1. 당사 소개

TonesFly는 Thang Pham(이하 "TonesFly", "당사", "저희")이 운영합니다. 본 개인정보 처리방침은 귀하가 TonesFly 모바일 애플리케이션(이하 "본 앱")을 사용할 때 당사가 귀하의 정보를 수집, 사용 및 보호하는 방법을 설명합니다.

GDPR 목적상, Thang Pham이 데이터 관리자입니다. 연락처: [email protected]

2. 수집하는 정보

We collect the following types of information:

Account information — your email address, display name, authentication provider, and account/user ID when you create or link an account via Apple Sign-In, Google Sign-In, or email
Audio files — audio files you import into the App for listening practice (processed and stored on-device only; never sent to any server)
Transcripts and lesson data — generated entirely on your device from your imported audio; stored on-device and in iCloud (if enabled) only
Learning data — practice progress, accuracy scores, challenge completion, and streaks stored locally on your device
Device-linked identifiers — a persistent device_id stored in Keychain and sent to our server for account binding and free-tier limit enforcement
Preferences — your native language, stored locally on your device
Device information — device model, operating system version, and app version for diagnostics
Usage analytics — product interaction data used to improve the App; optional analytics are collected only with your consent
Campaign attribution — when you open the App from a marketing link, we may collect anonymous UTM parameters (source, medium, campaign name) to measure marketing effectiveness. These parameters do not contain personally identifiable information and are processed through PostHog subject to your analytics consent

3. 처리의 법적 근거 (GDPR)

당사는 다음의 법적 근거에 따라 귀하의 개인 데이터를 처리합니다:

계약 이행 (Art. 6(1)(b)) — 계정 데이터, 오디오 처리, 학습 데이터는 귀하가 요청한 서비스를 제공하기 위해 필요합니다
정당한 이익 (Art. 6(1)(f)) — 기기 정보와 익명화된 분석은 앱의 유지 및 개선, 사기 방지, 보안 확보에 도움이 됩니다
동의 (Art. 6(1)(a)) — 비필수 분석(PostHog)은 귀하의 동의가 있는 경우에만 처리되며, 개인정보 설정에서 언제든지 동의를 철회할 수 있습니다

귀하는 철회 전 처리의 적법성에 영향을 주지 않고 언제든지 분석에 대한 동의를 철회할 수 있습니다.

4. 정보 사용 방법

We use the information we collect to:

Provide, maintain, and improve TonesFly
Process imported audio entirely on your device to generate listening practice challenges
Authenticate your account and manage subscriptions
Enforce the free tier fairly and prevent abuse across multiple accounts on the same device
Process subscriptions and in-app purchases
Send important service updates via email
Respond to support requests
Measure marketing effectiveness using anonymous campaign attribution data from UTM parameters

5. 오디오 파일 처리

Audio is processed entirely on your device and never leaves it.

When you import an audio file:

Speech recognition runs on your device using on-device models
All transcription, lesson generation, and practice content creation happen on your device
No audio, transcripts, or lesson content are sent to any server
Audio files are stored on-device and in iCloud (if enabled) only
Processed challenge data is stored locally on your device and in your iCloud account for offline practice

Automated processing: Speech recognition and challenge generation are fully automated and run entirely on your device. No human reviews your audio or transcripts.

5a. On-Device Processing

TonesFly uses on-device speech recognition to convert your imported audio into text for listening practice. All speech recognition and lesson generation run entirely on your device — no audio or transcript data is sent to any external service.

All lesson content is generated and stored on your device.

5b. Automated Processing (GDPR Art. 22)

TonesFly uses on-device automated processing to generate listening practice challenges from your audio. This includes speech recognition, challenge generation, and adaptive pacing. All of this processing runs entirely on your device.

These automated processes help create your learning content but do not produce legal effects. Under GDPR Article 22, you have the right to request human review of any automated processing decision that significantly affects you by contacting [email protected].

For users under the applicable age threshold (13–18 depending on region), optional data collection is disabled entirely.

6. 제3자 서비스

We use the following third-party services to operate and improve the App:

RevenueCat — subscription and purchase management
PostHog — product analytics (consent-based)
Firebase — authentication and crash reporting
Cloudflare — cloud hosting and edge network services (Workers, D1, KV)
Resend — transactional email delivery

These providers process data under data processing agreements with appropriate safeguards. Our Data Processing Agreement is available at https://tonesfly.com/dpa. Apple handles all subscription billing directly.

