隐私政策 — LU6OLE
版本 1.5 — 2026 年 10 月 19 日
两句话概括
LU6OLE 保护 6 至 15 岁孩子的手机：它会关闭家长未允许的应用，夜间让手机休眠，并让家长在自己的手机上完成所有这些设置。它孩子没有账号、没有广告、没有统计——而家长则用自己的 Google 或 Apple 账号登录自己的页面：它不读取短信，也不读取访问过的网站；它发送到家长页面的内容仅限于设置、手机上的应用列表、保护状态、今天在每个应用中花费的时间、孩子的请求，以及——如果家长启用了该选项，且有家长提出请求时——手机的位置，最长三十分钟，没有任何历史记录，并且每次都会在孩子的手机上显示一条提示。它的网站过滤会向 Cloudflare for Families 询问某个网站名称（例如“example.com”）是否属于成人网站或危险网站；Cloudflare 和 LU6OLE 都不会保存这份名单。
1. 谁对您的数据负责
Géry ROTSAERT EI，个体经营者，商号 SOSBY — LU6OLE 是 SOSBY 的产品 —，登记号 SIRET 399 538 172 00020，地址：1 quai Maréchal Joffre, 69002 Lyon, France。出版者的完整身份信息见法律声明。
如对数据有任何疑问或请求，请联系：contact@lu6ole.app。
2. 处理哪些数据、为什么处理、依据是什么
LU6OLE 由家长安装在孩子的手机上，并由家长通过一个孩子不知道的六位数代码进行设置。这里所说的就是这部手机上的数据。
留在孩子手机上的数据
| 数据 | 原因 | LU6OLE 如何处理 |
|---|---|---|
| 家长的代码 | 保护设置、卸载，以及针对 LU6OLE 的 Android 设置 | 以指纹（哈希）形式保存，只保存在手机上；绝不会离开设备 |
| 孩子出生的月份和年份，由家长输入 | 确认 LU6OLE 适合孩子的年龄（6 至 15 岁），并在孩子满 15 岁时不再阻止任何内容，把是否定位交给孩子自己决定 | 仅保存在手机上；绝不会离开设备（只有“已满 15 岁”这一事实会发出，让家长知道）。不会要求提供出生日或孩子的姓名 |
| 位于前台的应用的名称 | 关闭未允许的应用、当天时间已用完的应用，或夜间的任何应用（电话、紧急呼叫和 SOSBY 除外） | 在应用打开的那一刻，由无障碍服务读取（第 3 点）；只读取其名称，绝不读取其内容 |
| 今天在每个应用中花费的时间 | 执行时间限制和当天的屏幕时间，并向孩子和家长显示 | 每晚午夜清零；过去的日子不保留 |
| “设置”和应用安装界面的文字 | 识别针对 LU6OLE 的界面（停用它、卸载它），并要求输入家长的代码 | 仅在这些界面显示时读取，随后即忘记；绝不记录，绝不发送 |
| 可启动的应用列表（名称和技术名称） | 向家长展示以供选择，向孩子展示以便了解哪些被允许 | 在手机上读取；发送到家长页面（见下表） |
离开孩子手机的数据
| 数据 | 接收方 | 原因 | 法律依据 |
|---|---|---|---|
| 首次连接时随机生成的标识符，以及一个密钥，服务器只保存其指纹 | LU6OLE 的服务（Cloudflare） | 识别这部手机，而无需读取任何硬件标识符、电话号码或账号 | 合同的履行（家长所要求的服务） |
| 设置：允许的应用、时间限制、睡觉时间、当天的屏幕时间、上学日；家长给手机起的名字 | LU6OLE 的服务，然后是已关联的家长 | 从家长页面设置孩子的手机，反之亦然 | 合同的履行 |
| 可启动的应用列表（显示名称、技术名称，以及是否仍被允许） | LU6OLE 的服务，然后是已关联的家长 | 让家长选择允许哪些应用 | 合同的履行 |
| 保护状态：守护程序是否在运行、卸载是否被阻止、电池是否无限制、网站过滤是否开启或被绕过、常驻通知是否显示、代码是否已创建、LU6OLE 的版本、最后一次连接的时间 | LU6OLE 的服务，然后是已关联的家长 | 在保护停止时提醒家长，并告知应采取的操作 | 正当利益（使家长所希望的保护得以持续） |
