隐私政策

最后更新：2026 年 10 月 7 日 · English

1. 孩子永远没有账号

孩子从不注册账号，也从不会被要求提供邮箱、真实姓名、出生日期、学校或电话号码。山图和定级测试都不用登录就能用。

孩子的记录上唯一可能有的标签是一个可选的昵称：孩子在山图上为家长取码时自己填的，或家长在账号页上起的。请用昵称，不要用全名。如果你认为孩子给了我们任何个人信息，写信给我们，我们会删掉。

2. 在山图上：什么留在浏览器里

山图把孩子的进度 —— 答过和答错的题（连同每道错题属于哪一类失误）、定级结果、连续天数、点亮的灯、流明与布章 —— 存在这台设备上浏览器自己的存储里。同时在我们的服务器上、下面说的随机设备编号下存一份副本，好在这份存储被清掉后还能找回（见第 3 节）。单独的定级测试也把进度留在浏览器里，除非你让我们把报告卡发到邮箱（见第 5 节）。

题目本身来自我们的服务器。山图第一次需要题目时（定级、今晚的攀登、夜巡），浏览器会拿到一个随机设备编号和一把设备密钥 —— 没有姓名、没有邮箱、不用输入任何东西。我们保存这个编号、密钥的单向哈希和创建日期，好在下次认出这台设备。 同一个编号和密钥还会放进本网站的一个第一方 cookie 里，好让山图在浏览器自己的存储被清掉后还能找回进度；这个 cookie 里没有别的东西，也没有任何关于孩子的信息。 这个编号只用来发题、判分和计每天的免费额度。答案永远不发到浏览器里；为此，服务器会记下发给这台设备的是哪些题号，这条记录保留一两天，并按天计数。服务器判完分，不保存孩子输入的内容。为了防止题库被整批复制，服务器还会按天统计每个网络地址领了多少题、新建了多少台设备和多少个账号。网络地址本身不保存，只保存它加盐后的单向指纹，无法反推回地址，八天后删除。

3. 服务器上的副本，以及连接之后多了什么

学习记录（第 2 节列的那些，连同日期）从第一次攀登起就在我们的服务器上、孩子的随机设备编号下存一份副本，好在浏览器的存储被清掉后还能找回。如果没有家长关联它，它会在最后一次攀登六个月后删除。连接山图会让这份副本在连接期间一直保留，并让进度跟着孩子换到别的设备：

• 家长认领：山图给出一个一次性码，家长把它填进自己的账号页，或打开带着这个码的邀请链接（登录之前，那个链接只给家长看孩子的昵称和定级摘要）；或者
• 把同一个孩子放到另一台设备上：在山图上生成或输入一个一次性码（码来自家长的 Add a device，或孩子的另一台设备），或者用攀登者码 —— 孩子在山图上设的三个随机单词加一个四位 PIN，不含任何关于孩子的信息；我们保存这三个词和 PIN 的单向哈希。

从那以后，这份副本与这个孩子连上的每一台设备保持同步，进度跟着孩子走。它挂在孩子的随机编号下，从不与姓名、年龄或学校存在一起。如果用了付费套餐里的考试练习，服务器还会把每份练习卷出了哪些题、判分结果保留六个月，以保证每份卷子只判一次分。

每个孩子一次免费试用。孩子的山图第一次关联到家长账号时，我们在这个孩子的记录上记下免费试用开始的日期和它有几晚，这样不论有几个账号关联这个孩子，每个孩子都只有一次免费试用。这台浏览器不再用它的设备编号时（点了 Erase all progress、被解除连接之后，或我们的服务器不再认得它时），浏览器会把旧的编号和密钥留在它自己的存储里，直到拿到新的为止，并在那一刻发送一次；我们的服务器只用它查这座山的试用是否已经用过，不从中保存任何新东西。试用开始之后孩子的记录被删除时，我们会保留一年：它每一把设备密钥的单向哈希，以及试用的开始日期和晚数（没有编号、没有名字，没有别的），好让同一个浏览器不能再开始第二次免费试用；一年后这些也删除。

