隐私 政策
您家人的照片与信息十分珍贵。这里如实说明我们收集哪些内容、为何收集，以及如何加以保护——用大白话讲清楚，不玩隐藏条款的把戏。
最后更新：2026年7月
Hello Storybook 是由 Renji Labs, Inc.（“我们”）运营的服务，注册地址为 7775 Walton Pkwy, Ste. 100, New Albany, OH 43054, USA。我们制作个性化的插画儿童读物，也深知您将孩子的照片托付给我们是一件大事——因此，我们特意用真人能读懂的方式撰写了这份政策。
本政策适用于 hellostorybook.com 以及我们提供的图书和服务，说明 Renji Labs, Inc. 作为您向我们提供的个人信息之控制者如何处理这些信息，以及您可作出的选择。需要征得同意时，仅使用网站并不构成同意；我们会通过分析设置征求您的选择。
我们收集哪些信息
我们只收集制作您的图书并将其送达所必需的信息：
- 账户与联系信息——您的姓名和电子邮箱，以便我们向您发送预览、收据和订单更新。
- 参考照片——您选择上传的一张或多张儿童照片，以及在您添加时的家人、朋友、宠物或珍爱伙伴的照片，用于创作保持一致的绘本角色。
- 故事细节——孩子的名字、年龄、代称，以及您希望故事传递的温柔道理。
- 订单与配送信息——您选择的版本形式，以及对于纸质书，我们转交给印刷合作伙伴的收货地址。
- 支付信息——由 Stripe 安全处理。我们从不查看或存储您完整的银行卡号。
- 使用与诊断数据——经过净化的公开页面或路由模板、来源与活动标签、浏览器和设备、大致地区、点击和漏斗步骤、选定的产品与电商字段、Core Web Vitals 及其他性能指标、经过净化的错误诊断，以及假名化的浏览器或会话标识符。启用时，还包括下文所述的受保护会话回放。
我们如何使用这些信息
我们使用您的信息来：
- 为您的孩子创作个性化的图书与插画。
- 交付您完成的电子图书，并随时向您更新订单进展。
- 处理您的订单、收取款项，并且对于纸质书——完成制作与发货。
- 发送事务性邮件：订单确认、发货更新以及图书交付链接。
- 用于提供支持、衡量搜索和营销活动表现、了解并改善创作与结账漏斗、监测 Core Web Vitals、诊断错误和令人困惑的体验，以及改善故事、画面质量和网站。
我们不会出售您的个人信息。我们不会使用您的照片来训练 AI 模型。除非您主动要求，我们不会向您发送营销邮件。
我们的法律依据
在 GDPR 或英国 GDPR 适用的情况下，我们对您信息的每一种用途依据以下法律基础：
- 创作并交付您的图书、处理付款、发送事务邮件——履行我们与您的合同（第6(1)(b)条）。
- 保存订单和财务记录——履行我们的法律义务，例如会计和税务法规（第6(1)(c)条）。
- 在需要同意的地区（欧洲经济区、英国和瑞士）进行的分析和会话回放，以及可选的新闻通讯——您的同意（第6(1)(a)条），您可以随时撤回。
- 在法律不要求同意的地区进行的分析、错误诊断以及欺诈和滥用防范——我们的合法利益（第6(1)(f)条）：衡量和改善服务，并保持其安全可靠。
您孩子的照片依据我们与您（确认有权分享照片的家长或监护人）之间的合同进行处理。我们从不利用照片或外貌信息来唯一识别任何人——不会创建或存储任何生物识别模板——因此按照设计，不会发生特殊类别（第9条）的处理。
自动化处理与 AI
AI 模型根据您提供的信息生成图书的故事文字和插画。这是内容生成，不是对您产生法律效力或类似重大影响的决定，因此 GDPR 有关自动化决策的规定（第22条）并不适用。
被标记的图书在付印前由人工审核；您也可以随时联系客服，要求对任何生成的图书进行人工审核或修改。
您孩子的照片
这是家长们最关心的部分，所以我们把它讲得简单明了：
- 参考照片仅用于创作并质量检查您书中的画面，不作其他用途。
- 照片会在您的图书送达 30 天后从我们的系统中被永久删除——与满意保证的时限相同——且始终不迟于上传后 120 天。如果我们始终未能交付您的图书（订单被取消或退款，或我们无法完成），我们会在上传后 30 天删除照片。
- 照片绝不会被出售、分享给广告商、公开发布，或用于训练任何 AI 模型。
