SpaceS APP
隐私政策

协同测量与后台共享

协同测量需登录 SpaceS。创建或加入队伍后默认不共享；您可主动选择仅共享位置，或共享位置与设备读数（包括明确标记的虚拟设备模拟读数）。队内称呼、虚拟设备标记、所选位置、定位精度、采样时间、γ 剂量率和设备读数状态经 HTTPS 发送给 SpaceS 协同服务，再提供给同队成员。该实时共享由服务端处理可读数据，不使用个人备份加密密钥，也不共享邮箱、个人资料、健康记录或照片；虚拟设备的模拟读数仅在您主动开启“位置与测量”共享后发送，并向队友明确标注来源。主动开启后，锁屏或切到后台仍持续定位并共享，系统会显示持续定位提示；停止共享或退出队伍后结束。应用进程被系统终止或强制关闭后不自动恢复共享。队伍最长 8 小时，邀请码最长 30 分钟有效；服务器只在内存中保留成员最后一次共享数据，不保存团队轨迹。停止共享会请求清除自己的共享数据，退出会移除成员，队长结束队伍会清除整队数据。网络中断时其他成员可暂见标记为过期的最后一次数据；连续离线 30 分钟后自动移除，清理周期最长另加 1 分钟。服务重启后队伍清除。其他成员已查看或自行保存的内容无法由本 App 撤回。

SpaceS云与分类同步

在您接受本政策并允许 App 启动联网处理后，SpaceS 可读取公开服务配置、生成随机客户端标识，服务端也会形成保障安全和排查故障所需的网络日志；这不表示您已经创建或登录云账号。只有在您主动勾选云服务同意并发起登录或创建 SpaceS云账号后，我们才处理邮箱、账号标识和登录令牌。登录且具备对应云服务权限后，您可选择测量与空间记录、运动记录、健康记录参与同步；个人资料按独立同步机制处理。所选记录、逐秒样本、精确位置轨迹、空间原图与环视图等在手机端加密后上传。同步按记录合并新增、修改和删除，冲突时按页面提示选择；特定恢复入口的替换行为会另行提示。取消某类同步不会删除既有云端记录。虚拟手表的模拟数据及关联 GPS 不进入个人云同步。服务端负责密钥托管，这不是服务提供方无法解密的“零知识”备份。您可关闭自动同步、退出登录或按页面流程删除云端数据，本机记录不会因此自动删除。

一、适用范围与基本原则

本政策适用于包名或 Bundle ID 为 com.songjianfeng.spaces 的 Android / iOS 版、包名为 com.songjianfeng.spaces_hm 的 HarmonyOS 版及其配套 SpaceS云服务。

本应用可连接已经完成适配验证并符合当前支持通信协议的外接设备。当前已适配 SpaceS Watch，未来可扩展至其他厂商及其他设备形态。设备制造商提供相应硬件及随附服务；本政策仅说明 SpaceS APP 与 SpaceS云服务的信息处理活动。

我们遵循目的明确、最少必要、公开透明和安全保护原则。未取得您的同意前，不主动启动需要联网、访问设备标识或申请系统敏感权限的功能；您可以选择仅使用无需上述处理的本地功能。

二、我们如何处理信息

无需账号的功能

连接兼容设备、本机查看与保存记录、离线核素索引及部分本地科学工具不以创建 SpaceS云账号为前提。拒绝隐私授权后，您仍可使用 App 明确提供的本地离线功能，但联网、蓝牙、位置、相机等依赖相应处理的功能将不可用。

三、设备权限说明

• 蓝牙扫描、连接、配对与管理：发现、连接和自动回连您选择的兼容设备，并交换设备状态、测量、活动健康、设置和提醒数据。Android 11 及以下使用旧版蓝牙权限；需要通话音频时，仅在您确认后为当前设备发起系统配对。
• 大致位置：在系统仅提供大致位置时，用于您主动使用的测量或空间定位、户外运动、附近公开监测信息和天气同步；Android 11 及以下的蓝牙扫描也可能受系统位置权限约束。
• 精确位置与持续定位：在您主动使用测量轨迹、空间记录、户外运动、附近公开监测信息或天气同步时获取位置。只有您主动开始户外运动后，App 才会按平台规则持续记录位置；Android 会显示前台服务通知，iOS 会显示系统位置指示，运动结束后停止。
• 相机、照片与媒体：拍摄空间快照、遥控照片或空间环视时使用相机。环视扫拍生成无声临时视频，仅在本机选帧，正常完成、取消或退出后删除，不进入系统相册、空间记录或云同步。空间原图与环视图默认保存在 App 私有目录；主动保存到系统相册时遵循各平台的权限或系统确认流程。
• 通知访问：仅在您主动开启消息提醒后，读取您选择允许的通知，并在兼容设备连接时即时转发；不在 App 中持久化或上传通知内容。
• 电话状态、通话记录权限、联系人及拒接来电：仅在 Android 用户主动开启来电提醒后识别当前来电状态；通话记录权限仅用于让系统提供当前来电号码，联系人权限仅用于将该号码匹配为联系人名称，随后即时显示到已连接设备。App 不查询历史通话记录，不批量读取或同步通讯录，也不持久化或上传来电号码和联系人名称。Android 9 及以上，在您从连接设备主动选择拒接时，可结束当前正在响铃的来电。
• 存储卡写入（Android 9 及以下）：仅在“遥控拍照”页拍摄后将照片写入系统相册；不读取、扫描或删除存储卡中的其他内容。
• 振动、前台服务及保持唤醒：响应查找手机等提醒；在测量、户外运动或空间拍摄需要前台持续显示时保持屏幕唤醒。Android 前台位置服务仅用于您主动开始且尚未结束的户外运动。

