隐私政策

01账号与个人资料

iPhone 支持 Apple 和已验证邮箱登录。Google 只用于登录后“设置 → 登录方式与账号绑定”中的身份验证，不是 iPhone 登录选项。 Android 支持 Google 和已验证邮箱登录。邮箱注册与重设密码的验证码 10 分钟内有效，未收到时请检查垃圾邮件；邮箱登录不需要 Google 账号。 跨平台共用账号时，请在账号绑定中验证双方身份，核对显示的账号名称与 ID 后确认。两边已有内容的账号会分别保留，不会自动合并。主页用户名为选填，限 3–30 位英文字母或数字，审核后生效，与显示昵称分开。 Apple 登录会验证身份令牌及账号识别码，不会取得 Apple 密码。iPhone 登录凭据保存在钥匙串，Android 由 Android Keystore 加密保护，服务器保存会话令牌摘要。iPhone 的 Google 验证仅在账号绑定内使用 Google Sign-In SDK 及基本身份权限，不读取 Gmail、云端硬盘或联系人。绑定需要重新验证双方身份并明确确认；我们保存服务商识别码、绑定结果及必要操作记录。像素世界地图使用随 App 提供的 Natural Earth 公共领域地理轮廓，呈现概览时不会请求第三方底图。

Android 支持 Google 或已验证邮箱登录。我们处理邮箱地址，用于注册、登录、验证、找回密码及自愿绑定账号。密码仅保存加盐的 scrypt 哈希，不保存明文；验证码以密钥哈希暂存，10 分钟失效，每组最多尝试五次。验证邮件由 GoDaddy 提供的 Microsoft 365 通过 Microsoft Graph 发送；Microsoft 处理收件地址及验证邮件内容，不接收你的 ShotMap 密码。OAuth 账号不会仅凭邮箱自动匹配；不获取 Google 密码，不申请 Gmail、云端硬盘或通讯录权限。

Android 登录会话凭据由 Android Keystore 加密保护。所选照片复制到 App 私有的本机草稿，缓存和草稿不会因关闭 App 自动清除。手动清理或退出登录会清理媒体缓存；草稿按账号留在设备，重新登录同一账号可继续编辑，可主动删除本机草稿。删除账号时清理该账号在此设备的草稿和缓存。

您设置的头像、用户名、短账号 ID，以及选择填写的简介、所在地、Instagram ID、背景图和背景显示设置，会用于个人主页。头像和背景图可能包含您选择文件内的元数据，请在上传前检查。Instagram 为选填，点击后会离开 ShotMap，前往 Instagram 应用或网站。

首次登录须设置头像和用户名，人工审核通过后才能使用 App。后续头像、用户名、简介、所在地、Instagram 和背景图片（含区域与透明度）的修改也须审核；等待期间继续显示已通过的资料。被退回时可查看原因并修改重提。拥有者可以多选分配照片与机位审核、个人资料审核、检举与申诉处理、运行状态查看权限；普通审核员不能审核自己的资料；只有拥有者可在确认后审核自己的资料修改，系统会保留审核记录。 待审核资料副本（含头像、背景图片、用户名及其他提交字段）、版本、提交时间、审核结果、原因和审核记录保存在业务服务器。副本仅本人和获授权的个人资料审核人员可访问，不会先行公开。最新副本会随修改替换，保留必要审核记录；删除账号时清理关联资料，备份按现有周期轮换。隐私可见性设置立即生效。

为核查检举和申诉，我们在新加坡业务服务器存储案件编号、内容关联、参与账号、原因、文字说明、你主动提供的来源链接、处理决定、时间、阅读状态及必要审核记录。这些案件不公开：管理员查看案件材料，检举人和发布者分别查看自己的材料及管理员发给自己的补证请求，双方都能查看处理决定；不向发布者披露检举人身份或其私密材料。不自动抓取来源链接，也不向第三方 AI 检测服务发送照片。当前不支持在案件表单上传附件；需要原片时可联系支援安排。材料按处理争议及必要审计所需保留，账号删除时清理相应提交材料，备份按现有周期轮换；请勿提交无关个人资料。 普通管理员不能处理涉及自己内容的检举；只有平台拥有者可填写原因，对自己发布的机位或照片所涉检举直接结案。双方可查看说明，系统保留审核记录，不删除材料或撤销已有处置，检举人仍可依规则申诉。 登录后将限制你与该用户的内容相互展示。公开网页和第三方保存的内容不受影响。可在设置中取消屏蔽。

