平台适用范围
本套法律文档采用各平台共用正文；平台特有功能和系统能力仅在对应平台实际提供且适用规则允许的范围内适用。当前 iOS 版本不提供邀请码展示、邀请码分享、邀请奖励及自定义礼品码兑换功能；本套文档中关于使用上述功能的条款不适用于当前 iOS 版本。保留相关条款不表示其他平台已上线或承诺未来提供这些功能。
上述功能限制不排除共用账号系统对实际存在的账号标识、权益来源及必要记录的处理。相关数据处理、账号合并、注销和必要留存仍依实际记录及本套文档的对应规则执行，不因前台没有入口而免除我们的个人信息保护义务。
重要提示
Photo Atlas 是本 App 的简体中文显示名称，Journey Poster 是同一 App 的英文显示名称。两个名称对应同一运营主体、Bundle ID、账号体系、服务和本政策，本文统称为“本 App”。
Photo Atlas 用您主动选择的照片整理 Journey（旅程）、地图路线和分享作品。请重点了解：
- Photo Atlas 不会读取您未主动选择的全部相册，也不申请相机、麦克风或持续定位权限。
- 照片内容、照片 GPS、地点详情、路线几何和作品文件保存在本机，并可在您启用 iCloud 后同步到您自己的 CloudKit 私有数据库；这些内容不进入 Photo Atlas 的阿里云业务数据库。
- 地图展示、地点解析和路线规划通过 Apple MapKit 完成。为实现这些功能，必要坐标会由 Apple 地图服务处理，但不会随地图请求上传照片原图。
- 我们的服务器保存账号、登录安全、Journey 摘要、会员、导出次数、Apple 交易验证和最小化运行事件。Journey 摘要可包含首张照片对应的城市名，用于分析不同城市的功能覆盖情况、改进产品；不包含照片、GPS、自动解析的详细地址或路线几何。
- 您可在 App 内注销账号。注销时，App 会删除当前设备中的相关本机数据，并向 Apple 发起删除当前 Photo Atlas 账号所对应 CloudKit Zone 的请求；云端删除结果取决于设备、网络和 Apple 服务状态，未确认成功时 App 会保留重试任务并如实提示。系统相册原照片和已保存作品不受影响，交易、安全和法定义务所需记录按本政策第五条所列期限和规则保留。
若您不同意本政策，请不要注册、登录或使用需要相关信息的功能。
一、个人信息处理者
- 名称：上海冲沐电子商务有限责任公司
- 统一社会信用代码：
91310113MA7F7N8C39 - 联系地址：上海市宝山区新二路999弄148号1-2层
- 联系邮箱：
zack@chongmuec.com - 隐私政策地址：
https://chongmuec.com/privacy/
本政策按前述“平台适用范围”适用于 Photo Atlas App、账号服务、官网支持页面及与这些服务直接相关的处理活动。Apple、阿里云等第三方依据其自身规则独立处理的信息，不由本政策替代其隐私规则。
二、我们处理的信息及用途
1. 注册、登录、绑定与账号合并
根据您选择的登录方式，我们可能处理：
- 中国大陆手机号码、短信验证码请求和验证结果；
- 邮箱地址、邮件验证码的不可逆摘要及验证结果；
- Apple 或 Google 提供的稳定账号标识、经验证的邮箱，以及提供方在首次授权时返回的必要资料；
- App 安装标识、设备平台、登录会话、令牌摘要、请求 IP、请求时间、失败原因和风控信息；
- 您绑定、解绑或合并登录方式时的账号标识、验证证明、主账号选择和合并结果。
用途是建立和保护账号、维持登录状态、防止验证码滥用、完成多种登录方式绑定、识别账号冲突并在您确认后执行不可逆账号合并。
完整账号合并后，历史交易、权益和审计事实仍保留原始来源账号标识，并通过主账号关系继续归属；我们不会为了界面统一而改写原始付款事实。
2. 协议同意记录
当您同意用户协议、隐私政策、照片位置专项说明或付费服务协议时，我们记录：
- 法律文档永久编号和版本；
- 公开地址和源文件 SHA-256 摘要；
- 同意动作、时间、App 版本、Build 和设备记录；
- 与该记录关联的账号标识。
这些信息用于核验您同意的具体文本、处理协议更新和解决争议。SHA-256 摘要用于在争议中校验当时文本是否与留档源文件一致；摘要本身不包含照片、位置或法律正文。我们不在同意日志中保存法律正文副本或与同意无关的敏感信息。
