隐私政策

我们收集您直接提供的信息：您的姓名、电子邮件地址、公开用户名（@handle）、头像、旅行偏好，以及您在注册时输入的出生年份，用于核实14岁的最低年龄要求。我们还收集您创建的内容（行程计划、已保存的目的地、照片、评论、消息、拥挤度报告、与AI助手的对话）以及使用数据（应用交互模式），以运营并改进您的体验。

您的数据用于个性化您的旅行体验、提供拥挤度洞察、生成推荐、支持AI旅行助手、保障服务安全以及改进我们的服务。我们不会向第三方出售您的个人信息。营销类信息仅在您明确选择加入并同意的情况下发送，您可随时通过设置中的通知偏好撤回同意。

我们依据《通用数据保护条例》所规定的下列法律依据处理您的数据： • 账户数据（姓名、电子邮件、用户名、个人资料）以及您创建的内容：合同履行 — 处理对于向您提供我们的服务是必要的（第6条(1)(b)）。 • AI旅行助手：为提供该助手的合同履行（第6条(1)(b)）；为评估和改进该助手的合法利益（第6条(1)(f)）。 • 位置数据：同意 — 我们仅在您明确授予权限时处理您的位置（第6条(1)(a)）。您可随时通过设置或您的设备设置撤回同意。 • 分析和使用数据：合法利益 — 我们分析使用模式以改进应用性能和用户体验，并生成匿名的汇总统计数据（第6条(1)(f)）。 • 安全与防止滥用（电子邮件验证、设备认证、反垃圾信息频率限制、内容审核）：合法利益（第6条(1)(f)）。 • 营销和推送通知：同意 — 我们仅在您选择加入并同意的情况下发送推广信息（第6条(1)(a)）。您可随时通过设置中的通知偏好撤回同意。

每个账户都拥有唯一的公开用户名（@handle）。您的公开个人资料数据（显示名称、头像和用户名）在您的个人资料页以及您发布的内容旁向其他用户展示。您可以在遵守反滥用限制的前提下，从设置中更改您的用户名；此后，先前的用户名将可供其他用户使用。您的用户名包含在您的数据导出中，并在您删除账户时被删除。法律依据：合同履行。

Wandermi包含一个基于生成式AI的旅行助手（模型提供方：Google）。 • 发送至模型的数据：您消息的文本、您正在规划的行程的上下文（目的地、日期、兴趣）以及根据您以往对话构建的旅行偏好画像。我们不会发送您的电子邮件地址或您的精确GPS位置。 • 模型运行地点：该助手在位于欧盟（europe-west1区域）的Google Cloud Vertex AI上运行。Google依据《Google Cloud数据处理附录》，作为我们的处理者根据GDPR第28条行事，且不会使用您的提示词或模型输出来训练其自有模型。您的对话在欧盟境内处理。 • 记忆：我们存储（i）您的对话历史，（ii）根据您跨行程的对话构建的持久旅行者画像，以及（iii）每次行程的记忆，以便助手在会话之间保持上下文。您可以在应用内归档或重命名会话。 • 保留和删除：对话以及两类AI记忆在您的账户处于活跃状态期间予以保留，并在您删除账户时被删除。它们包含在您的数据导出中。此外，我们另行保留假名化副本（不含直接标识符）以评估和改进该助手：对话文本最长保留12个月，技术指标最长保留24个月 — 关于您删除账户时这些副本的处理方式，请参见"分析数据仓库"。 • 准确性：答案由系统自动生成，可能包含错误或过时的信息。您可以在聊天中长按消息来举报任何答案。 • 法律依据：合同履行（提供该助手）和合法利益（评估和改进该助手）。您可以通过写信至privacy@wandermi.com对改进相关的处理提出反对。

在获得您的许可后，我们出于以下目的使用您的位置： • 拥挤度报告：其他用户看到的报告仅存储近似坐标（四舍五入至约1 km的精度）。您所报告地点的精确坐标单独存储于客户端应用无法读取的受限访问集合中：它们绝不会向其他用户展示，也绝不会与第三方共享。它们包含在您的数据导出中，并在您删除账户时被删除。 • 停留检测：我们据此推导出在某地停留时间的汇总值。我们不记录您的连续GPS轨迹，也不追踪您的行动。 • 与公共机构共享的统计数据均为匿名且仅为汇总形式。 您可以随时从设置 → 位置或从您的设备设置中关闭位置共享；应用仍可继续使用。法律依据：同意（第6条(1)(a)），您可随时撤回；就汇总统计数据的生成而言，为合法利益。

