隐私政策
生效日期：2026年9月27日
1. 我们是谁
Ministry Assistant 帮助传道员计划和记录自己的传道工作、记录笔记；如果会众使用这个应用，还可以编排聚会程序、传道前聚会、公众场所见证的安排、代替人选和传道报告。 账户和云端功能的数据控制者：Codivine Sp. z o.o.，电邮：fluttercodivine@gmail.com。 你输入的大部分内容都不会离开你的手机。本政策说明究竟有哪些内容会离开手机、什么时候离开、送到谁那里、保存多久。
2. 哪些留在设备上，哪些上传到云端
你输入的一切——时数、笔记、传道地区、跟你学习圣经的人、目标——都会先写入你设备上的数据库。 只有当你开启以下功能时，这些内容才会离开设备： • 账户（电邮、名字，如果愿意也可填电话号码——登录、让朋友找到你以及订阅都需要）， • 在你的多部设备之间同步（由你选择服务方：你的 Ministry Assistant 账户、Google Drive 或 iCloud）， • 备份副本， • 跟朋友分享某些内容或发送链接（例如邀请一起传道）， • 加入会众。 “账户（加密）”这个同步选项会在设备上用你的加密密码所生成的密钥为你的记录加密，我们无法阅读这些内容。普通的“Firebase”选项则不会加密——应用里也是这样标明的。
3. 会众
会众的资料是端到端加密的。姓名、聚会程序、委派、传道前聚会的安排（包括地点和线上聚会的资料）、聚会转播的资料、公众场所见证的安排、获准担任各项委派的人员名单、找人代替的请求、出席人数和报告，都会在手机上用只有成员才有的会众密钥加密。我们的服务器保存的是密文，无法阅读其中任何内容。 不过，服务器确实能看到一些技术性的元数据，没有这些元数据，权限和通知就无法运作：哪个账户属于哪个会众以及该账户的权限；报告在什么时候提交、提交给哪个传道小组；谁报名参加某个手拉车班次；哪些账户主持传道前聚会；哪些账户收到了找人代替的请求、谁接受了请求，以及请求涉及哪一天；到其他会众演讲的讲者的账户；会众网站的设置。其他会众的讲者在邀请页面上选择的演讲编号和题目没有加密——它们来自公开的演讲大纲列表。 同一个会众的成员会自动成为应用里的朋友（他们能看到朋友可以看到的内容——见第 4 部分）。你可以在隐私设置里关闭这个功能；你自己添加的朋友会保留。 传道报告只有在你明确同意时才会发送，而且这项同意可以撤回。报告会送到你的小组监督和他的助手那里，小组的汇总则送到秘书那里。没有这项同意，报告绝不会自动发送。 当某个成员被移出会众时，会众密钥会更换，这样这个以前的成员就无法再阅读新的内容。 会众的内容由会众的管理员以及拥有相关权限的人输入。如果对会众里的资料有疑问（例如人员名单里的某个条目），请先联系你所在会众的长老——我们无法查阅这些内容。
4. 跟其他人分享
朋友：朋友可以看到你的名字和头像。你的姓氏、电话号码、电邮、会众、职务和日期，在你的个人资料里各有一个独立的开关。 发给朋友的传道地区和感兴趣的人，会以副本的形式进入朋友的收件箱。你和收件人都可以删除它；如果没有人处理，30 天后它会自动消失。 链接（会众委派、一周的聚会程序、邀请讲者、某项任务、邀请一起传道、代理请求）任何拿到链接的人都能打开——这正是链接的用途。解密密钥放在网址中浏览器绝不会发送给服务器的那一部分；链接会过期，也可以随时撤销。对链接的回复（“我接受”/“我无法胜任”）会保存在我们的服务器上。加入公开传道邀请或接受代理请求的人，他的名字会用链接密钥加密——只有发出邀请或请求的人才能阅读。
5. 会众网站
