数据控制者与联系
echOKs由NOPECUBE LLC提供。有关隐私的问题及个人数据请求，请联系privacy@echoks.com。
我们处理的数据
- 账户与验证：您的Apple或Google登录标识符及该提供商提供的信息、已验证的电话号码、会话详情，以及为单设备规则在服务器端保存的安装标识符指纹。
- 个人资料与内容：用户名、显示名称、简介、头像、Echo文本和媒体、选定的地点和时间、评论、点赞、再次分享、关注关系及消息。
- 偏好与安全：可见性、通知偏好；屏蔽、举报、审核记录、安全或速率限制记录。
- 您选择加入时：用于通知的设备推送令牌；用于本地参与和徽章的区域／日期记录；地点领导者功能中与哈希化Google Place键关联的账户ID和UTC到访日记录。
- 附近提醒与个人重新打开：可选的到达提醒偏好、最近提醒的Echo及UTC日期的私密记录，以及个人列表中已保存Echo的重新打开频率和时间戳。
我们请求出生年份和月份，以确定资格。我们在私密账户记录中保存您的年龄组，以及由申报年份和月份计算的、在16岁和18岁获得访问资格的日期。这些日期可能间接透露申报的年份和月份。我们不请求出生的具体日，也不另外保留输入的年份和月份。
位置如何使用
位置用于显示地图、将Echo关联到地点、寻找附近Echo或检查现场解锁。地图、Echo创建和现场打开检查在您于前台使用相关功能时开始。如果您单独启用附近Echo到达提醒，应用可能在获得设备权限后，于后台使用高精度移动位置更新和操作系统区域事件。应用会在移动约250米时请求更新，以刷新附近区域，但操作系统可能延迟或停止更新。现场解锁会发送新的定位信息，用于伪造、精度、距离和速度检查；最近一次验证定位可能保留在私密账户记录中。
如果您单独选择加入地点领导者功能，您会在应用处于前台时，为服务器新解析的Google Place选择手动发起签到。服务器检查手机的新定位是否位于该地点150米加报告精度容差的范围内，仅接受精度为35米或更好的定位。领导者功能不存储手机原始坐标。选定的Google Place坐标为临时数据，有效期最多15分钟。每个地点每个UTC日最多计为一个到访日。
您创建的Echo位置可能在地图上向获准查看该Echo的人显示。可选的本地参与保存大致区域和日期，而非精确坐标历史。应用不会根据Wi-Fi名称／BSSID或公寓号码被动推断位置。
附近提醒与个人重新打开
如果您单独启用附近Echo到达提醒，我们可能请求设备的通知和后台位置／区域权限。应用通过后台移动位置更新，刷新最多20个附近Echo区域，操作系统监控区域进入事件；当前可见的Echo候选项的区域元数据存放在设备安全存储中，与活动账户和会话关联，15分钟后视为过期，重新使用前刷新。关闭偏好或退出登录时，设备列表会清除。这不是连续的位置历史。在移动后刷新区域或处理区域进入事件时，可能向服务器发送新的手机定位，以再次检查候选Echo是否仍符合条件且可见；到达提醒流程不存储这些手机原始坐标。如上所述，单独的私密账户记录可能保存最近一次现场打开Echo时使用的定位。
为限制重复提醒，私密账户记录保存Echo ID及最近提醒的UTC日期，最多200条；超出滚动30个UTC日窗口的记录会在新活动时及大约每小时的清理中移除，清理可能延迟。附近推送文本可能显示分享者的显示名称或用户名及媒体类型，但绝不会包含密封的文本、媒体或精确位置。应用内通知中心会重新检查当前访问规则。您可以关闭偏好并撤销设备权限；操作系统可能延迟或省略后台事件。
将Echo保存到个人列表后，您可以选择默认、永久、每小时、每天、每周、每月或每年重新打开。服务器将此选择及保存／打开时间戳存储在您的私密Echo解锁记录中。默认模式以外的每次个人重新打开，都需要返回Echo位置并提供新的定位，即使该Echo最初可以在任何地方打开也一样。个人偏好不能延长创建者的Echo有效期，也不能覆盖受众、屏蔽或删除规则。
地点领导者
最近90个UTC日中的到访日决定排名。领导者身份需要至少两个不同的到访日。只有另一人的到访日更多时，当前领导者才会改变；平局时现任领导者保留。在您担任领导者期间，您的用户名可能在遵守屏蔽规则的前提下显示为地点领导者。此应用内排名不授予该地点的所有权、经营权或其他法律权利。
目的与接收方
