照片星球 Memory Planet 隐私政策
最后更新：2026年7月28日
核心说明：地图、地点、时间、旅途和手工人物归类在设备本地运行。只有用户主动同意并启动人物快扫或全量识别时，App 才会将本机压缩后的照片分批发送给腾讯云人脸识别服务。
1. 适用范围
照片星球是一款在 iPad 上整理、浏览和回顾个人照片与视频的工具。本政策适用于照片星球 iPad App 及其配套技术服务。
2. App 处理的数据
- 照片和视频：用户主动从系统相册、文件夹、外接存储或网络文件来源导入的媒体。
- 媒体元数据：拍摄时间、位置、文件名、来源标识和视频时长，用于时间筛选、地图与增量导入。
- 用户整理结果：地点、定居城市、人物名称、旅途、旋转、手工归类和忽略记录。
- 设备安装标识：随机生成并保存在设备钥匙串中的 UUID，用于保护服务请求和识别额度账本。它不是 Apple ID、广告标识符或真实身份信息。
- 购买记录：Apple 签名的识别额度交易信息，用于防止重复入账。付款由 Apple 处理，开发者不接收银行卡资料。
3. 本地存储
照片索引、地点、人物、旅途和用户编辑结果默认保存在 App 沙盒。通过系统相册导入时，App 尽量保留系统资源索引并按需生成缓存；通过外部文件导入时，App 根据来源能力建立索引或缓存。缓存上限可由用户调整和清理。
4. 云端人物识别
人物识别是可选功能。首次使用前，App 会说明照片将发送给腾讯云并征得用户同意。
App 会先在本地缩放、压缩并过滤明显无脸照片，再将需要识别的图片直接从 iPad 发送给腾讯云人脸检测、搜索和人员库接口。当前人物识别使用腾讯云中国大陆广州地域（ap-guangzhou）；用户在中国大陆以外使用该功能时，照片和人脸信息会跨境传输到中国大陆。个人网站服务器只签发短期腾讯云访问凭证、校验设备请求和记录识别额度，不中转照片内容。
识别结果用于在用户自己的照片库中建立人物索引，不用于广告、跨应用追踪、出售数据或训练开发者自有模型。
5. 第三方服务
- Apple Photos / 文件选择器：在用户授权和主动选择后读取媒体或文件。
- Apple StoreKit：展示和处理识别额度的 App 内购买。
- Apple App Attest：验证请求来自未被篡改的正版 App，降低额度和云服务被滥用的风险。
- 腾讯云人脸识别：仅在用户启动人物识别时处理压缩后的照片及人脸特征和人物库索引。请参阅腾讯云隐私保护声明。
6. 数据保留与删除
- 用户可删除已导入来源；对应媒体索引、地点计数、自动人物关系和旅途引用会同步更新，外部原始文件不会被删除。
- 用户可在设置中选择“删除云端人物数据”，删除腾讯云人物库以及 App 内自动人物索引，不影响原始照片、手工人物、地点和旅途。
- 用户可随时清理图片缓存。卸载 App 会删除 App 沙盒中的本地数据，但不会删除系统相册、外接存储或网络来源中的原文件。
- 为防止重复发放已购买额度，已完成交易的标识和额度流水会按财务与防欺诈需要保留。
7. 数据安全
网络通信使用 HTTPS。App 使用 App Attest 和一次性请求挑战保护敏感接口；腾讯云长期密钥不存放在公开发行的 App 内。服务端只向通过验证的设备发放有时效和接口范围限制的临时凭证。
8. 儿童与家庭照片
照片星球面向负责管理个人或家庭媒体的成年人，不要求儿童创建账户。用户应确保自己有权处理所导入人物的照片；对于儿童照片，建议仅在家庭自用范围内开启人物识别，并及时删除不再需要的云端人物数据。
9. 追踪、广告和数据出售
照片星球不使用第三方广告 SDK，不做跨 App 或跨网站追踪，不出售个人数据。
10. 政策更新
当产品功能、第三方服务或数据处理方式发生实质变化时，本页面会更新日期和内容。需要新增用途时，App 会在适当位置再次说明并征得同意。