4. 家长账号（可选）

家长账号是可选的，只给成年人用。在你创建账号之前，本节内容与你无关。

• 登录：你输入邮箱，我们发一个六位数的码，十分钟内有效。没有密码。
• 我们存什么：你的邮箱、账号创建日期、登录会话（只存单向哈希）、你关联了哪些孩子、你给每个孩子起的昵称，以及每个关联孩子的学习记录（见第 3 节）。我们从不保存孩子的真实姓名、年龄、学校或位置。
• 为什么存：让你的套餐覆盖孩子的山图，让进度跟着孩子换到别的设备，让账号页能给你看孩子的这一周，以及寄出你主动索取的邮件。
• 登录 cookie：登录时会再设一个 cookie（第 2 节里山图的设备 cookie 之外），它唯一的作用就是让你保持登录。最长 180 天，或到你退出登录、删除账号为止。
• 加一台设备（Add a device）：账号页可以生成一个 15 分钟内有效的一次性码，让另一个浏览器加入某个已关联孩子的记录。码用过或过期即失效，随后删除。
• 每周报告（可选，你打开之前一直是关的）：每周日一封邮件，每个关联的孩子一段：在山上几天、题数与正确率、分数丢在哪，以及一条建议 —— 由上面那份记录算出来，不另外收集任何东西。你登录时已经证明这个邮箱是你的，所以打开它不会再寄第二封确认信。在账号页关掉，或点每封报告里的一键退订，都会立刻停止。
• 山地报告：孩子做完定级、每周日、每月末，我们从上面那份记录算出一份报告，每份都存在孩子的记录里（位置、计数、做错的题及其错因、报告里的建议——没有新收集任何东西），账号页可以重开以前的报告；周日的邮件里带着当周报告的第一页。删除孩子的记录时报告一并删除。
• 考试日期（家长自己填的话）：家长可以在账号页给孩子填一个考试日和一句自己写的说明（比如「NCEA L1 数学」）。它存在孩子的记录里，只给关联了这个孩子的家长看，只用来做一件事：考前四周起，周日报告换成冲刺版。家长随时可以清掉；删除孩子的记录时一并删除。
• 账号服务邮件：我们还会给家长账号发与账号本身有关的服务邮件 —— 登录验证码，以及免费试用即将结束前的一封提醒（附上每个关联孩子到那时为止的进度）；它们不是每周报告，也不是邮件名单。
• 结组码：如果你在账号页领取，它会和你的邮箱存在一起，连同用它加入的家庭数量、以及因此记给你的 Pro 天数或礼品码 —— 永远不包括那些家庭是谁。
• 礼品码：如果你生成了礼品码（终身与创始方案的家长靠邀请得到），我们会保存这个码、它有没有被用过、被哪个账号用了，以确保每个码只能用一次。
• 约定：如果孩子在山图上向你提出一个约定（比如「连续 7 晚」这样的目标）、你在账号页答应了，我们会把这个目标、孩子写的那一句、你写的奖励和日期存在孩子的记录下；提出时和达成时各给你发一封邮件。
• 付款由 Stripe 处理，在 Stripe 自己的结账页上、按 Stripe 自己的隐私政策进行；Alpenrise 的卖家是新西兰的 Bravo Consulting Limited。你选好套餐后，浏览器会跳到 Stripe 的结账页，你的姓名、邮箱、卡片和账单地址直接交给 Stripe。我们只会收到「买了、买的哪个套餐、状态与日期、Stripe 的客户编号、订阅编号和付款编号」，永远不会收到你的卡片信息。

5. 不注册账号也能留邮箱

不创建账号，你也可以给我们留一个邮箱：

• 定级报告卡：定级测试结束时，你可以让我们把报告卡发到邮箱。我们发出这封信，并把地址留在我们的邮件名单上，好让每封信都带退订。报告卡只放进邮件里，我们不保存它。
• 网站上的邮件表单：「上线通知」名单和家长页，家长可以在那里留地址，等我们的消息。

