隐私政策

由家长完成玩家注册

未满 16 岁的玩家注册时，需要请家长或监护人完成账户。玩家填写昵称、年龄段和这位成年人的邮箱地址。我们会向该地址发送一封邮件（通过 Resend，见下文），其中有一个完成账户的链接和一个停止此类邮件的链接。也就是说，我们在这位成年人同意任何事情之前就使用了其邮箱地址，而且这个地址是从玩家那里得到的，不是从本人那里。请求等待期间，我们在 Supabase 位于爱尔兰的数据库中保存：昵称、年龄段、语言、完成后返回的页面、明文邮箱地址（用于发送邮件并在完成页面上显示）、该地址的编码形式（密钥哈希）、玩家 IP 地址的编码形式（密钥哈希，绝不保存 IP 地址本身）、仅以哈希形式保存的两个链接、请求时间，以及邮件的发送时间和次数。法律依据：我们的正当利益，即确保未满 16 岁的儿童只能通过家长或监护人注册，并防止有人借此向他人大量发送邮件（GDPR 第 6 条第 1 款 f 项）。

在这位成年人打开链接、勾选方框并按下按钮之前，不会创建任何东西。之后账户会被创建，并以这位成年人的邮箱地址作为账户邮箱，因此登录链接会发给他们。我们保存确认的时间、他们看到的确认文本版本以及当时适用的服务条款版本。法律依据：账户合同，由这位成年人代玩家同意（GDPR 第 6 条第 1 款 b 项；德国民法典第 107 条）。在同一页面上，他们还可以另外允许玩家用课本页面的照片制作游戏（见“家长同意”）。之后，玩家的浏览器会通过设备 Cookie gp_signup 自动登录（见“广告与跟踪”）。

为防止滥用，一个请求最多发送 5 封邮件，每封至少间隔 2 分钟；同一个地址每天最多收到 3 封此类邮件，30 天内最多 6 封（无论来自哪台设备）；同一个 IP 地址每天最多发出 5 个请求。在以下情况下，我们会删除明文邮箱地址：玩家用新请求替换旧请求时立即删除；成年人完成账户时立即删除（此后它就是账户邮箱）；否则在链接过期后的第一次每日清理时删除。链接有效期为 7 天，因此地址最多保存 8 天。未完成的请求（届时只剩编码后的地址）会在请求 30 天后删除；在此之前我们需要它来执行 30 天的限制。对于已完成的账户，我们会保留请求和确认的记录，直到账户被删除；链接的哈希在链接无法再使用时即被删除。

这位成年人可以随时对此提出反对（GDPR 第 21 条）。最简单的方式是点击邮件中的“停止这些邮件”链接。打开该页面不会改变任何东西，只有按下页面上的按钮才会生效。按钮会删除发往该地址的所有未完成请求，并把该地址的编码形式（密钥哈希，绝不是地址本身）加入我们的“已要求停止”地址列表，此后的请求将不再发送任何邮件。该条目会一直保留，直到这位成年人要求我们删除。如需删除，或不通过链接提出反对，请写信到 privacy@genioplay.com；我们会以同样方式处理发到那里的反对。“你的数据”中的所有权利同样适用。

广告与跟踪

GenioPlay 不展示第三方广告，也不使用广告 Cookie 或跨站跟踪 Cookie。我们只使用网站运行所需的 Cookie：如果你有账户，会有登录 Cookie；一个语言 Cookie（NEXT_LOCALE），在你关闭浏览器之前记住你选择的语言；如果你用课本页面的照片制作游戏，或者举报玩家制作的游戏，会有一个设备 Cookie（gp_device），其中只有一个随机代码，最长保存一年；在玩家等待成年人完成注册期间，还会有一个设备 Cookie（gp_signup），其中有一个随机的一次性代码，账户完成后本浏览器用它登录，最长保存 7 天，浏览器登录后立即删除。这些 Cookie 是严格必需的，因此无需征得同意（德国 TDDDG 第 25 条第 2 款第 2 项）。没有账户时的游戏进度、你上次玩的游戏和关卡（以便首页提供“继续”）、你选择的家乡国家以及你的声音和平静模式设置只保存在你的浏览器中（本地存储）。

