隐私政策
最后更新：2026 年 4 月 15 日
Compoz 建立在一个简单的承诺之上：核心功能完全在您的设备上运行。实时评分、63 条构图规则、场景检测和所有核心 ML 模型都在本地运行——没有数据离开您的手机。
某些高级功能（AI 教练、区域评分改进）需要明确的选择加入。本页面准确说明了发送的内容、发送到哪里、为什么发送，以及如何随时撤回您的同意。
摘要（TL;DR）
默认情况下，Compoz 不收集任何数据，也没有任何数据离开您的设备。评分、场景检测、构图指南：100% 本地。
一个可选的选择加入「帮助改进 Compoz」解锁三项密切相关的处理：(1) 将您的照片发送到 Anthropic 的 Claude 以供 AI 教练使用，(2) 存储加密的匿名副本以训练我们自己的设备端模型，(3) 当您给照片打 5 星评价或对其使用 AI 教练时，记录一条匿名的拍摄点条目（纬度/经度 + 场景类型，无用户标识符），以支撑社区热门拍摄点地图。
拍摄点地图在显示任何拍摄点之前始终强制执行 k-匿名性（每个聚类至少 5 张照片）—— 您的私人地点将保持私密，直到至少有 5 张不同的照片在那里积累。
零广告跟踪，零数据转售，零行为分析，零跟踪 Cookie。
保留在您设备上的内容
所有核心操作都由设备端 ML 模型（TensorFlow Lite + ML Kit）执行。您的照片库、构图分数、历史记录和个人校准设置——所有内容仅存储在您的手机上（AsyncStorage + SQLite）。
如果您创建帐户，这些数据可以同步到我们加密的 Supabase 数据库（静态 AES-256，传输中 TLS 1.3）以进行跨设备访问。此同步是可选的，可以禁用。
使用 AI 教练时发生的事情
重要提示：Compoz 的实况评分 100% 在您的设备上运行——无网络、无云端、没有任何照片会离开您的手机。AI 教练是一项**可选的、临时的研究测试版**（因此每月限制 50 次分析），与设备端评分完全分离。它的存在是为了帮助我们改进我们自己的设备端构图模型，需要专家反馈数据来验证它。
当您点击 AI 教练时（Pro，需选择加入）：(1) 您的照片在最长边调整为 768 像素并重新编码为 JPEG（这会自动删除所有 EXIF 元数据，包括 GPS），(2) 它在我们的服务器上进行分析，服务器通过 TLS 加密将图像临时转发到 Anthropic 的 Claude API（根据标准合同条款的美国子处理方）以生成评论，(3) Anthropic 返回结果但不保留照片（DPA 已到位），(4) 我们将此匿名照片的 AES-256-GCM 加密副本存储在我们的私有 Supabase 存储桶中，以改进设备端构图模型（无用户标识符、无 GPS、加密密钥仅保存在我们的 API 服务器上）。
**Anthropic 如何处理图像？** Anthropic 发布了其对客户 API 数据的自有承诺：他们**不会**使用 API 输入来训练其模型，并且仅会短暂保留输入以进行信任和安全审查，然后自动删除。您可以直接在 https://www.anthropic.com/legal/privacy 查阅 Anthropic 当前的政策——我们依赖他们发布的条款以及已签署的 DPA，而您在那里的独立验证是最终的交叉核对。
**AI 教练被设计为会消失。** 一旦我们的设备端模型从测试版中学到足够多,其精度将直接合并到实况评分中——实况评分已经 100% 在您的设备上运行。AI 教练将不复存在,「帮助改进 Compoz」开关将变得多余,您将获得相同的精度而无需您的照片再次离开您的手机。按设计这是一个临时的服务器端桥梁,使永久的设备端体验对所有人都更好。
如果选择加入被禁用，AI 教练将根本无法使用（我们没有进行网络调用的 GDPR 法律依据）。Compoz 的所有其他功能继续正常运行，100% 离线。
当您给照片打 5 星评价时会发生什么（社区热门拍摄点地图）
