隐私声明

本应用（学生端 Leggio-Music Practice 和教师端 Leggio-Teacher）由多所音乐学校使用，各校之间完全隔离：每所学校只能看到自己的数据。各学校是其老师和学生数据的数据控制者（可另行补充自己的声明）；Fortepixel 受学校委托，作为数据处理者处理这些数据。对于注册学校联系人的数据（姓名、电子邮箱）以及内容举报，Fortepixel 是数据控制者。没有学校的私人教师（个人账户）同样是其自己学生数据的控制者。付费订阅的开票和付款数据由 Fortepixel 作为独立控制者处理。

本声明提供七种语言版本。以匈牙利语版本为准；如译本与之不一致，以匈牙利语版本为准。

1. 运营方（Fortepixel）

名称: Péter Szabó，个体经营者（Fortepixel）
地址: Bodza utca 3., 2141 Csömör, 匈牙利
登记号: 62883656（匈牙利个体经营者登记册）
联系方式: hello@fortepixel.hu

2. 我们在服务器上处理哪些数据？

学生的姓名或昵称及乐器（由老师填写）用途: 让老师知道是谁在练习；乐器用于设定练习监测的音域保存期限: 直到老师或学生删除
学生手机的标识（仅保存其哈希值）用途: 将手机与老师关联保存期限: 直到学生退出或被删除
学生自己的登录（如已设置）：所选用户名和密码的哈希值（bcrypt）用途: 退出后（例如兄弟姐妹共用一部手机）无需新代码即可重新登录；老师也能看到用户名，以便学生忘记时提供帮助保存期限: 直到学生修改、老师断开其手机，或学生被删除
练习数据：开始和结束时间、在练习界面的时长、识别到的乐器演奏时长、演奏的音数、渐进节拍器的速度、曲目、可疑迹象用途: 供老师监督练习保存期限: 120 天，或直到学生被删除
作业的练习计划（由老师设定：小节、速度、每日分钟数、步骤）以及学生已勾选的步骤用途: 让学生知道练什么、怎么练，让老师看到学生完成到哪一步保存期限: 直到老师撤回该作业，或学生被删除为止（学生的勾选随之删除）
老师课后给学生的留言（内容、时间），以及学生首次查看的时间用途: 课后给学生的反馈和任务；老师能看到学生已收到。无法回复保存期限: 180 天（每位学生保留最近 30 条），或直到老师删除，或直到学生或老师被删除
家长链接（若老师创建）：秘密代码的哈希值和创建时间用途: 让家长无需登录、只读查看孩子的练习、作业、老师留言和游戏结果。我们不存储任何家长信息保存期限: 直到老师撤销或创建新链接，或直到学生或老师被删除
激励功能（老师可按学生关闭）：每周目标设置（几天、每天几分钟、是否开启排行榜）、已获得的徽章及时间、每周连续记录，以及每个学年的累计演奏时间和练习天数用途: 用每周目标、连续记录和徽章鼓励练习；学年结束奖状可据此生成（由老师的手机生成 PDF，不保存在服务器上）保存期限: 徽章和连续记录保存至学生被删除；学年汇总保留当前和上一学年（练习数据 120 天删除后仍保留），最长至学生被删除
乐理游戏成绩（老师开启时）：哪个游戏、哪个级别、答对数/总题数、用时、时间用途: 让老师了解哪些掌握得好、哪些需要练习保存期限: 120 天，或直到学生被删除
游戏设置（由老师设定：开/关、级别）用途: 学生能看到哪些游戏、什么难度保存期限: 直到老师修改，或直到学生被删除
“正在练习”信号：时间、曲目、是否有乐器声、速度、最后一个音的名称用途: 让老师实时看到谁在练习保存期限: 直到练习结束，最长 1 小时
通知地址：手机浏览器的推送地址；在从 Google Play 安装的安卓应用中，为应用的通知标识（Firebase）和应用语言（仅在学生开启通知时）用途: 老师布置新乐谱时向手机发出信号保存期限: 直到关闭通知、学生退出或被删除
老师上传的乐谱（PDF，或在手机上由照片/扫描图片生成的 PDF——不含照片的隐藏信息，如拍摄地点）和音频文件用途: 布置给学生（只有被布置的学生才能下载）保存期限: 直到老师删除
老师在乐谱上的标注（线条、圈注、简短文字——如指法），按曲目保存用途: 让学生在乐谱旁看到需要注意的地方（只会收到自己老师在所布置曲目上的标注）保存期限: 直到老师删除，或直到该曲目或老师被删除
乐谱举报：学校、曲目（及其名称）、原因、可选备注、时间——不保存举报人用途: 筛除侵权或不当内容（Fortepixel 可屏蔽该曲目）保存期限: 处理后 180 天，或直到学校被删除
老师的姓名（由学校管理员添加）用途: 老师用它登录，其学生能看到（“你的老师：…”）保存期限: 直到管理员或老师删除——届时其所有学生、乐谱和作业一并删除
学校的名称、学校代码、徽标和配色、套餐（试用、月度或年度订阅、免费测试）、学生人数档位及有效期、Fortepixel 的备注用途: 隔离各学校、登录、学校形象及订阅管理保存期限: 直到学校被删除（管理员可随时删除徽标）
注册联系人（个人账户为教师本人）的姓名和电子邮箱用途: 试用期结束提醒、报价和发票、联络保存期限: 直到学校被删除
付费订阅（银行卡支付或银行转账订单）：开票信息（姓名、地址、税号（如有）、电子邮箱）、套餐、金额、订单和付款的时间及状态、发票号；银行卡支付时还有 Barion 的付款及定期付款标识——我们不会收到银行卡信息用途: 收取订阅费用（银行卡支付时还包括自动续订）、开具发票、记录付款、通过电子邮件发送确认和通知（例如扣款失败）保存期限: 成功付款：8 年（匈牙利会计法第 169 条规定的会计义务）——即使学校或账户已删除；失败或中途放弃的付款尝试，以及已撤回或未付款的订单：180 天；定期付款标识：至取消订阅或删除账户为止
运营方、管理员、老师以及设置了自己登录的学生的密码哈希值（bcrypt）、一次性登录码和加入码的哈希值及加密副本，以及登录凭据的哈希值用途: 确保只有账户所有者才能登录；让老师/管理员在代码被使用前可以再次查看已发放的代码（无需生成新代码）保存期限: 直到修改密码；代码 7 天或直到使用；登录状态 30 天（运营方 8 小时）
IP 地址的假名化哈希值（无法还原出地址）用途: 防止猜测密码和代码，以及批量注册和批量举报保存期限: 最长 24 小时

