Food Moments本页内容
Food Moments 根据照片和您自己的描述估算您餐食的营养价值。它的设计初衷是让您的数据始终属于您：没有广告，没有跟踪，也不需要姓名——您的账户只是您的电子邮件地址而已。您记录的一切都存储在该账户中，位于我们自己在欧盟境内的服务器上，最近几天的数据保存在您的 iPhone 或 iPad 上；正因如此，新的设备才能恢复所有内容，同时还有两个按钮让数据在实际中始终归您所有：一个下载全部数据，一个删除全部数据。下文将准确说明哪些数据被发送到哪里——而所有数据都留在欧盟境内；AI 分析和听写都只在您于 App 中同意后才会开始，而且只有在您邀请我们时，我们才会查看您的餐食本身（§11）。
1. 责任方
数据控制者为 Smart Backoffice Solutions B.V.，地址：Saal van Zwanenbergweg 11, 5026 RM Tilburg, Netherlands，已在荷兰商会（KvK）注册，注册号为 90141482。联系方式：info@smart-backoffice.nl。
2. App 处理哪些数据，以及数据存放在哪里
存储在您的账户中、位于我们在欧盟境内的服务器上：
- 您的餐食照片、备注、更正和编辑历史
- 营养估算、模型对其如何得出估算的说明，以及您的时间线
- 您的营养档案（出生年份、性别、体重、身高、活动水平、热量目标）
- 您每天的每日目标——对于基于“健康”的日子，还包括计算该目标所依据的消耗能量数值（见下文）
- 您的时间线背景照片（如果您选择了自己的照片）
- 您标记为个人收藏的餐食照片和扫描的产品，以便您再次使用时它们排在前面
- 您的 App 设置：外观、您的一天何时开始、您的活动数据是否来自“健康”，以及您喜欢的饮食方式——您为每日目标选择的蛋白质、膳食纤维、果蔬、游离糖、脂肪和盐的水平
- 您用自己的话告诉 App 的尺寸——您的餐盘有多宽、您的一片面包有多重——保存这些信息是为了让 App 不必再次猜测
- 您的 iPhone 或 iPad 能够测量的每张照片的尺寸测量结果（见下文），以及测量方式的技术细节——设备追踪的稳定程度、找到了哪个表面以及把握有多大；此外，自 2026年9月24日起，还包括画面内几百个点各自与相机的距离——这样，即使您拍摄的东西是拿在手里而不是放在桌上，之后也能读出其大小。画面以外的任何内容都不会保存
- 用于合理使用的每次分析和听写请求的记录：发出时间、请求类型、由哪个 AI 模型回答、耗时多久、使用了多少数据和计算量、属于哪一餐、是否成功，以及如果失败，说明原因的简短代码（例如“超时”）——绝不包含其内容（§3）
- 您是否开启了“帮助改进 Food Moments”及开启时间（§11），以及您是否关闭了偶尔通过电子邮件提问（§12）
- 您的订阅，以 Apple 报告的信息为准（见下文）
- 您最后一次以您的账户使用 App 的日期，以便删除无人再使用的账户（§6）
此存储运行在 Microsoft Azure 的西欧（West Europe）区域（§4）。您的 iPhone 或 iPad 会保留大约最近两周的数据以供随时显示，当您向前滚动时再获取更早的日期；在新设备上登录即可恢复所有内容。因此，删除 App 不再会删除您的数据——删除账户才会，而且是在 App 中彻底删除（§6、§8）。
您的账户刻意只包含最少的信息：只有您的电子邮件地址，别无其他——没有姓名，没有密码。您通过我们以电子邮件发送给您的一次性六位数验证码登录；您登录的每台 iPhone 或 iPad 都有各自的会话，退出登录即结束该会话。账户以及在其中存储您餐食数据的法律依据：履行我们与您之间的合同（《通用数据保护条例》（GDPR）第 6 条第 1 款 (b) 项）——这种存储*本身就是*服务——此外，由于餐食可能透露有关您健康的信息，还需要您的明确同意，您在创建账户时给出该同意（GDPR 第 9 条第 2 款 (a) 项）。删除账户即撤回该同意。