我们使用数据来验证账户、托管内容并向您选定的受众展示、实施地点和时间条件、发送通知、审核滥用举报、提供支持及保持服务安全。
其他用户可能看到您的可见性选择所允许的个人资料字段和内容。获授权的审核员可能审核举报、结果不确定的内容及申诉；未选择自动检查的新Echo会等待人工审核。我们使用Google Firebase／Google Cloud提供基础设施，使用Google Maps／Places提供地图和地点搜索，并使用您选定的Apple或Google登录提供商。详情请参阅Firebase隐私信息及Google隐私政策。
可选的Echo自动筛查
此功能启用后，只有您在创建新Echo时，或对仍在等待人工审核的自己的Echo，给予单独、明确的同意，我们才会将Echo文本和媒体发送至OpenAI API进行安全筛查。OpenAI审核检查文本和图像；附加视觉模型可能检查图像中的文字和上下文。音频由OpenAI转录并筛查。视频每秒约抽取两帧，其音轨会转录并筛查。抽样不覆盖每一帧，自动筛查不能保证发现所有违规。
我们不会将用户ID、电话号码或手机位置坐标作为单独字段加入OpenAI请求，但内容本身可能包含这些信息。未作出此明确选择时，我们不会将该Echo发送给OpenAI进行自动筛查，它会留在现有人工审核流程中。无法自动筛查时，Echo仍保留在人工审核中。错误或不确定结果会使内容保持未发布状态并等待人工审核。
OpenAI表示，除非客户另行选择加入，否则API数据不会用于训练其模型。OpenAI处理可能发生在我们的Firestore数据区域以外的国家。安全数据保留、期限及图像例外因端点而异；请参阅OpenAI数据控制。自动筛查拒绝或隐藏的Echo内容，在可申请一次人工审核的30天期间内保持不可访问。若您未在此期间申诉，计划删除可能开始。在期限内申诉的Echo等待人工决定时，不会被此清理删除。若您更早请求删除账户，则适用账户删除流程。我们为安全和支持处理决定类别、申诉状态及最少量审核记录。
保留与删除
账户数据在账户有效期间以及提供功能所需的时间内保留。用于Echo或地点领导者的Google Place选择有效期为15分钟。过期选择由约每15分钟运行的清理任务删除；处理可能短暂延迟。选择也会在被替换、用于创建Echo或账户删除时移除。未完成的Echo上传在约24小时后扫描清理；可选的本地在场日记录被标记为约366天后到期。已选择加入地点领导者功能的到访日记录使用滚动90天窗口，到期后由计划任务清理。附近到达提醒记录最多200条，包含Echo ID和UTC日期；超出滚动30个UTC日窗口的记录在新活动时及大约每小时的清理中移除，所以实际删除可能延迟。个人重新打开选项和时间戳保留在私密解锁记录中，直到您将Echo移出个人列表或删除账户。撤回附近提醒同意会停止新的监控并开始清理功能记录。计划清理意味着准确的删除时间取决于处理进度。
撤回地点领导者同意会启动可重试的到访记录清除流程；清理完成前，您无法重新启用此功能。请求删除账户时，您的会话访问立即关闭。随后，个人资料数据、Echo、媒体、历史消息记录及与账户关联的功能记录会在后台清除。举报类别和审核结果的最少量去标识化审核记录可能保留。他人已获取的副本或截图不在我们的控制范围。请阅读账户删除说明。
您的选择与请求
在应用中，您可以编辑个人资料、Echo受众、屏蔽及通知偏好，并删除自己的Echo或账户。您可以单独启用或关闭附近Echo到达提醒、管理保存的Echo和重新打开选项，以及在设备设置中更改位置和通知权限。对于访问、更正、删除或当地法律下可能适用的其他权利，请发送邮件至privacy@echoks.com。我们可能需要验证您与账户的关系；请勿发送密码或短信验证码。
年龄与安全
创建echOKs账户必须年满16岁。部分功能仅限18岁及以上用户。我们使用服务器端检查、单个活动设备会话、获授权的内容解锁记录和滥用审核来保护访问。任何安全措施都不能提供绝对保护。
处理地点与变更
我们的Firestore数据库配置在欧洲多区域。Firebase Authentication在美国处理身份验证数据；其他提供商的处理可能发生在其他国家。应用或数据实践发生变更时，我们可能更新本政策，并通过适当渠道通知重大变更。
共享媒体的准备
