隐私政策

本声明说明 tellmelo 处理哪些个人数据、出于什么目的、依据什么法律基础、提供给谁以及保留多久；所提到的功能仅作举例。法律依据写在括号中；如果写在列举之前或第一段末尾，除非另有说明，则适用于整个部分。

本版本新内容

简要概括；以下方正文为准。

• 动态对决： 一个使用公开帖子的猜谜游戏，可以自己玩，也可以两人对战，设有每月评分、排行榜和奖品；游戏期间你的其他设备会被锁定；你可以用开关将自己的帖子和你自己排除在外（动态对决）。
• 带频道的群组： 聊天频道、角色、邀请链接、一个暂时关闭的动态频道，以及群组的禁言、踢出和封禁；保存什么、谁能看到，见群组。
• 静音频道： 聊天频道可以只为你自己静音几个小时或直到另行开启（群组）。
• 通话：支持屏幕共享的语音和视频通话，直接在设备之间进行并经过端到端加密，目前仅限抢先体验；不录制任何内容，只保存聊天中的记录（见“帖子、回复和消息”）。
• 语音频道：在已开放的群组中，通过自己的媒体服务器进行语音、摄像头和屏幕共享；不录制也不保存任何内容（见“群组”）。
• 机器人：成员可以创建机器人，群组经同意后将其加入；机器人会读取它在群组中有权查看的内容（见群组）。
• 群组火花：群组管理层不再按等级，而是用群组的火花开启特权；保存开启了哪些以及从何时起（见奖励、忠诚节奏与火花）。
• 排列页面、小组件与图库： 在电脑上你可以自己排列页面并添加小组件；你可以把自己的小组件和设计提交到由团队审核的图库（排列页面、小组件与图库）。
• 开发者区域与简单小组件： API 密钥、机器人、应用和 Webhook 位于开发者区域；可有多个带名称和最后一天的 API 密钥，每项更改都用密码并在需要时用验证码确认；已批准应用的修改由团队审核（面向机构、合作伙伴和开发者的工具、登录其他网站）。新的简单小组件，包括只给你自己看的习惯和心情（排列页面、小组件与图库）。
• 适用于整个应用的设计、绘图与评分： 设计现在涵盖整个应用，你可以在页面上绘图，小组件、设计和机器人可以被评分和评价（排列页面、小组件与图库）。
• 较小的修正： 每周佳帖和“被发现”计划的开关位于 设置 → 参与 中。

概览

控制者

未任命数据保护官；不满足 § 38 BDSG 的条件。

要点

• 无广告、不出售、不追踪： 不用于广告分析，没有任何分析工具或追踪像素；数据只传给列明的接收方。
• 服务器位于德国，由控制者自行运营；翻译、语言识别、图片、视频和链接检查都在这台服务器上运行。
• 仅在你需要时使用外部提供方： 加载页面时不使用任何外部提供方；登录服务和支付服务仅在你选择时使用；推送服务仅在使用推送时使用；Discord 仅在使用桌面应用时使用。
• 由你决定： 学到的话题、公开个人主页和可被找到都可以关闭；“被发现”计划、推送、邮件回顾和你的地点都会先征求你的同意。

以德语版本为准。 本声明及其他法律文本的译文仅供阅读参考。

当你访问时

服务器、安全与图标

为了运行和安全（Art. 6(1)(f) GDPR：一个安全、合法、显示统一的服务）：

• 服务器日志： IP 地址、时间、访问的地址、数据量、浏览器标识和语言，用于运行服务和抵御攻击，最多保留 14 天；会话 Cookie、已登录成员的定期查询以及不会改变的程序文件不记录。
• 防止大量请求的计数器： 某个登录会话或 IP 地址做某件事的次数，没有账号时只以不可逆的指纹记录；计数器最迟两天后失效，大多数在一分钟到一小时后失效。
• 防御攻击（另依据 Art. 32 GDPR）：只有攻击者才会发出的请求（陷阱地址、搜寻他人文件、地址中的恶意代码、登录时或在团队区域中频繁失败的尝试），tellmelo 会保存 30 天，内容包括 IP 地址的不可逆指纹、去掉最后一段的 IP 地址、事件类型、不含搜索词的路径以及时间。如果反复发生，该地址会被封锁 15 分钟、一天或 30 天。团队成员登录或使用其登录会话时所用地址的指纹会保留 30 天，以确保这些地址永远不会被封锁；如果管理后台因攻击而关闭，只有团队成员曾经登录过的地址才能打开它。
• 与数据库的外部连接，tellmelo 会报告给团队，只附带程序名称和缩短的地址，且不保存它们。
• 嵌入的 GIF 和视频： 如果其他网站展示 tellmelo 的 GIF 或视频，其访客的浏览器会从本服务器加载，并产生服务器日志；为防止过载，服务器会在工作内存中以 IP 地址的不可逆指纹统计一分钟内的访问次数。播放器不设置 Cookie；嵌入由该其他网站负责。
• 国家检查： 服务器根据 IP 地址，借助自行下载的 DB-IP 国家列表（db-ip.com，CC BY 4.0）确定请求来自哪个国家，既不保存该信息，也不将其与你的账号关联。对于 tellmelo 无法满足其社交网络相关法律的国家，只会显示一条提示；法律文本和联系表单仍可访问。面向程序的接口（带密钥的 API、媒体选择器和其他网站的嵌入、供其他网站服务器使用的“使用 tellmelo 登录”）在所有国家都可访问。

Cookie 与设备上的存储

tellmelo 只在你的设备上存放自己的条目。你设备上此刻有哪些条目，可以通过页面底部的盾牌按钮查看；在手机上登录后可以在 设置 → 外观与应用 → 你设备上有什么 查看。

没有同意横幅：除推送脚本外，所有条目都无需同意，因为它们是你自己选择的，或是服务所必需的（§ 25(2) Nr. 2 TDDDG；登录和“离线阅读”还依据 Art. 6(1)(b) GDPR）。推送在开启时会明确征求你的同意（§ 25(1) TDDDG，Art. 6(1)(a) GDPR，推送）。

语言与翻译

tellmelo 提供十四种语言。以账号中的选择为准，没有时以 Cookie tellmelo-language 为准，再没有时以浏览器仅被读取的请求头 Accept-Language 为准，否则为英语（Art. 6(1)(b) GDPR；未自行选择时为 Art. 6(1)(f) GDPR：以你的语言显示页面）。

翻译和语言识别都在这台服务器上运行，使用 Mozilla 的翻译模型和 Meta 的语言模型 fastText，服务器下载它们时不附带任何成员信息；任何文本都不会发送给其他服务。你写作时，tellmelo 会识别帖子、补充或回复的语言，段落使用多种语言时也会识别这些语言，并与文本一起保存，以便在需要的地方显示“翻译”；如果无法确定，则以账号语言或最近文本的语言为准。只有在你点击时才会翻译，文本和译文既不保存也不记录；只有你的翻译次数会在工作内存中保留一分钟，用于每分钟上限。私信永远不会被翻译（Art. 6(1)(b) GDPR；对作者而言为 Art. 6(1)(f) GDPR：让他们的文字被理解）。

链接及其检查

链接通过一个提示页面打开；目标地址位于 # 之后，浏览器不会把这部分发送给服务器。你打开了哪些链接不会被保存，目标页面也无法得知你从哪里来。链接预览由服务器加载，而不是你的浏览器。

有害网站检查： tellmelo 会把帖子、回复、私信、个人主页和群组主页中的链接与已知钓鱼、诈骗和恶意软件网站的名单进行比对（例如 Phishing.Database、Block List Project，应运营者要求还有 abuse.ch），这些名单由这台服务器上的一项服务下载并保存；为此不会把任何地址发给其他服务。对于新网站，该服务会在不附带任何你的信息的情况下访问一次，并为了解网站的建立时间只向注册机构（RDAP）查询域名。每个网站会保存地址、首次出现时间、被发布和举报的次数以及检查结果，但不保存是谁发布或举报的；只要链接还在，还会保存哪个个人主页链接到该网站。tellmelo 会把新网站提交给团队一次，成员提交的网站也一样（附带提交者的标识、判断和理由）。被封锁的网站无法被链接；tellmelo 会把指向它们的链接从个人主页和群组主页中移除并告知（Art. 6(1)(f) GDPR：保护成员免受有害网站侵害）。

账号

账号与登录

tellmelo 为账号保存以下内容（Art. 6(1)(b) GDPR）：

• 用户名和显示名称，由你选择，公开。
• 电子邮件地址（必填，不接受一次性邮箱），加密保存，密钥单独存放；用于登录验证码和登录链接、运营者的通知（例如法律文本变更），以及你开启的邮件。
• 密码只以 scrypt 哈希值保存；邮件验证码、链接和密钥只以哈希值形式短时间保存。两步验证登录是自愿的；其密钥加密保存。
• 通行密钥： 公钥及其标识、你给它起的名称、创建和最后使用的时间，以及它是否同步；私钥留在你的设备或密码管理器中。
• 已登录的设备： 时间、最后访问以及类似“Windows 上的 Chrome”的粗略描述，不含 IP 地址。设备和通行密钥可在 设置 → 账号与安全 中移除。
• 安全记录：新密码、新邮箱地址、开启或关闭第二重验证、新的恢复码、添加或移除通行密钥，以及在新设备上的登录，每条附时间，新设备还附粗略描述；仅你本人可在设置 → 账号与安全 → 安全记录中查看，保存 180 天。
• 最后使用时间，精确到小时：用于标记新帖子、长时间未访问后的提示、“最近在线”、回顾、邀请、各类计划，以及结束长期未用的机构账号。
• 设置，例如语言、通知、隐私、应用的标签栏和启动页、已隐藏的提示。

