这是借助人工智能完成的译文。以英文版本为准：如有不同，以英文文本为准。 阅读英文版本

ToldForward 隐私政策

第 6 版。2026 年 11 月 1 日生效。

最后更新：2026 年 11 月 1 日。

如果有人指定了您

某位使用 ToldForward 的人为其记录指定了您担任某一角色：担任指定接收人（designated recipient），即在其离世后接收记录的人；或担任受托告知人（designated trustee）或备用受托告知人（backup designated trustee），即报告其离世、从不阅读记录的人。他们向我们提供了您的姓名、您与其的关系、电子邮箱、手机号码和出生日期，可能还有您的家庭住址。我们仅将这些信息用于邀请您、就您的角色联系您，以及在您的访问权限开放时核实您的身份。我们不出售这些信息，并且**我们绝不会因为有人指定了您而向您发送营销信息。**您可以随时拒绝邀请，也可以询问我们持有关于您的哪些信息。第 3.4 节有详细说明，第 12.1 节说明了关于其他人的记录，我们能够和不能告诉您什么。

**如果您只是在某人的记录或家族树中被提及，**您并不因此担任任何角色、拥有任何账户或对记录享有任何权利。第 3.5 节和第 3.6 节说明了我们持有哪些信息。

如果您协助某人

一位会员请您协助其使用 ToldForward。您拥有自己的账户，使用您自己的姓名、电子邮箱、手机号码、出生日期和登录。在您的关联有效期间，您可以看到您协助会员的内容，您在其账户上发出的每一个请求都会被记录，并通过电子邮件向会员汇总。我们仅将您的信息用于运行您的账户和您提供的协助，以及保障会员记录的安全。第 3.4a 节有详细说明。

如果您只是访问了我们的网站

在我们的公开页面上，例如首页、信息页面和法律页面，我们会询问您是否接受分析。只有在您接受后，Google Analytics 才会使用两个 Cookie 统计您的访问。它从不在登录、您的账户或您的记录中运行，在您的浏览器发送全球隐私控制（Global Privacy Control）信号时也从不运行（第 16 节）。托管我们网站的 Cloudflare 会看到您的 IP 地址和浏览器，所有网站托管商都是如此。在联系表单、候补名单、代表他人行事的表单（/act-for）上，以及多次输错密码后登录时，Cloudflare Turnstile 会检查您是否是真人（第 7.3 节）。如果您使用联系表单，我们会通过电子邮件将您的留言发送到我们的支持邮箱。

如果您加入了我们的候补名单

我们保留您的电子邮箱，以及您提供的姓名和所在州（如有），仅用于邀请您加入 ToldForward。我们绝不出售这些信息，也绝不将其用于营销。如果您没有确认您的名额，我们会在 48 小时后将其删除；已确认的名额保留 365 天，或直至我们邀请您。您可以随时通过我们电子邮件中的链接退出名单。第 3.9 节有详细说明。

1. 我们是谁

ToldForward 是由 D2X Enterprises LLC（地址：30 S 15th St Ste 1550 PMB 852931, Philadelphia, PA 19102, USA，以下称”我们”）提供的服务。我们对本政策所述的个人信息负责。请通过 https://toldforward.com/contact 联系我们（选择”隐私与我的数据”），或按该地址邮寄。

ToldForward 只在美国境内提供。**本政策为第 6 版，是为我们的试运营期撰写的，在此期间会员资格仅限受邀加入。**凡本政策中某项内容在我们正式公开上线之前是临时性的，我们都会予以说明。

2. 简要说明

• **在您在世期间，您的记录仅您本人可见。**它绝不公开，也不可被搜索。如果您选择了协助人，协助人可以看到其协助您的部分。少数工作人员可以在紧急情况下接触记录，每一次这样的访问都会被记录。
• **仅限文字。**我们从不接收您的声音或您的图像，唯一的例外是您为恢复账户而要求进行的实时视频通话，我们绝不录制该通话，也绝不将其用于面部比对。如果您更愿意口述，您自己设备的听写功能会在任何内容到达我们之前将您的话转换为文字。
• 我们绝不出售您的信息，也绝不将您的记录用于广告。只有在您要求时，我们才会通过电子邮件向您发送新闻和优惠，您可以随时停止接收（第 5.2 节）。
• 不使用您的记录训练 AI，除非您另行选择加入。我们绝不使用个人信息训练大型语言模型，唯一的例外是会员本人在单独、独立的选择加入下的自己的记录。
• **只有您指定的人才会收到您的记录，**如果您选择了历史存档（Historical Deposit），还有一家图书馆或档案馆。您本人的指示（您可以撤回并再次给出）告诉我们，绝不将您的记录或其目录交给遗嘱执行人、代理人、监护人或其他受信人，除非法院命令（第 7.5 节）。
• **由 Cloudflare 托管，存储在美国。**Cloudflare 运行 ToldForward，其网络在全球范围内传送每一个请求。您的记录，以及存放它的数据库和文件，以加密方式存储在美国；加密的备份副本也会存入我们的 Google Drive（第 8 节）。我们的电子邮件、支付和营销邮件服务商可能在其他地方处理您的姓名和电子邮箱地址，但从不处理您记录的内容。
• **仅在您接受时、仅在公开页面上进行分析。**Google Analytics 只有在您于我们的 Cookie 横幅中接受后，才会统计任何人都能阅读的页面的访问。它从不在登录、您的账户或您的记录中运行，在您的浏览器发送全球隐私控制（Global Privacy Control）信号时也从不运行（第 16 节）。
• **在您离世后，**您的被指定人会收到您的完整记录，最早不早于您的离世得到确认后 6 个月。
• 在您在世期间，您可以随时导出或删除您的记录。
• **我们自己运营 ToldForward 并保管记录。**没有保管人。如果本服务终止，每一份记录都会被提前交付，绝不会被出售（第 9.1 节）。