| 今天花费的时间，涉及孩子至少使用了一分钟的应用（最多二十个） | LU6OLE 的服务，然后是已关联的家长 | 让家长看到与孩子相同的数字，这是家长控制工具所允许的 | 合同的履行 |
| 孩子的请求：打开被阻止的应用、安装一个应用（他输入的名称）或增加时间；然后是回复、回复的家长给自己起的名字（“爸爸”“奶奶”……）以及其写下的留言 | LU6OLE 的服务，然后是已关联的家长；回复返回给孩子 | 让孩子能够提出请求，让家长能够回复 | 合同的履行 |
| 手机的精确位置、其精度（米）、测量时间和手机的电量 — 仅当家长在孩子的手机上启用了“定位”选项，并且仅当已关联的家长从其页面提出请求时 | LU6OLE 的服务，然后是提出请求的家长（以及其他已关联的家长） | 了解孩子在哪里，这是家长控制工具所允许的（电量能告诉家长孩子的手机是否快要关机）。手机每三十秒发送一次位置，持续最长三十分钟；在此期间，孩子会看到“有家长正在查看你的位置，直到 18:30” | 合同的履行；该选项、Android 的位置权限及其后台使用均由家长授予，并可随时撤回 |
| 孩子手机的通知令牌（Firebase Cloud Messaging） | Google（Firebase），然后是 LU6OLE 的服务 | 当家长更改设置、回复请求或询问手机位置时，立即通知手机，而无需等待其下一次连接。该消息只包含一个“看看你的页面”的信号，绝无内容 | 合同的履行 |
| 许可证：LU6OLE 的版本、签署该应用的证书指纹、一个 Play Integrity 令牌，以及购买后 Google Play 的购买令牌和订单号；同时附带手机的随机标识符 | Google Play，然后是 LU6OLE 服务 | 计算十五天试用期和七天宽限期，向 Google 核实购买（每次购买最多三部手机），并拒绝被修改过的应用副本。不涉及孩子本人及其行为 | 履行合同 |
| 手机上的应用所请求的网站名称（例如“example.com”），绝不包括页面的完整地址或内容——仅在家长启用了网站过滤时 | Cloudflare for Families（解析器 1.1.1.3），直接从手机发送，不经过 LU6OLE 的服务 | 判断该网站是否属于成人网站或危险网站，并将其拦截。LU6OLE 不保存也不发送网站名单；Cloudflare 承诺不保存查询的 IP 地址，并在 25 小时内删除其日志 | 合同的履行（过滤由家长启用，且在此之前会显示一个界面对其加以说明） |
| IP 地址和技术性连接信息 | Cloudflare | 传输通信、限制代码尝试次数（第 4 点）、保护服务免遭滥用 | 正当利益 |
| Google Play 的年龄信号：若已共享，则为年龄段（例如“9 至 12 岁”）、其来源（自行声明、由家长管理、估算或已验证），以及家长是否已批准最近一次重大变更；否则仅为“未共享”或“待核实”。同时包括根据 IP 地址推断出的连接所在国家（在美国则为州） | Google Play，随后是 LU6OLE 服务 | 遵守要求这样做的法律（得克萨斯州、巴西，之后是阿拉巴马州、加利福尼亚州、犹他州和路易斯安那州）：在这些法律适用的地方，在 Google Play 确认年龄之前，任何家长都无法被关联，也不会向服务发送任何内容——但守护程序仍会继续保护孩子。该信号不用于任何其他目的，绝不用于广告或统计 | 法定义务 |
家长的手机收到什么
家长页面（lu6ole.app/parent）可在手机或电脑上打开，使用家长的 Google 或 Apple 账号。第一次时，家长输入孩子手机上显示的六位数代码：这部手机随即与其账号关联，之后只要登录，就能在其所有设备上找到它。同一部手机最多可关联四位家长（四个账号）。
| 数据 | 接收方 | 目的 | 法律依据 |
|---|---|---|---|
