隐私政策

我们是谁

Viewpoint 由 Marcos Barbero 开发和运营，常驻荷兰，是你个人数据的数据控制者。

如有任何隐私相关问题、请求或投诉，请联系：[email protected]。

简要版本

在 Free 和 Pro 方案下，如果你不登录，我们的服务器不会存储任何关于你的信息。 你的机位、照片和备注都不会经过我们的手中，你的购买完全由你购买时所使用的商店处理（iPhone 和 iPad 上是苹果，Android 上是 Google Play），可以以访客身份拍摄、浏览和规划——我们完全看不到这些内容。

无论使用哪种方案，应用都会向我们的服务器询问哪些功能已为它开启。在 Online 以下的方案中，这一请求只包含平台（iPhone 和 iPad、Android 或网页版）、应用版本和构建渠道（商店版、测试版或开发版），不含任何标识符，我们也不会存储任何关于你设备的信息。在 Online 方案中，这一请求会随你的账户一起发送，以便逐步推出新功能。在 Android 上，设置 → 检查网络连接会询问我们的服务器是否可以访问，不会发送任何关于你的信息。

“我们看不到”并不等同于“它永远不会离开你的手机”，这一区别值得先说清楚。 在 Pro 方案下，你的图库会由平台复制到你自己的云端账户，而不是我们——在 iPhone 和 iPad 上是通过你的 iCloud（这也是 Pro 在你的设备间同步机位和照片的方式），在 Android 上是通过 Android 的自动备份同步到你的 Google 云端硬盘。无论哪种情况，这份副本都保存在你自己的账户、你自己的存储空间中，由你自己掌控；我们没有访问权限。Android 还多一项属于平台、而非我们的机制：谷歌自身的服务会在每次 Android 应用首次启动时注册该次安装，无论你是否已登录，也无论你是否开启了通知。详情见我们存储哪些关于你的信息和服务提供商与子处理者。

Online 订阅（服务器端同步、实时天气与状况提醒、备份和分享功能）需要 Viewpoint 账户，因此开通时需要登录；Free 和 Pro 则始终无需账户。

一旦你登录，Viewpoint 只会收集完成这些功能所必需的信息（账户、机位、照片、订阅状态），不会收集其他任何内容。分析功能是选择加入的，且仅涉及行为数据——绝不包含你的照片、GPS 坐标、机位名称，或你输入的任何文字，不过它确实会连同你的 IP 地址一起发送给 Mixpanel，以便将事件归因到某个国家（见分析数据）。我们不出售数据，也不向你展示广告。我们会与你设备已经运行的平台服务共享数据——iPhone 和 iPad 上是苹果的服务，Android 上是谷歌的服务（登录、支付、推送、地图和位置功能）——以及与下文列出的服务提供商共享，其中包括少数位于欧盟以外的提供商。

我们存储哪些关于你的信息

仅在你登录时适用。 本节内容只在你通过登录创建账户后才适用。作为访客（未登录）时，这里的内容都不会传递给我们：没有账户，你的机位、照片、地图、计划和提醒都只保存在手机应用的本地数据库中。

两点说明，均与我们无关。

在 iPhone 和 iPad 上，Pro 通过你自己的 iCloud 保持设备同步：应用会把你的机位、地图、计划、提醒以及拍摄的照片文件，写入你苹果账户的私有 CloudKit 数据库。这是你的 iCloud 存储空间，也是你的数据；我们无法读取，也不涉及任何 Viewpoint 服务器。照片文件仅通过 Wi-Fi 上传。可在 iOS 设置 → 你的名字 → iCloud 中为该应用退出 iCloud 登录来关闭此功能。

在 Android 上，系统自带的自动备份功能已为该应用启用，因此应用的本地数据——包括上述数据库及其存储的照片——可能会复制到你自己的 Google 云端硬盘备份中，保存在你谷歌账户的存储空间内，由你掌控。我们完全看不到这些内容。可在 Android 设置 → 谷歌 → 备份中关闭该功能，或在设备的备份设置中针对单个应用关闭。

