隐私政策

使用前请先了解

Muora 由望月之砂（重庆）科技有限公司提供。首次使用时，你需阅读并勾选同意《用户协议》和本《隐私政策》后才能进入 App。你可以先以游客身份浏览公开场馆；发帖、聊天等账号功能需要登录。不同意时可停止使用；政策有重要变化时，我们会请你重新确认。

同意政策不代替系统定位、麦克风或照片权限，也不代替照片投稿时的单独授权。隐私问题及信息访问、更正、撤回或删除请求，请发邮件至 zhongjixian@lunarsand.cn。我们会核对必要的身份信息后处理，不会要求你提供密码或验证码。

账号、社交与通知

• 账号：游客会获得随机标识和用户 ID。选择 Apple 登录时，我们处理 Apple 提供的账号标识，以及你允许提供的姓名和邮箱。选择手机号登录时，我们处理手机号和验证码验证结果；验证后的手机号可加密保存，用于账号服务与必要联系。号码默认脱敏，只有经授权的工作人员才能按具体目的查看，并留下记录。
• 导览与同步：收藏、路线进度、离线下载状态及内容偏好用于提供导览和账号同步；仅保存在设备、未同步的数据不会被当作云端记录读取。
• 社交：我们处理你填写的昵称、简介、标签、头像、成年声明和公开设置，以及你发布的搭子帖子、动态、行程和日程备注，在场馆群聊、行程群聊和私信中发送的文字、图片与语音，评价标签及屏蔽名单，用于向相应用户展示、传递和同步。打卡中的场馆、城市、到访日期、是否正在场馆和时区会按公开主页规则展示。
• 举报、反馈与通知：我们处理你提交的举报对象、原因、说明和反馈内容，以提供帮助、维护社区安全。开启通知后，推送令牌、安装标识和通知打开记录用于发送通知及处理通知操作。
• 历史购买：我们可能保存商品、交易和原始交易标识、App Store 环境，以及购买、恢复、退款和撤销状态。支付卡及账单信息由 Apple 处理，我们不会取得。

收藏是否公开

收藏初始不公开。只有同时开启公开主页和公开收藏，其他已认证的同 App 用户才可查看当前已发布藏品的名称、图片及所属博物馆。关闭任一选项后停止公开展示，屏蔽关系双方不能查看。没有有效访问权限的用户不能查看；删除账号后移除公开资料。公开收藏不包含收藏时间、导览进度、讲解正文、音频或购买记录。查看者打开讲解时，仍按自己的导览权益访问。

使用记录与登录排查

你明确同意当前政策后，App 会为尚未撤回统计的当前账号或游客身份申请使用统计授权；服务端支持并确认授权后才采集，不补记授权之前的浏览。注册账号的记录与当前用户 ID 关联；游客记录使用随机游客用户 ID，只有登录关系经服务端验证后，才可在同一 App 内关联到注册账号。游客阶段与注册阶段分别统计，游客身份数量不等于实际人数。

这些记录用于了解功能使用情况、改进产品和排查故障，包括：

• 页面与停留：打开过的固定页面名称、前台停留时间、会话起止、冷启动及上次是否未正常退出。
• 点击与滑动：在前台有效页面中，记录点击、滑动的起止时间、持续时长、页面和预设控件名称。不记录触摸坐标、键盘输入、页面正文、截图或屏幕录像，不保证完整重放操作过程。
• 功能操作记录：记录固定操作的名称、结果、错误类别和进入来源，例如浏览场馆或展品、播放讲解、收藏、创建行程、发帖、打招呼、发送消息、处理邀请、举报、更新资料、打卡、购买和登录。相关记录可带场馆、展品、路线、行程或会话等编号，不包含帖子、私信、群聊或行程备注的正文。搜索只记录词语长度、结果数量及是否筛选，不记录搜索内容；离线下载记录资源数量、大小和失败原因。本地拍照识别只记录识别方式、结果类别、耗时范围和是否确认，识别照片不上传。
• 登录故障详细诊断：使用统计授权有效并经服务端确认后，记录登录步骤和结果、随机登录尝试编号、设备型号、系统与 App 版本、构建类型、耗时、技术错误域和错误码，以及设备上 App Store 收据的环境线索。这些记录与当前账号或随机游客身份关联，不含密码、验证码、Apple 登录凭证或令牌、收据正文、完整手机号、错误描述及错误附加内容；这组登录信息不包含唯一设备标识。收据环境只是线索，不能据此认定来自 App Store 或 TestFlight，不自动重试登录。
• 加载与返回：记录首页目录是否可用、详情是否返回、内容加载是否成功及等待是否结束，并使用大致耗时范围帮助定位卡顿。这不代表完整启动、首帧、全部图片加载或所有崩溃。

