隐私政策

我们收集您直接提供的信息：您的姓名、电子邮件地址、公开用户名（@handle）、头像、旅行偏好，以及您在注册时输入的出生年份，用于核实14岁的最低年龄要求。我们还收集您创建的内容（行程计划、已保存的目的地、照片、评论、消息、拥挤度报告、与AI助手的对话）以及使用数据（应用交互模式），以运营并改进您的体验。

您的数据用于个性化您的旅行体验、提供拥挤度洞察、生成推荐、支持AI旅行助手、保障服务安全以及改进我们的服务。我们不会向第三方出售您的个人信息。营销类信息仅在您明确选择加入并同意的情况下发送，您可随时通过设置中的通知偏好撤回同意。

我们依据《通用数据保护条例》所规定的下列法律依据处理您的数据： • 账户数据（姓名、电子邮件、用户名、个人资料）以及您创建的内容：合同履行 — 处理对于向您提供我们的服务是必要的（第6条(1)(b)）。 • AI旅行助手：为提供该助手的合同履行（第6条(1)(b)）；为评估和改进该助手的合法利益（第6条(1)(f)）。 • 位置数据：同意 — 我们仅在您明确授予权限时处理您的位置（第6条(1)(a)）。您可随时通过设置或您的设备设置撤回同意。 • 分析和使用数据：合法利益 — 我们分析使用模式以改进应用性能和用户体验，并生成匿名的汇总统计数据（第6条(1)(f)）。 • 安全与防止滥用（电子邮件验证、设备认证、反垃圾信息频率限制、内容审核）：合法利益（第6条(1)(f)）。 • 营销和推送通知：同意 — 我们仅在您选择加入并同意的情况下发送推广信息（第6条(1)(a)）。您可随时通过设置中的通知偏好撤回同意。 • "你的旅行方式"档案：对于您自己设置的项目，为履行合同（第6条(1)(b)）；对于从您的对话中学习的偏好，为正当利益（第6条(1)(f)）。您选择添加的敏感数据（饮食和无障碍需求）：明确同意（第9条(2)(a)），您可随时撤回，届时数据将立即删除。 • 行程记忆（"助手记住的事"）：正当利益（第6条(1)(f)）；您可以按"行程记忆"中所述提出反对。

每个账户都拥有唯一的公开用户名（@handle）。您的公开个人资料数据（显示名称、头像和用户名）在您的个人资料页以及您发布的内容旁向其他用户展示。您可以在遵守反滥用限制的前提下，从设置中更改您的用户名；此后，先前的用户名将可供其他用户使用。您的用户名包含在您的数据导出中，并在您删除账户时被删除。法律依据：合同履行。

您添加到旅行中的每张照片或每个视频都有您选择的可见范围：“所有人”“关注者”或“仅自己”。您可以随时更改：更改立即生效，但他人已截取的截图或已保存的副本无法收回。 • 旅伴：在旅行相册中可以看到您设为“所有人”和“关注者”的照片。设为“仅自己”的照片只有您能看到。 • 旅行以外的人：只有同时能看到该旅行的人才能看到您的照片，且绝不会超出您的选择和您的账户所允许的范围。具体来说： – “所有人”：如果旅行是公开的，Wandermi 上的任何人都能看到；如果旅行仅对关注者可见，最多只有旅行创建者的关注者能看到； – “关注者”：如果旅行是公开的，或者旅行是您自己的且对关注者可见，您的关注者可以看到；其他情况下只有您的旅伴能看到； – 私密旅行、草稿旅行或回收站中旅行的照片，旅行以外的任何人都看不到； – 如果您的账户是私密的，您的照片最多只有您的旅伴和您的关注者能看到。 • 显示位置：在旅行以外可见的照片可能会连同您的名字显示在您的个人主页上，以及有权查看的人的首页中。在地点页面的“去过的人拍的”部分，我们只显示非私密账户的公开旅行中设为“所有人”的照片（不含视频）；如果没有该地点本身的照片，我们可能会显示在约 1.5 公里范围内拍摄的照片，并标注“在附近拍摄”。首页和个人主页使用照片的副本，该副本与原照片同步：您更改可见范围时随之更改，您删除照片时随之删除。 • 屏蔽：您已屏蔽的人或屏蔽了您的人，无法在您的个人主页、首页、地点页面或打开单张照片时看到您的照片。 • 位置：每张照片我们只保存一个大致位置（约 1 公里）和地点名称，这些信息来自照片数据或由您选择。当前版本的应用绝不保存精确位置；如果旧版本应用发送了精确位置，我们的服务器会立即将其取整到约 1 公里。照片文件不含 GPS 坐标。能看到您某张照片的人（根据您的选择，可能是旅伴、关注者或所有人）也可能收到地点名称、大致位置（约 1 公里）和地点的引用信息；看不到这张照片的人不会收到任何此类信息。地点页面绝不显示坐标。 • 照片中的其他人：如果您发布的照片中有其他人，请确保您有权这样做。 法律依据：履行合同（第 6(1)(b) 条）。保存期限：与旅行数据相同（参见“数据保留期限”）。

