DrifTPoint.|涌

以下是产品当前功能可能处理的 Apple 数据类别。登录后提交的数据通常与账号关联；匿名体验的随机访客标识不直接包含姓名或联系方式。所有类别均不用于第三方广告，也不用于 Apple 所定义的跨公司 App 或网站跟踪。

• Name（姓名）：姓名、昵称或英文名，用于账号档案、身份核验和你选择参与的社交功能。
• Email Address（邮箱地址）：用于登录、校园/校友身份核验、邀请码和必要的服务邮件。
• Phone Number（电话号码）：仅在你主动绑定、使用手机号登录或开启短信提醒时处理。
• Contacts（联系人）：Apple 的该类别也包括产品内 social graph。我们处理你在 DrifTPoint 内形成的同伴、会话、邀约/履约、徽章/结果和屏蔽等关系，用于产品功能与匹配个性化；不读取或上传 iPhone 系统通讯录。
• User ID（用户标识）：第一方账号 ID，用于把档案、内容、关系、权限和删除请求归到正确账号。
• Device ID（设备标识）：通知注册令牌、Web Push 订阅标识，以及随机访客/访问 ID，用于通知投递、会话连续性、反滥用和第一方统计；我们不读取设备硬件序列号。
• Precise Location（精确位置）：仅在你明确使用 Expedition 入场、打卡或同队共享时处理，详细精度和短期留存见第 4 节。
• Coarse Location（粗略位置）：擦肩功能保存由前台位置转换出的约 5km 粗网格和 5 分钟时间桶，详见第 4 节。
• Emails or Text Messages（邮件或文本消息）：你主动发送的 AI 对话、私信、舱消息、约局、引荐、备忘和其他文本内容。
• Photos or Videos（照片或视频）：这是 Apple 的合并类别；当前相关入口处理你主动选择的头像、照片、截图或身份/资料图片，不会扫描整个相册。
• Audio Data（音频数据）：你主动录制并提交的语音仅用于即时转写，处理方和不持久化边界见第 3 节。
• Purchase History（购买历史）：仅指你自愿回答的「金钱消费观」测评选择，以及据此派生的购买或消费倾向画像。当前版本不通过 App 内购买或支付接口收集交易记录、银行卡或账户余额。
• Health（健康）：仅指你自愿回答的「身体与健康」、作息和睡眠等画像维度及其派生标签；不读取 HealthKit，也不作为医疗诊断。
• Fitness（健身）：仅指你自愿回答的运动习惯等画像维度或参与的运动场景；不读取系统健身传感器数据。
• Search History（搜索历史）：成员搜索词会随搜索请求发送到服务端，并可能出现在基础设施访问/安全日志；当前没有单独的用户搜索历史表。
• Product Interaction（产品交互）：页面、按钮、功能事件、资源 ID、时间和基础错误/性能数据，用于功能运行、第一方统计、安全和排障；事件规范禁止写入对话正文、姓名或邮箱。
• Other User Content（其他用户内容）：个人介绍、标签、时间胶囊、活动报名/结果、帖子、图片和你主动提交的其他内容；按相应功能的可见范围保存或展示。

• 资料解析与新生核验：你选择的简历/名片/主页截图、文字或录取材料会发送给 AI 服务解析。资料解析和新生核验接口不会把原始图片写入应用数据库；核验结果、邀请码记录，以及你确认保存的结构化档案字段可能留存。
• 校友人工复核：AI 无法确认校友材料时，邮箱、学校线索、AI 原因和原始图片可能进入人工复核队列，授权复核员可查看。材料只保存在数据库行中；建立账号后删号会按账号的规范化邮箱在同一事务删除对应复核行。尚未建立账号时仍可通过支持页要求删除。
• 头像与其他主动配图：头像会存入我们的自托管媒体目录、Vercel Blob，或在存储不可用时作为账号记录中的 data URL，以便产品内展示；你主动发布的其他配图按对应内容保存。