使用 Google、Clovord 或 Apple 登录

如果你选择“使用 Google 继续”“使用 Clovord 继续”，或在 iOS 应用中选择“通过 Apple 登录”，该服务会在你授权后传来你在那里的账号标识、你的电子邮箱（如果它已确认；Apple 可按你的意愿提供转发地址）以及你的名字，Clovord 还会传来用户名；不会传来头像、联系人和密码。保存该标识是为了认出你；如果已确认的邮箱已属于某个账号，两者会被关联。对于新账号，这些信息在注册完成前加密保存，最多 30 分钟。只要以这种方式创建的账号还没有通过链接设置的密码，你也可以不经该服务，用 tellmelo 发送到该邮箱的验证码登录。拥有团队权限的账号不能使用部分服务。在 设置 → 账号与安全 中解除关联会删除该标识；对于 Apple，tellmelo 此时还会在 Apple 处撤销授权，删除账号时也一样。这些服务自身如何处理数据，以它们的隐私政策为准（Art. 6(1)(b) GDPR）。

用手机登录

在电脑上，你可以用已登录的手机登录：电脑显示 1 到 99 之间的三个数字，你在手机上从九个数字中选出相同的三个来确认“是你吗？”，或者在同一网络中开启“附近登录”时轻点一下即可；不需要摄像头。保存的内容是一条请求，包括类似“Windows 上的 Chrome”的电脑粗略描述、这些数字及其密钥的哈希值，有效期为几分钟，最迟一天后删除；手机会收到一条通知，也会通过推送收到。如果你在电脑上输入自己的名字，并且已在手机上的应用中登录，页面就会提供这种方式，并为此得知你的账号是否提供该方式。可在 设置 → 账号与安全 → 已登录设备 中关闭（Art. 6(1)(b) GDPR）。

“附近登录”是自愿的，默认关闭。开启后，只要手机上的应用处于打开状态，tellmelo 会保存一个用密钥生成的手机公网 IP 地址指纹，最多十分钟，而不保存地址本身。同一网络中的电脑随后会向你提供登录，但不会显示你的名字；如果网络中有三台以上这样的手机，则不会提供。关闭会立即删除该指纹并撤回同意（Art. 6(1)(a) GDPR）。

年龄与家长

出生日期在注册时核验，不会保存。未满 16 岁时，只有在监护人同意后才会创建账号；在此之前，相关信息最多保留 14 天，两个电子邮箱均加密保存。作为证明，同意的时间和发出同意的邮箱（加密）会保留到账号删除为止（Art. 6(1)(b) 结合 Art. 8 GDPR）。

监护（自愿）： 最多两位监护人可以关联自己的账号，并设定每日时长和夜间休息时间。为此，tellmelo 会按天统计页面在孩子那里可见打开的秒数。家长可以看到最近七天的这些时长、孩子的名字和用户名以及各项设置，永远看不到帖子、私信或联系人；孩子可以看到谁已关联以及哪些规则生效。如果家长确认孩子已满 16 岁（再次核验出生日期，不保存），或监护结束，关联、设置和时长都会被删除。受监护账号的默认设置更严格，且不能使用部分功能（Art. 6(1)(b) 结合 Art. 8 GDPR；孩子的数据为 Art. 6(1)(f) GDPR：依据 § 1626 BGB 的父母照护以及未成年人保护）。

邀请

运营者预先准备的账号包含名字、用户名，机构还包含公开的联系方式，通过邮件邀请时还包含邮箱（加密）。在对方打开链接并设置密码之前，什么都不会显示；未接受的邀请在 14 天后删除，如有要求可立即删除（Art. 6(1)(f) GDPR：让个人和机构更容易加入）。

成员的邀请链接只包含用户名。为发放奖励，tellmelo 会保存邀请人，并根据本来就已保存的数据检查新账号是否符合条件（使用条款）；邀请人只能看到数字，看不到具体的人。如果邀请不计入，关联最迟在 60 天后删除，选择“不要计入我”则立即删除，否则随其中一个账号一起删除（Art. 6(1)(b) GDPR；对被邀请成员为 Art. 6(1)(f) GDPR：公平地奖励邀请）。

个人资料

关于个人资料（Art. 6(1)(b) GDPR）：

• 个人资料信息，例如头像、封面图、简介、网站、链接页和徽章，所有能看到你个人资料的人都能看到（公开个人主页）；已装备的商店物品只有没有关闭商店样式的人才能看到。加入月份和徽章可以隐藏（加入月份为 Art. 6(1)(f) GDPR：让其他人能判断某人加入了多久）。服务器会不时访问你填写的网站，查找指向你个人资料的 rel=me 链接，只保存结果。
• 地点（自愿）： 城市、地区、国家、邮编、街道和门牌号（加密）以及取整后的坐标，用于识别来自你附近的帖子和问题；只有城市是公开的，而且只有在你选择显示时才公开。搜索地址时会用你输入的内容查询 Photon（komoot GmbH，波茨坦），不附带你的 IP 地址；回答在不带标识的情况下缓存 30 天。在 设置 → 个人资料 → 你的地点 中撤回同意会删除所有地点信息（Art. 6(1)(a) GDPR）。
• 机构账号会公开显示地址、行业、电话号码、电子邮箱和营业时间。这种账号类型在 18 个月未登录或团队撤销后结束；账号和帖子保留。
• 共同联系人及类似提示由 tellmelo 在显示时根据本来就可见的列表计算，不会保存。

认证与机构信息

认证标志的申请（包括群组的申请）都由人工决定。保存的内容包括申请及理由、账号类型和时间、个人提交时的关键数据，以及决定。企业和社团需上传一份官方认可的文件；该文件加密保存，只保留到作出决定为止，只有管理员可以打开，每次打开都会被记录，不必要的信息你可以涂黑（Art. 6(1)(b) 和 (f) GDPR：防止冒充他人的账号）。

关于机构的说明： 如果某个账号在帖子、回复或个人资料中写明自己代表某家公司、某个政府机构或 tellmelo 发言，而它尚未认证，就会被标上“未确认”的提示，直到它完成认证或团队处理了该说明为止，同时它会收到请其通过认证提供证明的请求。保存的内容包括账号、出处、机构名称以及该说明何时被处理，不保存其余文字；未处理的保留到处理为止，已处理的保留一年。如果运营者开启了此功能，未加密的私信在发送时也会被检查，端到端加密的私信永远不会被检查（Art. 6(1)(f) GDPR：保护成员免受欺骗）。

审核员计划

在运营者开放申请期间，可在 设置 → 参与 → 内容审核 中申请。保存的内容包括：所选语言、你在何时同意了哪个版本的承诺书、测试和培训的百分比成绩、申请所处阶段，以及运营者的决定及理由。每次提交测试时（申请、培训结束、培训中的新内容），显示的帖子和你的每一项决定都会加密保存 90 天，以便只有运营者能核查你的作答；如果你撤回申请或删除账号，这些内容会立即删除。出生日期只用于核验。成为审核员后，tellmelo 会统计你在过去 30 天内审计日志中的操作次数和你最近一条帖子的日期，用来确定你的徽章等级，并在你 14 天没有活动时提醒你；30 天后会告知运营者（Art. 6(1)(b) GDPR）。

年满 16 岁的助手需通过更短的测试、更短的培训以及同样的证件复印件审核；此外还会保存你想成为审核员还是助手。如果运营者邀请你，就无需申请；会保存谁在何时邀请了你，以及你的答复（Art. 6(1)(b) GDPR）。

证件复印件： 通过测试后，你上传身份证或护照正面或背面的照片，要能看清姓名、证件号码和出生日期；其他内容都可以遮挡。照片会被加上明显的复印件标记，缩小尺寸、去除元数据并加密保存。只有运营者可以打开：审核时一次，之后只有在说明理由的情况下才能打开，理由每次都会通过通知和电子邮件告知你；每次打开都会记入审计日志。一旦你撤回申请或退出、被要求提供新的复印件，或合作结束，复印件即被删除；如果合作因严重不当行为而结束，复印件最多保存 3 个月，即使你的账号已删除也是如此，并且你会得知理由（Art. 6(1)(a) GDPR 和 § 20(2) PAuswG，可通过撤回申请或退出来撤回；严重不当行为后为 Art. 6(1)(f) GDPR：主张或抗辩法律请求）。

