1. 我们处理的信息
路过说一声是一款驾驶安全提醒 App。我们只为提供行程提醒、账号同步、分享接收、用户贡献审核、订阅权益、防滥用、问题反馈和稳定性诊断所需的目的处理数据。我们不投放广告，不出售个人信息，不将数据用于跨 App 或跨网站跟踪。
2. 位置数据
当您手动开始一次行程，或通过自己配置的快捷指令自动化（例如连接 CarPlay）开始行程时，App 会在设备端计算您与附近提醒区域的距离，并在接近复杂路口或安全提醒区域时播报提醒。后台定位仅在您通过上述方式主动配置并开始行程后启用，用于锁屏或切到后台时继续完成行驶辅助；您可以随时结束行程。
前台手动开始行程可以使用“使用 App 期间”定位授权；如果您要求自己配置的 CarPlay 等快捷指令在 App 处于后台时新建或恢复行程，则需要“始终”与精确位置授权。App 不会自行配置或启动该自动化。
在本地单机能力中，位置数据保留在设备上。使用云端附近查询、用户贡献、云同步或分享相关功能时，App 可能会把当前位置、提醒点坐标或分享快照发送到我们的服务器。附近查询只用实时坐标完成当次查询，响应禁止缓存，服务器不得记录或存储该实时当前位置；您主动创建、提交或分享的提醒坐标会用于提供提醒、审核、同步和分享。
3. 账号、设备与安全
未登录时，App 以本地访客模式运行，不创建服务器账号。私密分享、举报和付费内容验证可能发送不可逆安装标识及 DeviceCheck / App Attest 证明，只用于真实安装校验和防滥用，不用于广告或画像。只有您主动使用“通过 Apple 登录”后，App 才发送 Apple identity token 与一次性 authorization code；服务器验证后创建或恢复 App 账号，会话保存在 iOS Keychain。首次授权时，如果您选择向 App 提供姓名，App 会把 Apple 返回的格式化展示姓名保存到该账号，仅用于私有账号界面和跨设备恢复；姓名是可选资料，不作为身份凭据，不用于公开署名、日志、广告或跟踪，也不保存分开的姓名组件。
4. 通知、订阅与购买历史
如果您允许通知，App 会使用 Apple Push Notification service 发送贡献审核结果、奖励到账和您已公开贡献的撤回/恢复状态等提醒，并用静默后台通知加速移除已由运营撤回的公共提醒。贡献者状态提醒只含 contribution ID 和可选 generation；全局静默通知只含公共提醒 ID、publication ID 和 generation，不含坐标、路线、名称、播报文案、贡献者或 region，也不会显示通知或打开页面。APNS 只是提醒与缓存失效的加速通道；服务器 history/region 同步仍决定最终状态。
路过说一声 Pro 如启用，将通过 Apple StoreKit 自动续订订阅提供。购买、恢复和当前设备的 Pro 权益不要求通过 Apple 登录；App 使用 Apple 验证的当前交易在设备上提供权益。使用同一 App Store“媒体与购买项目”账号时，您可以在其它兼容设备上恢复购买。访问付费服务器内容时，服务器验证签名交易与安装证明并签发短期安装级权益凭证，不创建用户账号。只有您为了云同步或跨设备账号服务主动选择时，购买才关联当前 App 账号。
5. 用户内容、分享与剪贴板
您创建的提醒名称、播报文本、提醒条件、提醒坐标和分享快照属于用户内容。未登录也可创建和接收私密分享。Web 落地页只展示提醒名、类型、有效期和可选脱敏分享者短名；访客使用通用分享者文案，不展示坐标、账号或安装标识。
分享 Web 落地页只在您点击打开或复制操作时写入我们自己的 HTTPS 分享链接。App 回到前台时只检测系统识别出的自家分享 URL，不读取剪贴板全文。
举报公共提醒不要求登录。我们会处理被举报提醒的标识、举报原因、您主动填写的说明、不可逆安装摘要、可选账号内部标识、处理状态和运营审计记录，用于去重、防滥用和内容复核。举报者身份和安装标识不会向贡献者公开。
6. 反馈、诊断和 Sentry
当您主动发送问题反馈时，App 会生成诊断包，包含 App 版本、设备型号、授权状态、可选联系邮箱、用户填写的问题描述、过去一段时间的日志文本和本地摘要。GPS 坐标和敏感标识会在日志源头脱敏；不会把完整本地数据库放入反馈包。可选联系邮箱只用于人工回复。
我们使用 Sentry 收集崩溃报告以改善应用稳定性。Sentry 不用于收集您的位置数据，不用于广告或跟踪。
7. 数据保留与控制
本地提醒和行程状态保存在设备上；本地访客不会创建服务器账号。访客使用私密分享、举报或在线付费内容时，服务器只保存提供功能、防滥用和账务对账所需的安装级、分享、举报或订阅记录。通过 Apple 登录后，云同步、公共贡献、通知、账号权益和奖励数据才会归属于 App 账号。分享链接默认 30 天有效。
通过 Apple 登录后，您可以在 App 的 Account → 账号 页面发起删除账号请求。App 会要求您确认，并向服务器提交 authenticated deletion request。该请求会停用 Apple 关联账号、立即清除账号展示姓名、解绑设备、撤销通知状态，删除服务器端自建提醒、分享及领取记录、合集订阅和贡献原始记录，并在当前设备清除 Keychain 会话。已成为公开内容的提醒或合集可以保留，但会移除与账号的贡献者或策展者关联。加密 refresh token 会被标记待撤销；Apple 确认撤销或返回凭据已失效后清除密文，暂时失败则后台重试。删除 App 账号不会自动取消 App Store 订阅，页面会提供 Apple 订阅管理入口。
当前留存上限为：设备每日贡献限流计数保留 30 天，并在账号删除解绑设备时立即清除；订阅链在 active 或 billing retry 期间保留；进入 expired 或 revoked 后，其订阅、交易、归属恢复和未归属审计记录保留 24 个月。奖励流水在账号删除完成后保留 180 天，删除请求审计在 completed 或 rejected 后保留 24 个月，Sign in with Apple 通知防重放记录保留 90 天。这些记录只引用已移除 Apple 标识、设备和用户内容数据的内部假名账号。加密 refresh token 只在撤销 pending 期间保留，并在撤销成功、Apple 返回已失效，或密钥丢失导致无法确认撤销的终态立即清除。最后一种情况会建立高优先级合规工单，不会被记录为已确认撤销。期限只能因有记录的具体法律义务而调整，并同步更新本政策。
如需导出数据、补充删除服务器端个人数据或需要人工支持，也可以使用本文末尾的反馈邮箱联系我们。邮箱请求机制不替代 App 内账号删除入口。
举报与内容处置记录会在处理期间以及为防滥用、安全复核和争议处理所需的合理期限内保留。账号删除后，这些记录仅保留无法直接识别您的内部假名标识；已公开内容可在移除贡献者关联后继续保留。
8. 联系我们
反馈邮箱：feedback@vibe-pacenotes.orignosis.com
公开隐私政策 canonical path 为 https://vibe-pacenotes.orignosis.com/privacy。