Photo Atlas 隐私政策

本政策适用于Photo Atlas 2.0.0（英文名Journey Poster）。

一、个人信息处理者

上海冲沐电子商务有限责任公司（统一社会信用代码：91310113MA7F7N8C39）负责本政策所述处理。地址：上海市宝山区新二路999弄148号1-2层；联系邮箱：zack@chongmuec.com。

二、信息种类、用途与处理范围

1. 账号、安全与同意记录

根据您选择的登录方式，我们处理手机号、邮箱、验证码验证结果、Apple或Google账号标识及必要授权资料，以及账号关联、安装标识、会话凭据摘要、IP、请求时间和安全记录，用于注册登录、账号保护、身份绑定和经您确认的账号合并。第三方账号与Photo Atlas账号相互独立；合并不改写原始付款事实。

我们记录您同意的文档版本、语言、时间、账号、App版本及必要校验信息，用于证明真实选择、处理更新和争议，不将继续使用视为依法需要的单独同意。

2. 所选照片、位置与作品

我们处理您主动选择的照片、必要动态资源、本地资源标识、拍摄时间、尺寸、方向及照片内已有GPS，用于整理旅程、关联地点和路线、制作及保存作品，不扫描整个相册。原动态素材可能含音轨，本版本不使用该音轨，不通过麦克风录音；新合成的动态作品无声，原始素材不被改写。本版本不申请相机、麦克风或持续定位权限。

照片精确位置和由此形成的行踪可能属于敏感个人信息。使用前我们会单独告知必要性、用途及影响，并取得依法必要同意；拒绝相应权限会影响依赖该信息的功能，不扩大为无关用途的授权。

作品在本机处理并按您的选择保存至系统相册，可能留下供使用的本机作品和缓存。读取素材与向相册添加作品属于不同权限用途。素材仅在iCloud Photos时，所需下载可能使用网络。您自行分享的作品可能包含照片、位置和文字，接收者按其规则处理收到的副本。

3. 本机、私人iCloud与业务服务器

普通照片旅程的照片副本、位置、路线、编辑文字及作品主要在设备保存；您开启私人iCloud同步后，相应旅程、素材、模板草稿及支持的静态作品可写入您的CloudKit私有空间。编辑文字按其所属内容适用相应保存范围，不改写原照片GPS。同步依赖Apple账户、设备、网络及可用空间，只有已完整同步的内容才可能恢复。App作品历史中Live Photo仅保存静态封面，不备份完整动态文件，不能据此恢复完整视频；系统相册及iCloud Photos是另由Apple管理的服务，可能按您的系统设置同步已保存作品。

业务服务器仅保存账号、安全、交易、权益、同意及必要运行记录，以及旅程标识、您填写的旅程名称、时间范围、照片数量、距离、时长、交通方式和安装标识等有限摘要。不向业务服务器自动上传照片原图、照片资源标识、GPS、详细地点或完整路线。

4. 可选健康运动信息

仅在您自主选择、阅读运动专项告知并同意后，我们通过Apple HealthKit只读访问所选体能训练、关联路线、步行／跑步／骑行距离及可用速度，包括相关运动类型、来源、标识、起止时间、时长、暂停、爬升及带时间的路线坐标、高度和精度。用途限于运动回顾、照片关联和作品生成；不读取心率、血糖等无关项目，不写入或删除健康库，也不实时追踪运动。

健康原始记录、运动统计、内容关联资料、编辑内容、作品及相关缩略内容在当前账号隔离的受保护本机空间处理，排除系统备份，不进入App的CloudKit同步、普通旅程摘要、产品分析或崩溃附件。组合授权下的有限操作分析按下段处理。导出计费仍可能发送账号、格式、文件及随机结算标识等必要信息，不附带运动标识、运动时间、完整路线或健康统计。

运动信息及成品可能暴露敏感位置和生活规律。拒绝或撤回不影响普通照片功能。系统读取权限、运动处理与使用分析的组合授权和保存作品是不同选择；保存后系统相册可能按您的设置同步，您另行分享的副本不由App控制。地理服务仍可能处理下述必要区域，不能把本机保存理解为完全不联网或不外发位置。相关新目的、接收方或跨境处理须在发生前完成依法必要告知和选择。运动处理与使用分析的组合授权不代替Microsoft地形与影像服务的独立选择；该项仍另行告知、取得必要同意并可独立撤回。

