隐私政策
最后更新: 2026年10月2日
本隐私政策说明本应用程序收集哪些数据、如何使用这些数据,以及你可以做出哪些选择。本政策适用于共用此技术堆栈层级揭露设置的每一款 PantaLabs 应用程序。由于各应用程序的功能可能不同,下列部分章节仅在实际使用相关 SDK 或行为时才会出现。
数据控管者
PantaLabs(以下称「营运者」)是负责处理与本应用程序相关之个人数据的控管者。如有隐私、条款或权利相关问题,请联系 admin@pantalabs.net。若适用欧盟《一般数据保护规则》(GDPR)或英国 GDPR,且营运者并未于欧洲经济区或英国设立据点,依该等法律提出的请求亦可寄送至同一电子邮件地址;营运者将于法定期限内回复。
保存在你设备上的数据
你在本应用程序内创建的旅行(行程,以及打包清单与费用等相关内容)保存在你设备上的本机数据库中。为了管理你分享的链接,本应用程序还会将一个匿名所有者密钥保存在设备的安全存储中(iOS 上为钥匙串,Android 上为受 Keystore 保护的存储);在 iOS 上,若已开启 iCloud 钥匙串,此密钥可能会随你的 Apple ID 转移到新的 iPhone。删除本应用程序会移除设备上的数据。由你的操作系统创建的备份(iCloud、Google One 及类似服务)则受各该平台的隐私政策规范。离开你设备的数据仅限于下列各节所述的内容。
分享链接与加密备份(旅行组织者)
本应用程序没有账户。你第一次分享旅行时,本应用程序会向营运者的服务器请求一个匿名所有者密钥。这是一个随机值,不会与你的姓名、电子邮件地址、电话号码或商店账户关联;它仅用于证明之后对你的链接所做的更改来自你本人。 - 分享链接:你的行程在上传前会先在你的设备上加密。读取行程所需的密钥仅存在于链接中「#」之后的部分,而这部分绝不会发送至营运者的服务器,因此营运者无法读取你的行程。为运作链接,服务器会保存加密文档,以及链接令牌、匿名所有者 ID、由本应用程序生成的随机旅行标识符、旅行结束日期(用于判断何时删除链接)、链接为快照或实时、其版本、创建与更新时间,以及被打开的次数。服务器还会记录你的所有者密钥最后一次使用的时间。 - 加密备份(默认开启,可在本应用程序的设置中关闭):你的旅行会在你的设备上以仅由你持有的恢复码加密。服务器仅保存加密文件、其大小与版本,以及由恢复码派生的标识符。没有你的恢复码,营运者无法读取或恢复该备份。 这些数据仅用于提供分享、实时更新与备份功能。
打开分享链接的人(同行者)
打开他人与你分享的旅行同样无需账户。当你在本应用程序中加入分享的旅行时,你需要设置一个昵称(1–12 个字符),营运者的服务器会保存:该昵称、你的应用程序语言、推送通知令牌(若已允许通知)、你最后一次使用分享功能的时间,以及用于识别你的应用程序安装的随机同行者密钥。你在行程上留下的勾选与评论会与该链接一同保存;评论会在你的设备上以链接的密钥加密,因此营运者无法读取。旅行组织者以及持有同一链接的其他人可以看到你的昵称,以及你的勾选与评论。 与你分享的旅行列表仅保存在你的设备上,不会发送至营运者的服务器。 - 保存:同行者记录在不再与任何分享链接关联后,若 90 天未使用即被删除(链接本身会在旅行结束 90 天后删除);无论如何,若 12 个月未使用亦会被删除。勾选与评论会随链接或你的同行者记录(以先删除者为准)一并删除。 - 删除:本应用程序设置中的「删除我的数据」会立即删除营运者服务器上你的同行者记录,连同你的勾选与评论,并清除你设备上与你分享的旅行列表。
分享链接网页
当分享链接(pantalabs.net/t/…)在网页浏览器中打开时,该页面会协助你在本应用程序中打开旅行或安装本应用程序。链接中「#」之后部分所含的解密密钥仅在你的浏览器内读取,用于将完整链接传递给本应用程序;它不会发送至营运者的服务器、应用商店或任何其他人。该页面不加载任何分析、广告或其他第三方脚本,并指示浏览器不要将该链接作为来源页面(referrer)发送。与任何网站一样,营运者的托管服务供应商(Vercel)会为了传送页面而处理请求,包括你的 IP 地址。
广告(Google AdMob)
本应用程序通过 Google AdMob(由 Google LLC 提供的服务)显示广告。为了投放、衡量广告成效并防范广告欺诈,Google 可能会收集:设备的可重设广告标识符(iOS 上的 IDFA、Android 上的 AAID)、IP 地址、由 IP 地址推得的粗略地理位置、设备类型、操作系统版本、屏幕尺寸、语言与时区、应用程序内的广告交互,以及每个应用程序专属的安装标识符。 在要求须先取得个性化广告同意的地区 - 欧洲经济区、英国与瑞士 - 本应用程序会在首次启动时显示 Google 用户消息平台(UMP)的同意对话框。你随时可以通过应用程序内的「广告个性化」链接,或从设备的系统设置变更你的选择。详情请参阅「广告个性化」页面。
激励广告与实时链接解锁
若你观看激励广告以解锁某个旅行的实时更新,Google AdMob 会直接向营运者的服务器确认该奖励(服务器端验证)。该确认包含你的匿名所有者 ID、旅行标识符、解锁的天数以及广告交易 ID。营运者保存这些信息,以得知该旅行的实时链接解锁至何时。你的所有者密钥本身绝不会包含在内。
