平台适用范围
本套法律文档采用各平台共用正文；平台特有功能和系统能力仅在对应平台实际提供且适用规则允许的范围内适用。当前 iOS 版本不提供邀请码展示、邀请码分享、邀请奖励及自定义礼品码兑换功能；本套文档中关于使用上述功能的条款不适用于当前 iOS 版本。保留相关条款不表示其他平台已上线或承诺未来提供这些功能。
上述功能限制不排除共用账号系统对实际存在的账号标识、权益来源及必要记录的处理。相关数据处理、账号合并、注销和必要留存仍依实际记录及本套文档的对应规则执行，不因前台没有入口而免除我们的个人信息保护义务。
重要提示
Photo Atlas 是本 App 的简体中文显示名称，Journey Poster 是同一 App 的英文显示名称。两个名称对应同一运营主体、Bundle ID、账号体系、服务和本政策，本文统称为“本 App”。
Photo Atlas 用您主动选择的照片整理 Journey（旅程）、地图路线和分享作品。请重点了解：
- Photo Atlas 不扫描整个相册，只处理您主动选择的照片及其必要资源。生成 Live Photo 时会取得所选原始 Live Photo 的动态视频资源；资源可能自带音轨，但本版本仅使用画面，合成结果无声，并可能请求照片库访问权限；这不属于麦克风录音。本版本不申请相机、麦克风或持续定位权限。
- 照片原图、照片 GPS、详细地点、完整路线和 Live Photo 动态／声音不上传至我们的业务服务器。您可主动开启私人 iCloud 同步；当前 App 的云端作品历史仅保存 Live Photo 静态封面，不保存其配对视频和音轨，不支持从该历史完整恢复动态作品。
- 地图展示、地点解析和路线规划通过 Apple MapKit 完成。为实现这些功能，必要坐标会由 Apple 地图服务处理，但不会随地图请求上传照片原图。
- 我们的服务器保存账号、登录安全、Journey 摘要、会员、导出次数、Apple 交易验证和最小化运行事件。当前版本不自动上传从照片解析出的城市名，也不上传照片、GPS、自动解析的详细地址或路线几何。您自行填写的 Journey 名称仍会随有限摘要保存。
- 您可在 App 内注销账号。注销时，App 会删除当前设备中的相关本机数据，并向 Apple 发起删除当前 Photo Atlas 账号所对应 CloudKit Zone 的请求；云端删除结果取决于设备、网络和 Apple 服务状态，未确认成功时 App 会保留重试任务并如实提示。系统相册原照片和已保存作品不受影响，交易、安全和法定义务所需记录按本政策第五条所列期限和规则保留。
若您不同意本政策，请不要注册、登录或使用需要相关信息的功能。
一、个人信息处理者
- 名称：上海冲沐电子商务有限责任公司
- 统一社会信用代码：
91310113MA7F7N8C39 - 联系地址：上海市宝山区新二路999弄148号1-2层
- 联系邮箱：
zack@chongmuec.com - 隐私政策地址：
https://chongmuec.com/legal/privacy/v2.1.1/
本政策按前述“平台适用范围”适用于 Photo Atlas App、账号服务、官网支持页面及与这些服务直接相关的处理活动。Apple、阿里云等第三方依据其自身规则独立处理的信息，不由本政策替代其隐私规则。
二、我们处理的信息及用途
1. 注册、登录、绑定与账号合并
根据您选择的登录方式，我们可能处理：
- 中国大陆手机号码、短信验证码请求和验证结果；
- 邮箱地址、邮件验证码的不可逆摘要及验证结果；
- Apple 或 Google 提供的稳定账号标识、经验证的邮箱，以及提供方在首次授权时返回的必要资料；
- App 安装标识、设备平台、登录会话、令牌摘要、请求 IP、请求时间、失败原因和风控信息；