如您年满16周岁且账户注册已满7天，可以在地点页面上传您自己拍摄的该地点照片。地点照片是公开的：所有用户以及打开该地点页面的任何人（包括通过链接）都能看到，并显示您的用户名作为作者；您已屏蔽的用户也能看到。适用您在首次上传时接受的《地点照片条件》。该功能将逐步开放：功能关闭期间，地点照片不会展示。 • 我们收集的信息： – 照片。发送前，应用会删除文件中的所有元数据，包括GPS位置；随后我们的服务器会重新编码照片，删除任何残留的元数据，并生成较小的尺寸。我们保存三种尺寸，最大尺寸的长边不超过1600像素； – 您的用户名以及照片关联的地点； – 仅当您选择“现场拍摄”时（默认关闭）：“在距该地点约300米范围内拍摄”的标示以及拍摄的年份和月份（从不包含日期和时间）。应用在您的手机上读取照片中的位置和日期，只发送照片是否靠近该地点以及年月；照片的位置从不发送。年月仅在发布30天后才公开显示；上传日期从不显示。这些信息仅用于该标签：您移除标签后我们会将其删除，且无法再次添加。如果您不选择该标签，我们既不会收到距离信息，也不会收到日期； – 自动检查的结果，以及照片未被发布时的原因； – 您的接受记录：用户标识、文件的数字指纹（不是照片本身）、日期和时间、条件的版本和语言以及所接受文本的指纹、账户的登录方式（例如电子邮箱、Google或Apple）。您的第一张照片发布后，我们会发送确认邮件，附上所接受版本的链接； – 为核实年龄，我们使用您的出生年份（参见“出生年份、最低年龄和未成年人”）。 • 如果您举报照片：您的用户标识和账户电子邮箱、原因、您填写的可选文字以及善意声明。除非法律要求或主管机关命令，我们不会告诉作者是谁举报的。 • 目的和法律依据： – 以您的用户名在地点页面发布照片，并在您选择时显示“现场拍摄”标签和拍摄月份：履行合同（GDPR第6条第1款b项）。照片中的位置和日期在您的手机上读取，且仅限于提供您所要求的标签或日期所严格必需的范围（电子隐私指令第5条第3款；意大利隐私法第122条）； – 处理举报、暂停和删除，并通知作者和举报人：法定义务（GDPR第6条第1款c项；欧盟第2022/2065号条例《数字服务法》第16条和第17条）； – 为防止滥用而进行的自动检查和上传限制，以及删除后保存接受记录：我们保护其他用户并在发生争议时证明许可的正当利益（GDPR第6条第1款f项）。您可以写信至privacy@wandermi.com提出反对。 • 自动检查：发布前，人工智能系统会检查已由我们服务器重新编码的照片，确认其展示该地点，且不包含可辨认的人（在宗教场所和医疗机构中，仅凭身形可辨认也不行）、车牌、可读的个人信息（证件、屏幕、标牌上的姓名、门铃、信箱）或不当内容。如有疑问，照片不予发布。 – 模型在欧盟境内的Google Cloud Vertex AI（europe-west1区域）上运行。Google作为我们的处理者（GDPR第28条），不会使用照片训练其模型。 – 未通过检查的照片不会被发布：我们会告诉您原因以及该检查为自动进行。您可以写信至legal@wandermi.com，请求我们团队的人员复核。 – 如果检查无法完成，照片将保持待处理状态且不会发布；7天后将被丢弃。 – 该检查仅涉及该照片的发布，不会对您产生法律效力（不属于GDPR第22条所述的决定）。 • 举报和审核：通常应用内的举报会立即暂停照片；如同一人此前已举报过、照片此前已经审核并恢复（“照片里有我”、著作权及保管机构的请求除外），或举报人账户注册不满7天，则不会自动暂停。无论哪种情况，均由我们团队的人员通常在48小时内作出决定。作者会在应用中收到每次暂停或删除的理由，邮箱已验证的还会收到邮件；举报人会收到受理确认和处理结果。我们通过作为处理者的Microsoft Ireland Operations Ltd（Microsoft 365）发送邮件。 • 照片中的人：如果您出现在已发布的照片中，请使用“举报这张照片”→“照片里有我”（通常照片会立即隐藏）。如果您没有账户，请写信至privacy@wandermi.com（个人信息、“照片里有我”）或legal@wandermi.com（著作权），注明照片链接、原因、您的姓名和电子邮箱：团队人员通常会在48小时内审查该请求。 • 保存期限： – 已发布的照片：直到您在“我的地点照片”中删除（一天内停止展示）或删除账户； – 未通过检查而未发布的照片：文件立即删除，其余信息24小时内删除； – 被暂停的照片：直至作出决定；如被删除，文件立即删除； – 举报和决定：自决定起12个月； – 服务邮件（通知和确认）：自发送起30天； – 接受记录：照片发布期间及删除后最长10年，仅用于证明许可； – 如果您删除账户，我们会删除您的地点照片和您提交的举报，仅保留接受记录。 • 接收方：作为处理者的Google Cloud（Firebase和Vertex AI，位于欧盟）和Microsoft（邮件）；已发布照片面向公众。未经您另行同意，我们不会在广告或付费产品中使用您的照片。 • 您的权利：访问、更正、删除（包括一键删除照片）、反对、限制处理和数据可携。地点照片和接受记录包含在“导出我的数据”中。参见“您的权利”。

