要点

CardVault 只存储一个家庭放进去的东西，不多也不少：账号的电子邮箱与密码（只以哈希形式保存）、收藏家的名字与表情符号、卡牌、愿望清单、卡册、卡组与主题收藏，以及扫描时拍下的照片。没有广告、没有分析工具、没有第三方跟踪程序。所有数据随时都能在应用里导出与删除。

谁来负责

本数据的控制者为 truck8.ai，地址 Pater Beckerstraat 21, 4731 AK Oudenbosch, 荷兰，荷兰商会登记号 97413402。任何关于你数据的问题请寄到 hello@truck8ai.com；那也是数据保护负责人的邮箱。

存储的内容

账号：一个电子邮箱、只以哈希形式保存的密码、选择的语言与设置，以及账号所在的方案。

收藏家：每个档案一个名字和一个表情符号。没有电子邮箱、没有出生日期、没有任何人的照片。

收藏：卡牌及其数量、品相与版本，愿望清单，卡册与其页面，卡组清单，主题收藏，徽章，你分享出去的链接，以及让「撤销」和价值记录得以运作的变更记录。

分享页面：拿到你链接的人会看到收藏家的名字和表情符号，以及这个页面讲的卡牌——交换清单上是可以割爱的重复卡及其品相和愿望清单，附卡表上的价格；卡册上是各个卡格里的卡牌、系列卡册里空着的卡格，价格只有在链接的主人打开后才显示。分享的愿望清单上是收藏家的名字和表情符号、清单的名字以及清单上的卡牌，价格只有在链接的主人打开后才显示；想要的卡牌上写的备注不会离开应用。电子邮箱、其他收藏家、收藏的价值都不会出现在分享页面上；链接一关，页面也就没了。

扫描器：每张扫描卡牌校正后的照片，以及应用从中读出的内容。

付款：支付服务商就订阅或购买发送的事件。其中绝不含卡号；应用从来看不到卡号。

服务器：没有记录地址的访问日志。登录次数限制只在内存中按 IP 地址计算尝试次数，十分钟后便忘记；应用日志会记下每个请求的路径、状态与耗时，不含地址，并在每次发布新版本时丢弃。

扫描照片

一次扫描只保留卡牌本身经过裁切与校正的图像——不含桌面、不含房间、不含拿着卡的人。它存在是为了让出错的扫描能被理解和更正。夜间任务会删除所有超过十四天的扫描照片。如果某张照片是家庭用来教扫描器认一张卡的，或者被手动更正过，它会成为那张卡的参考图像，并保留到账号被删除为止。

我们为何可以存储

这一切都是提供账号持有人所要求的服务所必需：GDPR 第 6 条第 1 款 (b)，履行合同。没有广告，也没有画像。唯一以正当利益（第 6 条第 1 款 (f)）为依据的处理，就是维持服务运行与安全：上面说明的登录次数限制与应用日志。账务记录之所以保存，是因为荷兰税法要求：第 6 条第 1 款 (c)，法律义务。

保存多久

直到账号被删除为止，有两个例外：扫描照片如上所述在十四天后删除，账务记录则因税法要求保存七年，并已切断与账号的关联。删除账号会一次删掉其余的一切——没有等待期，也没有存档副本。服务器备份保留十四天后轮替。

AI 功能，以及它们发送什么

应用里只有三件事会把数据发送到 Anthropic PBC，其他都不会。

经过本地比对、系列符号与角落编号之后仍不确定的扫描：会发送卡牌校正后的照片，以便读出名称与编号。免费方案每天最多十次。

Family Plus 上用自己的话写的主题收藏：你输入的那句话。

Family Plus 卡组小助手的「帮我组一副卡组」：卡组清单与它可以使用的卡牌名称。

以上三者都不会带上电子邮箱、账号名称或档案名称。这些请求依 Anthropic 的商用 API 条款处理，不会用于模型训练；CardVault 自己也不会用家庭的数据训练任何东西。

还有谁会处理

欧盟境内的主机服务商：运行应用的服务器及其备份。

Stripe Payments Europe：在网页上完成的付款与订阅。

RevenueCat 与 Google：通过 Google Play 商店的购买。

Anthropic PBC：上述三种请求。

Resend：验证邮件与密码重置邮件。

以上都是依数据处理协议行事的处理者，只会拿到完成各自工作所需的部分。没有其他接收方，也绝不会出售数据或交给广告商。

你的权利

你随时可以在设置 →「你的数据」看到并带走全部：收藏与愿望清单的 CSV、整个家庭的备份文件，或整个账号的一份 JSON 文件。你可以在设置 →「账号」→「删除账号」把一切删除。

除此之外，你享有 GDPR 赋予的权利——查阅、更正、删除、限制处理、可携与反对——写信到 hello@truck8ai.com 即可行使。若你认为数据处理有误，也可以向荷兰数据保护监管机构（Autoriteit Persoonsgegevens）投诉。

儿童

账号持有人是成年人，代表整个家庭持有账号。里面的孩子是档案，不是账号：只有家庭选定的名字和表情符号，没有电子邮箱、没有出生日期、没有自己的登录方式，也没有任何被联系到的途径。没有聊天、没有动态，也不会和家庭以外的任何人往来，因此无法通过这个应用接触到孩子。家长随时可以给档案改名或移除它。

Cookie 与跟踪

CardVault 不使用 cookie。浏览器的 localStorage 会保存登录状态和你选的设置——语言、主题、价格来源——因为那正是让你保持登录、让应用维持你离开时样子的东西。无论在应用里还是在这个网站上，都没有分析工具、没有广告联盟、没有指纹跟踪，也没有第三方脚本。

向欧盟境外的传输

服务器与其备份都在欧盟境内。有三家处理者位于美国：Anthropic PBC、Resend Inc. 与 RevenueCat Inc.；Google 也可能在当地处理 Play 的购买。这些传输各自依据与该公司签订的数据处理协议中所载欧盟委员会的标准合同条款，或在该公司持有认证时，依据其依 EU-US Data Privacy Framework 取得的认证。送到它们那里的，只有上面各段所说的内容：一张卡牌照片或一句输入的文字、一个用来寄验证邮件的电子邮箱、一笔购买记录——绝不会是整份收藏。

本声明的变更

若有重大变更，会在生效前以电子邮件通知账号持有人，本页上方的日期也会更新。具有约束力的是英文原文；十种翻译仅为方便阅读。