隐私信息
1. 为隐私而设计
隐私不是一个设置，而是应用的构建方式。
- 无需账户，无需注册。Pro 版本也不会改变这一点：购买由 Google Play 处理，我们没有账户。
- 我们不知道你是谁：应用不读取手机的任何标识符，包括广告标识符，我们的服务器也不保存任何请求。
- 你的行程保存在手机上的加密数据库中。
- 没有广告，没有分析，没有追踪。
- 仅在应用打开时读取位置，从不在后台读取。
什么内容、在何时离开手机，下面有完整列出。
最后更新：2026年10月15日。
2. 谁对你的数据负责
本应用的开发者 AT DevLab 是《通用数据保护条例》（GDPR）所指的数据控制者。
- 有关隐私的问题，或要行使你的某项权利：设置中的«发送反馈»。
- 不过你的行程并不在我们这里：它们在你的手机上，而且只在那里。
- 电子邮件: pinny@atdevlab.com
3. 应用保存哪些内容？
只保存在本设备上：
- 你的停靠点和行程，存放在加密数据库中；
- 你保存在“你的地点”中的地点，存放在加密文件中；
- 最近从搜索中选择的地点，保存在加密文件中；
- 你的设置，如单位、油耗、语言和导航应用。
- 在应用缓存中：已经显示过的地图图片和临时文件——你导出的 GPX、附在反馈里的截图；
- 今天计算的路线次数，用于免费额度。
没有账户、没有登录，也没有任何其他副本。
4. 哪些内容会发送到设备之外？
只在以下时刻发送，而且从不附带姓名、标识符或历史记录：
- 计算路线：你的停靠点坐标。
- 点按地图，或“从我的位置出发”：该点，用于让站点取当地事物的名称或显示其街道。
- 搜索：你输入的内容，以及你的一个停靠点（或在你点“搜索此区域”时的地图中心），让附近的结果排在前面。还没有停靠点的行程，则改为发送取整到约 1 公里的你的位置。
- 移动地图：平移和缩放时会下载地图图像，地图提供商因此知道你在看哪个区域。
- 使用麦克风：录音由手机自带的语音服务处理。较新的手机上它留在设备内；其他手机上可能发送给该服务的提供商，应用会在你说话前告诉你是哪种情况。
- 打开应用：地图显示你所在的区域，因此地图服务商会提供该区域的图像。你的位置本身不会被发送。
- “马上歇脚”：取整到约 1 公里的位置，只在你点选某一项时发送。
- “评价”：该地点的名称和地址会发送给 Google 地图，由它打开该地点的页面——仅在你点按按钮时。
- 首页地图上的定位按钮或“地址”：你的精确位置，让搜索服务告诉你在哪条街——仅在你点按其中一个时。
- “导航”“分享”和“发送反馈”：站点、消息或截图会发送到你选择的应用——Google 地图、Waze、聊天应用、你的邮箱——仅在你点击时；之后适用该应用自己的规则。
- “带孩子出行”：按你选择的间隔，每次休息前的一段路线，用于在那里查找卫生间、儿童游乐场、服务区和咖啡馆。
- Android Auto 地图上的定位按钮：你的准确位置，让搜索服务告诉你在哪条街——仅在你点按时。
- 沿途的“马上歇脚”，以及在机场或租车点之前推荐的加油站：你前方剩余道路上的点，以便先显示顺路的地点。
应用中没有其他任何请求。
5. 还涉及哪些方？
五方，仅此而已：
- Cloudflare，托管我们的代理；
- Geoapify，计算路线并查找地点。它从代理而不是从手机接收请求：它能看到坐标和你搜索的内容，但看不到你的 IP 地址或任何能识别你身份的信息，应用内也不包含任何密钥；
- TomTom，在停靠点相距较近的驾车行程中、「路况」开关打开时，按当前路况测量时间。与 Geoapify 一样，它从代理而不是从手机接收请求：它看到路段的坐标，看不到你的 IP 地址。它还会根据你前方道路的点，查找沿途的地点；
- MapTiler，提供地图图像；
- 你选择打开的应用：Google Maps 或 Waze、用于«分享»的聊天应用、用于«发送反馈»的电子邮件。
Cloudflare 和 MapTiler 能看到手机的 IP 地址，就像你连接的任何互联网服务一样。我们的代理读取它仅为了统计最近一分钟的请求以防止滥用，并且不会把它写到任何地方；代理不保存请求，其日志只记录故障，不含坐标，也不含你输入的内容。
没有任何广告网络、分析服务或数据中介。
6. 数据去往哪里
- Geoapify（路线计算和搜索）：一家欧洲公司，服务器位于欧盟境内的德国和芬兰。
- TomTom（按路况计算的时间）：一家荷兰公司，TomTom International B.V.，位于阿姆斯特丹。它在哪里处理数据，我们尚未核实。
- MapTiler（地图图像）：一家瑞士公司，在瑞士和欧洲经济区处理数据。欧盟认可瑞士提供充分的保护。
