PinPop 隐私政策

生效日期：2026年10月25日

PinPop, Inc.（“PinPop”，“我们”，“本公司”）为iOS平台提供一款基于位置的社交网络应用。本政策解释了我们收集哪些信息、如何使用、谁会接收，以及您拥有的权利和控制。本政策适用于PinPop应用、pinpop.app网站及相关服务。该应用仅在美国公开提供，且仅限18岁及以上用户；网站可被其他国家访问。通过Apple TestFlight进行的小规模、仅限邀请的测试计划可能包括其他国家的测试者；第1节将解释本政策如何适用于他们。

问题或请求： privacy@pinpop.app

简要说明

• PinPop会向您选择的朋友显示您的实时位置。实时共享使用您最近的位置。此外，行程记录会收集详细的路线和运动历史；当您确认保存并同步行程时，我们会将其与您的账户一起存储。AI搜索也会使用位置信息，具体说明见下文。
• 我们不会出售您的个人信息，也不会将其用于广告共享。 PinPop没有广告，我们不会在其他公司的应用或网站上跟踪您。
• PinPop不会在我们的服务器上制作或存储通话音频录音，我们的语音服务提供商也被配置为不录制或保留通话音频。只有当所有当前参与者都启用通话录音时，参与者才能将频道通话录制到自己的设备；应用会在录音开始时进行提示。我们会保留基本的频道通话记录（谁、何时、多长时间）一年。
• 我们不会访问您的联系人。我们不使用人脸识别。我们不进行视频通话。
• 某些功能会向为我们工作的服务提供商发送有限数据（例如地图渲染和AI搜索）。我们在下文列出了接收个人信息的服务提供商。
• 您可以随时在应用内请求账户删除。访问权限会立即被禁用，账户清理将在30天后开始。部分信息会被保留，包括现有对话中的消息、上传内容，以及有限的账户和执行记录，详见第10节。

1. 我们是谁以及本政策涵盖内容

PinPop, Inc.是负责您信息的公司。PinPop仅在美国公开提供，仅限iOS平台，且仅限18岁及以上用户。本政策涵盖PinPop应用、我们的网站、我们的服务器以及代表我们处理信息的服务提供商。不涵盖您可能通过PinPop访问的其他公司服务（例如聊天消息中链接的网站）。

通过TestFlight进行Beta测试。 在公开发布之前及期间，我们通过Apple的TestFlight运行一个小规模、仅限邀请的Beta测试计划，可能包括美国以外的受邀测试者。Beta测试仅用于测试目的且免费。如果您是Beta测试者，本政策在全球范围内完全适用于您：相同的信息收集方式、相同的保护措施和相同的权利，您可以按照第11节所述行使，无论您居住在哪里。Beta版本可能不稳定，Beta数据可能会被重置。如果您参与，Apple的TestFlight还会将您的Beta反馈（您的电子邮件地址、反馈文本、您提交的截图和崩溃日志）分享给我们，我们仅用于改进应用。当Beta计划结束或您退出时，您可以在应用内删除账户，或通过privacy@pinpop.app要求我们删除您的信息，我们将根据本政策的删除条款删除我们的副本；Apple会根据其自身条款保留TestFlight反馈。Beta计划并不代表向美国以外公众提供服务的要约。

我们的网站。 您无需账户即可浏览pinpop.app。Vercel托管该网站并提供流量统计。访问页面会将连接信息（包括您的IP地址）发送给托管服务。网站分析包括访问的页面、来源网站、访问时间、近似地区以及浏览器和设备信息。我们使用这些统计数据来了解网站使用情况并提升可靠性，而非用于广告。Vercel Web Analytics使用每日访问者标识符而非广告Cookie；详见Vercel的分析隐私信息。网站还会通过Cookie或浏览器存储记住您的语言和外观偏好，您可在浏览器中清除。如果您联系我们，我们会收到您提供的联系方式和消息内容。

