隐私政策

简介

Top Food App 让餐厅创建、翻译并发布数字菜单。本《隐私政策》说明我们收集哪些个人数据、原因、与谁共享以及你对这些数据享有的权利。

本服务在欧盟西班牙运营，并受《欧盟通用数据保护条例》（GDPR）以及西班牙数据保护法律约束。在本政策中，“我们”指的是本服务的运营方。

本政策涵盖我们的客户——即拥有账户的餐厅及其员工——以及我们托管的数字菜单的打开者。

谁负责你的数据

就你的账户、订阅以及对仪表盘的使用而言，我们决定数据为何以及如何被处理，因此我们是数据控制者。

对于打开餐厅数字菜单的用户的数据，餐厅决定发布菜单，我们则按照餐厅的指示处理数据，因此餐厅是数据控制者，我们是其数据处理者。人们自愿通过餐厅反馈表单留下的评分、评论和电子邮件地址也同样如此。需要书面数据处理协议的餐厅可以通过我们的联系页面申请。

我们收集的信息

账号与餐厅数据

你在注册并使用账号时向我们提供的数据：

• 你的姓名和电子邮箱地址。
• 你的密码——我们仅以加盐哈希形式保存，且我们无法读取。
• 如果你使用 Google 登录，我们会从 Google 接收你的姓名、电子邮箱地址以及 Google 账户标识符。我们从不接收你的 Google 密码。
• 你们餐厅的名称、描述、地址、城市、邮政编码、国家/地区、电话号码和营业时间，以及你添加的任何社交媒体链接。
• 您的 Cookie 选择、生效日期以及该选择适用的 Cookie 政策版本，因此我们无需在每台设备上反复询问，并且可以保留您所同意内容的记录。
• 可选：如果您愿意，可以在账户设置中选择您在餐厅的职位（例如所有者、经理或厨师）。您可以随时清除。
• 您如何找到我们，此信息会在您注册时记录一次：您点击的链接中的活动参数（如有）、引荐您访问的网站（仅记录其地址，绝不记录您当时所在的页面）、您访问的我们的第一个页面、日期，以及网络报告的您的所在国家/地区。此信息不包含姓名或电子邮箱地址，并会在您的账户删除时一并删除。

你创建的内容

你创建或上传的菜单、分区、菜品、描述、价格、过敏原信息、照片和设计选择。照片会存储在我们的存储服务提供商处。你上传到菜单导入器的文件会与导入一起保存。

付款数据

如果你订阅付费计划，我们的支付服务提供商会收集并保存你的付款详情。我们从未看到或存储你的完整卡号。我们仅保留你的订阅状态、计划、发票，以及支付服务提供商为你分配的标识符。

使用情况和技术数据

你在使用服务过程中自动收集的数据：

• IP 地址，包括你最近一次登录的地址信息，我们出于安全目的会保留这些信息。我们还会使用 IP 地址推测你的国家，以便显示正确的货币和语言。
• 浏览器类型和版本、设备类型和语言。
• 浏览页面、在页面上停留的时间以及你是如何来到我们这里的；仅在你接受分析类 Cookie 的情况下收集。
• 错误和崩溃的技术细节，可能包括你的电子邮件地址、你的 IP 地址以及你当时所在的页面，以便我们复现并修复问题。

支持与反馈

您发送给我们的反馈，包括通过联系页面发送的反馈；我们也会保存您提供的电子邮箱地址，以便回复您，以及您可能补充的可选个人信息——您所在的国家/地区、餐厅名称和您在餐厅的职位；您就此与我们往来的消息；以及您发送反馈时使用的页面和浏览器。如果您离开，我们也会保存您提供的原因。

查看菜单的人员相关数据

有人打开餐厅的数字菜单时，我们会代表该餐厅处理与上述相同的技术数据。我们不会向菜单访客索要姓名或任何其他身份信息。访客唯一可以选择提供的信息，是下文所述的选填反馈表单内容。

食客留下的反馈

如果餐厅开启了顾客反馈功能，其数字菜单会提供一个简短的表单。顾客可以提交 1 到 5 星评分、可选评论和可选电子邮件地址，只有评分是必填项。我们还会记录页面语言、顾客当时查看的菜单或菜品，以及浏览器的 user agent；这些信息会在 90 天后删除，且仅用于防止滥用。我们不会将顾客的 IP 地址与反馈一同保存。IP 地址仅以无法还原为原地址的混淆值形式使用，用于统计每小时有多少份表单来自同一网络连接；一小时后计数会停止，混淆值最迟会在两周内从我们的缓存中删除。与每次发送到 Web 服务器的请求一样，该地址也会经过我们服务器的技术日志；日志仅保留最近的流量记录。这些数据属于餐厅，餐厅会在我们服务中的收件箱内查看，我们代表餐厅处理这些数据。