订阅、火花、礼物、商店与支付

关于购买和礼物，tellmelo 会保存以下内容（Art. 6(1)(b) GDPR；对受赠者为 Art. 6(1)(f) GDPR：送达礼物）：

• 订阅、火花和礼物： 订阅、购买的火花和火花订阅的类型、范围、开始和结束时间，谁送了谁什么以及其来源（购买、运营者、合作伙伴的配额）。运营者交给合作伙伴用于赠送的内容（订阅月数、火花、按件计的样式）放在合作伙伴的背包中，并在合作关系或账号结束时删除。受赠者会得知赠送者的名字和 @名称；在帖子下分发礼物的人只能看到已发放名额的数量。
• 商店物品： 你在何时以什么价格购买了哪些物品或从谁那里获赠了哪些物品、你装备了哪些物品；限量物品还包括你这一件的编号，独一无二的样式还包括你这次购买的编号。已装备的内容（头像框、封面图上的特效、主页卡片样式），能看到你的个人资料或帖子且没有关闭商店样式的人都能看到。群组同样如此：哪个群组在何时以什么价格获得了某件物品、管理层中谁购买了它，以及群组装备了什么（群组头像的边框、群组封面图上的特效、群组头部的样式）；能看到该群组且没有关闭商店样式的人都能看到这些。购买记录随账号或群组一起删除；付款作为凭证保留在购买者处。专属物品只有其名单上的成员和群组才能看到并获得；名单条目随账号或群组结束。如果团队赠送你物品或为你装备物品，tellmelo 会保存时间和赠送人、此前装备的内容以及你的答复（保留或恢复）；你会通过通知和电子邮件得知。
• 用订阅功能创建的内容，例如笔记（加密）、提醒、定时发送的私信（发送前加密）、动态自定义表情和超出每个账号十个的表情，或文本模板，在订阅结束后会保留六个月，以便重新订阅时恢复，之后会被删除，删除前两周会发邮件通知。
• 背包和套餐点数： 每个点数所属的订阅、来源（订阅、礼包、礼物、团队、试用点数、对 iOS 应用测试版中测试购买的答谢）、付款、领取时间以及礼物的到达时间、是否以及何时被自动使用或由你使用、它覆盖哪段订阅时长、是否已退款，以及你关于自动使用的设置。对于从背包中赠送的礼物（点数、火花、物品），谁在何时送了谁什么，双方都能在记录中看到；火花和物品还包括到达时间（用于七天的转赠限制），物品还包括你是否以及何时首次装备了它们。点数和记录随账号一起删除；届时另一位成员那里会显示“已删除的账号”。
• 优惠码： 代码、付款和时间，以确保每位成员只能使用一次；退款时删除。

支付： 在浏览器中通过 Stripe（在欧盟：Stripe Payments Europe, Limited，都柏林），在 Android 应用中通过 Google Play（Google Commerce Limited，都柏林），在 iOS 应用中通过 App Store（Apple Distribution International Ltd.，科克）。支付信息只在那里填写；tellmelo 不会收到。tellmelo 只传送商品、范围、价格和一个化名订单标识，并得知是否以及何时付款、续订、取消或退款，附带服务商的标识和购买凭证。是由 tellmelo 自己销售，还是由服务商销售并负责税费、收据和退款，支付页面会说明。服务商作为卖方以及为自身目的处理数据时，由其自行负责（stripe.com/de/privacy、policies.google.com/privacy、apple.com/legal/privacy）。对于 App Store 的购买，你需要在 Apple 的窗口中取消或申请退款，该窗口由 iOS 应用从背包中打开；tellmelo 只会得知结果（Art. 6(1)(b) GDPR）。

在 tellmelo 保存的内容包括订单（至完成）、付款、退款（包括 48 小时内的自愿退款）、你同意立即开始（放弃撤回权）的记录、发票、取消和撤回（/cancel 表单中的信息加密），以及你填写的账单地址（加密）；给个人的发票不显示姓名（Art. 6(1)(b) GDPR；会计凭证为 Art. 6(1)(c) GDPR 结合 § 147 AO 和 § 14b UStG）。

内容与交流

帖子、回复和私信

你写的内容和做的事情会一直保存，直到你删除它们或你的账号：帖子、回复、反应、在投票中以及对回复投出的票、已编辑帖子的早期版本、草稿（加密）、定时发布的回复（在此之前只有你能看到）、收藏夹、关注、静音、屏蔽、密友等列表以及私信。公开帖子所有人都能看到，密友帖子只有密友能看到，私信只有参与者能看到。每条帖子都附有你的设置，例如谁可以回复、回复是否需等待批准、共同作者、图片是否由 AI 生成；获批准的回复保留其撰写时间，并另外加上批准时间。从其他平台的存档导入时，由你的浏览器读取存档；只有你的帖子会发送给 tellmelo（Art. 6(1)(b) GDPR；涉及其他成员时，例如有关其帖子的提示或媒体库，为 Art. 6(1)(f) GDPR：平台上的交流）。

• 赞成票和反对票： 回复可以被投赞成票或反对票，以前的“赞”计为赞成票；保存的是谁在何时对哪条回复投了什么票，永远不会两者兼有。回复下方显示其评分，即赞成票减反对票，也可能低于零（安静模式下除外）；回复的作者会通过通知得知谁投了赞成票，对每个人和每条回复 30 天内最多一次，其他情况下不会显示。谁投了反对票任何人都看不到，作者也看不到，只有投反对票的人能看到自己投的；不会就此通知任何人。每一层级都按赞成票减反对票排序，前 3 小时略有优势；至少有 3 张反对票且反对票超过赞成票两倍的回复会折叠显示在末尾（“帮助不大”），并且不会出现在帖子的公开页面上。投票随回复或账号一起结束，并包含在数据导出中。
• 精选回复： 帖子的作者可以将对帖子的一条直接回复设为精选、更换或取消。该回复随后对所有人都排在最前面，在公开页面上也是如此，并标注“由……设为精选”；回复的作者会收到一条通知，每条回复 30 天内最多一次。保存在帖子上，直到取消或回复被删除为止。
• 图片由你的浏览器缩小，并事先删除 EXIF 数据，包括 GPS 位置；视频、GIF 和声音由服务器转换（ffmpeg），不含元数据和拍摄地点，上传的文件随后删除。为了视频点数等配额，上传的大小和时间最多保留 7 天。 在视频或 GIF 仍在转换时发送的帖子，tellmelo 会在转换完成前暂不发布；如果转换失败，它会重新变为草稿。
• 媒体库： 开放给所有人的 GIF 和视频，所有成员都可以找到并发布，并附上你的名字和 @名称；你可以随时撤回开放。在其他网站上，只有在你明确允许时，tellmelo 的播放器才会展示它们，同样附上名字和 @名称。自定义表情如果与你的关注者共享，他们可以在自己的文字中使用，动态表情需要订阅。每种情况都只保存开放或允许这一点，直到你撤回为止；对其他网站的允许也会随开放的撤回而结束。
• 私信的文字内容在服务器上加密保存（AES-256-GCM，密钥单独存放），机构的欢迎消息和离开消息也是如此；这主要保护数据库副本和备份。私信中的图片和文件只有参与者才能调取。私信默认没有端到端加密：服务器会为显示而将其解密，能访问运行中服务器的人在技术上可以读取。对方是否正在输入或在线只保存在工作内存中，最多 24 小时，且只对你主动发过消息的人可见；可在 设置 → 私信 中关闭。 语音消息由你的浏览器在你允许并录制时用麦克风录制；tellmelo 将录音转换为不含元数据、最长三分钟的 MP3 文件，并且只保存该文件，就像图片一样，用于消息、帖子和回复中（Art. 6(1)(b) GDPR）。端到端加密的聊天中没有语音消息。
• 端到端加密（自愿开启，设置 → 私信）：你的浏览器会生成一对密钥，并用你的六位 PIN 和一个由服务器加密保存的随机部分封存私钥；PIN 永远不会离开你的设备。保存的内容包括：公钥（供与你聊天的人使用）、封存的私钥、PIN 的哈希校验值、服务器的那部分（加密）、连续输错 PIN 的次数、加密是否开启，以及是否只允许开启了加密的人给你发私信；因忘记 PIN 而重新开始后，还包括以前的公钥。如果聊天双方都已开启，浏览器会在每段文字和每张照片发出前将其封存（AES-GCM），定时发送的私信也一样；tellmelo 按原样保存它们，并附上两把密钥的标识，既无法读取也无法查看，生成预览时也不能。仍可看到的是谁在何时给谁发私信、大致长度、照片的数量和大致大小，以及是否已读。你的浏览器会事先用图片检查的模型和阈值检查照片，该模型在发送第一张照片时从 tellmelo 一次性下载（约 3 MB），被识别的照片不会发送；检查结果留在设备上，不保存任何内容。这类聊天不支持视频和 GIF；tellmelo 只有在打开链接时才会检查链接。请对方开启加密的请求会以一条自动发送、未加密的私信送达。服务器通过只在 PIN 正确时才交出它的那部分、并且每输错五次都会让等待时间变长来保护较短的 PIN；但自行运营服务器并掌握其密钥的人，花些力气就可能猜出 PIN。设备保持解锁多长时间由你自己选择（设备）。在数据导出中，这类私信以封存的形式出现；删除账号时，所有密钥都会随之删除。
• 通话（目前仅限抢先体验）：你可以呼叫你可以发消息、且你的消息不会作为请求等待的人，除非对方在 设置 → 通话 中关闭了通话。语音、画面和共享的屏幕直接在设备之间传输，并经过端到端加密（WebRTC 与 DTLS-SRTP）；如果防火墙阻止直连，tellmelo 自己的 TURN 服务器会转发加密的数据流，但无法读取。为此，每台设备都会得知对方的 IP 地址和网络信息。不会录制任何内容。在通话响铃或进行期间，tellmelo 会保存谁从何时起呼叫谁、是否开启视频，以及双方设备的连接信息及其 IP 地址；之后只在聊天中保留一条记录（语音或视频通话及时长、未接或已拒绝），像消息一样保存和删除，未接来电会以通知送达。如果你以推送方式接收消息，正在响铃的来电也会像消息一样以推送送达。降噪（RNNoise）和语音激活只在你的设备上运行；你选择的设备和设置由浏览器保存（Art. 6(1)(b) GDPR）。
• 静音和屏蔽不会通知被静音或屏蔽的人，他们只会发现无法再给你发消息或看到你。
• 统计和提示，例如“自你上次访问以来”、你的一周、“帮帮忙”、“打个招呼”或你帖子的统计，都由 tellmelo 在显示时根据本来就已保存的数据计算；最多保存你何时隐藏了某条提示，用于分享的图片只有在你发布时才会保存。
• 徽章分五个等级并附数字，显示某人发布了多少帖子、回复和图片，关注了多少人，有多少关注者，收到了多少赞（回复为赞成票）和转发，以及送出了多少赞（回复为赞成票）；在显示时计算，最多在工作内存中保留 10 分钟。账号上只保存：捉虫达人为团队标记为已确认或已修复的你的问题报告数量，并在报告上记录它已被计入（徽章不显示这些报告）；Early Supporter 为谁在 2027 年之前拥有订阅时长（购买、获赠、来自团队或用于测试）、从何时开始，以及订阅时长结束后的结束时间。如果不再有进行中的订阅时长，该徽章连同这两项信息会在结束三个月后失效。可在 设置 → 参与 → 奖励 中隐藏（Art. 6(1)(f) GDPR：鼓励参与）。