作为访客，天气查询依然可用——只会发送你所查看位置的经纬度，绝不涉及身份信息（见服务提供商与子处理者 → Open-Meteo）——你的订阅状态会直接与商店（苹果或 Google Play）核实，因此我们同样看不到这部分信息。

• 你的账户——邮箱地址、显示名称，以及如果你通过苹果登录或谷歌登录，会附带这两者返回的匿名标识符。显示名称取自苹果或谷歌在你首次登录时提供的信息——通过苹果登录时，是你在同意界面上选择分享的名称；如果你没有分享任何名称，我们会从你的邮箱地址推导出一个。我们从不要求你提供真实姓名。

• 你的机位、照片、地图、计划和提醒——你在应用中创建的数据。拍摄的照片存储在我们自己的对象存储中；其余数据保存在 PostgreSQL 数据库中。两者都运行在位于欧盟、由所有者自行运营的基础设施上。你上传到我们服务器的每一张照片，在能够出现在任何公开界面之前，都会经过一次自动化的安全检查，以排查违法和成人图像内容。该检查运行在与其他一切相同的服务器上——图片绝不会为此发送给任何第三方。这一检查发生在每一次上传时，而不仅限于你选择公开的照片。检查存在的原因，参见信任与安全。

  （本政策的早期版本曾说明该安全检查由位于欧盟以外的推理服务提供商 Hugging Face 执行，照片会发送到那里。这一说法已不再属实：该检查现在运行在我们自己的硬件上，你上传的照片不会离开我们的基础设施。Hugging Face 已不再是任何数据的接收方。）

• 公开分享的机位——如果你明确将某个机位设为公开，其位置、名称、照片、构图备注和到达信息，会通过公开机位界面对其他 Viewpoint 用户可见。私人备注和账户内部状态（收藏标记、同步时间戳）永远不会变为公开，无论该机位的分享状态如何。发布是自愿选择的，需要经过确认步骤（一个确认面板会在你确认前明确列出将公开的内容），且可以撤销——完整机制以及野生动物保护措施，参见公开分享机位。
• 订阅状态——你处于 Online 免费试用期还是付费 Online 订阅期，以及计费周期（按月、按季或按年）。Pro 的购买只留在你的商店和设备上，我们不保存任何记录。实际付款由你的商店处理——iPhone 和 iPad 上是苹果的 StoreKit，Android 上是 Google Play Billing——我们绝不会看到你的银行卡信息。在这两个平台上，登录状态下购买时都会把你的 Viewpoint 账户标识符传递给商店，以便将订阅与你的账户匹配——对苹果而言，是作为购买记录的 appAccountToken；对 Google Play 而言，是其混淆处理后的账户 ID。以访客身份购买时，两个商店都不会传递我们的任何标识符。两者的区别仅在于订阅状态之后如何传递给我们：在 iPhone 和 iPad 上，应用会把苹果签名的收据发送到我们的服务器；在 Android 上，谷歌会直接向我们的服务器报告。
• 推送通知令牌——用于识别你设备、以便我们推送状况提醒的匿名标识符：iPhone 和 iPad 上是苹果的 APNs 令牌，Android 上是 Firebase Cloud Messaging（谷歌）注册令牌，此外——如果你在网页应用中开启了浏览器通知——还会有一个推送订阅地址，由你自己浏览器的推送服务生成（Firefox 由 Mozilla 生成，Chrome 由谷歌生成，Safari 由苹果生成）。我们只会在你登录后才存储这一信息，退出登录时会立即在服务器端使其失效（该设备会立即停止接收发送给该已退出账户的提醒）。在 Android 上，这个令牌在我们请求之前就已经存在： 谷歌的 Firebase 库会在首次启动时向谷歌注册该次安装——参见服务提供商与子处理者 → 谷歌。退出登录会使我们保存的这份令牌失效；只有卸载应用（或清除其数据）才能移除谷歌那一端的注册信息。
• 分析事件（仅在你开启分析功能时）——见下一节。
• 崩溃报告——两个平台都没有接入任何第三方崩溃报告服务；我们使用的是各平台自带的报告机制。
  • 在 iPhone 和 iPad 上，苹果的设备端 MetricKit 框架会生成诊断信息（堆栈跟踪、异常／信号代码、设备型号和系统版本、应用版本）。崩溃信息通过苹果标准的开发者崩溃报告（App Store Connect）呈现给我们，同时也会将摘要信息发送到 Viewpoint 服务器，以便我们及时了解情况。
  • 在 Android 上，应用完全不包含任何崩溃报告代码。崩溃和无响应（ANR）信息仅通过操作系统收集的 Google Play 管理中心标准报告到达我们，不会发送到任何 Viewpoint 服务器。是否收集这类信息，取决于你设备自身的“使用情况与诊断”设置，而非由应用决定。

