1. 数据控制者及联系方式
Moty Studio LLC 是一家怀俄明州有限责任公司，是本政策所述个人信息的数据控制者。注册地址：30 N Gould St, STE R, Sheridan, WY 82801, USA。隐私及支持联系方式：contact@motystudio.com。你也可以在应用内给我们写信（“设置 › 帮助”）。
2. 我们的隐私立场
- 我们不展示广告，也不将个人信息用于直接营销。
- 我们不出售个人信息，也不为跨情境行为广告而共享个人信息。
- 我们不通过用户画像作出产生法律效力或类似重大影响的决定。
- Moty Studio 不使用你的内容训练 AI 模型。
- 你的位置绝不会发送给 AI 服务提供方，也绝不会进入我们的使用统计或错误报告。
- 使用统计（PostHog）默认开启，你可以随时在 Curio 的“设置”中将其关闭。Curio 没有会话回放，也没有问卷调查。
3. 我们处理的数据
| 类别 | 示例 |
|---|---|
| 账号与身份 | Firebase 用户 ID、账号是否为访客账号；如果你通过 Apple 或 Google 登录，还包括你的电子邮箱、姓名和登录服务提供方，以及身份验证和安全记录。Apple 或 Google 也会依据其自身条款处理登录数据。 |
| 个人资料与偏好 | 应用语言、导览的详细程度、你的兴趣（例如历史、建筑或博物馆）、列表排序、使用统计是否开启、地点名称是否翻译（仅保存在你的设备上）、你的头像，你在 Curio 处于打开状态时去过的国家（仅记录国家），以及你的设备上设置的地区（其国家代码，例如 CN，用于了解 Curio 的用户来自哪些国家；绝不包括你的位置）。 |
| 位置 | 如果你允许，你在使用应用期间设备的位置；我们不请求后台位置权限。该位置在你的设备上用于查找你周围的地点，并在你走到某个地点约 200 米范围内时将其标记为已到访。离开你设备的数据包括：每次搜索的中心点和半径，当你搜索周边时即为你的位置；覆盖该范围、约 10 公里的地图区域；进行文本搜索时，你的位置，用于将附近城市排在前面；在行程当天，你的位置，用于计算前往第一站的路线；你所在的国家，与你的账号一同保存；以及你到访某个地点时的到访日期。 |
| Curio 内容 | 为你生成的导览及其语音讲解、你的资料库（你打开过、保存过或到访过的地点）、收藏夹及其标题和描述，以及你保存在收藏夹中的行程（其日期、天数、各站点、游览时长以及站点之间的交通时间）。 |
| 对话与媒体 | 你就某篇导览输入或口述的问题，以及你添加的可选照片；你的头像。Curio 会在上传前于你的设备上删除照片的元数据，包括其中的 GPS 位置。 |
| 语音 | 当你口述问题时，你设备的语音识别功能（Apple 或 Google 提供）会将你的语音转换为文字；它可能会依据 Apple 或 Google 的条款将你的语音发送给它们。Curio 只接收文字，你会在发送前阅读该文字。 |
| 购买 | Curio Pass 的产品、商店、交易及权益标识符，购买时间、状态、价格和币种、到期时间、退款状态。对于免费 Curio Pass：领取它的 Apple 或 Google 身份的单向哈希值；以及为确保一台设备只能领取一次：在 Android 上，为设备 Android ID 的单向哈希值；在 iPhone 上，为 Apple 通过其 DeviceCheck 服务为该设备保存的一个标记（Curio 不保存该设备的任何标识符）。支付信息由 Apple 或 Google 处理；我们绝不会收到银行卡数据。 |
| 通知 | 如果你允许通知且拥有账号：你设备的推送令牌，与你的账号一同保存，直至你退出登录或删除账号，用于告知你某篇导览或语音讲解已完成，或我们已回复你的消息。通知文本会经过 Google 和 Apple 的推送服务。有日期的行程中每一天之前的提醒由你的设备安排并显示：与之相关的任何信息都不会离开你的设备，你可以在“设置”中将其关闭。 |