• 出生年份：我们在注册时询问您的出生年份（如果您通过Google或Apple注册且未提供，则在您下次打开应用时询问）。我们仅将其用于执行法律规定的年龄规则：使用Wandermi须年满14周岁，上传地点照片须年满16周岁，以及下文所述针对14至15周岁用户的保护措施。当仅凭年份无法判断时（即您年满14或16周岁的那一年），我们会再问一个问题（例如出生月份），并只保存判断结果，而不保存您的回答。您的出生年份对其他用户不可见。 – 法律依据：法定义务（GDPR第6条第1款c项，以遵守GDPR第8条及意大利隐私法第2-quinquies条规定的最低年龄）以及履行合同（GDPR第6条第1款b项），因为年龄规则是服务条款的一部分。 – 保存期限：账户存续期间；您删除账户时一并删除。 – 不可修改：为防止年龄规则被规避，出生年份一经保存便无法在应用中修改。如果填写有误，请写信至privacy@wandermi.com，我们将予以更正（更正权，GDPR第16条）；我们可能会请您提供一些信息以核实请求。 • 如果您未满14周岁：您无法使用Wandermi。 – 如果您在注册时如此填写，账户将不会创建，所填写的数据将被删除。 – 如果发现某个现有账户属于未满14周岁的人，该账户将被暂停：其所有公开内容和仅对关注者可见的内容将被隐藏，AI助手和推送通知将不可用。我们会在应用中并通过电子邮件告知。如属误判，请在30天内写信至privacy@wandermi.com：提出异议后删除程序即停止，我们团队的人员将复核该情况，如确认属误判，将恢复账户并重新显示其内容。如未提出异议，账户及其数据将在30天后按与“删除账户”相同的程序自动删除。 – 为防止立即重新注册，我们仅将Google/Apple账户标识或已验证电子邮箱地址的带密钥指纹（HMAC，不可逆）保存90天，之后删除；如年龄误判得到确认，我们将立即删除。法律依据：我们执行法定最低年龄的正当利益（GDPR第6条第1款f项）。 • 如果您年满14或15周岁： – 您的个人资料和行程默认不公开（您仍可与关注者分享）；如您愿意，可以自行一键设为公开。如果您已有账户，只有原本公开的个人资料和行程会变为不公开，仅对关注者可见的内容保持您的原有选择。我们会在应用中通知您，您可以一键恢复公开； – 您不能上传地点照片（须年满16周岁）； – 您的内容适用服务条款中所述的有限许可：我们仅在本服务内向您选择的对象展示，不会将其用于本服务以外的推广。 • 精选栏目：根据您提供的出生年份，如果您可能未满18周岁，您的内容不会被选入精选栏目（精选行程、发现、地点和国家页面中的社区照片）。通过“我有这个地方的照片”上传的照片（年满16周岁）不受此排除限制，适用《地点照片条件》。 如您未成年，建议您与家长或监护人一同阅读本政策。

