隐私政策

工作区保存在你的设备上

任务、说明、目标、关联、日历设置与历史保存在本地 SQLite 工作区。本地备份、导出文件、偏好与缓存也可能留在电脑上。使用本地看板无需云端账号。

Goalloom 不将任务正文作为产品遥测发送，也不使用广告追踪器。开启加密同步不会自动加密本地数据库、导出文件和备份；请保护设备及你分享的副本。

Apple / Google 登录与账号

Apple 或 Google 与 Supabase 处理账号标识、邮箱、已提供的基本资料和会话。账号可用于可选 AI 及同步；登录本身不授权上传、开启 AI、启动试用或证明付款。我们不接收 Apple 或 Google 密码。

当前登录只申请基本身份、邮箱和个人资料权限，不申请 Gmail、Google Drive 或 Google Calendar 权限。Google 账号数据不会出售、用于广告或用于训练 AI 模型；其使用与传输遵循 Google API Services User Data Policy，包括 Limited Use 要求。

可选的加密同步

启用同步后，设备先加密工作区操作的载荷，再发送到 Supabase。服务端保存密文，以及同步所需的账号、设备、工作区、序号、授权、用量与时间元数据。端到端加密保护操作载荷，不覆盖这些运行元数据。网络基础设施还可能处理 IP 地址和请求日志。

授权设备持有解密工作区所需的密钥。受支持的同步偏好可能包含加密后的 AI 凭据；普通工作区导出和备份排除这些凭据记录。服务端不会收到明文同步密码或设备私钥。丢失必要凭据可能导致密文无法恢复。

可选的 AI 功能

BYOK 使用你配置的 OpenRouter 或 Vercel AI Gateway Key。受支持客户端在你明确开启 Goalloom 托管 AI 后，需要登录与账号绑定的同意，相关任务输入、目标、说明或有限活动上下文才会经 Goalloom、OpenRouter 发送：智能输入由 TypeSafe/Jev 处理，起草和复盘由 DeepInfra 处理，笔记重写由 DeepSeek 官方运行 DeepSeek V4.1 Flash 1017。DeepSeek 可能留存发送的内容，并可能用于模型训练。macOS 1.11.0 在具备服务资格并取得同意后可使用此托管来源；旧版 Windows 客户端不提供 Plus 付费功能。服务商处理可读内容，这不是同步端到端加密。

Goalloom 在原请求内临时处理 AI 内容，不持久化保存到服务器。结果仅返回一次，无法重新下载；仅保留必要的调用、成本和安全元数据。移除旧加密缓存不等于日志、副本或备份立即完成物理擦除。

设备可在有界本地缓存中保留未采纳的 AI 草稿、复盘小结及其指纹，包括退出账号之后。本地副本与服务商处理有不同的保留边界。服务商保留和训练规则以其政策为准，Goalloom 不承诺每个处理方零保留。

网站、链接预览与更新

官网使用 Vercel 托管，不安装广告或分析脚本，并在浏览器本地存储中记住你选择的主题。托管基础设施可能处理 IP 地址、请求网址、浏览器信息、时间和安全日志，以提供并保护网站。

桌面应用可为链接预览请求公开网页元数据和图片，并访问 GitHub 发布基础设施检查、下载更新。请求目标会收到通常的网络信息；链接预览还会暴露被请求的网址。打开外部链接后，该次访问适用目标网站的政策。

服务商与信息披露

Apple/Google 提供登录，Supabase 提供账号与加密同步基础设施，Vercel 托管官网，GitHub 分发桌面版本。OpenRouter 与选定模型供应商处理 AI 请求；Stripe 处理网页支付，RevenueCat 核验支付事实；Apple 购买暂缓。这些页面不运行支付 SDK。

我们不出售个人信息，也不为定向广告共享个人信息。为提供功能、履行法律义务或处理滥用和安全威胁，可能需要披露相关信息。服务商可能在你所在国家或地区以外处理数据。你联系我们时，邮箱及发送的信息用于回复和处理请求；公开 GitHub 问题对他人可见。

保留与删除

本地数据与副本由你管理，直至你删除。托管账号信息和加密工作区记录保留用于提供同步，直至删除。安全、支持和基础设施记录按其用途或法律义务保留；已删除数据可能仍在常规备份中保留到该副本到期。我们不承诺立即清除所有备份。

退出登录、卸载应用或撤销 Google 授权本身不会删除云端数据。删除任务也不等于删除其同步历史、备份或账号。若要删除托管账号及关联工作区数据，请通过下方邮箱联系我们。其他设备和你自己的备份中的副本需另行删除。

Plus 定稿上线政策从全部试用、付费及宽限结束起保留云副本 30 天；截止关闭取回，随后 7 天内完成在线删除，之后新购不能恢复旧副本。主动删除不另加普通保留期，确认后立即停止访问，7 天内完成在线删除。在线删除后，受限灾难恢复副本可能保留至适用基础设施服务商的保留政策规定的到期时间。本地副本及托管 AI 的保留规则独立。上述 Plus 服务由受支持的 macOS 客户端提供，Windows Plus 暂缓开放。

