我们如何处理你的数据

IglesiaConnect 由 YCYC Consulting and Investment SL 开发、发布并负责技术运营。YCYC Consulting and Investment SL 是本政策所述个人数据处理的数据控制者（西班牙语：responsable del tratamiento），负责决定相关处理的目的和方式，并为平台提供软件、托管、安全与支持服务。

每个使用 IglesiaConnect 的教会或组织负责其租户空间内的日常记录管理和用户权限分配。这些组织及其获授权的管理员会在服务中提供并管理教会特定信息，但对于本政策涵盖的数据处理，YCYC Consulting and Investment SL 始终是数据控制者。使用 ICCE Fuenlabrada 租户及其公开教会页面的组织是 西班牙华人基督教会 F堂（ICCE Fuenlabrada），地址为 Calle Astorga 26, 28947 Fuenlabrada, Madrid, Spain。

本政策适用于产品网站（iglesiaconnect.com）、ICCE Fuenlabrada 网站（iglesiaconnect.com/iccefuenlabrada）、会友网页应用（app.iglesiaconnect.com）、iOS 应用，以及可选的 ChatGPT/MCP 连接。

如有隐私问题，请发送邮件至 privacy@iglesiaconnect.com。

我们只收集运行教会平台所必需的数据：

• 账户数据 — 你的姓名、电子邮箱、首选语言、所属租户（教会），以及密码的安全哈希值。这些信息由你在注册时提供。
• 个人资料数据 — 你在个人资料中设置的可选显示名称、事工/角色分配和通知偏好。
• 音频录音 — 当你在实时翻译主持页面点击“开始录音”时，麦克风音频会传输到我们的服务器用于转写和翻译，并随本场会话私密保存原始录音。我们会使用已保存的实时翻译录音和关联字幕来复查问题、衡量准确率与延迟，并改进语音、转写和翻译质量。当你提交诗班练习录音时，音频文件会被保存，以便敬拜负责人审核。录音绝不会自动开始——每次都需要你明确点击；首次使用时，iOS 也会显示麦克风权限提示。
• 照片 — 当你向教会相册上传照片或向图书馆上传书籍封面时，该文件会保存在我们的服务器上。只有在你选择某一张具体图片后，我们才会访问该图片；我们不会扫描或索引你的整个相册。
• 活动数据 — 包括你的预约、参加的诗班排练、阅读的灵修内容，以及保障服务运行和安全所需的基本技术日志（时间戳、IP 地址、应用版本、设备型号）。
• 已连接的 Google Workspace 数据 — 仅当你另行连接 Google 时，我们才会处理 Google 账户邮箱、已授权 scope、加密 OAuth 令牌，以及完成你明确请求所需的 Drive 文件元数据、XLSX/CSV 单元格值、原生 Sheet 值、Form 结构与回复或 Calendar 活动。我们不会持续复制或索引你的整个 Drive。
• 实时翻译听众 — 公开听众页面不需要账户，也不会请求麦克风或摄像头权限。为向你传送翻译后的音频流，我们只记录你加入的匿名会话 ID 和基本连接元数据。

除非你明确授权可选的 Google 连接，否则我们不会收集位置、通讯录、日历、提醒事项、广告标识符（IDFA）、健康数据或银行卡信息。奉献与捐款由我们的支付合作方处理；IglesiaConnect 本身绝不会保存你的银行卡号。

你可以选择通过我们的 MCP 服务把 IglesiaConnect 账户连接到 ChatGPT。连接使用 OAuth 2.1：你会在 IglesiaConnect 页面登录，并批准具体的授权范围（scope）。你的 IglesiaConnect 密码不会发送给 ChatGPT。

当你要求 ChatGPT 使用 IglesiaConnect 时，我们会处理：

• 已关联的用户和租户标识符、已批准的 OAuth 授权范围、短期访问令牌，以及可撤销的刷新令牌记录；
• 所选工具的参数，例如日期范围、活动 ID、搜索词、你要求更新的个人资料字段，或所附表格的目标资源与列映射；
• 完成该工具调用所需的最少量、已获授权的 IglesiaConnect 数据，以及安全和审计元数据。

每次工具调用仍会按照你现有的租户、角色和资源权限进行检查。连接 ChatGPT 本身绝不会赋予管理员权限。当前 Connector 支持明确的单记录操作，以及人员、 小组、成员关系和仅新增奉献的已审阅表格导入；不开放批量删除、群发、权限管理、 私密辅导/未成年人记录或不受限制的文件访问。