| 日历 | 如果你将行程中的某一天添加到日历并允许访问日历：每个到访地点一个日程（地点名称、地址、时间、Curio 对该地点的说明和地图链接），写入你设备的默认日历。Curio 从不读取你的日程，只在你的设备上记录它添加过哪些行程日。为查找每个地址，你设备的地理编码器（Apple 或 Google 的）会获得这些地点的坐标，绝不会获得你的位置。在 Android 上，日历权限还允许 Curio 查看你的日历列表，Curio 读取该列表仅为找到默认日历。 |
| 反馈与支持 | 你在应用内写给我们的内容（“设置 › 帮助”，或在错误提示下方）以及你选择附加的图片（Curio 会删除其元数据，包括任何 GPS 位置），连同用于解决问题的技术信息：应用版本、你设备的型号和系统、设备的地区和时区、你是否拥有账号以及是否有正在生效的 Curio Pass、应用最近的技术日志和最近一次错误（不含位置、电子邮箱或你在其他地方输入的文字）。我们的回复，会在应用内送达你；如果你允许了通知，也会通过通知送达。你通过电子邮件写给我们的内容，以及我们的回复。 |
| 账号暂停 | 如果我们因滥用 Curio 或违反我们的条款而暂停某个账号：暂停日期、我们的理由，以及与该账号关联的每个 Apple 或 Google 身份的单向哈希值，以防同一身份开设新账号。 |
| 诊断与安全 | IP 地址、应用及系统版本、设备型号、语言、时间戳、Firebase App Check 令牌、已删除个人信息的崩溃和错误报告，以及经脱敏处理的运行日志。 |
| 产品分析 | 除非你在“设置”中将其关闭：你打开的页面（按类型记录，绝不记录其内容）以及诸如请求导览或播放语音讲解等事件、是否有正在生效的 Curio Pass，连同你设备的型号、系统和应用版本、语言和时区，并与你账号的随机标识符关联，以便删除账号时一并删除这些数据。绝不包括你的位置、地点、搜索、问题或你输入的任何文字；PostHog 不会根据你的 IP 地址推断位置。 |
| 网站 | Google（Firebase Hosting）会接收每次请求的 IP 地址、用户代理、请求的 URL、时间戳以及标准 HTTP 标头。本网站还会向 PostHog 发送访问过的页面和使用过的按钮（例如示例地点或应用商店按钮）以及页面的语言，不使用 Cookie，不在你的设备上存储数据，不建立个人档案，也不根据你的 IP 地址推断位置。 |
4. 数据的收集方式
我们从以下来源获取数据：你本人、你的设备及其权限、你在 Curio 中的活动、身份验证服务提供方和应用商店服务提供方，以及为运营 Curio 提供服务的服务提供方。对位置、相机、相册、麦克风、语音识别、日历和通知的访问取决于你在设备上的选择。Curio 会在你首次打开时创建一个访客账号；之后通过 Apple 或 Google 登录会保留该账号的资料库。
5. 处理目的与法律依据
如果我们以正当利益为依据，我们会在该等利益与你的权利之间进行权衡，并在可行的情况下采取数据最小化、脱敏、访问控制和缩短保存期限等措施。你无须授予可选权限，但需要位置、媒体、麦克风、日历或通知的功能在未获得相应权限时可能无法使用。
| 目的 | 法律依据（如适用） |
|---|---|
| 创建账号并保障账号安全；提供导览、地图、对话、音频、下载、收藏夹、行程、购买及支持服务 | 履行我们与你之间的合同 |
| 使用你的位置显示附近地点并规划游览 | 在你请求该功能时履行我们的合同，并以你的设备权限为前提 |
| 防止滥用、保护账号、诊断故障、执行限制、控制 AI 成本并保持服务可靠 | 我们在安全、防范欺诈和服务完整性方面的正当利益 |