“健康”：如果您启用“从‘健康’获取活动数据”，App 会在这台 iPhone 或 iPad 上读取您的静息能量和活动能量，以设定当天的能量目标。这些读数保留在“健康”中——绝不会发送给 AI 模型，绝不用于广告，App 也从不向“健康”写入数据。您的账户存储的是结果：每天的能量目标及计算该目标所依据的消耗能量总数，与您的每日目标一起保存，使过去的某一天在新设备上仍保留其真实的目标。
您的订阅。 订阅通过 Apple 购买和支付（§4）。为了让 App 知道您是否可以使用分析功能，我们会从 Apple 接收——通过 App 接收，以及在订阅续订、结束或退款时直接从 Apple 的服务器接收——并与您的账户一起存储以下信息：订阅的交易编号、产品、是真实购买还是测试购买、当前周期何时结束、Apple 何时签署该信息、是否已退款或撤销、付款失败时的任何宽限期、该周期是否为免费试用期，以及我们最后一次更新这些信息的时间。我们不会收到任何付款信息——没有银行卡、没有银行账户、没有账单地址——也不会收到 Apple ID。法律依据：履行我们与您之间的合同（GDPR 第 6 条第 1 款 (b) 项）。这些信息会随您的账户一起删除；Apple 依据其自身条款保留其自己的购买记录。
您最后一次使用 App 的时间。 当您在登录状态下 App 与我们的服务器通信时，服务器会在您的账户上记下当天的日期——每天最多一次。它不记录您做了什么。正是这一点使我们能够删除连续 18 个月无人使用且没有进行中订阅的账户（§6），而不是永久保留它。法律依据：我们在不将数据保留超过其使用期限方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）。
我们还运行一个网关，每个分析和听写请求都会经过它，详见 §3。它不保存您的任何餐食内容——照片、备注和录音只是经过它，答复一返回即消失。它确实保存的是您设备的一个技术标识符以及用于合理使用的每次请求记录，两者均在 §3 中说明。
为餐食分析而发送（仅在您同意后，见 §3）：
- 正在分析的这餐的照片
- 您对这餐的备注以及之后的任何更正
- 照片中发现的营养成分表文字和条形码产品信息
- 您最近两周餐食的简要信息——最多 30 餐，每餐包括时间、标题以及各道菜及其分量和热量——以便各天之间的分量保持一致；以及正在分析的这餐的日期、时间和语言
- 一次性地，对于您最近两周内在 2026年9月19日之前分析过的每一餐：其标题以及各道菜及其分量、糖和重量的简要信息，以便 App 无需再次分析这餐即可补充游离糖和果蔬数据
- 对于仅由扫描的产品组成的一餐：在扫描后片刻发送这些产品的名称、包装规格以及产品数据库中每 100 g 的数值，以便 App 补充产品数据库很少列出的维生素和矿物质——无需照片
- 一次性地，在 2026年9月29日的更新之后：您 iPhone 或 iPad 上的每一餐——大约最近两周，以及您向前滚动后的更早日期——都会按此处所述再次分析，使其也包含维生素和矿物质。您的设备将这些请求交给我们的网关，网关在 App 关闭期间运行它们——使用已存储在您账户中的照片——并将每个答复只保留到您的设备取回为止，随后将其删除；删除您的账户会一并删除等待中的请求和答复
- 您告诉 App 的尺寸（见上文），以便根据您自己的餐盘而不是平均尺寸来衡量分量
- 每张照片的尺寸测量结果（如果您的 iPhone 或 iPad 能够测量）：在食物所在的表面上，画面横向覆盖多少厘米，相机距离多远、以什么角度持握，以及该表面上各个形状的大小。您的设备在您构图时会自行根据您手部的细微移动计算这些数据——或者，如果您愿意，根据取景器邀请您围绕食物所做的小幅移动——在配备深度传感器的机型上还会使用该传感器。不会额外拍摄照片，画面以外的任何内容都不会被映射或保存；App 为画面内各点保存的深度读数已列在上文的存储数据中。只要找到了表面，App 还会发送该照片的一份副本，其中在该表面上绘制了厘米网格，并附上该测量的可靠程度，以便模型可以从中读取尺寸或将其搁置不用。您从图库中选择的照片不带测量结果；别人与您共享的一餐会保留其设备所做的测量