- 您可以随时要求我们删除您的照片（以及其他所有信息）——请参见下文的“您的权利”。
我们完整、专门的说明请见“照片与 AI 政策”页面。
分析、搜索表现与会话回放
我们使用 Google Analytics 4、Google Search Console 和 PostHog 来了解访客如何找到 Hello Storybook、哪些公开页面和创作步骤有帮助、访客在哪里离开漏斗、购买是否完成、网站对真实访客的性能，以及何时出现技术错误：
- Google Analytics 4 使用经过净化的页面或路由信息、来源与活动标签、大致位置、浏览器和设备、产品形式、订单金额、币种及交易标识符，衡量流量获取和有限的电商漏斗。允许分析存储时，它会使用第一方分析 Cookie。
- Google Search Console 报告公开页面在 Google 搜索中的表现，包括查询、展示、点击、排名、索引和 Core Web Vitals。添加 Search Console 不会在网站中加入单独的跟踪脚本或 Cookie。
- PostHog 使用假名化的浏览器和会话标识符提供产品分析、Core Web Vitals、经过净化的客户端错误报告和会话回放。我们将 PostHog 配置为在允许的大致位置处理后不保留原始 IP 地址。
- PostHog 回放重建导航、点击、滚动和页面布局；其配置会遮蔽所有表单输入，屏蔽上传照片、生成肖像、书页和私密文字，移除私密查询值与路由令牌，排除私密阅读器、订单、分享评论和退订路由，并且不采集网络请求或响应正文、控制台日志、canvas 内容或跨源框架。
我们不会有意向 Google Analytics 或 PostHog 发送儿童或家人的姓名、年龄、照片、外貌、故事细节、题词或礼物留言，成人的邮箱或配送地址，卡片信息，表单输入内容，上传或生成的媒体，或私密的图书、订单、结账、评论、礼品卡或退订令牌。
对于欧洲经济区、英国和瑞士的访客，只有在接受后才会开始分析存储和 PostHog 采集。如果您拒绝——或在您作出选择之前——Google Analytics 完全不会加载，Google 不会收到任何数据，PostHog 采集也保持关闭。在其他地区，这些工具在法律允许的范围内运行，任何人都可以随时在 Cookie 设置中更改选择。
我们的法律依据包括履行与您的合同（创作并交付订单）、在需要时取得您的同意（包括非必要分析和营销）、在允许时基于我们的合法利益（衡量和改善服务、安全与错误诊断），以及履行法律义务。
错误诊断
当出现问题时——页面无法加载，或者绘本无法生成——我们的软件会发送一份诊断报告，以便我们找到并修复故障。这些报告由 Sentry（Functional Software, Inc.）代我们处理。个人内容是在报告发送之前、在我们自己的服务器上清除的，而不是在报告送达之后。
在任何报告离开我们的系统之前，我们会：
- 从每份报告的标记字段中移除您孩子的名字和故事中其他人物的名字；在我们的软件知道这些名字时（在制作您的图书期间以及在您自己的浏览器中），也会从错误消息的正文中移除。
- 移除电子邮件地址、订单链接，以及指向您成书的私人链接。
- 如果报告中包含照片或任何其他图像数据，则整份报告不予发送，直接丢弃。
- 绝不包含会话录制、您在表单中输入的任何内容、Cookie，或我们发送给 AI 供应商的指令。
剩下的只有堆栈跟踪、错误消息和内部参考编号——足以修复缺陷，却不足以识别您或您的孩子。Sentry 依其标准条款作为我们的数据处理方，将这些报告存放在位于美国的基础设施上，并在 90 天后自动删除。
您的数据在何处处理
Renji Labs, Inc. 位于美国，协助我们运营本服务的服务商（例如我们的支付、印刷、托管和邮件合作伙伴）可能在美国或其他国家处理您的信息。这些国家的数据保护法律可能与您所在地的法律有所不同。
当我们将个人信息传输至欧洲经济区、英国或瑞士之外时，我们依赖公认的保障措施。Stripe、Google、Cloudflare 和 Sentry 已通过欧盟-美国数据隐私框架（Data Privacy Framework）认证，包括英国扩展及瑞士-美国框架。我们的其他美国服务商（Supabase、Railway、OpenAI 和 Anthropic）依据已签署的数据处理协议处理个人信息，协议纳入了欧盟委员会的标准合同条款以及英国附录和瑞士调整条款，我们并维护数据传输影响评估。您的信息在这些保障措施下于美国处理。