| 使用统计，用于了解应用内及本网站上哪些页面被使用、哪里出了问题 | 我们在改进 Curio 方面的正当利益。应用内默认开启；你可以随时在“设置”中将其关闭，以此提出反对。 |
| 保存税务、会计、交易或争议记录 | 遵守法定义务，以及确立、行使或抗辩法律主张 |
| 回应隐私请求并执行我们的条款 | 法定义务、合同以及我们的正当利益 |
6. 人工智能
Curio 仅从我们位于欧盟（比利时）的后端发送所请求的 AI 功能所需的数据：
- 导览：地点的名称和坐标、关于该地点的公开来源资料（例如 Wikipedia）、你的语言、详细程度和你的兴趣会发送给 Perplexity，由其借助其运行的语言模型（包括其他公司的模型）进行研究并撰写导览。Google Gemini 会收到导览文本，用于撰写导览摘要和建议问题。
- 对话：你的问题、导览，以及你添加的照片（如有）会发送给 Perplexity。
- 语音讲解：导览文本会发送给 Mistral，由其朗读。
- 游览计划：为选择计划中的各站点，Google Gemini 会收到计划中心点周围地点的名称、类型和开放时间，每个地点的知名程度及其与该中心点的距离（从距中心点约 1 公里范围内的某一点测量）、该区域的名称、你的兴趣以及计划的设置（天数和日期、节奏和出行方式）。
- 备用服务提供方：当上述某一服务提供方不可用时，同样的数据会改为发送给备用服务提供方，仅限该次请求：导览、导览摘要、对话和游览计划使用 OpenAI；语音讲解使用 Google Gemini。
你的位置绝不会发送给 AI 服务提供方。Google Gemini 作为付费服务使用；根据其条款，提示词和回复不会被用于改进 Google 的产品，但仍适用有限的滥用日志记录。其他服务提供方根据其 API 条款及我们的配置处理数据；在未启用并经验证的情况下，我们不承诺零数据保留。Moty Studio 不使用你的内容训练 AI 模型。
为运营本服务，Moty Studio 会为每个账号保存其使用了哪些 AI 功能及其费用（绝不包括其内容，也绝不包括你所在的位置），并可查看账号的电子邮箱地址、这些记录以及该账号的错误报告，以便为你提供帮助并控制成本。这些记录不属于使用统计：“设置”中的开关不会影响它们。其明细会在 90 天后删除，全部记录会随你的账号一并删除。
AI 输出可能不准确、不完整或已过时。请勿在问题或照片中包含不必要的个人信息或敏感信息，并请自行核实重要信息。
7. 接收方及服务提供方
- Google Firebase 和 Google Cloud：登录、数据库、文件存储、后端函数、通知、应用完整性检查以及本网站的托管。Apple 和 Google 用于登录，Apple 的推送服务用于 iPhone 上的通知。
- Perplexity、Google Gemini 和 Mistral：AI 功能；OpenAI：在其中某一方不可用时作为备用（第 6 节）。
- Wikimedia Foundation（Wikipedia、Wikidata、Wikimedia Commons）：每次搜索的中心点和半径，用于查找地点及其照片；随后你的设备会从 Wikimedia 的服务器加载照片。
- 发布导览中所示照片的网站（当某个地点自身的照片较少时，这些照片是在撰写导览时从网络上找到的）：你的设备会从该网站加载每张照片，该网站会收到你设备的 IP 地址以及网络请求的常规信息，如同你打开一个网页时一样。除此之外，不会有任何关于你的信息发送给这些网站。
- Google 的图标服务：导览来源的域名，用于显示其图标；与任何网络请求一样，该请求会携带你设备的 IP 地址到达 Google。
- Curio 的地图数据服务器（OpenStreetMap 地点数据，由 Cloudflare 托管）：覆盖某次搜索或某个游览计划（其中心点周围最多 30 公里）的约 10 公里的地图区域，绝不包括精确的位置点。