为您听写备注而发送（仅在您同意后，见 §3）：
- 您听写的录音，用于转写为文字，同时附上目前已写好的备注的最后几句——无论是键入的还是听写的——以便用词和名称保持一致。与餐食分析一样，它在我们自己位于欧盟境内的 Azure 部署上处理（§3）
仅在有未完成内容时，保存在您的 iPhone 或 iPad 上：
- 您已开始但尚未分析的一餐——其照片、扫描的条形码和键入的备注——以便在 App 被关闭、崩溃或被系统终止时，拍摄屏幕能在您离开的地方重新打开；您已开始对某一餐进行但尚未应用的更正也是如此。它会一直保留，直到您按下“分析”或“应用”（此时它成为您的一餐或您的更正，并按上文所述存储在您的账户中），或按下“取消”（此时它被删除）。当您退出登录或删除账户时，它也会被删除；在您按下“分析”或“应用”之前，其中的任何内容都不会被发送去分析
- 听写的录音，从其完成的那一刻起——当您松开麦克风按钮时，或在较长的备注期间大约每分钟一次——直到其文字到达为止，通常只需一两秒，之后即被删除。如果暂时无法发送（因为没有网络或服务不可用），它会在您的设备上等待，并在连接恢复或您再次打开 App 时自动发送，您的备注会自动填入。当您取消它所属的一餐或更正、退出登录或删除账户时，等待中的录音也会被删除；未经您的听写同意，它绝不会被发送
两者都保存在您 iPhone 或 iPad 上 App 的私有存储空间中，受系统加密保护，并排除在设备备份之外；两者都不会上传到您的账户。
当您扫描条形码或在照片中发现条形码时发送：
- 条形码数字，在公开的 Open Food Facts 数据库中查询（§4）。产品的名称、包装规格、营养数值和照片会返回到您的 iPhone 或 iPad 并保存在那里；该照片绝不会上传给我们，绝不会被发送去分析，也绝不会随您共享的一餐传输——您的设备会从 Open Food Facts 获取自己的副本。法律依据：我们以产品自身印刷的数值作为估算依据的正当利益（GDPR 第 6 条第 1 款 (f) 项）；只有在您同意餐食分析后才会进行查询
当 App 崩溃、卡死或占用过多处理器或存储资源时自动发送：
- 来自 Apple 自己的设备端崩溃检测（MetricKit）的技术诊断报告——发生了哪种故障、涉及 App 的哪个部分、您的 iPhone 或 iPad 型号和 iOS 或 iPadOS 版本以及 App 版本，以便我们发现并修复问题。它不包含您的任何照片、备注或您键入的任何内容，并且与这台设备上的安装而非您的账户一起存储。法律依据：我们在 App 正常运行方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）。
为改进 App 而查看——仅限技术细节，绝不涉及您吃了什么：
- 为了找出 App 在哪里出错以及某项改动是否修复了问题，我们会查看其运行方式的技术细节，这些细节本来就与您的餐食一起保存或保存在我们的网关上：对于每张照片，您的 iPhone 或 iPad 是否能够测量以及测量得有多好（测量质量、无法测量的原因、距离和角度、设备追踪的稳定程度，以及它找到的各个表面是否彼此吻合）；照片的来源——相机、您的图库或之前的一餐；对于每次分析，由哪个 AI 模型回答、耗时多久、需要几轮、携带了多少数据、是否成功，以及如果失败，原因是什么；以及上述崩溃报告。我们查看这些信息时不涉及您的照片、备注、更正、餐食名称或营养数值，并且只以不指向您个人的总数进行报告（“相机能够测量 44% 的照片”）。为此不会收集任何新数据：这些细节本来就存在，用于本节所述的目的。法律依据：我们在 App 正常运行并不断改进方面的正当利益（GDPR 第 6 条第 1 款 (f) 项）。您可以随时写信至 §1 中的地址提出反对；之后我们会将您的账户排除在外。