3. 您主动选择的照片与照片元数据
当您通过系统照片选择器选择照片时，App 会处理所选照片内容、本地资源标识、拍摄时间、图片尺寸与方向，以及照片中已有的 GPS。用途包括排序照片、形成 Journey 节点、显示地点、规划路线、制作模板和导出作品。
照片 GPS 和由多个位置形成的活动轨迹可能属于敏感个人信息。App 会在首次使用照片位置生成地图前，以显著方式单独告知用途和处理方式并取得您的单独同意；不同意时不会进入相关功能。
若所选照片仅存在于 iCloud Photos，iOS 可能先将其下载到设备，具体由 Apple 和您的系统设置控制。
4. Journey、本机文件与 iCloud 私有同步
App 在本机保存 Journey 名称、照片副本或引用、拍摄时间、GPS、地点文字、路线几何、地图缓存、模板草稿、裁切和作品文件。
当设备 iCloud 可用且您启用同步时，App 会把下列内容写入 CloudKit Private Database：
- Journey 元数据和完整快照版本；
- 所选照片与缩略图；
- 照片时间、GPS 和地点文字；
- 路线分段、坐标系和地图展示数据；
- 模板草稿和已同步的作品文件；
- 删除墓碑、同步状态、文件大小和校验信息。
iCloud 同步适用于免费用户和会员，不以会员身份作为读写条件。数据位于当前设备登录的 iCloud Apple ID 的私有数据库中，受 Apple iCloud 和 CloudKit 规则控制；更换 iCloud Apple ID 后，App 无法自动访问原账号的私有数据库。只有已经确认同步完成且快照完整的 Journey 才能在重装或换机后恢复。
Photo Atlas 服务器保存用于账号内列表、数量限制和最终对账的有限 Journey 摘要，例如 Journey 标识、名称、时间范围、照片数量、距离、时长、交通方式和安装标识。
此外，App 从按拍摄时间排序的首张照片对应的 Apple 地点解析结果中提取城市名，并将该城市名随 Journey 摘要传至阿里云业务服务器，用于分析不同城市的产品功能覆盖情况、发现薄弱地区并改进产品。无法取得城市名时留空，不以街道、门牌、景点、区县、完整地址或经纬度替代。城市名与账号及 Journey 标识关联，不是匿名数据；它不代表您的现时设备位置。
这一自动上传不包含照片内容、照片资源标识、GPS、自动解析的详细地址或路线几何。您自行填写的 Journey 名称仍会作为摘要的一部分保存，请勿在名称中填写不希望上传的个人信息。
5. Apple 地图处理
地图展示、逆地理编码、地点名称和步行或驾车路线通过 Apple MapKit 及 Apple 地图服务处理，可能包括必要坐标、起终点、中间点、路线类型、地图显示范围、IP、设备与网络基础信息。
地图请求不包含照片原图。Apple 可能依据地区、系统版本和其服务安排使用合作服务商，具体以 Apple 地图与隐私 和 Apple 实际服务为准。地图结果可能不准确，不应用于实时导航、应急救援或人身安全决策。
6. 保存、分享和本机作品
您选择保存作品时，App 请求“仅添加照片”权限，把生成文件写入系统相册；选择分享时调用 iOS 系统分享面板。接收对象和分享渠道由您决定，我们不会预先获取。
正式作品和生成材料默认保存在 App 沙盒或系统相册。系统相册中的原照片和已保存作品由您通过 iOS 管理。
7. 会员、导出次数和 Apple 应用内购买
平台与数据处理补充：共用账号系统仍可能为 iOS 账号生成、保存并通过账号或会员接口返回邀请码标识；这不表示当前 iOS 提供邀请或兑换功能。账号实际存在的邀请关系、礼品码及权益来源记录，仍可在账号关联、权益核对、防滥用、客服或争议处理所需范围内处理，并按本政策所列目的、期限和访问限制保留或删除；不会仅因前台入口移除而认定这些记录不存在，也不因此新增收集目的或延长保留期限。
为提供付费服务，我们处理会员状态、有效期、权益来源、导出次数逐笔账本、作品结算标识、邀请码和礼品码记录，以及 Apple 返回的商品 ID、交易 ID、原始交易 ID、App Account Token、购买与到期时间、续订状态、环境、价格和币种、退款或撤销结果。