7. 데이터 공유

We do not sell, rent, or trade your personal data to third parties. This applies to all users, including California residents.

We may share data with:

Cloud hosting and infrastructure providers (for authentication and account management only)
Analytics services (product interaction data, with your consent where required)
Payment processors (Apple handles all subscription billing)
Legal authorities when required by law or to protect our legal rights

Audio, transcripts, and lesson content are processed entirely on your device and are not shared with any third party.

For California residents (CCPA/CPRA): We do not sell personal information. We do not share personal information for cross-context behavioral advertising. We do not collect or process sensitive personal information as defined by the CPRA, including precise geolocation, racial or ethnic origin, religious beliefs, genetic data, biometric information, or health information. You have the right to know what personal information we collect, request deletion, and opt out of any future sale. Contact [email protected] to exercise these rights.

8. 데이터 보안

We implement industry-standard security measures to protect your data, including encryption in transit (TLS/HTTPS). Our server infrastructure is hosted on Cloudflare's global network (Workers, D1, KV) and handles only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and in your iCloud account — they are never sent to our servers.

In the event of a data breach that poses a risk to your rights and freedoms, we will notify the relevant supervisory authority within 72 hours and affected users without undue delay, as required by GDPR Article 33-34.

However, no method of transmission over the internet is 100% secure.

9. 데이터 보존

We retain your data for as long as your account is active or as needed to provide services.

Audio, transcripts, and lesson content: stored on-device and iCloud only. Never sent to our servers.
Account data (email, display name, device_id, subscription status): retained on our servers until account deletion.
Practice data: stored locally on your device; deleted when you remove the app, delete individual lessons, or choose to remove local data.
Analytics data: retained for up to 12 months, subject to your consent settings.

You may request account deletion at any time from Settings > Delete Account. When you request deletion, your account enters a 7-day grace period during which you may cancel by signing in. After the grace period expires, all your data is permanently deleted from our servers. We send email confirmation when deletion is scheduled, a reminder 24 hours before, and confirmation after deletion.

TonesFly cannot delete data stored in your iCloud account. To manage iCloud data, visit Settings > [Your Name] > iCloud on your device.

10. 국제 데이터 전송

Our server infrastructure is hosted on Cloudflare's global edge network, handling only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and never leave it. Third-party services including Firebase, RevenueCat, and PostHog process account and analytics data in the United States.

Your information may also be accessed from Viet Nam (where the data controller is located) for administrative and development purposes.

For transfers outside the EU/EEA, we rely on:

Standard Contractual Clauses (SCCs) approved by the European Commission
Data processing agreements with all third-party service providers
Where applicable, adequacy decisions by the European Commission

You may request a copy of the safeguards in place by contacting [email protected]

Japanese residents (APPI): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers.

Chinese mainland residents (PIPL): Your account information may be transferred outside the People's Republic of China to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio, transcripts, and lesson content remain on your device and are not transferred. By using TonesFly, you consent to this cross-border transfer for the purposes described in Section 4. You may withdraw consent at any time by contacting [email protected], which may affect our ability to provide the service. We conduct personal information protection impact assessments for cross-border transfers as required by PIPL.

South Korean residents (K-PIPA): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We provide notice of the recipient, purpose, and items of personal information transferred. These transfers are protected by data processing agreements with all service providers.

Brazilian residents (LGPD): Your account data is transferred internationally to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by contractual clauses that ensure an adequate level of data protection as required by the LGPD.

Vietnamese residents (PDPD): As the data controller is located in Viet Nam, your personal data is subject to Decree 13/2023/NĐ-CP on personal data protection. Account data may be transferred to the United States for processing by third-party services (Firebase, RevenueCat, PostHog). We conduct data processing impact assessments for cross-border transfers as required by Vietnamese law.

United Kingdom residents (UK GDPR): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). For transfers from the UK, we rely on the International Data Transfer Agreement (IDTA) or the UK Addendum to EU Standard Contractual Clauses, as approved by the UK Information Commissioner's Office (ICO).

Indian residents (DPDP Act 2023): Your account data may be transferred outside India to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers. Note: Under the DPDP Act, children are defined as individuals under 18 years of age, and verifiable parental consent is required before processing their data.

