为什么你宝宝的数据留在欧盟

等宝宝满月的时候，一个记录应用里可能已经存了几百条关于这个四周大的人的记录：吃进去了什么，排出来了什么，睡了多久，凌晨两点体温是多少。这大概是这辈子会有人为他们留下的最详细的一份记录，而他们对此没有任何发言权。

做 Bunavi 的过程里，这件事我想得比任何别的部分都多。所以这里把话说全——这份记录里有什么，我把它放在哪里，我永远不会拿它做什么，以及这份承诺的边界在哪儿。

这份记录里到底有什么

很容易把宝宝记录应用想成一张喂奶时间表。它不是。把几周的记录放到一起，你手里的是：

• 你孩子的名字——或者你叫他的小名——出生日期，有时还有性别，有时还有一张照片。
• 健康记录：成长测量数据、体温、症状、用药、疫苗接种。
• 喂养和睡眠的规律——它同时也是一张图，标出这个家里的大人什么时候醒着、已经醒了多久。
• 尿布的细节，细到大多数人只会在儿科医生的诊室里才谈起。

这张清单上体温和用药那一头，属于健康相关数据。欧盟《通用数据保护条例》（GDPR）第 9 条把它列入条例保护最严格的特殊类别。同一部条例的鉴于条款第 38 条说，儿童“就其个人数据而言应受到特别保护”，并且专门点名市场营销和用户画像才是真正要紧的风险。法律在这里只是印证了大多数父母第一次把孩子的名字填进表单时的那种感觉。

你的孩子总有一天会长大成人，而这一切都不是他们自己的决定。

为什么服务器在法兰克福

你宝宝的档案，以及挂在它下面的每一条记录，都存在欧盟境内的一个数据库里，由 Supabase 托管在亚马逊标为“欧洲（法兰克福）”的区域——eu-central-1。这不是营销页面上的装饰。它带来三件实在的事。

• GDPR 是必须适用的，不是我施舍的。我是一名在保加利亚设立的独立开发者，第 3 条规定：只要数据处理是在设于欧盟境内的机构的活动范围内进行的，条例就适用。这不是我能在某次更新里悄悄放宽的政策。
• 你的权利是能被强制执行的。第 20 条让你拿到一份结构化、通用、机器可读格式的数据副本。第 17 条给你删除权。而如果哪天我辜负了你，第 77 条让你有权向监管机构投诉——对我来说是保加利亚个人数据保护委员会，或者你所在国家的对应机构。
• 另一头站着一个有名有姓的人。数据控制者就是我本人，隐私政策里写着我的名字、所在国家和一个真正能收到信的邮箱。投诉有地方可以落下。

接下来是老实话：托管地点本身不是护盾。一台放在法兰克福却管得马虎的服务器，保护你家人的程度比不上一台放在别处、认真运维的服务器。地理位置只决定哪套规则能拿来约束我。真正保护你孩子这份记录的，是这个软件每天在做什么。

我承诺了什么

• 你手机和服务器之间的传输用 TLS 加密。
• 访问权限在数据库里逐行强制执行，所以一个账号只能读写它自己拥有的、或者被邀请加入的宝宝的记录。一个家庭的数据行，在另一个家庭的账号里根本够不着；这条规则写在数据库里，而不是写在应用界面上。
• 没有广告。没有广告标识符。不出售、不出租、不与广告商共享任何东西。不为你或你的孩子建立任何广告或追踪画像。
• 共享默认关着，除非你自己打开。邀请码只能用一次，7 天后过期，权限也能在设置里立刻收回——在你把邀请码交给伴侣或长辈之前，这些值得先知道。
• 应用是离线优先的，会在你自己的设备上留一份最近记录的小副本，好让它在凌晨三点没信号时照样能用。你退出登录时，这份副本会被清除。
• 把数据导出来和把数据删干净，都是设置里的按钮，不是你得写信来求我办的事。

“默认关闭”这一条，是我最会据理力争的一条。GDPR 第 25 条要求默认的数据保护——个人数据不该在你没有主动介入的情况下，就变得可以被不特定数量的人看到。对一份孩子的健康记录来说，一个会往外漏的默认设置，不是什么小小的设计瑕疵。

哪些地方并不是纯欧盟的

一个人做的应用，仍然要依赖别的公司；假装不是这样，恰恰是你该怀疑的那种说法。订阅由 Apple 收费，我从来看不到你的银行卡。RevenueCat 在美国，负责管理你的套餐解锁了什么，会拿到一个账号标识符和购买事件。Resend 负责发邮件——重置密码、收据之类——会拿到你的邮箱地址和邮件内容；它是一家美国公司，不过发信的基础设施跑在爱尔兰。Sentry 会从开启了崩溃上报的版本里收到技术性的崩溃信息——设备型号、系统版本、堆栈追踪。凡是在欧盟境外处理个人数据的地方，都由欧盟委员会的标准合同条款覆盖，而这些公司在隐私政策里都一一写了名字。

他们谁都拿不到的，是你宝宝的那份记录。每一次喂奶、每一次小睡、成长测量数据、体温、名字和出生日期，都留在欧盟的数据库里。

真正的检验是删除

任何一款应用都能写出一段暖洋洋的隐私说明。承诺只有在“离开”这件事真的行得通时才算数——如果删掉一个孩子的健康记录要写三封邮件、还要在客服队列里排队，那这份承诺就只是装饰。

所以：设置 →「删除账号」会立刻删掉你的账号，连同你拥有的、没有邀请过别人的每一个宝宝，以及它们的全部记录。如果你不想在应用里操作，用你的注册邮箱给 [email protected] 写封信，30 天内删除，通常快得多。这就是第 17 条里的删除权——接到一个按钮上，而不是一张表单上。

该用什么标准要求任何一款育儿应用

这些话你不必只听我说，也不该只听我说。四项检查，每项大约一分钟，能告诉你的东西比任何一个落地页都多。

这是我希望别人拿来要求我的标准，也是我会拿来要求任何一个想保管你宝宝第一年的人的标准。你是在替一个还说不上话的人保管这份记录——软件至少应该以这样的态度对待它。如果你想看更长的版本，都在隐私政策和关于页面里，两份都是写来给人读的，而不是让人硬着头皮熬完的。

爸妈常问的问题

我宝宝的数据存在哪里？

在欧盟——一个 Supabase 数据库，位于亚马逊的欧洲（法兰克福）区域，也就是 eu-central-1。传输用 TLS 加密，数据存储时也是加密的，访问权限逐行强制执行，所以一个家庭的记录在另一个家庭的账号里根本读不到。

我真的能自己把所有东西删掉吗？

能。设置 →「删除账号」会立刻删掉你的账号、你拥有的每一个宝宝档案，以及它们的全部记录。你也可以用注册邮箱给 [email protected] 写信。加密备份里的副本会随正常轮换到期消失，30 天内清除。

托管在欧盟，是不是意味着没有任何数据离开欧盟？

不是，说成那样会误导人。Apple 负责订阅收费，RevenueCat 管理权益，Resend 发送邮件，Sentry 接收崩溃信息。这些服务会拿到标识符、邮箱地址或技术数据，依据的是标准合同条款——但绝不会拿到你宝宝的喂养、睡眠、成长或健康记录。

我家的数据会被用来做广告吗？

不会。没有广告，也没有广告标识符，不出售、不出租、不与广告商共享。不会为你或你的孩子建立任何广告或追踪画像，你记下的内容也绝不会被用来训练 AI 模型。