- 您绑定、解绑或合并登录方式时的账号标识、验证证明、主账号选择和合并结果。
用途是建立和保护账号、维持登录状态、防止验证码滥用、完成多种登录方式绑定、识别账号冲突并在您确认后执行不可逆账号合并。
完整账号合并后，历史交易、权益和审计事实仍保留原始来源账号标识，并通过主账号关系继续归属；我们不会为了界面统一而改写原始付款事实。
2. 协议同意记录
当您同意用户协议、隐私政策、照片位置专项说明或付费服务协议时，我们记录：
- 法律文档永久编号和版本；
- 公开地址和源文件 SHA-256 摘要；
- 同意动作、时间、App 版本、Build 和设备记录；
- 与该记录关联的账号标识。
这些信息用于核验您同意的具体文本、处理协议更新和解决争议。SHA-256 摘要用于在争议中校验当时文本是否与留档源文件一致；摘要本身不包含照片、位置或法律正文。我们不在同意日志中保存法律正文副本或与同意无关的敏感信息。
3. 您主动选择的照片与照片元数据
当您通过系统照片选择器选择照片时，App 会处理所选照片内容、本地资源标识、拍摄时间、图片尺寸与方向，以及照片中已有的 GPS。用途包括排序照片、形成 Journey 节点、显示地点、规划路线、制作模板和导出作品。
选择 Live Photo 预览或导出时，App 可能请求照片库访问权限，以取得您所选资源对应的原始动态视频；授权有限访问时，只能使用获准访问且实际可取得的资源。App 不扫描整个相册，也不通过麦克风录制新声音。普通照片可作为静态片段参与本机合成；原始 Live Photo 的画面可能按作品长度与转场进行截取、淡入淡出或组合。原资源可能包含音轨，但本版本不混合、复制或输出声音；预览和新生成的 Live Photo 均为无声，系统相册中的原件和既有作品不被修改。
照片 GPS 和由多个位置形成的活动轨迹可能属于敏感个人信息。App 会在首次使用照片位置生成地图前，以显著方式单独告知用途和处理方式并取得您的单独同意；不同意时不会进入相关功能。
若所选照片或原始 Live Photo 视频仅存在于 iCloud Photos，App 会在您请求相关功能时通过 Apple 照片服务下载所需资源到本机，可能使用网络流量；可用性取决于 Apple、网络和您的系统设置。
4. Journey、本机文件与 iCloud 私有同步
App 在本机保存 Journey 名称、照片副本或引用、拍摄时间、GPS、地点文字、路线几何、地图缓存、模板草稿、裁切和作品文件。
当设备 iCloud 可用且您启用同步时，App 会把下列内容写入 CloudKit Private Database：
- Journey 元数据和完整快照版本；
- 所选照片与缩略图；
- 照片时间、GPS 和地点文字；
- 路线分段、坐标系和地图展示数据；
- 模板草稿和已同步的静态作品文件；Live Photo 作品目前仅同步静态封面，不同步配对视频和音轨；
- 删除墓碑、同步状态、文件大小和校验信息。
iCloud 同步适用于免费用户和会员，不以会员身份作为读写条件。数据位于当前设备登录的 iCloud Apple ID 的私有数据库中，受 Apple iCloud 和 CloudKit 规则控制；更换 iCloud Apple ID 后，App 无法自动访问原账号的私有数据库。只有已经确认同步完成且快照完整的 Journey 才能在重装或换机后恢复。
Photo Atlas 服务器保存用于账号内列表、数量限制和最终对账的有限 Journey 摘要，例如 Journey 标识、名称、时间范围、照片数量、距离、时长、交通方式和安装标识。
当前版本关闭自动城市摘要上传，不向业务服务器新增从照片解析出的城市统计。既有记录如实际存在，仍受本政策原有目的、必要期限和访问限制约束；不会因功能关闭自动宣称历史记录已全部删除。今后若启用新的位置摘要处理，会先履行相应告知和必要同意。