| 家长的 Google 或 Apple 账号标识符、其电子邮件地址和名字，均为登录时由 Google 或 Apple 传来的内容（Apple 允许隐藏地址）；或仅其电子邮件地址，如果其更愿意通过电子邮件发送的链接登录（一次性使用，有效期 15 分钟；该地址与 Google 或 Apple 账号的地址相同，是同一个账号） | LU6OLE 服务；对于链接，则为 Cloudflare 的邮件发送服务 | 在其每一台设备上识别家长，向其显示与其关联的手机，并在必要时就服务与其联系。绝不用于广告，绝不转交给孩子或任何第三方 | 合同的履行 |
| 一个会话 cookie（随机生成的令牌，服务器只保存其指纹） | 家长的浏览器和 LU6OLE 服务 | 在这台设备上保持登录，无需重新输入 | 合同的履行 |
| 家长是成年人的验证 — 仅当孩子的手机位于美国或巴西时：家长的电子邮件地址、孩子所在的国家和一个随机生成的参考编号；随后是结果（“已验证”）和 Kids Web Services 返回的交易标识符；或者在美国，家长声明孩子已满 13 岁 | Kids Web Services（Epic Games），随后是 LU6OLE 服务 | 遵守要求这样做的法律：在美国针对 13 岁以下的孩子（COPPA），在巴西针对 16 岁以下的孩子（ECA Digital）。在验证完成之前，手机虽已关联，但不会向家长显示任何内容，也不会向服务发送任何内容——守护功能则继续保护孩子。Kids Web Services 会向家长提供银行卡（几分钱，随即退还）或官方号码的方式。LU6OLE 绝不会看到银行卡或该号码。 验证一次，即对该家长名下所有的孩子有效 | 法定义务；以及家长在阅读将被收集的内容后、申请验证邮件时给出的同意 |
LU6OLE 绝不会收到家长的密码：登录在 Google 或 Apple 那里完成。它只索取基本身份信息（“openid”、电子邮件地址、名字），绝不索取对其短信、联系人或文件的访问权限。如果家长选择，当有请求到达时会收到通知：为此，其浏览器会提供一个订阅地址，由服务保存，通知则通过其浏览器的通知服务（Google、Mozilla、Apple 或 Microsoft）传送。通知只包含“新请求”和手机的名称；详情在页面上查看。
LU6OLE 不做什么
- 孩子没有账号：不会要求孩子提供姓名、电子邮件地址或电话号码。孩子出生的月份和年份保存在孩子的手机上。对于家长，LU6OLE 只保存上表所述的内容，绝不保存其电话号码。
- 没有内容：LU6OLE 不读取短信、通话、照片、所输入的内容，也不读取应用的内容。
- 没有历史记录：没有访问过的网站，没有一天中打开过的应用，没有过去的日子，也没有行程：只保留正在进行的定位的最后一个位置，定位结束时即被删除。
- 没有隐藏或自动的定位：只有在启用了该选项且有家长提出请求时才会发送位置，并且每次孩子都能看到。没有该选项，LU6OLE 不知道孩子在哪里。
- 没有摄像头、没有麦克风、没有屏幕截图：LU6OLE 没有这些权限。它只通过 Android 得知摄像头或麦克风已被打开——绝不知道它们拍到或听到了什么（第 3 点）。
- 没有广告、没有画像分析、没有使用统计，没有受众测量工具，没有自动发送的崩溃报告。
- 不转售数据，也不为商业目的向第三方提供数据。
- 没有隐藏模式：孩子能看到 LU6OLE 的图标和常驻通知“LU6OLE 已启用”，并且可以随时打开一个界面，查看家长所做的设置以及自己今天花费的时间。
- lu6ole.app 网站除家长页面的会话外（以及在 Google 或 Apple 登录期间、用于保护该登录的一个十分钟 cookie 外）不放置任何 cookie，也不含任何追踪器。
3. 无障碍服务（AccessibilityService）
LU6OLE 使用 Android 的无障碍服务（在应用中称为“守护程序”），仅用于两件事：
- 了解哪个应用刚刚打开 — 只读取其名称，别无其他 — 以便关闭家长未允许的应用、当天时间已用完的应用、开启了家长已禁止其使用的摄像头或麦克风的应用，以及夜间除电话、紧急呼叫和 SOSBY 之外的所有应用。随后它会回到主屏幕：这是它所做的唯一操作。它还会统计今天在每个应用中花费的时间，孩子在其屏幕上可以看到，家长在其页面上可以看到。
- 仅在“设置”和应用安装的界面上，读取其文字以识别针对 LU6OLE 的界面，并在有人要停用或卸载它之前要求输入家长的代码。
