隐私政策

1. 控制者和适用范围

ONEPIX在大韩民国以服务名称플레이컨티뉴（PlayContinue）运营，代表显示名为캡틴맨。客服、隐私和权利请求可发送至playcontinue00@gmail.com。

2. 处理的信息

• 登录：Apple或Google提供商标识符、电子邮件地址和提供商提供的姓名等账户元数据、身份验证令牌以及会话信息。选择Google登录时，Google的iOS登录SDK还可能按照其隐私清单处理与Google账户关联的电话号码以及SDK或环境使用数据。ONEPIX不会将电话号码作为单独的个人资料字段要求用户输入，也不会将其用于访问通讯录、广告或跟踪。
• 个人资料：内部参与者ID、昵称、所选国家徽章、应用语言、账户状态和变更时间戳
• 社交关系：好友请求和已接受的好友关系、屏蔽、点赞、“我的世界”角色邀请与连接，以及相关参与者ID、状态和时间戳
• 像素：画布ID、坐标、颜色、放置时间、像素来源、请求ID、昵称和国家快照，以及首位放置者／当前署名
• 社区和“我的世界”内容：社区帖子与评论；“我的世界”动态文字、心情和背景选择；留言簿留言与回复；角色台词；关联的Studio作品；源语言、所附画布或坐标、创建／删除时间以及作者快照
• “我的世界”自定义：拥有的目录和衣橱物品；房间内的位置、图层顺序、大小、方向和功能状态；壁纸；代表角色及肤色、表情、发型、服装和配饰；所选音乐；以及已连接访客角色的位置
• 虚拟橡果：处理绑定账户的钱包余额、发放与使用、数量与原因、请求或引用ID、交易时间、所显示的商品价格、商品购买及由此产生的权益。橡果是仅限在ONEPIX内使用且不可转让的虚拟货币，不是货币或加密资产，不能提现或兑换。购买所得橡果在账户有效期间不会过期。ONEPIX不会为该账本收集支付卡号或银行账号。
• 举报：举报参与者、目标内容、原因、可选详情、审查状态和处理结果
• 翻译：请求翻译的内容和目标语言、源文本和译文、检测到的语言、提供商／模型、字符数和请求记录
• 应用内购买：处理商店和商品、商店交易／订单／引用ID或单向哈希、用于服务器验证的不透明收据或购买令牌、账户绑定标识符、购买日期和环境、验证与消耗状态、PIXEL+订阅周期与续订状态，以及退款、撤销、提供商通知和对账记录。ONEPIX不会接收或存储支付卡或银行账户信息。Google原始购买令牌不会存入SQL或日志，仅存储SHA-256交易标识。
• 当前送审版本未启用广告。ONEPIX不初始化广告SDK，不发出广告请求，也不处理广告标识符或广告互动。如日后向FREE账户展示广告，将适用相应同意和隐私披露，PIXEL+仍保持无广告。
• 广告不可用期间，激励广告验证处于停用状态。除非单独启用该功能，ONEPIX不会创建广告奖励会话、接收广告回调或发放广告权益。
• 服务日志：基础设施可能生成的标准网络数据，例如IP地址、请求时间、User-Agent、应用／设备环境和错误信息
• 可选应用衡量：仅在用户主动同意后，Firebase Analytics才可能处理设备和应用信息、操作系统版本、区域设置、屏幕名称、方案类别和功能使用结果。在“我的世界”中，这包括所有用户共用的固定目录商品ID、商品子类别、功能性或装饰性类别、进入页面、拥有状态、显示的橡果价格、选择、预览、购买结果、功能使用，以及房间保存后摆放变更的类型和汇总数量。这些事件不包含个人所拥有商品或摆放的标识符、房间主人或访客标识符、精确位置或坐标、橡果余额、昵称、对话、作品名称、搜索词、其他自由输入内容或购买收据。Firebase Crashlytics可能处理崩溃诊断信息和堆栈跟踪。
• 安装标识符：随附的Firebase服务初始化时，Firebase Installations会自动创建并处理Firebase安装ID（FID）。ONEPIX还会创建随机的ONEPIX安装UUID，并将其与登录账户一起关联到Supabase，用于查询和保护该安装的应用内提醒状态。这些值不是广告ID或手机推送传递令牌。
• 当前版本停用手机推送通知。ONEPIX不请求通知权限或注册FCM注册令牌，会停用消息服务自动初始化，并尽可能删除旧令牌。这并不妨碍处理上述Firebase Installation ID或ONEPIX安装UUID。登录后的应用内提醒直接从Supabase获取。