如果你要求预览所附的 .xlsx 或 .csv，MCP 服务只会从 ChatGPT 获准的文件域临时下载并在内存中解析；我们不保存原始文件字节。 仅映射后的预览字段、校验结果和回滚快照会在 IglesiaConnect 中最多保留 30 天， 且只能由同一用户按当前权限访问。上传文件不会直接导入，必须另行明确确认。 保留时间更长的安全审计仅记录导入类型、行数、结果和请求 ID，不记录表格单元格内容。

你也可以另行以只读或管理模式连接 Google Workspace。只读模式可按你的请求搜索和读取 Drive、Sheets、Forms 与表单回复；另行连接 Calendar 后才会同步你要求的日历活动。管理模式还可以创建或修改由本应用创建或你明确指定的 Drive、Sheets 与 Forms 项目。Google 访问绝不会绕过你在 IglesiaConnect 中的角色权限。OAuth 令牌会加密保存；除上述映射后的导入预览和回滚证据外，请求完成后我们不会保留通用 Drive 索引、Drive 表格或源 Sheet/Form 内容。你可随时断开 Google；这会撤销访问，但不会删除你的 Google 文件。

IglesiaConnect 对从 Google API 获得的信息之使用与传输，遵守 Google API 服务用户数据政策，包括其中的“有限使用”要求。我们不会把 Google 用户数据用于广告或训练通用 AI 模型。

ChatGPT 对话中显示的工具结果，也会由 OpenAI 按照你的 ChatGPT 账户条款和数据控制方式处理。连接前请阅读 OpenAI 隐私政策。你可以随时在 IglesiaConnect 个人资料中撤销连接。

• 运行教会平台 — 让你登录、显示敬拜排班、接受场地预约、提供实时翻译并运行诗班排练流程。
• 与你沟通 — 发送与服务有关的邮件，例如重置密码、确认预约，以及你已选择接收的事工通知。
• 保障服务安全 — 发现滥用、排查故障，并履行我们对你和你所属教会承担的安全义务。
• 改进产品 — 使用汇总且不含个人身份的使用统计，例如本周有多少人打开了某篇灵修内容。在获得录音同意后，只有经过专门授权的技术人员才能在受控的私有评测集中使用实时翻译录音及关联字幕，以发现转写、术语、翻译、延迟和语音质量问题。我们不会建立广告画像。

根据《通用数据保护条例》（GDPR）第 6 条，我们的法律依据包括：同意（录音和可选个人资料字段）、履行合同（运行你注册使用的账户），以及合法利益（安全、防欺诈和基础分析）。

以下各方可以在相应范围内看到你的数据：

• 你本人 — 在你已登录的每台设备上。
• 你所属教会的教牧团队及获指派的管理员 — 他们可以查看你所属教会的会友名录条目、事工分配、场地预约和诗班提交内容；不能查看其他教会的会友。
• 我们的技术分处理方 — 他们只会看到各自提供服务所必需的数据：
  • 位于欧盟的基础设施托管和对象存储服务，用于保存数据库、服务日志和上传文件。
  • OpenAI 语音和语言服务，在适用的 API 数据控制条款下，处理你明确发送用于实时转写和翻译的音频或文本。
  • 在当前语音系统迁移期间，ElevenLabs 可能会处理已翻译的西班牙语文本，以生成可选的听众语音；此步骤不会把已保存的原始录音发送给 ElevenLabs。
  • OpenAI / ChatGPT，仅在用户启用可选连接并在 ChatGPT 中请求 IglesiaConnect 操作时，接收已授权的工具输入和结果。
  • Google API 仅处理通过用户另行授权的 Google 账户发起的具体 Drive、Sheets、Forms、表单回复或 Calendar 请求；该 Google 账户同时受 Google 自身条款和隐私政策约束。
  • 邮件投递服务，仅用于事务性邮件。