谁能看到什么？每位老师只能看到自己学生的数据（看不到其他老师的学生、乐谱或作业）；学生只能看到自己的数据和老师的姓名。老师还能看到学生自己登录的用户名——看不到密码。学校管理员能看到老师的姓名、其学生人数、已加入该老师（正在使用应用）的学生姓名，以及学校的活跃学生人数——看不到其他学生数据（练习、日志、乐器、代码）。Fortepixel 的运营页面显示各学校的名称、套餐、有效期、联系人、老师和学生的人数以及乐谱举报——不显示姓名和练习数据。学校管理员（个人账户为教师本人）还能看到自己的订阅、付款记录和开票信息；Fortepixel 的运营页面也会显示付费订阅者的开票信息和付款记录（用于开具发票）。若老师创建了家长链接，知道该链接的人（家长）无需登录即可只读查看：学校和老师的名称、学生的姓名和乐器、最近 14 天的练习时间、布置的曲目（含截止日期、计划和已勾选的步骤）、老师最近 3 条留言以及游戏总成绩——但看不到可疑提示、手机和登录信息。链接只在创建时显示；老师可随时撤销。若老师为某学生开启排行榜，该老师列入排行榜的学生可以看到彼此的昵称以及本周练习天数和分钟数——仅此而已。家长视图中也能看到每周目标、连续记录和徽章。

语言：应用会在每次请求中发送所选语言，以便服务器用同一语言回复（例如错误提示）。服务器不保存该信息。

法律依据：学生数据基于同意（GDPR 第 6 条第 1 款 (a) 项）；未达到数字同意年龄（匈牙利为 16 岁）的学生，需要父母同意（GDPR 第 8 条）。同意可随时撤回：学生可在应用中自行删除全部数据，或由老师一键删除。联系人数据的依据是合同的准备和履行（GDPR 第 6 条第 1 款 (b) 项）；举报的依据是筛除侵权内容的正当利益（GDPR 第 6 条第 1 款 (f) 项）。开票和付款数据：履行合同（GDPR 第 6 条第 1 款 (b) 项）；其保存：法定义务（GDPR 第 6 条第 1 款 (c) 项、匈牙利 2000 年第 C 号会计法第 169 条）。