2. 我们收集的信息

我们收集以下类别的信息。每类信息的“保留”部分将在下文说明我们保留的时长。

您提供的信息：

• 账户信息： 电子邮件地址、电话号码、用户名，以及您的出生日期（在您许可的情况下，与 Apple 的声明年龄范围信号一起用于确认您已满 18 岁）。您的用户名对其他用户可见。
• 个人资料信息： 显示名称、头像和简介。个人资料信息对其他用户可见。
• 您创建的内容： 消息、群聊帖子、照片和视频、自定义表情、您上传的 3D 头像和扫描，以及您收藏的项目（如 GIF）。您公开发布的内容（例如附加到公共地点或路线的照片）对所有 PinPop 用户可见；聊天内容仅对参与者可见。
• 您记录并保存的行程： 详细的 GPS 路径、记录的地址和时间戳、起止时间、距离、时长、速度（包括最高速度）、加速度、倾角、G 力及其他运动衍生测量。录制会在您的设备上收集这些数据。保存并同步后，行程会在应用内确认后与您的账户一起存储。第 3 节解释了预览处理和共享。
• 私人访问和个性化建议： 启用 AI 搜索且位置共享激活时，我们会收集偶发的位置信息和访问记录。我们结合这些信息、您的 AI 对话、已保存的地点和路线、对地点和路线的反应、活动参与和已保存的行程，开发私人偏好和活动模式以提供建议。详见第 3 和第 6 节。
• AI 对话和个性化记忆： 您的 AI 搜索请求、对话历史、附件，以及您分享的偏好、约束和事实的已保存信息。助手可能会将这些内容总结为持久记忆，以便个性化未来的回答，无需单独请求记住每一条事实。详见第 6 节。
• 连接和设置： 您的好友列表、您所属的消息频道，以及您的应用设置和偏好（如位置共享和通知选择）。
• 附近发现： 启用 Mesh Network 时，应用会发现附近的 PinPop 用户 ID，包括非好友。“最近遇见”会在您的设备上存储这些 ID 和遇见日期 7 天，详见第 4 节。
• 支持沟通： 您发送给我们的电子邮件和应用内请求，包括下架请求、地点认领和数据请求。

自动收集的信息：

• 精确位置： 在您许可的情况下，收集您设备的 GPS 位置，用于向您选择的朋友在地图上显示您并提供基于位置的功能。实时共享使用您最近的位置。已保存的行程包含历史位置和运动数据，AI 搜索会按第 3 和第 6 节所述处理位置信息。
• 大致位置： 用于相同功能的粗略位置。
• 实时共享活动和设备信息： 当位置共享激活时，我们会收集您的行进方向（航向）、速度、电池电量、导航目的地、通话或频道状态、正在进行的社交活动详情，以及导航、通话或活动开始的时间。这些信息会随实时位置更新用于实时地图和社交功能；第 3 节解释了哪些会与其他用户共享。
• 设备信息： 设备型号、iOS 版本、推送通知令牌（包括用于响铃来电的 VoIP 推送令牌）和崩溃报告。
• 使用信息： 通过 Apple 和 Mapbox 地图软件收集的有限应用分析，通过 Vercel 收集的网站分析（详见第 1 节），以及您的账户上次活跃时间，用于服务运营和账户维护。
• 通话记录： 对于频道语音通话，我们会保留参与者、时间和时长。我们不会保留通过应用内通话录音器录制的音频（见第 4 节）。
• IP 地址： 每当应用与我们的服务器通信时，我们的服务器都会收到您的 IP 地址，所有互联网服务均如此。我们不会保留应用日志中的 IP 地址。我们的托管服务商可能会根据其自身的时间表短期保留基础设施级连接日志。为提供服务而接收您 IP 地址的服务商包括 Clerk、Apple、TomTom 和 Mapbox，以及当您使用相关功能时的 KLIPY 和 OpenWeather。

来自其他来源的信息：

• Apple 年龄信号： Apple 的声明年龄范围，在您许可的情况下共享，用于支持我们的 18 岁及以上要求。
• 公共地点信息： 我们从公共网络资源和公共 API（如 Wikimedia、NASA、USGS 和 Esri）收集世界各地地点的公开信息（名称、地址、坐标、描述以及关于这些地点的公开帖子）。这些信息仅与地点相关，并不与 PinPop 用户账户关联。它可能包含非 PinPop 用户公开发布的信息（例如，商家所有者的公开姓名或公开评论）；第 6 节解释了任何人如何要求我们删除此类信息。

我们不会收集的信息： 我们不会访问您的联系人或通讯录。我们不会收集广告标识符（IDFA/AAID）。我们不会使用人脸识别或收集生物识别信息。我们不会自动接收参与者使用应用内通话录音器录制的音频。

