隐私政策
最后更新： 2026 年 7 月 30 日
简短版：我们只要你的邮箱地址，用来在上线时通知你，不与任何人共享，你一开口就删除。下面是这句话的完整、具有约束力的版本。
1. 谁负责
控制者——依 GDPR 第 4 条第 7 款以及土耳其第 6698 号个人数据保护法（KVKK）——是 Murathan Bakti。
- 邮箱： contact@wordmi.com
- 设立地： Türkiye
Wordmi 由 Murathan Bakti 以个人身份运营，不是公司。我们没有指定数据保护官，因为 GDPR 第 37 条第 1 款的任一条件都不成立：我们的核心活动不是大规模监控，也不处理特殊类别的数据。
2. 本政策何时适用
在你访问本站以及加入抢先体验名单时适用。加入完全自愿——你可以什么都不给，照样读完每一页。
3. 我们处理什么、为什么、依据什么法律基础
一切都直接来自你本人，要么来自你填写的表单，要么来自浏览器随请求发送的技术信息。我们不购买数据，不从数据经纪商那里补全你的记录，也不在社交网络上查你。
| 数据 | 为什么 | 法律基础 | 保留期限 |
|---|---|---|---|
| 邮箱地址 | 在上线时以及邀请就绪时通知你；防止同一个人被重复加入 | 你的同意——GDPR 第 6 条第 1 款(a) · KVKK 第 5 条第 1 款 | 上线并发出邀请后最多 6 个月；你撤回同意则立即删除 |
语言偏好（例如 zh-CN） | 让我们知道该用哪种语言写信给你 | 正当利益——GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f | 同邮箱地址 |
你用的是哪个表单（hero 还是收尾那一处） | 了解页面的哪一部分真正起作用 | 正当利益——GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f | 同邮箱地址 |
| 邀请码——你的，以及邀请你的人的（若有） | 统计邀请数并算到正确的人头上 | 正当利益——GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f | 同邮箱地址 |
| 注册时间戳 | 确定你在队列中的位置，并证明你何时表示同意 | 法律义务与同意的证明——GDPR 第 6 条第 1 款(c) 与第 7 条第 1 款 | 同邮箱地址 |
| IP 地址 | 限流，使表单无法被脚本灌爆 | 正当利益——GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f | 在服务器内存中最多保留 60 秒。绝不写入数据库 |
| 服务器日志（IP、用户代理、请求时间） | 托管服务商保留的安全、错误与滥用记录 | 正当利益——GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f | 按托管服务商自身较短的日志保留期 |
你的邀请码由邮箱地址推导而来——它是该地址哈希值的前六个字符。邀请码无法还原成你的地址，但它是与之绑定的稳定化名，而你分享的邀请链接里含有它。
本站没有任何分析、广告或追踪。没有 Google Analytics，没有像素，没有指纹识别，没有热力图，没有第三方广告 Cookie。页面的内容安全策略在技术层面阻断了对外连接，所以这是被强制的，而不只是被承诺的。
4. 从不离开浏览器的数据
你在字幕演示里点击的词，以及它们汇入的生词库，只存在于那个标签页的内存中。它们从不发送到服务器，从不被存储，关掉标签页就消失。那些数据根本到不了我们这里。
5. Cookie
只有一个 Cookie：记住你语言的 NEXT_LOCALE。它只在你使用语言切换器时写入，保留一年，除了 tr 或 ja 这样的语言代码之外什么都不含。它对提供你明确请求的服务而言是严格必要的，因此依 ePrivacy 指令 2002/58/EC 第 5 条第 3 款（以及德国 TDDDG 第 25 条第 2 款）免于征得同意。详见 Cookie 政策。
6. 我们与谁共享
我们不出售、不出租、不为广告目的共享这份名单。 唯一有权访问的第三方，是让站点得以运转的技术服务商。他们依 GDPR 第 28 条作为处理者，按我们的指示行事，仅此而已。
| 接收方 | 用途 | 所在地 |
|---|---|---|
| Supabase Inc. | 存放注册记录的 PostgreSQL 数据库 | 美国公司；数据位于项目所配置区域的 AWS 基础设施上 |
| Vercel Inc. | 站点的托管与分发；服务器日志 | 美国公司；全球边缘网络 |
除此之外，只有在法律强制时——法院命令或明确的法定要求——我们才会披露数据。若收到此类请求，除非被禁止，我们会告知你。