在您明确同意运动处理与功能使用分析的组合安排后，我们会记录运动回顾和作品制作中的操作、发生时间、路线来源、模板、App版本、结果及必要操作耗时，并与必要的账号、旅程和流程标识关联，用于核对流程完成情况、了解模板使用及改善渲染和保存可靠性。这些记录可能反映您对运动功能的使用，按敏感关联信息限制处理；不包含原始健康记录、运动起止时间或运动量值、路线坐标、照片内容、标题、地点描述或文件名，也不用于广告、营销或与运动服务无关的画像分析。记录发送至我们的业务服务器，由我们及提供必要基础设施的阿里云按上述限定用途处理，不接入第三方广告或统计服务。

启用运动专项所述运动功能前，您需明确确认运动信息处理与上述功能使用分析。一次确认同时覆盖两项；确认后自动记录后续相应操作，不补记此前操作。未确认时两项均不开启；拒绝或撤回该组合授权后，相应运动处理与分析将不启动或停止，不影响普通照片功能及依法保障的已购权益。您可通过App相应管理项或本文件列明的联系渠道撤回；我们依法停止相应处理、分析采集与发送，清除未发送记录，并删除或依法匿名化仍可关联您的分析明细及计算中间记录。必要交易、安全及同意凭据另按其限定目的保存，不因此附加健康分析标签。本安排不限制您依法享有的个人信息权利和救济。

5. 地图、地形及第三方接收

Apple Maps处理地图展示、地点解析和算路所需的坐标、起终点、途经点、区域及基础网络信息。3D使用NASADEM高程和Copernicus Sentinel影像；Microsoft Planetary Computer接收必要经纬度区域、数据集和检索／裁切参数，以及IP、时间和基础请求信息，以返回地理素材。这些请求不附照片原图、账号凭据、完整路线点序列或运动统计，但区域本身仍可能透露所选照片或运动位置。

地图和地理素材可能存在误差、覆盖缺失或过时，不用于实时导航、医疗、测量或安全决策。

6. 购买、运行及客服

为提供和核验付费服务，我们处理购买状态、商品、交易和账号关联标识、价格币种、退款撤销、权益、导出账本及必要结算信息。实际存在的历史订阅、次数和权益来源记录仅在核对、防欺诈或争议所需范围处理，不代表当前仍出售旧商品。支付由Apple处理，我们不获取Apple密码、完整银行卡号或支付安全码。

在非健康来源的普通流程中，为安全、运行保障和产品分析，我们处理必要的账号／安装／旅程标识、旅程名称摘要、页面或操作事件、模板、成功失败、错误类别、耗时和App版本。普通日志及事件不得包含照片内容、照片文件或资源标识、精确坐标、详细地址、路线几何、验证码或登录密钥。

客服处理您主动提交的账号、联系邮箱、问题描述、时间、必要交易资料及您另行提供的脱敏材料，用于回复、排查和处理投诉。反馈不自动附带照片或健康记录，不用于营销；请勿发送无关位置、原始健康文件、密码或验证码。本机诊断资料不会因生成就自动上传；如新增自动上报，将先说明实际处理并依法提供选择。

三、权限与第三方服务

照片读取、相册保存、私人iCloud及HealthKit权限按各自目的请求，您可在系统设置管理；拒绝会影响相应功能，不影响依法应保障的已购权益和无关功能。

我们要求受托服务方按约定目的和安全措施处理信息；独立平台另按其隐私规则承担责任。上表不表示每类信息向所有服务方提供。我们不出售个人信息，不用于第三方广告或跨服务广告追踪；重大变化将依法重新告知和取得必要同意。

四、存储地点与跨境处理

账号及业务数据主要使用中国大陆的基础设施。Apple、Google按账户、地区及其服务安排处理信息。Microsoft可能在美国或其他运营国家处理提供地理服务所需的区域及网络信息。

地理区域和IP等可能涉及个人信息出境。发生依法需要的处理前，我们将说明适用境外接收方及联系方式、目的、方式、信息种类和行权途径，落实适用的出境条件、告知及单独同意。第三方政策不免除我们的责任。