为支持 App 审核，我们可提供设有有效期限、可撤销的专用测试账号。服务器只存储加盐哈希登录码，记录登录及账号操作，并对登录尝试限流；不共享个人的 Apple 登录资料。

只有拥有者能在管理中心查看全部用户的头像、用户名、短 ID 和注册时间，并为已通过首次个人资料审核的用户分配或撤销多项管理权限。其他管理员无法读取完整列表。注册时间由服务器记录，不公开在个人主页；旧账号没有原始记录时显示“未记录”。

个人资料可选填 Instagram、小红书 ID 及小红书主页连结，审核通过后会公开显示。不填则隐藏。点击小红书连结可开启主页；只有 ID 时会进入用户搜寻，可能需要安装或登入小红书。这些外部服务的资料使用依其隐私政策处理。

拥有者的用户名单会显示全站用户总数，搜寻结果另计。点击头像或名称可查看已公开的个人主页，管理权限仍由独立按钮设定。

位置反馈保存提交账号、机位、原因、选填建议坐标、创建及阅读状态、更正提案与审核记录。创建者及获授权内容审核员可查看案件；不向创建者显示反馈账号识别资料。公开坐标与地址在审核通过后才更新。删除账号时清理相关反馈。机位勋章依目前已审核公开机位数量计算并公开显示，不需额外定位权限。

绑定邮箱、Google 或 Apple，即可使用同一个 ShotMap 账号。须验证双方并确认用户名和 ID；不会仅凭相同邮箱自动绑定。 已验证的空账号将被停用，其个人资料以此账号为准；这台设备的本机草稿会保留。 请确认这是你的账号。已有照片、收藏及账号权限不会自动合并或覆盖。 两个账号均已有内容或关联，会分别保留，暂不支持自动合并。

验证请求在 10 分钟后失效，暂存经过哈希的状态值、随机值、原会话与匹配账号标识。删除账号或交接拥有者权限的 Apple 重新验证流程中，刷新令牌会加密暂存至完成或过期；绑定流程不保留它。系统保存绑定操作及时间的审计记录；删除已绑定账号仍须重新验证 Apple 并撤销授权。

为了跨平台兼容和账号支援，我们记录账号使用过的 iOS／Android 平台，仅平台拥有者可在用户名单查看；不收集设备唯一识别码。

正常使用会自动延续登录。连续30天未使用或登录满90天后需重新验证；退出登录、撤销授权或重设密码后需重新登录。

02位置、地图与搜索

在您允许系统定位并开启 App 定位功能后，我们使用位置来识别当前城市、显示自己的位置及附近机位。您可以拒绝或撤回定位权限，或关闭精确位置，继续手动选城、搜索及选点。当前应用不申请后台持续定位，不建立对外公开的实时行踪页面。

查看地图、搜索地标、查询地址、天气或请求附近机位时，地图视野、查询位置、搜索词或城市信息会按功能发送给相应服务方及 ShotMap 服务器。创建机位时，您确认的摄影者站立位置、拍摄主体及地址将随机位一起提交；机位审核通过后，其精确位置会公开。

内置城市名称与中心坐标数据来自 GeoNames（CC BY 4.0），并经 ShotMap 筛选及整理；目录不涵盖所有地区，城市中心并非精确拍摄位置。搜索目录不会向 GeoNames 发送查询或位置。 城市搜索优先使用内置目录，支持主要城市及多语言名称，无需联网；同名城市请核对国家／地区。未收录的城市仍需在线解析。选定城市后，底图、地标与机位数据仍需要网络。