群组

在群组中（Art. 6(1)(b) GDPR；管理层的决定、违规和公开群组页面为 Art. 6(1)(f) GDPR：群组秩序，公开群组可被看见）：

• 成员资格及其角色和加入时间，群组成员可以看到，公开群组中所有能看到该群组的人都能看到；铃铛、火花和数字只显示总数，不显示是谁。
• 频道和聊天： 除了包含群组帖子的频道，还有聊天频道。每条消息会保存频道、作者、时间、文字、媒体（图片、GIF、视频、语音消息）以及它回复的消息；能看到该频道的成员可以看到它们。与私信不同，这些文字像帖子一样以未加密的形式存储在服务器上。你在某个频道读到哪里会被保存，用于显示未读消息数，其他人看不到，你退出群组时会被删除。如果两名成员中的一方屏蔽了另一方，双方都看不到对方的消息。被删除的消息连同媒体立即消失；对它的回复会失去引用。如果管理层或有权管理的人移除了他人的消息，群组日志会记录此事，不含内容，也不含理由。你退出后，你的消息仍留在群组中；如果你不希望这样，请先删除它们。在消息中被以 @名字 提及，或被拥有此权限的角色以 @everyone 提及的人，会收到一条写明频道和群组、但不含文字的通知；以 @名字 提及仅在其允许写信人提及时，以 @everyone 提及仅在群组的铃铛未关闭时。 你可以向团队举报他人的消息；举报随消息一同结束。如果团队移除了一条消息，它会连同媒体一起消失；其开头（最多 160 个字符）会随处理案例保存，以便作者了解所涉内容。
• 静音频道： 你可以为自己将某个聊天频道静音 1、8 或 24 小时，或直到你重新开启。会保存频道、结束时间和设置时间；其他人看不到。在此期间，该频道不计入未读，来自它的 @everyone 不会通知你，但你的 @名字 仍会。静音在时间到时结束（次日夜间删除），或在你重新开启、退出群组时结束，或随频道或账号一起删除；包含在数据导出中。
• 语音频道（目前仅限运营方开放的群组）：成员在其中互相交谈，并在获准时显示摄像头或屏幕。声音和画面以加密方式（WebRTC、DTLS-SRTP）传到 tellmelo 自己的媒体服务器（LiveKit），由它转发给频道里的其他人；因此它们不是端到端加密，并且不会录制任何内容。你在频道期间，媒体服务器知道你的账号、名字、头像、IP 地址、麦克风、摄像头或屏幕是否开启、你是否关闭了声音以及你的延迟和连接方式（UDP、TCP 或经由 tellmelo 自己的 TURN 服务器）；群组中能看到该频道的所有人以及管理后台的团队也能看到这些。这些都不会被保存。管理员的静音或断开会记入群组日志。降噪和语音激活只在你的设备上运行。 回应（表情）经同一路径发给频道里的其他人，不会被保存；你听某人的音量只保存在你的浏览器里。
• 机器人：成员最多可创建五个机器人：类型为“机器人”的账户，没有密码和电子邮箱，通过自己的 API 密钥运行，无法通过搜索找到。保存的有名称、用户名、描述、请求的权限、他人能否添加、由谁何时创建（bots）。只有在群组中有权管理角色的人同意时，群组才会接纳机器人；机器人获得一个带已授予权限的专属角色（community_roles.bot_id），加入和移除都会记入群组日志。机器人带有“机器人”标记，像成员一样在其有权查看的频道中读写；tellmelo 通过 API 向其提供这些内容。机器人背后的程序如何处理这些内容，由运行它的人负责。该人删除机器人或自己的账户时，机器人随之删除；群组移除机器人时，它离开该群组（GDPR 第 6 条第 1 款 b 项）。
• 实时机器人： 机器人可以有由其创建者上传的头像和横幅。创建者向所有人开放的机器人会显示在目录中，包括名称、头像、简介、创建者和所在群组数。机器人只有在团队审核后才会进入目录；为此会保存它的分类、审核状态及团队给创建者的说明、团队是否将其设为精选以及它从何时起列入目录（bots.category、review_state、review_note、featured、listed_at）。在有机器人的群组中发生的事（写入或删除消息、有人加入或离开、有人进入语音频道）会作为事件（bot_events）为该群组的机器人保留一天；机器人只接收其可查看频道的事件，以流、按页或投递到创建者设定的 HTTPS 地址的方式（bots.webhook_url，带签名并重试）。运行机器人的人对此负责（GDPR 第 6 条第 1 款 b 项）。 机器人可以提供命令（聊天输入框会在“/”之后提示）以及消息中的按钮；使用时会告知机器人是谁使用的，并保留 15 分钟以便其回复（bot_interactions）。机器人只给某位成员的回复仅在频道中向该成员显示一天（bot_private_replies）。 机器人可以在语音频道中占一个位置播放音乐或声音，并标记为机器人；它在那里听不到任何人。
• 角色： 管理层和有权管理角色的人可以创建带有名称、颜色和权限的角色，并将其授予成员。某人拥有哪些角色，群组成员可以在成员列表中看到；每个角色会保存谁拥有它以及从何时起拥有。退出群组时，角色随之结束。
• 大厅与频道图标：每个群组都有一个大厅，即群组的页面，包含头像、横幅、名称、简介以及管理者开启的各部分，也包括管理者自己的文字；能看到群组的人都能看到它。有权管理频道的人可以为频道和分类设置图标：一个表情、tellmelo 图标库中的图标或自己的图片，并带有颜色和形状；成员会在频道列表中看到它。自己的图片会经过图片检查，归上传者所有，一旦不再被任何地方使用就会被删除。
• 置顶消息：在聊天频道中有管理权限的人可以置顶消息，每个频道最多 50 条；能看到频道的人都可以在其侧栏中找到。与消息一同保存的是置顶时间和置顶人；没有人能看到是谁置顶的。消息删除时，置顶也随之结束。在频道中搜索不会保存任何内容。
• 频道中的话题： 对聊天频道中某条消息的回复可以进入它的话题，而不是聊天；我们会保存回复属于哪条消息。能看到该频道的所有人都可见。第一条消息被删除时（由作者、管理或随其账号一起），话题连同所有回复一起结束。
• 自选身份组和欢迎： 群组的管理层可以提供成员自行领取和取消的身份组；它们的权限不超出参与范围（查看、发言、附件、语音频道），并常常开放专属频道。谁拥有这样的身份组，成员可以像其他身份组一样看到。你加入群组的头几天，应用会用欢迎文字和这些身份组欢迎你一次；是否已欢迎过只记录在你的设备上。
• 群组表情： 可管理群组频道的人可以为其添加最多 50 个自己的表情（图片和名称）；成员在文字中使用它们，频道可将其用作图标，文字会向所有读者显示它们。图片属于上传者；表情随群组一起删除。
• 邀请链接： 有权邀请的人可以创建加入群组的链接。会保存谁在何时创建了链接、链接的有效期和可使用次数以及已被使用的次数，但不保存被谁使用；管理层和链接的创建者可以看到这些信息。通过链接加入的人视为受到邀请。已过期和已用完的链接，tellmelo 会在随后的夜间删除，被撤回的链接则立即删除。链接只在创建者仍有权邀请时有效；创建者退出群组或账户被删除时，链接会被删除。
• 动态频道： 群组动态频道中的帖子也会出现在公开动态中，前提是该群组对阅读者可见；只有管理层和拥有此权限的角色可以在那里发帖。动态频道关闭期间，其中的帖子仍会保存并包含在数据导出中，但在重新开启之前只有作者本人能在自己的个人资料中看到，并可在那里删除；删除账号时，这些帖子会随之删除。
• 入群申请连同原样的问题一起加密保存；群组管理层可以阅读，tellmelo 团队不能。
• 邀请： 管理层可以看到邀请是待处理还是被拒绝；被拒绝的邀请保留 30 天，避免立即再次邀请。
• 群组中的管理： 管理层和拥有相应权限的角色可以禁言低于自己的成员（一分钟到一周；期间只能阅读，退出后再加入也一样）、将其踢出（可以重新加入）或封禁（1、7 或 30 天，或直到解除；在此之前不能加入或申请）。每次禁言和封禁都会保存涉及谁、到何时、何时以及由谁执行；能禁言或封禁的人可以看到这些，当事人可通过通知和数据导出看到，导出中不含执行者。tellmelo 会在次日夜间删除已过期的记录，群组或账号删除时立即删除。
• 群组中的决定，包括移除帖子，会连同理由（加密；禁言时可不填）记入管理层可见的日志；当事人会以通知形式收到理由。
• 公开群组页面显示名称、简介、图片、话题、成员数和最新帖子，帖子只显示本身可被找到的成员的。
• 群组的违规由团队中的一名人员说明理由后作出决定；管理层可以申诉（审核）。