试用、订阅：已注册的学校或私人教师可免费试用本应用 7 天。之后可用银行卡（自动续订，随时可取消）或凭发票银行转账订阅——条件见一般条款（匈牙利语：app.fortepixel.hu/aszf/）。试用或订阅到期后，数据保持不变并可查看，但不再记录新内容（新学生、乐谱、作业、练习）。

3. 删除账户和数据

所有账户和数据都可以在应用内一步永久删除——无需联系任何人：

学生（Leggio-Music Practice）：点按顶部你的名字 → 删除我的数据 → 确认。你的名字、乐器、练习日志、游戏成绩、手机关联、自己的登录（用户名、密码）和通知地址都会被删除——包括服务器上和手机上的。
老师（Leggio-Teacher）：点按顶部你的名字 → 删除我的账户 → 输入密码。你的账户、你的学生（及其练习日志）、你上传的乐谱和布置的作业都会被删除。个人账户（无学校）会因此删除整个账户，银行卡订阅也不再续订。
学校（学校管理员）：在管理员页面 → 删除学校 → 输入管理员密码。学校的所有数据都会被删除：老师、学生、乐谱、日志、徽标、举报。
仅从手机删除（服务器上的数据保留）：在这部手机上退出——学生端会从手机上移除所有学生数据。

如果无法使用应用（例如手机丢失），请发邮件至 hello@fortepixel.hu，注明学校名称和你的姓名；核实后，我们最迟在 30 天内删除并回复确认。老师也可以一键删除学生的数据。

删除后不会保留任何数据（我们不做备份）。服务器的技术日志（IP 地址、时间）由主机服务商保存，最多几周。例外是订阅成功付款的会计数据（开票信息、金额、时间）：依法我们须保存 8 年。

4. 麦克风

调音器和练习监测只在手机上分析麦克风信号。我们不录音、不保存声音，也不会把声音发送到任何地方——上传到服务器的只有上述数字（例如“演奏 18 分钟，140 个音”）。只有学生开启了麦克风（首次启动时或在设置中，可随时关闭）才会使用，而且只在练习界面和调音器中工作。

5. 新乐谱通知

只有学生在 Leggio-Music Practice 中开启后才会生效（也可在同一处点按自己的名字关闭）。通知由手机浏览器的厂商通过其推送服务送达（安卓为 Google，iPhone 为 Apple，Firefox 为 Mozilla，Edge 为 Microsoft）。我们的服务器只发送一个空信号：不含姓名、曲名或任何其他内容——“你收到了新乐谱”这句话由手机自己显示，使用应用中所选的语言。因此，推送服务只能知道该手机在此时收到了一个信号。在从 Google Play 安装的安卓应用中，由应用本身通过 Google 的消息服务（Firebase Cloud Messaging）接收通知——即使手机在后台关闭了应用，通知也能送达。为此，我们的服务器会保存应用的通知标识，并且随信号只发送应用语言（以便手机用该语言显示文字）。在这里，学生在安卓的权限请求中允许后，通知会自动开启；同样可以点按自己的名字关闭，或在手机设置中屏蔽。

6. 自动估算——不是决定

练习监测会自动估算乐器演奏的时长，并标记异常模式（例如几分钟都是同一个音）。这只是提醒，不是证据，也不是评分：任何后续处理都由老师在与学生沟通后决定。估算可能出错（例如口哨或录音也可能被当作演奏）。

7. 留在设备上的数据

我们自己不设置 Cookie（Barion 的防欺诈代码可能设置 Cookie，见第 8 条）。浏览器自身的存储（localStorage、IndexedDB、缓存）中保存以下内容：

设置（例如节拍器速度、乐器、音名记法、上次打开的页面、浅色或深色外观、声音和麦克风的开关；从 Google Play 安装的应用中，还包括浏览器是否有麦克风权限）以及所选语言（两个应用共用；学生端为显示通知文字也保存在缓存中）；
学生端：手机标识、学生的姓名和乐器、已布置曲目列表（含老师的标注）、已下载的乐谱和音频（用于离线练习）、尚未发送的练习记录、自己的练习日志、游戏设置和尚未发送的游戏成绩，以及是否开启了通知（浏览器也会为此保存自己的推送订阅；从 Google Play 安装的应用中则为应用的通知标识）；还有这部手机上是否用过自己的登录（退出后仍保留，以便登录表单从这里开始——不含姓名）。只有学生把用户名和密码存入自己的密码管理器，手机才会记住它们。还有所布置任务中已勾选、尚未送达老师的步骤。还有最近下载的老师留言（离线也可阅读）。每周目标、连续记录和徽章的最新状态（以及学生已看过哪些徽章）；
教师端：登录标识、老师的姓名、最近使用的学校代码（免得每次重新输入）以及为预览而下载的乐谱，以及从银行卡付款页面返回时、应用核实期间的付款标识（关闭标签页即删除）；
两个应用：学校的名称、徽标、配色、套餐和有效期（以便没有网络时也能显示）；
在“工具”页选择的自有伴奏文件。