付款由 Apple 处理，我们不取得 Apple 账户密码、完整银行卡号或支付安全码。购买验证使用 Apple 签名交易和 App Store Server Notifications，以防重复发放并处理续订、退款和撤销。
8. 运行保障、产品事件和客服
为保障服务、安全和成本控制，我们记录最小化事件，例如账号标识、Journey 公开标识和名称快照、页面和按钮事件、模板编码、商品编码、成功或失败、错误分类、耗时、缓存命中、App 版本和时间。
运行事件不得包含照片二进制、照片文件名、相册资产标识、经纬度、详细地址、路线几何、验证码或登录密钥。您主动联系支持时，我们处理您提交的邮箱、问题描述、截图、App/iOS 版本和必要订单信息；请先遮挡与问题无关的照片、位置、手机号和验证码。
三、权限说明
| 权限或系统能力 | 用途 | 不授权的影响 |
|---|---|---|
| 选择照片 | 读取您选中的照片、拍摄时间和照片 GPS | 无法从照片创建 Journey |
| 向相册添加照片 | 保存生成的作品 | 无法直接保存到系统相册，不影响查看 Journey |
| iCloud / CloudKit | 同步和恢复完整 Journey 与作品 | 仍可使用本机功能，但不能使用 iCloud 同步和恢复 |
| 网络 | 登录、地图、账号、会员、验单和官网协议 | 对应在线功能不可用，本机已有内容仍可在能力范围内查看 |
本版本不申请相机、麦克风或设备持续定位权限。您可在 iOS“设置”中调整权限；撤回不会影响撤回前已合法完成的处理，但可能使相关功能无法继续。
四、第三方服务
| 服务 | 主要处理信息 | 用途 |
|---|---|---|
| Apple iOS、Photos、iCloud/CloudKit、MapKit、Sign in with Apple、StoreKit | 所选照片访问、iCloud 私有数据、必要地图坐标、Apple 登录标识和签名交易 | 系统照片、私有同步、地图、Apple 登录和应用内购买 |
| 阿里云函数计算、RDS MySQL、短信、验证码与相关基础设施 | 账号、手机、邮箱验证、会话、安全日志、含首张照片城市名的有限 Journey 摘要、会员、次数、交易验证和最小化事件 | 账号服务、安全、业务记账、运行保障和城市级产品功能覆盖分析 |
| Google 登录（仅在 App 提供入口时） | Google 稳定账号标识、经验证邮箱、授权与验证信息 | 账号登录和绑定 |
我们不会出售个人信息，也不会把照片或位置用于第三方广告。新增第三方 SDK、改变处理目的或超出合理必要范围提供个人信息时，我们会依法更新政策并取得必要同意。
五、存储地点与期限
阿里云账号和业务数据库部署在中国大陆。CloudKit 数据由 Apple 按您的 iCloud 账户、地区和其服务规则处理；Apple 登录、地图和 StoreKit 也可能发生其服务所必需的跨境处理。仅在 App 实际提供 Google 登录入口且您主动选择使用时，设备会与 Google OAuth 服务通信，相关账号验证可能涉及境外处理，具体以 Google 隐私权政策 和实际服务安排为准。我们会在依法需要时履行个人信息出境告知、同意或其他合规义务；第三方隐私规则不替代我们依法应承担的责任。
我们按实现目的所需的最短期限保存：
- 本机 Journey 和文件：至您删除、注销时完成本机清理，或卸载 App；系统相册内容由您管理。
- CloudKit 私有副本：至您删除 Journey、删除 iCloud 私有数据或注销时向 Apple 发起对应 Photo Atlas 账号 Zone 的删除请求；请求失败或结果未确认时保留持久重试任务，实际完成时间取决于设备、网络和 Apple 服务状态。
- 活跃账号与登录身份：账号存续期间；注销后立即停用身份和会话，并删除或去标识不再需要的直接登录标识。
- 注销账号手机号：仅用于限制恶意反复注销注册，最长保留 30 天后从账号主表清除或去标识。