它绝不读取其他应用的内容，也不读取短信或所输入的内容。它绝不会自行启用：由家长启用，且在此之前会显示一个界面，向家长说明这一切并征求其同意。家长可以随时使用其代码在 设置 > 无障碍 中将其停用。
LU6OLE 还会在取得家长同意的情况下，为其网站过滤使用本地 VPN（Android 的 VpnService）：经过它的只有“某个网站的地址是什么？”这类询问，绝不会有网页、视频、短信或所输入的内容，并且它不会通向 LU6OLE 的任何服务器。LU6OLE 在其中自行拦截赌博网站和可能被用来绕过过滤的服务，并在 Google、YouTube 和 Bing 中强制开启安全搜索；其他询问会转交给 Cloudflare for Families（第 4 点），对成人网站和危险网站它会回复“网站已被拦截”。VPN 运行期间，Android 会在屏幕顶部显示一个钥匙图标。
摄像头和麦克风，逐个应用设置。 家长可以允许某个应用，同时不让它使用摄像头或麦克风。Android 不允许 LU6OLE 从应用中收回这些权限；它只会在无需任何权限的情况下，告知 LU6OLE 刚刚有摄像头被打开，或有麦克风正在录音。如果屏幕上的应用被禁止使用它，守护程序会像关闭未被允许的应用一样将其关闭，孩子会看到原因。LU6OLE 什么也看不到、听不到，也不保存任何内容，其中任何信息都不会离开手机。SOSBY 和系统应用（包括电话）永远不在此列。
LU6OLE 还会在同样取得家长同意的情况下，使用 Android 的设备管理员功能，不设置任何策略（不锁定，不清除数据），仅用于一件事：防止孩子在没有家长代码的情况下卸载 LU6OLE。它在 Google Play 上声明为家长控制工具。
4. 谁接收这些数据
- 与孩子的手机关联的家长，在 lu6ole.app/parent 页面上（第 2 点）。
- Google LLC 和 Apple Inc.（美国），用于家长登录：家长在它们那里验证身份；它们依据各自的隐私规则，将其账号标识符、电子邮件地址和名字传给 LU6OLE。
- Cloudflare, Inc.（美国）：网站和 LU6OLE 服务的托管；以及 Cloudflare for Families（1.1.1.3），即在网站过滤启用时接收所请求网站名称的 DNS 解析器。
- Google LLC / Google Ireland Ltd：通过 Google Play 分发应用；通过 Firebase Cloud Messaging 通知孩子的手机（不含内容的信号）；如果启用了“定位”选项，还有 Google Play 的定位服务，它按 Android 的位置设置计算手机的位置（卫星、Wi-Fi、基站）；并且，与浏览器的其他通知服务（Mozilla、Apple、Microsoft）一样，传送已申请通知的家长的通知。
- Google LLC / Google Ireland Ltd，用于购买：Google Play 收取款项（发行方从不会看到您的银行信息），并向 LU6OLE 服务确认购买有效；Play Integrity 确认应用来自 Play 商店。
- Kids Web Services Ltd（英国，Epic Games 的子公司；英国被欧盟委员会认定为提供充分保护）——仅限位于美国或巴西的孩子的手机：它会收到家长的电子邮件地址、孩子所在的国家和一个不透明的参考编号；它验证家长是成年人，并回复我们“已验证”及一个交易参考编号。它可能保留家长地址的指纹，以免再次向其索要证明。其隐私政策：https://www.kidswebservices.com/privacy-policy。
- 家长页面上的地图：定位期间，一张小地图会显示位置。地图图块来自 OpenStreetMap（OpenStreetMap Foundation，英国），它会收到家长浏览器的 IP 地址和所显示的地图区域，但绝不会收到孩子的名字；地图的其余部分（Leaflet）由 lu6ole.app 提供。如果家长点按“在 Google Maps 中打开”或“在地图中打开”，位置将在 Google 或 Apple 打开，适用其各自的隐私规则。