  无论哪种情况：绝不包含你的照片、GPS 位置、备注、邮箱、真实姓名，或机位／地图／计划的内容。默认开启（依据 GDPR 第 6(1)(f) 条的合法利益条款——了解应用崩溃情况，对于维持应用为你正常运作是必要的）。

Online 结束后图库保留多久。 Viewpoint Online 订阅结束后，我们会把服务器上的图库副本保留 7 天，这样即使晚一点续订或改变主意，也不会有任何损失。7 天过后，我们会从服务器上删除它：删除的是记录和照片文件本身，而不只是做个标记。手机、平板或电脑上的副本绝不会受到影响。删除前 48 小时，我们会通过推送通知以及“工具”和“规划”标签页上的提示告知你。与你分享的人在你的机位和地图上添加的内容会保留，你的分享也保持不变；在你重新订阅之前，分享机位的图钉会留在我们的服务器上，但不含名称、备注和照片。我们会保留你的账户和账单记录，这是税务和审计所需。如果你之后重新订阅，从那时起设备同步的内容会重新保存。

位置信息如何使用

位置信息仅在地图和拍摄功能相关场景下才会请求和使用，用于放置和查找机位。在几乎所有情况下，应用只会在你需要时向操作系统请求一次定位，应用关闭时不会有任何后台运行。

有一项功能是例外，且仅限 iPhone 和 iPad。 出行时建议提醒（设置 → 出行）会在你到达一个新地方时注意到这一点，并提议在那里设置一项提醒。为此它需要 iOS 的“始终”位置权限，而 iOS 只有在你对它以你的名义显示的对话框点了同意后才会授予该权限。在你同意之前，不会有任何后台程序运行；如果你授权，iOS 会在位置发生显著变化时唤醒应用，应用会判断你是否到达了值得建议提醒的新地方，仅此而已——位置信息只在你的设备上使用，以及用于下文所述的反向地理编码查询，绝不会发送给我们。关闭该设置，或在 iOS 设置 → 隐私 → 定位服务中撤销“始终”权限，即可停止此功能。Android 完全没有后台定位功能，也不会请求任何后台定位权限。

地图本身属于你所使用的平台，该平台能看到你的地图操作。 Viewpoint 不会自行绘制地图图块，因此平移地图、打开街景漫游、按名称搜索地点、把坐标转换为地名，或获取一次定位，都是向你所在平台的地图和位置服务发出的请求：

• 在 iPhone 和 iPad 上是苹果——MapKit 提供地图图块，街景漫游提供街景影像，Core Location 提供定位，MapKit 地点搜索处理文字搜索，MapKit 的地理编码器负责把坐标转换为地名。
• 在 Android 上是谷歌——Google 地图 SDK 提供地图图块，街景全景图提供街景影像，Android 系统地理编码器负责地名与坐标的双向查询，Google Play 服务的融合定位提供商负责定位，该服务同时会利用附近的 Wi-Fi 和蜂窝信号以及 GPS。
• 在网页应用中是谷歌——Google 地图 JavaScript API 提供地图图块，地点自动完成功能处理文字搜索，街景视图提供街景影像，静态地图 API 提供机位页面和分享拍摄计划卡片上的小幅地图图片。