Wandermi包含一个基于生成式AI的旅行助手（模型提供方：Google）。 • 发送至模型的数据：您消息的文本、您正在规划的行程的上下文（目的地、日期、兴趣）以及根据您以往对话构建的旅行偏好画像。我们不会发送您的电子邮件地址或您的精确GPS位置。 • 模型运行地点：该助手在位于欧盟（europe-west1区域）的Google Cloud Vertex AI上运行。Google依据《Google Cloud数据处理附录》，作为我们的处理者根据GDPR第28条行事，且不会使用您的提示词或模型输出来训练其自有模型。您的对话在欧盟境内处理。 • 记忆：我们存储（i）您的对话历史，（ii）根据您跨行程的对话构建的持久旅行者画像，以及（iii）每次行程的记忆（参见下文"行程记忆"），以便助手在会话之间保持上下文。您可以在应用内归档或重命名会话。 • 保留和删除：对话和旅行者画像在您的账户处于活跃状态期间予以保留，并在您删除账户时被删除；行程记忆适用其自身的保留规则（参见"行程记忆"）。上述内容均包含在您的数据导出中。此外，我们另行保留假名化副本（不含直接标识符）以评估和改进该助手：对话文本最长保留12个月，技术指标最长保留24个月 — 关于您删除账户时这些副本的处理方式，请参见"分析数据仓库"。 • 准确性：答案由系统自动生成，可能包含错误或过时的信息。您可以在聊天中长按消息来举报任何答案。 • 法律依据：合同履行（提供该助手）和合法利益（评估和改进该助手）。您可以通过写信至privacy@wandermi.com对改进相关的处理提出反对。

AI助手会保存一份您的旅行偏好档案，您可以在应用的"你的旅行方式"中查看和管理（从对话面板或从个人资料 → 偏好设置进入）。 • 包含内容：您通常与谁一起旅行、旅行风格、兴趣、节奏、预算、对人群的态度、喜爱或希望避开的地方，以及住宿和交通偏好。对每一项，应用都会显示其来源：初始问题、由您设置，或从您的对话中学习（附日期）。 • 如何形成：助手只保存从对话中清楚体现的长期旅行偏好，并且每次都会在聊天中告知您（"我会记住……"），同时提供"撤销"按钮。您自己设置的内容始终优先，助手不会覆盖；您删除的项目不会再次出现。 • 您的控制：您可以随时更改或删除每一项。如果您关闭"从聊天中学习"，助手将不再添加任何新内容；档案中已有的内容会保留，并继续用于调整推荐，直到您更改或清除为止。如需完全反对，请同时删除已学习的项目，或使用"全部清除"删除整个档案。关闭"从聊天中学习"也会暂停行程记忆：不会添加新条目，也不会使用已保存的条目（参见"行程记忆"）。这些选择立即生效。您也可以写信至 privacy@wandermi.com。 • 敏感数据（GDPR第9条）：饮食需求（例如过敏、不耐受或饮食限制，可能透露您的健康状况或宗教信仰）和无障碍需求，仅在您本人于"你的旅行方式"中填写，并通过专用勾选框给予明确同意后才会保存。我们会保留您的同意记录（日期和版本）。助手被指示不得从您的对话中推断这些信息，也无法将其保存到您的档案中。我们仅将其用于调整旅行推荐：这些信息仅作为您请求的一部分发送给AI模型（Vertex AI，欧盟），不会复制到分析数据仓库。Google作为我们的处理者，不会使用这些数据训练其模型。您可以随时通过"撤回同意并删除需求"撤回同意，数据将立即删除。撤回不影响撤回前所进行处理的合法性。 • 在聊天中写下的健康或宗教信息：如果您在消息中提及，这些信息仍是该对话以及我们为分析保存最长12个月的假名化副本的一部分，但不会保存到您的档案中。请避免在聊天中分享此类信息，改用"你的旅行方式"。 • 无自动化决策：档案仅用于推荐地点和行程，绝不用于对您产生法律效力或类似重大影响的决定。 • 保存期限：档案在您的账户有效期间或直至您清除为止予以保存，并在您删除账户时删除。档案包含在"导出我的数据"中。 • 法律依据：对于您自己设置或在初始问题中回答的项目，为履行合同（第6条(1)(b)）；对于从您的对话中学习的偏好，为正当利益（第6条(1)(f)），您可按上述方式提出反对；对于敏感数据，为明确同意（第9条(2)(a)）。