3. 位置：工作原理与您的控制

位置是 PinPop 的核心，因此我们专门为其设立了一个章节。

• 先获得许可。 只有在您通过 iOS 授予定位权限并在应用内专门的界面开启共享后，PinPop 才会收集精确位置。该界面会解释谁可以看到您的位置以及我们会存储哪些信息，并有单独的控制开关来启用共享。开启共享即表示您同意。
• 谁可以看到您。 实时共享会让您的位置对已接受的好友以及参与实时共享的社交活动成员可见。更新内容包括您的航向、速度、电池电量、导航目的地、通话或频道状态、社交活动详情和活动开始时间。这适用于在线和支持的直接离线共享。拉黑某人会将您的位置从他们的地图中移除，同时他们的位置也会从您的地图中消失（有关在共享频道中拉黑的工作方式，请参见第 5 节）。
• 用于 AI 搜索的私人访问历史。 当启用 AI 搜索并激活位置共享时，PinPop 还会保存偶尔的位置点和被动访问记录，包括观察时间、精度、可用的到达和离开时间、时区，以及带有位置和解析时间的已解析地址。即使没有实时共享接收者，且在 iOS 允许的情况下，后台也可能进行收集。这有助于学习常去地点、日常习惯和访问顺序，以便为您提供个性化建议。访问历史不会展示给其他用户；相关上下文会在您同意 AI 搜索的前提下由 AI 提供商处理，详见第 6 节。
• 实时共享与已保存行程不同。 实时共享会随着您的移动不断更新您最近的位置。行程记录则会在您的设备上单独收集详细的路线和运动历史。当您选择保存行程并确认**保存并同步行程？**提示时，应用会将该行程上传并与您的账户关联。从共享操作保存和保存编辑时也会显示确认。提示会描述正在同步的路线、速度、加速度、倾角、G 力及其他运动衍生指标。行程数据可能包含记录的地址、时间戳和测量质量信息。我们的数据库加密备份会保留 7 天，之后会被删除。
• 行程预览与可见性。 对于与路线关联的已完成行程，应用可能会在您保存前将行程数据发送到我们的服务器以请求排行榜预览。该预览不会将行程保存到您的账户。已保存的行程可通过共享链接访问；与路线关联的行程还可贡献于路线排行榜，并向其他用户展示行程详情和统计数据。保存确认会说明您的时间和统计何时会公开。停止实时共享不会删除之前已保存的行程或 AI 搜索历史。
• 如何关闭。 您可随时在应用设置中停止共享，或在 iOS 中撤销定位权限。关闭位置共享或使用隐身模式会暂停实时更新和新的私人访问收集。先前记录的观察可能仍会上传。撤销权限与授予权限一样简单。
• 处理位置信息的服务提供商。 我们的托管和实时传输服务商会处理实时共享信息以接收和传递更新，Redis Cloud 会缓存与其他用户共享的位置和活动详情。TomTom 负责路线计算，Mapbox 用于地图显示；这些地图服务不会仅因您使用实时地图而收到实时共享更新中的所有字段。如果您使用 AI 搜索或天气功能，请参见第 6 节。我们的服务提供商名单见第 8 节。
• 我们不会出售您的位置，也不会为广告目的共享。 没有广告商、数据经纪人或广告网络会从 PinPop 获得您的位置，无论是精确还是大致位置。

加利福尼亚州居民：精确地理位置属于加利福尼亚州法律下的“敏感个人信息”。我们在您允许的情况下收集，并仅用于为您提供所请求的服务。我们不会将敏感个人信息用于需要“限制使用我的敏感个人信息”选项的目的；如有变更，我们会依法提供该选项。