地点查询是双向的，两个方向发送的信息也不同：

• 按名称搜索会发送你输入的文字。 在地点搜索框中输入的每一个字符，都会随一个大致的地图区域一起，实时发送给苹果（iPhone 和 iPad 上）或谷歌（Android 和网页上），以便结果贴近附近区域。
• 反向地理编码会发送一个坐标。 为了给机位标注地名，或判断某个机位所在的时区，应用会把坐标发送给平台的地理编码器，并获取对应的名称。在 iPhone 和 iPad 上，这一过程会在后台针对尚无标签的机位分批进行——因此随着你图库的使用，你保存的机位坐标会陆续发送给苹果的地理编码器。在 Android 上，唯一发生这种情况的场景是可分享的计划卡片，且该坐标会在发送前刻意模糊化——对齐到 0.05° 的网格，大致相当于 5.5 公里，因此离开设备的只是大致街区范围，而不是精确机位。

无论哪种情况，坐标和搜索文字都直接发送给相应平台，不经过我们的服务器，并受该平台自身隐私政策的约束。我们绝不会连同你的账户身份一起发送这些信息。

我们自己的服务器也会转发坐标信息。 有些功能是通过向第三方查询某个地点的信息来实现的，始终只使用坐标或区域范围，绝不附带任何能识别你身份的信息：Open-Meteo 提供天气数据，OpenStreetMap 的 Overpass 服务、Wikidata 和 Wikimedia Commons 提供地图和地标信息，谷歌提供街景预览图，亚马逊网络服务（AWS）的开放数据存储桶提供地形高程图块（一个图块大致覆盖 10 公里见方的范围，因此 AWS 看到的是图块，而不是你的具体位置），此外——仅限“寻找拍摄机位”功能的辅助模式——会把你正在规划的拍摄主体（包括其坐标）发送给 OpenAI。每一项服务都在服务提供商与子处理者中列出。

分析数据——选择加入

分析功能默认关闭。可在设置 → 隐私 → 分享使用数据分析中开启。开启后：

• 我们会通过位于欧盟境内的接入端点（api-eu.mixpanel.com），把行为事件（例如“用户查看了探索标签页”“用户拍摄了一个机位”“试用转为付费订阅”）转发给 Mixpanel。
• 每个事件都会附带你的用户 UUID（与我们数据库中相同的标识符）和一组固定的允许属性——均为封闭的枚举值或布尔值，绝不包含来自你的机位、地图或照片的自由文本。
• 你的 IP 地址会随每个事件一同转发，以便 Mixpanel 将其归因到某个国家和城市，而不是我们服务器的所在地。这是粗粒度的、基于网络推断的位置信息——绝非你的 GPS 位置，后者绝不发送。如果你不希望发送这一信息，请保持分析功能关闭。
• 除此之外：姓名、邮箱、GPS 坐标、EXIF、你的机位／地图／计划名称，以及你输入的任何文字——这些都绝不会包含在分析数据中。后端在事件接入环节通过一份封闭的允许列表强制执行这一规则；任何试图携带不允许属性的事件都会在边缘被拒绝。
• 你可以随时关闭分析功能。数据传输会立即停止。删除账户还会向 Mixpanel 提交一份删除请求，清除你的历史事件数据。

完整说明参见分析数据的运作方式。

服务提供商与子处理者

Viewpoint 依赖以下服务提供商。它们都接触不到你未加密的账户或数据，超出各自服务所需的部分一律无权访问。你所使用的应用版本会与哪些服务提供商通信，取决于你所在的平台，因此下文每一项都会明确说明。

其中大多数位于欧盟境内，或属于你所使用平台自身的服务。有两项不属于此列，值得仔细阅读：OpenAI 会接收你在“寻找拍摄机位”中输入的内容，以及你正在规划的拍摄主体坐标；Mixpanel 会在你选择加入分析功能后，随每个分析事件接收你的 IP 地址。