分析、远程配置与推送(Firebase)
本应用程序使用由 Google LLC 提供的下列 Firebase 服务: - Firebase Analytics:统计匿名事件(打开应用程序、会话时长、主要操作、应用程序内购买等)。你的行程、昵称、评论与链接密钥不会发送至 Firebase Analytics。 - Firebase Remote Config:无需更新应用程序即可调整应用程序设置。 - Firebase Cloud Messaging:发送同行者通知(参见「通知」)。 Firebase 数据依 Google 的数据处理条款处理。详情:https://firebase.google.com/support/privacy
应用程序内购买
任何应用程序内购买皆由 Apple(App Store)或 Google(Google Play 结账)处理。营运者无法看到你的付款方式、账单地址或商店账户凭证。在 iOS 上,本应用程序会将 Pro 升级的已签名购买记录发送至营运者的服务器。服务器会验证 Apple 的签名,并仅将验证结果与该购买的原始交易 ID(original transaction ID)连同你的匿名所有者密钥一并保存。这仅用于判断你的实时链接能否不受时间限制地保持实时。退款资格、取消与争议处理,皆由处理该交易的平台所公布的政策规范: - Apple:https://support.apple.com/en-us/HT204084 - Google:https://support.google.com/googleplay/answer/2479637
通知
同行者通知默认开启。当你在本应用程序中打开分享链接时,你即订阅了该旅行,并会在组织者更改旅行时收到通知,每个链接每 10 分钟最多一次。在你设置昵称后,本应用程序会请求一次系统通知权限。若你允许,你设备的推送令牌会发送至营运者的服务器,通知则通过 Firebase Cloud Messaging(Google)以及(在 iOS 上)Apple Push Notification service 发送。通知不包含任何行程内容,仅包含旅行已更改的信号;通知文字由本应用程序在你的设备上生成。 你随时可以通过本应用程序设置中的开关(关闭时会从营运者的服务器删除你的推送令牌)或设备的系统设置关闭通知 - iOS:设置 → 通知 → 该应用程序;Android:设置 → 应用程序 → 该应用程序 → 通知。
第三方 SDK 与服务
本应用程序仰赖下列第三方服务。每项服务皆受其各自的隐私政策规范。 - Google AdMob(广告与激励广告验证):https://policies.google.com/privacy - Google Firebase Analytics、Remote Config 与 Cloud Messaging:https://firebase.google.com/support/privacy - Apple Push Notification service 与 Apple 应用程序内购买(iOS):https://www.apple.com/legal/privacy/ - Google Play 结账(Android):https://policies.google.com/privacy - Amazon Web Services(营运者服务器的托管):https://aws.amazon.com/privacy/ - Vercel(分享链接网页的托管):https://vercel.com/legal/privacy-policy 营运者无法读取这些服务可能自行收集的个人数据。发送至这些服务的数据,仅限于各服务运行上述功能所需的范围。
处理的法律依据(GDPR / 英国 GDPR)
若适用欧盟《一般数据保护规则》(Regulation (EU) 2016/679)或英国 GDPR,营运者基于下列法律依据处理个人数据: - 履行契约(第 6(1)(b) 条):分享链接、同行者的勾选与评论、实时更新通知,以及购买或激励解锁的验证,这些皆是你通过使用相应功能所要求的。 - 同意(第 6(1)(a) 条):通过应用程序内的 UMP 同意画面取得同意的 AdMob 个性化广告,以及你在设备上授予的通知权限。你随时可以撤回同意,且不影响撤回前处理的合法性。 - 正当利益(第 6(1)(f) 条):默认开启的加密备份,以免你的旅行随手机遗失而丢失(备份在你的设备上加密,营运者无法读取,你也可以随时在本应用程序的设置中关闭)、非个性化广告、汇总分析、保护服务免遭滥用,以及自动删除不活跃的记录。你随时可以通过上述电子邮件地址提出反对。 - 遵守法律义务(第 6(1)(c) 条):于适用情形下,为符合税务或消费者保护法律而保存交易记录。
国际数据传输