您可以生成公开链接以共享行程。在链接有效期间，任何持有该链接的人（包括没有Wandermi账户的人以及应用之外的人）均可查看所共享的内容（行程、停靠点、其中包含的任何照片）。请审慎考虑您共享的内容及共享对象。 您可以随时在共享设置中停用该链接：停用会使内容立即无法通过该链接访问，但对第三方已保存的副本不产生影响。有效链接包含在您的数据导出中，并在您删除账户时被删除。法律依据：合同履行（您所请求的功能）。

• 推送通知：在获得您的许可后，我们向您发送通知（消息、邀请、拥挤度提醒、社交动态）。我们存储与您设备关联的通知令牌，并将其传输给我们的服务商Expo（美国，依据欧盟标准合同条款）；您登出时该令牌将被移除。您可以从设置 → 通知中管理每一类通知，或从您的操作系统中禁用通知。 • 通知语言：我们存储您的应用语言，以便通知以您所使用的语言送达。 • 电子邮件验证：当您使用电子邮件地址注册时，我们会向您发送一封验证邮件；出于安全和防止滥用的目的，必须完成验证才能使用该账户。法律依据：合法利益（第6条(1)(f)）。

为保护服务免受自动化滥用（机器人、脚本、虚假账户）的侵害，本应用通过Firebase App Check使用由Apple（App Attest / DeviceCheck）和Google（Play Integrity）提供的设备认证机制。这些服务验证请求是否来自运行于真实设备上的正版应用副本，并生成技术令牌，该等令牌不用于对您进行画像，也不用于广告目的。法律依据：服务安全方面的合法利益（第6条(1)(f)）。

我们仅与协助我们运营Wandermi的可信服务提供商共享数据。所有合作伙伴均受严格的数据保护协议约束。我们不出售您的个人数据。

我们使用以下次级处理者来提供我们的服务： • Google Firebase（Cloud Firestore、Authentication、Cloud Storage、App Check）— 美国。数据传输受欧盟标准合同条款（SCC）规范。 • Google Cloud Platform（Cloud Functions，europe-west1区域）— 欧盟。 • Google Cloud Vertex AI（europe-west1区域）— 欧盟。提供支持AI旅行助手的生成式模型。Google依据《Google Cloud数据处理附录》作为处理者行事，且不会使用您的提示词或模型输出来训练其自有模型。处理在欧盟境内进行。 • Google Cloud BigQuery（europe-west1区域）— 欧盟。用作分析数据仓库，以了解和改进应用、评估和改进AI旅行助手，并生成匿名的汇总统计数据。受Google的数据处理附录和欧盟标准合同条款涵盖。数据在欧盟境内处理。 • Expo（EAS）— 美国。用于推送通知的投递。数据传输受欧盟标准合同条款（SCC）规范。 • Mapbox — 美国。用于地图显示和地理定位服务。遥测数据收集为可选项，可在隐私设置中禁用。数据传输受欧盟标准合同条款（SCC）规范。 • RevenueCat — 美国。订阅管理基础设施。Wandermi中并未启用付费订阅（参见"付费功能"）：该SDK存在于应用中，但目前不处理任何交易或账单数据。若付费功能启用，RevenueCat将仅接收匿名用户标识符以及Apple/Google的交易元数据 — 不包括电子邮件或其他个人数据。数据传输受欧盟标准合同条款（SCC）规范。 • Sentry — 德国（欧盟数据驻留）。用于错误监控和崩溃报告。捕获堆栈跟踪、应用版本、操作系统版本以及匿名化的设备标识符；除非明确附加，否则不捕获电子邮件或其他个人数据。 • Microsoft 365（Outlook — 由Microsoft Ireland Operations Limited托管）— 欧盟。用于托管机构邮箱（support@、privacy@、dpo@、legal@）并处理您向我们发送的来函。适用标准的Microsoft Online Services DPA。

