期、时间、时区、重复规则和标识符。导出和同步时，所选任务的相关信息和技术标识符会传送至 Google。访问范围会显示在授权页面上。
数据用于您选择的规划、导入和同步功能。如果导入的任务参与 Tusk 云同步、共享、导出或自愿提供的快照，则适用本政策相应章节。除 Google 规则允许的依据外，人员不会查看 Google 信息，例如您单独授权排查问题，或为保护安全确有必要。
对 Google API 所获信息的使用遵守 Google API Services User Data Policy，包括 Limited Use 要求。这些信息不用于广告、出售数据或训练通用人工智能模型。
您可以在 Tusk 中关闭导入和导出，并通过 Google 账户连接撤销访问授权。这不会自动删除已导入的任务和已在 Google 中创建的事件，应在相应服务中删除。旧版本可能使用 Google Tasks、Facebook 登录，以及 Cloud Firestore 进行同步、支持请求和归档；相关处理取决于您使用的功能。旧版本还可能从 Google Fonts 加载字体。
6. 设备、Hulp 及导出
- 通知。相关权限用于显示和安排提醒。根据系统设置，内容可能显示在锁定屏幕上。
- 麦克风。当您启用 Hulp 听写时，受支持设备会在本地进行语音识别。我们不会将声音和指令文本发送至外部生成式人工智能。您自行选择的系统键盘或听写服务受其各自规则约束。
- Hulp。内置助手在设备上解析指令。结果按普通操作处理，例如新建的任务可能会同步。对话上下文仅用于当前会话；Hulp 不会另行创建与外部语言模型对话的云端历史记录。
- 生物识别。本地解锁时，我们接收系统验证结果。用于该验证的指纹模板和人脸图像不会传送给 Tusk 数据处理者。
- 文件。备份、CSV、PDF 和其他导出会将所选信息写入文件，或传送至您选择的应用。接收方和云盘按其各自规则处理数据。请根据副本内容妥善保护副本。
您可以在设备设置中撤销权限；相关功能可能因此无法使用。普通规划不需要 GPS。提供商根据 IP 推断大致位置属于另一项数据处理。
7. 法律依据及处理方式
数据仅为明确目的，在必要范围内处理。处理包括接收、记录、整理、存储、更新、使用、向获授权接收方提供、限制、删除和销毁。处理使用自动化方式，也可能由获授权人员参与，例如回复支持请求。
- 应您要求订立的合同：账户、所选云功能、购买、访问及相关请求；俄罗斯联邦第152-ФЗ号联邦法律第6条第1款第5项。
- 法定义务：结算文件、合法请求及数据主体权利；第152-ФЗ号法律第6条第1款第2项。
- 以尊重您的权利为前提的合法利益：在法律允许的范围内保护账户、防范欺诈、保障服务安全和稳定；第152-ФЗ号法律第6条第1款第7项。这不能替代依法必须取得的同意。
- 单独同意：自愿提供的诊断附件、广告及法律要求同意的其他情形。该同意与接受用户协议分开取得，且可撤回。
如适用 GDPR，则根据上述目的，依据 GDPR 第6条，以合同、法定义务、合法利益或同意作为相应依据，并在必要时遵守附加条件。我们不对用户作出产生法律后果或类似重大影响的完全自动化决定。
并非所有可能的数据都是必需的。拒绝提供数据只影响相应功能：缺少必要账户数据便无法关联云服务，缺少购买验证便无法提供付费访问，缺少日历授权便无法连接日历。拒绝提供快照不影响提交请求。
请勿在非必要情况下填写健康、宗教、政治观点或其他特殊类别的数据。使用和传送他人信息时，您应具有合法依据。
8. 接收方及处理国家
数据处理者和获授权人员仅为运行服务、提供支持、保障安全和遵守法律而访问数据。向供应商提供其职责所必需的信息时，会遵守合同和法律要求。
- Tusk 基础设施。网站和服务器功能使用位于俄罗斯的 Cloud.ru 基础设施。托管、存储、密钥保护和服务邮件发送提供商，为提供这些服务而处理信息。
- Google / Firebase。身份验证、日历、Crashlytics 及上述旧版本功能。详情请见 Firebase 规则及 Google 隐私政策。
- Talsec。第4节所述的安全检查和技术数据；请见 freeRASP 规则。
- YooKassa / YooMoney、银行、Google Play 及 App Store。根据购买渠道处理付款、购买验证和恢复、退款及结算文件。
- 您选择的接收方：共享参与者，以及您向其传送数据的日历、应用和服务。
- 主管机关及其他人员：在具有法定依据时，按所要求的范围提供数据。
外国供应商可能在俄罗斯境外处理信息。根据 Google 的文档，Firebase Authentication 在美国处理数据；其他 Google 服务还使用全球基础设施。Tusk 服务器设在俄罗斯，并不意味着所有处理参与方都在俄罗斯。您可以向数据处理者询问具体传输适用的接收方、国家和保障措施。
俄罗斯公民数据的处理受适用的数据本地化和跨境传输要求约束。必须在相关处理开始前完成强制通知及其他程序；接受本政策不能替代这些程序。如适用 GDPR，向相应地域之外传输数据须具有其规定的依据和保障措施；有关信息及可获取的副本可向数据处理者索取。
我们不出售个人数据，也不向广告中介提供任务、日记和日历内容用于个性化广告。
9. 保存期限
- 账户及云端数据：在您使用相应功能且履行合同仍有必要期间保存，直至删除数据或账户；依据消失后，在法定删除期限内处理。退出账户或卸载应用不会删除云端账户。