其中一些服务提供商设在美国：数据传输依据欧盟—美国数据保护框架以及欧盟委员会的标准合同条款。
孩子使用的应用（以及 LU6OLE 从不阻止的 SOSBY）独立于 LU6OLE，并适用其各自的隐私规则。
5. 保存多长时间
- 用于关联家长的六位数代码：10 分钟，且只能使用一次。
- 代码尝试（IP 地址和时间）：10 分钟，用于阻止连续尝试。
- 在应用中花费的时间：仅限当天；每次连接时被替换，午夜清零。
- 孩子的请求和家长的回复：24 小时，之后自动删除。
- 许可证：手机试用的开始日期，在服务存续期间保留，以免试用重新开始；一次购买及其解锁的手机，在购买有效期间保留。
- 位置：定位期间的最后一个位置（最长三十分钟），随后删除。定位日志（哪位家长、何时，不含任何地点），孩子及其家长可见：30 天。
- 设置、应用列表、保护状态、手机名称、通知令牌：只要手机在连接就保存；在其最后一次连接后 13 个月自动删除，连同请求和家长的关联。
- 家长的账号（Google 或 Apple 标识符、电子邮件地址、名字）：只要其还在使用；一经其在自己的页面上删除即刻删除，并在其最后一次登录后 13 个月自动删除。某台设备的会话：最长 400 天，或直到退出登录。
- 家长的验证（美国、巴西：地址、孩子所在的国家、参考编号、结果）：只要其账号存在就保留，并随账号一同删除。未完成的验证，以及等待它的关联：7 天，然后自动删除。
- 家长的关联（其账号、其给自己起的名字）和通知订阅：直到其解除关联或被其他家长解除关联，或手机被删除；被通知服务声明为已过期的订阅会立即删除。
- 在孩子的手机上：直到 LU6OLE 被卸载或其数据被清除。
- Cloudflare 的技术日志：数天，依据托管方的规则。
- 您发给我们的电子邮件：在处理您的请求所需的时间内，最长三年。
6. 您的权利
您享有访问权、更正权、删除权、限制处理权、反对权和数据可携带权，以及随时撤回同意的权利。
- 查看所持有的数据：服务保存的关于一部手机的一切，都显示在家长页面上。
- 解除一位家长的关联：在家长页面的“手机”标签中操作；其关联和通知订阅将被删除。
- 删除自己的家长账号：在家长页面上点击“我的账号”，再点击“删除我的账号”（或写信至 contact@lu6ole.app）。其账号、会话、关联和订阅会立即删除；其孩子的手机继续沿用最后的设置，其他已关联的家长仍可继续管理。
- 关闭定位：凭家长的代码，在 LU6OLE 中停用“定位”选项，或在 Android 的设置中撤回位置权限。此后不再发送任何位置。
- 全部停止：凭家长的代码，在 LU6OLE（“家长专区”）中允许卸载，然后将其卸载。手机上的内容会随应用一同消失；服务所保存的内容在最后一次连接后 13 个月删除，或应要求立即删除。
- 行使其他权利：请写信至 contact@lu6ole.app。我们将在一个月内答复。请使用您家长账号的邮箱地址来信；否则，我们可能会要求您提供一项能够找到相关手机的信息（例如您给它起的名字，以及某次连接的时间）。
您可以向 CNIL（www.cnil.fr，3 place de Fontenoy, 75007 Paris）或您所在国家的数据保护机构提出投诉。
7. 儿童
LU6OLE 是为 6 至 15 岁孩子的手机而设计的。由家长安装、设置并启用它：由家长创建代码，在阅读说明后启用守护程序，并关联其页面。第 2 点所述的数据是应家长的要求并在其授权下、为孩子的利益而处理的。
- 孩子知情：LU6OLE 没有隐藏模式；孩子能看到图标、常驻通知、家长所做的设置、自己今天花费的时间（并注明家长也能看到），以及对其请求的回复，用词简单易懂。
- 满 15 岁时，LU6OLE 不再锁定任何东西：不再关闭任何应用，不再有时间限制或夜间限制，也可以重新卸载。定位只有在青少年同意后才会进行，同意或撤回都由他自己在手机上操作。
- 家长看到的是被阻止的内容和当天的时间，绝不是内容本身：没有短信，没有网站，没有照片。如果启用了该选项，家长可以在提出请求的那一刻看到孩子在哪里；每次孩子都会收到通知，并能在其应用中看到是谁、何时定位了他。