7. 跨境传输
由于这些服务商位于 Türkiye 境外且在欧洲经济区之外，你的数据会被跨境传输。传输依据如下：
- GDPR 第 46 条第 2 款(c)： 欧盟委员会的标准合同条款，并辅以补充措施——传输影响评估，以及传输中与静态存储时的加密。
- KVKK 第 9 条（自 2024 年 6 月 1 日生效的修订版）：由于土耳其数据保护委员会未作出充分性认定，传输依赖标准合同这一保障。已签署的标准合同将在签署后五个工作日内报送土耳其数据保护主管机关。
被传输的数据集，是一个邮箱地址以及附着其上的少量技术字段。不传输任何特殊类别的数据。
8. 保留与删除
我们保留你的记录，直到目的用尽：产品上线，你的邀请发出，至多六个月之后记录被删除。你想更早，一封邮件就够——我们删除并书面回复确认。
删除之后，我们不会在任何抑制名单里留下你地址的副本。你的记录彻底消失，这也意味着你日后若再次加入，那就是一次全新的注册。
9. 你的权利
无论你住在哪里，都可以要求我们处理下列任何一项。若你在欧洲经济区、英国或瑞士，这些是 GDPR 第 15 至 22 条下的权利；若你在 Türkiye，则是 KVKK 第 11 条下的权利。实务上我们对所有人适用同一标准。
- 访问——确认我们是否处理你的数据，并获取一份副本（第 15 条）。
- 更正——修正不准确或不完整之处（第 16 条）。
- 删除——删除你的记录，即“被遗忘权”（第 17 条）。
- 限制——在争议解决期间冻结处理（第 18 条）。
- 可携带——以机器可读格式获得你的数据（第 20 条）。
- 反对——反对基于正当利益的处理（第 21 条）。若你反对直接营销，我们无条件停止。
- 撤回同意——随时可以（第 7 条第 3 款）。撤回不影响此前处理的合法性。
- 不受自动化决策约束——指产生法律效果或类似重大影响的决策（第 22 条）。
土耳其法在 KVKK 第 11 条下另加两项权利：知悉你的数据在境内外被传输给了哪些第三方，以及就非法处理造成的损害请求赔偿。
10. 如何行使
写信到 contact@wordmi.com。要退订，也可以使用我们所发任何邮件底部的链接。
- 欧洲经济区 / 英国 / 瑞士： 我们在一个月内答复。若请求复杂，我们可再延长两个月，并说明原因。不收取费用。
- Türkiye： 申请应遵循《向数据控制者提出申请的程序通告》，并包含可以识别你的信息。我们在30 天内办结。申请免费，但答复产生额外成本时适用委员会规定的收费标准。
我们可能会要求补充信息以确认你的身份。这样做只是为了避免把别人的数据披露给错误的人。
11. 向监管机构投诉
- 欧洲经济区 / 英国 / 瑞士： 依 GDPR 第 77 条，你可以向你居住地、工作地或涉嫌违规发生地的监管机构投诉。
- Türkiye： 你可以在收到我们答复后的30 天内，且无论如何在提出申请后的60 天内，向个人数据保护委员会投诉（KVKK 第 14 条）。
你不必先来找我们，尽管我们通常当天就能解决。
12. 我们如何保护
- 所有流量都以 HTTPS 加密，HSTS 会直接拒绝未加密的连接。
- 等候名单的数据表启用了行级安全，且完全没有定义读取策略。站点使用的公钥既不能读也不能写这张表——它只能调用两个很窄的函数，一个插入一行，一个返回计数。
- 服务器端的密钥存放在环境变量里，从不下发到浏览器。
- 内容安全策略在技术上阻止页面把数据泄露给第三方。
- 表单按 IP 和总量限流，并对请求体大小与邮箱长度设有硬上限。
没有系统是绝对安全的。若发生涉及你个人数据的泄露，我们将依 GDPR 第 33 至 34 条在72 小时内通知有管辖权的监管机构，依 KVKK 第 12 条第 5 款在 72 小时内通知土耳其委员会，并在对你风险较高时直接告知你。
13. 儿童
抢先体验名单不面向 16 岁以下的人，我们也不会明知而处理 16 岁以下者的数据。之所以采用 16 岁，是因为德国依 GDPR 第 8 条适用这一门槛，而在各地统一采用最严的数字，比逐国追踪要简单。若我们得知有未满 16 岁者注册，会立即删除该记录——如果你发现了，请写信到 contact@wordmi.com。
14. 自动化决策与画像
我们不作出仅基于自动化处理的决策，即那些对你产生法律效果或类似重大影响的决策（GDPR 第 22 条）。我们不对你作画像。你在队列中的位置只取决于你何时注册以及邀请了多少人。
15. 变更
若我们更新本政策，会改动上方的“最后更新”日期。若某项变更实质性地扩大了我们处理的范围或目的，我们还会给名单上的所有人发邮件。当这种扩大以同意为依据时，我们会重新征求，而不是想当然。
16. 联系方式
任何隐私相关的问题、请求或投诉：contact@wordmi.com。数据保护请求由 Murathan Bakti 本人答复。