3. 我们收集什么

3.1 每一个账户

• **账户信息：**名字和姓氏、电子邮箱、手机号码、语言、完整的出生日期，以及（对于会员）完整的邮寄地址。您的地址经过加密；注册时该地址所在的州即您的居住州，即使您搬家，我们也会保留其原样。
• **登录信息：**您密码的指纹（哈希值），绝不保存密码本身；您通行密钥的公钥和标签；身份验证器密钥（加密）；登录会话；以及验证码（仅以指纹形式存储）。
• **注册邀请：**如果是我们邀请了您，则包括您的电子邮箱、我们输入的姓名、我们发送邀请的时间以及您使用邀请的时间。验证码本身仅以指纹形式存储。
• **同意和协议：**您同意的是哪个版本、确切文本的指纹（如我们持有）、同意时间、所用的 IP 地址和浏览器，以及您是否已撤回：包括您对服务条款（包括可接受使用政策）和本隐私政策的接受（每个人在创建账户时都会给予）；您对敏感信息的同意；您关于谁可以收到您记录的指示；自动续订；训练；生物识别；通过电子邮件接收新闻和优惠（如果您选择，第 5.2 节）；以及您签署的协议及您输入的姓名。
• **账户变更：**您开始、更改或取消会员资格或附加项目时，我们向您显示的内容以及您确认过的内容。
• **账单：**您的会员资格和附加项目、其状态、试用和续订日期、我们发送的通知以及取消记录。银行卡信息交给 Stripe，而不是交给我们。
• **技术数据：**本服务会为每个请求写一行记录：所请求的路径（私人链接和 ? 之后的所有内容均被隐藏）、方法、时间和结果。它从不包含您发送的内容或您的 IP 地址，这些记录也不会被存储。Cloudflare 会将发往我们网站的请求日志保留最多 7 天。我们在数据库中统计来自每个 IP 地址的请求次数，以限制滥用。
• **我们发送给您的消息：**我们发送过一封电子邮件或一条短信这一事实及其类型，但绝不包括您记录中的任何内容。如果您同意通过电子邮件接收新闻和优惠，我们的电子邮件营销服务商还会持有您的电子邮箱地址以及您是否已退订（第 5.2 节）。

3.2 每一位会员的记录

• 您的回答和写作，附有问题、您首次写下的日期以及每次编辑的日期。经过加密。
• **早期版本。****当您编辑一个回答时，我们会将您之前的措辞作为带日期的版本保留。**它是您记录的一部分，包含在您的导出中，并会被您指定的人收到。要永久移除文字，请删除该条目。
• **您的家族树：**您添加的亲属（姓名、与您的关系、出生和死亡日期以及笔记，其中姓名和笔记经过加密），以及您发送给亲属、邀请其关联自己家族树的邀请（其电子邮箱）。
• **您的”关于您”回答：**注册后的可选问题：您希望记录使用的名字、您的出生地和成长地、您的性别（与此处的每一个回答一样都是可选的）、婚姻和伴侣、子女和孙辈、退休以及兵役。经过加密，仅您本人可见，绝不属于所交付记录的一部分，仅用于选择向您显示哪些问题。
• 您指定的人（第 3.4 节），以及您对他们的设置：您的等待期（the waiting period，对所有人相同）、向导（the guide）的退役，以及他们是否可以私下分享其副本。
• 您跳过的问题，以便您可以再回到这些问题。

3.3 档案会员的额外内容

• 向导使用的搜索索引：由您的条目建立的密封（加密）段落、嵌入向量、人名、地名和时期。在模型变更时重建。记录会员（Record Membership）的记录从不建立索引。
• 您的身份验证结果，在身份验证开放后：通过或未通过、您的姓名和出生日期是否匹配，以及时间。不包括图像（第 13.2 节）。
• 您签署的参与者协议（第 3.1 节）。
• 您的训练选择。
• 与向导的预览（Preview）对话，经过加密。
• 您的历史存档选择和捐赠契据（如有），以及我们向您提供该选项的时间和您的答复。

3.4 会员指定的人（指定接收人和受托告知人）

本节适用于会员为某一角色选择的人：指定接收人（以下称”被指定人”）、受托告知人和备用受托告知人。在记录中被提及不构成指定（第 3.6 节）。

• **来自会员：**您的名字和姓氏、与其的关系、电子邮箱、手机号码、出生日期，以及（可选）您的家庭住址。
• **来自您，如果您接受：**您自己的 ToldForward 账户（第 3.1 节）、您接受的访问条款版本、您输入的姓名以及接受时间。
• **会员离世后：**您的访问权限开放时的身份验证结果（第 13.2 节）、您选择开始的日子、您的入门说明、您的对话（Dialogue）购买记录、您的对话内容（加密，保留 90 天）、交付资料包的下载记录，以及您确认资料包是给您本人的确认。
• **如果您是受托告知人：**您提交的任何离世报告，及其证明文件和您关于报告属实的声明（第 3.7 节）。
• **如果您拒绝：**您已拒绝这一事实（会员可以看到），以及会员提供给我们的信息，保留至会员移除您或记录被删除为止。
• **如果会员封存了您的指定，**我们会持有您的信息而不告知您，直至会员离世之后。

我们仅将这些信息用于执行会员的指示、保障向导和记录的安全，以及就此联系您。

3.4a 协助人

• **您自己的账户：**您的名字和姓氏、电子邮箱、手机号码、语言、出生日期和登录（第 3.1 节），以及您对服务条款和本隐私政策的接受。您必须年满 18 岁。
• **您与会员的关联：**谁邀请了您、您何时接受，以及关联何时结束。会员可以随时结束关联；会员的离世得到确认时，关联即告结束。
• **您做了什么：**您在会员账户上发出的每一个请求都会作为协助人的访问被记录（谁、何时以及什么内容），在您协助下添加的回答会被如此标记，会员会在其自己的电子邮箱收到您活动的汇总。
• 您的身份验证结果，在身份验证开放后（第 13.2 节）。

