隐私政策 — Ntripi

本政策说明 Ntripi 收集什么、为何收集、还有谁会获得，以及我们保留多久。 1. 我们是谁 Ntripi 是本服务的运营方，也是此处所述个人数据的控制者。如对您的数据有任何疑问，或希望行使第 11 节中的任何权利，请写信至 [email protected]。 2. 我们收集的信息账户：您的电子邮箱、您选择的用户名、您的显示名称、您的出生日期，以及——若您设置了密码——该密码的 bcrypt 哈希值。我们绝不以明文存储您的密码。若您使用 Google 登录，我们会存储 Google 为您的账户提供的标识符，以及 Google 提供的资料名称和头像。您的出生日期：我们仅在您创建账户时询问一次，用以核实您是否达到我们的最低年龄要求。若您使用 Google 登录并授予权限，我们会从您的 Google 资料中读取；您也可以拒绝该权限并自行填写。它绝不会显示在您的个人资料中，其他用户也无法看到。我们会记录它来自 Google 还是来自您本人，以便就某个账户的年龄如何确定作出答复。您创建的内容：行程、站点名称、地址、备注、批注、交通信息、评分与评论，以及您上传的照片。您自行输入的位置：您添加的站点的坐标。Ntripi 不追踪您设备的位置；坐标之所以被保存，仅仅是因为您搜索了某个地点、在地图上选取了它，或将其键入。技术数据：您发出请求时的 IP 地址，以及您发送问题反馈时的设备与应用信息。审核与安全记录：您提交的举报或针对您内容的举报，以及影响您的任何审核决定的结果。 3. 我们如何使用用于运行您的账户，并将您的内容展示给您所选择的受众。用于核实您是否达到我们的最低年龄要求，并阻止未达该年龄的账户使用 Ntripi。用于维护 Ntripi 的安全：内容的自动与人工审查、处理举报、执行社区准则以及处理申诉。用于就您的账户向您发送电子邮件——验证、密码重置和审核通知。我们不发送营销邮件。用于修复您向我们反馈的问题。 4. 自动内容审核您发布的内容在可见之前会经过自动检测，检测使用由其他公司运营的服务。文本——行程标题与描述、站点名称、地址与备注、批注、交通信息、评论文字、您的显示名称与简介，以及注册时选择的用户名和名称——会发送至 OpenAI 的审核服务。该请求仅包含文本和模型名称，别无其他：没有账户标识、没有电子邮箱、没有内容标识。OpenAI 无从得知文本属于谁。照片会发送至 Amazon Web Services 的 Rekognition 服务，以检测色情露骨与暴力影像。仅发送图片本身。图片通过 Cloudflare 存储与分发；Cloudflare 会在图片从我们域名分发的那一刻，将其与已知违法图片数据库进行比对。当某项检测不可用时，内容会被存储并排入审核队列，而不是被拦截。我们会将审核结论保存在一个短期缓存中。该缓存不含任何原始文本，也不含对撰写者的任何指向。 5. 还有谁会获得您的数据我们不会为第三方的营销目的出售、出租或共享您的个人信息。以下各方代表我们处理数据： Railway — 应用托管与数据库。 Cloudflare — DNS、内容分发网络、图片存储（R2），以及上述违法图片比对。 OpenAI — 文本审核，如上所述。 Amazon Web Services — 图片审核，如上所述。 Google — 登录服务（若您使用）。Google 会获知您登录了 Ntripi 这一事实。 OpenStreetMap / Nominatim — 地址搜索。您在添加站点时输入的地点文字会发送至 Nominatim，并且在地图显示期间，您的设备会向 OpenStreetMap 请求地图瓦片。我们不存储您的原始搜索词。 Have I Been Pwned — 当您设置密码时，我们会检查它是否出现在已知泄露数据中。该检查仅发送您密码哈希值的前五个字符，别无其他；您的密码绝不会离开我们的服务器。 Atlassian（Jira）— 当我们将您发送的问题反馈转入其中以便跟踪和修复时。转入的工单包含您的描述、截图和技术信息；不包含您的电子邮箱。 Google（Firebase Cloud Messaging）— 在您允许的情况下，用于 iOS 和 Android 上的推送通知。您的设备会获得一个用于标识该安装的注册令牌；我们保存它以便将通知发送到您的设备，并在您退出登录时删除它。通知文本会经由 Google 送达您的手机：它说明发生了什么，并在相关时写明操作者的名称或您自己行程的标题。关于您内容审核的通知绝不会写明举报人。