由您共享，从您的 iPhone 或 iPad 直接发送到另一台设备（不经过我们）：
- 当您与一起吃这餐的人共享这餐时，这餐——其照片及照片的尺寸测量结果、您的备注、估算、其历史和模型的说明——会通过 AirDrop、“信息”或您选择的任何 App，从您的设备直接发送给您选择的接收者。它不会经过我们的服务器：我们永远看不到它，也不保留任何副本。别人与您共享的一餐会出现在您的时间线中，然后像您自己拍摄的一餐一样存储在您的账户中。
3. AI 餐食分析——您的同意
为了计算估算值，App 会将上述数据发送给运行在位于欧盟境内的 Microsoft Azure 服务器上、由我们自己部署的 AI 模型（OpenAI GPT）。App 发送的内容用于计算您的营养估算——并且仅在您开启了“帮助改进 Food Moments”的情况下，按 §11 所述用于改进 App。它不会用于训练 AI 模型。您的账户不包含姓名，AI 模型也看不到账户的任何信息：到达模型的是这餐，而不是您是谁。
每个请求都会先经过我们自己的网关。 这是我们在欧盟境内的 Microsoft Azure 上运营的一台小型服务器。它的存在是为了让 AI 服务的凭据不放在 App 内——否则任何人都可以从下载的文件中提取这些凭据，并在我们的账户上产生费用。网关会检查请求确实来自真正的 Apple 设备上未经修改的 Food Moments 副本——使用 Apple 的 App Attest——并且属于一个已登录的账户，从而按账户而非按设备计算合理使用限额，然后将请求转发。对于分析请求，它会从您账户的存储空间中取出您的照片插入请求；除此之外，它不会读取您发送的内容，也不保留任何副本。为了合理使用和成本控制，它会按账户为每个请求记录一行：时间、类型、哪个模型、耗时多久、使用了多少数据和计算量、涉及哪一餐、是否成功——如果失败，记录说明原因的简短代码（例如“超时”），绝不记录错误消息或内容。您的照片、备注和录音绝不会出现在这些记录或其日志中，这些记录会随您的账户一起删除。
为了进行这项检查，您的 iPhone 或 iPad 会创建一个永远不会离开设备的加密密钥，网关会存储该密钥的标识符以及一个防止被截获的请求被重放的计数器。该标识符是 App 的这次安装生成的随机值：不包含姓名、电子邮件地址或设备序列号。在您登录期间，我们的记录会将其与您账户的会话关联，因此我们将其视为个人数据。它在 App 首次与我们的服务器通信时——即您登录时——创建，删除 App 后它便失去作用。这一项技术记录的法律依据：我们保护服务免遭滥用的正当利益（GDPR 第 6 条第 1 款 (f) 项）。
App 会在首次分析之前征求您的明确同意（法律依据：GDPR 第 6 条第 1 款 (a) 项，以及 GDPR 第 9 条第 2 款 (a) 项，因为餐食可能透露有关您健康的信息）。您可以随时撤回同意，位置在“设置”→“隐私”；此后分析功能将保持关闭，直到您再次同意，App 的其余部分仍可正常使用。
听写有单独的同意。语音备注由我们自己在欧盟境内的 Microsoft Azure 部署上的语音模型转写为文字——North Europe（爱尔兰）的 Azure Speech，以及仅用于 1.2 之前 App 版本的 Sweden Central 的 Azure OpenAI——因此听写录音也在欧盟境内处理。（在 2026年10月1日之前，听写运行在全球部署上，录音可能在欧盟以外处理；现在已不再如此。）App 会在您首次听写之前征求同意（同样依据 GDPR 第 6 条第 1 款 (a) 项），您可以在同一位置撤回该同意；此后听写将保持关闭，您始终可以改为键入备注。
餐食照片和备注可能会附带透露有关您的信息——某种饮食方式、过敏、禁食习惯。为尽量减少这种情况，我们只发送正在分析的这餐，将结果保存在只有您能访问的您自己的账户中，并且不在我们的网关上存储任何此类内容。
