App 隐私政策

一、适用范围与运营者

行迹同行提供旅行规划、同行协作、共同决定和费用记录。本政策针对 App 及配套业务服务，不替代静态官网的隐私说明，也不涵盖尚未上线的小程序。

个人信息处理者：行迹运营者。隐私邮箱：shen2002fei#126.com（发送邮件时，请将 # 换成 @）。请勿在来信中提供邮箱密码、登录验证码或付款密码。除该联系邮箱外，官网、App、协议及公开元数据不公布运营者的个人姓名、身份证或住址。

二、邮箱登录与安全

你主动输入邮箱、阅读并同意政策后，可以请求登录验证码。我们处理邮箱地址、验证请求与结果、内部账号标识，以核验邮箱控制权、建立账号和维持登录。首次验证成功会创建账号，后续同邮箱登录访问原账号；不提供邮箱将无法完成该登录流程。昵称可修改，不作为权限依据；邮箱不会自动作为同行昵称。

当前首发使用邮箱验证码，不要求邮箱密码，不提供账号密码、微信登录或指纹、面容免密登录。网易 126 邮箱 SMTP 服务接收收件地址和含验证码的邮件内容并传递邮件，你的收件邮箱服务商也会处理该邮件。App 不读取你的收件箱、通讯录或短信。

为防止滥发及暴力尝试，业务服务处理请求时间、结果和网络来源，使用邮箱、网络来源的摘要进行频率限制；摘要不等于匿名数据。业务数据库保存验证码校验摘要，不保存明文验证码，但邮件本身含有验证码。验证码仅用于本次登录，请勿向他人提供。

会话凭据在 iOS 使用系统钥匙串，在 Android 使用系统密钥保护的加密存储；服务端保存凭据摘要。退出登录只撤销当前设备会话，不会退出其他设备或删除旅行及账本。

三、计划、同行与费用信息

• 旅行名称、日期、地点、地址、坐标、日程和说明用于保存及展示计划。方案被旅行采用时生成工作副本，旅行内修改不反向影响源方案。
• 同行称呼、参与时间、邀请关系、候选、投票及确认结果用于成员管理和共同决定；加入旅行后的可见范围取决于参与身份和实际权限。
• 金额、用途、发生时间、付款人、承担人及结清确认用于旅行账本和核对，相关同行人在权限范围内可查看。服务不获取支付密码，也不代收、托管资金或执行转账。
• 预订确认号、管理链接及备注默认仅创建者可见，显式共享后才向当前有权限的同行人开放；不随方案、日程或全天内容复制。

请只填写必要信息，不将身份证号、密码等无关敏感资料放进备注。提供其他人的信息前，请确保具有相应授权。协作不等于公开发布；若使用版本提供的公开链接分享功能，应由你明确选择。撤回链接无法收回他人自行保存的副本。

四、地图与设备权限

你主动启用地图并同意相关披露后，搜索词、地址、点选坐标及路线起终点用于地图展示、地点查找和路线估算。时间、距离与预计高速费由你主动触发估算；拒绝地图服务仍可使用不依赖地图的计划记录功能。

当前业务范围不包含持续设备定位、后台轨迹采集或 App 内语音导航；点选目的地不等于读取设备当前位置。主动选择外部地图导航时，目的地或路线参数会交给相应应用，后续适用该应用规则。

Android 当前应用声明联网、网络状态及请求安装应用包权限；后者用于用户选择的升级安装，由系统确认。最终权限必须依据发布包合并清单及实际行为核验，不能仅凭业务源码判断第三方 SDK 不处理设备信息。

五、第三方服务清单

高德地图与搜索

提供方：北京高德图强科技有限公司。工程包含 Android 地图／搜索组合 SDK，以及 iOS NO-IDFA 地图、搜索和基础 SDK，用于用户主动启用的地图展示、地点搜索和路线估算。相关服务可能处理搜索词、地址、点选或路线坐标，以及提供服务所需的设备、网络和运行信息；NO-IDFA 不等于完全不处理个人信息。

请参阅高德开放平台隐私权政策。未同意地图相关披露时不初始化相应能力；拒绝后仍可使用不依赖地图的计划记录功能。

邮件、云服务及其他依赖

网易 126 邮箱传递登录邮件；腾讯云中国大陆服务器提供业务服务并保存数据库及运行数据。生产数据库每小时生成仅可由运营者离线密钥解密的加密备份并拉取异地副本，服务器与异地副本均保留 30 天。

首发登录不使用微信授权，Android 首发工程已移除微信开放 SDK、微信回调组件和微信包查询声明。当前默认关闭的照片记录不是首发必需流程；将来启用需先补充说明。本政策不授予任意出售或公开个人信息的权利。

六、保存期限和安全

验证码有效期 10 分钟，会话有效期 30 天；有效期不是全部相关记录的删除期限。程序在后续发码时清理超期验证记录，在后续登录时清理过期会话，不能承诺到期瞬间删除。生产数据库加密备份与异地副本保留 30 天。

账号资料在账号存续期间保存；注销确认后，登录身份和个人专属内容按注销页面说明清理。共同旅行、共同账目、必要审计和最小注销台账在同行人继续核对共同事实、处理争议或履行适用义务所必需的范围内限制保存，不用于新的营销或画像；相应目的消失后删除或去标识。运营者无法自动判断某项共同记录已无必要时，你可通过权利申请要求逐项核对。邮件及其投递日志还可能按照发件和收件邮箱服务商的规则保存。

当前生产实现包含 HTTPS、会话加密存储、服务端摘要校验、访问权限、发信限流、数据库最小权限以及加密备份恢复演练。我们持续核对日志脱敏、客户端行为和安全事件处理，并在发生可能影响你权益的事件时按适用要求处置和通知。

七、你的权利和账号注销

你可通过现有页面查看权限范围内的数据、修改昵称，并通过上述邮箱申请查阅、复制、更正、删除信息、撤回同意、注销账号或要求解释处理规则。处理请求时进行与风险相称的身份核验，不要求你提供邮箱密码。

你可以在“我的 → 账号与隐私 → 注销账号”中先查看影响，再通过当前绑定邮箱收到的注销专用验证码最终确认。注销不可恢复：全部设备会话失效，登录身份和个人专属内容会清理；本人创建的预订资料即使曾向同行共享也会删除。共同旅行、共同账目、必要审计和最小注销台账会继续保留，不会因一人注销而删除或重算；结果页会如实列出仍保留的类别，不把退出登录当作注销账号，也不宣称全部数据即时消失。同一邮箱以后重新注册会成为新账号，不恢复旧身份和历史权限。

生产数据库加密备份在服务器和异地副本中均保留 30 天；恢复旧备份前会重施最新可信注销台账，避免已关闭账号复活。拒绝可选地图服务不影响不依赖地图的功能。撤回同意后，应停止依赖该同意的后续处理，不影响撤回前处理的效力。

八、未成年人和政策变更

首发服务仅供已满 14 周岁的用户独立注册和使用。我们当前没有监护人同意与儿童个人信息专门处理流程，因此未满 14 周岁的用户请勿注册或提交个人信息；如监护人发现儿童已经提供信息，可通过隐私邮箱联系处理。

本政策展示版本和生效日期。处理目的、方式或信息种类发生重要变化时，我们会按适用要求重新告知并取得必要同意，不以“继续使用”替代所有新增授权。

九、阅读说明

请同时阅读App 用户协议。如政策内容与 App 实际行为不一致，请通过隐私邮箱反馈；我们会停止超出告知范围的处理并核对修正。