概觀
「一路計劃」會將您的資料儲存在裝置上；當您透過 Apple 登入且 iCloud 可用時，會透過 Apple 的 CloudKit 同步下文所述的資料。我們不經營獨立的帳戶資料庫，也不會出售您的個人資料。
透過 Apple 登入
當你以 Apple 登入時，App 會收到一個化名的使用者識別碼，並且僅在你首次授權時，收到你選擇分享的姓名與電郵（包括「隱藏我的電郵」位址）。該識別碼會保存於 App 的本機鑰匙圈與 App 儲存空間中，以辨識你的登入；它不會被上傳至你的 CloudKit 個人檔案。你的姓名與電郵會儲存於本機並依下述方式同步，使你的帳戶細節能在你的各裝置間維持可用。你的姓名亦會用於在你的指南作者申請中預先填入公開的作者署名，你可在申請時更改。一旦你的申請獲核准，該署名即固定，並會出現在你發佈的每則貼文上。
iCloud 同步
在你以 Apple 登入期間，App 會使用我們 CloudKit 容器的公開資料庫，以同步你的非範例旅遊計劃、姓名、電郵、日期與時間顯示格式、里程兌換報到記錄，以及你在小程式中執行的搜尋（你輸入的航線、日期、艙等及航班或酒店關鍵字，連同時間、你的語言與 App 版本）。你匯入的酒店會籍號碼、計劃、積分、會籍等級、住宿晚數進度及通行證到期日，會以加密資料另行同步至你的私人 CloudKit 資料庫；其他 App 使用者與開發者無法瀏覽該私人資料庫。搜尋記錄帶有你的帳戶識別碼，受「設定」中「分析資料收集」開關的管理，並可隨時在「設定」的「行為」中清除。CloudKit 提供一個帳戶範圍的識別碼，用以定址並擁有已同步的記錄；App 會在本機保留與該識別碼的綁定，以防止裝置更換 iCloud 帳戶後意外上傳。「公開資料庫」是指 CloudKit 資料庫的範圍；就你的計劃與個人檔案記錄而言，其安全角色允許已驗證的 iCloud 使用者建立記錄，但僅允許每則記錄的建立者讀取或寫入，因此其他 App 使用者無法讀取那些記錄。指南貼文是刻意的例外：一經核准即為公開，任何使用本 App 的人（包括訪客）皆可讀取，並帶有你所選的署名連同你的貼文內容與相片。你提交的貼文會儲存於同一個公開資料庫中，在獲核准前處於 App 不向其他使用者顯示的狀態，而未獲核准的貼文會維持儲存、不予顯示，直到你將其刪除或刪除你的帳戶為止。你的作者申請（你提交的署名、簡介、連結與居住地區、來自你 Apple 帳戶以便我們就此與你聯絡的電郵位址，以及任何決定的理由）亦會儲存於該處，僅你與開發者可讀取。你可刪除你的任何貼文，並可編輯及重新提交未獲核准者；開發者可核准、婉拒或移除它們。你檢舉的貼文會記錄為一則獨立項目，載明該貼文、你的理由及你所加的任何評論，僅你與開發者可讀取。開發者可透過 Apple 的 CloudKit Dashboard 或伺服器 API 存取公開記錄，以進行支援與管理。訪客不會將資料同步至 CloudKit。
第三方登入
如果您在應用程式內登入航空公司或旅遊服務，您的登入憑證會直接傳送給該服務商。服務商發出的工作階段資料儲存在您的裝置上，可透過登出或刪除應用程式予以清除。
Wallet 通行證匯入
當你選擇或分享 Apple Wallet 通行證時，Apple 的 PassKit 會先在你的裝置上驗證，App 才會讀取其已簽署的資料。從 Wallet 分享的通行證會暫時保存於裝置上的 App Group 容器中，該容器僅在 God's Plan 與其分享擴充功能之間共用，以便中斷的匯入可以繼續；在你完成或關閉匯入後即會刪除。你確認的航班細節會成為旅遊計劃，並遵循上述 iCloud 同步規則。對訪客而言，匯入的酒店會籍號碼、計劃、積分、會籍等級、住宿晚數進度及通行證到期日會保留於此裝置，並以加密的資料透過已登入使用者的私人 CloudKit 資料庫同步。它們只有在你選擇分享時才會出現於資料匯出中。除此之外，App 不會保留通行證檔案、條碼、乘客或會員姓名、網路服務位址或驗證權杖。你裝置鑰匙圈中的一個隨機金鑰會產生一個不可逆的本機識別碼，使匯入更新後的副本時能在該裝置上刷新同一項目；此識別碼不會被上傳。「刪除帳戶」或「刪除所有資料」會移除該金鑰及任何在共用容器中等待的通行證。