在您的关联有效期间，您可以看到您所协助的会员账户部分：问题及其回答、其写作、其家族树和其”关于您”回答。您无法看到或做出只能由会员本人做出的选择。请对您看到的内容保密（可接受使用政策第 11.2 节）。

3.5 家族树中的亲属

会员可以添加亲属，包括在世的人和儿童，附有其姓名、关系、出生和死亡日期以及笔记。在会员在世期间，我们仅为会员私下保存这些信息。家族树是会员的被指定人所收到记录的一部分，如果会员选择了历史存档，也是历史存档的一部分。如果您认为某位会员添加了您，您可以联系我们（第 12.3 节）；第 12.1 节说明了关于另一个人的记录，我们能做什么和不能做什么。

3.6 记录中提及的其他人

会员的故事自然会提到其他人。**在记录中被提及，并不使您担任任何角色、拥有任何账户或对记录享有任何权利，我们也不会因此联系您。**除了让向导能够在该份记录中找到段落之外，我们不会出于任何其他目的单独提取、标记或索引其他人的信息。向导将会员对他人的描述作为会员的叙述来呈现，而不是作为事实。

3.7 离世报告

受托告知人的报告：死亡日期和地点、一份证明离世的文件（死亡证明，或讣告加上殡仪馆的信函，经过加密），以及受托告知人关于其所报告内容属实、文件真实的声明。我们会保留这些文件，直至向会员的被指定人完成交付（第 11 节）。

3.8 联系表单

您的姓名、电子邮箱、主题和消息，以及 Turnstile 的检查（第 7.3 节）。我们将消息通过电子邮件发送到我们的支持邮箱；它不会存储在 ToldForward 服务本身之中。我们的工作人员在那里阅读消息以答复您。我们会将其连同我们的回复保留至我们最后一次回复后 2 年，然后删除。请不要通过该表单发送登录验证码、身份证件或您记录中的任何内容。

3.9 候补名单

在注册仅限受邀期间，任何没有邀请的人都可以加入我们的候补名单。

• **我们保留什么：**您的电子邮箱，以及（如果您提供）您的姓名（加密）和您所在的州。当您加入时，Cloudflare Turnstile 会使用您的 IP 地址和浏览器信号检查您是否是真人（第 7.3 节），本服务会统计来自您 IP 地址的请求次数以限制滥用（第 3.1 节，技术数据）。
• **原因：**仅用于邀请您加入 ToldForward。我们的工作人员在我们的管理网站上查看已确认的名额，并从那里发送邀请。
• **保留期限：**我们会通过电子邮件向您发送一个确认名额的链接。**如果您没有在 48 小时内确认，我们会将其删除。**已确认的名额保留至我们邀请您，或保留 365 天，以较早者为准，然后删除；欢迎您再次加入。
• **退出：**我们电子邮件中的链接可以让您立即退出名单。
• **绝不出售，绝不用于营销。**我们绝不出售您在名单上的名额或将其用于营销，加入名单也不会让您订阅新闻和优惠。只有为我们发送电子邮件和运行机器人检查的服务商会为我们处理这些信息（第 7.1 节）。

4. 我们绝不收集或保留的内容

• 您的声音、您的任何音频或视频，或声纹。我们从不接收这些：如果您口述，您自己的设备会将您的语音转换为文字，只有文字会到达我们。如果您要求我们恢复您的账户，我们会通过实时视频通话确认您的身份（服务条款第 15.2 节），我们绝不录制该通话，也绝不将其用于面部比对。
• 您的图像或视频、身份证件图像、自拍或面部模板。这些由您的身份验证服务商处理并删除（第 13.2 节）。
• 您记录的译文。译文在有人阅读时生成，带有标注，从不保存。
• 来自会员以外任何人的、关于会员自己人生的数据。我们不接受上传他人的写作。
• 您完整的银行卡号码。

5. 我们如何使用

我们绝不将您的记录用于广告、用户画像或出售。我们也不将您的个人信息用于广告，唯一的例外是在您要求时通过电子邮件向您发送新闻和优惠（第 5.2 节）。我们绝不根据记录中的内容来选择向您发送什么。

5.1 我们发送的关于您的账户和记录的电子邮件

本服务自身的电子邮件来自 toldforward.com，通过 Cloudflare Email Service 发送（第 7.1 节）：登录和验证码、关于您的账户、会员资格、账单和记录的通知、邀请、候补名单电子邮件、收据，以及关于离世报告、等待期或交付的消息。它们是本服务的一部分，因此只要您拥有账户就会收到，无论您对新闻和优惠作了何种选择。它们包含您的姓名和电子邮箱地址，有时还包含某位会员或其所指定之人的姓名，但它们只说明发生了某件事，绝不说明记录的内容。每一封都包含我们的邮寄地址。它们不包含广告，但有一个例外：我们发送给您、邀请您加入 ToldForward 的邀请本身就是一项优惠，因此它还会告诉您如何要求我们停止发送邀请，一旦您提出要求，我们就不会再向您的地址发送邀请。