Echo和头像上传会在我们的服务器上处理。应用图像方向、将颜色转换为sRGB并限制尺寸；发布副本会移除嵌入的EXIF／GPS、相机和其他个人元数据。透明图像以PNG提供，其他照片以JPEG提供。音频和视频重新编码，保留时长并移除嵌入元数据。无效或不支持的文件不会发布。这不会移除像素中可见的地址、人脸或私人信息。
对于新内容，安全筛查使用与将要提供的版本相同的不可变媒体版本。照片不会再制作较小副本而是直接检查；音频转录，视频在整个时间范围内每秒约抽取两帧。这不能保证检测每一帧或非语音风险。已完成的原始上传会在记录提交后清除；未完成上传和未提交的准备文件在约24小时保留窗口后进入有限的清理。后台处理可能延迟实际删除。
儿童安全与举报
echOKs禁止儿童性虐待或性剥削、以性目的诱骗儿童、性勒索及儿童性虐待材料。举报Echo、个人资料或评论时，请选择儿童安全类别，或将链接／标识符和简短说明发送至support@echoks.com。请勿下载、再次传播疑似材料，或将其作为邮件附件。
被标记为疑似儿童虐待材料的内容会从常规自动审核及发布中移除，不会发送给OpenAI，并需要受限的安全处理流程。自动筛查不是儿童性虐待材料（CSAM）检测服务。有关规则和联系途径，请阅读我们的儿童安全标准。
可选翻译与地点摘要
与内容安全筛查分开，您可以选择将有权打开的Echo文本发送给OpenAI进行翻译，每次操作都需明确选择。地点摘要最多使用您目前在该地点可访问的10段文本。隐藏和密封内容不包含在内。会传输目标语言和文本，不传输不必要的账户、电话和原始GPS数据。结果限于该用户及内容版本，保留24小时，并在撤回同意或删除源内容时清除。AI翻译和摘要可能不准确。
可选联系人匹配
只有选择此功能并授予权限后，才请求通讯录访问。原始号码和联系人姓名不会上传。设备使用有效期为5分钟的一次性随机挑战对国际电话号码进行哈希。每天最多200个哈希发送至服务器，仅在内存中与已验证电话且启用可被发现的成员匹配。哈希不保留；挑战在使用后或到期后的清理中移除。这不是正式的密码学隐私集合求交协议。可被发现默认关闭，且可撤回。我们不提供成员之间的私人消息功能。
可选AR与建筑楼层
AR仅在获得相机和精确位置权限后启动。Google ARCore Geospatial可能通过Google处理相机图像和设备位置，以定位场景。echOKs不保留原始AR相机帧；您为共享Echo选择的空间锚点会保存其位置、方向和内容版本。设备支持或定位质量不足时，可使用地图和二维照片对齐。我们不保证米级和楼层精度。
SuperEcho用当前GPS定位检查已登记的真实建筑边界。设备楼层和气压信号可以帮助估计楼层变化；您确认自己实际所在楼层。与会话绑定的私密楼层确认有效2分钟，气压校准有效30分钟。楼层改变或到期后需要重新确认。这些检查的原始GPS和Wi-Fi标识符不作为历史保留。限制楼层的Echo保存建筑ID和楼层作为访问规则。
Charmecho
Charmecho是可选功能，仅向18岁及以上已验证成员开放。位置样本用于确定区域；保存区域标识符和短期会话在场信息，而不是原始坐标。投票、有限的互动、账户信任和已确认的审核结果会参与90天排名。服务器端带密钥的电话哈希限制同一电话的重复影响。领导者可以隐藏身份。您可选择是否在本地排名显示用户名、分数和圆环。
每日免费虚拟Charm余额和5/10单位礼物没有货币价值。不提供购买、现金兑换或作为支付方式使用。圆环特权可能暂时突出个人资料或Echo。当地领导者基于有限的安全理由临时隐藏的公开Echo会交给获授权的审核员；领导者身份不授予财产权或永久删除权。退出会移除当前本地会话在场信息并隐藏您的排名。保存的积分事件和投票在90天保留期后或账户删除时移除；最少量去标识化审核审计记录可能保留。
个人每日和每周目标及最多七天的连续参与，来自这些现有有效记录；不会创建单独的原始位置历史或永久成就记录。选择“分享”时，匿名进度卡或通用目标邀请可以通过系统分享面板传输到您选择的应用。卡片和邀请不包含姓名、用户标识符、区域、地点或原始GPS。启用领导者身份隐藏时，个人卡片分享关闭。分享不会产生送达证明或排名奖励。
Echochain