接入时间、后台认证请求，以及已经同步的收藏、路线和打卡属于相应服务记录；一次联网请求不等于用户打开 App。缺少回调或记录时，不能推定某一步成功、失败或超时，也不能据此推断用户没有操作。

若需撤回使用统计或登录诊断授权，请通过本政策的联系方式提出请求。我们确认请求后会停止后续采集并处理相关清理。已撤回、待撤回或无法确认的授权，不会因升级、重启或再次同意政策自动恢复；旧版本已停止的采集保持停止。撤回经确认后停止后续采集，清理待上传记录，并按下面的规则处理服务端记录；尚未完成的清理不会表示为已经删除。

系统崩溃与性能诊断

为排查闪退和卡顿，新版本在你同意当前政策、已验证注册账号登录且服务端统计授权有效后，接收 Apple 系统提供的崩溃与性能诊断。信息可能包括崩溃、卡住、处理器或磁盘异常的技术记录、调用堆栈、异常原因、发生时间，以及按天汇总的启动、响应、内存和资源使用指标。诊断还可能包含 App 与系统版本、设备型号、安装或设备技术标识，并与当前账号关联。旧版本是否支持、系统是否生成或延迟提供诊断，会影响记录是否完整；没有诊断记录不代表没有发生故障。

这些信息仅用于排查故障和改进运行体验，不用于广告或跨应用跟踪。我们确认统计授权撤回或账号删除请求后，会停止后续采集并清理相关诊断；尚未完成的清理会如实说明。独立的内容同步诊断日志目前仍关闭，不通过该通道上传数据。

定位、语音与照片权限

只有系统允许后，App 才能使用对应的定位、麦克风或照片能力；你可以在系统设置中管理权限。拍照识别在设备本地完成，识别照片不会自动上传。讲解优先播放已有音频；需要获取讲解音频时，发送展品编号和讲解内容的摘要标识，不发送讲解原文、用户提问、照片或录音。音频不可用时可用设备朗读已下载文字。用于本机语音识别的录音不留存、不上传。云端展品问答及云端搭子匹配目前未开放；不会因为同意本政策就将提问、照片或录音发送给模型。

接受当前政策、注册账号登录且系统允许定位后，App 可在前台获取一次位置，在设备上匹配已发布的城市目录。我们只接收匹配后的城市编号、名称和观测时间，与当前账号关联，用于了解城市分布和改进产品。不上传经纬度、距离或地理编码原文，不持续追踪，不在后台采集；游客阶段不上传城市。手动选择的旅行目的地不等于当前位置，城市观测也不是公开主页所在地。

定位或网络失败时可能有限次重试，回到前台时可再次尝试。撤销系统定位权限后，App 在前台确认时清除已显示城市并记录权限已关闭。服务端仅保留最近一次城市观测；我们确认统计撤回或账号删除请求后，会清除这条记录。城市观测不适用使用统计的定期清理窗口。

自愿展品照片投稿

照片投稿与本地识别分开。已注册用户可以选择本人拍摄的展品照片，在预览后单独确认本人拍摄及照片使用授权，再主动上传照片和相应展品、场馆信息。同意本政策不代替照片授权，不投稿不影响浏览或本地识别。授权允许我们审核后展示照片和缩略图，已通过审核的照片可在注销账号后继续展示。