代表
我们重视您的隐私以及您作为数据主体的权利，因此已任命 Prighter Group 及其当地合作伙伴，作为我们在以下地区的隐私代表和您的联系人：
- 欧洲联盟（EU）
- 英国（UK）
Prighter 为您提供了一种行使隐私相关权利（例如请求访问或删除个人数据）的简单方式。如果您想通过我们的代表 Prighter 与我们联系，或行使您作为数据主体的权利，请访问以下网站: https://app.prighter.com/portal/renjilabs
儿童隐私
Hello Storybook 是面向父母、祖辈及赠礼者的服务——我们的客户是成年人。本网站并非面向儿童，我们也不会在知情的情况下直接收集 13 岁以下儿童的个人信息。
您提供的照片和信息可能与儿童有关，但由有权提交这些信息的成年客户提交。如果您认为儿童直接向我们提供了信息，请联系我们，我们会将其删除。
关于我们持有的儿童数据，明确说明如下：包括孩子的名字、年龄、代词、外貌细节以及您上传的参考照片。这些数据由您——拥有父母或监护权限的成年客户——提供，仅用于制作您订购的图书。对这些数据的所有权利（访问、删除等）由家长或监护人通过「您的权利与选择」中所述的渠道行使。
我们保留信息的时长
- 上传的参考照片：保留至图书送达后30天，以便我们仍可修改或重印，且自上传起绝不超过120天，以先到者为准。如果图书始终未送达，则在上传后30天删除。
- 完成的图书文件：为便于重新下载而保存，直至您要求删除。
- 订单记录：为履行会计、税务和保修义务保存7年。
- Google Analytics 用户级事件数据：最长14个月；汇总报告可能保留更久。
- Google Search Console 搜索表现数据：根据 Google 当前服务保留期，最长16个月。
- PostHog 会话回放：最多保留30天。PostHog 产品分析事件和经过净化的客户端错误事件：我们当前的 PostHog 方案规定事件保留期为84个月（7年）。该期限的技术强制执行目前尚未在我们的项目中启用，因此我们无法承诺在满84个月时自动删除。我们可能更早删除这些数据，会依法处理有效的删除请求，并可能更长时间保留已无法识别个人的汇总信息。
您的权利与选择
无论您身处何地，都可以要求我们提供、纠正或删除所持有的您的数据，并可随时撤回同意。您可在 Cookie 设置中更改分析选择。若您位于欧洲经济区、英国或加利福尼亚，还享有 GDPR、CCPA 等法律规定的访问、删除、可携带、限制或反对特定处理，以及不因行使权利而受到歧视等权利。
如需提出任何请求，请发送邮件至 hello@hellostorybook.com。请求是免费的。我们会将每项请求与您订单或账户上的邮箱进行核对，并在一个月内答复；如法律允许对复杂请求延长期限，我们会告知您并说明原因。您也可以通过我们欧盟和英国代表的门户提出任何请求（参见上文「代表」一节）。对于加拿大用户，负责个人信息保护的人员是 Renji Labs 的首席执行官（CEO），可通过 hello@hellostorybook.com 联系。如果您位于欧洲经济区或英国，并认为我们未妥善处理您的数据，您还有权向当地数据保护监管机构投诉——不过我们希望能先有机会为您解决。
安全保障
我们通过传输过程中的加密、访问控制以及信誉良好的基础设施服务商来保护您的信息。支付数据由 Stripe 处理，绝不会经过我们的服务器。没有任何系统是绝对安全的，但我们对待您家人数据的用心，如同对待我们自己的一样。
变更与联系方式
随着产品的发展，我们可能会更新本政策。当我们作出重大变更时，我们会更新页面顶部的日期，并在适当情况下通知您。
对您的隐私有疑问？欢迎随时发送邮件至 hello@hellostorybook.com，或来信至 Renji Labs, Inc., 7775 Walton Pkwy, Ste. 100, New Albany, OH 43054, USA。