需要对精确地理位置进行同意的州居民：上述应用内位置界面即为您的同意，您可随时按上述方式撤回。

4. 消息、通话与媒体

• 私信和群聊。 在应用中标识为加密的频道中，消息内容和上传的聊天附件会在参与者的设备上进行端到端加密，除非通过下文所述的钉选功能明确共享可读副本。PinPop 仅存储和传递加密副本（密文），并不持有解密该内容所需的私钥。在未端到端加密的频道中，消息在传输和静态存储时均受保护，但 PinPop 可以处理这些内容以提供服务。聊天内容对其参与者可见，参与者可以复制或分享他们收到的内容。您可以随时删除您的消息。如果您删除账户，您已发送的消息仍作为对方对话的一部分对其可见。
• 加密频道中的钉选消息。 在警告后，被允许管理钉选的成员可以将消息的可读副本共享给频道，包括未来成员。PinPop 会存储可读文本及打开所含加密附件所需的信息。此钉选副本不进行端到端加密；原始消息仍保持加密状态。取消钉选或删除消息会将已共享的可读副本从频道中移除。此操作无法撤回其他成员已收到或保存的副本，且备份会根据第9条过期。
• 语音通话 可在群聊频道和在线临近语音中使用。频道通话仅限频道成员参与；临近语音可连接附近的用户，包括非好友。通话默认为实时：PinPop 不会在我们的服务器上制作或存储通话音频录音，我们的语音服务提供商也被配置为不录制或保留通话音频。 通话音频由我们的实时语音服务提供商 LiveKit Cloud 传输，其会将音频路由至最近的服务器节点以保证通话质量。该路由可能发生在美国以外的基础设施上。LiveKit 会接收房间和参与者标识，并根据其自身的保留政策在有限时间内保存会话遥测数据；它无法将这些标识与您的姓名或联系方式关联。对于频道通话，我们会为保障可靠性、安全和滥用调查，保留通话记录（参与者、时间、时长）一年。
• 可选参与者录音。 在频道通话期间，只有当所有当前参与者在“设置 → 同意”中启用通话录音时，某位参与者才能启动应用内录音。应用会在录音开始时通知所有参与者，并显示正在录音的人员。PinPop 会存储您的录音许可设置；当前的同意和录音状态会在在线通话时通过 LiveKit 与通话参与者共享，或在离线通话时直接在设备间共享。录音将作为音频文件保存在录音参与者设备的“文件 → PinPop”中；应用内录音器不会将这些文件上传至 PinPop 或 LiveKit。参与者之后可以复制、分享、删除或备份这些文件，包括通过 PinPop 以外的设备备份设置。如果有人撤回许可，应用将在更改传达到通话时停止正在进行的应用内录音；离开通话也会在该参与者设备上停止录音。我们无法阻止某人使用其他录音工具，这类工具可能不会触发 PinPop 的通知或指示灯；未经所需同意进行录音违反我们的社区准则，并可能违法。
• 在线临近语音。 加入时，您的设备会将当前位置发送给 PinPop，以选择附近的麦克风并根据距离调整音量。最多可同时选择16个声音，包括您不认识的人。只要您的麦克风开启，参与者就能听到您分享的内容。临近语音不会在其他用户的地图上显示您的精确位置，也不会授予他们实时位置访问权限；第3条中的位置共享规则仍然适用。我们会在您加入期间将临近成员和位置保存在短时缓存中，并在您离开或更新过期时清除。您可在通话界面退出。
• 离线临近通话和消息。 PinPop 包含点对点模式，在启用 Mesh Network 和必要设备权限时，通过支持的本地网络和点对点连接连接附近设备。私信、同步和其他数据传输通过 TLS 1.3 加密；直接通话音频通过 DTLS 1.2 加密。双方设备在交换应用内容前使用 PinPop 颁发的证书进行身份验证，应用会检查对方是否为允许的连接。通过此方式传递的消息将在恢复连接后同步至我们的服务器，并按其他消息方式存储和处理。上述可选、需同意的本地录音也适用于通过附近连接的频道通话；PinPop 不会上传或存储该录音。
• 附近发现与最近遇见。 启用Mesh Network后，附近的 PinPop 用户（包括非好友）可以发现您的用户ID和服务可用性。您可能会出现在彼此的“附近的非好友”和“最近遇见”列表中。发现使用 PinPop 用户ID，而非电子邮件地址或电话号码。“最近遇见”会在您的设备上保存遇见的用户ID和遇见日期7天；该记录不包含GPS坐标。您可通过关闭“设置”中的Mesh Network停止附近发现。这不会立即清除您设备或其他用户设备上已有的“最近遇见”条目；这些条目遵循7天的保留期。
• 您在聊天中分享的照片和视频 会保存6个月。您公开发布的内容会一直保留，直到您删除为止。移除帖子或删除账户本身不会删除其底层上传文件；详见第10条。公开上传内容在发布前会由自动安全系统筛查（见第5条）。
• 消息元数据。 端到端加密保护消息内容，但不会隐藏 PinPop 对对话的所有信息。我们会处理账户、设备、频道和参与者标识；消息时间戳；投递和已读状态；表情反应；回复引用；以及文件传递信息（包括文件大小），以便传递消息、同步对话和运营服务。
• 加密历史恢复。 参与者设备可能会上传额外的加密消息副本，以便在本地消息数据不可用时恢复历史。这些副本与用户账户和消息记录关联，只能通过设备持有的匹配恢复密钥打开。PinPop 不持有该密钥，若丢失则无法恢复可读历史。这些副本遵循第10条中的消息保留条款。
• 加密及其范围。 通过我们服务器发送的内容在传输过程中加密，我们的数据库、缓存和媒体存储在静态时加密。端到端加密消息在离线传递或同步到我们的服务器时仍保持加密。语音通话所用的传输加密是独立的：加密消息频道本身不会使其语音通话端到端加密。公开内容在从加密对话中链接时仍保持公开。如果您选择在举报时提交截图或其他消息内容，我们可以读取您提交的证据，详见第5条。