机位是摄影者站立的位置，与被拍摄主体的位置不同。可搜索主体，或在地图点选准确位置并输入名称。手动选点会随机位保存；地图服务提供的主体坐标仅用于原服务，最多暂存 30 天，之后可能需要重新查询。旧机位若未保存主体位置，仍需成功查询地图服务；查询失败不会用机位代替主体，创建者可编辑并重新选点。

Android 的地标搜索使用 Places SDK for Android 6.0.2（Places API New），同意地图服务后才启动。天气查询由 ShotMap 服务器把所查看机位的坐标（约取至小数三位）和语言传送至 Apple Weather；不传送 ShotMap 用户 ID 或登录凭据。服务器暂存天气约 15 分钟并限流；私钥只保存在服务器。App 可保存最多 48 小时的天气副本，显示原资料时间和未更新提示，可在缓存管理清除。日月和机位时区的离线估算在设备执行，边界可能不准确。

选择保存或分享世界地图时，ShotMap 会生成公开城市覆盖图片，不含实时定位或私人账号资料。iPhone 仅申请添加所选图片至照片的权限；Android 使用系统文件选择器或分享面板。

创建者可在机位详情中点击“编辑机位资讯”，通过地图修改拍摄位置和被摄主体。待审核的新机位须先撤回投稿再修改。

03照片与拍摄资料

系统照片选择器仅向 ShotMap 提供您选择的照片，我们不会主动扫描整个相册。所选原文件及您填写的说明、题材、机位关联、拍摄日期和拍摄参数会保存在本机草稿中，并在您主动提交后上传服务器。

原文件可能含 GPS、拍摄日期、相机及镜头信息、作者标记和其他 EXIF 元数据。我们读取相关数据以辅助选点及填写摄影资料，并保留原始媒体、色彩与 HDR 信息；超限调整须经您确认。若不希望这些信息被处理或公开，请在选取前移除，或修改允许编辑的字段。修改展示字段不一定会删除原文件内相应元数据。

单张照片超过 5MB 时，您可选择调整上传副本；这会改变副本的像素及编码，照片库原图保持不变。调整过程检查拍摄资料、色彩及 HDR；未能通过保留检查时不采用该副本。待调整的大文件可暂存在 App 本机存储供处理和重试，成功处理、更换照片或正常结束编辑流程时清理。仅在您主动送审后上传。

每篇 1–9 张照片，单张不超过 5MB。符合限制的原片不压缩；超限会自动调整上传副本，照片库原图不变。原片每日合计 100MB、最多 20 篇，按 UTC 重置；不设账号累计容量上限。服务器空间不足时会暂停新上传并提示。

多图照片会显示已选张数；每张照片均须完成载入、尺寸及拍摄日期检查。送审后会再核对伺服器的照片清单，确认整组已储存。若清单不一致，请保留本机草稿并联络支援。

拍摄心得随照片审核，公开后也会汇集在机位详情的独立区域。先显示三条摘要，更多可分页查看；点击心得可进入原照片查看全文。没有心得的照片不出现在此区域。

选填每年的月日范围，例如 3 月 20 日至 4 月 10 日。结束日期较早时表示跨至翌年；日出、日落等时段可另外选择。日期是摄影者建议，实际条件可能变化。

撤回投稿后可移除或替换个别照片，再提交审核。替换文件与确认的拍摄资料会上传至业务服务器；未更换的原文件不重新上传。成功保存后，系统更新照片中的照片关联并清理被替换或移除的服务器文件；失败时保留先前版本。手机照片图库的原片不受影响，现有备份按原周期轮替。

04公开内容、审核与互动

新机位与首篇照片须一起审核。未通过审核的投稿仅限投稿者和具有相应权限的管理员查看；通过后，机位、照片、作者资料、拍摄日期及摄影参数可在 App 和免登录分享网页中公开展示，并可能被搜索引擎或第三方分享预览收录。