- Cloudflare（我们的代理）：一家拥有全球网络的美国公司，因此请求可能经过其位于欧盟以外的服务器。Cloudflare 参加了欧盟-美国数据隐私框架，这是 GDPR 认可的此类传输的依据。
7. 为什么，以及保存多久
上面列出的每一次发送，都是为了完成你当时要求的事：计算路线、查找地点、为站点命名（GDPR 第6条第1款(b)项）。
两项例外基于正当利益（第6条第1款(f)项）：打开应用时显示你所在区域的地图，以及保护服务免遭滥用的请求限制。
保存多久：
- 在手机上：直到你删除它们或卸载应用；
- 我们的代理不保存请求。为了计数，它会读取 IP 地址，该地址在 Cloudflare 的计数器中停留一分钟。故障日志记录哪里出了问题，不含坐标，也不含你输入的内容，Cloudflare 最迟在3天后删除它们；
- Geoapify 和 MapTiler 按照各自的隐私政策保存自己的技术日志。Geoapify 声明，它只在答复、排除故障和汇总统计所需的时间内保存请求数据。
8. 我的位置呢？
- 只在应用打开时读取：用于在地图上显示你所在的区域、“从我的位置出发”和“马上歇脚”。
- 从不在后台读取：应用没有这项权限，也从不申请。
- 它留在手机上，有四个例外：用作行程起点时，它成为你的一个站点，并像其他站点一样被发送，也用于查找你所在的街道；使用“马上歇脚”时，以及在尚无站点的行程中搜索时，会取整到约 1 公里后发送；使用主页地图上的“地址”时，会按原样发送以查找街道，仅在你点按时。分享按钮只会把它发给你选择的人。在 Android Auto 中，地图上的定位按钮会原样发送它，以告诉你所在的街道，仅在你点按时。 在首页地图上，定位按钮也会这样发送它，以便立刻显示街道。
9. 会被追踪吗？
没有。
- 没有统计分析、没有崩溃报告、没有广告，因此没有需要关闭的东西。
- 如果将来有所改变，将需要你主动同意、默认关闭且可撤回，本页面会事先说明。
10. 你必须向我们提供数据吗？
不必。
- 你可以拒绝位置和麦克风权限：应用照样可以使用，只会请你输入它自己无法读取的内容。
- 每个会发送数据的功能，都只在你点按时才启动。
- 应用不会对你做出任何决定：它只排列站点的顺序，不评价任何人。
11. 你的权利
GDPR 赋予你访问、更正、删除你的数据，限制其使用，反对对其处理，以及将其带走的权利。
- 几乎所有内容都只在你的手机上，因此这些权利由你自己行使：在应用中查看和修改数据，通过将行程导出为 GPX 文件或分享来带走数据，并用设置中的«删除我的所有数据»删除它们。
- «删除我的所有数据»会立即删除：已保存的行程和正在进行的行程、«你的地点»、历史记录（最近的地点和搜索）、缓存（地图图像和临时文件）以及今天的计数。只保留设置：语言、车辆、单位。卸载应用会删除一切。
- 我们不保留任何包含你数据的档案，因此没有什么需要向我们索取；如有任何问题：«发送反馈»。
- 你可以向卢森堡数据保护机构 CNPD（cnpd.public.lu）或你居住国家的机构投诉。
12. 在手机上如何保护
- 行程数据库使用 SQLCipher 加密，其密钥保存在 Android 的加密存储中。
- 每个请求都使用 TLS 1.2 或更高版本；应用本身拒绝明文 HTTP。
- 自动云备份已关闭，因此你的行程不会被复制到 Google 账户。
- 发布版本经过压缩和混淆，任何坐标都不会写入设备日志。
- 应用只申请尽可能少的权限，从不申请后台位置。
13. 本应用遵循的规则
本应用按照以下规则设计：
- GDPR（欧盟 2016/679）：位置属于个人数据，隐私设计是出发点。可携带权（第 20 条）即 GPX 导出；删除权（第 17 条）即“删除我的所有数据”。
- CCPA/CPRA（加利福尼亚）：不出售也不共享任何数据，因此无需选择退出。
- COPPA：本应用不面向儿童。
- 安全：参照 OWASP MASVS 2.x L1 级设计。每次改动时，我们的构建会自动检查其中部分控制项：不在后台读取位置、应用内不含密钥、日志中不含坐标、关闭备份和未加密的 HTTP。
- 地图和路线数据：OpenStreetMap，采用 ODbL 许可。
准确地说：这不是认证，也不是 MASTG 安全测试，没有任何外部机构对其进行过审核。
14. 儿童
本应用面向成年人，包括计划带孩子出行的父母。它不面向儿童，也不收集任何年龄的任何人的数据。
15. 问题
有关隐私的问题，或要行使你的某项权利，请使用设置中的«发送反馈»。它会打开你的邮件应用，因此在发送之前你能准确看到要发送的内容。