4. 服务提供商
- Microsoft Ireland Operations Ltd.（Azure）提供基础设施，并作为我们的处理者，依据 Microsoft 的《数据保护附录》（Data Protection Addendum）处理分析请求和听写录音。这包括 AI 部署、§3 中所述的网关——该网关运行在西欧（West Europe）的 Azure Functions 上，其设备标识符和 §2 中的崩溃诊断存储在同一区域的 Azure Table Storage 中——以及您账户背后的存储（§2）：您的餐食、照片和档案存放在西欧的 Azure 存储中，位于欧盟境内。我们发送的电子邮件——验证码、导出链接以及 §12 中所述的其他邮件——通过 Azure Communication Services 发送，其数据位置配置在欧盟境内，发件地址为 noreply@smart-backoffice.nl。餐食分析运行在 Azure 的 EU Data Zone（欧盟数据区）中，听写运行在 North Europe（爱尔兰）的 Azure Speech 上（1.2 之前的 App 版本运行在 Sweden Central 的 Azure OpenAI 上），因此照片、备注、更正和听写录音都在欧盟境内处理。Microsoft 的滥用监控会在处理时自动检查请求，但不存储请求；只有被标记为可能存在滥用的请求才可能按照 Microsoft 公布的标准程序被临时存储以供审查——对于欧盟部署，存储和审查均在欧盟境内进行——之后即被删除。Microsoft 不会使用您的数据训练模型。
- Open Food Facts（一家法国非营利组织）只接收所扫描条形码的数字，以返回公开的产品信息，随后您的 iPhone 或 iPad 会从他们那里获取该产品的照片。与任何互联网请求一样，他们的服务器在技术上会看到您的 IP 地址。他们的产品数据依据 Open Database License 发布，照片依据 Creative Commons Attribution-ShareAlike 3.0 发布；App 在显示这些内容时会注明其贡献者。
- Apple 分发本 App 并销售订阅：付款、续订、取消和退款由 Apple 负责，Apple 作为独立控制者依据其自身条款行事。Apple 会告知我们 §2 中列出的订阅详情，以便 App 知道您是否可以使用分析功能。当您在 App 中订阅时，该购买会携带您账户的随机标识符，以便 Apple 此后关于该购买的消息能够与您的账户匹配；它不包含姓名和电子邮件地址，Apple 也不会了解到您餐食的任何信息。标签读取和条形码检测完全在您的 iPhone 或 iPad 上使用 Apple 的设备端框架运行——这些功能不会有任何数据离开设备。
我们不与任何其他人共享数据。我们不出售数据。App 中没有统计分析或广告 SDK。本政策涵盖本 App；网站 smart-backoffice.nl 有其自己的隐私声明，并且只有在您接受其 Cookie 横幅后才会使用 Google Analytics。
5. 国际传输
餐食分析固定在 Azure 的 EU Data Zone（欧盟数据区）中，听写固定在欧盟境内的 Azure 区域（North Europe 和 Sweden Central）中；两者都在欧盟境内处理。它们经过的网关（§3）、您账户背后的存储（§2）以及发送我们电子邮件的服务（§4）也都在欧盟境内运行，因此它们都不会增加任何传输：App 发送的任何内容都不会离开欧盟。（在 2026年10月1日之前，听写录音可能依据 Microsoft 的标准合同条款在欧洲经济区（EEA）以外处理；此后听写已迁移至欧盟。）
如果 Microsoft 作为一家全球性公司在例外情况下可能在 EEA 以外处理支持或遥测数据，则 Microsoft 的 EU Data Boundary（欧盟数据边界）承诺以及同样的标准合同条款将作为保障措施适用。