这些数据是应用运行所必需的，其他人无法访问。退出登录时，学生端会从手机上删除上述全部学生数据和学校数据，通知也随之停止；教师端会删除登录信息、学校数据和已下载的乐谱（学校代码保留）。设置、语言和自有伴奏文件会保留；可在浏览器（或手机）设置中清除网站/应用数据来删除它们。

8. 我们不做的事

没有统计分析、没有广告、没有社交插件。学生端不连接任何外部服务器，教师端也只连接下文所述的 Barion 防欺诈代码（字体同样在本地）；除这个 Barion 地址外，服务器的安全策略（CSP）会阻止一切外部连接。唯一的例外是第 5 条所述、已开启的通知：此时我们的服务器会向手机厂商的推送服务发送一个空信号（从 Google Play 安装的安卓应用则发送至 Google Firebase Cloud Messaging，为此还会向 Google 申请访问令牌）。收到新的乐谱举报时，Fortepixel 会收到一封简短的电子邮件（不含举报内容）。银行卡付款时，付款在 Barion 的页面上完成（应用会跳转过去），我们的服务器会与 Barion 通信（发起、核实和续订付款）；付款成功时 Fortepixel 会收到一封包含开票所需信息的邮件，续订失败时订阅者会收到邮件。银行转账订单时，Fortepixel 会收到一封包含开票所需信息的邮件，下单者会收到订单确认和付款到账确认。

Barion 防欺诈（Base Barion Pixel）： 银行卡付款的前提是，在提供付款的页面上——教师端、首页、面向老师的页面和服务条款页面——运行 Barion 的防欺诈代码。它从 pixel.barion.com 加载，并向 Barion 发送技术数据（所打开页面的地址、时间、浏览器和设备特征、IP 地址）；为此 Barion 也可能在其自己的域名下设置 Cookie。其目的是识别滥用行为（例如用被盗的银行卡付款）；法律依据：Fortepixel 和 Barion 的合法利益（GDPR 第 6 条第 1 款 f 项）。Barion 按其自己的隐私政策处理这些数据（barion.com）。它不用于广告或营销：Barion 的“完整”（营销）像素没有开启。学生端和家长页面没有这段代码。

9. 数据处理者和支付服务提供商

Rackhost Zrt.，Tisza Lajos körút 41., 6722 Szeged, 匈牙利（公司注册号：06-10-000489）——服务器（及 hello@fortepixel.hu 邮箱）的运营方。与所有网络服务器一样，它会短期保存请求的技术日志（IP 地址、时间、请求的地址），我们不将其用于任何其他目的。

Google Ireland Limited，Gordon House, Barrow Street, Dublin 4, 爱尔兰——仅用于从 Google Play 安装的安卓应用：Firebase Cloud Messaging 通知服务（应用的通知标识和空信号）。Google 依据 Firebase 数据处理条款行事；数据也可能在欧盟以外（美国）处理，依据欧盟-美国数据隐私框架和标准合同条款。

Barion Payment Zrt.（公司注册号：01-10-048552；受匈牙利国家银行监管的电子货币机构）——仅用于银行卡付款：处理付款和定期扣款。传送给它的有开票名称、电子邮箱和付款信息（项目、金额、标识）。银行卡信息由 Barion 作为独立控制者按其自己的隐私政策处理（barion.com）；Fortepixel 无法访问。

10. 你的权利

你可以要求访问、更正、删除你的数据，要求限制处理，也可以提出反对；同意可以撤回（GDPR 第 15–21 条、第 7 条第 3 款）。请发邮件至 hello@fortepixel.hu——我们会在一个月内回复。你可以向匈牙利国家数据保护与信息自由管理局（NAIH）投诉：Falk Miksa utca 9–11., 1055 Budapest, 匈牙利，ugyfelszolgalat@naih.hu，+36 1 391 1400——也可以向你所居住的欧盟国家的数据保护机构投诉。

生效日期: 2026年10月21日