默认不收集位置；当前客户端仅申请前台定位权限。不同功能的精度和留存不同：

• 擦肩 / Near Miss：你主动开启后，客户端仅在前台取当前位置并约每 5 分钟上报。服务端把经纬度转换为 geohash-5 粗网格（约 5km）和 5 分钟时间桶，不保存原始经纬度。服务会在接收位置上报时清理超过 30 天的记录；最近 7 天的同网格同时间桶可用于显示匹配对象的名字、学校、粗网格和相遇时间。你可关闭并清除自己的记录。
• Expedition 入场与打卡：现场建局、加入和 GPS 打卡会上传高精度前台位置用于校园边界、距离、顺序和防作弊校验。打卡账本保存 geohash-7（约 150m）、定位精度与时间，不保存该次提交的原始经纬度。
• Expedition 同队位置共享：只有你在进行中的局内再次明确开启后，才会保存当前精确经纬度。每人每局只保留当前一行，120 秒自动过期；关闭共享或离开页面会尝试立即删除。当前点只向同队成员以局内双盲标识显示，不形成位置历史。

我们会按功能把必要输入发送给当前实际使用的模型服务：

• DeepSeek：文字对话、内容理解、审核和资料字段提取。
• 阿里云百炼 Qwen：图片识别、身份材料核验和视觉资料解析。
• Groq：语音转写。
• OpenRouter：Qwen 视觉或 Groq 语音不可用时的备用路由。

只发送完成相应请求所需的数据；AI 返回内容可能不准确，请在保存或发送前核对。

• 阿里云 / Cloudflare：站点、API 中继与静态资源分发。
• Neon：PostgreSQL 数据库。
• Vercel Blob / 自托管媒体：头像和主动上传的媒体（按部署配置使用）。
• DeepSeek / 阿里云百炼 Qwen / Groq / OpenRouter：上述 AI 与转写处理。
• Expo / 极光 JPush / 浏览器和操作系统推送服务：通知投递与回执。
• Resend / Pusher：邮件和实时消息能力。

• 你自己：可查看账号内可见的档案和内容，并使用产品提供的修改、导出、清除或删号入口。
• 你指定或所处场景中的其他用户：例如收件人、同队成员或公开档案访客，只能按该功能的可见范围访问。
• 授权运维/复核人员：仅在支持、反滥用、人工身份复核或严重故障排查所必需时访问。
• 服务提供方：仅为托管、AI、邮件、实时通信和推送等处理必要数据。
• 法律要求：只有在适用法律强制要求时披露。

• 擦肩匹配只查询最近 7 天，接收新位置上报时会清理超过 30 天的记录；Expedition 精确同队当前点 120 秒过期；打卡证明作为活动进度/结果保留，直到账户或相关活动数据被删除。
• 语音转写接口不持久化原始录音；人工复核材料、头像和你主动发布的内容按上文说明留存。
• 你可使用「导出数据」「清除位置」或「删除账号」等入口。删号会在一个数据库事务内清除账号关系数据；数据库内的 data URL 头像随账号行删除，按规范化邮箱关联的人工复核原图也会删除，产品页面会移除对本人受管头像和内推配图的公开引用；同一事务会把可证明属于本应用命名空间的自托管或 Vercel Blob 对象冻结到不可变清理清单。任意外链、非本应用路径或未由本人内容行引用的对象都不会被当作删除目标。
• 当删除请求被受理时，系统会同时建立永久的不可逆身份拒绝墓碑、后台身份撤销任务和受管媒体清理任务；App 随即清除本机数据并退出。不含账号值的防伪回执会持续显示「处理中、已延迟、需要人工处理或已完成」及同一个受理后 24 小时预计时间；只有身份撤销和清单内每个受管媒体都得到删除或已不存在的完成证明，状态才会变为「已完成」，完成时间取最后一项实际完成的时间。失败会有界重试并保持可观测、可人工恢复；在完成前或任务进入人工处理状态时，该身份都不能重新登录或自动建立账号。
• 只有持久身份来源明确标记为旧版第三方身份时，系统才会调用第三方身份服务（Clerk）；当前本地身份不会被误送到第三方删除。第三方或媒体清理成功后会清除不再需要的原始定位信息和错误信息；为永久拒绝同一身份重建并让回执可持续证明完成，仅保留无法反推出账号值的 HMAC 摘要、随机任务编号、清理清单关系、处理状态和必要时间。
• 随后同一数据库事务会清理账号关联数据，包括邀请兑换记录、由该账号自动桥接的 VibeStu 云账号及其私有 Radar 记录和未完成邮箱验证码、推送回执，以及收件人或触发者关联的待投递通知。