6. 保留期限
您账户的数据会一直保留，直到您将其删除——这正是账户的意义所在。单餐可通过轻扫删除，我们服务器上和设备上的都会删除；“设置”→“账户”→“删除账户”会一次性清除我们持有的一切——餐食、照片、档案、会话以及任何仍在等待中的导出文件。删除 App 不再会删除任何内容：再次登录，一切都会回来；当您希望数据消失时，请删除账户。
无人使用的账户不会永久保留。 如果一个账户已有 18 个月未被使用——未用该账户打开 App，也没有任何同步——我们会删除它及其中的所有内容。有进行中订阅的账户——处于免费试用期、已付费，或处于付款失败后的宽限期内——绝不会因未使用而被删除。 删除前 30 天，我们会向其地址发送电子邮件告知，并说明如何先下载全部数据；只需用该账户打开一次 App 即可保留账户。订阅结束本身不会删除任何内容：您仍然可以查看您的餐食、下载它们，并随时回来。
您的订阅详情（§2）与您的账户一起保存，并随账户一起删除——包括账户因未使用而被删除的情况。订阅本身会在 Apple 继续运行，直到您在 Apple 账户中取消它。
账户周边的一切都是短期的。验证码只能使用一次，大约十分钟后过期。“下载我的全部数据”生成的 zip 文件会在生成几天后从我们的服务器上删除（其下载链接在 24 小时后失效），并且与任何已删除的文件一样，之后最多 35 天内仍可从我们的备份中恢复。您为分析或听写发送的任何内容都不会存储在我们的网关上——转发之后即消失——Microsoft 的临时保留情况见 §4。
在您的 iPhone 或 iPad 上，未完成的一餐或更正，以及仍在等待文字的听写录音，只会按 §2 所述的期限保存：直到您完成或取消它，或直到其文字到达为止——并且绝不会超过退出登录或删除账户的时刻。
§3 中所述的设备标识符会被保留，因为请求要据此进行检查；当某次安装停止使用服务时，它目前还不会被自动删除，因此我们会应要求将其删除——请写信至 §1 中的地址，并注明您希望移除您的设备注册。当您退出登录或删除账户时，它与您账户的关联即告结束。它不会告诉我们任何关于您吃什么的信息。
§3 中的合理使用记录——每个请求一行，以及每周和每月的计数——与您的账户一起保存，并随账户一起删除。
崩溃诊断（§2）保留 90 天，然后自动删除——足够发现并修复问题，而不是永久记录。
电子邮件投递记录。 对于我们发送的每封电子邮件，我们的电子邮件服务（§4）会记录地址、时间，以及该邮件是已送达、被退回还是被接收服务器拦截。我们将此记录保留 90 天——以便在验证码未送达时我们能查明原因——之后自动删除。它不包含验证码、链接或邮件的其他内容。
帮助改进 Food Moments（§11）不会增加其自身的存储：您的餐食仍保留在您的账户中。为比较而制作的工作副本会在比较完成后删除，无论如何都会在您关闭该设置后 30 天内删除。
我们会保留备份。 您的账户是您餐食唯一的完整副本——您的 iPhone 或 iPad 只保留最近几天的数据——因此我们会对其进行备份。照片和文件可以恢复到过去 30 天内的任意时刻，账户的其余部分每晚写入一个带日期的文件，同样保留 30 天。已删除的文件——一张照片，或已超出保留期的夜间文件——在彻底消失之前最多还可再恢复 35 天。所有这些都与您的其他数据一起保存在欧盟境内，不用于任何其他用途。坦白地说，这带来一个后果：删除账户会立即清除我们在服务中持有的一切，但备份中的内容会随着过期而逐步消失——照片大约在五周内，您账户的夜间副本最迟在 66 天内——而不是在同一时刻消失。
7. 安全