名单上的每个地址都遵守以下几条：

• 面向成年人。请填家长自己的邮箱，不要填孩子的。
• 我们存什么：邮箱、日期、来自哪个表单，以及你用的语言。没有姓名、没有年龄、没有用户画像。
• 用来做什么：只用来发那个表单说好的邮件。除非你另行索取，不会再发任何东西。我们从不出售、出租或分享这份名单。
• 怎么退订：每封邮件都带一键退订，而且是直接删除这个地址，不是打个标记。你也可以写信给我们，我们手动删掉。
• 防滥用：为了防止脚本刷表单，我们会把提交方网络地址的单向哈希保留一小时，与邮箱分开存放。

结组邀请。如果你邀请的家庭带着你的码打开定级测试，我们会记下这个码被用了、定级有没有做完，并附上对方网络地址的单向哈希，让同一户人家一天只算一次。如果某个家庭用你的码开了家长账号，那个账号会记下它是通过哪个码来的，好让这次邀请能算数。我们从不告诉你他们是谁；他们留下的邮箱属于他们本人，在上面那份名单或账号里，不会给你看。

6. Cookie、统计，以及还有谁经手数据

• Cookie：一共两个，都是我们自己的第一方 cookie：山图的设备 cookie（第 2 节），里面只有随机设备编号和密钥，用来找回进度；以及家长登录 cookie（第 4 节）。两者都不用于追踪，也没有别人设任何 cookie。
• 统计：我们保留几项匿名的每日总数 —— 例如有多少次定级测试开始了、做完了，山图上有多少营地被打开、多少盏灯被点亮。每一项都只是每天一个数字：没有 cookie、没有网络地址，没有任何能识别某个人或某台设备的信息。
• 按所在国家标价：为了给新西兰的访客显示新西兰元价格，本网站会读取我们的托管商 Cloudflare 随每个请求附上的国家。它只用来给这一页挑币种，从不保存。
• 没有追踪、没有广告、没有第三方脚本：本网站不从任何第三方加载字体、脚本或图片（付款时你会离开本网站、前往 Stripe 的结账页，见第 4 节），不使用任何统计服务，也不会跟着你去别的网站。我们不出售数据。
• 防滥用：为了防止脚本滥用登录和题库服务器，我们按网络地址或邮箱对请求计数；每个计数一小时后失效。
• 还有谁经手数据：Cloudflare 托管本网站、我们的服务器及其数据库；Resend 替我们投递邮件（它会收到收件地址和邮件内容）；Stripe 处理付款。没有其他公司能访问这些数据。

7. 删除你的数据

• 某个浏览器里的山图：在山图的 Pack 里点 Erase all progress（清除全部进度），会清掉这个浏览器里的进度、删掉它的设备 cookie，并解除这个浏览器的连接。它不动服务器上那份由孩子其他已连接设备共用的副本。
• 已关联孩子的记录：在账号页点 Unlink and delete（解除并删除），会从我们的服务器上删掉这个孩子的记录 —— 学习记录、考试练习的判分结果和所有设备密钥。如果这个孩子的免费试用已经开始，每把设备密钥的单向哈希会连同试用日期保留一年（第 3 节）。
• 你的账号：在账号页点 Delete my account（删除我的账号），会删掉你的邮箱（连同每周报告和存在它名下的结组记录）、登录会话、关联关系，以及没有其他家长关联的孩子记录。账号页在 alpenrise.app/account。
• 没有家长关联的山图：它的副本会在最后一次攀登六个月后自行删除；想提前删，写信给我们。连接了另一台设备、但没有家长的山图：写信给我们。
• 每周报告和邮件名单：点任意一封邮件里的一键退订，或写信给我们。
• 购买记录：每笔购买的记录（套餐、日期和 Stripe 的编号，不含你的邮箱）会为记账、退款以及税法要求的期限而保留。Stripe 按它自己的政策保留它自己的记录。

8. 联系我们

[email protected]。回信的是真人。

我们的 iOS App

我们的 iOS App 离线运行，不连我们的服务器。它没有账号、没有统计、没有广告、没有第三方 SDK，App 内购买由 Apple 处理。进度保存在设备上；如果设备登录了 iCloud，还会存在用户自己 iCloud 账号的私有数据库里 —— 这两处我们都看不到。删除 App 会清除设备上的那一份；iCloud 上的那一份可以在 iOS 设置 → 你的姓名 → iCloud → 管理储存空间 → Alpenrise 里删除。