数据与隐私

所在是一款完全独立运行的单机应用，不搭建也不连接任何自有服务器。数据完全留在你手里，由你决定是否同步、同步到哪里。

应用访问的数据

为提供足迹记录和行程追踪功能，所在需要在你的设备上访问以下数据，这些数据默认仅在本地处理和存储：

• 位置数据 — 用于记录你的足迹 Tile 和行程轨迹。
• 运动与健身数据 — 用于识别你的活动状态（步行、驾车等），并优化定位采样策略。

因此，所在无从获取你的姓名、邮箱、电话号码或任何个人身份信息。

可选云同步

所在支持将数据同步到你选择的云服务（如 iCloud 或 WebDAV）。同步前，所有数据会在设备上进行端到端加密，加密密钥仅存储在你的设备上，任何第三方均无法解密。请务必妥善保管你的恢复密钥——一旦丢失，数据将永远无法恢复。

AI 功能（回忆、地点故事、地图洞察、足迹回放搜索）

本应用提供将足迹转化为自然语言的 AI 功能，AI 的所有行为完全由你在"我的" → "AI 设置"中控制，可在以下三种模式之间切换：

• 关闭——不调用任何 AI，仅使用内置文本模板。数据不离开设备。
• 设备端（运行 iOS 26 或更高版本、且支持 Apple Intelligence 的设备默认启用）——由 Apple Intelligence 在本机推理。数据不离开设备，处理过程遵循 Apple 自身的隐私实践。
• 云端——仅当你主动切换到该模式并填写自己的 OpenAI 兼容接口与 API Key 时启用。数据仅发送至你配置的端点。

云端模式发送的内容

即便在云端模式，发送出去前数据也会被严格脱敏。会发送：

• 匿名 tile 代号（如 LOC_001）替代真实地名
• 月级日期（yyyy-MM）替代精确时间戳
• 聚合统计：活跃天数、步数分桶、行程次数
• 必要时的 token 化地点别名（如"家"、"公司"）

不会发送：原始 GPS 坐标、原始照片、秒级时间戳、姓名、邮箱、电话、源自 IP 的身份信息、设备标识，或任何超出生成聚合叙事所必需的个人信息。

如需审计实际发送的内容，可打开"AI 设置" → "查看示例载荷"，页面会展示每个场景的真实 prompt。

云端模式下的责任归属

云端模式下，第三方 AI 服务由你自行选择、配置并授权。该服务遵循其自身的隐私政策与条款，使用前请自行阅读。本应用不通过任何自有服务器中转数据，不保留你的 prompt 副本，也不代为计费或代理第三方服务。

本地存储与用户控制

AI 调用元数据（时间、场景、模式、端点 host、载荷字节数、结果）以环形缓冲保留在本地最近 50 条。不会保存任何载荷本体。可在"AI 设置" → "AI 调用记录"查看或清空。AI 生成的叙事会在设备端缓存并与当前 AI 模式绑定，清空记录或切换模式会让缓存自然失效。

API Key 存储

启用云端模式时，API Key 存储于系统钥匙串（Keychain）而非普通偏好设置。可随时在"AI 设置"中清除。

导出与迁移

导出数据：
在"我的" → "导出数据"中可导出完整数据文件。

迁移到新设备：

1. 在旧设备确认同步已完成。
2. 备份恢复密钥。
3. 在新设备安装所在后，开启同步并导入恢复密钥。
4. 等待云端数据拉取完成。

数据删除

• 删除本地数据：卸载 App 会移除设备上的所有本地数据。
• 删除云端数据：如已开启云同步，请先在"同步与加密"设置中重置或清理云端数据。

第三方服务

本应用使用 Apple 的框架和服务（MapKit、CoreLocation、CoreMotion、Apple Intelligence），这些服务受 Apple 自身的隐私政策约束。不集成任何第三方分析、广告或追踪 SDK。

如果你启用了云端 AI 模式，你所配置的 OpenAI 兼容接口属于由你自行选择的第三方，其数据处理遵循该服务方自身的政策，与本应用无关。

政策变更

我们可能会不时更新本隐私政策。变更后继续使用本应用即表示接受更新后的政策。

联系我们

如果你对本隐私政策有疑问，请通过应用内的反馈功能联系我们。