排列页面、小组件与图库

在电脑上，你可以自己排列页面的各个部分，把菜单栏放在顶部或左侧，并添加小组件；该功能正在逐步开放。你的设置中会保存每个页面的布局（各部分的位置、大小、方向和外观）、菜单栏、你把铅笔移到了哪里，以及你的小组件及其设置，包括便签的文字和倒计时的标题与时间（settings.ownLayout）；只有你能看到。为了让排列好的页面加载时立即正确显示，你的浏览器会记住你是否排列过页面以及菜单栏的位置（本地存储 tellmelo-own-layout）。如果某个小组件显示你上传的图片，会记录该图片正在使用，以免清理未使用图片时将其删除（widget_media）。帖子小组件在显示时获取你本来就能看到的最新帖子。当你移除它或删除账户时，这一切都会结束，并包含在数据导出中（GDPR 第 6 条第 1 款 b 项）。简单小组件保存你输入的内容，同样只存在你的设置中：清单项目、时区、抽签选项、链接、带有最近 28 天勾选日期的习惯，以及最近 30 天每天的心情。聊天、群组、通知、热门、挑战和你的一周等小组件只显示你本来就能看到的内容，不额外保存任何东西。你的心情可能透露有关你健康的信息：只有你自己填写时才会保存，不向任何人显示，并可随时通过“删除记录”删除（GDPR 第 9 条第 2 款 a 项）。

• 你自己的小组件： 你可以用带样式和脚本的 HTML 自己编写小组件。会保存名称、说明、分类、代码、你何时编写和修改以及是否已提交（gallery_items）。小组件在隔离的框架中运行：无法访问你的账户、tellmelo 的 Cookie 和存储，也无法连接互联网。它只能获知时间、语言、浅色或深色以及自身尺寸，并可获取某个 #话题 或主页的公开帖子（文字、名称、用户名、时间），但无法把它们发送到任何地方。如果作者声明该小组件使用互联网（gallery_items.network），它还可以从 tellmelo 以外的 https 地址加载内容并向其发送请求；这些地址的运营者会因此获知你的 IP 地址以及你的浏览器每次请求时发送的信息，并对此自行负责。此类小组件只有在你看到提示并允许后才会运行；你允许了哪些、哪些被阻止，会保存在你的设置中（settings.widgetNetwork），直到你更改（GDPR 第 6 条第 1 款 a 项）。如果某个小组件试图下载内容，会被阻止，该小组件对你被阻止，并且每位成员记录一次该尝试及时间，供团队审核（gallery_download_reports），直到团队作出决定；作者不会得知发生在谁那里（GDPR 第 6 条第 1 款 f 项：保护成员免受有害内容）。
• 绘图： 你在排列时于页面上绘制的内容位于其各部分和小组件之下，并保存在你的设置中：每条线和每个形状及其工具、颜色、粗细和点（settings.ownLayout）；在你将其作为设计分享之前，只有你能看到。删除它或删除账号时随之结束，并包含在数据导出中（GDPR 第 6 条第 1 款 b 项）。
• 设计： 你可以把你的排列作为设计分享：按你排列的整个应用，即所有页面、群组和消息、菜单栏、小组件以及你的绘图；如果你写了完整描述，也一并分享（gallery_items、gallery_items.details）。图片绝不会包含在内，你自己的小组件只有在图库中时才会包含；笔记、倒计时和绘图按你输入的样子包含。应用设计的人会用它替换自己的排列；之后可以立即撤销。
• 图库与审核： 你提交的内容在其他人能找到之前由团队审核。为此团队会看到名称、说明、代码或设计以及你的名称和用户名，并可附说明退回给你；会保存团队中由谁审核（gallery_items.reviewer_id）。在图库中，所有成员都能看到它以及你的名称、用户名和被使用的次数；谁使用了它只会被计数，每位成员一次（gallery_uses），不会展示给任何人。如果你修改了已批准的内容，在团队批准修改之前，其他人得到的是审核过的版本；如果你删除它，它会从图库中以及所有使用者那里消失（GDPR 第 6 条第 1 款 b 项；审核依据第 6 条第 1 款 f 项：保护成员免受有害或误导性内容的影响）。
• 评分与评价： 你可以为目录中的小组件、设计和机器人打一到五星并写评价，但不能为自己的条目评分。保存的内容包括星级、文字以及评分和最后修改的时间（gallery_ratings）。所有成员都能看到平均分以及各星级的人数；你的评价会连同你的名字和用户名显示，没有评价的星级不显示名字。你可以随时修改或删除；条目被删除或你删除账号时也会随之结束，并包含在数据导出中（GDPR 第 6 条第 1 款 b 项）。如果你举报一条评价，系统会为每位成员保存一次举报及其时间，直到团队将其隐藏或认定无误（gallery_review_reports）；作者不会知道是谁举报的。被隐藏的评价只有作者本人能看到，其星级仍然计入（GDPR 第 6 条第 1 款 f 项：保护成员免受侮辱性或误导性评价）。

本地编辑部

关于本地编辑部（Art. 6(1)(b) GDPR；举报和浏览量为 Art. 6(1)(f) GDPR：一个安全的平台，显示文章的覆盖范围）：

• 邀请及其地区和时间，保存到你答复或团队撤回为止。角色： 地区、徽章的自定义文字（如有授予）、区域（中心点和半径）、邀请人、开始和结束时间。tellmelo 通过地址搜索根据地区名称确定区域，只有该名称会发送给地址搜索（Photon）；否则使用你设置中的地点。
• 文章： 标题、导语、正文、封面图片、时间、状态。已发布的文章是公开的，无需账号也能阅读，并对搜索引擎开放，附有你的名字和徽章；你删除文章或账号时，文章随之删除。
• 关注地区： 你关注了哪些地区以及从何时开始，用于发送新文章的通知（可以关闭）。对于动态卡片和你附近的精选，只有服务器会将地区与你设置中的地点进行比较；地点不会被转交。
• 浏览量只以每篇文章的每日总数记录，成员和访客分开统计，不计入作者本人和搜索引擎的浏览；不会保存谁读过。
• 举报： 文章、理由、举报的账号、时间和决定，保存到决定后 180 天；团队能看到谁举报了，作者看不到。
• 角色、邀请、文章、关注的地区以及你自己的举报都包含在数据导出中。

公开个人主页、预览与搜索引擎

公开内容无需账号也能访问并可被找到。你可以通过 设置 → 隐私 中的开关提出反对（Art. 21 GDPR）；已被收录的内容由搜索引擎按其自身规则移除（Art. 6(1)(f) GDPR：让公开内容可访问、可被找到，并让分享的链接明确引导至登录）。

公开个人主页（默认开启，受监护账号默认关闭）：在 /u/用户名 下，任何人都能像成员一样看到你的个人资料，包括你的公开帖子，并在这些帖子的页面上看到其他公开个人主页的回复；点赞、回复、关注和发私信需要登录。密友帖子、非公开群组的帖子、定时发布和已移除的帖子永远不会公开。如果你的个人主页不公开，链接和预览只显示名字、用户名和头像，并请对方登录。

可被搜索引擎找到（单独的开关，默认开启，仅在公开个人主页时可用）：搜索引擎可以收录你的个人资料、公开帖子及其图片，它们会出现在站点地图中，你的帖子也可能作为示例出现在 tellmelo 的公开页面上，例如登录页（在这台服务器上翻译，不保存）。关闭后，你的页面对搜索引擎关闭，你的内容也不会出现在可被收录的页面上。

分享的链接： 当帖子链接出现在即时通讯工具或社交网络中时，其服务器会加载一个预览，包括名字、头像、文字开头和第一张图片，公开个人主页则更多；非公开群组的帖子、被封禁账号的帖子和已移除的帖子没有预览。指向 #标签、“发现”、群组、商店和每周佳帖的链接有带标题和图片的预览；#标签还会向没有账号的访客显示其最新帖子，仅限内容允许被搜索引擎收录的成员的帖子。这些页面不会被搜索引擎收录。

tmlo.app 下的短链接（/@… 个人主页，/+… 群组，/t/… #标签，其他为代码）会立即跳转到 tellmelo，并像任何访问一样产生服务器日志。对于代码，tellmelo 只保存目标和创建时间，不保存是谁创建或访问的。你为自己的帖子设定的名称（需订阅），tellmelo 会连同帖子和时间一起保存，直到帖子被删除。

动态与计划

动态与学到的话题

帖子的话题： 服务器会为每条帖子添加几个话题，来源包括 #标签、一份十四种语言的固定词表以及文本中的关键词，并在这台服务器上转为英语。只有拥有相应权限的团队成员可以看到这些话题；它们作用于动态、搜索、#标签栏和自动化，并随帖子一起结束（Art. 6(1)(b) GDPR）。