你的选择与请求

你可以仅在本地使用应用、关闭可选 AI、退出同步、导出工作区、管理本地副本，或在 Google 账号中撤销授权。根据适用法律，你可以请求访问、更正、删除、限制处理、反对处理或获取我们持有的个人信息副本，并向当地数据保护机构反映问题。请发邮件提出请求；加密会限制我们能够查看或恢复的内容。

Goalloom 不面向 13 岁以下儿童。如果你认为儿童向托管服务提供了个人信息，请联系我们，以便核查并适当处理删除。

政策变更

数据处理方式变化时，我们会更新本页日期。重要变化会通过官网或适当的产品通知说明。政策更新不会自动启用可选数据共享，也不会授予新的访问权限。

付款与订阅信息

macOS Goalloom 通过 Stripe 发起网页购买，RevenueCat 汇总核实后的支付事实。Windows Plus 和 iPhone 购买暂缓开放。信息页面不加载支付 SDK，也不发送付款请求。

在已开放的购买渠道中，处理方可为计费、核验和支持处理付款方式信息、交易/订阅标识、购买来源、金额、币种、账期与必要账号绑定元数据。支付元数据不得包含任务正文、prompt、同步密码或 API Key；我们不宣称任何形式的付款信息都不经过 Goalloom。

到期后的云端数据

在全部有效试用、付费服务及适用宽限期结束后，云端副本保留 30 天。仅取消自动续费不会提前开始这 30 天。保留期内停止新的云端上传和内置 AI；你仍可在完成账号验证并持有所需同步密码或其他解密凭据后，受限取回已有云数据。Goalloom 不能代替你恢复遗失的解密凭据。

在保留期内恢复有效订阅，可以继续使用尚未删除的云端副本。30 天结束后，取回入口关闭，并开始删除在线副本，在线系统删除在其后 7 天内完成。截止后重新订阅，即使删除任务尚未完成，也不能恢复旧副本，需要从你保留的数据重新建立同步。

普通到期、退款和支付争议采用同一 30 天云端保留期限。本地任务、本地历史及你自己保存的备份不会因订阅到期而被删除。

受限取回生成独立本地副本，不恢复同步或上传更改。替换当前工作区需要你明确选择，并先完成保护性本地备份。仅登录账号不能解密副本；所需解密凭据保留在你的设备上。

账号设置显示服务截止、取回截止及在线删除状态。必要提醒仅在 Goalloom 应用内显示，不打断本地编辑。提醒不延长期限，不通过邮件或系统推送发送。

主动删除账号或云数据

主动删除不享有普通 30 天保留期。有效请求确认后，相关云访问立即停止；相关在线内容及你请求删除的账号在 7 天内删除。请先导出所需内容。重新订阅不能恢复已删内容；设备上的本地数据由你管理。

删除整个账号时，我们会同时处理网页订阅的取消续费。Apple 内购不会随 Goalloom 账号删除自动取消，请在 Apple 订阅设置中关闭续费。你可以立即删除账号，无需等待订阅到期。只删除云端数据不等于取消账号或订阅。删除本身不产生未使用时间的退款；适用法律或购买平台规则另有要求的除外。

删除后的有限保留

Stripe或Apple处理相应渠道的付款，RevenueCat用于核对订阅，Goalloom据此管理账号服务资格。我们处理必要的账号关联、订单、金额、币种、税费和订阅状态，不向支付或订阅核对服务发送任务正文、AI输入或同步密码，也不保存完整卡号或安全码。

按上线政策，在线删除后，受限灾难恢复副本可能保留至适用基础设施服务商的保留政策规定的到期时间。这些副本不作为账号恢复或继续服务的入口。基础设施恢复后，必须在恢复访问前重新应用删除记录，避免已删除内容重新成为可访问数据。这不表示底层介质在删除请求时即完成物理擦除。

为处理账务、税务、支付争议和法律义务，我们会将必要的订单、发票及支付处理记录保留至相关交易或账务调整后 7 年；法律要求更长时按该要求处理。去标识化的试用领取及账号滥用防护记录最多保留至删号后 180 天，不包含任务正文，不使用设备指纹。与某项争议或法定义务直接有关的必要记录，可保存至该事项结束及适用保留期届满。

保留账务或防护记录不意味着保留完整任务账号，也不为保留所有任务内容提供依据。AI 请求与结果的处理规则见隐私政策，不以云同步副本的期限替代其实际数据规则。

联系我们

账单、隐私、账号或删除数据请求，请通过下方邮箱私密联系，不要公开发布到 GitHub issues。运营者可能核实账号归属；请勿发送密码、同步密钥、API Key 或完整付款凭据。

hellojimmywong.ai@gmail.com