我们不会出售你的数据，也不会与广告商、数据经纪商或社交网络共享。iOS 应用不包含第三方跟踪 SDK。

• 账户与个人资料 — 在账户有效期间保留；删除账户后 30 天内删除。
• 实时翻译音频 — 原始录音、生成的转写、翻译、修正内容和技术质量指标会随会话私密保存，不适用 90 天自动删除规则；它们会保留至会话主持人或获授权的教会管理员删除该会话、组织租户关闭，或我们完成有效的删除请求。原始音频删除后，去标识化的汇总质量指标仍可能保留。
• 诗班练习录音 — 保留至你或敬拜负责人将其删除，或相关歌曲被归档为止（通常为一个排练周期）。
• 相册照片与书籍封面 — 在相册项目或书籍记录存在期间保留；项目被移除时删除。
• 技术日志 — 保留 90 天，之后进行汇总或删除。
• ChatGPT 授权记录 — 授权码和待处理请求会在数分钟内过期，访问令牌为短期令牌。刷新令牌的安全记录与连接授权，仅在维持连接、调查令牌重复使用或履行安全义务所需期间保留；撤销连接并经过适用的安全观察期后删除。
• Google Workspace 连接 — 一次性授权状态会在 10 分钟内过期。加密的 Google 访问令牌与刷新令牌、账户邮箱、已授权 scope、过期时间和同步元数据，仅在连接有效期间保留，并在断开后删除。所请求的 Google 内容原则上只做瞬时处理；如果它被写入 IglesiaConnect 记录或成为已审阅导入预览，则按上述最长 30 天的导入保留规则处理。

IglesiaConnect 在 App Store 中标为 4+，原因是应用不含不适宜内容；但本平台的预期使用者是成年人（教会会友与平信徒领袖）。儿童可能出现在由父母维护的教会家庭记录中；这些记录只对家庭成员和教牧人员可见。未经父母或监护人参与，我们不会在知情情况下直接收集 14 岁以下儿童的数据。

你可以：

• 访问和编辑 — 在应用内通过“个人资料 → 编辑”修改你的个人资料。
• 删除账户 — 在网页应用或 iOS 应用中通过“个人资料 → 删除账户”操作。账户、个人资料和可识别个人身份的活动数据将在 30 天内删除；汇总且匿名的统计数据可能被保留。
• 撤回同意 — 随时撤回对未来可选处理的同意。你可以立即停止实时录音或练习录音，并联系privacy@iglesiaconnect.com 或获授权的教会管理员，要求删除已保存的实时翻译会话或录音。
• 断开 ChatGPT — 在 IglesiaConnect 个人资料的“已连接应用”中操作。这会撤销授权和刷新令牌；之后再次调用工具时，需要重新授权。
• 断开 Google Workspace — 在 IglesiaConnect 的“应用连接”中操作。我们会尽可能撤销 Google 令牌并删除已保存的连接，但不会删除你的 Google 文件。你也可以在 Google 账户安全设置中撤销 IglesiaConnect。
• 导出数据 — 发送邮件至 privacy@iglesiaconnect.com 提出请求。
• 提出投诉 — 如果你认为我们不当处理了你的数据，可以向西班牙数据保护局 Agencia Española de Protección de Datos（AEPD） 投诉。

IglesiaConnect iOS 应用只会在你点击需要相关功能时，请求以下三项系统权限：

• 麦克风 — 仅在你点击“开始录音”，用于主持实时翻译会话或提交诗班练习录音时请求。听众页面绝不会请求麦克风权限。
• 摄像头 — 仅在你打开图书馆 ISBN 扫描器，或扫描二维码加入会话时请求。
• 照片图库 — 仅在你点击相册中的“上传照片”，或选择书籍封面时请求。我们使用系统选择器，因此只能看到你选中的照片。

在第 1 版中，应用不会请求通知、位置、通讯录、日历、提醒事项、蓝牙、本地网络发现或跟踪（App Tracking Transparency）权限。

传输中的流量通过 HTTPS/TLS 加密。密码以加盐哈希保存，绝不会以明文保存。生产数据仅允许少数运营人员访问，并会记录访问日志。ChatGPT 连接采用带 PKCE 的 OAuth 2.1 授权码流程、短期签名访问令牌、轮换刷新令牌、限定授权范围的工具、速率限制，以及 IglesiaConnect API 中的第二次权限检查。我们定期修补依赖项，并审核涉及身份验证或数据处理的变更。

如果我们处理数据的方式发生重大变化，我们会更新本页面以及上方的生效日期。对于重要变更，我们还会通过电子邮件或应用内提示通知活跃用户。

如有问题、疑虑或希望行使数据权利，请发送邮件至 privacy@iglesiaconnect.com。一般教会事务请访问我们的联系页面。