将照片加入Echochain是单独的可选操作。衍生照片相似性指纹和您确认的时间顺序链接最长保留365天。建议仅使用您获授权访问的照片，从不自动创建链接。二维对齐只是比较辅助，不能证明地点或事件相同。衍生数据和链接在编辑、隐藏、删除或撤回后清除。
地图服务处理的数据
应用中的原生 Google Maps SDK 可能为运行和改进 Google 服务而处理 IP 地址、设备和请求元数据、SDK 专用的假名标识符、SDK 崩溃和性能信息，以及根据所用相机 API 产生的地图平移和缩放事件。这与 echOKs 可选的参与分析偏好相互独立。
搜索地点时，输入的查询及所使用的地图中心位置优先条件会发送给 Google Places。应用不保存原始搜索历史，并不证明提供方从不保留这些数据。
已存位置的精度
创建 Echo 时选择的坐标随 Echo 保存，只向有权访问的人显示。可选的本地参与保存与账户关联的日期和 geohash7 区域代码。代码代表约 150 米的区域，我们将其视为精确位置数据；舍弃原始 GPS 坐标不等于没有收集位置。
本地参与日期记录在约 366 天后标记为待清理，定时删除可能延迟。这不是连续的原始移动路线。独立的地点领导访问日记录采用 90 天窗口。
技术和安全日志
基础设施可能生成含请求或操作标识符、技术错误和安全信息的日志。当前 Google Cloud Logging 存储桶保留普通日志 30 天、必需审计日志 400 天。这与 Echo 或功能记录的期限不同；删除账户不会立即抹除所有此类日志。
存储桶的“global”位置不代表具体存储国家。提供方备份和其他服务日志可能有独立规则；我们不声称所有诊断数据都匿名或仅保留在设备上。
删除后保留的有限记录
删除账户会启动应用个人资料、内容及账户关联功能记录的清理。除最少的内容审核审计记录外，我们保留与账户 UID 关联的删除状态、请求和完成时间，以防止旧账户重新启用。该有限记录并非匿名，目前没有自动到期时间。
Firebase Authentication 可能保留 IP 日志数周；其他认证数据在开始删除用户后，从在线和备份系统移除最多可能需要 180 天。删除 Firebase 消息安装标识符需要独立的提供方 API 操作，随后移除最多可能需要 180 天。删除我们服务器的推送注册，并不证明安装标识符已删除。应用账户删除与提供方保留期限的范围不同。
可选的参与分析
符合条件的 18 岁及以上成员可以单独同意有限的参与分析。前 8 天活跃的 UTC 日期、是否打开其他作者的 Echo 等指标，通过随机假名标识符处理。另有账户与该标识符的对应记录，因此并非完全匿名。
此分析记录不包含 Echo 文本或 ID、原始位置或广告标识符。30 天后进入定时清理；撤回偏好或删除账户会启动对应关系和分析记录的删除。这项偏好不控制地图 SDK 自身的数据处理。
OpenAI 与应用的不同保留期限
翻译和地点摘要结果在应用数据中保存 24 小时。这不是 OpenAI 的保留期限。Responses 请求使用 store:false，但此设置本身不等于 Zero Data Retention。常规 Responses 滥用监测日志可能保留内容和衍生信息最长 30 天，法律或安全原因可延长，图片和文件审核另有例外。
内容审核、音频转写和 Responses 端点规则不同。发送内容需在应用中单独明确选择。已经开始的传输无法撤回；删除我们的副本不会立即删除提供方记录。
单独的个人资料及评论安全偏好
每个Echo的筛查选择不授权处理您的个人资料或评论。如果在账户设置中启用单独的可选社交安全偏好，您提交的显示名称、简介、更改后的头像和评论文本可能发送至OpenAI API进行安全筛查。不会附加不必要的电话号码、账户标识符或原始位置字段；内容本身可能包含此类信息。未启用此偏好或服务无法决定时，新内容等待人工审核。以后启用偏好不会自动向提供商发送此前的人工审核记录。撤回会停止后续提供商请求；已经开始的传输无法收回。
新评论在批准前对其他用户隐藏，不增加计数或发送互动通知。个人资料变更审核期间，最近批准的显示名称、简介和照片仍保持公开。您可以查看自己的待处理项目和决定，并在拒绝后30天内请求一次人工审核。审核副本和决定记录通常保留30天。在期限内申诉的项目等待人工决定期间不参与此清理；决定后保留期重新开始。账户删除也会开始清除这些记录和媒体。