Indonesian residents (PDP Law 27/2022): Your account data may be transferred outside Indonesia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by data processing agreements ensuring an equivalent level of data protection.

Thai residents (PDPA 2019): Your account data may be transferred outside Thailand to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure that adequate safeguards are in place as required by the Personal Data Protection Act, including contractual obligations with all service providers.

Turkish residents (KVKK): Your account data may be transferred outside Turkey to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We rely on your explicit consent or contractual necessity as the legal basis for these cross-border transfers, in accordance with the Law on the Protection of Personal Data (Law No. 6698).

Filipino residents (Data Privacy Act 2012): Your account data may be transferred outside the Philippines to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). These transfers are protected by contractual safeguards ensuring compliance with the Data Privacy Act of 2012 and regulations of the National Privacy Commission (NPC).

Saudi Arabian residents (PDPL 2023): Your account data may be transferred outside the Kingdom of Saudi Arabia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure an adequate level of data protection for cross-border transfers as required by the Personal Data Protection Law.

11. 아동 개인정보 보호

TonesFly는 COPPA(미국) 및 GDPR(EU/EEA)를 포함한 아동 개인정보 보호 법률 준수를 위해 연령 확인 절차를 사용합니다. 해당 절차를 아직 완료하지 않은 경우, 선택적 데이터 수집을 활성화하기 전에 앱에서 생년월일을 묻습니다. 정확한 생년월일은 적절한 연령 기준을 결정하기 위해 기기에서 로컬로 처리됩니다. 당사는 서버가 아닌 기기에서만 연령 범위(13세 미만, 13-15세, 16-17세 또는 18세 이상)를 로컬로 저장합니다.

적용 가능한 연령 기준(미국 및 대부분의 국가에서 13세, EU/EEA에서 국가에 따라 13-16세, 중국 및 한국에서 14세, 인도에서 18세) 미만이라고 표시하면, 분석, 충돌 보고서 및 진단을 포함한 선택적 데이터 수집이 자동으로 비활성화되며 설정에서 다시 활성화할 수 없습니다.

아동의 데이터가 실수로 수집되었다고 판단되면, [email protected]으로 연락해 주시면 즉시 삭제하겠습니다.

12. 귀하의 권리

귀하의 관할권에 따라 다음과 같은 권리를 보유합니다:

모든 사용자:

당사가 보유한 귀하의 개인정보에 접근
부정확한 데이터의 정정 요청
귀하의 데이터 삭제 요청
이동 가능한 형식으로 데이터 내보내기
분석 데이터 수집 거부

EU/EEA 거주자 (GDPR):

귀하의 데이터 처리 제한 권리
정당한 이익에 기반한 처리에 대한 이의 제기 권리
언제든지 동의를 철회할 권리
자동화된 의사결정에만 의존하는 결정의 대상이 되지 않을 권리
관할 데이터 보호 감독 기관에 불만을 제기할 권리

캘리포니아 거주자 (CCPA/CPRA):

어떤 개인정보가 수집되는지 알 권리
개인정보 삭제 권리
개인정보 판매 거부 권리 (당사는 귀하의 데이터를 판매하지 않습니다)
권리 행사에 대한 차별 금지 권리

일본 거주자 (APPI):

보유 개인정보의 공개 청구 권리
정정, 추가 또는 삭제 청구 권리
이용 중지 또는 소거 청구 권리
제3자 제공 중지 청구 권리

중국 본토 거주자 (PIPL):

개인정보 처리에 대해 알고 결정할 권리
개인정보에 접근하고 복사할 권리
부정확하거나 불완전한 정보를 정정 또는 보충할 권리
개인정보 삭제를 요청할 권리
언제든지 동의를 철회할 권리
처리 규칙의 설명을 요청할 권리
데이터 이동성 권리

대한민국 거주자 (개인정보보호법):

개인정보에 접근할 권리
정정 또는 삭제를 요청할 권리
처리 정지를 요청할 권리
언제든지 동의를 철회할 권리

브라질 거주자 (LGPD):

데이터 처리 확인 권리
개인정보에 접근할 권리
불완전하거나 부정확하거나 오래된 데이터를 정정할 권리
불필요한 데이터의 익명화, 차단 또는 삭제 권리
데이터 이동성 권리
데이터가 공유된 기관에 대한 정보 권리
언제든지 동의를 철회할 권리

