隐私政策

概览

• 我们是谁： Elumi AI Limited（运营"HeyLoLo"服务），一家设立于迪拜国际金融中心的公司。
• 我们目前收集的信息： 在这个尚未正式上线的网站上，仅收集您加入候补名单时提供的电子邮件地址（以及您选择填写的任何可选备注）。
• 目的： 向您告知产品上线的最新动态，并邀请您抢先体验。
• 保留期限： 直至您要求我们删除，或产品上线后满两年为止，以较早者为准。
• 数据存储地点： 存储于由 Supabase 托管、位于德国法兰克福的数据库中。电子邮件通过位于美国的 Resend 发送，并采取适当的保障措施。
• 儿童： HeyLoLo 正式产品专为 6–14 岁儿童设计，并需取得可验证的家长同意。 本网站 面向家长与监护人，而非面向儿童。请勿向我们提供儿童的电子邮件地址。
• 联系方式： privacy@heylolo.ai。

1. 数据控制者是谁

数据控制者为 Elumi AI Limited，一家依据《公司法》（Companies Law, DIFC Law No. 5 of 2018）在阿拉伯联合酋长国迪拜国际金融中心（DIFC）注册成立的私人公司。

• 注册号：13418
• 商业执照：CL13418
• 注册办公地址： Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre (DIFC)，阿拉伯联合酋长国，迪拜

关于本政策的任何事宜，您均可通过 privacy@heylolo.ai 与我们联系。

2. 欧盟及英国代表

由于 Elumi AI Limited 设立于欧洲经济区及英国境外，我们正在依据《通用数据保护条例》（GDPR）第 27 条及英国 UK GDPR 第 8 条指定代表。一经指定，其联系方式将在此处公布。在此期间，您可直接通过 privacy@heylolo.ai 与我们联系。

我们尚未任命数据保护官（DPO）。鉴于所计划的正式产品处理活动的性质与规模（大规模处理儿童数据），我们预计将在产品上线前任命一名 DPO，并相应更新本节内容。

3. 本政策的适用范围

本政策涵盖我们目前通过 HeyLoLo 营销网站（heylolo.com、 heylolo.ai 以及由 Replit 托管的预发布网址）及其提供的候补名单注册所处理的个人数据。当 HeyLoLo 正式产品发布时，将有单独的产品隐私声明及适合儿童阅读的摘要适用于产品内部处理的数据。在未通知某一用户之前，我们不会开始对该用户数据进行产品层面的处理。

4. 我们收集的信息及原因

4.1 候补名单注册

当您提交候补名单表单时，我们会收集：

• 您的电子邮件地址（必填）；
• 可选的来源标签（若您告知，即您从何处得知我们）；
• 您选择填写的可选备注；
• 您提交的日期与时间；
• 该请求的最小化技术记录（例如我们的托管及电子邮件提供商所见的 IP 地址，仅用于提供服务及检测滥用行为）。

法律依据：依据 GDPR 第 6(1)(a) 条的您的同意（您主动提交表单），以及依据 GDPR 第 6(1)(f) 条我们在运营与保障候补名单方面的合法利益。您可随时通过发送电子邮件撤回同意；撤回不影响此前已进行的处理。

4.2 确认电子邮件

我们会通过电子邮件提供商（Resend）向您发送一封确认电子邮件。若您回复，该回复将出于回答您信息的目的而被处理，并在回答该信息及履行任何法定记录保存义务所需的期间内予以保留。

4.3 服务器日志

我们的托管提供商会出于安全与正常运行监控目的保留简短的技术日志（URL、状态码、IP、用户代理）。这些日志不用于分析或画像。

4.4 Cookie 及类似技术

本预发布网站不设置任何非必要 Cookie，亦不运行任何广告或分析追踪器。我们的托管提供商可能出于安全与负载均衡目的设置严格必要的 Cookie。若我们日后新增分析工具或任何非必要 Cookie，我们将依据欧盟《电子隐私指令》及德国 TTDSG 通过 Cookie 横幅事先征得您的同意。

5. 儿童

HeyLoLo 产品专为 6–14 岁、在家长监督下的儿童设计。本网站（包括候补名单）面向家长、监护人及其他成年人—而非面向儿童。

• 我们不会在知情的情况下收集 13 岁以下儿童（COPPA）的个人信息，或在适用情况下收集低于儿童所居住欧盟/欧洲经济区成员国所设定的数字同意年龄（默认为 16 岁；视国家而定为 13–16 岁）的儿童个人信息。
• 若家长或监护人发现儿童已通过本网站提交个人信息，请通过 privacy@heylolo.ai 与我们联系，我们将及时删除相关数据。
• 在 HeyLoLo 正式产品中，我们将在收集任何儿童数据之前，执行符合 COPPA（15 U.S.C. §§ 6501–6506 及 16 C.F.R. Part 312）的可验证家长同意程序。家长将能够随时审阅、更正、删除其子女的数据，并拒绝进一步收集。

6. 我们如何共享数据

我们不出售个人信息。我们不会将其与广告商或数据经纪商共享。我们使用少数经过审查的处理者，他们仅依据我们的指示行事，并受符合 GDPR 第 28 条的书面数据处理条款约束：

• Supabase, Inc.— 候补名单的应用数据库与身份验证。托管于欧盟（德国法兰克福；eu-central-1）。
• Resend, Inc.— 事务性电子邮件发送。托管于美国。
• Replit, Inc.— 预发布网站的托管。托管于美国。

