1. 本政策的适用范围
本政策说明漫寻（Roami）iPhone 应用、网站及账号服务如何处理个人信息。本页附列的运营者及联系方式用于标明服务责任主体；隐私问题和权利请求请通过支持页联系。
漫寻是一款以照片记录足迹的个人旅行工具。本政策依据当前实现编写，涵盖开发和测试功能，不表示所有功能、地点或公开下载均已开放。Apple 和托管服务商直接提供的服务也适用其各自的隐私说明。
2. 相册权限由你决定
你可以通过系统选择器逐张选择照片，也可以授予有限或完整相册访问权限。应用读取可访问的图片及相关拍摄位置、拍摄日期，用于生成足迹和识别已开放的到访地点；此用途不需要持续追踪设备实时位置。
已有相册权限时，应用可能在打开、回到前台或收到照片库变化时扫描。iOS 会限制后台运行时间。你可以停止导入，也可以在 iOS 设置中修改权限。拒绝权限不影响阅读网站和协议，但会限制从照片生成记录的功能。
3. 留在设备上的照片与足迹
照片原图不会上传至漫寻的到访 API。应用可能在本机读取你选择的图片，以检查元数据、制作头像或显示对应的照片回忆。回看照片取决于原照片是否仍在该设备上且可访问。
即使未匹配到邮票地点，带 GPS 的照片仍可生成本地足迹。当前地图索引按约六位小数的相同 GPS 坐标分组，保存照片数量、可用的最早拍摄时间以及用于显示缩略图的本机照片资源标识。地图显示聚合随缩放改变，不会改变保存的位置依据。坐标可能揭示精确位置，不属于匿名信息。缓存按账号以哈希文件名分隔，使用 iOS 文件保护并排除应用备份；原图和本机照片标识不会发送到漫寻到访 API。缩略图依赖持续的照片访问权限，本机不可用的图片会显示占位，不会因此自动下载整个 iCloud 原图库。
4. 发送到到访服务的数据
为校验已开放地点的到访，应用会通过账号认证请求发送地点标识、照片拍摄时间及经纬度。精确位置和旅行轨迹可能属于敏感信息；这些数据用于检查地点范围、确定地点当地的到访日期并避免重复发放邮票。
当前业务数据库保存匹配地点、到访日期、历史到访状态、邮票与收入收藏时间、想去地点，以及用于重试的批次标识、指纹和处理结果，不把提交的原始经纬度保存为到访数据列。批次指纹仍关联账号，不视为匿名信息。目录之外的位置不作为已开放地点的到访提交，但其坐标可能单独提交用于行政区解析。
5. 城市和行政区解析
对于新增及历史照片中未解析的位置，应用使用漫寻批量解析服务，通过账号认证向部署在 Railway 的漫寻 API 发送 GPS 坐标、临时请求关联标识，并在启用照片关联时发送不包含照片内容的随机照片引用。请求不包含原图、原始相册资源标识、文件名或拍摄日期。服务将坐标与行政边界进行匹配。提交的原始坐标仅用于处理请求，不保存至照片与地区关联表或审计记录；应用日志不记录请求正文。基础设施服务商为提供服务会处理网络通信。
当前生产配置通过漫寻批量解析 API 处理新增及历史照片中未解析的位置，解析结果和进度缓存在设备上。旧版本或明确启用的 Apple 地理编码配置可能改为向 Apple 发送查询坐标与请求语言。行政区解析与到访校验相互独立，解析结果本身不会直接发放邮票。下述会保留的照片与地区关联，与临时处理原始坐标是不同的数据处理。
行政边界基于 William & Mary geoLab 及贡献者提供的 geoBoundaries CGAZ（https://www.geoboundaries.org/），按 CC BY 4.0 署名并保留原始来源声明。国家代码对照使用 GeoNames countryInfo（https://www.geonames.org/），采用 CC BY 4.0。漫寻对层级进行归一化，将来源坐标保留六位小数，并整理部分城市名称与标识。来源版本、原始授权元数据及修改说明公开于 /geography-data-sources.json。各地的覆盖、行政层级和数据代表年份不同，历史或简化边界不保证符合当前法定边界；返回的行政区不自动视为城市，无法确认的细节不会凭空补齐。
6. 照片引用与保留的地区结果
启用账号照片关联时，应用会创建随机照片引用，并按账号把它与实际相册资源标识的对应关系保留在本机。漫寻服务端保存关联到账号的随机引用、已解析或未解析状态、可用的国家／城市／地区标识及名称、边界数据版本、最近请求标识和更新时间。这些关联到账号的地区结果仍可能揭示敏感的位置历史，不属于匿名信息，尽管关联表不保存原图和原始 GPS 坐标。
