隐私声明

数据控制者是运营 Animiyo 的一方。该平台以托管于 Google Cloud Run 的网页应用以及原生 iOS 应用两种形式提供，二者均依赖 Google Cloud 项目 petdiary-10327 中的同一套 Firebase 后端。控制者决定与宠物主人账户相关的一切事项的处理目的和方式：注册、身份验证、宠物档案、提醒、预算、遛宠记录、上传的文件以及界面偏好设置。

如需就个人数据提出任何请求，您可以使用网站的联系页面，路径为 /contatti。有关行使您权利的请求，请遵循 /diritti-privacy 中所述的流程，该页面还列出了可直接在应用内使用的工具，您无需等待我们回复即可导出或删除自己的数据。

我们未任命数据保护官，因为不满足条例第 37 条所规定的条件：本处理并非由公共机关或机构实施，不涉及对数据主体进行大规模的定期且系统性的监控，其核心活动也不是对特殊类别数据进行大规模处理。每当服务扩展时，我们都会重新进行该项评估；如果评估结果发生变化，将在本节中公布任命情况。

Animiyo 是一个多租户平台：兽医诊所、商店和服务商在各自独立的空间中运作，拥有各自的员工和各自的客户。正因如此，Animiyo 的角色并非始终一致。对于宠物主人账户的数据，Animiyo 是控制者并直接承担责任。对于诊所或商店通过平台录入的有关其自身客户的数据，Animiyo 则是处理者：控制者是租户，双方关系受 /dpa 中公布的协议约束。

这种区分不仅仅是形式上的。当 Animiyo 作为处理者行事时，它不决定收集哪些数据或保存多长时间，而是遵循租户的书面指示。如果您希望就诊所或商店录入的数据行使权利，则请求必须向该方提出；如果您将请求发送给我们，我们会提供所需的技术协助，并将其转交给有权限的控制者，同时告知您我们已如此处理。

下表并非千篇一律的套话：它列出了系统中实际存在的类别，并附有取自应用数据结构的示例。来源一栏说明信息从何而来，因为这既会影响法律依据，也会影响您对其采取行动的方式。

在技术层面，这些数据存放于以下 Firestore 集合中：users、usernames、pets、petContacts、petShares、petSightings、petMemberships、petConditions、petActivity、petMemories、foundTags、vaccinations、medications、dewormingRecords、weightRecords、labResults、soapNotes、vetAppointments、appointmentTypes、hospitalized、consentForms、signedConsents、estimates、invoices、orders、subscriptions、rewards、reviews、resources、walks、routes、routeShares、groupWalks、conversations、budgetItems、budgetGoals、budgetConfigurations、tenants 以及 auditLog。照片、上传的文件和同意书签名存储在 Cloud Storage 上。我们之所以公布该列表，是因为这样便可核对此处声明的内容与系统中实际存在的内容是否一致。

这是本文件的核心部分。以下两张表将每一项处理目的与所使用的数据类别、法律依据、保存期限和数据接收方相对应。第一张表涵盖为提供您所请求的服务而必需的处理；第二张表涵盖基于同意、正当利益或法律义务的处理。

同意随时可以撤回，撤回不影响此前已进行的处理的合法性。您可以在设备设置中取消通知和位置权限，在 /cookie 中所述的面板上关闭统计功能，并在宠物记录中关闭公开的走失宠物标签页面。在处理以正当利益为依据的情形下，我们已核实我们在保持服务安全和正常运行方面的利益不会凌驾于您的权利之上，因为所使用的数据仅限于技术数据，保存期限较短，且不会由此对您作出任何决定；您仍可依据条例第 21 条提出反对。

动物的健康数据并非条例第 9 条意义上的健康数据，因为动物不是自然人，因此也不是数据主体。然而，这并不使其成为匿名数据：一次疫苗接种、一项治疗或一次住院都可以追溯到由录入这些数据的账户所标识的主人，因此它们仍属于主人的个人数据，并按此对待。