5.2 通过电子邮件接收新闻和优惠（可选）

• **仅在您同意的情况下。**创建账户时，您可以勾选”通过电子邮件向我发送 ToldForward 偶尔的新闻和优惠”。除非您勾选，否则它是未勾选的，并且它绝不是任何事项的条件。您可以随时在”设置”中开启或关闭。
• **我们保留作为证据的内容：**您看到的措辞版本、您同意的时间、您的 IP 地址和您的浏览器，以及您撤回的时间。在您接收这些电子邮件期间以及您撤回后 3 年内，我们会保留此记录，以证明您同意过什么。
• **由谁发送。**我们尚未开始发送。开始发送时，我们会通过我们的电子邮件营销服务商 Brevo（第 7.1 节），从 e.toldforward.com（与本服务自身电子邮件不同的地址）发送，并且只发送给同意的人。Brevo 会收到您的电子邮箱地址、您的名字以及您是否已退订，不会收到您记录中的任何内容。我们会关闭 Brevo 对您何时打开这些电子邮件以及点击哪些链接的跟踪，因此不存在打开或点击跟踪。
• **绝不因为某个角色而发送。**我们绝不会因为某位会员指定了某人而向其发送新闻和优惠，在会员的等待期内也绝不会向会员所指定的人发送。
• **停止接收。**使用这些电子邮件中任何一封的退订链接，或在”设置”中关闭该选项。每封电子邮件都包含我们的邮寄地址，其退订链接在发送后至少 30 天内有效。我们最迟在 10 个工作日内停止发送，并且绝不会向您收费，也绝不会要求您提供电子邮箱地址以外的任何信息来退订。停止接收绝不会停止第 5.1 节中的电子邮件。在您退订后，Brevo 仅在”请勿发送”名单上保留您的电子邮箱地址，以免我们再次误向您发送电子邮件。

6. 我们如何使用 AI

AI 只在档案会员的记录上运行。记录会员的记录从不建立索引，也从不发送给 AI 模型。

• 向导使用的搜索索引由一个开放的嵌入模型（BGE-M3）根据您的条目生成，该模型由 Cloudflare 在 Workers AI 上为我们运行。我们将每个段落的文本以及向导收到的每个问题发送给它，并将其返回的结果以密封（加密）方式存储。Cloudflare 的条款称，它不会将 Workers AI 处理的内容用于训练模型，并在请求得到答复后不再保留。条款没有说明模型在何处运行，可能位于美国境外。
• 向导（预览和对话）查找段落并撰写关于会员的回答，原文引用会员的话。它在每一次对话开始时以及每隔 3 小时说明它是 AI。为了撰写和检查回答，它会将问题和它找到的段落发送给其模型。同一个模型会检查每个问题以及向导即将显示的内容，看是否有自杀或自我伤害的迹象（服务条款第 13.6 节）。
• 显示翻译为阅读而翻译，从不保存。
• **审核文件：**包括 AI 在内的自动化工具协助我们审核发送给我们的离世证明。它们读取文件，将其中的信息与我们持有的会员信息进行比较，并标记任何看似不一致或经篡改的内容。这些检查可能漏掉伪造文件，也可能标记真实的文件，因此它们从不自行作出决定：我们团队的一名成员会审核每一份离世证明，并作出每一项确认离世的决定，并审核任何其他有争议或不清楚的文件。发送给它们的只有每项检查所需的内容。身份验证只由我们的身份验证服务商进行（第 13.2 节），从不由这些工具进行。

**试运营期间使用的模型。**在我们正式公开上线之前，向导和文件检查使用 Claude Haiku 5.5，这是由 Anthropic, PBC 开发的模型，通过 Anthropic 的 API 使用。Anthropic 仅在美国境内处理我们发送的内容，不将其用于训练其模型，并且只在其标准商业数据保留政策允许的有限时间内保留（在本政策撰写时，为 30 天内删除，除非为调查违反其使用政策的行为或因法律要求而保留更长时间）。在我们正式公开上线之前，我们会用我们自己的模型取代 Anthropic 的模型，并在此之前更新本政策，说明这些模型在何处运行。我们只发送每项任务所需的内容。任何模型都绝不决定某人可以阅读什么：这些规则首先在我们自己的软件中运行。

**训练。**只有在您选择加入的情况下，您的记录才会被用于训练模型，该选择独立于其他任何事项，并且绝不会改变您的价格。您可以随时在”设置”中撤回。撤回后，您的记录将被排除在之后的每一次训练之外，已经使用其训练的模型会在我们下一次重新训练时退役。只有 ToldForward 自己的模型才会使用记录进行训练；我们绝不允许服务商使用记录进行训练。我们绝不使用个人信息训练大型语言模型，唯一的例外是会员本人在单独、独立的训练选择加入下的自己的记录。

**用户画像。**我们根据会员的年龄及其”关于您”回答选择向其显示哪些问题。这是自动化的，但除了决定下一个问题是什么之外，它不会对您作出任何决定：我们不进行产生法律效力或类似重大影响的用户画像。

7. 谁会收到您的信息

7.1 服务提供商

他们仅为我们处理信息，并受将其限制于此用途的合同约束。

**尚未选定。**我们尚未发送短信，身份验证也尚未开放。在其中任何一项开始之前，我们会在此列出其服务商以及其处理您信息的地点。

7.2 您选择的人

您指定的人，在您的指示规定的时间并以其规定的方式（第 9 节）。如果您选择了历史存档，还有合作图书馆或档案馆（第 10 节）。

7.2a 如果本服务终止：停业托管代理人

在我们正式公开上线之前，我们会为停业事宜指定一家独立的托管代理人（第 9.1 节）。如果之后 ToldForward 在某份记录仍处于等待期时终止，该代理人会为会员的被指定人持有加密副本，并在等待期原本结束之时交付。它只会收到交付所需的内容：加密的记录，以及接收记录之人的姓名和联系方式，不得将其用于任何其他目的。一旦指定，我们会在此列出其名称以及其处理这些内容的地点。

7.3 Cloudflare Turnstile

为阻止机器人，我们在四个地方以隐形模式使用 Cloudflare Turnstile：联系表单、候补名单、供依据授权委托书或监护关系代表会员行事之人使用的表单（/act-for），以及在同一电子邮箱地址多次输错密码后的登录。当其中任何一个加载时，您的浏览器会从 Cloudflare 加载 Turnstile，Cloudflare 会处理诸如您的 IP 地址、TLS 指纹、浏览器（User-Agent）以及您所在的网站等信号，以区分真人和机器人。当您提交表单或登录时，本服务会将生成的令牌和您的 IP 地址发送给 Cloudflare 以确认检查。Cloudflare 不会通过 Turnstile 收到您的姓名、电子邮箱、密码或消息。就此检查而言，Cloudflare 代表我们处理这些信号；Cloudflare 还作为其自身的控制者，使用这些信号改进 Turnstile。Cloudflare 的使用方式载于 Cloudflare Turnstile 隐私附录：https://www.cloudflare.com/turnstile-privacy-policy/ 以及 Cloudflare 的隐私政策。如需行使您对机器人检查的权利，请联系我们。