本列表中没有任何服务提供商会接收你的照片。 读取每一张上传图片的自动化安全检查运行在我们自己的服务器上。

我们自己的基础设施（两个平台通用）

• 自托管基础设施——API 服务器、PostgreSQL 数据库、存储你拍摄照片的对象存储，以及读取每张上传图片的自动化安全检查，全部运行在位于欧盟、由所有者自行运营的基础设施上。没有任何第三方云主机存储你的账户数据或照片，照片绝不会发送到该基础设施之外的任何地方。
• Cloudflare——提供将流量路由到后端的安全网络隧道和 DNS 服务（TLS 在传输过程中在这里终止；Cloudflare 不存储你的账户数据或照片）。

苹果——iPhone 和 iPad，以及网页版的登录功能

• 通过苹果登录——在 iPhone、iPad 和网页应用中提供，仅在你选择该登录方式时使用。在网页上，这会向页面加载苹果的登录脚本。
• StoreKit——支付和订阅管理。收取款项、保存支付信息的是苹果，而不是我们。
• APNs——状况提醒的推送投递服务。仅在你登录并且授予通知权限后才会注册；如果你拒绝，则不会创建任何推送标识符。
• App Store Connect + MetricKit——崩溃和卡顿诊断信息。
• MapKit、街景漫游、Core Location——地图图块、街景影像、地点搜索、反向地理编码和定位（见位置信息如何使用）。
• iCloud（CloudKit）——仅限 Pro，且是你自己的 iCloud。 应用会把你的机位、地图、计划、提醒和拍摄的照片，镜像保存到你苹果账户的私有数据库中，让你的设备在无需 Viewpoint 账户的情况下保持同步。这是 Pro 下离开设备的最大一部分内容——但它进入的是你自己的存储空间，而不是我们的。我们没有访问权限，也不涉及任何 Viewpoint 服务器。照片文件仅通过 Wi-Fi 上传。
• SKAdNetwork——苹果的隐私保护型安装归因机制。当你首次启动应用时，以及你购买 Pro 或开通 Online 订阅时，iOS 会向向你展示广告的广告网络发送一份汇总的、匿名的回传信息——见下文的 Meta。这里不涉及广告标识符（没有 IDFA）、没有追踪权限提示，应用中也没有任何广告 SDK；发送方是苹果，它只会告诉广告网络发生了一次安装或订阅，绝不会告诉对方是你完成的。