自訂 AI 服務商
如果你在對話設定中連接自己的 AI 服務，你的對話訊息、App 為你的請求產生的工具結果，以及（僅在你允許時）已儲存的計劃和附加的照片，都會傳送到你設定的伺服器。該伺服器由你或其供應商選擇並營運，與我們無關；其如何處理你的資料受其自身政策約束。你輸入的 API 金鑰儲存在裝置鑰匙圈中，並透過 iCloud 鑰匙圈同步；移除服務商即會刪除金鑰。自訂服務商回答期間不會使用 Apple Intelligence。
位置
如果你授予位置存取權,你的位置會在地圖上顯示你身處何處、為你所在的地點命名,並取得當地的目前天氣狀況。地點命名使用 Apple 的地理編碼服務,天氣狀況則來自 Apple 的 WeatherKit,兩者都會收到你的座標。只有得出的地點名稱——絕不包括你的座標——會傳送給第三方相片服務以取得背景相片。如果你尚未回應位置權限提示,或裝置無法定位,App 會請求第三方 IP 地理定位服務,根據你的 IP 位址估算你的城市;若你拒絕了位置存取,則不會這樣做。我們絕不會在自己的伺服器上儲存你的位置。
通知
本應用程式會向 Apple Push Notification service 註冊，以便 CloudKit 傳送靜默變更通知，並在您啟用提醒後傳送可見通知。Apple 會核發裝置專用的推播權杖以供傳送；本應用程式不會持久儲存或記錄該權杖，也不會將其複製到您的 CloudKit 個人檔案。您可以隨時在系統設定中關閉可見通知。
分析與診斷
本 App 使用 Google 的 Firebase SDK 執行三件事：Analytics 記錄畫面瀏覽、工作階段開始等標準使用事件；Crashlytics 在當機時連同堆疊追蹤、裝置型號、系統版本以及一小段畫面操作紀錄一併回報；Performance Monitoring 測量 App 啟動時間與網路請求。本 App 未記錄任何自訂分析事件，也不會將您的姓名、電子郵件地址、行程計劃、搜尋字詞或貼文內容傳送至 Firebase。Firebase 會指派一組隨機安裝識別碼，以便歸類來自同一次安裝的報告；它不會與您的 Apple 帳號連結，刪除 App 後即會捨棄。Google 以我們的服務供應商身分，依其自身條款處理這些資料。這三項皆可在「設定」中關閉，在您關閉之前三項皆為開啟。在 TestFlight 及其他發行前版本中，三項會鎖定為開啟，以便回報測試版問題；在 App Store 版本中則會恢復您自己的設定。
資料保留與刪除
登出會從 App 移除使用中的 Apple 登入憑證並停止同步，但不會刪除你的本機資料或 CloudKit 記錄。刪除個別計劃會立即從 CloudKit 移除其行程細節，並僅保留一個極簡標記（記錄識別碼、擁有者與刪除時間），直到你刪除帳戶為止，以防止舊的離線裝置還原已刪除的計劃。移除酒店計劃同樣會同步一個不含會籍細節的標記，使另一部裝置無法將其還原。刪除帳戶會從 CloudKit 移除你的個人檔案細節與計劃記錄、刪除包含你酒店會員快照的私人 CloudKit 區域，然後清除本 App 的本機資料，包括其鑰匙圈項目。刪除帳戶會封存你的指南貼文（已發佈、待審核及遭婉拒者一併），使其對所有人隱藏；以同一個 iCloud 帳戶再次登入即可將其還原。任何內容都不會自行回到動態消息：還原的貼文會重新送審，而先前已遭婉拒者仍維持婉拒。若你想永久移除貼文，請在刪除帳戶前逐一刪除。你的作者申請、你的搜尋記錄，以及你提交的任何濫用檢舉，都會隨你的帳戶一併刪除。一個僅含不透明的產生與刪除標記及標準 CloudKit 中繼資料的技術性 UserProfile 墓碑記錄會保留；它不含任何個人檔案細節，並可防止舊裝置還原已刪除的資料。若雲端刪除失敗，App 會回報錯誤並保留刪除狀態，以便安全地重試該操作。單獨刪除 App 可能會遺留鑰匙圈與 CloudKit 資料，因此請先使用「刪除帳戶」。移除本 App 的「以 Apple 登入」授權是 Apple 帳戶設定中的另一項獨立操作。
本政策的變更
我們可能會不時更新本政策。重大變更將在應用程式內呈現。
聯絡
有關隱私的問題，請寄至 support@startway.io。