五、保存期限与删除

我们仅在目的所需最短期限内保存，期限届满删除、匿名化，或在依法暂不能删除时限制为存储和必要安全保护：

• 本机素材、作品及缓存按使用需要和相应删除、清理或卸载处理；异常可能暂留文件，不承诺所有缓存到期立即物理删除。系统相册副本由您管理。
• 私人iCloud内容保留至您删除或注销触发相应清理；云端删除以Apple确认结果为准，未成功时保留重试并提示。
• 账号和登录身份在账号存续期间保存；注销后停用，删除或去标识不再需要的直接登录标识。为防恶意反复注销注册，注销账号手机号最长保留30天。
• 验证码仅在其有效期内使用；请求、联系方式、IP、设备及验证结果等普通验证审计一般自请求起不超过六个月；登录凭据摘要最长30天，并随退出、撤销或轮换失效。
• 交易、权益、退款、同意、财税、安全事件和争议记录按履约、法定义务及适用争议期限保留必要部分，限制访问，不一律无限期保存。
• 普通运行事件仅按运行、安全和分析所需期限保存。普通客服反馈在结案后最多六个月内删除或匿名化；必要投诉、交易、争议或法定义务记录另按目的和期限处理。
• 对于本文件所述的运动服务分析，我们在上述服务核对、问题排查和质量分析目的持续且仍有必要的期间，长期保存操作记录及必要关联，并核查继续保留的必要性。目的已实现、继续保存不再必要、您撤回相应同意、注销账号或依法请求删除时，我们按适用法律删除或匿名化仍可关联您的分析记录。必要交易、安全和同意凭据按其独立目的及适用期限保留，不因分析需要而扩大范围或无限保留。
• 健康副本在受保护本机空间供您使用；注销清理包括当前设备的相关运动副本，未完成或失败时会提示。退出或撤回系统权限不等于删除已有副本；可独立申请停止处理或删除，不以注销整个账号作为唯一途径。该清理不删除源健康库、系统相册或所有独立地理缓存。

依法提出的单独删除请求不必等待普通保存期限届满；备份清理按适用轮换和安全限制处理，不声称所有副本同刻消失。

六、安全与未成年人

我们采取传输保护、访问控制、最小权限、凭据保护和必要审计等措施。互联网及设备存储不能保证绝对安全；发生个人信息安全事件时依法补救、报告和通知，不以本条排除责任。

本服务不专门面向不满十四周岁未成年人。涉及其个人信息时依法取得监护人同意；发现未经必要同意处理的，将依法处理。监护人可联系我们。

七、您的权利、注销与救济

您可依法查阅、复制、更正、补充、删除信息，撤回同意，要求解释、注销账号或就相关处理提出异议。可使用App内相应管理／注销功能，或联系zack@chongmuec.com；无法登录不妨碍提出请求。我们仅作必要身份验证，通常15个工作日内回复，法定期限优先。对不予处理的请求说明理由；您可要求复核，并向有权监管部门投诉或依法起诉。

您可向zack@chongmuec.com申请删除指定个人信息，说明相关账号及拟删除范围。我们在必要的身份和范围核实后人工及时处理，并告知结果；仅针对核实属于您且在请求范围内的数据，不因单项删除申请注销整个账号或删除无关数据。依法需要保留的必要记录，我们将说明理由并限制处理。仅存于您设备的数据需通过该设备处理，我们会协助说明可用方式；无需为申请提供原始健康记录、密码或验证码。

删除指定已有记录与撤回同意、停止未来采集是不同事项。我们会按您的实际请求分别处理；如您同时提出撤回或停止处理，将一并依法处理，不以仅完成已有记录删除代替履行停止义务。

退出登录不注销账号或自动删除内容。账号注销停用登录和会话、清理当前设备相关App数据，并请求删除该Photo Atlas账号的私人iCloud内容；不删除整个iCloud或其他账号内容。云端结果取决于原Apple账户、设备、网络和Apple服务，未确认时不得视为清理完成。卸载不等于注销或删除云端副本。

注销、卸载或撤权不自动取消Apple订阅、申请退款，也不删除系统相册、源健康记录或您已分享的副本。交易及必要留存仍按第五条处理。详见账号注销说明。

八、政策变更

处理目的、方式、种类、接收方、跨境安排或重要权利发生实质变化时，将显著通知并依法取得必要同意；仅排版或非实质纠正不当然要求重新同意。适用法律不允许排除的本地权利和救济不因本政策受限。