- 如果该服务器无法响应，搜索区域可能会改为发送至一个公共 OpenStreetMap 服务器：overpass-api.de（德国）。
- Mapbox：地图，以及城市和区域的文本搜索（你的搜索内容和你的位置，用于对结果排序）。Mapbox 的 SDK 也可能发送使用情况和位置遥测数据；地图的署名按钮提供 Mapbox 的退出选项。对于行程，Mapbox 还会计算各站点之间的路线时间（基于站点坐标），并在游览计划当天计算从你的位置（精确到约 10 米）到第一站的路线时间。
- Apple 和 Google：你口述时设备的语音识别功能，以及设备的地理编码器，用于确定你所在国家的名称，并查找你添加到日历的地点的地址。
- Google Translate：Curio 向你显示的、并非以你的语言书写的地点名称和描述（来自 Wikipedia、Wikidata 和 OpenStreetMap 的公开文本，绝不包括你写的任何内容），连同你的应用语言，用于以你的语言显示这些内容。这涵盖 Curio 显示的每一个地点：你周围或你浏览区域内的地点，以及你的搜索结果和最近搜索、你的资料库、收藏夹和行程中的地点，以及你下载的导览。与任何网络请求一样，该请求会携带你设备的 IP 地址到达 Google，因此所请求翻译的文本可能会让 Google 得知你查看过或保存了哪些地点。译文会在你的设备上保存最多 90 天，在此期间不会再次请求。你可以在 Curio 的“设置”中关闭“翻译地点名称”（其他语言的描述始终会被翻译）。
- RevenueCat、Apple App Store 和 Google Play：购买、恢复购买、退款及欺诈信号。
- PostHog（欧盟）：使用统计（除非你将其关闭）以及本网站的统计数据。Sentry（欧盟）：已删除个人信息（不含位置、电子邮箱、问题或姓名）的崩溃和错误报告，与你账号的标识符关联。
- Cloudflare：本网站的域名系统，以及 Curio 地图数据的分发和安全。
- 导览所引用的来源网站，在你打开它们时。
- 在法律要求时、为保护权利和安全时，或在采取适当保障措施的公司交易中：主管机关、顾问或交易相对方。
8. 国际传输
Curio 由一家美国公司面向全球用户运营。Firebase Authentication 在美国处理数据；Curio 的数据库、文件存储和后端函数位于欧盟。Wikimedia、Mapbox 和 Google Translate 位于美国。其他服务提供方可能在美国、欧盟及其他国家处理数据。在需要时，数据传输以适用的充分性认定、对数据隐私框架（Data Privacy Framework）的参与、标准合同条款或其他合法保障措施为依据。你可以联系我们，了解适用的保障措施。
9. 保存期限
| 数据 | 保存期限 |
|---|---|
| 账号、个人资料、Curio 内容及支持对话 | 直至你删除相关内容或你的账号，除非出于安全、争议或法律原因需要保存。 |
| 账号删除 | 立即执行：删除账号会删除你的 Curio 数据、你的文件、你的支持对话、你的 RevenueCat 客户记录和你的使用统计，然后删除你的登录账号。为确保免费 Curio Pass 只发放一次而保留、且不含你任何内容的数据：领取它的 Apple 或 Google 身份的单向哈希值；在 Android 上，领取它的设备的 Android ID 的单向哈希值；在 iPhone 上，Apple 为该设备保存的标记。 |
| 账号暂停 | 暂停日期和理由保存至暂停解除或账号删除。身份哈希值保存至暂停解除，包括在账号删除之后。 |
| Firebase Authentication | IP 地址通常保存数周；其他身份验证数据保存至账号删除，随后根据 Firebase 公布的条款，在最多 180 天内从在线系统和备份系统中移除。 |