若您不授予通知权限，则不会生成令牌，也不会发送任何内容。在法律要求时，以及为应对危及他人安全的紧迫风险而确有必要时，我们也会披露数据。 6. 照片照片在上传时会被调整尺寸并重新编码，其 EXIF 元数据——可能包含 GPS 坐标和拍摄时间——会在图片存储前被剥离。这一处理在我们的服务器上完成；原始文件不予保留。 7. 问题反馈若您在应用内反馈问题（通过摇动手机或从"设置"进入），我们会收到您当时所在屏幕的截图、您撰写的描述，以及基本技术信息：应用版本、平台、设备型号、操作系统版本、您所在的屏幕、您的语言，以及您的浅色/深色设置。若您当时已登录，反馈会关联到您的账户，以便我们后续跟进。我们仅将其用于复现并修复您所反馈的问题，并可能按第 5 节所述转入我们的问题跟踪系统。请避免发送含有您不愿分享信息的截图——截图会记录屏幕上的一切。问题反馈及其截图会在反馈处理完毕并超出我们支持记录的保留期后删除。 8. 举报、拉黑与通知当您举报内容时，我们会存储该举报、您选择的理由、您撰写的备注（如有），以及您 IP 地址的带密钥单向哈希值——用于防止同一人反复提交同一举报，且无法还原为地址。即使相关内容此后被删除，举报仍会保留，因为它是我们所作决定的证据。被举报者绝不会被告知是谁举报了他们。当您拉黑某人时，我们会存储该拉黑事实，以便双向执行。取消拉黑即将其删除。应用内通知记录的是发生了什么以及由谁触发，而非一段写好的文字；您读到的文字由您的设备以您的语言组装而成。 9. Cookie 登录不使用 Cookie——您的会话令牌保存在您的设备上，且仅在请求头中发送。网站页面会设置一个偏好 Cookie（ntripi_lang）以记住您的语言选择。它不含个人数据，也绝不与任何人共享。若您使用 Google 登录，Google 可能会在其登录服务中设置自身的 Cookie；这些受 Google 隐私政策约束。我们不使用分析 Cookie、广告 Cookie 或任何第三方跟踪脚本。 10. 保留期限您的账户数据与内容将一直保留，直到您将其删除，或直到您删除账户。您可以随时在应用设置中删除账户。删除账户会永久移除您的个人资料、行程和可识别信息。您的出生日期在账户存续期间一直保留，并随账户一并删除。我们保留日期本身而非仅保留由其得出的结论，因为最低年龄会随时间变化，而存下的"是"或"否"会在无人察觉的情况下失效。您提交的评分将以匿名化形式（仅保留分数，不与用户关联）保留，以维护社区评分的完整性。您在创建账户时即对此表示同意，详见我们的使用条款。审核记录在事项结案后 90 天删除，但有一项例外：当某张图片与已知违法图片数据库匹配时，该匹配记录及图片哈希值将无限期保留。图片本身会被删除；该记录是移除行为发生过的唯一证据，保留它是我们无法应您要求放弃的法定义务。应用内通知在您阅读后 90 天删除。未读的通知会保留。问题反馈及其截图在反馈关闭并超出保留期后删除。 11. 您的权利您可以直接在应用中查阅、更正、导出或删除大部分数据：个人资料可编辑，内容可编辑和删除，"设置—删除账户"可移除账户。视您的居住地而定，您可能还有权要求我们提供数据副本、更正或删除数据、限制或反对我们对数据的使用，以及向您所在国家的数据保护机构投诉。请写信至 [email protected]，我们会予以答复。我们不会因您行使上述任何权利而报复性地封禁或终止您的账户。 12. 儿童 Ntripi 不面向 16 周岁以下的未成年人，我们也不会在知情的情况下收集其数据。我们在注册时询问出生日期，并拒绝未达该年龄的账户。若您认为某位 16 周岁以下的未成年人拥有账户，请写信至 [email protected]，我们会将其移除。 13. 跨境传输第 5 节所列服务在多个国家运营，因此您的数据可能在您居住国之外接受处理，包括在美国。发生此种情形时，我们依赖这些服务提供方所提供的传输保障措施，例如欧盟委员会的标准合同条款。 14. 安全所有传输中的数据均采用 TLS 加密。密码在存储前使用 bcrypt 进行哈希处理。会话令牌经过签名，没有我们的服务器密钥便无法伪造。对生产数据的访问仅限于运营服务所必需的范围。没有任何服务是绝对安全的。若我们发现涉及您数据的泄露事件，将依法通知您及相关主管机关。 15. 本政策的变更当我们的做法发生变化时，我们会更新本页面。本文件所显示的版本与日期表明您正在阅读哪一版。 16. 联系方式有关您数据的问题：[email protected]。举报滥用行为或安全隐患：[email protected]。