由此产生的实际后果是，健康记录的法律依据是履行合同，而非第 9 条的明确同意。不过在技术层面，我们对这类信息采用与特殊类别数据相同的保护措施，因为其被感知到的敏感性以及在未经授权访问情况下可能造成的损害是相当的。

• 访问权限仅限于主人以及主人已明确授权的各方。
• Firestore 和 Cloud Storage 的安全规则会在每次读取和每次写入时核实文档的归属。
• 租户之间的数据隔离，从而使诊所仅能看到已与其共享的宠物。
• 在应用审计日志中记录重要操作。
• 传输中使用 TLS 加密，静态存储时使用 AES-256 加密。

在一种特定情形下，第 9 条可能间接变得相关：当您自愿录入有关自身健康的信息时，例如声明该动物是导盲犬或辅助动物。在这种情况下，数据涉及一名自然人，其法律依据是第 9 条第 2 款第 a 项所规定的明确同意，而您通过选择在自由文本字段中写下该信息即表示给予该同意。您可以随时通过编辑或删除内容将其移除，我们也鼓励您在与照护动物无关时不要录入有关自身健康的数据。

遛宠轨迹是 Animiyo 作为控制者所处理的最敏感的数据类别。一连串的路线所能揭示的远不止行程本身：您外出的时间、日常习惯、您所去的地点，以及间接地，您的家庭住址。正因如此，我们将其视为高风险类别，而非普通的应用内容。

• 仅在遛宠开始时才请求精确位置，且系统权限始终可在设备设置中撤回。
• 轨迹默认为私密：在您选择共享之前，其他任何用户都无法看到。
• 共享路线和加入集体遛宠都是自愿且可撤销的行为；一旦共享被撤销，内容便不再对他人可见。
• 轨迹绝不会用于广告、商业画像或对您习惯的推断。
• 公开的走失宠物标签页面仅显示送还动物所需的信息，且随时可以关闭。
• 删除轨迹即时生效，无需提出正式请求。
• 每一项处理位置的新功能在推出前都会先行进行数据保护影响评估。

除您选择的共享以及托管数据库的基础设施提供商之外，位置数据不会向任何第三方披露。轨迹下方显示的地图瓦片来自由您的浏览器查询的外部服务（详见下文），该服务接收到的是所请求的地图区块和连接的 IP 地址，而非完整轨迹，也非您的 Animiyo 标识符。

有些功能的存在正是为了向他人展示某些内容：寻找走失的宠物、在集体遛宠中被识别、为诊所留下评价。在所有这些情形下，公开都是您的明确选择，而绝非默认设置。下表概述了哪些内容会变为可见、对谁可见以及如何撤销。

请记住一个任何平台都无法克服的技术局限：内容一旦公开，看到它的任何人都可能已将其复制、保存或在别处建立索引。撤销会在我们这一侧停止公开，并使内容无法通过 Animiyo 访问，但无法删除他人已经制作的副本。正因如此，我们建议在走失宠物标签上只公开真正有助于送还动物的信息。

Animiyo 不运行任何自有服务器：整个平台依赖于托管的 Google Cloud 和 Firebase 服务，它们按照我们的书面指示作为次级处理者行事。下表列出了实际使用的服务、每项服务所处理的数据及其运行所在的区域。

当前列表连同任何替换情况以及应向租户提供的通知期限，均公布于 /sub-responsabili。除基础设施提供商外，您的数据还可能到达其他接收方，但这始终是您的选择或某项法律义务的结果。

• 您选择与之共享宠物或预约的租户，仅限于服务所需的数据。
• 您与之共享宠物、路线或集体遛宠的其他用户。
• 任何访问您自愿公开的内容的人，例如评价或走失宠物标签页面。
• 在法律或具有约束力的命令要求披露的情况下的主管机关。