在旅行伙伴中，AI助手可以记住您就某次具体行程告诉它的简短信息，这样您就不必在每次对话中重复。您可以在旅行伙伴菜单的"助手记住的事"中，以及在"你的旅行方式" → "旅行记忆"中查看这些信息。 • 包含内容：仅限您就该次行程明确说出的简短信息——关于行程安排的决定（例如"第2天不去博物馆"）、实际限制（"晚餐不晚于20点"、"不开车"）、本次行程的偏好（"更安静的海滩"）或您放弃的建议（"不要再推荐老城区"）。每一项最多120个字符，每人每次行程最多30项。 • 如何形成：在每次回复结束时，一个轻量级AI模型会从您的消息中识别这些信息，并由我们的代码在保存前进行过滤。该模型被指示不得保存问题或假设性内容。助手通常会在聊天中告知您（"这次旅行我会记住……"），并提供"撤销"按钮；您也可以随时在"助手记住的事"中查看全部内容。该模型在欧盟境内的Google Cloud Vertex AI上运行（europe-west1区域）；Google根据GDPR第28条作为我们的处理者，不会使用这些数据训练其模型。 • 我们不保存的内容：有关您健康的信息；饮食需求或饮食习惯；无障碍需求（这些仅在您明确同意后保存在"你的旅行方式"中）；宗教信仰；有关他人的信息；证件；身份证件号码、联系电话号码或卡号；电子邮件地址或邮寄地址。该模型被指示不得提出此类条目，此外，我们的代码会丢弃包含这些类别常见用语的条目；如果仍有内容被保存，您可以立即通过✕将其删除。 • 谁可以查看：仅限您本人，且仅在您是该次行程成员期间。该行程的其他成员（包括组织者）无法看到您的条目。条目仅由我们的服务器写入；应用只能读取。在此版本中，行程记忆绝不会与其他成员共享；如果我们推出共享条目，将事先更新本政策并在应用内通知您。 • 目的和法律依据：在整个行程中保持助手服务的连续性。法律依据：正当利益（第6条(1)(f)）。行程记忆仅限于您就该次行程所说的信息，您可以随时查看和删除。 • 如何反对：在"你的旅行方式"中关闭"从聊天中学习"：助手将不再向您的档案或行程记忆添加任何新内容。已保存的条目仍会显示在"助手记住的事"中，但在学习功能关闭期间不会被使用；您可以通过✕或"全部清除"将其删除。这些选择立即生效。您也可以写信至 privacy@wandermi.com。 • 保存期限：条目在行程结束90天后自动删除（如果行程没有日期，则从保存第一条条目时起算）；如果您退出该行程或被移出该行程、该行程被永久删除（30天恢复期满后）或您删除账户，则会提前删除。当您通过✕或"撤销"删除某一条目时，我们仅保留其指纹（不可逆的哈希值，而非文本），以免助手再次保存；指纹会在您退出该行程、该行程被永久删除或您删除账户时删除，并且无论如何都会在行程结束90天后删除。 • 您的权利：条目包含在"导出我的数据"中。您可以按上文及"您的权利"中所述访问、删除条目或提出反对。条目仅随行程保存在我们的数据库中，不会复制到分析数据仓库；条目所来源的消息属于您的对话内容（参见"AI旅行助手"）。 • 无自动化决策：行程记忆仅用于调整助手针对该次行程的建议。

在获得您的许可后，我们出于以下目的使用您的位置： • 拥挤度报告：其他用户看到的报告仅存储近似坐标（四舍五入至约1 km的精度）。您所报告地点的精确坐标单独存储于客户端应用无法读取的受限访问集合中：它们绝不会向其他用户展示，也绝不会与第三方共享。它们包含在您的数据导出中，并在您删除账户时被删除。 • 停留检测：我们据此推导出在某地停留时间的汇总值。我们不记录您的连续GPS轨迹，也不追踪您的行动。 • 与公共机构共享的统计数据均为匿名且仅为汇总形式。 您可以随时从设置 → 位置或从您的设备设置中关闭位置共享；应用仍可继续使用。法律依据：同意（第6条(1)(a)），您可随时撤回；就汇总统计数据的生成而言，为合法利益。

您可以生成公开链接以共享行程。在链接有效期间，任何持有该链接的人（包括没有Wandermi账户的人以及应用之外的人）均可查看所共享的内容（行程、停靠点、其中包含的任何照片）。请审慎考虑您共享的内容及共享对象。 您可以随时在共享设置中停用该链接：停用会使内容立即无法通过该链接访问，但对第三方已保存的副本不产生影响。有效链接包含在您的数据导出中，并在您删除账户时被删除。法律依据：合同履行（您所请求的功能）。