学到的话题（默认开启，受监护账号默认关闭）：阅读、搜索、点赞、投票、回复、分享以及你对“为你推荐”中偶尔提问的回答，都会为帖子的话题加分，只限词表中的话题，词表中有意不包含政治、宗教、健康和性。每个话题只保存一个分数和一个时间，不保存你读过或搜索过什么；没有相关行为时，分数在 30 天后减半。“为你推荐”据此为你的动态加权并推荐群组：这属于 Art. 4(4) GDPR 意义上的画像，不构成 Art. 22 GDPR 所指的自动化决策。在 设置 → 你的动态 中你可以查看和删除这些话题；关闭即是你的反对（Art. 21 GDPR），并会删除所有学到的内容（Art. 6(1)(f) GDPR：适合你的动态）。

你自己设置的内容，例如关注的 #标签、限时愿望、滑块和保存的组合，只存在于你的设置中，任何人都看不到；镜子和类似视图在打开时生成，不会保存（Art. 6(1)(b) GDPR）。

借出的动态只有在你要求时才会生成：通过链接，另一个人可以在一小时内按你的排序阅读你的“为你推荐”列表，并由此得知你在关注哪些话题；会保存一行带随机密钥的记录，为期一小时（Art. 6(1)(a) GDPR）。

覆盖、推荐与合作伙伴

tellmelo 统计一条帖子被展示的次数，每人每天只计一次，使用由日期、人和帖子生成的不可逆指纹，2 天后删除；这个数字作者和团队可以看到。团队可以推荐帖子（有标记，不可购买）或暂缓展示，这会记录在帖子上和审计日志中。tellmelo 按天和按周统计有多少成员活跃、有多少成员回访，只保存这些总数（Art. 6(1)(f) GDPR：展示帖子的效果，改进一项公平的服务）。对于合作伙伴账号，tellmelo 只读取最后一条帖子的日期，用来提醒发帖（Art. 6(1)(b) GDPR）。

“被发现”计划

为了“被发现”计划（使用条款），tellmelo 会定期根据本来就已保存的数据，为你最近几周的活跃度计算一个数值（你在多少天里发过内容，其他人如何回应），并且不保存该数值；团队只能看到已有名额的成员和排在队列前面的人的数值。这属于 Art. 4(4) GDPR 意义上的画像，不构成自动化决策：只有经你同意才会产生名额，受监护账号则需家长同意（Art. 6(1)(f) GDPR：让活跃成员被看见；可通过“不再询问”或在 设置 → 参与 中提出反对）。

会保存你是否被邀请、是否有名额或是否不想再被询问，以及你为个人介绍所做的选择。有名额时，“发现”会向所有成员展示你的个人资料及“被发现”标志、精选的公开帖子、你在最近四周中有多少天发过内容，以及你最常用的 #标签。一个名额是否符合某人的 #标签和兴趣，由 tellmelo 在展示时只为该人计算。名额结束后，你的个人资料还会在“曾被发现”中保留最多 30 天；为此会保存该名额自何时起存在（Art. 6(1)(b) GDPR）。

“新成员”展示最近 14 天内的、有公开帖子的账号，在展示时计算，不包括受监护账号，也不包括已对本计划提出反对的成员。

奖励、忠诚节奏与火花

对于没有金钱价值的计划（使用条款），tellmelo 只保存所需的内容：忠诚节奏中，你在本周哪些天活跃（不含具体时间，从你的帖子和反应中读取）、最后一次访问的日期和周次、已计入的周数和已达到的等级；火花中，每个火花的来源、有效期以及当前给了哪个群组；群组中，管理层开启了哪些特权、从何时起，以及群组的专属邀请链接；奖励中，已达到的等级。你的节奏只有你自己能看到；你把火花给了谁，其他人看不到，群组只能看到数量。某人能否参与，tellmelo 根据本来就已保存的信息判断，例如账号注册时长、已确认的邮箱或完成的新手步骤（Art. 6(1)(b) GDPR）。

每周佳帖

对于每周佳帖（使用条款），tellmelo 每周日根据本来就已保存的数据，选出上一周获得回应最多的公开帖子，每人最多一条，绝不包括受监护账号或已在 设置 → 参与 → 每周佳帖 中关闭此项的成员的帖子。获胜帖子收入 /album 的年度相册；没有账号的访客在那里只能看到公开且可被搜索引擎找到的个人主页的帖子。已删除的帖子会从评选和相册中消失（Art. 6(1)(f) GDPR：由成员共同完成的评选；可通过开关或撤出帖子提出反对）。

每轮评选会保存入选帖子及其回应，以及它们是否被撤出或被团队移除；谁投给了哪条帖子只保存到评选结束，且任何人都看不到，团队也看不到，此后只保留票数（投票为 Art. 6(1)(b) GDPR）。

动态对决

在动态对决中，成员可以自己玩、与同时也在寻找对手的人对战，或通过挑战，猜两条公开帖子中哪一条在发布第一天获得了更多回应。为此，tellmelo 根据本来就已保存的数据，选取公开个人主页上发布了一天到一周的帖子，并统计它们第一天获得的点赞、回复和转发；绝不包括玩家自己的帖子，也不包括某位玩家已屏蔽或静音的账号或屏蔽了某位玩家的账号的帖子，绝不包括受监护账号或已在 设置 → 参与 → 动态对决 中关闭此项的成员的帖子。关闭后，你帖子的文字在以前的结果中也不再显示（Art. 6(1)(f) GDPR：一个使用本来就公开的帖子的游戏；可通过开关提出反对）。

每场对决，tellmelo 会保存谁与谁对战以及对决如何发起、每轮的两条帖子及其回应、每位玩家何时开始，以及他每轮的猜测及其时间。玩家可以看到对方的名字和头像，对方的猜测要到该轮结束后才能看到，还能看到结果。你只能向关注你的成员发起挑战；挑战和结果会以通知的形式送达。受监护账号只能单人游戏。此刻有多少人正在寻找对手，其他人只能以一个数字的形式看到（Art. 6(1)(b) GDPR）。

评分和排行榜： tellmelo 根据一个月内的对决为每位玩家计算一个评分（依据猜测、猜测的速度以及与他人对战的结果），并连同游戏局数一起保存。排行榜向成员显示名字、头像、评分和当月的游戏局数；绝不包括受监护账号，若两个账号中一个屏蔽了另一个，则绝不在二者之间显示；可在 设置 → 参与 → 动态对决 中关闭（Art. 6(1)(f) GDPR：玩家之间的竞赛；可通过开关提出反对）。每月前两名获得奖品（使用条款）；保存的是谁以多少评分获得了第几名（Art. 6(1)(b) GDPR）。

锁定其他设备： 在你游戏期间，tellmelo 会记住游戏在哪个会话中进行，以及登录时的设备名称，并在游戏结束前（最多几分钟）锁定你的其他会话和 API 密钥；它们只显示游戏正在哪台设备上进行。之后该记录会被删除（Art. 6(1)(f) GDPR：公平游戏，不在旁边查找答案）。

对决保留至结束后 90 天，无人接受的寻找对手请求和挑战保留至过期后一天，评分保留至其所属月份结束后 90 天，已颁发的奖品保留一年；你的对决、猜测、评分和奖品包含在数据导出中。

降临节日历和抽奖

十二月期间，降临节日历会根据本来就已保存的数据，统计你在某一天在 tellmelo 上做了什么，例如帖子、回复、点赞和赞成票；新保存的只有你在何时打开了哪些格子。礼物会放进你的背包（Art. 6(1)(b) GDPR）。

对于抽奖的每张抽奖券，tellmelo 会保存券号、随机代码、时间、参与条件的版本，以及你已年满 18 岁的确认；为此只读取出生日期。团队可以查看某个券号属于哪个账号，以及某个账号持有哪个券号，以核实参与和中奖情况；查询结果不会显示代码，每次查看都会记录在团队日志中。抽奖券名单不含姓名公布；公开的随机数来自 drand，不会有任何关于你的数据发送到那里。

如果你中奖，tellmelo 会加密保存所选的发放方式以及 PayPal 地址或商家，并根据一份身份证件核实你的年龄，之后删除其复印件（Art. 6(1)(b) GDPR；年龄核实另依据 Art. 6(1)(f) GDPR：奖品只发给成年人）。

格子保留到其所属十二月之后的 3 月 31 日，抽奖券保留到抽奖券名单截止后 90 天（此后只保留中奖的券号），发放信息保留到发放或奖品失效后 30 天；格子和抽奖券包含在数据导出中。

应用与通知

Mandy，系统账号

Mandy 是 tellmelo 的系统账号：既不是真人，也不是人工智能，而是团队设定的固定规则和简单计数。链接检查、自动审核以及对机构信息的标记都以她的名义进行；对其中发现的异常，由团队作出决定。无法给 Mandy 发私信，她也不会读取私信；在未加密的私信中，她只检查链接，以及在运营者开启时检查有关机构的说明。Mandy 保存的关于你的数据随账号一起结束（Art. 6(1)(f) GDPR：一个充满活力、让新成员能融入的平台）。