使用统计

为了了解孩子们喜欢哪些游戏、在哪里遇到困难，我们会统计匿名事件——例如“开始了一个关卡”或“完成了一个关卡”，以及页面语言。我们使用托管在欧盟的 PostHog，不使用 Cookie，也不在您的设备上存储任何内容，因此每次访问都单独计算，我们无法把同一个人的不同访问联系起来。我们从不发送姓名、昵称或电子邮件地址，从不录制屏幕，也从不将这些数据用于广告。

用你的课本做游戏

本节适用于你用课本页面的照片制作游戏时。你上传正在学习的课本页面的照片；上传前，你的浏览器会重新保存每张照片，从而去除隐藏的位置信息。我们只用这些照片来制作你的游戏：一个 AI 模型阅读页面并围绕内容出新题，第二道 AI 检查会把每道题与页面进行核对。请只拍课本页面，不要拍到姓名、人脸或学校信息：如果照片中仍有个人信息，我们会立即删除，并请你重拍那一页。照片保存在我们的数据库服务商 Supabase 位于爱尔兰的私有存储空间中。游戏一做好或页面无法使用时，我们就会删除照片；其他情况下，最迟在上传后 2 天内删除。我们从不保存照片或课本原文：我们保存的是游戏、对主题的简短概述以及 AI 找到的关键知识点，用来核对题目。如果游戏被删除，我们也会删除这些内容：如果是你删除的，没有账号时在 3 天无活动后删除，免费账号 30 天后，订阅或试用 90 天后，但不早于游戏制作当月月底；如果是我们移除的，在移除 6 个月后删除，以便你仍能查看我们的理由并提出申诉。如果游戏一直没有做完，我们会删除为它保存的内容：没有账号的在 3 天无操作后删除，免费账号 30 天，订阅或试用账号 90 天。如果 AI 拒绝处理这些页面或认为不合适，我们会保留这一记录 3 个月（不含照片和文字），以防滥用。法律依据：提供你所请求的服务（GDPR 第 6 条第 1 款 b 项）。

在 AI 阅读页面之前，你需要勾选一个方框，确认你的家长或监护人已经同意（或者你自己是成年人），并且你同意我们的服务条款。我们会保存勾选的时间以及当时适用的服务条款版本。没有账户也可以免费试用预览，每台设备 24 小时内最多 3 次、每个网络最多 10 次：为了计数，我们会随预览一起保存设备 Cookie 和你的 IP 地址的编码形式（密钥哈希），但从不保存 IP 地址本身。

我们的 AI 服务商：Anthropic

AI 模型是 Anthropic Ireland, Limited 运营的 Claude，Anthropic 依据数据处理协议作为我们的数据处理者。Anthropic 在美国以及可能在欧盟以外的其他国家的服务器上处理照片和我们的指令。这些数据传输受到与 Anthropic 签订的协议中的欧盟标准合同条款保护；你可以向我们索取副本。我们不会向 Anthropic 发送任何姓名、昵称或电子邮件地址。Anthropic 会在 30 天内删除其副本，并且不会用它来训练模型。如果其安全系统将某个请求标记为可能的滥用，该请求最长可能被保存 2 年。

家长同意

未满 18 岁的玩家，只有在家长或监护人通过电子邮件同意一次之后，才能制作游戏。玩家填写家长的邮箱地址，我们会向该地址发送一封邮件（通过 Resend，见下文），其中有一个同意链接和一个撤回链接。我们不会以明文形式保存这个邮箱地址。我们保存的是：它的编码形式（密钥哈希），用于发现同一个地址为许多账户确认的情况，以及匹配撤回请求；两个链接仅以哈希形式保存，并附有效期；邮件的发送时间和次数；同意或撤回的时间；以及家长看到的同意文本版本。同意链接只能使用一次，7 天后失效。家长可以随时通过邮件中的链接或写信到 privacy@genioplay.com 撤回同意；之后该玩家将不能制作新游戏。为玩家完成账户的家长，也可以在该页面上通过一个单独的方框直接同意：此时我们保存同样的内容（该地址本来就是账户邮箱），并记录该页面的同意文本版本，把服务条款版本保存在已完成的请求中，然后发送一封带有撤回链接的邮件。以上所有内容会随玩家账户一起删除。法律依据：我们保护儿童并能够证明已获同意的正当利益（GDPR 第 6 条第 1 款 f 项）。