5. 安全、管理与执行

PinPop 拥有内容和行为规则，并设有相应的执行系统：

• 举报用户和内容。 您可以在用户资料页举报用户，原因包括垃圾信息、骚扰、辱骂性消息或通话、鲁莽或危险驾驶，或其他违规行为。我们会收到被举报账户、您提交的描述，以及您选择附加的任何截图或其他证据。举报用户不会自动包含您的聊天记录。我们会利用举报来调查问题并执行我们的社区指南。在调查骑行行为相关的举报时，我们还可能查看被举报账户的公开内容，以及在本政策下已保存的行程信息和实时共享活动（如相关）。公开内容也可以通过其举报操作进行举报。
• 举报 AI 回复。 当您举报 AI 答案时，我们会收到所选回复、您的账户信息以及您提交的说明，以便我们进行调查。该举报会与该 AI 回复一同保存。
• 拉黑。 您可以在用户资料页或任何对话中拉黑任何人。拉黑将一直有效，直到您主动解除拉黑。您将不再能看到彼此的实时位置，且来自被拉黑用户的通知会被屏蔽。拉黑不会将双方从共享群组频道中移除，在这些频道中仍可发送消息和进行通话。您可以一键退出共享频道。
• 自动筛查。 提交用于公开展示的图片和文本（如地点照片、公开帖子、头像和横幅）会在发布前由 OpenAI 的安全工具进行筛查，OpenAI 作为我们的服务提供商。对于新的自定义 3D 头像上传，我们会从多个角度生成模型图片，并将这些图片提交至同样的安全检查，审核通过后才能使用该模型。创建个人资料及使用 Apple 登录前，需接受 AI 数据共享文件。如果在未完成注册时无法确认之前的同意，我们会在创建资料前再次询问。关闭 AI 搜索不会禁用这些公开内容检查。
• 删除后的安全与封禁执行。 为防止被封禁用户重新注册并防止重复滥用，我们会保留受保护的邮箱地址和电话号码哈希（如有提供），以及有限的账户和封禁记录。这些哈希不会直接泄露您的联系方式，但可用于识别再次使用相同信息的情况。我们会无限期保留这些记录，包括未被封禁的账户。删除账户本身不会阻止您再次注册；如有有效或永久封禁，仍将适用。举报和拉黑记录会在账户清理时一并删除。