我们按以下期限保留您的数据： • 账户数据（姓名、电子邮件、用户名、头像、旅行偏好）：在您的账户处于活跃状态期间保留。在您删除账户时删除。 • 消息：最长保留12个月；超过365天的消息将被自动删除。您发送的消息也会在您删除账户时被删除。 • 行程数据（行程计划、已保存的目的地、照片）：在您的账户处于活跃状态期间保留。当您删除某个行程时，它将进入30天的恢复期，在此期间可以恢复；30天后，该行程及所有相关数据将被永久删除。所有行程数据也会在您删除账户时被删除。 • AI助手的对话和记忆（旅行者画像、每次行程的记忆）：在您的账户处于活跃状态期间保留。在您删除账户时删除。 • 位置数据：随您提交的拥挤度报告一并存储的近似坐标（约1 km），以及以受限访问方式单独保存的精确坐标，均保留至您删除账户为止。 • 推送通知令牌：在您登出时移除。 • 分析数据仓库中的假名化副本：AI对话文本最长12个月；AI技术指标最长24个月；其他分析事件最长26个月。参见下文"分析数据仓库"。

我们出于三个目的使用分析数据仓库（Google Cloud BigQuery，欧盟europe-west1区域）：（a）了解应用的使用情况并加以改进；（b）评估和改进我们的AI旅行助手；（c）生成关于旅游流量和过度拥挤的匿名汇总统计数据。 • 假名化与数据驻留：发送至数据仓库的记录不包含您的姓名、电子邮件或原始账户标识符 — 该标识符被替换为假名（带密钥的哈希值）。所有处理均依据Google的DPA和欧盟标准合同条款在欧盟境内进行。 • AI改进：与AI助手的对话可能以假名化形式用于评估和改进该助手。法律依据：合法利益。您可以通过写信至privacy@wandermi.com提出反对。 • 汇总统计（B2G）：与公共机构或目的地管理组织共享的统计数据仅为匿名数据 — 其中不包含任何可以识别您身份的信息，并且会应用最低汇总阈值，以确保无法识别出任何个人。我们绝不出售您的个人数据。 • 删除 — 当您删除账户时实际发生的情况：我们会从运营系统（数据库和文件存储）中删除您的数据 — 个人资料、用户名、行程、照片、消息、AI对话和记忆、共享链接，以及您拥挤度报告的精确坐标。已传输至分析数据仓库的假名化副本在该时刻不会被逐条单独移除：它们已不再包含您的账户标识符，并将保留至其保留期限届满（AI对话文本最长12个月；AI技术指标最长24个月；其他分析事件最长26个月），届满后予以删除。已生成的匿名汇总数据不属于个人数据，将予以保留。如果您希望我们在此之前移除与您相关的假名化记录，请在删除账户之前写信至privacy@wandermi.com，以便我们能够识别这些记录。

为显示热门地点的预计繁忙时段，我们使用来自Google地图的公开可得的汇总"热门时段"数据，该数据针对一组经过甄选的知名场所定期收集。该数据为汇总且匿名的数据 — 不包含关于您或任何其他可识别个人的个人信息。它作为永久基线予以存储，约每年刷新一次，并且绝不会以原始形式向第三方共享或转售。

Wandermi包含应用内消息功能，使您能够与其他旅行者交流，并共享行程计划、照片、投票和位置。 • 加密：所有消息在传输中（TLS 1.2+）和静态存储时（AES-256）均经过加密。目前尚未实施端到端加密；这使得欧盟《数字服务法》（条例（欧盟）2022/2065）所要求的服务器端审核和内容举报成为可能。 • 存储的内容：消息文本、附加媒体（照片）、投票、位置、表情回应、回复上下文以及编辑/置顶元数据。已读回执被存储以支持会话未读计数。 • 审核：我们实施自动频率限制（每位发送者每分钟最多40条消息，每小时最多300条），并处理用户举报。被举报的内容将接受审查并可能被移除；滥用账户可能被暂停。 • 举报违法内容：您可以通过长按菜单 → 举报，举报任何消息。举报由我们的审核人员审查，通常在48小时内完成。 • 编辑与删除：您可以在发送后15分钟内编辑您的消息，并可随时删除消息。删除您的账户将删除您已发送的消息。 • 推送通知：消息预览可能会显示在推送通知中。您可以通过设置 → 通知禁用预览。 • 未成年人：根据GDPR第8条及意大利的实施规定，使用消息功能的最低年龄为14岁。