谷歌——大部分仅限 Android，两项在两个平台通用

• 通过谷歌登录——在 iPhone、iPad、Android 和网页应用中提供，仅在你选择该登录方式时使用。在网页上，这会向页面加载谷歌的登录脚本。
• 街景静态影像——在所有平台上使用，包括 iPhone 和 iPad。当某个机位没有自己的照片时，我们会为其获取一张街景预览图，该请求会携带机位坐标发送给谷歌。这一请求由我们的后端发出，而不是你的手机，因此谷歌看到的是坐标和我们服务器的请求——绝不会看到你的账户信息，也不会看到你设备的地址。网页应用中的街景预览也是同样的方式。
• 静态地图图片——网页应用的情况有所不同，值得了解。 网页应用中分享拍摄计划卡片上的小幅地图图片，是由浏览器直接从谷歌加载的，而不经过我们代理，坐标会包含在图片的请求地址中。因此与上文的预览图不同，谷歌会同时看到坐标、你的 IP 地址和浏览器信息。网页应用绘制的交互式地图同样如此，它们由谷歌提供，运行在你的浏览器中。iPhone、iPad 和 Android 应用则各自绘制自己的地图。
• Firebase Cloud Messaging + Firebase Installations——仅限 Android，且不受任何条件限制。谷歌的 Firebase 库会随应用一同启动，并在首次启动时向谷歌注册该次安装——发生在任何登录之前、引导页面之前，且无论你是否曾允许通知。谷歌会收到你设备上该应用的安装标识符，以及此类请求通常携带的技术信息（应用和库版本、设备型号、系统版本、IP 地址）。这不会包含你的账户、邮箱、机位或位置信息。我们只会在你登录后存储由此产生的令牌；退出登录时我们会使自己保存的副本失效，但谷歌那一端的注册信息会一直保留，直到你卸载应用或清除其数据。
• Google Play Billing——仅限 Android。Android 上的支付和订阅管理由谷歌负责，而非苹果。如果你在购买时已登录，你的 Viewpoint 账户标识符会随购买信息一起传递给 Google Play，以便将订阅与你的账户匹配，谷歌会把订阅状态报告给我们的服务器。以访客身份购买则不会传递我们的任何标识符。如果你以访客身份购买、之后才登录，应用会把这笔购买的 Google Play 令牌连同你的账户发送到我们的服务器（任何方案都一样），以便将这笔购买与你匹配，并在你的其他设备上同样可用。
• Google 地图 SDK、街景视图、Android 地理编码器，以及 Google Play 服务的融合定位提供商——仅限 Android。地图图块、街景影像、地点搜索（你输入的文字）、经刻意模糊处理坐标的反向地理编码，以及定位信息，都会发送给谷歌。见位置信息如何使用。
• Google 地图 JavaScript API、地点自动完成、街景视图和静态地图——仅限网页应用。浏览器会直接从谷歌加载这些内容，因此谷歌会看到你的 IP 地址，以及地图区域、坐标或你输入的文字。见位置信息如何使用。
• Google Fonts——仅限网页应用和我们的网站，手机应用不涉及。 我们用的两款字体从谷歌字体 CDN 加载，而不是由我们自己提供服务，因此谷歌会看到该请求——你的 IP 地址、浏览器信息，以及你来源的页面。这会发生在网页应用的每一个页面上，也包括 getviewpoint.app 的每一个页面，包括本页，以及你打开助手面板时。需要注意时机：与上述分析功能不同，字体请求不受 Cookie 提示横幅的限制——无论你之后是接受还是拒绝，它都会在页面加载时立即触发。这一过程不涉及任何账户数据，也不会存储任何信息；这是一个托管方式的选择，而非追踪手段，自行托管字体文件即可消除这一点。
• Google Play 管理中心——仅限 Android。Android 上的崩溃和无响应（ANR）信息通过 Play 标准的报告机制到达我们，这套机制由操作系统收集；应用本身不包含任何崩溃报告代码。
• Google Play Developer API——仅限 Android，服务器端使用。为确认订阅的真实性，我们的服务器会把购买令牌发回谷歌验证。同样的机制还会为在 Android 上购买过 Viewpoint 早期 Offline 或 Online 订阅的用户做一次性、无状态的核验：用谷歌的 API 核对你有效的购买令牌，永久授予 Pro，无需账户，也不保存任何内容。
• 以下平台均不使用： Google Analytics / Firebase Analytics、谷歌广告、谷歌广告标识符，以及谷歌的归因 SDK。Android 应用刻意只集成了 Firebase 的消息推送功能。

Meta——仅限 iPhone 和 iPad，且仅为汇总数据

• 我们在 Instagram 和 Facebook 上投放 Viewpoint 的广告，因此需要了解这些广告是否有效。在 iPhone 和 iPad 上，这项效果衡量完全通过苹果的 SKAdNetwork 完成：当应用首次启动时，以及你购买 Pro 或开通 Online 订阅时，是苹果——而不是应用本身——向 Meta 发送一份匿名的、汇总的回传信息，说明发生了一次安装或订阅。应用中不包含任何 Meta SDK，没有广告标识符，没有追踪权限提示，也没有任何机制能把该事件与你本人、你的设备或账户关联起来。苹果会刻意延迟并粗化这些回传信息，使其无法追溯到具体个人。Android 和网页上没有任何类似机制。