会众可以把公众场所见证的安排、书刊申请表、布告板、报告表格和传道前聚会的安排放在浏览器上，供没有这个应用的人查看，或者只供已登录的成员查看。这种页面的内容是用链接里的密钥加密的，所以服务器无法阅读。任何拿到链接的人都能看到页面——因此，只有在会众开启的情况下，页面上才会显示名字（例如负责班次的人或主持人的名字）。会众管理员可以在设置里关闭个别页面、要求登录，或者完全关闭浏览器访问。 没有账户的人报名参加班次或申请书刊时，他们输入的名字、电话号码和备注会在浏览器里用会众密钥加密——只有协调人才能在应用里阅读。浏览器会在本地记住曾为哪些班次发送过申请，这些信息不会传到我们这里。本网站的分析工具只有在你同意后才会运行，而且绝不会收到申请的内容或链接中的密钥。
6. 不使用这个应用的人
这个应用让你可以记下你探访的人、他们的地址和笔记，以及没有账户的会众成员。这些人不是我们的用户，也没有跟我们同意过任何事——由你（在会众里则由会众的管理员）决定记下什么，并为此负责。 因此：除非你开启同步或分享，这类记录会留在你的设备上；在会众里它们是端到端加密的；只有在会众开启显示名字的情况下，他们的名字才会出现在会众网站上；在不允许保存这类记录的国家，设置里可以关闭整个部分（例如无人在家的地址，或感兴趣的人）。 如果其中有人要求删除自己的资料，请在应用里删除该记录——它会从你的设备、你在云端的副本上消失，并在下文所述的保存期限过后从我们的服务器上消失。你也可以写信给我们，我们会帮忙。
7. 权限
通讯录（可选）——用来显示你的联系人当中谁已经在使用这个应用。你的通讯录绝不会离开手机：只有电邮地址和电话号码不可还原的指纹（哈希值）会被发送，而且我们不会保存其中的任何内容。 位置（可选）——用来在传道地区地图上显示你的位置，并推荐最近的地区。位置不会发送给我们。传道前聚会地点或书刊手拉车位置的标记是在地图上手动设置的，而不是根据你的位置设置的。 通知（可选）——提醒和会众通知。会众通知绝不会包含委派的内容或任何名字。通知的标题和简短说明也会保存在你账户的通知列表里，这样就不会漏掉任何通知。 照片和文件（可选）——地区卡片的照片、某人的照片、布告板上的附件、备份。
8. 服务提供者
Google / Firebase（爱尔兰、美国）——登录、数据库、文件存储、服务器功能、推送通知、崩溃报告（Firebase Crashlytics）、应用里的使用统计（Firebase Analytics，仅在你同意时——见第 9 部分），以及在本网站上的 Google Analytics，它要等到你同意之后才会启动。 RevenueCat（美国）——处理订阅。它会收到你的账户标识符，为了向你提供支援，还会收到你账户里的名字、电邮地址和电话号码。 Apple 和 Google——处理订阅的付款。我们从来看不到你的银行卡资料。 OpenStreetMap——地图图块。打开地图时，你的 IP 地址和地图上可见的范围会发送到他们的服务器。 Google 地图（或其他地图应用）——只有在你点按“导航”或“地图”时，地址或地点才会在该应用中打开。Zoom 和其他线上会议服务——链接会在它们的应用或网站中打开；我们不会向它们传送任何数据。 用电邮发送服务信息——只有技术数据，不包含应用里的任何记录。
9. 应用里的使用统计和崩溃报告
使用统计（Firebase Analytics）在你同意之前是关闭的。应用只会询问一次；你可以随时在“设置 → 隐私 → 个人资料 → 使用统计”中改变主意。撤回同意后，收集会立即停止，设备上的统计标识符也会被重置。 在你同意后，应用（在手机、平板电脑和浏览器上）会发送经过假名化处理的事件，说明哪些功能被使用——例如“添加了一条记录”“创建了一份备份”“报名了一个班次”——并附带一般性的细节，例如记录的来源、是/否标记、取整后的人数以及一条传道记录的时长。Google 还会记录应用版本、设备型号和操作系统、语言以及大致所在的国家（根据 IP 地址推断，Google 不会保存 IP 地址）。事件会关联到应用安装的一个随机标识符；如果你已登录，还会关联到你账户的假名标识符，这样你的手机和平板电脑会被算作同一个用户。此外还会附加三个分组：你在传道工作中的身份（例如传道员或正规先驱）、你是否拥有 PRO，以及你在会众里的访问级别（无、成员、有权限、管理员、所有者）。 