Animiyo 不出售个人数据，不向广告网络披露个人数据，也不将其用于训练人工智能模型，无论是我们自己的还是第三方的模型。不存在任何第三方画像 cookie，也不存在任何用于营销目的的数据交换安排。

平台的主要资源，即 Cloud Run、Cloud Functions、Cloud Firestore 和 Cloud Storage，托管于位于美国的 us-central1 区域。这意味着您的个人数据，包括动物健康数据、照片、上传的文件和遛宠轨迹，均存储和处理于位于美国的服务器上。我们明确说明这一点，是因为这是您在决定是否使用本服务之前需要知道的事项，而不是次要的技术性说明。

• 以 Google Ireland Limited 作为缔约方，并对本项目适用 Google Cloud Data Processing Terms。
• 由欧盟委员会以第 2021/914 号实施决定通过的标准合同条款。
• Google LLC 依据欧盟与美国之间的《数据隐私框架》（Data Privacy Framework）取得的认证。
• 对传输中的数据使用 TLS 加密，对静态存储的数据使用 AES-256 加密。
• 由控制者记录在案的传输影响评估，其中已考虑目的地国家现行的访问权法律。
• Google 关于其如何处理来自公共机关的访问请求的公开政策。

这些保护措施均无法完全消除风险：美国的监控法律原则上可能允许公共机关提出访问请求，在这一点上，承诺绝对保护是不诚实的。为从根源上降低风险，我们正在进行一项技术和经济评估，以便将基础设施迁移至欧洲区域，即 europe-west 区。在作出该决定并完成迁移之前，数据传输仍如本节所述；一旦存储位置发生变化，本节将予以更新，且该变更将在应用内公布。

应用中显示的部分信息来自由您的浏览器直接查询的公开数据库，且仅为只读查询。我们不会向这些服务发送您的标识符、您的电子邮件地址或您宠物的数据，但提供商仍会接收到您连接的 IP 地址以及通常的请求信息：仅此就足以使该处理需要予以披露。

由于并非所有这些提供商都会声明响应请求的服务器所在地，我们将这些调用视为可能的欧盟境外传输，并确保您知悉这些情况。尤其是地图瓦片，会向提供商透露您正在查看的区域，从而间接透露遛宠所在的区域。控制者计划将这些调用移至服务器端，以便由 Animiyo 后端查询外部来源，使您的 IP 地址不再到达第三方提供商。

我们对每一类数据的保存时间以其收集目的所需的期限为限，之后予以删除。下表汇总了我们所适用的每一段期限以及作为其依据的判断标准。

当您从应用中提出请求时，从在线系统中的删除即时进行，且无论如何都会在三十天内完成。由 Google Cloud 管理的备份副本和复制副本会被后续的周期所取代，绝不会用于恢复应请求而删除的数据。期限一旦届满，数据将被抹除或不可逆地匿名化，即被剥除与您账户的一切关联。

此处所列的措施是平台中实际实施的措施，而非一份良好意愿的清单。它们是针对本服务的具体风险而选定的：无权限者对某宠物数据的访问、不同租户数据之间的混淆、对接口的自动化滥用、数据丢失。

• 带有电子邮件地址验证的 Firebase Authentication。
• 通过令牌自定义声明（custom claims）按角色和按租户进行访问控制。
• 按集合和按角色编写的 Firestore 和 Cloud Storage 安全规则，会在每次读取和每次写入时核实文档的归属。
• 不同租户之间的数据隔离，不存在任何交叉读取路径。
• 采用 reCAPTCHA Enterprise 的 Firebase App Check，用以拒绝并非来自合法应用的请求。
• 存放于 auditLog 集合中的应用审计日志。
• 对传输中的数据使用 TLS 加密，对静态存储的数据使用 AES-256 加密。
• 在网页上以强制模式运行的内容安全策略（Content Security Policy）。
• 由 Google Cloud 管理的备份和复制。
• 对管理账户采用最小权限原则。