• 推送通知：在获得您的许可后，我们向您发送通知（消息、邀请、拥挤度提醒、社交动态）。我们存储与您设备关联的通知令牌，并将其传输给我们的服务商Expo（美国，依据欧盟标准合同条款）；您登出时该令牌将被移除。您可以从设置 → 通知中管理每一类通知，或从您的操作系统中禁用通知。 • 通知语言：我们存储您的应用语言，以便通知以您所使用的语言送达。 • 电子邮件验证：当您使用电子邮件地址注册时，我们会向您发送一封验证邮件；出于安全和防止滥用的目的，必须完成验证才能使用该账户。法律依据：合法利益（第6条(1)(f)）。

为保护服务免受自动化滥用（机器人、脚本、虚假账户）的侵害，本应用通过Firebase App Check使用由Apple（App Attest / DeviceCheck）和Google（Play Integrity）提供的设备认证机制。这些服务验证请求是否来自运行于真实设备上的正版应用副本，并生成技术令牌，该等令牌不用于对您进行画像，也不用于广告目的。法律依据：服务安全方面的合法利益（第6条(1)(f)）。

我们仅与协助我们运营Wandermi的可信服务提供商共享数据。所有合作伙伴均受严格的数据保护协议约束。我们不出售您的个人数据。

我们使用以下次级处理者来提供我们的服务： • Google Firebase（Cloud Firestore、Authentication、Cloud Storage、App Check）— 美国。数据传输受欧盟标准合同条款（SCC）规范。 • Google Cloud Platform（Cloud Functions，europe-west1区域）— 欧盟。 • Google Cloud Vertex AI（europe-west1区域）— 欧盟。提供支持AI旅行助手的生成式模型。Google依据《Google Cloud数据处理附录》作为处理者行事，且不会使用您的提示词或模型输出来训练其自有模型。处理在欧盟境内进行。 • Google Cloud BigQuery（europe-west1区域）— 欧盟。用作分析数据仓库，以了解和改进应用、评估和改进AI旅行助手，并生成匿名的汇总统计数据。受Google的数据处理附录和欧盟标准合同条款涵盖。数据在欧盟境内处理。 • Expo（EAS）— 美国。用于推送通知的投递。数据传输受欧盟标准合同条款（SCC）规范。 • Mapbox — 美国。用于地图显示和地理定位服务。遥测数据收集为可选项，可在隐私设置中禁用。数据传输受欧盟标准合同条款（SCC）规范。 • RevenueCat — 美国。订阅管理基础设施。Wandermi中并未启用付费订阅（参见"付费功能"）：该SDK存在于应用中，但目前不处理任何交易或账单数据。若付费功能启用，RevenueCat将仅接收匿名用户标识符以及Apple/Google的交易元数据 — 不包括电子邮件或其他个人数据。数据传输受欧盟标准合同条款（SCC）规范。 • Sentry — 德国（欧盟数据驻留）。用于错误监控和崩溃报告。捕获堆栈跟踪、应用版本、操作系统版本以及匿名化的设备标识符；除非明确附加，否则不捕获电子邮件或其他个人数据。 • Microsoft 365（Outlook — 由Microsoft Ireland Operations Limited托管）— 欧盟。用于托管机构邮箱（support@、privacy@、dpo@、legal@）并处理您向我们发送的来函。适用标准的Microsoft Online Services DPA。 • Microsoft 365（Exchange Online，通过Microsoft Graph — Microsoft Ireland Operations Ltd）。同时作为我们的处理者发送服务邮件：就举报向我们审核团队发出的通知、审核结果，以及与您账户有关的确认和通知（例如暂停未满14周岁者的账户）。服务邮件在发送30天后自动删除。

我们按以下期限保留您的数据： • 账户数据（姓名、电子邮件、用户名、头像、旅行偏好）：在您的账户处于活跃状态期间保留。在您删除账户时删除。 • 消息：最长保留12个月；超过365天的消息将被自动删除。您发送的消息也会在您删除账户时被删除。 • 行程数据（行程计划、已保存的目的地、照片）：在您的账户处于活跃状态期间保留。当您删除某个行程时，它将进入30天的恢复期，在此期间可以恢复；30天后，该行程及所有相关数据将被永久删除。所有行程数据也会在您删除账户时被删除。 • AI助手的对话和旅行者画像：在您的账户处于活跃状态期间保留。在您删除账户时删除。 • 位置数据：随您提交的拥挤度报告一并存储的近似坐标（约1 km），以及以受限访问方式单独保存的精确坐标，均保留至您删除账户为止。 • 推送通知令牌：在您登出时移除。 • 分析数据仓库中的假名化副本：AI对话文本最长12个月；AI技术指标最长24个月；其他分析事件最长26个月。参见下文"分析数据仓库"。 • "你的旅行方式"档案：您可随时通过"全部清除"将其清除；敏感数据在您撤回同意后立即删除。 • 行程记忆（"助手记住的事"）：在行程结束90天后自动删除，或更早删除——参见"行程记忆"。 • 出生年份：账户存续期间。 • 未满14周岁者的登录标识指纹：90天。 • 通过Microsoft 365发送的服务邮件：自发送起30天。 • 地点照片、举报和接受记录：参见“地点照片”。 • 备份：从我们系统中删除的数据可能会在数据库备份中保留最长8周（每日备份保留7天，每周备份保留8周），之后备份将自动删除。