- 通过 Tusk 表单提交的请求、上下文及服务器上的快照：自接收之日起最多30天。Tusk 自身的自动诊断事件同样最多保存30天。不包含请求正文和快照的错误重复情况汇总，在最后一次相关事件发生180天后删除。
- 电子邮件往来：保存至问题解决且相关义务履行完毕；如发生争议或法律有强制要求，则保存必要期限。具体期限取决于请求内容及适用的处理或权利保护期限。
- 设备上尚未发送的请求、附件及 Tusk 自身诊断数据：最多7天，或在更早发送或删除时结束保存。
- Crashlytics：Google 表明，崩溃信息和标识符在开始从运行及备份系统删除前保存90天。供应商的处理规则见第8节。
- 恢复历史：每日恢复点保留范围为14天，每周恢复点为90天，每月恢复点为365天。为恢复历史，年度恢复点可在该目的持续存在期间保存更久。旧归档机制及本地副本可能保留最近七份副本。轮换不能替代履行删除请求。
- 结算文件以及操作和请求凭证：保存法定期限，或在处理具体未决请求仍有必要期间保存。删除凭证及防止重复使用购买凭证的技术记录，如有独立法律依据，可单独保存；这不允许无限期保存任务内容。
- 日志和安全信息：在发现和调查故障及滥用所必需期间保存，同时考虑类别、时间、尚未结束的调查及法定期限。具体期限和依据可向数据处理者查询。
- 本地数据和导出文件：保存至由您或系统删除。独立接收方持有的副本受其各自规则和法律约束。
实现处理目的、撤回同意且无其他依据，或收到有根据的请求后，数据将在法定期限内删除、销毁或适当匿名化。如技术上无法立即销毁备份数据，将限制其访问和使用，并在允许的期限内完成销毁。恢复备份不会撤销此前收到的删除请求。
10. Cookie 及浏览器存储
Tusk 网站不部署广告追踪器或行为分析追踪器。购买过程中，sessionStorage 可能保存操作的技术引用、产品及账户标识符，以避免刷新页面意外创建新购买。Tusk 的密码和身份验证令牌不会写入其中。
新网站的身份验证使用页面内存中的 Firebase 状态；完整刷新或关闭标签页后，可能需要重新登录。外部 Google 登录、支付服务和应用商店可能根据其各自规则使用 Cookie 和相关技术。限制浏览器存储可能影响部分操作。
11. 您的权利及账户删除
在适用法律规定的范围内，您可以了解数据处理情况并访问数据，要求更正、封锁、限制或删除数据，撤回同意，反对基于合法利益的处理，并在法律赋予相应权利时获取可携带的数据副本。您有权向俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）、其他有管辖权的监管机关或法院投诉。
要删除账户，请使用应用中的相应指令，或发送邮件至 support@tusk.best，主题为“Tusk：删除账户”。请提供账户邮箱及请求内容。如已无法使用该邮箱，请告知我们，我们会提供适度的账户归属验证方式。提交请求无需提供密码、完整银行卡号或日记密钥。
删除会终止相关云功能的访问，并启动与账户有关数据的删除，但具有独立合法保存依据的信息除外。请先保存所需资料。账户之外的独立副本不会自动消失。外部应用商店中自动续订的订阅，还需在该商店取消。
支持请求和诊断数据可能有独立编号，且不与账户关联。为便于查找，请提供编号或其他充分信息。提交请求无需创建新账户。
我们会适度验证请求归属，并在法定期限内回复。依据第152-ФЗ号法律提出的访问请求，将在10个工作日内回复；依法允许延长最多5个工作日时，会告知原因。停止处理和销毁将在对应法规规定的期限内完成。GDPR 下的一般回复期限为一个月，可依法说明理由后延长。如无法完全满足请求，我们会告知依据及申诉方式。
撤回同意对未来生效，不影响此前处理的合法性，也不影响基于其他独立法律依据进行的处理。
12. 数据保护
我们采取必要的法律、组织和技术措施，包括访问权限控制、安全连接、身份验证检查、密钥保护以及对支持附件的限制访问。云端日记和快照使用各自适用的加密保护。日记的恢复能力取决于所选模式。
风险无法完全消除。请及时更新系统，保护设备和邮箱，核查共享参与者，并妥善保存密钥和导出文件。发生事件时，我们会限制后果，并履行适用的监管机关和用户通知义务。
13. 未成年人
Tusk 是通用规划工具。如适用法律要求在订立合同、购买或处理数据时由法定代表人参与，应确保其参与。在必须取得而尚未取得适当授权的情况下，我们不会有意收集儿童数据。如发现此类情况，请告知数据处理者，以便核查并采取措施。
14. 政策变更及服务终止
最新版本将注明日期后发布。重大变更会通过网站、应用或电子邮件等可用方式通知。如新目的或新方式需要新的同意，我们会在处理开始前征求同意；新政策本身不会扩大此前同意的范围。
服务关闭时，数据仅用于完成义务、按规定向用户提供其数据及遵守法律，随后在适用期限内删除。终止服务的权利及对付费访问的影响，由《用户协议》和强制性法律规定确定。
15. 登记信息及联系方式
数据处理者及 Tusk 服务提供者为：个体经营者乌尔苏尔·阿列克谢·谢尔盖耶维奇（Ursul Alexey Sergeevich），纳税人识别号（ИНН）540862460020，个体经营者国家注册号（ОГРНИП）321547600083721，俄罗斯联邦。
联系地址：630049，俄罗斯，新西伯利亚市，红色大街（Krasny Prospekt）167/4号。有关隐私、数据访问和删除事宜，请发送邮件至：support@tusk.best。