3. 处理目的

• 身份验证、账户创建、维持会话连续性和防止滥用
• 个人资料、像素可用数量、画布放置、署名、档案和延时作品
• 好友关系、邀请、点赞、社区和“我的世界”的帖子、评论、留言簿、角色台词、举报、翻译、内容审核和安全
• My World库存、房间布局、角色外观、所选音乐、虚拟橡果记账、商品权益、商店购买验证、账户绑定、订阅权益提供、退款与撤销处理、对账及抗滥用交易
• 服务资格、账户安全、防止滥用和客户支持
• 错误分析、安全、服务改进和法律合规
• 对商品选择、预览、购买、摆放和功能使用进行汇总分析，以改进目录构成、装饰便利性和功能质量
• 安装识别、登录后应用内提醒的传递、显示、偏好控制和防止滥用

4. 他人可见的信息

昵称、国家徽章、像素坐标、颜色和时间、首位放置者／当前署名、社区及“我的世界”动态的帖子和评论、留言簿留言与回复、角色台词、关联的Studio作品、点赞及所附坐标可能按设计公开。访问某个“我的世界”时，还可能看到其壁纸、房间物品及布局、功能状态、所选背景音乐，以及所显示角色的外观和位置。档案不仅保留最终颜色，还会保留公开像素事件以及用于署名和延时作品的历史昵称／国家快照。

好友请求、非公开好友关系网、屏蔽及待处理邀请状态仅限相关用户查看。商品拥有权、虚拟橡果余额和账本、Firebase安装ID及ONEPIX安装UUID不会公开显示。

更改昵称不会更新像素、档案、帖子或评论中的历史快照。账户删除则不同：昵称、国家、署名和账户关联会从这些记录中移除，档案中的贡献者将显示为“已删除用户”。

5. 处理者和跨国处理

ONEPIX使用下列提供商。生产Supabase项目托管于大韩民国首尔区域。提供商可能依据其公开条款和隐私政策在韩国境外处理信息。

• Supabase：身份验证、PostgreSQL数据库、Realtime、Edge Functions、服务器日志，以及与账户关联、用于各安装应用内提醒状态和安全的随机ONEPIX安装UUID
• OpenFreeMap：打开世界画布时，ONEPIX会向匈牙利Hyperknot Software Kft.运营的公共OpenFreeMap实例请求矢量图块和字体。常规网络请求会暴露IP地址和所请求的图块坐标。OpenFreeMap称其匿名服务器日志包含浏览器类型、来源页、日期/时间和操作系统；默认不记录IP，但发生安全事件时可临时记录最多30天。Cloudflare也可能处理请求数据。ONEPIX不会发送账户ID、昵称、像素内容、帖子、评论或签名。加载失败时，将使用内置Natural Earth备用地图，不再请求地图提供商。
• Google Firebase Analytics和Crashlytics：仅在用户同意后用于可选的产品衡量和崩溃诊断。目录商品ID是所有用户共用的商品ID，并非用户个人所拥有副本的标识符。ONEPIX不会将ONEPIX账户ID设置为Firebase用户ID，也不会向Firebase发送昵称、电子邮件地址、作品、消息、评论、署名、摆放标识符、对话、作品名称、收据或像素、画布、房间坐标。Analytics的广告ID收集和广告个性化均已停用，用户可随时在“个人资料”中关闭收集。Supabase仍是服务后端；Firebase不用于身份验证、画布、像素或橡果余额、社区内容或账户存储。
• Google Firebase Installations：为识别已安装的应用实例并支持随附的Firebase服务，会自动创建并处理Firebase安装ID（FID）。FID不同于广告ID、ONEPIX账户ID、ONEPIX安装UUID和FCM注册令牌；即使可选Analytics和Crashlytics收集已关闭，也可能处理FID。
• Google Firebase Cloud Messaging：当前版本停用手机推送通知。不请求通知权限或注册FCM注册令牌；这不会删除另行处理的FID。登录后的应用内提醒使用Supabase。
• Apple：社交登录和账户身份验证。Google登录：选择时用于账户身份验证和提供商元数据；其iOS隐私清单声明，电话号码用于应用功能且与用户关联，其他使用数据用于分析且与用户关联，两者均不用于跟踪。
• Google Cloud Translation：仅在用户选择“翻译”时，ONEPIX才会向Google发送所请求的文本内容及目标语言，其中可能包括帖子、评论、留言簿内容和角色对话。不会发送ONEPIX账号ID或电子邮箱地址。译文可能缓存在Supabase中，以减少重复请求。
• Google User Messaging Platform（UMP）：广告不可用期间不会初始化。仅在为FREE账户启用广告且确有需要时使用。
• 广告提供商：广告不可用期间不使用广告SDK。只要FREE账户展示广告，PIXEL+就不展示广告。
• Apple App Store和Google Play购买服务：显示本地化商品和价格，处理收费与订阅管理，并为服务器验证提供交易、收据或购买令牌、续订、取消、退款、撤销和消耗状态。ONEPIX会按需发送账户绑定标识符和商品或交易引用，但不会接收支付卡或银行账户信息。