营运者设立于大韩民国。保存分享链接、同行者记录与加密备份的营运者服务器,托管于大韩民国首尔的 Amazon Web Services。上列第三方服务(Google、Apple、Vercel)可能会在其他司法管辖区(包括美国)处理个人数据。当数据被传输至欧洲经济区、英国或瑞士以外时,该等传输系依赖接收方服务供应商所采用的保障措施 - 通常为欧盟执委会的标准契约条款(SCC)、英国国际数据传输增补条款(IDTA),或于适用时的欧盟—美国数据隐私框架。你可以在上方链接的隐私政策中查阅各供应商的传输保障措施。
保存与删除
- 设备上的数据:保存到你在本应用程序中删除、删除本应用程序或清除其保存空间为止。 - 分享链接(连同加密的行程、勾选、评论与通知订阅):在旅行结束日期 90 天后自动删除;若你在本应用程序中停止分享该链接或删除该旅行,则立即删除。 - 加密备份:在最后一次上传 2 年后删除,或在执行「删除我的数据」时立即删除。 - 所有者密钥:若没有任何分享链接、激励解锁记录与已验证的购买,则在 180 天未使用后删除。拥有激励解锁记录或已验证购买的密钥会被保留,以使该解锁或购买持续有效,直到你通过「删除我的数据」将其删除为止。 - 同行者记录:请参阅上方「打开分享链接的人(同行者)」。 本应用程序设置中的「删除我的数据」会立即删除服务器上的副本:它会移除你所有的分享链接、你的所有者密钥连同其激励解锁与购买记录、你的加密备份,以及你的同行者记录连同你的勾选与评论。若你的设备在当时处于离线状态,设备上的数据仍会被删除,而无法连接到的服务器副本将依上述保存期限移除。 由第三方服务(AdMob、Firebase、商店平台、托管服务供应商)处理的个人数据,则依各该服务本身的保存政策保存;请参阅上方链接。若法律赋予你删除权,你可以直接对相关服务供应商行使该权利,或联系营运者寻求协助。
安全性
分享的行程、同行者评论与备份均在设备上进行端到端加密(AES-GCM)。密钥仅存在于链接中「#」之后的部分或你的恢复码中,绝不会到达营运者的服务器,因此营运者数据库的副本只会显示加密内容,以及上述列出的明文项目(昵称、语言、推送令牌、匿名 ID、旅行结束日期、交易 ID、时间与次数)。这也意味着营运者无法为你恢复旅行或备份。通知不包含任何行程文字。本应用程序与营运者服务器之间的所有流量均使用 HTTPS / TLS 加密。营运者的服务器在每次请求时必然会收到你设备的 IP 地址;营运者仅将其用于传送响应及限制滥用性的请求频率,技术日志会自动轮替并覆写。设备上的数据受益于操作系统的标准保护机制(iOS 数据保护与 Android 沙箱化的应用程序保存空间)。营运者端的机密信息(例如 API 密钥)不会置于公开的源代码版本控制中。没有任何系统是完全安全的;营运者无法保证对未经授权之访问提供绝对的防护,但承诺依数据敏感程度采取合理且适当的技术与组织措施。
儿童隐私
本应用程序并非以儿童为对象。营运者不会在明知的情况下,收集低于适用法律所订年龄限制之儿童的个人数据: - 美国为 13 岁(《儿童在线隐私保护法》,COPPA)。 - 大韩民国为 14 岁(《个人数据保护法》第 22-2 条)。 - 欧盟为 16 岁(GDPR 第 8 条,个别会员国可订定较低门槛)。 若家长或监护人发现儿童提供了个人数据,可通过上述电子邮件地址联系营运者要求删除。本应用程序不会向被识别为儿童的用户投放行为式或兴趣式广告。
你的权利
视你居住地而定,你可能享有下列权利,并可通过 admin@pantalabs.net 联系以行使之。请说明你的请求,并于有助益时指明你所适用的司法管辖区。 - 欧洲经济区、英国、瑞士(GDPR / 英国 GDPR / FADP):查阅权(第 15 条)、更正权(第 16 条)、删除权(第 17 条)、限制处理权(第 18 条)、数据可携权(第 20 条)、反对权(第 21 条),以及向监管机关提出申诉的权利。 - 美国加州(CCPA / CPRA,Cal. Civ. Code §§ 1798.100–1798.199.100):知悉权、删除权、更正权、拒绝出售或分享个人数据的权利、限制使用敏感个人数据的权利,以及不因行使这些权利而遭受差别待遇的权利。 - 大韩民国(《个人数据保护法》第 35 至 37 条):查阅、更正、删除及停止处理的权利。 - 日本(《个人信息保护法》):揭露、更正及停止使用的权利。 - 澳洲(《1988 年隐私法》,澳洲隐私原则):查阅及更正个人数据的权利。 - 加拿大(PIPEDA,原则 4.9):查阅及更正个人数据的权利。 「请勿出售或分享我的个人数据」(CCPA / CPRA):营运者不会为金钱对价而出售个人数据。然而,将广告标识符用于个性化广告,在 CCPA/CPRA 下可能被归类为「分享」。加州居民可通过应用程序内的「广告个性化」链接选择非个性化广告,或重设设备上的广告标识符,以拒绝上述行为。
本政策的变更
当应用程序的数据处理方式变更、添加第三方服务或法律变动时,本政策可能会更新。本页顶端的「最后更新」日期一律反映最近一次的变更。在合理情形下,重大变更会于应用程序内特别标示。于变更生效后继续使用本应用程序,即视为接受更新后的政策。
联系方式
如有隐私、条款或权利相关问题,请通过 admin@pantalabs.net 联系 PantaLabs。