7.4 我们的工作人员

少数工作人员可以使用一个单独的、受保护的管理网站来审核离世报告、设置法律保全，以及在紧急情况下阅读记录。该网站位于访问网关之后，工作人员使用密码登录，并可选择使用身份验证器应用和通行密钥。**紧急访问最长持续一小时，会立即提醒我们的安全联系人，记录所阅读的每一个条目，并每周接受审查。**我们不向研究人员提供记录的访问权限。

7.5 法律

当法律强制我们披露时，例如法院命令或搜查令，我们会披露信息，并且只披露其所要求的内容。来自会员的遗嘱执行人、遗产代理人、代理人、监护人、财产管理人或受托人的请求，我们依据会员的指示以及约束我们的法律予以答复。会员的指示包括其单独作出的指示，即其记录、记录的任何部分及其任何目录只交给其所指定的人，在没有法院命令的情况下绝不交给受信人（谁可以收到您的记录）。会员居住州的数字资产法律决定该指示的效力位阶：大多数州赋予其优先于遗嘱、信托或授权委托书的地位；特拉华州、路易斯安那州和马萨诸塞州可能并非如此（条款第 10.9 至 10.12 节）。我们可能会先要求出示法院命令。我们会告知相关当事人，除非法律禁止或这样做会使某人处于危险之中。法律保全在其有效期间可以阻止删除。

7.6 业务转让

**我们自己运营 ToldForward 并保管记录；没有保管人。**我们绝不出售个人信息。**如果 ToldForward 被合并、出售或经历破产，个人信息和记录只能转移给依据本隐私政策以及每位会员对其记录的指示继续提供本服务的承继者。**如果没有这样的承继者，我们会按照第 9.1 节的规定交付记录并删除其余内容；我们不会出售它们。如果我们之后将记录转移给保管人，同样的条件适用，并且我们会至少提前 90 天告知您。

7.7 绝不

我们绝不出售您的个人信息，绝不为跨情境行为广告而分享您的个人信息，也绝不将其提供给数据经纪商。我们的分析不会改变这一点（第 16 节）。

8. 在哪里处理

ToldForward 只在美国境内提供。**Cloudflare, Inc. 托管并运行这一切：**我们的网站、服务、管理网站和备份。您的信息去向如下：

• **存储在美国。**我们的数据库、我们存储的文件，以及已删除记录的加密安全副本，都保存在 Cloudflare 的美国司法辖区，该辖区确保它们存储在美国。记录文本、姓名和其他个人字段在存储之前由我们自己加密。
• **在 Cloudflare 的全球网络上处理。**发往我们网站和服务的每一个请求以及每一个答复，都会经过 Cloudflare 的网络。Cloudflare 会在距离网站使用者最近的数据中心解密每一个请求，该数据中心可能位于美国境外，服务在那里运行以作出答复，只在内存中打开该答复所需的内容。我们的计划任务（例如建立搜索索引）也在 Cloudflare 的网络上运行。
• **搜索索引。**生成索引的 Workers AI 可能在美国境外运行（第 6 节）。
• **导出。**导出包和移交副本在一个没有互联网访问、不保留任何内容的 Cloudflare 容器（Container）中组装和加密。由 Cloudflare 选择其运行位置。完成的导出包存储在美国。
• **备份。**我们每晚复制数据库和文件，并在存储之前用一把 Cloudflare 和 Google 都不持有的密钥加密副本：在 Cloudflare 的美国司法辖区保存 7 天，并将最新的两份副本保存在我们自己的 Google Drive 中（位于 Google 保存 Drive 文件的任何地方），以防我们失去 Cloudflare 账户。数据库还会将其自身的历史保留 30 天。已删除的数据会在 30 天内从每一份备份、副本和历史中消除。
• **电子邮件。**发送本服务自身电子邮件和联系表单消息的 Cloudflare Email Service 可能会在美国境外处理这些邮件。这些电子邮件包含姓名和电子邮箱地址，绝不包括记录的内容。我们的支持邮箱由其服务商依据其自身的条款保存。
• **付款。**Stripe 依据其自身的条款处理付款，可能包括在美国境外处理。
• **营销电子邮件。**仅向同意的人通过电子邮件发送新闻和优惠的 Brevo，在法国和比利时存储其电子邮箱地址和名字（第 5.2 节）。
• **机器人检查。**联系表单、候补名单、代表他人行事的表单和登录上的 Turnstile 在 Cloudflare 的全球网络上运行（第 7.3 节）。
• **分析。**Google Analytics 仅在我们的公开页面上、且仅在您接受时，将第 16 节列出的内容发送给 Google。Google 可能在美国境外处理这些内容。
• **向导的模型。**Anthropic 仅在美国境内处理向导发送给它的内容（第 6 节）。