- 在美国和巴西，家长须先证明自己是成年人（第 2 条）：在此之前，孩子手机上的任何内容都不会显示在其页面上，也不会发送给服务。
- 孩子的任何数据都不会用于本服务以外的目的：没有广告，没有画像分析，没有转售。
8. 安全
孩子的手机、服务和家长页面之间的通信均已加密（HTTPS）。手机的密钥和每位家长的会话令牌绝不以明文保存，只保存其指纹；LU6OLE 永远看不到家长的 Google 或 Apple 密码。六位数代码绝不会透露它是否存在过（对错误、过期或已使用的代码给出相同的答复），并且尝试次数受到限制。家长的通知直至其浏览器均为端到端加密。应用的数据被排除在向 Google Drive 的备份之外。
9. 美国居民
本节是对上述内容的补充，而非替代。
9.1 13 岁以下儿童（Children's Online Privacy Protection Act — COPPA）
谁在收集。 运营者是 Géry ROTSAERT EI（SOSBY），1 quai Maréchal Joffre, 69002 Lyon, France，联系方式 contact@lu6ole.app。没有其他运营者通过 LU6OLE 收集数据。
从孩子的手机收集什么，以及为什么。 一个随机生成的标识符（绝不是硬件标识符）；一个 Firebase 通知令牌，仅用于通知手机；已安装应用的列表；今天在每个应用中花费的时间；保护状态；孩子发给家长的请求，包括其输入的应用名称；如果家长启用了该选项，在家长请求定位期间手机的精确位置及其电量（最长三十分钟，没有历史记录）。所有这些只服务于一个目的：让其家长按照安装 LU6OLE 时所希望的那样，设置并关注其手机。没有广告，没有画像分析。
家长的同意及其验证。 LU6OLE 只有在家长设置之后才能运行：由家长安装应用、创建代码、阅读无障碍服务的说明并将其启用。随后，当家长把手机关联到自己的页面时，会在该页面上读到将被收集的内容，并通过申请验证邮件表示同意；接着，家长通过规则（16 CFR 312.5(b)）列明的方法之一，向 Kids Web Services（Epic Games）证明自己是成年人：银行卡（一笔几分钱的交易，随即退还并通知持卡人），或对照数据库核验的官方号码。LU6OLE 绝不会看到银行卡或该号码。验证每个家长账号只进行一次；如果家长声明孩子已满 13 岁，则不要求验证。在此之前，孩子的手机只向服务发送使其运行所必需的内容（其随机生成的标识符、通知令牌、连接所在的国家和 Google Play 的年龄信号），绝不发送其应用、时间、请求或位置。如果 7 天内未完成验证，家长的关联及其申请将被删除。
向谁披露。 仅向与手机关联的家长（最多四位，每位都用自己的 Google 或 Apple 账号登录，并通过孩子的手机所显示的代码关联）。我们不作任何其他披露，也不出售任何内容。我们的服务提供商（Cloudflare；Google Firebase；浏览器的通知服务；Kids Web Services，仅用于验证家长）仅为向我们提供其服务而使用这些数据。
家长的权利。 家长可以随时在其页面上查看所持有的数据，拒绝我们进一步收集（通过卸载 LU6OLE），并通过写信至 contact@lu6ole.app 要求删除所有数据。我们绝不以提供超出必要范围的信息作为使用 LU6OLE 的条件。
保存多长时间（书面保存政策）：见第 5 点。没有任何内容被无限期保存。
9.2 各州隐私法
- 我们不“出售”也不“共享”个人数据，此处依据美国各州隐私法（加利福尼亚州 — CCPA/CPRA — 及类似制度）的含义。我们不投放任何广告，无论是否定向，也不进行任何画像分析。
- 您的权利：了解我们持有什么、获取副本、要求更正、要求删除，并且不会因行使这些权利而受到任何差别对待。请写信至 contact@lu6ole.app；我们将在 45 天内答复。
10. 修改
任何重大修改都将在适用之前在应用中或 lu6ole.app 上公布。现行版本标示在本文件开头。本文存在三十五种语言版本；如有分歧，以法语版本为准，但不影响您依据所在国家法律享有的权利。