上传后会移除 EXIF、定位和其他图片元数据。审核期间，私有照片仅供经授权的工作人员核对展品、内容及照片使用授权，不会自动公开。投稿在账号删除前与账号关联，我们同时保存照片摘要、授权内容、版本和接受时间。照片和使用授权均须审核，完成内容审核不等于已经公开，只有完成审核和正式发布后才会展示给其他用户。

内容审核通过前，你可在 App 撤回投稿并清除私有图片；拒绝投稿也会清除私有图片。照片经核对使用授权并保存为可发布图片后，清除审核用的私有副本。删除账号时，会清除尚待审核的私有照片、未审核通过的授权资料，并解除投稿与账号的关联。内容已审核但照片尚未保存完成的投稿会停止处理；已经保存、仍需核对使用授权的图片，仍须完成授权审核才能发布。已获审核的公开图片和不含身份的授权证明可能继续保留，不会因注销自动从正式内容或历史版本删除。

审核通过后，如需撤回图片或提出权利异议，请联系支持申请人工下架。我们核对后移除当前内容中的图片，并在更新后的内容正式发布时停止展示。历史版本和公共图片的物理清理还需按内容保留及回滚安排处理；清理尚未完成的图片时，可能暂留不含身份的授权信息和必要清理记录。照片和授权证明不适用使用统计的 180 天窗口，不承诺尚未完成的清理已经完成。

谁会处理这些信息

必要信息由 Apple、短信服务商、云存储及基础设施供应商在提供相应服务时处理。我们不出售个人信息，也不将这些信息用于广告或跨应用跟踪。

为处理举报、响应你的求助、排查故障，以及防范骚扰、诈骗等违法违规内容，经授权的工作人员可按具体目的查看相关群聊、私信（含图片和语音）、打招呼会话、帖子、动态、行程（含日程与备注）和个人资料，并采取删除内容、限制或停用账号等措施。每次查看须说明理由并留存审计记录，不得用于广告或无关用途。

保存、安全与删除

账号、社交内容和导览进度按提供服务所需期间保存，账号删除时清理不再需要的关联资料。短期验证码到期失效，限流及防滥用记录按必要期间保存。传输使用 HTTPS，并通过加密、访问控制及审计记录保护数据。

使用统计和登录诊断的原始记录仅用于最近 180 天分析，按天汇总用于最近 13 个日历月分析。超过分析窗口的记录不再用于统计分析。物理删除由维护任务分批执行，目前期限清理尚未覆盖全部记录，因此不能保证到期数据已全部物理删除。系统崩溃诊断和按天性能指标分别按 90 天、400 天配置清理期限；实际删除依赖维护任务执行，未完成时不会表示为已删除。

通过联系方式申请撤回后，我们会核对身份并处理授权及清理请求；旧设备已有的撤回状态保持有效，离线请求在联网后重试。服务端确认撤回后停止展示该授权周期记录，并分批清理；无法区分游客与注册阶段的旧汇总会停止使用，不能重建的历史会标明记录缺失，不会当作没有使用。撤回统计不等于删除收藏、打卡、购买等业务记录。你也可以在 App 账号页面退出登录、申请删除账号，在设置中清理离线缓存；清理缓存不等于删除云端资料。

交易、退款及撤销记录可能因反欺诈、财税或争议处理需要继续保存，并与已删除账号的非必要资料分离。已审核公开图片和去身份授权证据的保留及下架方式见照片投稿说明。最近一次城市观测、收藏和购买等业务记录不套用统计事件的 180 天窗口。

你的选择与联系我们

你可以发邮件至 zhongjixian@lunarsand.cn，请求访问、更正、撤回或删除个人信息，或询问信息如何被使用。请说明涉及的账号或问题和希望处理的事项，不要发送密码、验证码、Apple 登录凭证或完整支付资料。我们会在核对必要身份后处理，并说明无法立即完成或依法需要保留的部分。历史购买退款由 Apple 决定，可通过 Apple 官方退款渠道申请，也可联系我们协助排查。