隐私政策

一、适用范围

本政策适用于 HOTEL COLLECTOR iOS 应用及其相关功能。个人信息处理者为台州市博格网络科技有限公司（Taizhou Boge Network Technology Co., Ltd.），联系邮箱为 hotelcollector.office@gmail.com。外部链接及您主动分享至其他应用的内容由对应服务处理。

二、处理原则

我们遵循合法、正当、必要、诚信和目的明确原则，仅在实现产品功能所必需的范围内处理个人信息，并采取与风险相匹配的安全保护措施。

三、您主动提供的资料

当您编辑个人资料时，我们处理您选择填写的用户名、头像、性别、生日、签名、城市和国家或地区。除用户名为个人页面展示所需外，其他项目可由您选择是否提供；这些资料不是公开的酒店目录内容。

四、酒店档案与入住信息

我们处理您点亮或收藏的酒店、收藏夹归属、入住日期和晚数、支付方式、币种与金额、积分、房券、房型、评分、笔记和照片。未填写的选填项不会被强制收集。

五、设备与运行信息

为保障应用启动、存储、兼容性和故障排查，系统可处理应用版本、设备系统版本、本地文件状态和错误信息。未登录时，核心档案默认保留在设备上；登录后的服务器同步及可选 iCloud 同步如下所述。应用不使用第三方广告跟踪，不出售个人档案。

使用统计

支持该功能的版本会在未保存选择时默认启用使用统计，既有关闭选择继续生效。统计启用时，应用将前台会话次数、底部主要页面的浏览次数、当前安装首次被统计的标记和按北京时间每日更换的随机标识发送至运营方服务器，用于汇总应用使用量和改进功能。统计记录不含账户、所看酒店、搜索、位置和私人档案。随机标识用于七日内去重，逾期清理，已汇总的每日计数继续保留。TestFlight 内测版的使用统计单独保存，用于验证统计是否正常。

Pro 交易统计

应用或 Apple 会向运营方提供用于验签的 StoreKit 凭证。运营方分别统计免费试用、购买、续订和退款。统计表保存交易编号摘要、发生日期、类型、币种和金额，以及试用截止时间和 Apple 确认的续订或终止状态。已核验的购买记录可补充产品和实际购买时间。购买 Pro 时，我们使用随机会员标识将 Apple 验证的交易与您登录的 Hoco 账号关联。对于此前未关联的购买，应用会在您正常使用时提交经 Apple 签名的购买和应用凭证，核对成功后关联到当时登录的 Hoco 账号。管理员可查看已关联账号、购买记录、会员状态和有效期，用于开通权益、处理续订和退款及核对订单。未核实归属的订单保持待关联。统计记录用于汇总和防止重复计数。

有管理权限的人员可在后台查看已同步的用户名、当前头像、点亮与收藏酒店数量，以及账号注册、最近登录和服务端已确认的会员状态，用于账户支持和核对会员权益。正式版中，已登录且开启使用统计时，服务器另为该账户记录最近一次收到的 App 前台上报时间，供管理员查看。服务器只保留最新时间，删除账户时一并清除。

六、系统权限

照片和文件选择器只向应用提供您主动选中的内容。订单照片由设备上的 Vision 识别，识别出的酒店名会联网查询酒店目录，确认导入前也可能查询；不向第三方 OCR 上传原图。使用附近酒店或当前位置辅助填写时申请使用期间的位置权限；附近查询向运营方接口及 Apple 地图服务发送坐标，文字地图搜索及地址解析也可能向 Apple 发送您输入的地点。拒绝定位仍可搜索目录与手动填写。

七、信息使用目的

我们使用信息用于：展示个人资料；保存和管理酒店档案；计算入住、消费、积分和兑换价值统计；生成收藏夹及分享内容；导出、验证和恢复备份；保障安全、防止错误并改善功能。

八、敏感个人信息

行程时间、住宿地点、精确支出、订单照片或笔记可能反映您的行踪、财产或其他敏感状况。请仅在必要时记录，避免在笔记或照片中保留身份证件、完整银行卡、账户口令或他人未授权的信息。

九、信息存储与保留

未登录时，私人档案保存在设备应用容器中，自动酒店关联只使用本地目录。Apple 登录用于验证账户，不等于同意上传私人档案。您明确开启服务器私人档案同步后，个人资料、收藏夹、收藏与点亮、酒店地址及坐标、入住日期、消费与积分、笔记和所选照片才通过 HTTPS 同步至运营方服务器，用于恢复与跨设备使用。您可在设置停止上传；停止后保留本机及服务器已有资料，不代表删除。重新开启需要明确选择；政策版本变化后须重新确认。个人照片按账户鉴权，不进入公开图库。退出或卸载不会删除服务器数据。

十、备份、恢复与导出

导出完整备份时，文件可包含个人资料、酒店、入住记录和收藏夹，并可按功能设计包含照片或照片引用。恢复时会读取您选择的文件、验证格式并在您确认后写入本地。请将备份视为私密文件妥善保管。

