照片星球 Memory Planet 隐私政策
最后更新：2026年8月21日
核心说明：地图、地点、时间、旅途和手工人物归类在设备本地运行。只有用户主动同意并启动人物快扫或全量识别时，App 才会将本机压缩后的照片分批发送给腾讯云人脸识别服务。
1. 适用范围
照片星球是一款在 iPad 上整理、浏览和回顾个人照片与视频的工具。本政策适用于照片星球 iPad App 及其配套技术服务。
2. App 处理的数据
- 照片和视频：用户主动从系统相册、文件夹、外接存储或网络文件来源导入的媒体。
- 媒体元数据：拍摄时间、位置、文件名、来源标识和视频时长，用于时间筛选、地图与增量导入。
- 用户整理结果：地点、定居城市、人物名称、旅途、旋转、手工归类和忽略记录。
- 设备安装标识：随机生成并保存在设备钥匙串中的 UUID，用于保护服务请求和识别额度账本。它不是 Apple ID、广告标识符或真实身份信息。
- 购买记录：Apple 签名的识别额度交易信息，用于防止重复入账。付款由 Apple 处理，开发者不接收银行卡资料。
3. 本地存储
照片索引、地点、人物、旅途和用户编辑结果默认保存在 App 沙盒。通过系统相册导入时，App 尽量保留系统资源索引并按需生成缓存；通过外部文件导入时，App 根据来源能力建立索引或缓存。缓存上限可由用户调整和清理。
4. 云端人物识别
人物识别是可选功能。首次使用前，App 会说明照片将发送给腾讯云并征得用户同意。
人脸数据的具体范围：为完成用户主动发起的人物识别，App 处理本机缩放和压缩后的照片；腾讯云接口据此检测人脸区域、方向、质量和技术属性，生成或使用人脸特征模板、随机人物 ID、人员库 ID、匹配分数及人物候选关系。App 在本地保存随机人物 ID、代表头像、匹配结果以及照片与人物的关联。App 不通过该功能收集真实姓名、证件号码或联系方式，不进行身份核验；用户后来输入的人物名称仅保存在 App 本地。
App 会先在本地缩放、压缩并过滤明显无脸照片，再将需要识别的图片直接从 iPad 发送给腾讯云人脸检测、搜索和人员库接口。当前人物识别使用腾讯云中国大陆广州地域（ap-guangzhou）；用户在中国大陆以外使用该功能时，照片和人脸信息会跨境传输到中国大陆。个人网站服务器只签发短期腾讯云访问凭证、校验设备请求和记录识别额度，不中转照片内容。
用途：人脸数据只用于检测照片中是否有人脸、将同一人物的照片建立索引、展示人物头像和按人物筛选用户自己的照片。它不用于广告、跨应用追踪、出售数据、身份认证、执法用途或训练开发者自有模型。
5. 第三方服务
- Apple Photos / 文件选择器：在用户授权和主动选择后读取媒体或文件。
- Apple StoreKit：展示和处理识别额度的 App 内购买。
- Apple App Attest：验证请求来自未被篡改的正版 App，降低额度和云服务被滥用的风险。
- 腾讯云人脸识别：这是接收人脸数据的唯一第三方。仅在用户启动人物识别时，腾讯云中国大陆广州地域（ap-guangzhou）处理压缩后的照片、人脸检测结果、人脸特征模板、随机人物 ID、匹配分数和人员库索引。开发者不向其他第三方披露人脸数据。请参阅腾讯云隐私保护声明。
6. 数据保留与删除
- 用户可删除已导入来源；对应媒体索引、地点计数、自动人物关系和旅途引用会同步更新，外部原始文件不会被删除。
- 用户可在 App 的“设置 → 人物识别 → 删除云端人物数据并撤回同意”中删除腾讯云人员库及其中的人员、人脸图片和人脸信息，同时删除 App 内自动人物索引并撤回人物识别同意；再次识别前需要重新确认。该操作不影响原始照片、手工人物、地点和旅途。
- 用户可随时清理图片缓存。卸载 App 会删除 App 沙盒中的本地数据，但不会删除系统相册、外接存储或网络来源中的原文件。
- 保留期限：腾讯云人员库中的随机人物 ID、代表人脸、人脸特征及索引会保留到用户执行上述删除操作，或 App 在删除导入来源、重建人物索引时清理旧人员库。用于检测或搜索的压缩照片按照腾讯云服务条款仅为完成相应接口请求而处理。App 本地的人物索引保留到用户删除相关导入来源、删除云端人物数据、清除 App 数据或卸载 App。
- 仅卸载 App 不会向云端发送删除指令；如需删除云端人脸数据，请在卸载前先使用设置中的删除功能，或通过本页联系方式提出删除请求。开发者收到有效删除请求后会删除对应腾讯云人员库；腾讯云 DeleteGroup 接口会同时删除库内人员及其人脸信息。
- 为防止重复发放已购买额度，已完成交易的标识和额度流水会在履行财务、防欺诈、退款和法定义务所需的期限内保留，之后删除或去标识化。
7. 数据安全
网络通信使用 HTTPS。App 使用 App Attest 和一次性请求挑战保护敏感接口；腾讯云长期密钥不存放在公开发行的 App 内。服务端只向通过验证的设备发放有时效和接口范围限制的临时凭证。开发者要求处理用户数据的第三方服务按照其公开条款、适用法律以及不低于本政策的保护标准处理数据；如无法满足，将停止相关数据共享或更换处理方式。
8. 儿童与家庭照片
照片星球面向负责管理个人或家庭媒体的成年人，不要求儿童创建账户。用户应确保自己有权处理所导入人物的照片；对于儿童照片，建议仅在家庭自用范围内开启人物识别，并及时删除不再需要的云端人物数据。
9. 追踪、广告和数据出售
照片星球不使用第三方广告 SDK，不做跨 App 或跨网站追踪，不出售个人数据。
10. 政策更新
当产品功能、第三方服务或数据处理方式发生实质变化时，本页面会更新日期和内容。需要新增用途时，App 会在适当位置再次说明并征得同意。