베트남 거주자 (PDPD):

개인정보 처리 활동에 대해 알 권리
동의 및 동의 철회 권리
개인정보에 접근할 권리
개인정보 정정을 요청할 권리
개인정보 삭제를 요청할 권리
데이터 처리 제한 권리
데이터 이동성 권리

영국 거주자 (UK GDPR):

개인정보에 접근할 권리
부정확한 데이터의 정정 권리
데이터 삭제 권리
처리 제한 권리
데이터 이동성 권리
처리에 대한 이의 제기 권리
언제든지 동의를 철회할 권리
자동화된 의사결정에만 의존하는 결정의 대상이 되지 않을 권리
Information Commissioner's Office (ICO)에 불만을 제기할 권리

인도 거주자 (DPDP Act 2023):

개인정보에 관한 정보에 접근할 권리
개인정보의 정정 및 삭제 권리
고충 처리 권리
귀하를 대신하여 권리를 행사할 대리인을 지명할 권리

인도네시아 거주자 (PDP법 27/2022):

데이터 처리에 대해 통지받을 권리
개인정보에 접근할 권리
부정확한 데이터를 정정할 권리
개인정보 삭제를 요청할 권리
언제든지 동의를 철회할 권리
데이터 이동성 권리

태국 거주자 (PDPA 2019):

개인정보에 접근할 권리
부정확한 데이터를 정정할 권리
삭제 또는 익명화를 요청할 권리
처리 제한 권리
데이터 이동성 권리
처리에 대한 이의 제기 권리
언제든지 동의를 철회할 권리
개인정보 보호위원회 (PDPC)에 불만을 제기할 권리

터키 거주자 (KVKK):

개인정보가 처리되고 있는지 여부를 알 권리
처리에 관한 정보를 요청할 권리
처리 목적을 알 권리
불완전하거나 부정확한 데이터를 정정할 권리
개인정보의 삭제 또는 파기를 요청할 권리
처리에 대한 이의 제기 권리
데이터 이동성 권리
개인정보 보호 기관 (KVKK 위원회)에 불만을 제기할 권리

필리핀 거주자 (Data Privacy Act 2012):

데이터 처리에 대해 통지받을 권리
개인정보에 접근할 권리
부정확한 데이터를 정정할 권리
데이터의 삭제 또는 차단을 요청할 권리
처리에 대한 이의 제기 권리
데이터 이동성 권리
National Privacy Commission (NPC)에 불만을 제기할 권리

사우디아라비아 거주자 (PDPL 2023):

데이터 처리에 대해 통지받을 권리
개인정보에 접근할 권리
부정확한 데이터를 정정할 권리
개인정보 삭제를 요청할 권리
처리 제한 권리
데이터 이동성 권리

이러한 권리를 행사하려면 [email protected]으로 연락하거나, 앱의 개인정보 설정을 이용하거나, 설정 > 계정 삭제에서 직접 계정을 삭제하십시오. GDPR 요청은 30일 이내, CCPA 요청은 45일 이내, APPI 요청은 2주 이내, PIPL 요청은 15영업일 이내, 개인정보보호법 요청은 10일 이내, LGPD 및 PDPD 요청은 15일 이내, UK GDPR 요청은 30일 이내, DPDP 요청은 30일 이내, 인도네시아 PDP 요청은 14일 이내, PDPA 요청은 30일 이내, KVKK 요청은 30일 이내, 필리핀 DPA 요청은 15일 이내, PDPL 요청은 30일 이내에 응답합니다 (또는 법에서 요구하는 경우 더 빨리 응답합니다).

13. 본 방침의 변경

당사는 수시로 본 개인정보 처리방침을 업데이트할 수 있습니다. 중요한 변경 사항은 앱 또는 이메일을 통해 통지합니다. 변경 후 앱을 계속 사용하는 것은 업데이트된 방침에 대한 수락을 구성합니다.

14. 문의

본 개인정보 처리방침에 관한 문의 사항이 있거나 데이터 권리를 행사하려면 다음으로 연락해 주세요:

Thang Pham (TonesFly)
이메일: [email protected]

EU/EEA 사용자의 경우: 당사의 응답에 만족하지 않으시면, 귀하의 현지 데이터 보호 감독 기관에 불만을 제기할 권리가 있습니다.