这些关联用于账号下的结果记录及重试处理。除通过已提供的删除机制移除外，它们会随账号保留；删除本机照片或撤回相册权限，本身不会向服务端发送关联删除请求。删除账号会从活动数据库删除相应记录。设备生成的引用不提供跨设备照片去重、远程读取照片原件或云相册备份服务。
解析请求审计保存请求标识、账号关联、坐标及照片引用的汇总数量、各结果数量、状态、边界版本、处理时长和创建时间，不包含原始 GPS 坐标、原图、原始相册资源标识、文件名或拍摄日期。活动审计表在启动时及至少每小时清理超过 30 天的记录，删除账号也会删除关联审计。本审计保留规则不代表基础设施日志或服务商备份会即时全部清除。
7. Apple 登录与会话
Apple 提供应用专用的账号标识和授权证明。应用向漫寻服务端发送身份令牌、授权码及随机校验值，用于验证登录；身份令牌可能包含 Apple 提供的邮箱声明。我们不会取得你的 Apple 账户密码或双重认证验证码。
后端记录内部账号编号、Apple 标识及账号创建时间，并加密保存用于管理授权的 Apple 刷新凭据，包括注销账号时撤销授权。漫寻会话密钥在服务端以哈希形式保存，设备则把会话凭据保存在钥匙串中。当前会话在 30 天后失效，也可能因退出登录、撤销授权或删除账号提前结束。
8. 姓名、邮箱和头像
Apple 提供姓名或邮箱时，应用可将其保存在本机资料中。由于 Apple 可能只提供一次这些信息，在登录尚未完成时，经你授权提供的姓名或邮箱也可能先暂存在设备上。你可以修改显示名称，并选择或移除头像；所选头像在本机缩放、压缩。
这些资料字段及头像当前使用仅限本设备的钥匙串存储，不单独同步到漫寻资料数据库。发送到服务端的授权令牌仍可能包含前述邮箱声明。退出登录会隐藏资料并清除当前会话，但不会自行删除所有已保存的资料。账号删除成功后，应用也会尝试清理该设备上的资料、待完成登录信息和足迹缓存。
9. 处理目的及适用依据
我们处理账号及到访信息，用于验证身份、维护收藏和想去地点、检查到访资格、一次性完成领取、处理重试及防止滥用。启用后的照片与地区关联用于保留账号下的地区结果和请求关联，以保持记录一致并处理重试，不会上传或备份照片原图。本地照片访问及可选资料编辑用于你选择的功能。
根据适用法律，处理依据可能包括履行你请求的服务、对可选或敏感信息功能的授权或同意，以及法律允许的安全、运营或法定义务。相册权限不是对无关用途的概括授权。适用法律如要求单独同意或其他专项保障，应在相关处理前满足这些要求；本政策本身不能替代它们。
10. 服务商和地图服务
Apple 提供 Apple 登录、系统照片选择及 Apple 地图服务。加载地图时，Apple 可能接收网络信息及与当前查看区域相关的地图请求。查看地图不会把照片原图上传到漫寻。
在 Apple 配置下，为建立国家、地区和城市节点，应用会把去重后的 GPS 坐标以及英中语言偏好发送给 Apple 逆地址服务，不为该查询发送照片或照片库标识。解析结果、待处理任务及重试状态保存在本机。国家和城市到访徽章根据可访问照片中成功解析的位置生成，移除照片或缩小权限范围可能减少这些本机徽章；它们与服务端发放的纪念邮票分开记录，不是实际到访的认证证明。Railway 提供当前的网站、API 托管及 PostgreSQL 基础设施，其系统会接收为响应请求和保护服务所需的网络与运行信息。获得授权的基础设施服务商为交付各自服务处理信息，并可能适用其自己的条款。我们不会向其提供你的 Apple 密码。支持往来通过支持页公布的联系渠道处理。
11. 处理地点和区域路由
当前账号和收藏的权威数据库随 Railway 服务部署在美国西部区域。区域入口在可用时连接同一权威服务，不会为区域切换另建独立账号或收藏账本。
因此，从其他国家或地区（包括中国大陆）访问服务，可能涉及账号、匹配到访及启用后的照片与地区关联信息的跨境传输。使用区域网站地址本身并不表示数据只在本地存储。可用范围、所需跨境告知、同意及其他保障取决于适用法律和实际部署。如果你需要确认具体处理地点或传输安排，请在提交敏感信息前通过支持页联系。
12. 网站请求、本地存储和 Cookie