我们出于三个目的使用分析数据仓库（Google Cloud BigQuery，欧盟europe-west1区域）：（a）了解应用的使用情况并加以改进；（b）评估和改进我们的AI旅行助手；（c）生成关于旅游流量和过度拥挤的匿名汇总统计数据。 • 假名化与数据驻留：发送至数据仓库的记录不包含您的姓名、电子邮件或原始账户标识符 — 该标识符被替换为假名（带密钥的哈希值）。所有处理均依据Google的DPA和欧盟标准合同条款在欧盟境内进行。 • AI改进：与AI助手的对话可能以假名化形式用于评估和改进该助手。法律依据：合法利益。您可以通过写信至privacy@wandermi.com提出反对。 • 汇总统计（B2G）：与公共机构或目的地管理组织共享的统计数据仅为匿名数据 — 其中不包含任何可以识别您身份的信息，并且会应用最低汇总阈值，以确保无法识别出任何个人。我们绝不出售您的个人数据。 • 删除 — 当您删除账户时实际发生的情况：我们会从运营系统（数据库和文件存储）中删除您的数据 — 个人资料、用户名、行程、照片、消息、AI对话和记忆、共享链接，以及您拥挤度报告的精确坐标。已传输至分析数据仓库的假名化副本在该时刻不会被逐条单独移除：它们已不再包含您的账户标识符，并将保留至其保留期限届满（AI对话文本最长12个月；AI技术指标最长24个月；其他分析事件最长26个月），届满后予以删除。已生成的匿名汇总数据不属于个人数据，将予以保留。如果您希望我们在此之前移除与您相关的假名化记录，请在删除账户之前写信至privacy@wandermi.com，以便我们能够识别这些记录。

为估算各地点通常的拥挤程度，我们使用自有的估算模型。该模型综合以下信息：每类地点典型的一天客流规律；根据相应维基百科条目公开的汇总浏览量得出的季节性趋势和知名度（Wikimedia和Wikidata，数据以CC0发布）；各国法定节假日日历；以及（如有）Wandermi用户按本政策所述提交的拥挤度报告和停留时间的汇总数据。这些第三方来源均为汇总的匿名数据，不包含关于您或任何其他可识别个人的个人信息。我们不使用Google地图的"热门时段"数据：我们已停止使用过去收集的此类数据，并已将其从运行本服务的系统中删除。估算描述的是典型的一天（"通常"），而非实时情况。

Wandermi包含应用内消息功能，使您能够与其他旅行者交流，并共享行程计划、照片、投票和位置。 • 加密：所有消息在传输中（TLS 1.2+）和静态存储时（AES-256）均经过加密。目前尚未实施端到端加密；这使得欧盟《数字服务法》（条例（欧盟）2022/2065）所要求的服务器端审核和内容举报成为可能。 • 存储的内容：消息文本、附加媒体（照片）、投票、位置、表情回应、回复上下文以及编辑/置顶元数据。已读回执被存储以支持会话未读计数。 • 审核：我们实施自动频率限制（每位发送者每分钟最多40条消息，每小时最多300条），并处理用户举报。被举报的内容将接受审查并可能被移除；滥用账户可能被暂停。 • 举报违法内容：您可以通过长按菜单 → 举报，举报任何消息。举报由我们的审核人员审查，通常在48小时内完成。 • 编辑与删除：您可以在发送后15分钟内编辑您的消息，并可随时删除消息。删除您的账户将删除您已发送的消息。 • 推送通知：消息预览可能会显示在推送通知中。您可以通过设置 → 通知禁用预览。 • 未成年人：根据GDPR第8条及意大利的实施规定，使用消息功能的最低年龄为14岁。