合作图书馆或档案馆（第 10 节）位于美国。停业托管代理人在何处处理信息，我们会在列出其名称时说明（第 7.2a 节）。

9. 会员离世之后

• **由受托告知人报告离世，**并提供证明离世的文件以及报告属实的声明。我们会通过电子邮件（并在我们开始发送短信后，通过短信）向会员发送一个可以停止该报告的链接，等待 7 天，并审核证明文件。
• **一经确认，**记录即被冻结，完全保持会员留下时的样子，账单停止；在等待期结束之前不交付任何内容。
• 会员本人的隐私权利在离世时终止（导出和删除是个人权利），由其指示接管。
• 在确认后至少 6 个月内，任何人都不能收到记录或使用向导（绝不从文件上的死亡日期起算），如果会员选择更长的期限，则更长。任何人都不能缩短这一期限，包括我们的工作人员。
• **交付：**会员的每一位被指定人在最近登录过、在下载时提供发送给其的一次性验证码并通过身份验证后，会收到其自己的完整记录加密副本，密码短语另行发送。受托告知人不会收到副本。每份副本都包含每一个带日期的版本、家族树、会员的意愿（包括其所指定的其他人的姓名和关系，以及他们是否可以私下分享其副本）以及一份 README。被指定之人的联系方式绝不包括在内。被指定人自己与向导的对话绝不包括在内。
• 如果没有被指定人在我们发出通知后 90 天内接受记录，我们的工作人员会立案并继续尝试联系他们，记录每一次尝试。记录绝不会交给会员未指定的任何人：只有在工作人员确定没有任何被指定人能够接收记录时，才会通过由管理员批准的最终操作将其删除。我们会保留一份加密的安全副本 1 年，并永久保留每一个步骤的记录。会员选择的历史存档会先行完成。
• **在记录会员下，**我们会保留记录，直至每一位被指定人都已下载其副本，或直至其访问权限开放后 1 年，以较早者为准，然后通过最终操作将其删除。
• **在档案会员下，**被指定人可以使用会员剩余的已付费档案时间使用向导，之后可以付费购买对话继续使用。他们的问题、向导的回答以及其引用的段落以加密形式保留 90 天，然后删除；它们绝不会被导出，并会随记录一同删除。
• **当记录离开本服务时，**我们会通过最终操作将其删除，安全副本保留 1 年后删除，并出具一份经签名的删除证明。
• **我们遵循的是会员在本服务中的指示，**包括其关于只有其所指定的人才能收到记录的指示（谁可以收到您的记录）。与之相冲突的遗嘱或其他指示依据约束我们的法律解决，遗嘱执行人、继承人和法院拥有我们必须尊重的法律权力（条款第 10.9 至 10.12 节）。

9.1 如果 ToldForward 终止

我们会以电子方式提前交付每一份记录（条款第 16.4 节）：在世会员的记录，或其所报告的离世尚未得到确认的记录，只交给会员本人；在离世得到确认后，交给会员的每一位被指定人，仍处于等待期的副本由托管方持有，直至等待期原本结束之时。向导随本服务一同终止。我们有一份书面的停业计划，由我们的创始人亲自负责；在我们正式公开上线之前，将由一家独立的托管代理人持有用于此目的的资金和工具（第 7.2a 节）。每一项交付都完成后，我们会删除我们持有的内容，但法律要求我们保留的内容除外。

10. 历史存档

历史存档是可选的，从来不是默认选项，由会员在世时通过单独签署的捐赠契据选择。如果会员选择了历史存档，当其记录在其离世后离开 ToldForward 时，我们会将同一份完整记录连同捐赠契据，提交给其注册时居住州的一家合作图书馆或档案馆。

• **合作机构收到的内容：**完整的记录，包括家族树以及会员对其他人的叙述、会员的意愿（包括其所指定之人的姓名和关系，但不包括其联系方式）以及捐赠契据。
• **自提交起，合作机构依据其自身的政策保管记录，**包括保留多久、谁可以阅读以及何时阅读，以及其自身对仍在世之人相关细节的审查。契据中所述的会员意愿，作为请求随记录一同移交，由合作机构依据其自身的政策处理；我们不管理任何封存，也不执行这些意愿。如果您被某位会员指定，或在其记录中被提及，该副本受合作机构的政策而非我们的政策管辖。
• **之后我们会删除我们的副本，**并记录存档已经完成。
• **我们的合作机构。**我们会在会员付款之前向其显示其所在州的合作机构选项，并且只有在机构与我们签订长期协议之后，我们才会将其列为合作机构。
• 目前，居住州为佛罗里达州、弗吉尼亚州或印第安纳州的会员不能选择历史存档。
• 如果本服务在会员的记录离开我们之前终止，适用条款第 16.5 节。

11. 我们保留多久

我们的数据与删除页面列出了同样的期限，并说明了如何导出和删除。

12. 您的选择和权利

12.1 每一个人，在每一个州

无论您所在州的法律是否要求，对于您自己的个人信息，您都可以：

• 查看和导出您的记录，并要求获得我们持有的关于您的其他个人信息的副本，附有收到这些信息的第三方和服务提供商的名单，以及联系他们的方式；
• 在”设置”中更正您的账户信息，并编辑您的记录；
• 删除单个条目、您的记录或您的整个账户，或要求我们删除我们持有的关于您的其他个人信息；
• 在世期间撤回您对敏感信息的同意、训练同意、您关于谁可以收到您记录的指示，或历史存档选择；
• 回复 STOP 以停止接收短信（我们仍会通过电子邮件发送重要通知，例如安全检查），并随时通过任何一封新闻和优惠电子邮件中的退订链接或在”设置”中停止通过电子邮件接收新闻和优惠（只要您拥有账户，关于您的账户和记录的电子邮件就会继续发送，第 5.1 节）；
• 拒绝会员的邀请，或退出您已接受的角色。

**您自己的信息，而非他人的记录。**这些权利适用于您自己的个人信息。会员的记录，包括其对其他人的描述，以及其对所指定之人的选择，都属于会员本人，依据其指示保管。**因此，我们不能让任何人查看、更正或删除他人记录中的内容，也不能告诉任何人某位会员是否指定了他们。**会员可以封存一项指定，使被指定的人只在会员离世后才知道，封存的指定在会员在世期间保持私密。如果您询问我们关于他人记录的情况，或询问您是否在某份记录中或是否被指定，我们会以书面形式答复：我们会处理我们在任何会员记录之外持有的关于您的个人信息，例如您自己的账户、您发给我们的消息以及我们发给您的邀请；我们会告诉您，我们无法披露、更正或删除他人记录中的任何内容，也无法确认您是否在某份记录中或是否被指定，并说明原因；我们还会告诉您如何申诉（第 12.3 节）。如果您已接受某项指定，您随时可以在”指定”页面上看到它。