其他服务提供商（两个平台通用）

• Mixpanel——分析服务（仅在你选择加入时使用；使用欧盟境内的接入端点）。在各应用中——iPhone、iPad、Android 和网页应用——你的设备上不会安装任何 Mixpanel SDK：事件会先发送到我们自己的服务器，再由我们转发。每个转发的事件都会携带你的用户 UUID 和 IP 地址，Mixpanel 会据此推算出大致的国家和城市。除此之外不会附带任何其他可识别身份的信息——见分析数据。我们的网站是一个例外，且运作方式相反。 getviewpoint.app 确实会向你的浏览器加载 Mixpanel 自己的脚本——但仅在你接受 Cookie 提示横幅之后，并且已配置为告知 Mixpanel 不要记录你的 IP 地址。如果你拒绝该提示，脚本则完全不会加载。
• Open-Meteo——天气预报。调用请求经由我们的后端发出；你的账户身份绝不会发送给 Open-Meteo，只会发送你所查看位置的经纬度。

• OpenAI——通过两个场景接入，均经由我们的后端，绝不直接来自你的设备。

  1.“寻找拍摄机位”的辅助模式。 这里会发生两次调用，各自发送不同的信息。理解你的请求这一步会发送你输入的文字（最多 2000 字符），OpenAI 会将其转化为结构化查询——涉及哪个地标、哪个天体、哪个时间范围。推荐机位这一步则会发送你正在规划的拍摄主体：其名称和坐标（精确到约一米），以及你要求的对齐方式和时间范围，以便模型据此推荐拍摄位置。如果你是从自己保存的某个机位启动该功能的，该机位就是拍摄主体——因此它的名称（由你撰写）和位置都会随请求一同发送。账户身份不会发送，你其他的机位也不会。该功能的确定性模式则完全不会发起此类调用。

  2. 我们网站上的助手。 getviewpoint.app 的每一个页面——包括本页——都带有一个小型聊天按钮，即 Viewpoint 助手。你在其中输入的任何内容都会经由我们的后端发送给 OpenAI，用于查找相关文档并生成回答。如果你什么都不输入，就不会发送任何内容。它并不知道你是谁；它与你的账户没有任何关联，任何阅读本网站的人都可以使用它。

  （本政策的早期版本曾说明坐标和已保存机位绝不会发送给 OpenAI，且只有“寻找拍摄机位”会调用 OpenAI。这两点说法均有误，本条目对此作出更正。）

• Wikimedia（Commons、Wikidata）和 OpenStreetMap 的 Overpass 服务——用于为没有自己照片和地名的机位查找现有的公开照片和地名，并在规划时查询地标和法律准入边界。由我们的后端调用，携带机位坐标或其周边区域；不会发送任何账户身份信息。
• 亚马逊网络服务（AWS）——从公开开放数据存储桶获取地形高程图块，用于计算某个机位的地平线和天际线形状。我们的后端会请求覆盖该坐标的图块；一个图块大致覆盖 10 公里见方的范围，因此 AWS 看到的是图块本身，而非你的具体位置。不会发送任何账户身份信息。
• Esri（ArcGIS）与欧洲环境署——用于在某个机位落在自然保护区或国家公园范围内时向你发出警示的保护区边界数据。我们的后端会发送你当前查看区域周边的一个边界框；不会发送任何账户身份信息。这些数据源是可选的，除非配置启用，否则处于关闭状态；关闭时，不会向这两方发出任何请求。
• 你浏览器的推送服务——仅限网页应用，且仅在你开启浏览器通知时使用。你的浏览器交给我们的地址，归属于该浏览器的开发方（Firefox 是 Mozilla，Chrome 和 Edge 是谷歌，Safari 是苹果），由该服务负责把提醒送达给你。它能看到某条通知已发送到你的浏览器实例，以及发送时间——通知内容是加密的，密钥只有你的浏览器持有，因此该服务无法读取通知内容。
• Slack——一个由 Marcos 阅读的私密频道。有两类信息会发送到这里。支持消息： 当你通过设置发送消息时（iPhone 和 iPad 上是“联系 Marcos”，Android 上是“发送消息给支持团队”，网页应用同理），你的消息会连同账户 UUID、方案、应用版本和设备型号一起发送到这里——只有当你勾选了选择加入的选项时，才会附带你的邮箱地址，该选项默认关闭，并会明确标注将要发送的具体地址。服务器错误提醒： 当我们这一端出现故障时，错误信息也会发送到这里，以便及时发现故障，而不是只留在日志中。这些提醒携带的是技术性故障信息，以及它在代码中的位置——在 iPhone 和 iPad 上，还会包括设备报告的崩溃摘要。它们不会携带你的照片、坐标、备注或邮箱地址。