• 提示： 参与提示来自 Mandy，每条都附有原因，例如关于一条还没有人回复的帖子、本周挑战、你自己的某条帖子反响如何，以及注册后两到四天内发送一次新手入门提示。每天的最大数量由团队设定，根据已有的通知统计。只保存写作鼓励和提醒的发送时间，以免重复发送，以及你在 设置 → 通知 中的选择，提示可以在那里关闭。
• 帖子和回复： Mandy 会在新成员的第一条帖子下欢迎他们，感谢回复，就热门 #标签提问，在固定的节日或场合发帖，宣布本周挑战，回顾本周，汇总回复并推荐帖子；如果她引用某条帖子或回复（不含链接和提及），作者会收到通常的通知。每段文字都会事先安排，并连同成员和帖子保存 90 天，以便团队查看和叫停；这些内容包含在数据导出中。在群组中，只有管理层开启后，Mandy 才会发帖。
• Mandy 可以做什么： 欢迎、感谢以及推荐或引用你的文字，你可以在 设置 → 通知 中关闭（你设置中的三个开关）。将 Mandy 静音或屏蔽的人不会收到她的回复。
• 学习只基于总数：她的文字在 48 小时后获得了多少回复、赞（她的回复为赞成票）和转发，以及哪个时段发帖最多。不会产生关于个别成员的信息；团队可以重置学到的内容。
• 暂别之后： 如果你至少 7 天没有来过，“为你推荐”会在一天内把你关注的账号的帖子排得更靠前；会保存你回来的时间，下次回来时覆盖。团队可以为所有人关闭此功能。

推送、应用与邮件

推送只有在你于某台设备上开启后才会存在；你可以随时按设备撤回。任何推送服务都收不到内容，只会收到有新内容的信号；文字和未读数量由你的设备用自己的密钥从这台服务器获取。保存的内容包括推送服务处的地址或设备标识，以及浏览器的密钥或应用密钥的指纹，直到你关闭推送或退出登录。具体是哪些推送服务，见接收方；没有 Google 服务时，Android 应用会自行定期查询，桌面应用则在运行期间查询。通知只会出现在你此刻正在使用 tellmelo 的地方；为此，打开的页面会报告自己的类型以及是否在前台，只在工作内存中保留 75 秒（Art. 6(1)(a) GDPR，§ 25(1) TDDDG）。通知中的按钮（回复、点赞、投票、转发、回关、接听或拒绝通话）与在 tellmelo 中的操作相同；iPhone 和 Android 应用用自己的密钥把它们发送到本服务器。如果你选择每天一次，互动、新关注者、提及和群组动态将不再逐条推送，而是在你选定的时间一并送达；消息和登录请求仍会立即送达。为此，所选时间和你设备的时区会随设置一起保存。在 iPhone 应用中，来电会像电话一样响铃（CallKit）：为此会保存 Apple 处的第二个设备标识，Apple 只收到通话的一个随机标识；来电者是谁，由应用用自己的密钥从本服务器获取。这些通话不会出现在手机的通话记录中。

• 在应用中同样适用，此外：小组件只显示未读数量，用应用密钥获取，只保存在设备上。分享到 tellmelo 会把分享的内容作为草稿放进应用；只有你发布帖子时才会发送到服务器。选择照片会打开系统的照片选择器；应用无需任何权限，只会收到你选择的图片。使用 Face ID、Touch ID 或设备密码锁定由设备进行验证，应用只得知结果。应用图标和“离线阅读”（设备）都留在设备上。为了让 tellmelo 的链接在应用中打开，会获取本网站上一个只写明该应用的文件，在 iOS 上通过 Apple 获取（Art. 6(1)(b) GDPR；设备上的条目为 § 25(2) Nr. 2 TDDDG）。
• 在 Discord 中显示： 如果 Discord 与 Windows 或 Linux 桌面应用运行在同一台设备上，桌面应用会在你的 Discord 个人资料中显示你此刻在 tellmelo 上正在做什么（“Rich Presence”）：首先是所在区域（动态、某个 #标签、某个打开的群组、商店），根据你的选择，只显示你正在使用 tellmelo，或者还显示你正在查看的公开帖子或公开个人主页，包括名字、文字开头和图片；此外还有指向该页面的按钮，以及在你的个人主页公开期间指向你邀请链接的按钮。私信、搜索词、非公开的个人主页以及密友帖子或来自内部和隐藏群组的帖子永远不会显示。这些信息只发送给你设备上的 Discord 程序；Discord 按其自身条款将其传给所有能看到你个人资料的人。tellmelo 为此不保存任何内容，你的选择保存在桌面应用中。该显示连同区域和邀请链接从一开始就是开启的，应用会在第一次时用一个通往设置的按钮提示这一点。显示和邀请链接可以在 设置 → 外观与应用 → Discord 中关闭（Art. 6(1)(f) GDPR：按 Discord 上的惯常方式在那里显示你对 tellmelo 的使用）。
• iOS 应用测试版通过 Apple 的 TestFlight（Apple Distribution International Ltd.，科克）提供，适用 Apple 的条款和隐私说明。来自 TestFlight 的反馈和崩溃报告，运营者会通过 Apple 收到，同时收到 Apple 附带的信息，例如设备和系统版本（Art. 6(1)(f) GDPR：改进应用）。测试版中的购买均为 Apple 测试环境中的免费测试购买；tellmelo 为此只保存一个账号的首次测试购买作为答谢带来的套餐点数（Art. 6(1)(b) GDPR）。
• 评分请求： 最早在注册两周后、最多每四个月一次，通过 Apple 发出，是否弹出窗口也由 Apple 决定；评分只在那里进行。会保存最后一次请求的时间（Art. 6(1)(f) GDPR：让更多人知道这个应用）。
• 自定义声音（需订阅）：你的浏览器从一段录音中截取五秒，服务器去除元数据后转换并保存，直到你移除该声音（Art. 6(1)(b) GDPR）。
• 关于账号、安全、购买、决定和法律文本变更的邮件，只要账号存在你都会收到（Art. 6(1)(b) GDPR）。离开七天后的回顾（只有数字）和类似邮件只有在你同意后才会发送，可通过每封邮件中的一次点击撤回，受监护账号不会收到（Art. 6(1)(a) GDPR，§ 7(2) Nr. 2 UWG）。

工具

面向机构、合作伙伴和开发者的工具

各项工具（Art. 6(1)(b) GDPR；对于与这些工具发生接触的人，例如在与机构的对话中或作为 Webhook 或自动化的触发者，为 Art. 6(1)(f) GDPR：处理请求、送达事件、与手动相同的反应）：

• 团队访问和团队收件箱（机构）： 最多五个人可以代表账号操作，看到账号能看到的内容，包括发给该账号的私信，并以账号名义写作；他们的操作在账号日志中保留 90 天。对于对话，他们会记录由谁负责以及一条加密的内部备注，备注由机构负责。
• 活动、门店地点和个人资料补充（机构）会在个人资料中公开显示。报名参加活动的人会以名字和 @名称显示给机构，其他人只能看到人数；活动和报名记录在活动结束一年后删除。
• 网站小组件和 Webhook： 小组件在其他网站上显示某个公开个人主页的公开帖子，不使用 Cookie，也不使用脚本。Webhook 会向填写的 https 地址发送新事件的类型、标识和 @名称，从不发送文字，对合作伙伴还会发送其配额状态；接收由填写地址的人负责。
• API 密钥只显示一次，不会保存；保留的是一个不可逆的指纹、权限、最后使用时间和调用次数，不保留获取了什么。用于你自己网站上 GIF 选择器的站点密钥是公开的；保存密钥、名称、填写的地址及其创建时间，直到你删除它为止。选择器只显示成员允许在其他网站上使用的内容；服务器对其请求的处理与嵌入的 GIF 和视频相同。在开发者区域（/developer）你最多可以有十个 API 密钥，每个都有名称、权限，并可设置最后一天（api_keys.name、api_keys.expires_at）；续期的密钥会替换密钥值，已过期的会被拒绝。在那里的每项更改，包括网站密钥、机器人、Webhook 和应用，都需用你的密码确认，若已开启还需双重验证码；与登录时一样，只计算错误的输入。
• 自动化（适用于拥有相应权限的角色）：规则会按时间计划代表你的账号操作（帖子，包括带有 #标签的帖子、指定的、已关注的或未关注的个人主页；每隔几小时，如有需要只在特定时刻，并带有一定概率），或在事件发生时操作（每条新帖子、某些个人主页的新帖子、带有 #标签的新帖子或群组中的新帖子、新成员的第一条帖子、新关注者、你帖子下的回复），操作方式为点赞、对回复投赞成票（绝不会与你账号投出的反对票相冲突）、分享、用你的文字回复或关注。保存的内容包括规则（时间计划或事件、指定的个人主页、群组或 #标签、带文字的模块、最后一次运行及其计划了多少操作），以及每个已计划或被跳过的操作所涉及的帖子、回复或人员、操作、所选文字和时间，保存到其执行时间后 2 天，已执行的保存 8 天，以免重复你已撤销的操作。只读取本来就已保存的数据；每个操作都经过与手动操作相同的检查。

登录其他网站

其他网站可以让你用 tellmelo 账号登录它们。只有在你选择“允许”后，该网站才会收到你的用户名、你的已确认邮箱和一个只用于该网站的标识，或其中一部分，永远收不到你的名字、头像、帖子、联系人或密码。会保存你的同意及其范围和时间；交接时使用的一次性代码最多保留一分钟。可在 设置 → 应用与 API → 已连接的网站 中移除；该网站如何使用这些信息由其自行负责。受监护账号不能使用此功能（Art. 6(1)(a) GDPR）。