权限会在具体功能需要时申请。您可在手机系统设置中关闭权限；关闭后仅影响对应功能，不影响不依赖该权限的功能。

四、联网服务、SDK 与共享

我们不出售个人信息，不基于上述信息投放广告，也不以广告追踪为目的共享个人信息。为实现必要功能，App 会使用以下服务或开源组件：

除上述功能所必需、依法提供或为保护用户及公众重大权益所必需的情况外，我们不会在未经您同意的情况下向其他主体提供您的个人信息。如未来新增会处理个人信息的第三方服务，我们会更新清单，并在依法需要时重新取得同意。

平台权限与诊断信息

电话、联系人与通知使用权条款适用于 Android 相应功能；HarmonyOS 的通知订阅和系统媒体控制受发布签名及系统授权限制，不直接套用 Android 权限名称。

本版使用 HarmonyOS 提供的 AbilityKit、ArkData、BluetoothKit、LocationKit、MapKit、CameraKit、MediaLibraryKit、NetworkKit、CoreSpeechKit 及 Asset Store 等能力，用于页面、本机存储、蓝牙、定位、地图、相机、网络、语音播报和账号令牌保存。照片环的全景拼接在本机使用 OpenCV 4.5.5（Apache-2.0）处理，照片不会因拼接而发送至 OpenCV 或其他外部服务。当前未集成广告、用户画像或跨 App 跟踪 SDK。

异常诊断自动上报仅包含应用版本、发生时间、失败环节、错误类别及脱敏网络诊断（错误码、耗时、请求阶段和重试次数），不包含账号、健康原始数据、位置或照片。本机保留最近 7 天最多 100 条，服务器保存 30 天；网络不可用时稍后重试。您可在“诊断与反馈”中关闭自动上报、预览或导出诊断日志、清除本机日志。诊断报告没有账号关联，注销账号不改变其保存期限。

五、保存期限、安全与跨境

• 本机数据：通常保存至您在 App 内删除、清除 App 数据或卸载 App。卸载前请自行确认是否需要云备份或导出。
• 账号与云备份：在提供账号、备份与恢复服务所需期限内保存。您可在 App 的 SpaceS云账号页注销账号；我们将在法律要求的期限内删除或匿名化关联账号数据，但依法必须留存的安全、交易或审计记录除外。
• 安全日志：仅在服务安全、故障排查及法律合规所需期限内保存，期限届满后删除或匿名化。

我们采用访问控制、传输保护、备份包加密、完整性校验等措施降低未经授权访问、泄露、篡改或丢失的风险。任何网络与存储技术均无法保证绝对安全；如发生可能影响您权益的安全事件，我们将依法采取补救并履行告知义务。

SpaceS 账号与备份服务当前通过 ptable.com.cn 提供，并按照适用的数据保护要求处理和保存信息。天气查询由 SpaceS 天气服务向和风天气发起。您主动使用手机系统提供的其他在线能力时，相关信息可能由境外或跨区域设施处理；我们会在功能入口提示其目的和范围，您可以不启用该功能。

六、您的选择与权利

• 在 App 内查看、更正个人资料及本机记录，并删除单条记录、空间照片或相关历史。
• 在系统设置中撤回蓝牙、位置、相机、照片、通知、电话或联系人权限；撤回不影响此前基于同意已完成的处理。
• 退出 SpaceS云账号、停止自动备份，或在账号页申请注销账号。退出登录不会自动删除本机记录。
• 通过下方联系方式申请访问、更正、复制、删除个人信息，撤回同意或注销账号。为保护账号安全，我们可能需要核验您的身份。

如您不同意更新后的隐私政策，可停止使用涉及新增处理的功能。您可以继续使用明确标注、不需要相关信息处理的本地功能。

七、未成年人保护

SpaceS 面向具备独立民事行为能力的用户，不以未满 14 周岁的儿童为主要服务对象。未成年人应在监护人阅读并同意本政策后使用；如我们发现未经监护人同意处理了儿童个人信息，将依法尽快删除或采取其他必要措施。

八、政策更新

功能、处理目的或法律要求发生变化时，我们可能更新本政策，并通过 App 或其他适当方式提示。涉及处理目的、方式或信息种类重大变化且依法需要重新取得同意的，我们会另行征得同意。

九、联系我们