我们绝不会发送你输入的内容：不会发送名字、地址、笔记、报告、会众名称或其他任何会众资料、电邮地址或电话号码。 我们使用统计数据，只是为了了解哪些功能有帮助、哪些需要改进。广告功能和 Google signals 已关闭：不会收集广告标识符，数据也不会用于广告或个性化广告。统计数据会保存 14 个月，之后自动删除。法律依据：你的同意（GDPR 第 6 条第 1 款 (a) 项和第 9 条第 2 款 (a) 项）。处理者是 Google Ireland Limited；数据可能会根据 EU–US Data Privacy Framework 和标准合同条款传送到美国的 Google LLC。应用的测试版本从不发送统计数据。 崩溃报告（Firebase Crashlytics，仅限手机和平板电脑）无论统计设置如何都会发送，因为没有这些报告，我们就无法修复导致应用出问题的错误。报告包括错误本身和错误在代码中发生的位置、应用版本、设备型号、操作系统以及一个随机的安装标识符。报告不会关联到你的账户，也不包含你的记录。法律依据：我们在应用能正常运行且安全方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）；你可以写信给我们提出反对。崩溃报告会保存 90 天。处理者同上，是 Google Ireland Limited。
10. 数据保存多久
• 同步到你账户的记录：只要账户还有效就一直保存。订阅结束后再保存一年，并在删除前 30 天发出提醒。 • 同步所使用的删除标记：180 天。 • 传道报告（包括通过网站提交的报告）和给秘书的小组汇总：从所属月份结束起保存2年——提交报告即表示你同意这一点。之后会自动删除。在应用里，报告人可以提前删除自己的报告，但提交后60天内不能删除（以免第二天就把报告从监督那里撤回）。 • 来自会众网站、但协调人没有接受的申请（手拉车班次、书刊）：30 天。 • 找人代替的请求：最多保存到委派日期后 2 天。 • 通知列表：60 天。 • 会众布告板上的通告：保存到会众设定的到期日，或者直到被删除为止。 • 邀请链接和分享链接：最多 120 天，其中大部分要短得多；任务邀请和发给朋友的副本：30 天。 • 删除账户：以上所述的一切都会被删除——你的账户文件连同所有记录和密钥、每段好友关系的双方、会众成员身份、报告、邀请、通知、文件。你拥有的会众会交给另一位管理员，如果没有其他管理员则会被删除。 • 没有会众方案的会众：方案结束后 12 个月（如果只使用过免费期，则为 6 个月）；在会众连同其文件被删除前 30 天，会通知拥有者和管理员。 • 会众手拉车班次和报名：13 个月；缺席：保存到登记时填写的结束日期；已发放书刊的申请：90 天。
11. 安全
数据在传输过程中是加密的。会众的内容、加密同步和备份还会在设备上另外加密，所用的密钥由你的加密密码生成。 这意味着我们无法为你找回那个密码。请保存好设置密码时显示的恢复码——没有密码或恢复码，任何人都无法阅读加密的数据，包括我们。
12. 你的权利
你有权查阅自己的数据、更正数据、删除数据、限制或反对处理数据，也有权获得一份副本。 其中大部分你可以自己在应用里完成：编辑或删除记录、关掉你不想分享的内容，或者删除账户（设置 → 账户），这也会把上面列出的数据从我们的服务器上删除。 你也可以写信到 fluttercodivine@gmail.com。如果你认为我们处理你的数据有不当之处，可以向波兰个人数据保护局（Urząd Ochrony Danych Osobowych）局长投诉。
13. 变更与联络
本政策可能会更新。重大的变更会在应用的更新说明和本页面上公布，并注明新的生效日期。 数据控制者：Codivine Sp. z o.o. 电邮：fluttercodivine@gmail.com