所有发送的数据都通过加密连接（TLS）离开您的设备，在设备上，您的数据受系统内置加密和您的设备密码保护。您账户的数据现在也存放在我们的服务器上，因此它在那里受到保护，而不是靠不存在来保护：它存储在欧盟境内的 Microsoft Azure 上，并进行静态加密；只能通过 App 本身访问，因为每个请求都必须证明——通过 Apple 的 App Attest（§3）——它来自未经修改的 Food Moments 副本，*并且*必须携带您账户的有效会话；会话按设备区分，并在您退出登录时结束；服务器只以哈希值形式存储会话令牌，因此即使我们的记录副本被盗，也无法用来冒充您登录。没有可被窃取的密码：验证码通过电子邮件发送，只能使用一次，几分钟后即失效。
8. 您的权利
根据 GDPR，您享有访问权、更正权、删除权、限制处理权、数据可携带权和反对权，以及随时撤回同意的权利，撤回不影响撤回前处理的合法性。App 的设计让您可以直接行使这些权利，无需写信给任何人：
- 访问：App 会向您显示您的餐食、档案和设置，下文所述的下载包含所有这些内容，包括 App 不显示的内容，例如照片测量结果、您的订阅详情以及您最后一次使用 App 的日期。至于其余内容——§3 中的合理使用记录、崩溃报告、设备标识符——请写信给我们，我们会向您发送一份副本。
- 更正：在 App 中更正任何一餐；在“设置”中更改您的档案。
- 可携带性：“设置”→“账户”→“下载我的全部数据”会让服务器打包所有内容——每张照片、一组可在任何电脑上浏览的页面、一个电子表格可读取的表格，以及一个包含您账户所持有一切内容的数据文件，其中包括更正、档案、设置和每日目标——并通过电子邮件向您发送下载链接。
- 删除：轻扫删除一餐，或通过“设置”→“账户”→“删除账户”一次性删除所有内容。
- 撤回同意：分析和听写在“设置”→“隐私”中撤回，“帮助改进 Food Moments”则通过其自己的开关撤回（§11）。
- 反对：对于我们使用技术细节（§2），请写信给我们；之后我们会将您的账户排除在外。对于我们偶尔通过电子邮件提问（§12），请使用“设置”→“隐私”中的开关。
如有其他事项或疑问，请联系 info@smart-backoffice.nl——我们会在一个月内答复。您还有权向监管机构投诉；在荷兰，监管机构为 Autoriteit Persoonsgegevens（荷兰数据保护局，autoriteitpersoonsgegevens.nl），但您也可以联系您本国的监管机构。
9. 儿童
Food Moments 面向 16 岁及以上的用户。如果有人填写的出生年份表明其未满 16 岁，账户将处于等待状态：在家长或监护人发送电子邮件至 info@smart-backoffice.nl 并经我们通过电子邮件确认其同意之前，不会进行任何分析，也不会添加新的餐食或照片。如果年份是误填的，在“设置”中更正后账户将重新开放。在账户存续期间，我们保留该电子邮件作为同意的记录。家长或监护人可随时通过电子邮件撤回同意，账户随后将再次处于等待状态。更改年份不会结束该等待状态。导出和删除账户始终可用，App Store 订阅将持续有效，直至在 Apple 账户中取消。未经该同意，除账户当时已有的内容外，我们不会在知情的情况下处理未满 16 岁者的任何数据。如果您认为有儿童使用错误的年份创建了账户，请写信至 §1 中的地址，我们将予以删除。
10. 变更
如果 App 的数据流发生变化，本政策会在该变化上线之前更新，并注明上方的生效日期。
每项变更都会在支持页面上公布。 小的变更——措辞、语法、错别字、不改变您数据处理方式的澄清——只在那里公布，不在其他地方公布。
对您的数据有重大影响的变更也会在 App 中公布，且在其生效之前公布。而一项处理您拍摄、书写或说出内容的真正新的数据流——即分析和听写这类数据流——需要的不仅仅是公告：在您同意之前，它不会开始。有关 App 本身的新*技术*信号，例如 §2 中的崩溃诊断，不会改变您的餐食或账户的任何处理方式；它会被披露而不需要征得同意，就像 §3 中的设备标识符已经采用的方式一样。
11. 帮助改进 Food Moments——仅在您开启时