我们不会声称拥有未曾取得的认证，也不会承诺绝对的安全，因为任何联网的系统都无法提供绝对安全。上述措施会在每一次涉及身份验证、访问规则或数据结构的发布时接受审查。如果发生对您的权利和自由构成风险的个人数据泄露，则会在条例第 33 条和第 34 条所规定的期限内向监管机构进行通报，并在风险较高的情况下向数据主体进行告知。

条例赋予您第 15 条至第 22 条所述的各项权利，您可以随时且免费行使这些权利。下表结合其在 Animiyo 中的适用情况予以概括；具体的操作流程，连同响应时间和身份核验，载于 /diritti-privacy。

• 应用内导出：您可生成一个 JSON 存档，其中包含用户资料、宠物及其子集合、宠物联系人、预算配置、开支条目和目标。
• 应用内账户删除：它会移除用户资料、宠物及子集合、联系人、共享、走失宠物标签、目击报告、预算条目和目标。
• 应用内工具未涵盖的请求：其流程载于 /diritti-privacy，在控制者为诊所或商店的情形下会转交给相应租户。

如果您认为该处理违反了条例，您可以向意大利监管机构即个人数据保护局（Garante per la protezione dei dati personali，地址：piazza Venezia 11, 00187 Roma）提出投诉，或向您通常居住或工作所在国家的监管机构提出投诉。投诉独立于任何其他救济，且不要求您必须先与我们联系，尽管直接提出请求往往是解决问题最快捷的方式。

如 /termini 中公布的使用条款所规定，本服务仅面向年满十八周岁的人士，且我们不会在知情的情况下处理未满十六周岁儿童的数据。我们不收集用户的出生日期，因此无法自动核验年龄：保障措施依托于使用条款中所述的年龄限制以及我们所收到的举报。

如果我们获悉某账户由未成年人创建，除非法律义务要求保存，否则我们会暂停访问并尽快删除相关联的数据。如果您是家长或监护人，并认为某未成年人已开设账户，请从路径为 /contatti 的联系页面进行举报，并指明相关的用户名或电子邮件地址：我们会核查该举报并向您确认结果。若未成年人出现在其他用户上传的照片或文件中，同样适用上述规定。

Animiyo 不进行条例第 22 条意义上的、对您产生法律效果或对您有类似重大影响的纯自动化决策。我们不对用户评分，不为广告目的建立画像，也不允许由某项自动计算来决定对服务的访问或其商业条款。

同样地，提醒、疫苗到期提示和预算估算都是基于您所录入的数据的确定性计算，而非画像。如果某个日期临近，您会收到提示；如果某笔开支超过您设定的阈值，您会在摘要中看到它。这些自动行为均不会就您的个人特征得出结论，也均不会向第三方披露。

App Check 反欺诈控制针对的是单次技术请求，而非用户画像：当某次校验未通过时，被拒绝的是该次请求，而非该账户。如果您认为某次拦截有误，您可以从 /contatti 页面进行举报，复核将由人工进行。

本声明以一个版本号和一个生效日期加以标识，二者均显示在文件顶部。当前版本为 1.0，自 2026 年 8 月 2 日起生效。每当文件发生变更时，版本号和日期都会随之变化。

当变更属于实质性变更时，例如引入新的处理目的、变更法律依据、新增次级处理者或将数据迁移至另一区域，我们会在变更生效前在应用内发布通知；在变更需要您同意的情形下，我们会再次征求您的同意，即使您不予同意，服务仍将继续运行。不改变处理活动的文字更正和澄清将不经通知即予发布，但仍会更新修订日期。

以往版本仍在源代码的版本控制中留有记录，该记录即本文件权威的历史沿革：每一次变更都与一个日期以及促成该变更的原因相关联。如果您需要过去某一时刻生效的文本，可以从 /contatti 页面提出请求。