我们记录点赞、收藏、浏览、通知、投稿状态、管理员角色及审核操作，用于统计、通知和内容管理。收藏及赞过的个人主页列表由您分别设置是否公开；具体点赞者、收藏者名单仅供内容发布者本人查看。

原图下载默认关闭，您可在设置中开启或关闭。关闭下载不影响已公开照片的正常浏览，也不能撤回他人此前取得的文件或阻止截图；允许原图下载时，接收者可能获得原文件内的 GPS 等完整元数据。

登录页每次打开时，会从审核通过且公开展示的用户照片中随机选取一张照片，并显示上传者署名。背景只使用展示副本，不提供原图、不增加照片浏览数；不会读取未公开的投稿。没有可用照片、网络不可用或加载失败时，使用内置背景。照片下架、设为不可见或受到展示限制后，不再供新的背景请求使用。

您选填的最佳拍摄时段属于机位公开资料，新机位须审核通过后公开；这是创建者的建议，不是实时日月或天气预报。

城市首位创建者徽章由既有的机位创建者、平台城市分类及首次公开纪录计算，不需要额外定位或填写资料。徽章、首创城市和对应的公开机位可由其他人查看。草稿、未通过审核或受限的机位不公开列出。删除帐号会清除徽章与用户及机位的关联，只保留不含帐号或机位识别码的匿名城市首创保留纪录，以免将历史首创错误转移给其他人。

仅发布者本人可查看谁赞过或收藏过，其他用户及管理员无法查看名单。

其他用户提交的机位补充在发布者审核前，仅补充者和机位发布者可查看。通过后，补充文字、署名和提交日期公开显示。我们保存提交、通过、退回、撤回和移除记录，用于审核及处理争议；退回原因不公开。删除账号会删除本人补充及对应记录。

05第三方服务与 SDK

我们按您使用的功能调用以下服务。第三方按其隐私政策处理相应请求；同一功能不会因为本政策列出了多个服务商就向所有服务商重复发送全部内容。

Android 测试版使用 Google Maps SDK for Android 19.2.0 及高德 Android 地图／定位／搜索 SDK 11.3.100／11.3.101／9.8.1，仅在同意地图说明后初始化。服务方可能处理地图视野、查询、坐标、IP／网络、设备及 SDK 使用信息；本版本不启动后台持续定位。服务可用性与授权条件需分别确认。

06广告与外部网站

广告显示于机位的照片列表前或照片的拍摄参数下方。可滑动切换，点击查看完整图片及说明，再选择前往广告主网站。减少动态效果或离开 App 时会暂停轮播。ShotMap 不使用第三方广告 SDK，也不回报广告点击；外部网站适用其隐私政策。

07存储、日志与保留

ShotMap 业务服务器当前由阿里云托管于新加坡。账号资料、您提交的机位和照片、互动记录及审核记录存储在该服务器；从中国大陆等地区提交信息会涉及向新加坡传输。地图、Apple 登录、天气等服务也会根据各自的基础设施处理请求。若您不希望将投稿上传至该服务器，请不要提交，并可通过下方邮箱咨询。

网络请求会产生 IP 地址、访问时间、请求路径、状态码等必要运行日志，用于服务运维和安全排查。我们不销售个人信息；如另有广告、营销或不同的数据用途，将另行说明。

iPhone 版：账号与投稿数据按提供服务所需保留，直至您提出删除申请并完成处理，或发生适用的法定保留情形。登录会话有有效期。图片缓存可在重启后保留，并可在设置中清理；退出账号会清理相关媒体缓存，但不等于删除账号、服务器投稿或本机草稿。备份及审计记录的删除范围和进度会在处理申请时说明。

iPhone 版：为提高弱网稳定性，App 在本机缓存按机位坐标查询的天气快照、来源信息及已确认时区。旧天气仅用于最多 48 小时内的备用展示，时区确认结果 30 天后需重新确认；缓存有容量限制，轮替或主动清理时删除。缓存重启后保留，设置中可查看和清理，退出账号也会清理。离线时区估算使用随 App 打包的数据，不向该数据提供者发送位置；估算会明确标注，并在联网后尝试校准。