我们为何使用你的数据，以及使用的法律基础

我们将以以下目的使用你的数据，并且出于法律所称的“合法基础”：

• 为了创建并运行你的账号、发布你的菜单并提供客户支持——因为我们需要这样做，才能履行与你之间的合同。
• 为运行你选择使用的 AI 功能、菜单导入和自动翻译——因为我们需要这样做，才能履行与你之间的合同。
• 为收取付费计划的款项、开具发票并防止欺诈——为了履行与你之间的合同，并满足我们对发票的法定义务。
• 为了理解服务的使用方式并改进它，并衡量数字菜单的表现——对于任何使用 Cookie 的内容，需获得你的同意；对在我们为在无 Cookie 条件下向我们传输的数据改进服务方面的正当利益，则基于我们的合法利益。
• 了解人们如何找到我们——在创建账户之前，是哪个网站、搜索引擎、活动或链接将他们带到我们的主页——以便我们判断哪些推广工作有效。注册时，我们会从 Cookie 政策中介绍的一种小型 Cookie 中记录一次此信息；我们只会将其用于汇总数据，以实现我们了解用户如何发现本服务这一合法利益。
• 为了了解谁在使用这项服务——例如餐厅所有者、经理或厨师分别有多少，以及他们所在的国家/地区——我们会使用您选择在账户设置或联系页面中提供的可选个人信息。我们只会将这些回答用于汇总统计，并在了解背景的基础上阅读您的留言，绝不会据此决定如何对待您。由于这些信息由您自愿提供，处理它们的法律依据是您的同意；您可以随时清除这些回答以撤回同意。
• 为了让餐厅能够询问食客体验如何、阅读翻译成餐厅所用语言的答复，并在评分较低时收到邮件通知，我们会代表餐厅并按照其指示处理这些数据。餐厅决定提供此表单，而我们需要处理这些数据才能履行与餐厅的合同。我们绝不会将食客填写的内容用于自身目的。
• 为确保服务安全、识别滥用并诊断错误和崩溃——基于我们对一个能正常运行且不会被滥用的服务的正当利益。
• 为不时向你发送有关服务的电子邮件、提示和新功能——基于我们与自身客户沟通的正当利益，并在法律要求的情况下取得你的同意。每一封此类电子邮件都包含一个取消订阅链接。
• 为满足我们的法定义务，特别是会计、税务以及消费者保护方面的职责——因为法律要求如此。

人工智能

部分功能通过代表你将内容发送给人工智能服务提供商来实现。我们只发送该功能所需的内容，不会为任何其他目的发送，并且仅在我们指示下由服务提供商处理。

• 当你导入菜单时，你上传的文件（照片或 PDF）以及从中提取的文本会被发送给 AI 服务提供商，以便将其转换为菜单、分区、菜品和价格。
• 你导入的文件页面也会被发送给一个 AI 服务提供商，用于在其中查找你的菜品照片以及菜单的颜色。它找到的照片会从你的文件中裁剪出来，并添加到匹配的菜品中，同时会为每张照片保留一段简短描述，以帮助为该菜品推荐更好的图库照片。
• 当你的菜单被自动翻译时，菜品名称、描述以及分区名称会被发送给 AI 服务提供商进行翻译。
• 当你用我们无法阅读的语言向我们提供反馈时，相关文本会被发送给 AI 服务提供商进行翻译，以便我们回复你。
• 顾客在餐厅反馈表单中留下的每条评论，都会发送给 AI 服务提供商，由其识别评论所用的语言；如果餐厅看不懂该语言，服务提供商会将评论翻译给餐厅。

我们的内容不会用于训练这些服务提供商的模型，我们也不会将其用于训练我们自己的模型。

模型返回的结果会随你的导入一同保存，供你在应用之前进行查看；当导入或账号被删除时，该结果也会被删除。

通过 ChatGPT 或 Claude 创建的菜单

你可以通过与 ChatGPT 或 Claude 之类的 AI 助手对话来创建菜单，该助手会代表你与我们建立连接。此时尚不存在你的账户，因此你所创建的内容会发生如下情况。

• 你口述的菜单——餐厅名称、分区、菜品、描述和价格——将存储在我们的服务器上，以便助手把一个可用的菜单以及其链接返回给你。请勿在其中放入个人或机密信息。
• 我们只收到助手为构建菜单而发送给我们的内容。我们从未收到你的助手对话、你的助手账户，或你的姓名或电子邮件地址。助手本身如何处理你的对话受其自身隐私政策约束，而非我们的。
• 我们会保留请求所来自的 IP 地址，以便对任何人无需登录即可写入的端点滥用行为进行限速和拦截。除此之外，我们不会将其用于任何其他用途。
• 我们会为你保留菜单，直到你用链接领取，领取期限为 30 天。如果无人领取，菜单以及使用该菜单创建的所有内容会在创建约 37 天后被自动删除。未领取的菜单也不会出现在搜索引擎中。
• 一旦你通过创建账户来声明该菜单，它就会变成普通账户，并且本政策的其余部分将完整适用于该账户。