6. 留存、删除和处置

账户删除申请获准后，ONEPIX会删除登录账户、非公开个人资料、像素余额、橡果钱包、库存、内部订阅状态和有效会话，并从进行中的画布中移除用户当前的像素和签名。帖子和评论仅保留结构性删除占位，正文、作者信息快照和其他个人信息会被清除。删除ONEPIX数据不会取消App Store或Google Play订阅。

服务记录会在账户有效期间，以及为运营和保护服务、处理购买与退款、核对商店状态、防止重复或欺诈交易并履行会计和法律义务所需的期间内保留。删除账户时会移除当前钱包和订阅状态，但不直接识别个人的交易ID或哈希、账本条目及退款或防重放记录，可能为上述限定目的继续保留。原始对账引用在400天保留期后清除，尝试详情在90天后删除，已完成的提供商投递记录在400天后删除，其余运营指纹在引用清除后再过730天删除。审核证据通常在结案后最多保留180天，不识别个人的Apple撤销结果保留30天；不可逆匿名化的共同作品记录可能继续保留。外部提供商日志遵循其公开政策。

7. 您的权利

用户可以请求访问、更正、删除、限制处理、撤回同意以及删除账户，最终授权和处理范围由服务器执行。Google等未关联Apple身份的账户可从个人资料或公开网页删除。Apple关联账户必须在iPhone上的ONEPIX应用中使用新的Apple授权码重新验证身份。只有Apple上游撤销成功或服务器验证到有效的撤销凭据后，才会删除Auth账户和ONEPIX数据。网页OAuth无法提供该一次性授权码，因此网页会阻止Apple关联账户的删除并引导用户使用iOS应用。证明缺失或身份不匹配时需要重新验证；配置、Apple服务或凭据存储不可用时会安全中止，稍后可重试。

国家徽章原则上永久使用，但选择错误或法律要求的更正可发送至playcontinue00@gmail.com。访问、更正、删除、限制、撤回同意和申诉也可发送至该邮箱。

当前送审版本不发出广告请求，因此没有广告或广告同意控制。如为FREE账户启用广告，将提供适用的同意控制，PIXEL+仍保持无广告。

当前版本不提供手机推送通知。登录后的应用内提醒类别可在ONEPIX内单独控制，Firebase Analytics和Crashlytics同意相互独立。

在“个人资料”中关闭应用改进数据后，后续可选Analytics事件和Crashlytics收集将停止，设备上尚未发送的崩溃报告会被删除。已经发送的信息仍适用已公开的保留和删除做法，用户可通过官方联系方式行使相关权利。

8. 安全、儿童和变更

ONEPIX采用服务器权限分离、行级访问控制、以服务器为准的验证、加密传输、速率限制和审计记录等措施。任何系统都无法保证绝对安全。

ONEPIX仅面向年满16周岁的人士。服务不向未满16周岁的人士提供，目前也不提供监护人同意注册流程。政策更新会显示修订日期和生效日期，重大变更将通过适当方式公布。