隐私政策

1. 我们访问的内容

• 活动数据：来自已连接的活动来源或你明确选择的 FIT 活动文件的活动名称、开始时间、时长、距离，以及（在可用时）路线、海拔、配速和其他锻炼统计数据。仅用于确定照片匹配的时间范围和在你的设备上渲染应用内统计和视频。FIT 文件和导入的活动数值在你的设备上本地处理和存储，不会上传到 ActivArt。
• 设备照片图库：拍摄时间戳落在活动时间范围内的照片，以及你自己添加到活动中的任何照片，无论是从图库导入、在应用中拍摄，还是从其他应用分享到 ActivArt。应用仅在你明确触发照片处理时读取像素。
• 账户身份验证：当你使用 Google 或 Apple 登录时，我们会收到你的电子邮件地址。该地址存储在我们的 VPS 数据库中（使用 AES-256-GCM 加密；查找键使用带密钥的哈希，因此明文绝不会暴露给 SQL 查询），用于识别你的账户，以便进行配额管理和账户删除。
• 使用情况跟踪：本地和云端同步的 AI 图像生成、AI 视频生成、统计叠加、自定义徽标和设备端视频生成的使用次数，用于执行免费计划额度和 Premium 配额。与你的账户电子邮件关联，但不包含其他个人数据。
• 活动来源状态：你连接的活动来源类型（如有），以及应用从中收到的活动数量。不包含任何活动详情。仅用于在没有收到活动时向你发送提醒，方便你检查连接。
• 订阅标识符：为管理 ActivArt Premium 和自定义徽标购买，我们使用随机生成的匿名标识符（UUID）作为你的购买账户 ID。此标识符绝不是你的 Firebase UID 或你的电子邮件地址。
• 促销代码：优惠链接可能会在 URL 片段中携带明文代码。浏览器片段不会发送到我们的服务器，兑换页面在读取后会从地址栏中移除该片段。当你从已登录的账户应用该代码时，我们会通过经过身份验证的请求发送它，然后只存储单向的带密钥哈希，以及与你的带密钥电子邮件哈希和匿名购买账户 ID 关联的兑换记录。我们会保留活动权益、状态、时间戳和到期时间，以便执行兑换限制、恢复访问分类并防止重复使用。明文代码不会被存储。
• 徽标叠加：自定义徽标图像及其位置，安全地存储在应用的本地私有存储中。绝不会传输到我们的服务器。
• 支持咨询：当你使用我们的联系表单时，我们会收集你的姓名、电子邮件地址和消息内容，以便回复你的请求。这些数据仅用于支持。

2. 我们不收集的内容

• 除了你的电子邮件地址（账户身份验证所需）以及你通过支持表单明确提供的内容之外，我们不会收集你的姓名或任何个人身份信息。
• 我们不会将你的照片保留为永久的 ActivArt 库。图像生成输入在处理后会被丢弃。对于 AI 视频生成，所选的原始照片或生成照片会在持久任务运行期间临时保存在私有对象存储中，并在任务到达最终状态时删除。当 ActivArt 为新活动自动创作作品时，生成的图像会保存在我们服务器的私有存储中，直到你的设备下载它。你的设备保存后会立即删除，最长保留 24 小时。
• 我们不会存储你的账户凭据，只存储短期 OAuth 令牌或平台提供的健康数据访问权限。
• 我们不会使用广告 SDK 或跟踪你的位置。

3. 第三方服务

ActivArt 与来自 Intervals.icu、Strava、Apple（Apple Health、通过 Apple 登录）和 Google（Health Connect、Firebase、通过 Google 登录）的官方 API 集成。订阅和一次性购买的管理以及所请求的 AI 处理由专业服务提供商和 ActivArt 运营的处理基础设施负责。所请求的生成所需的最低限度源图像和服务器拥有的提示词会发送到所选的处理器；路由基于已验证的账户访问权限，并非由应用自行选择。第三方服务收集的使用数据按照其各自的隐私政策处理。

4. AI 照片处理

当你对现有照片应用 AI 效果时（图像到图像），你的照片会被安全传输以进行处理。该图像仅用于生成结果，生成完成后不会被保留或存储。当你根据活动类型生成全新图像时（文本到图像），完全不会发送照片数据，只会发送描述你的活动和风格偏好的文本提示词。如果你启用统计叠加，所选的活动数值（例如距离和时间）会作为文本包含在该提示词中，以便 AI 将其渲染到图像中。

你的照片和活动数据仅用于生成你所请求的特定结果。它们绝不会被用于训练、微调或以其他方式改进任何人工智能或机器学习模型，无论是我们的还是第三方的。特别是，我们不会使用通过 Strava API 获取的数据来训练 AI 或 ML 模型。

完成的 AI 图像包含机器可读的 XMP 来源元数据，用于标识 AI 来源类别以及 ActivArt 作为创建工具。此标记不会以可见方式绘制到图像像素中。它不包含你的姓名、电子邮件地址、提示词、活动统计数据、位置或其他账户标识符。位置和拍摄时间的 EXIF 数据按上述方式单独处理。