我们与谁共享您的数据

我们只与运行本服务所必需的提供商共享数据。每一家提供商都仅在我们的指示下处理数据，除此之外不会做其他处理。我们不会出售你的个人数据。以下为这些提供商及其接收内容：

• Hetzner——在德国托管我们的服务器。持有数据库，因此也持有服务中的全部数据。
• Cloudflare — 存储上传的图片并在全球范围内交付网站内容。保存您的照片，并观察通往我们的访问流量。
• Stripe — 处理付款并开具发票。接收您的账单身份信息和付款详情。
• Mailgun——发送本服务发给你的电子邮件，并接收你发回的回复。接收你的电子邮件地址以及这些邮件的内容。
• OpenRouter 及其路由到的模型提供商 — 负责处理菜单导入、自动翻译、您发送给我们的反馈翻译，以及食客留给餐厅的评论翻译。它们会接收人工智能部分所述的内容。
• Sentry——收集错误和崩溃报告，以便我们修复问题。接收技术数据，并且在你登录时发生错误的情况下，会接收你的电子邮件地址和 IP 地址。
• Google Analytics——用于衡量我们网站及已发布菜单上的流量。仅在你同意的情况下接收技术数据。
• PostHog — 衡量我们的网站以及发布的菜单如何被使用，记录一小部分会话样本并收集错误报告，以便我们改进服务。其服务器位于欧洲联盟境内。在你的浏览器中，仅当你同意使用分析类（analytics）Cookie 时才会加载。另有：当你使用仪表板（dashboard）时，我们自有服务器会向 PostHog 发送一条记录，告知你在那里的操作内容，并附带你的姓名和电子邮箱地址，以便我们了解产品在何处提供帮助、在何处造成阻碍。
• Google AdSense——在免费计划下展示餐厅数字菜单中的广告。在获得其自身同意消息收集的同意的情况下，接收菜单访问者的技术数据。
• Google — 提供“使用 Google 登录”选项，以及 reCAPTCHA 验证，用于防止机器人创建账户或通过联系页面向我们发送消息。
• OpenAI 和 Anthropic——如果你通过与 ChatGPT 或 Claude 对话来创建菜单，该助手会把其用于构建菜单所需的信息发送给我们。它们不是我们的处理者：你与它们之间的对话受其各自的隐私政策约束。
• GitHub — 承载我们的开发跟踪面板，反馈会在此处同步，便于处理。接收反馈文本，不包含您的姓名或电子邮件地址。

国际数据传输

我们的大多数服务提供商会在欧洲经济区内部存储数据，而我们的服务器和电子邮件位于欧盟境内。部分服务提供商——包括我们的付款、错误监控、会话记录、广告和 AI 服务提供商——在美国境内设立，或在美国境内处理数据。当您的数据离开欧洲经济区时，它会受到保护：要么通过欧洲委员会的充分性决定，要么通过欧洲委员会的标准合同条款，并配合这些条款所要求的额外保障措施。您可以向我们咨询适用于特定传输的保障措施细节。

Cookie 和类似技术

我们使用对服务运行必需的 Cookie，并且——仅在你同意的情况下——使用用于衡量网站使用方式的 Cookie。在我们的免费计划中，餐厅发布的数字菜单上，Google 会展示广告，并通过其自身的同意提示信息收集你的广告选择。你可以随时更改你的选择。 查看我们的 Cookie 政策以了解完整列表和控制选项