6. AI、天气与搜索功能

• AI 地图搜索。 当您使用 AI 搜索时，我们会将您的搜索文本、相关对话历史、您附加的图片、当前位置坐标和地址、本地日期和时间发送给 OpenAI。为回答您的请求，助手还可能使用已保存的 AI 记忆，以及您的书签和已保存行程中的信息。AI 搜索为可选功能，默认对新账户关闭。启用或使用时会单独请求 AI 搜索权限；注册时接受所需的 AI 数据共享声明并不会启用 AI 搜索。您可以在设置中关闭 AI 搜索；这不会禁用第 5 节所述的公开内容检查。您的 AI 搜索会话将保存在您的账户中，直到您删除账户。
• 个性化记忆。 在 AI 搜索过程中，助手可以创建、更新并使用与您的账户关联的私人记忆，包括偏好、不喜欢、反复出现的搜索限制、推荐风格，以及您提供的事实或持续性上下文。这些信息在助手认为对未来互动有用时可自动保存；您无需每次都说“记住这个”。记忆与单独对话分开存储，并会提供给 OpenAI 用于未来回答。您可以要求助手更正或忘记已保存的信息，或联系 privacy@pinpop.app。关闭 AI 搜索会阻止该功能的未来使用，但不会自动删除现有记忆或对话记录。记忆会一直保留，直到被清除或在账户清理时移除。助手被指示不得推断敏感特征或保存凭证或精确实时位置；但您选择分享的信息（如饮食、过敏或无障碍需求）仍可能是个人或敏感信息。
• 通过活动学习偏好。 启用 AI 搜索后，我们还会利用 OpenAI，根据您保存的 AI 记忆、AI 对话详情、访问历史、已保存行程、收藏或点赞的地点和路线，以及您组织或参与的活动，开发并更新您的私人档案。该过程可在未开启 AI 对话时后台运行。档案可能包括熟悉区域、常见活动、兴趣和时间偏好。这些仅为推荐用途的估算，并不代表您确实到访过某地或参加过某活动。它们不会展示给其他用户。关闭 AI 搜索会停止新的 AI 个性化处理；现有观察、记忆和学习档案会一直保留，直到在账户清理或隐私请求中被移除。您可通过 privacy@pinpop.app 要求访问、更正或删除这些信息。
• OpenAI 处理与保留。 我们使用 OpenAI 的标准 API；我们没有获得零数据保留协议的批准。OpenAI 默认不会使用 API 输入或输出训练其模型。为加快重复请求速度并降低成本，提示缓存可能会保留输入部分的加密表示，最长 24 小时。该缓存时限与其他保留分开：我们的 AI 搜索当前启用回复存储，OpenAI 文档说明至少保留 30 天。OpenAI 还可能将提示、回复及相关安全信息保存在滥用监控日志中，最长 30 天，或在法律要求或为保护其服务或他人免受伤害而合理需要时更长。被标记为可能涉及儿童性虐待的图片可能会被保留以供人工审核。这些服务商的保留做法也适用于第 5 节用于公开内容筛查的 API 功能。关闭 AI 搜索或删除您的 PinPop 账户不会立即删除仍受这些服务商保留期限约束的数据。详见 OpenAI 的数据控制 和 提示缓存文档。
• 搜索研究与地址上下文。 AI 搜索使用 Perplexity 收集公共网页结果，并识别地址的地理上下文（如建筑、街区或附近地标），以提升地点搜索准确性。对于地址查询，我们的服务器会发送与您当前位置相关的地址，但不会附带您的 PinPop 用户 ID、姓名、邮箱或电话号码。该地址仍可能暴露精确位置，因此我们不将其描述为匿名。其他研究查询由助手生成，可能包含您请求和位置上下文中的相关细节；不能保证排除您输入的词语或包含的个人信息。请求通过我们的服务器发送，而非直接从您的设备发出。我们会将地址上下文结果与坐标在您的账户下缓存最多一小时，以避免重复查询附近地址。Perplexity 声明其 Chat Completions API 不会保留提示或回复内容，也不会用于模型训练；仅保留操作计费元数据，如 token 数、模型、请求时间和 API 密钥标识。详见 Perplexity 的 API 隐私文档。
• 地点索引。 公开地点信息（第 2 节）会与机器生成的嵌入一起存储在我们的搜索索引中，由 Elastic Cloud 托管，以实现搜索功能。该索引主要关于地点。它可能包含非 PinPop 用户的公开帖子和姓名；任何人都可通过 privacy@pinpop.app 请求移除，且来源公开内容消失后会在我们每 3 个月一次的索引刷新时同步移除。
• 天气。 天气功能会将您的坐标直接从设备发送至 OpenWeather 和苹果天气服务，以获取本地天气预报。我们不会存储这些请求。OpenWeather 声明不会存储请求位置或 IP 地址。
• GIF 搜索。 GIF 搜索会将您的搜索词和设备 IP 地址发送给 GIF 内容提供商 KLIPY。这些请求仅携带固定的应用级标签；我们不会向 KLIPY 发送任何用户、账户或会话标识。您收藏的 GIF 会保存到您的账户，直到您取消收藏或删除账户。

7. 我们如何使用信息

我们使用上述信息来：为您提供所请求的地图、消息、通话、行程记录、同步、分享和排名等功能；根据对话上下文、已保存的记忆和第6节所述的活动，个性化AI搜索和建议；保持您的登录状态并保障账户安全；处理订阅付款；发送您已启用的通知；通过内容审核、屏蔽和执行措施维护安全；利用崩溃和使用数据修复漏洞并提升应用和网站的可靠性；回应您的支持和法律请求；并遵守法律规定。我们不会将您的信息用于广告。自动化系统会在公开上传内容发布前进行筛查，并协助执行我们的年龄要求；人工会审核申诉。我们不会使用会对您产生法律或类似重大影响的自动化决策。