公开游戏与举报

玩家用课本页面的照片制作的游戏，任何有链接的人都可以玩。如果制作者选择“所有人”，我们团队的人会先审核这个游戏，然后它才会出现在我们的游戏列表中。任何人都可以玩这些游戏，游戏上会显示制作者的昵称，也会显示在列出该玩家所有公开游戏的页面上，我们要求搜索引擎不要收录该页面。我们统计每个游戏（包括我们的游戏和玩家制作的游戏）的游玩次数，每完成一关计一次：我们保存次数和最后一次游玩的日期，关联到账户的编码形式（密钥哈希），没有账户时则关联到 IP 地址的编码形式，从不保存账户 ID 或 IP 地址本身。我们团队只能看到每个游戏的总数，这些记录会在最后一次游玩 12 个月后删除（我们了解哪些游戏有人玩的正当利益，GDPR 第 6 条第 1 款 f 项）。已登录的玩家可以点赞或点踩，与其账户一起保存。任何人都可以举报游戏，无论是否有账户，需要选择原因，并可选填备注。已登录玩家的举报，我们保存其账户；没有账户的举报，我们保存设备 Cookie 和 IP 地址的编码形式（密钥哈希），但从不保存 IP 地址本身，这样每个人对同一个游戏只能举报一次，并且每个 IP 地址 24 小时内最多接受 10 次举报。来自不同人的三次举报会让游戏被隐藏，直到我们检查完毕。我们会记录每一项决定（内容、时间和原因），游戏被移除时会向制作者显示原因。举报及我们对每项决定的记录，会在举报处理完毕 12 个月后删除，以便在此之前处理申诉；如果游戏更早被删除（例如制作者删除账户时），举报会随游戏一起删除。法律依据：我们保障儿童游戏安全的正当利益，以及我们作为平台处理举报的义务（GDPR 第 6 条第 1 款 f 项和 c 项；DSA 第 16 条和第 17 条）。

安全计数

为了及早发现问题，我们会统计用课本页面的照片制作游戏时的安全事件：例如一张显示了个人信息的照片、不是学习材料的页面、AI 拒绝处理的请求，或被检查标记为不安全的题目。我们只保存事件类型、数量和时间：不保存照片、不保存文字，也不保存是谁触发的。

给我们的消息

当你通过我们的联系表单写信时，我们会保存你的电子邮件地址（用于回复）、你填写的名字（如有）、主题和留言内容。当你向 @genioplay.com 的地址（例如 hello@ 或 privacy@）发送邮件时，我们会保存发件人、收件地址、主题和正文；附件只保留在 Resend。两者都会进入我们自己的收件箱，存放在我们位于爱尔兰的 Supabase 数据库中，我们还会把一份副本转发到我们在 Yahoo Mail 的邮箱。该服务由 Yahoo EMEA Limited（爱尔兰都柏林）作为独立的数据控制者提供；Yahoo 可能在美国及欧盟以外的其他国家处理数据，依据的是充分性认定（包括欧盟-美国数据隐私框架）和欧盟标准合同条款。为防止表单被滥用，我们保存你的 IP 地址的编码形式（密钥哈希），但从不保存地址本身，并且每小时最多接受 5 条消息。涉及法律或隐私事务的消息，我们会在处理完毕 3 年后删除，其他消息在 1 年后删除；我们邮箱中的副本也同样处理。法律依据：回复你（GDPR 第 6 条第 1 款 b 项和 f 项）；对于隐私请求，是我们依法回复的义务（GDPR 第 6 条第 1 款 c 项）。

我们发送和接收的邮件

我们通过 Resend（Plus Five Five, Inc.，美国旧金山）发送和接收邮件，Resend 依据数据处理协议作为我们的数据处理者。这包括登录和注册邮件（由 Supabase 生成链接并将邮件交给 Resend）、请家长完成玩家账户的邮件、请家长同意玩家用课本页面的照片制作游戏的邮件、把联系表单中的消息转发给我们，以及接收发往 @genioplay.com 地址的邮件。邮件从爱尔兰的服务器发出，但 Resend 将邮件内容和日志保存在美国。Resend 已通过欧盟-美国数据隐私框架（EU-US Data Privacy Framework）认证，同时也适用欧盟标准合同条款。Resend 将邮件数据保存 30 天。