根据《通用数据保护条例》，您就您的个人数据享有以下权利： • 访问权和数据可携权（第15条和第20条）：使用设置中的"导出我的数据"下载包含您全部数据（包括您与AI助手的对话）的完整JSON文件。 • 更正权（第16条）：可随时通过编辑个人资料更正您的个人数据。 • 删除权（第17条）：使用设置中的"删除账户"。此操作将从我们的运营系统中移除您的账户、内容、消息、AI对话和记忆、用户名、共享链接以及您拥挤度报告的精确坐标。关于分析数据仓库中的假名化副本，请参见上文"分析数据仓库"。 • 反对权和撤回同意权（第21条）：您可以随时从设置 → 位置中关闭位置功能，从设置 → 通知中关闭通知。若要反对为分析和AI改进目的处理假名化数据，请写信至privacy@wandermi.com。 • 投诉权：您可以向意大利监管机构（个人数据保护局 — Garante per la protezione dei dati personali）或您居住国的监管机构提出投诉。 • 重新接受：如果我们对条款或本政策作出重大变更，我们将在您下次打开应用时请您重新接受；如果您不接受，服务访问将被暂停。 如需行使上述任何权利，请通过privacy@wandermi.com与我们联系，或使用应用内的相应功能。

您的部分个人数据可能被传输至美国并在美国处理，我们的部分服务提供商位于该国（Firebase、Expo、Mapbox、RevenueCat）。这些传输受欧盟委员会批准的欧盟标准合同条款（SCC）保障。AI助手和分析数据仓库所进行的处理在欧盟境内（europe-west1区域）进行。

根据《通用数据保护条例》（GDPR）第37条，我们无需指定数据保护官（DPO）：我们并非公共机构，我们的核心活动不涉及大规模处理特殊类别的个人数据，也不对数据主体进行大规模的定期和系统性监控。我们会持续复核这一评估，一旦满足相关条件，将指定数据保护官。 如对我们处理您个人数据的方式有任何疑问，或希望行使您在 GDPR 项下的权利，请联系 privacy@wandermi.com。您还有权向您居住国的监管机构提出投诉。

Wandermi目前是免费的：没有已启用的订阅或应用内购买，我们也不处理任何支付数据。应用中标注为"即将推出"的功能（例如高级订阅或打印相册）尚未启用。 我们的订阅管理基础设施（RevenueCat）存在于应用中，但在付费功能未启用期间不处理任何交易。如果启用付费功能，我们将提前通知您并更新本政策。在任何情况下，支付都将完全由iOS上的Apple（App Store）和Android上的Google（Play Store）处理：我们绝不会收集或存储您的支付卡详细信息或账单地址。

Wandermi计划在未来版本中提供可选的打印照片相册。当该功能推出时： • 共享：仅有为完成您的订单所严格必需的数据会与我们的印刷合作伙伴Peecho（位于荷兰，欧盟）共享：您的收件人姓名、收货地址、您明确选择用于相册的照片，以及订单详情。 • 不共享其他数据：我们不会与Peecho共享您的账户电子邮件、行程计划或任何其他个人信息。 • 每笔订单需明确选择加入：该功能要求您在每次下单时给予明确同意。没有有效订单，不会共享任何数据。 • 当前状态：截至当前版本，该功能尚未启用。此前和目前均未与Peecho共享任何数据。在该功能投入运行之前，我们将更新本政策并在应用内通知用户。

我们实施行业标准的安全措施，包括传输中加密（TLS 1.2+）和静态存储加密（AES-256），以保护您的个人信息免遭未经授权的访问。发往我们后端的请求通过设备认证（Firebase App Check）进行验证。拥挤度报告的精确坐标保存在客户端应用无法读取的受限访问集合中。对生产系统的访问仅限于经授权的人员，并受多因素身份验证保护。