根据《通用数据保护条例》，您就您的个人数据享有以下权利： • 访问权和数据可携权（第15条和第20条）：使用设置中的"导出我的数据"下载包含您全部数据（包括您与AI助手的对话）的完整JSON文件。 • 更正权（第16条）：可随时通过编辑个人资料更正您的个人数据。 • 删除权（第17条）：使用设置中的"删除账户"。此操作将从我们的运营系统中移除您的账户、内容、消息、AI对话和记忆、用户名、共享链接以及您拥挤度报告的精确坐标。关于分析数据仓库中的假名化副本，请参见上文"分析数据仓库"。 • 反对权和撤回同意权（第21条）：您可以随时从设置 → 位置中关闭位置功能，从设置 → 通知中关闭通知。若要反对为分析和AI改进目的处理假名化数据，请写信至privacy@wandermi.com。若要反对行程记忆，请关闭"从聊天中学习"，或在"助手记住的事"中删除相关条目（参见"行程记忆"）。 • 投诉权：您可以向意大利监管机构（个人数据保护局 — Garante per la protezione dei dati personali）或您居住国的监管机构提出投诉。 • 本政策的变更：如果我们作出重大变更，将在变更生效前通过应用通知您。如果变更涉及条款，或法律有此要求（例如基于您同意的新处理活动），我们将请您重新接受；如果您不接受，服务访问将被暂停。 • 反对画像的权利（第21条）：在"你的旅行方式"中，您可以关闭"从聊天中学习"，并删除已学习的项目或清除整个档案。 如需行使上述任何权利，请通过privacy@wandermi.com与我们联系，或使用应用内的相应功能。

您的部分个人数据可能被传输至美国并在美国处理，我们的部分服务提供商位于该国（Firebase、Expo、Mapbox、RevenueCat）。这些传输受欧盟委员会批准的欧盟标准合同条款（SCC）保障。AI助手和分析数据仓库所进行的处理在欧盟境内（europe-west1区域）进行。

数据控制者：WANDERMI S.R.L.（注册地址：Viale Umbria 128, 20135 Milano (MI), Italia）· 增值税号及税号（P.IVA e C.F.）14880440962 · REA MI-2813220（米兰-蒙扎布里安扎-洛迪企业登记处登记号 14880440962）· 注册资本 5,000.00 欧元，已全额缴足 · 认证电子邮箱（PEC）wandermi@namirialpec.it · 已在企业登记簿特别栏登记的创新型初创企业。 根据《通用数据保护条例》（GDPR）第37条，我们无需指定数据保护官（DPO）：我们并非公共机构，我们的核心活动不涉及大规模处理特殊类别的个人数据，也不对数据主体进行大规模的定期和系统性监控。我们会持续复核这一评估，一旦满足相关条件，将指定数据保护官。 如对我们处理您个人数据的方式有任何疑问，或希望行使您在 GDPR 项下的权利，请联系 privacy@wandermi.com。您还有权向您居住国的监管机构提出投诉。

Wandermi目前是免费的：没有已启用的订阅或应用内购买，我们也不处理任何支付数据。应用中标注为"即将推出"的功能（例如高级订阅或打印相册）尚未启用。 我们的订阅管理基础设施（RevenueCat）存在于应用中，但在付费功能未启用期间不处理任何交易。如果启用付费功能，我们将提前通知您并更新本政策。在任何情况下，支付都将完全由iOS上的Apple（App Store）和Android上的Google（Play Store）处理：我们绝不会收集或存储您的支付卡详细信息或账单地址。

Wandermi计划在未来版本中提供可选的打印照片相册。当该功能推出时： • 共享：仅有为完成您的订单所严格必需的数据会与我们的印刷合作伙伴Peecho（位于荷兰，欧盟）共享：您的收件人姓名、收货地址、您明确选择用于相册的照片，以及订单详情。 • 不共享其他数据：我们不会与Peecho共享您的账户电子邮件、行程计划或任何其他个人信息。 • 每笔订单需明确选择加入：该功能要求您在每次下单时给予明确同意。没有有效订单，不会共享任何数据。 • 当前状态：截至当前版本，该功能尚未启用。此前和目前均未与Peecho共享任何数据。在该功能投入运行之前，我们将更新本政策并在应用内通知用户。

我们实施行业标准的安全措施，包括传输中加密（TLS 1.2+）和静态存储加密（AES-256），以保护您的个人信息免遭未经授权的访问。本应用在向我们后端发送请求时会附带设备认证（Firebase App Check），我们据此识别并非来自正版应用的流量；我们正在逐步启用对缺少有效认证的请求的拒绝。拥挤度报告的精确坐标保存在客户端应用无法读取的受限访问集合中。对生产系统的访问仅限于经授权的人员，并受多因素身份验证保护。