这一自动上传不包含照片内容、照片资源标识、GPS、自动解析的详细地址或路线几何。您自行填写的 Journey 名称仍会作为摘要的一部分保存，请勿在名称中填写不希望上传的个人信息。
5. Apple 地图处理
地图展示、逆地理编码、地点名称和步行或驾车路线通过 Apple MapKit 及 Apple 地图服务处理，可能包括必要坐标、起终点、中间点、路线类型、地图显示范围、IP、设备与网络基础信息。
地图请求不包含照片原图。Apple 可能依据地区、系统版本和其服务安排使用合作服务商，具体以 Apple 地图与隐私 和 Apple 实际服务为准。地图结果可能不准确，不应用于实时导航、应急救援或人身安全决策。
6. 保存、分享和本机作品
您选择保存作品时，App 请求向相册添加照片的权限，把单图、长图或 Live Photo 写入系统相册。Live Photo 保存为配对的静态图片和动态视频，本版本新生成的作品不含音轨；读取原素材所需的照片库权限与保存权限用途不同。
作品在本机合成。生成过程中会创建照片副本、地图与文字图层、视频片段及临时编码文件；正常流程会清理不再需要的临时材料，异常中断可能留下缓存，由后续清理或卸载处理。完成作品及可复用缓存会保存在 App 本机目录或系统相册，不承诺预览结束立即清除所有文件。
当前模板通过保存到系统相册后，再由您在“照片”中选择分享对象和渠道。第三方平台可能只接收静态图、转换格式或无法保留声音。分享前请检查作品中显示的照片、地点、路线和文字；接收者及第三方平台按各自规则处理您主动分享的内容。
7. 永久解锁、历史权益和 Apple 应用内购买
平台与数据处理补充：共用账号系统仍可能为 iOS 账号生成、保存并通过账号或会员接口返回邀请码标识；这不表示当前 iOS 提供邀请或兑换功能。账号实际存在的邀请关系、礼品码及权益来源记录，仍可在账号关联、权益核对、防滥用、客服或争议处理所需范围内处理，并按本政策所列目的、期限和访问限制保留或删除；不会仅因前台入口移除而认定这些记录不存在，也不因此新增收集目的或延长保留期限。
为提供付费服务，我们处理永久解锁是否有效或撤销、购买时间和权益来源、免费及历史导出次数逐笔账本、作品结算标识、输出格式和文件大小，以及 Apple 返回的商品 ID、交易 ID、原始交易 ID、App Account Token、环境、价格、币种、退款或撤销结果。历史会员有效期、订阅到期时间、续订状态、邀请码和礼品码等仅在实际存在且对应目的所需的范围内处理。作品结算不上传照片、视频、音轨、GPS 或完整路线。
付款由 Apple 处理，我们不取得 Apple 账户密码、完整银行卡号或支付安全码。购买验证使用 Apple 签名交易和 App Store Server Notifications，以防重复发放并处理续订、退款和撤销。
8. 运行保障、产品事件和客服
为保障服务、安全和成本控制，我们记录最小化事件，例如账号标识、Journey 公开标识和名称快照、页面和按钮事件、模板编码、商品编码、成功或失败、错误分类、耗时、缓存命中、App 版本和时间。
运行事件不得包含照片二进制、照片文件名、相册资产标识、经纬度、详细地址、路线几何、验证码或登录密钥。您主动联系支持时，我们处理您提交的邮箱、问题描述、截图、App/iOS 版本和必要订单信息；请先遮挡与问题无关的照片、位置、手机号和验证码。
三、权限说明
| 权限或系统能力 | 用途 | 不授权的影响 |
|---|---|---|
| 选择照片 | 读取您选中的照片、拍摄时间和照片 GPS | 无法从照片创建 Journey |
| 照片库访问（包括有限访问） | 取得所选素材对应的原始 Live Photo 动态资源，仅使用画面进行无声合成 | 无法取得必要原素材时，相关 Live Photo 预览或导出不可用；不扫描整个相册 |
