隐私政策 - 迹点

欢迎使用迹点。本政策适用于迹点中国大陆版 iOS App。运营者是其服务端个人信息的处理者；明确只在当前设备或当前进程处理的数据不会由运营者远程读取。

1. 仅在设备处理

足迹 ID、标题、精确地点名称、分类、描述、坐标、时间、点亮行政区、本机照片、照片与足迹关系和同行昵称快照只保存在当前设备。照片 EXIF 坐标和拍摄时间只在你明确选择后于内存读取；保存的 JPEG 会移除元数据。本机目录排除设备备份。

2. 服务端处理

使用账号、好友和“出去玩”时，服务端处理大陆手机号、账号与会话资料、昵称和头像、协议同意、好友码、申请、关系分类、拉黑和资料投诉，以及行程名称和日期、成员与邀请、已确认的目的地名称、账目、分摊和准备清单。服务端还处理推送登记、与账号分离的匿名安装每日活跃、最小安全日志和可靠清理记录。密码、刷新令牌和安装凭证只保存摘要；验证码正文不保存。

3. 管理后台访问

经身份验证的管理员可以为运营、安全、客服和资料投诉处理查看上述服务端记录，包括行程正文、目的地名称、账目备注、分摊和清单内容。用户内容只读；管理端仅保留账号启停和固定资料投诉处置动作。管理响应不提供密码或令牌摘要、安装凭证摘要、验证码、APNs 设备令牌或对象键；头像短期地址只用于当前页面显示。本机足迹、坐标、点亮和照片不进入管理后台。

4. 地图和第三方处理

Apple 在中国大陆提供 MapKit 地点搜索和反向地理编码。浏览地图、主动定位、点击地图商户、保存足迹或主动搜索地点时，Apple 可处理必要的地图请求、当前位置或选定坐标、搜索词、当前地图区域及结果。足迹选择结果只保存在本机；“出去玩”仅把最终确认的 POI 名称字符串交给迹点服务端。

5. 保存、安全和权利

服务端数据按实现功能和法定安全要求所需期限保存；短信调度最多 24 小时，刷新令牌最长 30 天，待处理邀请最长 7 天，最小安全日志和管理员审计最长 6 个月，匿名统计适用本文附加说明中的期限。你可在 App 内管理资料、好友、行程和本机数据，关闭匿名统计与通知，或注销账号。其他查阅、复制、更正、删除、限制、拒绝处理、解释及投诉请求可发送至 support@suancore.com。

本机昵称与账号同步

你同意隐私政策后，首次进入主界面前需要主动填写 1 至 30 字昵称。昵称和待同步状态保存在 App 本机偏好中，不关联账号 ID、匿名安装 ID、足迹或位置，也不进入匿名使用统计。首次登录或退出状态修改昵称后的下一次登录，App 会通过账号资料接口把待同步昵称保存为当前账号昵称；成功后清除待同步状态，此后服务端账号资料为权威并回写本机，不会在每次启动时反复覆盖。退出登录或注销账号不会删除本机昵称；你仍可在本机修改，卸载 App 或清除 App 数据会将其删除。

匿名使用统计明细

你同意当前隐私政策后，匿名使用统计默认开启。App 只处理随机安装 ID、安装凭证、协议版本、文档语言、App 版本与构建号、服务端按北京时间生成的每日活跃日期，以及当天是否出现过登录状态的布尔值，用于计算新增安装、DAU、WAU、MAU、游客与登录状态活跃占比和版本覆盖。安装凭证只保存在不进入设备备份的 App 私有目录，服务端只保存凭证摘要。随机安装 ID 不与手机号、昵称、账号 ID、IDFA、IDFV、APNs 令牌、设备指纹或安全日志 IP 建立关系。统计不接收客户端日期、昵称、页面、足迹、点亮、位置、城市、地图、搜索、照片或自由事件。同一安装同一天幂等记录，登录状态只可由 false 更新为 true。经身份验证的管理员可按随机安装 ID 查看服务端已保存的协议版本、语言、登记时间、最后活跃日期和每日 App 版本、构建号及登录状态布尔值，但不能查看安装凭证摘要，也不能关联账号、本机昵称、APNs 令牌或安全日志 IP。每日明细最多保存 90 天；从未活跃的登记最多保存 7 天；其他安装记录在最后活跃满两年后删除。你可在隐私设置关闭，关闭后停止上报并删除安装记录和每日明细；网络失败时只重试删除，不补传跨日活跃。