8. 我们何时共享信息

我们仅在以下情况下共享个人信息：

• 根据您的指示与其他用户共享： 您的个人资料、公开帖子、发送给收件人的消息，以及通过分享和路线排行榜保存的行程。实时位置和相关活动详情会根据第3节的描述，与已接受的好友和相关社交活动参与者共享。用于AI搜索的私人访问历史不会展示给其他用户。当启用Mesh Network时，附近发现功能还会如第4节所述暴露账户标识符和服务可用性。
• 与签约的服务提供商共享，他们仅可为我们提供服务时使用这些信息：Vercel（网站托管与分析）、Amazon Web Services（托管与存储）、Microsoft Azure（应用计算与实时传输）、TomTom（路线规划）、Mapbox（地图）、Redis Cloud（缓存）、Clerk（登录）、LiveKit Cloud（语音传输）、OpenAI（AI搜索、个性化和内容筛查）、Perplexity（网页检索与地址上下文）、Elastic Cloud（地点搜索索引）以及Apify（自动收集公共地点信息）。Clerk还作为独立控制者，为其自身账户安全和防欺诈目的处理数据，遵循其隐私政策。第6节描述了发送给Perplexity的信息。
• 与独立服务提供商共享，他们根据自身隐私政策处理有限数据：Apple（通知、崩溃报告、年龄信号和App Store计费）、OpenWeather和Apple Weather（天气请求）、KLIPY（GIF搜索）。如上所述，我们最大限度地减少这些服务商接收的信息。
• 出于法律原因： 为遵守法律、可执行的政府请求或有效法律程序；为执行我们的条款；或为保护PinPop、我们的用户或公众的权利、安全或财产。
• 业务转让时： 如果PinPop涉及合并、收购或资产出售，您的信息可能作为该交易的一部分被转移，但须遵守本政策的承诺。

我们不会出售个人信息。我们不会为跨环境行为广告共享个人信息。在过去12个月内我们也未进行过此类操作。我们不会在其他公司的应用或网站上跟踪您。 因为我们不出售或共享个人信息，也不将其用于定向广告，所以尊重选择退出信号无需改变我们的做法：我们将Global Privacy Control（全球隐私控制）信号视为退出出售和共享的请求，无需进一步操作，因为PinPop不存在这些行为。

9. 您的信息存储在哪里

您的信息会在美国及其他国家存储和处理。我们的基础设施运行在美国、日本（东京）和德国（法兰克福）的AWS上，包括备份和副本，数据库备份保留7天；我们的缓存层及其备份位于美国；应用流量通过美国、东南亚和德国的Microsoft Azure基础设施传输；我们的地点搜索索引托管在爱尔兰的Elastic Cloud上；通话音频可能如第4节所述通过LiveKit的全球基础设施路由。第8节中提及的每个服务商会在其隐私文档中描述的区域处理数据，包括美国以外。无论您的信息在哪里处理，本政策、我们与服务商的合同以及独立服务商自身的隐私承诺都会保护您的信息。

10. 我们保存信息的时长

当您删除账户时，我们会立即禁用访问并隐藏您的个人资料。30天后，我们开始删除您的账户信息及相关内容，包括已保存的行程、AI对话和记忆，以及偏好设置。我们力争在您请求后的45天内完成删除，除非本节另有保留说明。备份遵循第9节的计划。

服务连续性。 当您删除账户后，消息、共享文件、频道和参与记录可能会保留，以便其他参与者能够继续使用他们的对话和共享内容。您的个人资料将被替换为已删除用户标签，同时会保留有限的内部账户记录。您分享的内容中可能仍包含个人信息。在删除账户前，您可以使用可用的控制选项删除消息，或联系 privacy@pinpop.app 请求协助删除特定内容，具体以适用的权利和例外为准。

未使用的临时上传会被自动删除。已用于内容的文件在您删除账户时不会自动删除。其他用户独立拥有的内容不受影响。我们还会保留有限的安全记录，如第5节所述，支付服务提供商也会保留其履行自身义务所需的记录。

11. 您的权利与选择

作为政策，无论您身处何地，我们都将本节中的权利扩展至每一位 PinPop 用户；如果您的当地法律赋予您更多权利，我们将按该法律的要求予以回应。这些权利包括：

• 知情与访问 我们持有的关于您的个人信息，包括可携带的副本；
• 删除 您的个人信息（受第10节中的例外情况限制）；
• 更正 不准确的个人信息；
• 选择退出 销售、共享、定向广告和重大画像分析。PinPop 不进行这些操作，因此无需选择退出；
• 限制敏感个人信息（加利福尼亚州）：见第3节；
• 无歧视： 我们不会因您行使隐私权而对您区别对待。

当欧洲或英国数据保护法适用时。 我们依赖履行协议来提供您请求的功能；对于可选的 AI 个性化和位置共享，依赖您的同意；在安全、滥用预防、服务可靠性以及回应咨询方面，依赖我们的合法利益；并在法律要求时履行法律义务。您可以撤回同意、请求限制处理、基于合法利益反对处理，并向您当地的数据保护机构投诉。在这些法律适用的情况下，我们将在一个月内回应您的请求，并告知任何允许的延期。这些权利是对上述选择的补充。