在法律、法律程序要求的情况下，或为保护 Elumi AI Limited、我们的用户或公众的权利、安全或财产，我们亦可能共享数据。

7. 国际传输

凡个人数据传输至欧洲经济区、英国或 DIFC 境外时—例如传输至位于美国的 Resend 或 Replit—我们依据以下机制：

• 在接收方已获认证的情况下，依据欧盟–美国数据隐私框架；
• 欧盟委员会的标准合同条款（2021/914），对于英国传输，则依据英国国际数据传输附录，并视需要采取补充措施；
• 对于自 DIFC 进行的传输，依据 DIFC 2020 年《数据保护法》所认可的等效传输文书。

您可通过发送电子邮件至 privacy@heylolo.ai 索取我们所依据的保障措施副本。

8. 我们保留您数据的期限

• 候补名单电子邮件及提交记录：直至您要求我们删除，或 HeyLoLo 正式产品上线后满两年为止，以较早者为准。
• 电子邮件往来：在回答您信息及履行任何法定记录保存义务所需的期间内保留，之后予以删除。
• 服务器日志：通常最多保留 30 天，除非因调查特定安全事件而需要更长期限。

9. 您的权利

视您的居住地而定，您可能对我们持有的关于您的数据享有以下权利：

• 访问权— 要求我们告知所持有的数据并获取副本。
• 更正权— 要求我们更正错误或不完整的数据。
• 删除权— 要求我们删除您的数据。
• 限制处理权— 在特定情形下要求我们暂停处理。
• 反对权— 反对基于合法利益进行的处理。
• 可携权— 以机器可读格式接收您的数据。
• 撤回同意— 可随时撤回，对此前已进行的处理不产生影响。
• 不受仅基于自动化处理并对您产生法律效果或类似重大影响的决定约束（GDPR 第 22 条）。我们不会在本网站上作出此类决定。在产品中，任何影响儿童的 AI 辅助决定都将受到有意义的家长监督。

如需行使上述任何权利，请发送电子邮件至 privacy@heylolo.ai。我们将在法定时限内作出回应（GDPR 项下为一个月，对于复杂请求可再延长两个月）。

您还有权向数据保护监管机构提出投诉。特别是：

• 在欧盟/欧洲经济区，向您居住国的监管机构投诉（欧洲数据保护委员会保有一份名单）；
• 在英国，向信息专员办公室（ICO）投诉；
• 就我们在 DIFC 的设立机构，向 DIFC 数据保护专员投诉。

10. 美国—各州隐私权利

若您是加利福尼亚州、弗吉尼亚州、科罗拉多州、康涅狄格州、犹他州、得克萨斯州、俄勒冈州、蒙大拿州或任何其他制定了综合性隐私法的美国州的居民，在相关法律适用于我们的范围内，除上述权利外，您还享有以下权利：

• 知悉我们所收集个人信息类别并访问该信息的权利；
• 更正不准确信息的权利；
• 删除您信息的权利；
• 就跨情境行为广告而出售或共享个人信息选择退出的权利—我们并不从事上述任何一种行为，故目前并无可供退出之事项；
• 限制使用和披露敏感个人信息的权利；
• 因行使上述任何权利而不受歧视的权利。

如需行使这些权利，请发送电子邮件至 privacy@heylolo.ai。我们将使用与您候补名单提交相关联的电子邮件核实您的请求。您可委托授权代理人。

11. 我们如何保护数据

我们采取与风险相适应的技术和组织措施（GDPR 第 32 条），包括：

• 对本网站及处理者之间的所有流量进行传输中加密（TLS）；
• 对存储于我们数据库中的数据进行静态加密；
• 行级安全策略，防止对候补名单记录的未授权访问；
• 基于最小权限原则的访问控制，管理账户采用多重身份验证；
• 经过审查并受合同约束的子处理者；
• 定期备份及书面记录的事件响应流程。

没有任何系统是绝对安全的。若发生可能对您的权利与自由造成风险的个人数据泄露，我们将在要求的情况下于 72 小时内通知主管监管机构（GDPR 第 33 条），并在风险较高时毫不迟延地通知您（GDPR 第 34 条）。

12. 自动化决策与人工智能

本网站不会对您作出自动化决策。在 HeyLoLo 正式产品中，AI 助手在设计上是一种支持家长与儿童的工具，而非自主决策者。凡使用 AI 过滤内容或向家长标记安全信号之处，家长均保留审阅与推翻的权力。我们将在产品自身的隐私声明中，依据欧盟《人工智能法案》（EU AI Act）第 50 条，就 AI 辅助处理提供清晰、通俗易懂的信息。

13. 本政策的变更

我们可能会不时更新本政策。当我们作出重大变更时，将更新页首的"最后更新"日期，在网站上发布明确通知，并—在我们与您存在关系时（例如您在候补名单中）—提前通过电子邮件通知您。对于超出您最初同意范围而扩大使用您数据的变更，我们将在依据这些变更行事之前重新征得您的同意。

14. 联系方式

如有任何隐私相关问题、请求或投诉，请发送电子邮件至 privacy@heylolo.ai。

邮寄地址：Elumi AI Limited, Unit IH-00-01-01-OF-01, Level 1, Innovation One, Dubai International Financial Centre (DIFC), Dubai, United Arab Emirates。