Apple 登录授权

您主动选择 Apple 登录时，应用通过 Apple 系统授权界面取得此应用的用户标识及您授权提供的姓名，并将 Apple 身份凭证发送至运营方服务器校验签名、应用范围与一次性授权请求，验证成功后创建或复用您的用户账户。服务器会话令牌保存在 iOS Keychain 中，服务器仅保存令牌哈希。应用不收集您的 Apple 账户密码，也不将此身份作为公共酒店目录接口的访问令牌。您可退出本机登录或在系统 Apple 账户设置中撤销此应用的授权；退出不会删除已保存的个人档案。

可选的 iCloud 同步

仅在您主动开启同步后，应用才会将个人档案和照片的完整备份发送至您的 iCloud 私有数据库，用于同一账户跨设备同步。不同应用账户使用独立的数据标识，演示数据不参与同步。本机和云端同时变化时，由您选择保留哪份数据。关闭同步会停止后续同步并保留本机及已有云端数据，不会自动删除它们；云端数据由 Apple 的 iCloud 服务及对应账户管理。

十一、委托处理、共享与转让

账户与私人档案由运营方服务器处理；基础设施使用阿里云。Apple 提供登录验证、App Store 交易、地图和可选 iCloud 服务，按相应功能处理必要标识、交易或地点查询。酒店图片、Logo 和徽章通过阿里云 OSS 或目录提供的图片来源 HTTPS 链接直接加载；来源服务器可接收您的 IP、请求时间及图片路径，可能反映您浏览的酒店，不因此接收入住日期、消费或私人照片。我们不出售私人档案；受托服务须限定目的和安全要求。接收方角色及跨境处理依具体服务和实际部署核实，不将公开图片来源冒充广告 SDK。

十二、依法提供与公开披露

我们可在履行法定职责或法定义务、应对突发公共卫生事件、保护生命健康和财产安全等法律允许的情形下处理或提供信息。除法律另有规定或取得您单独同意外，不公开披露您的个人信息。

十三、跨境提供

运营方服务器用于账户验证与您开启的私人档案同步。Apple 登录、App Store、地图及可选 iCloud 按 Apple 对应服务安排处理必要信息。直连图片来源可接收 IP、请求时间和资源路径，支持邮箱 hotelcollector.office@gmail.com 由 Google Gmail 服务接收您主动发送的邮件内容和发件信息；请勿发送身份证、银行卡或账户口令。第三方服务可能涉及境外处理，具体地点和角色取决于实际服务安排，不能仅凭域名判断。对依法属于运营方向境外提供的处理，应先核实接收方、地点、目的、字段及保护措施，完成必要告知、单独同意和适用程序；未完成核实不视为已具备合规依据。

十四、您的个人信息权利

您可在应用内访问、更正个人资料和记录，删除入住记录或自建收藏夹，导出备份以获取副本。您可在“我的→设置→删除账户”发起永久删除，使用当前 Apple 身份重新验证后删除账户及服务器私人档案，并清理本机账户副本。当前系统 iCloud 副本清理失败时保留待办并显示状态；其他设备的离线副本在重新联网验证后清理。外部导出备份由您自行删除。删除账户不会自动取消 Apple 订阅，也不删除 Apple 管理的交易记录；恢复购买仍遵循 App Store 验证。删除后，活跃服务系统仅为防止旧会话恢复已删资料而保留必要的受限假名化身份摘要、删除状态及最小安全审计；这些可关联的摘要不等同匿名数据，不再保留可供日常访问的原私人档案。受限灾备副本可能仍包含删除前资料，删除账户不会即时改写已有全库备份；这些副本仅用于灾难恢复与安全，恢复时须按删除记录重新清理，不能将已删除资料恢复到日常服务。您还可依法请求解释、限制非必要处理或撤回授权；撤回不影响此前处理的合法性。

十五、安全保护

我们通过最小化处理、本地应用容器、文件路径校验、原子写入、备份格式验证和访问控制等措施降低篡改、丢失、泄露或非法访问风险。如发生可能影响您权益的安全事件，将依法采取补救措施并在需要时告知。

十六、未成年人保护

本应用不面向不满14周岁未成年人主动提供专门服务。如我们发现在未获监护人同意的情况下处理了不满14周岁未成年人信息，将尽快停止处理并删除。监护人可通过联系渠道提出请求。

十七、政策更新

我们可因功能、法律法规或数据处理方式变化修订本政策。更新后将标注新版本和生效日期；变更对您权益有重大影响的，将以应用内显著提示或其他合理方式告知。

十八、联系、投诉与响应

如您对本政策或个人信息处理有疑问、建议、投诉，或需请求访问、更正、删除个人信息及行使其他数据权利，请发送邮件至 hotelcollector.office@gmail.com。为保护您的数据，我们可在必要范围内验证身份并依法处理。支持删除账户的版本可在应用内直接发起删除，无需通过邮件申请。