隐私政策

最后更新：2026 年 8 月 13 日

HelperMate 是一个家庭内部的做饭协作工具：雇主安排菜，帮佣照着做，双方各读自己的语言。这份政策说明我们到底存了什么、为什么存、以及你怎么把它删掉。

我们尽量写成能读得下去的样子。凡是能力不足而非功能设计的地方，也如实写明。

一、责任主体

新加坡《个人数据保护法》(PDPA) 要求指定数据保护官并公开其联系方式。上面这个地址通到一个人，不是工单队列。

二、两种账号，存的东西不一样

雇主 —— 用邮箱和密码注册。建立家庭、添加菜谱、派发任务。

帮佣 —— 不需要邮箱，也不需要手机号。她用雇主给的邀请码入驻，自己设一个 6 位 PIN，系统为她生成一个登录名。我们不索取、也不存储她的护照号、工作准证号、雇佣合同、薪酬，或任何其他雇佣记录。

三、我们收集什么

所有人共通

• 显示名称。 你自己填的，不必是法定姓名。
• 语言偏好。 决定给你显示哪一版译文、以及用哪种语言给你写通知。
• 登录凭据。 雇主是邮箱与密码，密码只以 PBKDF2-SHA256 哈希存储；帮佣是系统生成的登录名与 6 位 PIN，同样只存哈希。两者我们都无法还原。
• 会话令牌，用于保持登录状态。
• 登录失败记录，用于连续输错后锁定账号。锁定过期即删除。

使用过程中产生

• 你撰写、导入或改写的菜谱及其译文。
• 做菜任务：哪道菜、哪一天、哪一餐、几人份、以及雇主写的备注。
• 帮佣主动提交时上传的成品照片。
• 雇主与帮佣之间一对一聊天消息，含聊天中发送的图片，以及这些消息的译文缓存。
• 通知设置，包括你的免打扰时段。
• 你开启通知的那台设备的推送令牌。

自动采集的部分

刻意很少：

• 操作的时间戳，用于展示任务的处理经过。
• 你所在家庭的时区，用于让提醒落在合适的钟点。
• 基础设施服务商的服务器日志（IP 地址、浏览器标识），由该服务商出于安全与滥用防范短期保留。

四、我们刻意不收集什么

这一节不是装饰。新加坡社会高度关注外籍家庭帮佣的处境，而我们从一开始就在防一种具体的失败：这个应用变成监工工具。

• 不采集位置。 从不索取位置权限，不存储任何形式的位置。
• 不做工时统计。 没有上下班打卡，没有工时汇总。
• 不做后台或定时拍照。 相机只在帮佣自己点击提交成品时打开，任何其他时刻都不会。
• 不生成绩效评分。 任务逾期会提示雇主，用途是安排饮食；它不产生评分、扣分、处罚或任何长期不利记录。
• 不提供把聊天导出为「工作证据」的功能。 雇主无法导出帮佣的消息；任何一方的数据导出都不包含对方的消息。
• 没有广告、没有分析 SDK、没有跨应用或跨网站追踪、没有设备指纹、没有 IDFA。 iOS 端的隐私清单中追踪项声明为 false，追踪域名列表为空。
• 不读取通讯录、日历、麦克风、健康数据。

五、用途

只用于实现你要的功能：

• 登录，以及把你的家庭与其他所有家庭隔离开。
• 按你选择的语言呈现菜谱。
• 在你允许的范围内、并遵守你的免打扰时段发送通知。
• 保障服务安全 —— 限流、连续登录失败后锁定。

我们不用你的内容训练 AI 模型。具体哪些数据发往何处，见下一节。

六、还有谁会处理你的数据

这份名单刻意保持简短。涉及的第三方只有这些。

几件要紧的事：

• AI 服务商会看到你要求翻译或导入的那段文本。 它拿不到你的邮箱、姓名或账号标识。菜品照片与成品照片从不发给它。聊天消息只有在有人明确点击该条消息的「翻译」时才会发送。
• Apple 的推送服务能读到通知的标题与正文，因为 APNs 的载荷不是端到端加密的。通知文字很短，内容是菜名、发送者的显示名称或消息预览。若你介意，可在应用内关闭通知。
• 我们不出售个人数据，不为广告目的共享数据。这个应用里没有广告。