举报会记录对象、原因、说明、处理状态及必要审计；屏蔽用于登录后内容过滤。条款同意保存版本与时间。删除时Apple授权码仅用于服务器交换，撤销令牌加密保存，验证凭据5分钟过期。完成删除会移除本人资料和媒体；保留不含Apple身份的内部删除标识以避免恢复后重新公开。日常备份在运营者Mac保留最近7份，包含个人资料和精确位置，受本机权限保护；Mac须开机联网。

08您的选择与权利

删除账号需使用对应登录方式重新认证：Apple 账号还需撤销 Apple 授权，Google 账号需重新选择相同 Google 账号。删除 ShotMap 账号不会删除您的 Apple 或 Google 账号。 拥有者须先交接权限。删除会清理本人账号、照片和个人资料；其他用户仍有照片的共同机位会匿名保留必要位置资料。最近 7 份 Mac 备份滚动淘汰；删除申请处理期间会说明剩余副本与依法保留情况。恢复备份前须重放删除请求，不能使已删除账号重新公开。问题、申诉及个人数据请求：support@shotmap.app。

也可联系 support@shotmap.app 申请访问、更正、复制个人数据或反馈隐私问题。请说明短账号 ID 及请求范围，不要提供 Apple 密码。核实身份后会告知处理进度及依法需保留的信息。

09安全与必要披露

我们通过 HTTPS、权限检查、私有媒体访问控制及审核流程保护信息，并限制管理权限；互联网传输及他人对公开内容的复制无法保证绝对安全。发生信息安全事件时，我们将根据适用要求采取处理和通知措施。仅在您指示、提供所请求服务所必需，或依法履行义务的范围内披露信息；如涉及经营者变更，将告知并要求接收方继续保护信息。

10未成年人

ShotMap 当前测试服务不面向未满 14 周岁的儿童。若您是未成年人，请在监护人指导下使用；不要发布他人的隐私位置或未经许可的肖像。如发现未成年人信息被不当提交，请联系本页邮箱处理。

11政策更新与联系

新增 SDK、改变数据用途、存储地区或公开范围时，我们将更新本政策，并对需要同意的变更提供相应告知和选择。页面更新不替代 App 内必要的授权。您可通过以下邮箱联系开发及运营者 Anthony Lau。

12手机通知与审核提醒

iPhone 可在设置中选择开启手机通知，并分别关闭待办及互动消息、版本更新提醒。使用 Apple 推送服务时，会向 Apple 传递设备通知令牌和通用通知内容；不会在通知中附上精确位置、照片或检举证据。通知令牌、语言、App 构建版本和通知偏好保存在 ShotMap 服务器，用于向对应账号的设备发送提醒。退出账号或关闭通知时注销设备；90 天未登记的设备令牌会删除。发送记录保留 7 天，删除账号时一并删除。安卓系统推送暂缓，仍可在 App 内查看消息。待审核内容超过 5 天，会进入平台拥有者的待办列表；代审操作保留记录。

13城市管理者申请

可在设定中申请成为城市管理者，选择城市并填写理由。平台拥有者或指定管理员审核通过后，才能审核该城市的新机位和照片。申请理由仅本人及有权限的审核者可见。

14自动翻译

已公开的机位名称、拍摄主体、照片说明和个人简介可通过 ShotMap 服务器使用 Microsoft Translator 自动翻译。城市和国家名称优先使用内置多语言资料。译文可能有误，以原文为准；昵称、用户 ID 和原始内容不会更改。服务不可用时显示原文。详情：https://www.microsoft.com/en-us/translator/

服务器只把上述已公开文字和目标语言发送给 Microsoft，不发送密码、邮箱、本机草稿、未审核内容或照片文件。译文缓存最多保存 7 天，内容撤下后不再提供译文。