| 向相册添加照片 | 保存静态图片或配对 Live Photo 作品 | 无法直接保存到系统相册，不影响查看 Journey |
| iCloud / CloudKit | 同步和恢复已完整同步的 Journey 及静态作品；Live Photo 作品仅同步静态封面 | 仍可使用本机功能，但不能使用 iCloud 同步和恢复 |
| 网络 | 登录、地图、账号、会员、验单和官网协议 | 对应在线功能不可用，本机已有内容仍可在能力范围内查看 |
本版本不申请相机、麦克风或设备持续定位权限。您可在 iOS“设置”中调整权限；撤回不会影响撤回前已合法完成的处理，但可能使相关功能无法继续。
四、第三方服务
| 服务 | 主要处理信息 | 用途 |
|---|---|---|
| Apple iOS、Photos、iCloud/CloudKit、MapKit、Sign in with Apple、StoreKit | 所选照片访问、iCloud 私有数据、必要地图坐标、Apple 登录标识和签名交易 | 系统照片、私有同步、地图、Apple 登录和应用内购买 |
| 阿里云函数计算、RDS MySQL、短信、验证码与相关基础设施 | 账号、手机、邮箱验证、会话、安全日志、有限 Journey 摘要（当前不自动上传照片解析出的城市名）、会员、次数、交易验证和最小化事件 | 账号服务、安全、业务记账和运行保障 |
| Google 登录（仅在 App 提供入口时） | Google 稳定账号标识、经验证邮箱、授权与验证信息 | 账号登录和绑定 |
我们不会出售个人信息，也不会把照片或位置用于第三方广告。新增第三方 SDK、改变处理目的或超出合理必要范围提供个人信息时，我们会依法更新政策并取得必要同意。
五、存储地点与期限
阿里云账号和业务数据库部署在中国大陆。CloudKit 数据由 Apple 按您的 iCloud 账户、地区和其服务规则处理；Apple 登录、地图和 StoreKit 也可能发生其服务所必需的跨境处理。仅在 App 实际提供 Google 登录入口且您主动选择使用时，设备会与 Google OAuth 服务通信，相关账号验证可能涉及境外处理，具体以 Google 隐私权政策 和实际服务安排为准。我们会在依法需要时履行个人信息出境告知、同意或其他合规义务；第三方隐私规则不替代我们依法应承担的责任。
我们按实现目的所需的最短期限保存：
- 本机 Journey、照片副本、生成的图片／配对视频及相关缓存：按功能清理、删除本机内容、注销时的本机清理或卸载处理；异常中断可能暂留缓存。系统相册中的照片和 Live Photo 由您通过 iOS 管理。
- CloudKit 私有副本：至您删除 Journey、删除 iCloud 私有数据或注销时向 Apple 发起对应 Photo Atlas 账号 Zone 的删除请求；请求失败或结果未确认时保留持久重试任务，实际完成时间取决于设备、网络和 Apple 服务状态。
- 活跃账号与登录身份：账号存续期间；注销后立即停用身份和会话，并删除或去标识不再需要的直接登录标识。
- 注销账号手机号：仅用于限制恶意反复注销注册，最长保留 30 天后从账号主表清除或去标识。
- 短信或邮箱验证码：验证码或其摘要仅在页面提示的短期有效期内用于验证；发送、验证、手机号或邮箱、IP、设备、结果和第三方请求编号等常规审计记录，自请求之日起一般不超过 6 个月。发生具体账号安全事件、投诉或争议时，与该事件直接相关的必要记录可隔离保留至处理完成或法定时效届满，之后删除或匿名化。
- Refresh Token：服务端只保存摘要，最长 30 天，退出、轮换、合并或注销后撤销。
- 协议同意、交易、权益、退款和财务记录：按履行合同、Apple 交易核验、会计税务、消费者权益保护和争议处理所需期限保留；具体期限依记录类型和适用法律确定，且仅限必要字段。