Food Moments 通过了解其估算在哪里出错而不断改进，而盘中食物的量正是最容易出错的地方。在“设置”→“帮助改进 Food Moments”下有一个开关，允许我们正是为此使用您的餐食。除非您将其开启，否则它处于关闭状态。
开启后您允许的内容。 我们——即 Smart Backoffice Solutions B.V. 中制作 Food Moments 的人员，而非其他任何人——可以查看您账户中的餐食：照片、您的备注和更正、估算及其历史，以及随照片附带的尺寸测量结果。我们仅将其用于一个目的：找出 App 的估算在哪里出错以及原因，并检查对 App 的改动是否能使估算更准确。为了检查某项改动，我们可能会使用改进后的指令，在分析您餐食的同一个位于欧盟境内的 Microsoft Azure 部署（§4）上再次分析某一餐；其答复会与原始答复进行比较，绝不会更改您时间线中的这餐。餐食可能透露有关您健康的信息——某种饮食方式、过敏、您吃多少——因此这需要您的明确同意（GDPR 第 9 条第 2 款 (a) 项和第 6 条第 1 款 (a) 项）。该开关就是这项同意：其标签说明了您同意的内容，开启即表示同意，App 会显示您同意的日期。
它绝不允许的内容。 您的餐食不会用于训练 AI 模型，无论是我们的还是任何其他人的。它们不会与任何人共享、不会被出售、不会被公开发布，也不会用于广告。我们获得的认识以不指向您个人的一般性结论和总数形式保存（“首次估算平均偏差 15%”）。没有人会因此联系您。
您的餐食保存在哪里。 与以前一样，保存在您的账户中，位于欧盟境内。当比较需要工作副本——一张照片及其旧估算和新估算——该副本只保存在我们自己的加密计算机上，仅在比较进行期间保存，之后即删除。
关闭它。 您可以随时在同一位置关闭它，就像开启它一样方便；您的其他设备会在几分钟内跟随更改。从那时起，我们不再查看您的餐食，并会立即删除其任何工作副本，最迟在 30 天内删除。撤回不会撤销撤回之前已进行的处理（GDPR 第 7 条第 3 款），不再指向您个人的一般性结论也会保留。无论开启还是关闭，App 中的其他内容都不会改变。删除您的账户也会将其关闭，使用另一个账户登录时，它从关闭状态开始。
12. 我们发送的电子邮件
我们只会写信到您用于登录的电子邮件地址，并且只出于两类原因。
属于服务一部分的电子邮件： 您的验证码、您下载内容的链接、无人再使用的账户被删除前 30 天的通知（§6）、我们必须告知您的本政策或条款的变更，以及服务的终止。法律依据：履行我们与您之间的合同（GDPR 第 6 条第 1 款 (b) 项）。
偶尔的提问。 除此之外，我们很少写信——只在有重要事项时，或者征求您的意见：哪些对您有用、哪些没用、您希望有什么。我们不发送广告，也不发送新闻通讯。法律依据：我们听取 Food Moments 用户意见的正当利益（GDPR 第 6 条第 1 款 (f) 项）。您可以随时通过“设置”→“隐私”→“偶尔通过电子邮件提问”提出反对（GDPR 第 21 条）：关闭后，我们将不再向您发送任何提问。除非您将其关闭，否则它处于开启状态；它会随您的账户同步到您的其他设备，并且每封此类电子邮件的末尾都会用一句话说明在哪里关闭它。是否回复始终由您决定。
13. 与大学合作的研究
我们可能会与大学和研究机构合作，开展有关营养和本 App 的研究或实地实验。只有在您对某项特定研究给予了单独的知情同意后，您的数据才会用于该研究。 在您做出决定之前，您会被告知由谁开展研究、研究涉及什么内容、会使用您的哪些数据、使用多长时间，以及如何退出。每项研究在开始之前都会经过伦理委员会的审查。参与始终是自愿的；您可以随时退出，无需说明理由，也不会受到任何不利影响，并且您的同意会针对每项研究单独记录。如果您不同意，您就永远不会参与，您的任何数据都不会用于该研究。 这与*帮助改进 Food Moments*（§11）是分开的：开启该功能不会使您参与研究，同意参与研究也不会开启该功能。