12.2 各州隐私法律

拥有综合性隐私法律的州（包括加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、印第安纳州、艾奥瓦州、肯塔基州、马里兰州、明尼苏达州、蒙大拿州、内布拉斯加州、新罕布什尔州、新泽西州、俄勒冈州、罗得岛州、田纳西州、得克萨斯州、犹他州和弗吉尼亚州；俄克拉何马州和路易斯安那州自 2027 年 1 月 1 日起；亚拉巴马州自 2027 年 5 月 1 日起；佛蒙特州自 2028 年 1 月 1 日起）的居民，可能有权知悉、访问、更正、删除和转移其个人信息；有权选择退出出售和定向广告（这两者我们都不做）以及产生法律效力或类似重大影响的用户画像（我们不进行此类用户画像，第 6 节）；有权限制敏感个人信息的使用（我们仅在您同意的情况下，将其用于提供您所要求的服务）；并有权对我们的决定提出申诉。无论法律是否要求我们这样做，我们都会按照第 12.1 节的规定，就每个人自己的个人信息尊重这些权利。

我们不会因为您行使权利而区别对待您。

12.3 如何提出请求

请使用联系表单（“隐私与我的数据”），或写信至第 1 节所列地址。我们会请您登录以核实请求，如果您没有账户，则通过确认您的电子邮箱进行核实。经授权的代理人可以凭您签署的授权代表您提出请求。我们会在 45 天内答复，如需最多再延长 45 天，会告知您。当您要求我们删除您的个人信息时，我们会在确认您的身份后 30 天内删除，但法律要求我们保留的内容除外（第 11 节），之后这些信息会在 30 天内从我们的备份中消除。如果我们拒绝，您可以通过回复提出申诉；我们的创始人会复核每一项申诉，并在 45 天内答复。如果我们仍然拒绝，我们会告诉您如何向您所在州的总检察长投诉，并附上其投诉页面的链接。

12.4 全球隐私控制和请勿跟踪

**如果您的浏览器发送全球隐私控制（Global Privacy Control）信号，我们的页面完全不会加载 Google Analytics，也不会就此询问您。**我们不为跨情境行为广告出售或分享个人信息，并且同样将该信号视为选择退出出售和分享。我们不回应 Do Not Track，因为它没有公认的含义；全球隐私控制和第 16 节中的选择可以关闭分析。

13. 敏感信息

13.1 您的记录

您的回答和写作可能透露您的健康状况（包括您的生殖健康或性健康）、宗教或哲学信仰、性生活或性取向、种族或族裔出身、移民身份或其他敏感信息。**我们仅在您同意的情况下，为保存您的记录和运行您选择的功能而处理这些信息，您在写下任何内容之前，会在单独的页面上给予该同意。**该同意包含两个必选复选框：一个用于收集和保存这些信息，一个用于在您离世后将其交给您指定的人。它说明了我们如何处理这些信息、谁会收到以及如何撤回。这些信息经过加密。在您在世期间，您可以随时删除其中的任何内容。

撤回该同意的任何一部分与给予同意一样方便，在”设置”中即可完成。从撤回之时起，我们不再保存任何新内容，并会在先为您提供一份完整副本供您下载之后，在 15 天内删除您的回答、您的写作、您家族树中的笔记以及您的”关于您”回答。

**消费者健康数据（华盛顿州、内华达州及类似法律）。**您写下的部分内容可能属于”消费者健康数据”。我们仅在您同意的情况下将其作为您的记录收集；我们仅将其用于保存您的记录、运行您选择的功能，以及按照您的指示交付；我们仅与您指定的人、您选择历史存档时的合作图书馆或档案馆、第 7.1 节中为我们处理这些信息的服务商分享，以及在法律要求时分享；我们绝不出售这些信息；并且您可以按照本节和第 12 节的规定查看这些信息、了解谁收到了这些信息、删除这些信息以及撤回您的同意。我们的消费者健康数据隐私政策按照这些法律的要求对此作了完整说明。

13.2 身份验证和生物识别信息

预览和档案会员无需身份验证即可开放。在我们的身份验证开放后，在离世后每位被指定人首次访问之前（以及对于有协助人的会员，在其回答被保存之前；对于协助人，在其被关联之前），相关人员需要通过政府签发的身份证件和实时自拍验证其身份。**验证由我们的身份验证服务商进行，该服务商会采集您的证件图像和您的面部以进行比对。该比对可能使用生物识别标识符（面部几何特征）。**在验证之前，我们会征求您的书面同意。

• **我们只收到结果：**通过或未通过、您的姓名和出生日期是否匹配、服务商的参考编号以及时间。我们从不接收或保留图像或任何面部模板。
• **我们会要求服务商在向我们提供结果后立即删除其为该次验证持有的一切，**并且在任何情况下都在法律允许的时间内删除（对于伊利诺伊州，在目的达成时或在您最后一次互动后 3 年内，以较早者为准）。
• 我们绝不出售、出租、交易生物识别信息或从中获利，并且除向进行验证的服务商披露或依法律要求披露外，绝不披露生物识别信息。

本节是我们依据《伊利诺伊州生物识别信息隐私法》（Illinois Biometric Information Privacy Act）、得克萨斯州和华盛顿州生物识别法律以及科罗拉多州生物识别规则制定的关于生物识别信息的书面政策。

14. 儿童和青少年

• ToldForward 面向成年人。每一位拥有账户的人，以及会员所指定的每一个人，都必须年满 18 岁。
• **我们不会在知情的情况下收集未满 13 岁儿童的个人信息，**也不会在知情的情况下收集未满 18 岁者作为账户持有人的个人信息。如果我们得知已经收集，我们会将其删除。认为其子女向我们提供了信息的家长可以联系我们。
• 会员可以将儿童添加到其家族树中，作为其自己记录的一部分。