- 已确认安全事件、投诉和争议记录：至事件处理完成及适用的申诉、诉讼或监管时效届满；保留期间隔离存储并限制用途和访问。
- 产品与接口事件：按产品分析、安全和故障定位所需期限保留，并限制访问。
期限届满后，我们会删除、匿名化，或停止除存储和必要安全保护之外的处理。
六、信息安全
我们采用 HTTPS、令牌摘要、访问控制、最小权限、数据库网络隔离、验证码限流、交易签名验证、幂等记账和必要审计等措施。照片、GPS、详细地址和路线几何不得进入普通服务器日志或产品事件。
互联网服务无法保证绝对安全。发生或可能发生个人信息泄露、篡改、丢失时，我们将依法采取补救、报告和通知措施。
七、您的权利
在法律规定范围内，您可以请求查阅、复制、更正、补充、删除个人信息，撤回同意，解释处理规则，注销账号，或对自动化和交易处理提出异议。
您可以：
- 在 App 中管理登录方式、iCloud 同步、Journey、本机和 iCloud 数据；
- 在 iOS“设置”中调整照片和 iCloud 权限；
- 在 App“我的账户” > “设置” > “账户与安全”中申请注销；
- 通过
zack@chongmuec.com联系我们。
为保护账号和他人权益，我们可能要求必要的身份验证。我们通常在 15 个工作日内回复；法律另有期限的，从其规定。
八、退出、注销与卸载
退出登录只撤销当前会话，不删除账号、服务端权益、本机 Journey 或 iCloud 副本。
注销账号时，App 会先向 Apple 发起删除请求，目标仅为当前设备所登录 iCloud Apple ID 的 CloudKit Private Database 中、Photo Atlas Container 内当前 Photo Atlas 账号命名空间对应的整个自定义 Record Zone。该请求会覆盖此 Zone 内已同步的 Journey、所选照片和缩略图、照片时间与位置、路线、模板草稿、同步作品、删除墓碑、同步状态和校验信息；不会删除整个 iCloud、Photo Atlas Container 中其他账号的 Zone、系统相册原照片或已保存作品。
App 同时停用服务器账号、登录身份、会话和设备，并删除当前设备的 Journey、缓存和 App 内照片副本。CloudKit 删除请求会持久重试，实际清理结果取决于当前设备仍登录原 iCloud Apple ID、网络和 Apple 服务状态；只有 Apple 确认成功后，App 才会显示云端清理已完成。若暂时无法完成，界面会如实提示并在条件恢复后继续重试。注销不会自动取消 Apple 订阅或申请退款。
卸载 App 会删除 App 沙盒中的本机资料，但不会注销账号、取消订阅、删除系统相册，或自动删除已经同步到 iCloud 的私有副本。
九、未成年人
Photo Atlas 不是专门面向不满十四周岁未成年人的服务。若我们发现未经监护人同意处理了不满十四周岁未成年人的个人信息，将依法处理。监护人可通过本政策联系方式与我们联系。
十、政策更新
我们会因功能、数据模式、第三方服务或法律要求更新本政策。涉及处理目的、方式、信息种类、第三方、跨境安排或用户重要权利的实质变化时，我们会通过 App 或其他显著方式提示，并在依法需要时重新取得明确同意。历史版本、发布日期、公开地址和 SHA-256 摘要按法律文档管理制度留档。
十一、联系我们
如有隐私、账号、iCloud 数据或个人信息权利问题，请发送邮件至 zack@chongmuec.com，或邮寄至上海市宝山区新二路999弄148号1-2层（收件人：上海冲沐电子商务有限责任公司，注明“Photo Atlas 隐私事项”）。
本政策的订立、履行和争议处理适用中华人民共和国大陆地区法律；法律法规另有强制规定的，从其规定。