网站使用 Cloudflare 进行流量交付与安全防护。访问未指定语言的首页时，Cloudflare 根据访问 IP 推断国家代码：中国大陆默认简体中文，其他国家或地区默认英文；无法识别时按浏览器语言选择。你可以直接切换语言，此功能不申请 GPS 权限，也不设置语言追踪 Cookie。阅读公开网站无需漫寻账号。提供页面或 API 响应时，托管基础设施会接触 IP 地址、请求时间、访问路径、浏览器或网络元数据等技术信息。运行日志可用于排障、保障稳定性和安全。
当前网站不使用广告 Cookie 或受众分析 SDK，当前应用也未接入广告或跨应用追踪 SDK。本地外观偏好仅用于保存你的界面选择；必要的平台存储和安全措施可能根据服务需要运行。本说明不涵盖你主动访问的其他第三方网站。
14. 信息保存期限
账号、到访、邮票、想去地点及重试记录，以及启用后关联到账号的照片与地区记录，在提供账号和收藏所必需的期间保存在活动数据库中，并受删除请求及适用法定留存要求约束。照片与地区关联随账号保留，除非通过明确提供的机制移除；解析审计通过启动时及每小时清理删除超过 30 天的记录，删除账号也会移除关联记录。会话的 30 天有效期仅限制其认证用途，不表示所有其他关联数据行都会在第 30 天自动物理删除。
本地资料可能保留到被修改或清理，足迹缓存可能保留到重新扫描、删除账号清理或应用数据被移除。不要假定仅卸载应用就会删除钥匙串项目。服务商日志、备份的保留取决于实际配置及合法留存义务，本政策不承诺未经核实的固定日志或备份删除天数。具体留存问题请通过支持页提出。
15. 删除账号与撤回权限
在应用中打开设置，选择“删除账号”并确认。服务先尝试撤销已保存的 Apple 授权，再从活动数据库删除账号及其关联的会话、到访、邮票、想去地点、重试记录、照片与地区关联，以及解析请求审计。如果 Apple 撤销授权或请求失败，应用会提示错误；未经确认的删除不能视为完成。
服务端删除成功后，应用清除会话，并尝试移除该设备上的本地资料、待完成登录信息和足迹缓存。本地清理失败时，即使服务端账号已删除，应用仍可能报错。Apple 相册中的原始照片不会被删除。本说明不承诺其他设备、服务商备份或依法留存记录在所有位置即时消失。相册权限需在 iOS 设置中另行撤回；停用 Apple 登录或退出登录本身不等于删除漫寻服务端账号。
16. 你的隐私选择与权利
根据你所在地区的法律，你可能享有查阅、复制个人信息、更正、请求删除、限制或反对特定处理、撤回同意，以及在适用情况下取得可携带数据等权利，也可以向有管辖权的个人信息保护机构提出问题。本政策不限制法律赋予的强制性权利。
你可以修改本机显示名称和头像，并在 iOS 设置管理相册访问。漫寻目前没有应用内批量数据导出页面。其他请求请使用本政策配套支持页公布的联系渠道。为确认你控制相关账号，我们可能要求与请求相称的身份核验信息，但不会索要 Apple 密码或双重认证验证码。我们按适用法律规定的程序和期限处理，并说明无法满足请求的合法理由。
17. 安全措施及其边界
漫寻对公开服务连接使用 HTTPS，对服务端会话做哈希处理，对已保存的 Apple 刷新凭据加密，并使用 iOS 钥匙串保存设备凭据和本地资料、使用文件保护保存足迹缓存。访问账号记录需要经过 API 认证。
任何网络或存储系统都无法保证绝对安全。请保护设备和 Apple 账户，更新应用与操作系统，发现疑似未授权访问时通过支持页联系。寻求帮助时请勿发送密码、验证码或完整私人相册。
18. 儿童和未成年用户
漫寻并非专门面向儿童，当前实现没有儿童账号或监护人同意流程。不能依法作出相关授权的用户，不应在缺少当地法律所要求的授权时提交个人信息。
如果你认为儿童信息在未取得必要授权的情况下被提供，请通过支持页联系，以便核查账号并评估相应处理。本政策不能替代当地年龄或监护人同意要求。
19. 政策更新与联系
本页显示的版本和生效日期用于识别当前政策。处理目的、信息种类、接收方或你的选择发生重大变化时，我们会通过适当方式说明，并在新增处理前取得法律要求的同意。
请结合服务条款阅读本政策。数据处理、删除、区域处理或政策问题请通过支持页联系。我们不会把沉默或仅阅读本页当作对无关敏感信息用途的同意。
联系与相关文档
Apple · Sign in with Apple / Apple · Privacy / Railway · Privacy
geoBoundaries · William & Mary geoLab / GeoNames / 数据来源与授权声明
返回顶部