我们不会做的事

• Viewpoint 内没有广告——所有应用中都没有横幅广告、插页广告，也没有任何广告 SDK。（我们确实会在其他渠道购买广告，让更多人知道这款应用的存在，在 iPhone 和 iPad 上，苹果会向广告网络发送一份匿名的汇总结果——见 Meta。）
• 没有跨应用追踪——两个平台都没有广告标识符，也没有追踪权限提示（因为根本没有可请求的内容），也没有设备指纹识别。
• 不出售数据——你的数据不是、也永远不会成为我们的收入来源。
• 应用中没有任何第三方崩溃或分析 SDK——在 iPhone、iPad、Android 和网页应用中，唯一的分析功能是我们自己的，且需要选择加入，并从我们自己的服务器转发。（我们的网站是个例外：一旦你接受其 Cookie 提示横幅，它会向你的浏览器加载 Mixpanel 的脚本。详见服务提供商与子处理者中的 Mixpanel 条目。）

你的权利（GDPR——包括第 17 条、苹果 5.1.1(v) 指南和 Google Play 用户数据政策）

Viewpoint 在欧盟上线；适用欧盟《通用数据保护条例》（GDPR）。

• 删除权（第 17 条）。 每个平台的设置中都有删除账户功能——iPhone、iPad 和 Android 均适用。触发该操作会永久删除你在我们服务器上的资料，以及依赖它的每一条记录——机位、照片、地图、计划、路线、提醒、设备令牌、会话、订阅和购买记录。我们对象存储中保存的照片会由后台任务在几分钟内清除。Mixpanel 事件数据会通过其 GDPR 数据擦除接口排队删除。已经保存在你自己设备上的图库会刻意保留，与退出登录的效果相同，因此删除账户不会连带删除你的拍摄内容。你无需安装应用即可完成此操作——网页请求路径、被删除内容的完整清单，以及保留内容及其保留时长，参见删除你的账户。
• 访问与数据可携带权。 自助导出功能尚未构建完成。发送邮件至 [email protected]，我们会发送与你账户关联的所有数据的 JSON 导出文件。
• 撤回同意。 对于分析功能，在设置 → 隐私 → 分享使用数据分析中切换开关即可。更改会立即生效——你手机原本要发送的下一个事件将成为第一个被拦截的事件。完整说明参见分析数据的运作方式。
• 异议权、更正权、限制处理权。 如需提出上述应用内功能未覆盖的任何 GDPR 权利请求，请发送邮件至 [email protected]。我们会在 30 天内回复。
• 取消订阅，请通过向你收费的商店，按照其自身的操作说明办理：苹果或 Google Play。取消订阅与删除账户是相互独立的。如果你取消 Viewpoint Online 但不删除账户，服务器上的图库副本（机位及其照片、地图、拍摄计划、路线和状况提醒）会在订阅结束 7 天后从我们的服务器上删除。你的账户、账单记录和设备上的一切都会保留。在这 7 天内重新订阅，则不会删除任何内容。与你分享的人在你的机位和地图上添加的内容会保留，你的分享也保持不变；在你重新订阅之前，分享机位的图钉会留在我们的服务器上，但不含名称、备注和照片。如果你删除账户但不取消订阅，订阅费用会持续扣款，直到你在商店中取消为止，因为只有商店才能停止扣费。

本政策的变更

如果我们对本政策做出会影响到你的变更，本页顶部的“上次更新”日期会反映变更时间。重大变更（新增子处理者、更广泛的数据收集范围、运营主体变更）会在生效前，通过应用内通知以及与你账户关联的邮箱提前告知。

联系方式

如有任何隐私相关问题、请求或投诉：[email protected]。