- 短信或邮箱验证码：验证码或其摘要仅在页面提示的短期有效期内用于验证；发送、验证、手机号或邮箱、IP、设备、结果和第三方请求编号等常规审计记录，自请求之日起一般不超过 6 个月。发生具体账号安全事件、投诉或争议时，与该事件直接相关的必要记录可隔离保留至处理完成或法定时效届满，之后删除或匿名化。
- Refresh Token：服务端只保存摘要，最长 30 天，退出、轮换、合并或注销后撤销。
- 协议同意、交易、权益、退款和财务记录：按履行合同、Apple 交易核验、会计税务、消费者权益保护和争议处理所需期限保留；具体期限依记录类型和适用法律确定，且仅限必要字段。
- 已确认安全事件、投诉和争议记录：至事件处理完成及适用的申诉、诉讼或监管时效届满；保留期间隔离存储并限制用途和访问。
- 产品与接口事件：按产品分析、安全和故障定位所需期限保留，并限制访问。
期限届满后，我们会删除、匿名化，或停止除存储和必要安全保护之外的处理。
六、信息安全
我们采用 HTTPS、令牌摘要、访问控制、最小权限、数据库网络隔离、验证码限流、交易签名验证、幂等记账和必要审计等措施。照片、GPS、详细地址和路线几何不得进入普通服务器日志或产品事件。
互联网服务无法保证绝对安全。发生或可能发生个人信息泄露、篡改、丢失时，我们将依法采取补救、报告和通知措施。
七、您的权利
在法律规定范围内，您可以请求查阅、复制、更正、补充、删除个人信息，撤回同意，解释处理规则，注销账号，或对自动化和交易处理提出异议。
您可以：
- 在 App 中管理登录方式、iCloud 同步、Journey、本机和 iCloud 数据；
- 在 iOS“设置”中调整照片和 iCloud 权限；
- 在 App“我的账户” > “设置” > “账户与安全”中申请注销；
- 通过
zack@chongmuec.com联系我们。
为保护账号和他人权益，我们可能要求必要的身份验证。我们通常在 15 个工作日内回复；法律另有期限的，从其规定。
八、退出、注销与卸载
退出登录只撤销当前会话，不删除账号、服务端权益、本机 Journey 或 iCloud 副本。
注销账号时，App 会先向 Apple 发起删除请求，目标仅为当前设备所登录 iCloud Apple ID 的 CloudKit Private Database 中、Photo Atlas Container 内当前 Photo Atlas 账号命名空间对应的整个自定义 Record Zone。该请求会覆盖此 Zone 内已同步的 Journey、所选照片和缩略图、照片时间与位置、路线、模板草稿、同步作品、删除墓碑、同步状态和校验信息；不会删除整个 iCloud、Photo Atlas Container 中其他账号的 Zone、系统相册原照片或已保存作品。
App 同时停用服务器账号、登录身份、会话和设备，并删除当前设备的 Journey、缓存和 App 内照片副本。CloudKit 删除请求会持久重试，实际清理结果取决于当前设备仍登录原 iCloud Apple ID、网络和 Apple 服务状态；只有 Apple 确认成功后，App 才会显示云端清理已完成。若暂时无法完成，界面会如实提示并在条件恢复后继续重试。注销不会自动取消 Apple 订阅或申请退款。
卸载 App 会删除 App 沙盒中的本机资料，但不会注销账号、取消订阅、删除系统相册，或自动删除已经同步到 iCloud 的私有副本。
九、未成年人
Photo Atlas 不是专门面向不满十四周岁未成年人的服务。若我们发现未经监护人同意处理了不满十四周岁未成年人的个人信息，将依法处理。监护人可通过本政策联系方式与我们联系。
十、政策更新
我们会因功能、数据模式、第三方服务或法律要求更新本政策。涉及处理目的、方式、信息种类、第三方、跨境安排或用户重要权利的实质变化时，我们会通过 App 或其他显著方式提示，并在依法需要时重新取得明确同意。历史版本、发布日期、公开地址和 SHA-256 摘要按法律文档管理制度留档。
十一、联系我们
如有隐私、账号、iCloud 数据或个人信息权利问题，请发送邮件至 zack@chongmuec.com，或邮寄至上海市宝山区新二路999弄148号1-2层（收件人：上海冲沐电子商务有限责任公司，注明“Photo Atlas 隐私事项”）。
本政策的订立、履行和争议处理适用中华人民共和国大陆地区法律；法律法规另有强制规定的，从其规定。