15. 我们如何保护信息

• 传输中加密（TLS、HSTS）和静态存储加密。记录文本、对话、身份验证器密钥、您的邮寄地址、家族树中的姓名和笔记、文件和导出内容，还会使用我们控制的密钥逐字段加密。
• 备份在存储之前加密，所用密钥 Cloudflare 和 Google 都不持有。导出在一个没有互联网访问、不保留任何内容的 Cloudflare 容器中组装。
• 使用密码登录，并可选择使用身份验证器应用和通行密钥；绝不通过短信登录。
• 在检索任何内容之前，由一个规则层决定谁可以阅读记录。除所有者本人外，任何人对记录的每一次阅读都会被永久记录在一个任何人都无法编辑的日志中。
• 工作人员的访问如第 7.4 节所述。
• 我们绝不将记录内容、消息或身份信息写入我们的日志。

没有任何系统是绝对安全的。如果发生影响您个人信息（包括您记录内容）的泄露事件，我们会在没有不合理延迟的情况下、并在 30 天内告知您，并在法律要求时告知监管机构，无论您所在州的泄露通知法律是否涵盖此类信息。

16. 我们的网站、Cookie 和浏览器存储

• **Google Analytics，仅在您接受时，仅在我们的公开页面上。**在任何人无需登录即可阅读的页面上（首页、关于我们、服务方案、问答、为被指定者准备的页面、信息页面、州和城市页面、无障碍、危机处理流程、联系我们以及法律页面），会有一个横幅询问您是否接受分析，提供“全部拒绝”、“选择”和“全部接受”。**在您接受之前，不会从 Google 加载任何内容，也不会设置任何分析 Cookie。**如果您接受，Google Analytics 4 会统计访问，并向我们显示哪些页面对人们有帮助。它从不在登录或注册、您的账户、您的记录、邀请、安全核查、下载或任何其他页面上运行。
• 您的选择。“必要”涵盖网站本身所需的内容，不设置我们的任何 Cookie，始终开启。“分析”在您接受之前一直关闭。您的浏览器会将您的选择保存在其本地存储中，绝不会发送给我们。您可以随时通过我们网站页脚中的“Cookie 偏好设置”更改选择，或清除您的浏览器中 toldforward.com 的存储，横幅便会重新出现。
• **Google 收到的内容：**页面地址，不含 ? 或 # 之后的任何内容；将您引来的网站地址，以同样方式截短；页面标题；您在页面上的操作，例如滚动或点击链接；您的浏览器、设备、屏幕和语言；以及您的 IP 地址，Google 称其仅用于推算您的大致位置，并且不会存储。Google Signals 和广告个性化均已关闭，因此这些访问不会与 Google 账户关联，也不会用于广告。
• **Cookie。**如果您接受分析，Google Analytics 会在 toldforward.com 上设置两个 Cookie：_ga（用于区分不同的浏览器）和 _ga_87NLVTP118（用于跟踪一次访问）。除非您删除，每个 Cookie 最长保留 2 年。如果您之后拒绝分析，Google Analytics 将停止加载，我们会删除它在 toldforward.com 上的 Cookie；您也可以在浏览器中自行删除。我们不设置任何其他 Cookie。
• **Google 的角色。**Google 作为我们的服务提供商，根据其 Google Analytics 条款为我们处理这些数据，我们不允许 Google 将其用于自己的产品和服务。我们不出售这些数据，也不为跨情境行为广告而分享。
• **如何关闭。**选择“全部拒绝”，或通过“Cookie 偏好设置”更改您的选择。如果您的浏览器发送全球隐私控制信号，我们的页面不会加载任何分析，也不会显示横幅。您也可以在浏览器中阻止或删除 Cookie，或安装 Google 的停用插件：https://tools.google.com/dlpage/gaoptout
• 我们的字体随我们的网站一同提供，从不来自字体服务。
• 当您登录时，您的浏览器会在其本地存储中保存您的会话令牌，使您保持登录状态。退出登录会将其移除。
• 演示页面会在您浏览器的会话存储中保存示例数据，关闭标签页时即被清除，并且不发送任何内容。
• Cloudflare Turnstile 仅在联系表单、候补名单、代表他人行事的表单，以及多次输错密码后的登录上运行（第 7.3 节）。Cloudflare 自身对 Cookie 的使用载于其 Cookie 政策和 Turnstile 附录。

17. 本政策的变更

我们会在重大变更前至少 30 天，通过电子邮件和在网站上告知您，并请每一位拥有账户的人阅读新版本。未经您的同意，我们不会以新的方式使用我们已经持有的信息，并且在会员离世后作出的变更，绝不会改变其记录的处理方式。在我们正式公开上线之前，当我们迁移到我们自己的模型时，我们会更新本政策。

18. 各州特定通知

18.1 加利福尼亚州

在过去 12 个月中，我们从您、从指定您的会员以及从我们的服务商处收集了以下类别的信息。我们不出售或分享其中任何一类，并按照第 11 节的规定保留每一类。

“Shine the Light”（加州”阳光照射”法）：我们不会为第三方的直接营销目的向其披露个人信息。

18.2 其他州

• **内华达州：**我们不出售受保护的信息。您仍然可以向我们发送不得出售的请求，我们会予以确认。
• **华盛顿州、内华达州及其他消费者健康数据法律：**第 13.1 节以及我们的消费者健康数据隐私政策。
• **伊利诺伊州、得克萨斯州、华盛顿州和科罗拉多州的生物识别法律：**第 13.2 节。
• **其他每一个州：**第 12 节完全适用于您。

19. 联系方式

D2X Enterprises LLC, 30 S 15th St Ste 1550 PMB 852931, Philadelphia, PA 19102, USA。隐私请求：https://toldforward.com/contact （“隐私与我的数据”）或邮寄。