| 上传的媒体 | 直至你删除账号。 |
| AI 使用及费用记录 | 明细保存 90 天；汇总数据保存至你删除账号。 |
| PostHog | 直至你删除账号或我们不再需要这些数据。 |
| Sentry | 最多 90 天。 |
| 已下载的导览 | 仅保存在你的设备上，直至你将其移除、退出登录或删除账号；绝不包含在你设备的备份中。 |
| AI 服务提供方 | 依据适用的付费条款或 API 条款以及我们的配置。Gemini 适用有限的安全及滥用日志记录，未公开固定期限。除非已启用并经验证，我们不声称零数据保留。 |
| 地图、内容及网络服务提供方 | 依据各独立服务提供方的政策。例如，Mapbox 通常将 IP 日志保存最多 30 天，Wikimedia 将可识别身份的读者数据保存最多 90 天。 |
| 交易及法律记录 | 在税务、会计、拒付、法律主张或合规需要时，最多保存 7 年。Apple 和 Google 的交易记录遵循其自身政策。 |
| 服务提供方的备份及安全日志 | 在线删除后，它们可能会在服务提供方公布的备份、防滥用或法定期限内继续存在。 |
10. 你的选择
- 在设备设置中更改或撤回位置、相机、相册、麦克风、语音识别、日历和通知的访问权限。你无需共享位置即可按名称搜索。
- 在 Curio 的“设置”中关闭（或重新开启）使用统计；它们默认开启。关闭后自此停止，不影响此前的处理。
- 在 Curio 的“设置”中关闭“翻译地点名称”和行程日提醒。
- 使用 Mapbox 署名按钮，就 Mapbox 的遥测作出选择。
- 编辑你的个人资料和设置，或删除你的账号。
- 请勿在问题、照片或发给我们的消息中发送不必要的个人信息。
11. 你的隐私权利
视你所在地区而定，你可以请求访问、获取副本、更正、删除、限制处理、数据可携带或提出反对；撤回同意；选择退出出售、共享或定向广告（Curio 不进行这些活动）；并在当地法律有规定时对拒绝提出申诉。我们不会因你行使权利而歧视你。请发送电子邮件至 contact@motystudio.com。我们可能会在采取行动前核实你的身份和授权。我们力求在 30 天内回复，但可依法延长。
欧洲经济区／英国用户可以向当地监管机构投诉。其他用户可以联系当地法律规定的隐私监管机构或总检察长。
12. 账号删除
主要途径是 Curio 中的“我的 → 设置 → 删除我的账号”。如果你无法使用该设备或无法确认登录，请使用删除账号页面或给我们发送电子邮件。删除会移除 Curio 账号及相关内容，删除你的 RevenueCat 客户记录以及你在 PostHog 中的使用统计。删除不会删除由 Apple 或 Google 独立持有的记录、法律要求保存的交易记录，或你另行发送至独立网站的数据。
删除会永久移除未使用的 Curio Pass 时长，且不会自动产生退款。如需退款，请向 Apple 或 Google 申请，并受其规则及强制性消费者保护法律约束。
13. 安全
我们采用传输加密、服务提供方提供的静态加密、访问控制、App Check、身份验证、限定范围的安全规则、输入验证和脱敏处理。没有任何服务是绝对安全的；请保护好你的登录凭据，如怀疑遭到滥用，请联系我们。
14. 仅限成年人
Curio 不面向未满 18 周岁的任何人。我们不会在知情的情况下收集未成年人的个人信息。如果你认为有未满 18 周岁的人正在使用 Curio，请联系 contact@motystudio.com，以便我们进行调查并在适当情况下删除该账号。
15. 变更
我们可能会随着 Curio 或法律的变化更新本政策。我们会更新生效日期，并就重大变更提供应用内通知。在需要时，我们会请求你重新接受。
16. 服务提供方官方信息
以下链接提供了主要服务提供方当前做法的更多详情。其条款可能会独立变更。