如何行使这些权利： 请使用应用内控制（设置，包括账户删除）或发送邮件至 privacy@pinpop.app。我们将通过您的账户凭证，或在需要时通过仅用于验证的其他信息来核实请求，并在45天内回复，除非您的适用法律要求更短期限（仅在法律允许的情况下可延长，并会通知您）。授权代理可凭授权证明为您提交请求。如果我们拒绝您的隐私请求，您可以通过回复我们的决定提出申诉；我们将在您所在州法律要求的期限内回复，如申诉被拒绝且您的州提供该途径，您可联系您州的总检察长。（内容或账户执行决定的申诉为独立流程，详见我们的服务条款和社区指南。）

加利福尼亚州居民：本政策末尾的附录提供了加利福尼亚州法律要求的披露信息，按加州法定类别组织。

12. 年龄要求

PinPop 仅面向18岁及以上的成年人。我们会在您许可的情况下，结合 Apple 的声明年龄范围信号和您的出生日期声明来执行此规定，并且不会有意收集18岁以下人士的个人信息。如果我们确定某账户属于18岁以下人士，我们将禁用该账户并删除其个人信息，包括执法记录，除非法律另有要求。如果您认为有未成年人在使用 PinPop，请联系 privacy@pinpop.app。

13. 安全性

我们通过传输加密、系统静态加密、访问控制（限制内部仅授权人员为运营和安全目的访问个人信息，包括精确位置），以及对服务提供商的合同安全义务（同时独立服务提供商也有自身的安全承诺）来保护您的信息。加密消息频道还采用第4节所述的端到端加密。直接离线内容使用 TLS 或 DTLS 结合基于证书的对等身份验证；附近发现信息与加密内容分离。任何互联网服务都无法保证绝对安全。我们不会在服务器上存储参与者制作的通话录音，不上传联系人，也不收集广告标识符；已保存的行程和 AI 记录包含本政策所述的个人信息。

14. 若发生问题

如果安全漏洞影响到您的个人信息，我们将在适用的数据泄露通知法律要求下，毫不拖延地通知您和相关主管部门。

15. 本政策的变更

当我们对本政策进行重大变更时，将更新生效日期，并在变更生效前于应用或网站上适当提供通知。影响已收集信息处理方式的重大变更，仅在通知后适用，并在法律要求时征得您的重新同意。

16. 联系我们

PinPop Inc

30 Otis St, Apt 2509

San Francisco, CA 94103-1990

美国

privacy@pinpop.app

我们很乐意解答您关于本政策或您的信息的任何问题。

附录：加利福尼亚隐私声明

本附录作为对上述政策的补充，适用于加利福尼亚州居民，并提供加利福尼亚消费者隐私法案（CCPA/CPRA）修订版要求的披露信息，按加州法定个人信息类别组织。涵盖我们过去12个月及当前的做法。

我们收集的个人信息类别：

服务提供商的角色在第 8 节中有说明：服务提供商和承包商仅可为我们提供服务时使用信息，而独立提供商则根据其自身的隐私政策处理有限的信息。Clerk 也作为独立控制者，为其自身的账户安全和防欺诈目的处理信息。表格还标明了向其他用户和附近设备的信息披露。

出售与共享： 我们在过去 12 个月内未出售个人信息，也未将其用于跨环境行为广告，现在也不会这样做，包括任何 16 岁以下人员的个人信息（PinPop 仅限 18 岁及以上）。

敏感个人信息： 我们使用第 L 行所列的敏感类别来提供您请求的服务并维护安全性和完整性。AI 个性化详见第 6 节；助手被指示不得推断受保护或敏感特征。

保留期限： 各类别的保留期限详见本政策第 10 节。

您的权利（知情/访问、删除、更正、可携带性、拒绝出售/共享、限制敏感个人信息、无歧视）及如何行使，包括验证、授权代理、响应时限和申诉，详见第 11 节。由于我们不出售或共享个人信息，无需提供退出链接；我们如第 8 节所述尊重 Global Privacy Control（全球隐私控制）信号。

搜索研究查询： 我们的服务器向 Perplexity 发送地址上下文和生成的研究查询，但不会附加 PinPop 账户标识符。但如第 6 节所述，内容仍可能包含位置信息和个人信息。

经济激励： 我们不以个人信息交换经济激励、价格或服务差异。

“照亮法案”（加州民法典 1798.83）： 我们不会将个人信息披露给第三方用于其自身的直接营销目的。