我们保留你的数据多久

在你仍拥有我们的账户期间，我们仅在必要时保留你的数据；但下述例外情形除外。

• 您提出删除账户的请求后30天，我们会永久删除您的姓名、电子邮箱地址、在餐厅的职位、餐厅详情、菜单、菜品和上传的照片。在这30天内，您可以取消删除，且不会丢失任何内容。
• 当账户被删除时，我们会保留一条记录，表明该账户曾存在并已关闭，并附带不包含个人信息的统计数据，例如它拥有多少个菜单、是否属于付费计划，以便我们衡量有多少人停止使用该服务。该记录不包含姓名、电子邮件地址或餐厅名称。
• 如果你告诉我们你为何离开，我们会在我们认为有助于改进服务的情况下，保留你选择的原因以及你在可选评论框中输入的任何内容。请不要在该框中填写个人或机密细节。
• 你导入的菜单（包括你上传的文件以及 AI 提供商的原始回复）会在导入时被删除，或在账户被删除时被删除。
• 你文件中导入所找到的内容——从中裁剪出的照片、它们的描述、从中读取到的颜色，以及它在创建时生成的菜品——会与该导入一起保留，仅用于改进菜单导入器，并在删除导入或删除账号时一并删除。
• 通过 AI 助手创建且从未被领取的菜单会在创建约 37 天后自动删除，同时删除持有该菜单的账户。
• 在对话结束后，关于反馈以及我们就此进行的消息会被保留三年以内，以便我们记录所询问和所回答的内容。
• 食客通过餐厅反馈表单留下的评分和评论会一直保存，直到餐厅账户注销，以便餐厅查看；账户删除时，这些内容也会一并删除。餐厅可以将评分归档，使其不再显示在收件箱中，但归档的评分会保留至账户删除。每条反馈附带保存的浏览器详情会在 90 天后删除。如果您提交过反馈并希望提前删除，请联系餐厅或联系我们，我们会为您删除。
• 错误和崩溃报告由我们的错误监控提供商保留，最长为 90 天。
• 仪表盘会话录制：如果你同意，我们将保留最长 365 天。
• 发票和付款记录会在会计与税务法律要求的期限内保留；在西班牙，该期限为六年。你的账户被删除时，我们的付款提供商会删除你的付款档案。
• 加密数据库备份会按其自身计划轮换并在到期后失效，通常在 30 天内；之后，已删除的数据也会从备份中一并消失。

你可以随时自行删除你的账户。查看我们的账户删除页面，了解具体操作方式及所需时间。 删除你的账号

数据安全

我们会使用与风险相适应的技术和组织措施来保护你的数据。这包括为所有流量提供加密连接（HTTPS）、仅以加盐哈希形式保存密码、将对生产数据的访问限制在确有需要的人范围内、加密备份，以及定期的安全审查和依赖审计。没有任何系统可以做到完全安全，但我们会努力将风险保持在较低水平。

如果安全事件影响你的个人数据，并且很可能使你的权利面临风险，我们将在获知该事件后的 72 小时内通知有权的监督管理机构；在法律要求时，我们也会直接通知你。

你的数据保护权利

你对个人数据享有以下权利，且无需付费：

• 访问权——了解我们是否处理与你相关的数据，并获取其副本。
• 更正权——更正不正确或不完整的数据。大多数内容你可以在仪表盘中自行编辑。
• 删除权——删除你的数据。你可以在账户设置中自行对整个账户执行删除。
• 限制处理权——当围绕你数据的争议需要解决时，让我们暂停处理。
• 可携带权——以结构化、机器可读的格式接收你提供给我们的数据，或在技术上可行时让我们将其发送给另一家提供商。
• 反对权——反对基于我们合法利益进行的处理，包括你可随时停止的直接营销。
• 撤回同意——在任何时间撤回同意，例如撤回对 Cookie 或其他任何基于同意的处理的同意，而不影响你在撤回之前已完成的处理。

要行使上述任何权利，请通过我们的联系页面与我们联系。在我们采取行动之前，我们可能会要求你确认身份，以确保不会有人冒用你的名义提出请求。我们将在一 个月内回复；如果某项请求特别复杂，我们可能会再延长两个月，并会告知原因。

你还享有向监督机构提出投诉的权利。在西班牙，该机构是 Agencia Española de Protección de Datos（www.aepd.es）。我们也希望能先给你一个机会解决该事项。

自动化决策与用户画像

我们不会通过自动化方式做出对你产生法律效力或以类似方式显著影响你的决定，也不会为广告目的构建你的行为画像。

年龄要求

该服务面向企业，不面向儿童。你必须至少年满 14 岁才能创建账户，并且年满 18 岁或以上才能进入付费订阅。我们不会明知地从儿童处收集数据。如果你认为某个儿童已向我们提供了个人数据，请与我们联系，我们将删除这些数据。

本隐私政策的变更

我们可能会更新本隐私政策。当变更会实质性影响我们如何使用你的数据时，我们会在其生效前通过电子邮件或在服务内部通知告知你，并会更新本页面顶部的日期。在此之后继续使用服务，即表示你接受更新后的政策。

联系我们

如果你对本隐私政策有任何疑问，或你希望行使上述任何权利，请通过我们的联系页面联系我们。我们会在法律要求的一月内回复你。你也可以通过回复我们发送给你的任何电子邮件来与我们联系。

本服务运营者的身份及注册地址可在通过联系页面提出请求后提供给你，以及提供给任何提出要求的主管机构。

点击下方访问我们的联系页面并与我们取得联系。