4a. 视频生成（设备端）

GPS 路线和海拔剖面视频完全在你的设备上渲染。视频生成期间不会上传任何视频数据，也不会上传视频中使用的任何组成照片。完成的 MP4 仅存在于你的设备上，直到你选择分享它。

为了绘制地图和地形，你的设备会从地图数据服务下载地图、卫星和海拔数据。对于3D地图视频和3D海拔剖面视频，设备会请求覆盖你路线周边区域的地图瓦片，不会发送路线本身。对于地图视频，设备会发送简化后的路线线条和绘制标记的位置，以便地图服务把它们画到地图图像上。所有 GPS 视频都会按照你的地图隐私区域设置省略路线的起点和终点。这些请求不包含姓名、电子邮件地址或账户标识符，地图数据服务按照其自身的隐私政策处理这些请求。

如果某次训练记录时没有海拔（部分应用在 Health Connect 中保存路线时不含海拔），你的设备会把沿路线抽取的最多约 100 个点发送给海拔数据服务，以查询这些点的高度。与地图请求一样，这些点会按照你的地图隐私区域设置省略起点和终点，此查询也不包含姓名、电子邮件地址或账户标识符。

4b. AI 视频生成

当你选择为所选的原始照片或生成照片制作动画时，该图像以及对所选风格、效果、活动控件和统计信息的描述会被安全上传，以使用托管的或 ActivArt 运营的 AI 处理来创建短视频。模型可能会生成音频。ActivArt 会验证并后处理结果，添加签名的来源元数据，并使私有结果可供你已验证的账户使用最多 24 小时，以便中断的下载可以恢复。

临时源会在任务完成后删除。最终私有媒体和过期任务媒体会在恢复期后删除，并以对象存储生命周期规则作为后备。删除账户还会移除你关联的任务记录和媒体密钥。AI 视频的输入和输出不会被 ActivArt 用于训练模型。

5. 数据保留

所有核心应用数据（令牌、风格偏好、自定义徽标）都存储在你的设备本地。删除应用会移除这些数据。订阅使用次数、持久 AI 视频任务状态和促销代码兑换记录会同步到我们的 VPS，并在你的账户处于活动状态期间保留。AI 视频媒体如第 4b 节所述为临时数据。当你删除账户时，与用户关联的任务、兑换和其他账户数据会在 30 天宽限期后从我们的服务器中永久移除（见第 6 节）。聚合的活动配置会保留，但不再能识别你的账户。

6. 你的权利（GDPR）

如果你位于欧洲经济区（EEA）或英国，你对自己的个人数据享有以下权利：

• 删除权（GDPR 第 17 条）：你可以随时通过应用中的设置 → 账户 → 删除账户，或通过网络上的 activart.app/account 删除你的账户。你会立即退出登录。你的数据会在 30 天宽限期后从我们的服务器中永久删除。在 30 天内重新登录会取消删除，并完全恢复你的账户和配额。
• 电子邮件安全：你的电子邮件地址在我们的服务器上以加密形式（AES-256-GCM）存储。它绝不会以可读形式存储在数据库中。所有查找都使用带密钥的 HMAC-SHA256 哈希。
• 访问权 / 数据可携带权：如需请求获取我们所持有的关于你的数据的副本，请通过 联系表单 联系我们。
• 合法依据：我们基于合法利益处理你的电子邮件地址，具体是为了执行每个账户的 AI 生成配额并防止滥用。

7. 产品邮件

如果你同意接收 ActivArt 产品邮件，我们会保存加密的邮箱地址、语言以及同意的来源和日期。这也适用于没有应用账户的订阅者。我们通过邮件发送服务投递这些消息。你可以通过任何营销邮件中的链接退订，无需登录。退订、永久投递失败或投诉后，我们保留不可逆的带密钥标识和屏蔽原因，防止后续导入重新开始发送营销邮件。必要的账户通知不受影响。 为减少无效发送，我们仅查询域名来检查地址格式和域名的邮件路由。这些检查不能验证邮箱是否存在。 我们保存检查结果及其原因。 我们保留与已发送消息关联的投递状态历史，不保存原始投递报告。已确认无效的营销联系人可供审核并从列表移除。通过可恢复归档移除的联系人将加密保存以便恢复，营销屏蔽仍然有效。另一个永久清理操作会删除无效的现存联系人数据，不创建恢复副本；不可逆的屏蔽标识、退订信息和消息历史仍会保留。部分产品邮件通过邮件投递服务的跟踪图片和重写链接来衡量打开和链接点击。测量结果是近似值，不代表独立人数，也不能证明邮件已被阅读。我们的数据库仅保留经过筛选的消息标识、事件类型和时间，不保存原始跟踪报告、IP 地址、用户代理或被点击的 URL。