为自己的网站申请应用的人需要填写名称、网站、隐私政策、回调地址和用途；团队说明理由后作出决定（Art. 6(1)(b) GDPR）。已批准的应用你可以随时修改：修改会放在应用旁边（oidc_clients.changes），直到团队采纳或说明理由拒绝，你也可以撤回；在此之前适用已批准的版本。

审核、支持与安全

审核与账号状态

举报、决定、警告、限制和申诉都会保存，以便决定可以被复核；其中你自己写的内容加密保存。你的情况显示在“账号状态”中；每项决定都会附带理由，通过通知和电子邮件发给你，不显示作出决定的人的名字（Art. 6(1)(b) 和 (f) GDPR：保护成员免受垃圾信息、诈骗和有害内容侵害，平台的秩序与安全）。

自动审核： 帖子出现之前，运营者的规则会根据本来就已保存的数据（例如账号注册时长、最近的文本、链接、提及、团队名单中的词语）检查是否需要先由人工查看，或者帖子是否发得过快、过于频繁或带有被封锁的链接；在此之前只有你能看到它，并附有原因。决定由人工作出，包括对极快发帖后的限制。团队不受此限。

举报的排序： Mandy 按固定权重为团队排列待处理的举报（最严重的理由、举报人数、过去 90 天内针对作者的案件、等待时间），危及儿童的举报始终排在最前。每条举报都由团队作出决定；此过程不会产生新的数据。

图片检查： 这台服务器上的识别模型会检查每张上传的图片、每个视频和 GIF 是否含有色情或露骨的性内容，包括绘制的内容；视频和 GIF 根据预览图和若干单帧进行检查。只保存一个百分比数值；不会向第三方发送任何内容。超过运营者设定的阈值时，帖子会等待人工处理；作为回复、私信、个人头像或群组图片时，该图片不会被接受。团队不受此限；关于端到端加密聊天，见该处。

暂时下线： 助手和团队可以在审核作出决定之前，让一条帖子或个人资料信息（简介、头像和封面图、网站）下线；这会像举报一样保存，个人资料原先的状态加密保存，保存至作出决定后 30 天。内容是被恢复还是继续保持移除，你会通过通知得知，但不会显示让其下线的人的名字。

团队视图与角色： 为了审核，拥有相应权限的团队成员也能看到作为普通成员时看不到的内容，例如因屏蔽而隐藏的内容或密友帖子；这些内容会被标记，且无法与之互动。每位团队成员都有一个权限固定的角色；角色及其变更记录在审计日志中。

联系、支持与问题报告

• 联系请求和著作权举报，通过表单或发送电子邮件至网站信息中的地址提交：姓名、电子邮箱、留言以及著作权举报中的可送达地址连同回复都加密保存；tellmelo 从自己的服务器上收取邮箱中的邮件，附件留在那里，自动发送的邮件不会生成请求而直接删除。你对已完成请求的评价会归到团队中处理该请求的人名下（Art. 6(1)(f) GDPR：答复请求；著作权举报还依据 Art. 6(1)(c) GDPR 结合 § 10 DDG）。
• 帮助中心和支持，也包括在同一服务器上运行的 help. 和 support. 等专属子地址：在支持中提交的请求还会保存其主题。为了让你能通过邮件获取自己请求的链接，每个请求都附带你邮箱地址的一个不可逆的密钥值（HMAC）；登录后，“我的请求”会显示你在登录状态下提交的请求。文章是否有帮助只按每篇文章计为一个数字，与你没有关联（Art. 6(1)(f) GDPR：答复请求并改进帮助）。
• 从背包提交的关于订单的问题：留言（加密）连同回复、你的名字、你账号的电子邮箱（加密）以及该订单；团队能看到何时通过哪个服务商订购了什么、多少金额，并可以退款（Art. 6(1)(b) GDPR）。
• 根据 GDPR 提出的请求（访问、删除及其他），团队会记在一份清单中，包括类型、收到时间、期限、附理由的延期、办结情况以及由谁录入（由谁办结记录在审计日志中）；清单条目随请求或账号一起删除（Art. 6(1)(c) 结合 Art. 5(2) 和 Art. 12(3) GDPR）。
• 问题报告： 所属区域、描述（加密）、版本、用几个词描述的浏览器和系统、当前视图，以及你愿意时提供的截图；发送前你可以看到会附带哪些内容（Art. 6(1)(b) GDPR）。
• 工单： 举报、请求和其他事项由团队以工单形式处理，包含负责人、状态和你看不到的内部备注（加密）（Art. 6(1)(f) GDPR：有序处理）。
• 支持访问： 只有在你通过邮件中的链接同意后，团队中的一名人员才会在你的账号中操作 24 小时，无法访问登录信息、付款、删除、数据导出、各项同意以及你的私信。每项更改都会连同之前的状态（加密）一起记录，方便你撤销；结束时你会收到一份摘要。可随时在 设置 → 账号与安全 中结束（Art. 6(1)(a) GDPR）。
• 反馈： 最早在注册 14 天后，动态中的一张卡片每月最多一次询问你对 tellmelo 的感受（五个等级，你愿意时可写一句话）；删除账号时，你可以选择一个原因并写一句话。两者都是自愿的，保存时不与你的账号关联（回答或原因、加密的那句话、月份、语言）；运营者在管理后台中以统计结果的形式查看。请不要在那句话中写任何能推断出你身份的内容。账号上只记录最后一次询问的月份，以及是已回答还是已关闭（Art. 6(1)(f) GDPR：借助自愿反馈改进 tellmelo）。

审计日志

管理后台中的决定和干预会连同人员、对象、时间和理由一起记录，不包含帖子和私信。日志在账号删除后仍然保留，以便审核可以被复核（Art. 6(1)(f) 结合 Art. 17(3)(e) GDPR：主张或抗辩法律请求）。 大额退款和团队角色的变更，只有在拥有相同权限的第二个人同意后才会执行；为此会保存请求、提出者和决定者，最长 90 天。

期限与权利

数据保留多久

一旦目的不再存在，数据就会被删除，最迟在以下期限内删除；如果上文某一部分写明了更短的期限，则以该期限为准。

接收方与第三国

• 位于德国的受托处理方（Art. 28 GDPR，签有合同）：一家为服务器提供机房的数据中心运营商，以及一家邮件发送服务商；名称可通过联系表单索取。
• Photon（komoot GmbH，波茨坦）： 只接收地址搜索时输入的内容。
• 登录服务，仅在你选择时：Google（Google Ireland Limited，都柏林）、Clovord（Noah-Steffen Pansegrau，松德恩）、Apple（Apple Distribution International Ltd.，科克）；它们会得知这次登录是为了 tellmelo。
• 支付服务商，仅在购买时：Stripe、Google Play、App Store（支付）。
• 推送服务，仅在使用推送时，且只接收不含内容的信号：在浏览器中为其厂商的服务（Google、Mozilla、Apple），在 Android 应用中为 Firebase Cloud Messaging（Google），在 iOS 应用中为 Apple Push Notification service。
• Discord，仅在使用桌面应用时，通过你设备上的 Discord 程序：在 Discord 中显示，直到你将其关闭。
• 由你自己指定的接收方： 机构或合作伙伴的 Webhook 服务器、你使用 tellmelo 登录的网站，以及在桌面应用的浏览器窗口中进行搜索时的 DuckDuckGo；接收由它们自行负责。
• 政府机关和法院，仅在法律要求时（Art. 6(1)(c) GDPR）。

没有其他接收方。第三国： 使用推送时会有数据发送到美国的 Google、Apple 或 Mozilla；支付以及通过某项服务登录时，Stripe、Google 和 Apple 可能会把数据传输到美国。依据是关于欧盟-美国数据隐私框架的充分性认定（Art. 45 GDPR），前提是服务商已据此获得认证；推送还另外依据你的同意（Art. 49(1)(a) GDPR）。Discord 如何处理该显示内容（包括在欧盟以外），以 Discord 的条款为准。

没有自动化决策

不存在 Art. 22 GDPR 所指的自动化决策。动态按一个公式排序，其滑块由你设定；其主要参数见使用条款。审核、限制和计划由人或你自己的同意来决定；Mandy 也只是暂缓显示帖子和排列举报，决定由团队作出。自动发生的只有不产生法律效力或类似重大影响的事情，例如链接和图片的检查、折叠有大量反对票的回复，以及对有关机构的说明标注“未确认”。你可以对任何决定提出反对。

你的权利

• 访问（Art. 15 GDPR）、更正（Art. 16）、删除（Art. 17）、限制处理（Art. 18）和数据可携带（Art. 20）。
• 对基于正当利益的处理提出反对（Art. 21 GDPR）。
• 撤回同意（Art. 7(3) GDPR），对将来生效。

自己动手： 在 设置 → 你的数据 中下载你的数据并删除你的账号；账号会立即被封锁，并在 30 天后最终删除，在此之前重新登录即可撤销。其他事项请写信至 kontakt@tellmelo.com 或使用联系表单。

投诉： 向数据保护监管机构投诉（Art. 77 GDPR），例如你居住地或控制者所在地的机构；在巴伐利亚为巴伐利亚州数据保护监管局（BayLDA），Promenade 27, 91522 Ansbach。

变更

当 tellmelo 处理新类型的数据、用于新的目的或提供给新的接收方时，本声明会事先调整；在所述范围内的新功能不会改变本声明。顶部的日期表示现行版本。重大变更会事先通过邮件发送到你的账号邮箱通知你，纯文字性修改则不会。