七、数据出境

我们的基础设施运行在 Cloudflare 的全球网络上，AI 处理发生在新加坡境外的服务器。按 PDPA，这属于个人数据出境传输，在此披露。我们依赖上述服务商提供的合同条款，其目的是达到与 PDPA 可比的保护水平。

如果你不接受这一点：这个应用离开它无法运行，请不要注册。

八、保留多久

一处需要直说的不足。 雇主把帮佣从家庭中解绑时，家庭保留属于它自己的记录 —— 派过的任务和它拥有的菜谱。帮佣提交的照片会随这些任务保留，直到她删除自己的账号。她若希望更早清除，可以删除账号（第九节）。我们目前没有在解绑时自动到期清理这部分数据；与其写一个我们并未执行的保留期，不如把现状说清楚。

九、你的权利，以及怎么行使

按 PDPA，你可以访问、更正你的个人数据并撤回同意。这些都在应用内就能完成，不需要发邮件。

取得一份你的数据

iPhone 应用： 我的家庭 → 账号与数据 → 导出我的数据。 帮佣端网页： 首页 → 账号与数据 → 导出我的数据。

你会拿到一个 JSON 文件，含你的个人资料、家庭成员关系、通知设置、你自己发出的消息、你的提交记录和任务。它刻意不包含对方的消息 —— 那是对方的数据，不是你的。

更正你的数据

显示名称和语言在应用内可直接修改。其他内容请联系上面的地址。

删除你的账号

iPhone 应用： 我的家庭 → 账号与数据 → 删除账号。 帮佣端网页： 首页 → 账号与数据 → 删除账号。

会要求你输入 DELETE 确认。这是刻意的：删除不可撤销。

如果你是帮佣，删除会移除你提交的照片、你发过的消息（及其译文缓存）、你的通知设置与推送令牌，并把你从家庭中解绑。雇主的家庭、菜谱和任务记录仍属于他。你参与过的会话对他转为只读，其中你的消息已经不在。

开始使用前你应当知道的一个后果。 你的账号归属于邀请你的那个家庭，不能带到新雇主那里；如果雇主把你解绑、或者他删除了自己的账号，你的账号也随之终止。去新的家庭工作意味着重新被邀请、在那边建一个新账号。想保留什么，请在此之前先导出（见上文）。如果你已被解绑但账号尚未注销，你仍然可以登录，只为一件事：导出或删除你自己的数据。

如果你是雇主，且你是家庭中唯一的雇主，删除会连同家庭本身一起删除：它的任务、菜谱、聊天记录、导入单和上传的图片。家庭中的帮佣账号也一并注销 —— 帮佣账号归属于邀请它的那个家庭，无法转移到别处；家庭没了，这个账号也就永远用不上了。如果家庭里还有另一位雇主，则只移除你的成员身份，家庭与其中的帮佣继续存在。

两种情况下，你的姓名、邮箱或登录名、密码或 PIN 的哈希都会被抹除，账号再也无法登录。你的邮箱会被释放，日后可以重新注册一个与旧账号毫无关联的全新账号。

一处如实交代的技术细节：我们不删除被其他记录引用的那一行数据库记录，而是抹掉其中每一项个人数据、只留一个匿名占位，以免任务历史之类的记录断裂。该占位不含姓名、不含联系方式、不含任何凭据。

十、安全

• 全部流量走 HTTPS。
• 密码与 PIN 只以 PBKDF2-SHA256 加逐用户盐的哈希存储，不以任何我们能还原的形式保存。
• 照片通过短时效签名 URL 提供，不是公开链接。
• 每个家庭的数据在应用层隔离；帮佣读不到同事的任务，也读不到雇主与另一位帮佣的会话。
• Web Push 的载荷经过加密，投递服务读不到内容。

没有系统是完美的。若你发现安全问题，请写信到第一节的地址，我们会认真对待。

十一、儿童

HelperMate 面向持家的成年人。它不面向儿童，我们不会在知情的情况下收集 13 岁以下人士的数据。

十二、变更

若我们对本政策的修改涉及收集内容或接收方的变化，会更新顶部的日期；对于重大变更，会在生效前于应用内通知你。

十三、联系

咨询、请求或投诉：bones7456+helpermate@gmail.com 数据保护相关事宜（含 PDPA 请求）：bones7456+helpermate@gmail.com

如果你在新加坡且对我们的答复不满意，可以联系个人数据保护委员会（PDPC）。