如果统括开关「帮助改进 Compoz」处于开启状态，给照片打 5 星评价 —— 或对照片运行 AI 教练 —— 也会记录一条匿名的拍摄点条目，以帮助构建社区热门拍摄点地图。Pro 热门拍摄点地图（在应用内显示）随后会展示您周围热门的拍摄地点：好莱坞标志观景点、亚历山大三世桥、悉尼歌剧院，或是您所在城市中的某个特定观景台。免费用户为地图做贡献，Pro 用户可以浏览地图。
存储在我们服务器上的行确切包含：拍摄时的纬度/经度、检测到的场景类型（风景、人像、建筑……）和创建时间戳。仅此而已。没有用户标识符、没有照片、没有缩略图、没有评分、没有规则分数、没有设备信息。表本身没有任何回到您账户的链接。
为什么要存储精确坐标？因为一张有用的热门拍摄点地图需要准确地标出真实的观景点（特定的露台、特定的桥梁）—— 存储粗糙的 1 km 单元格会把地图变成一张毫无用处的社区热力图。隐私保护不来自数据库中的低精度，而来自查询时的 k-匿名性。
**具体来说：您的私人拍摄点保持私密。**`/spots/hot` API 端点绝不会公开少于 5 张独立照片的聚类。如果一个 geohash 单元格（约 19 m × 19 m）只有 1–4 张照片，它会被自动合并到其父单元格（约 150 m），然后合并到一个更粗的父单元格（约 1.2 km），直到达到 k=5 阈值。如果即使在最粗的级别汇总仍然找不到 5 张照片，该聚类将被完全从响应中移除。在您奶奶偏远的乡村房子拍摄的照片在地图上是不可见的，直到至少有 5 个不同的人也在那个完全相同的区域拍摄过照片。好莱坞标志处的照片以精确的 19 m 单元格公开，因为那里已经存在数百张其他照片。
您可以通过在设置中禁用「帮助改进 Compoz」开关随时撤回同意。移动客户端立即停止调用拍摄点记录端点，服务器在每次请求时都会重新验证同意。数据库中已经存在的匿名行可以根据 GDPR 第 17.3.d 条的允许保留用于研发 —— 它们没有链接到您，无法按用户单独删除。
「帮助改进 Compoz」— 一个选择加入，三项密切相关的处理
上述三项处理（AI 教练临时传输 + 加密训练照片 + 匿名热门拍摄点记录）共享同一个合法目的：为所有人改进 Compoz。它们都共享相同的匿名化承诺：无用户标识符、无个人元数据、无跟踪。
EDPB（欧洲数据保护委员会）接受对于密切相关目的的单一同意，前提是用户通过分层通知（应用内友好摘要 + 指向此详细页面的「了解更多」链接）得到适当告知。这正是我们所做的。
您可以通过在设置中禁用开关随时撤回同意。效果是即时的：下一个操作将读取新值，三项处理立即停止。已经匿名化的行（无标识符）可以根据 GDPR 第 17.3.d 条的允许保留用于我们的研究。
子处理方
Compoz 使用数量有限的子处理方，每个都严格用于指定的目的：
- Anthropic（美国）— 用于 AI 教练的 Claude API。临时传输，DPA + 标准合同条款，Anthropic 不保留。
- Supabase（欧盟）— 数据库和加密存储。欧盟托管（法兰克福）。身份验证、跨设备同步、私有训练照片存储桶。
- Sentry（欧盟）— 服务器错误监控。日志中没有照片或个人数据。90 天后自动清除。
- RevenueCat — Pro 订阅管理。仅接收匿名用户标识符和购买收据。无法访问您的照片或分数。
- Apple / Google — 通过 App Store 和 Play Store 根据其自身政策处理付款。
数据保留
- 您设备上的本地数据：保留直到卸载或手动清除。
- 云帐户数据（分数、历史记录、偏好设置）：保留直到删除帐户。
- 加密训练照片：为研发目的保留，在收集时匿名化（无用户标识符、无 GPS）。
- 拍摄点行：为社区热门拍摄点地图和研发目的保留。按设计匿名（无用户标识符、无照片、无任何回到您的链接）。保留根据 GDPR 第 17.3.d 条的允许。
- AI 分析日志：90 天后自动匿名化（仅保留汇总统计）。
- Sentry 日志：90 天后自动清除。
您的权利（GDPR）
如果您居住在欧洲经济区，您拥有以下权利：
- 访问权：通过设置 → 导出我的数据请求所有数据的副本。
- 更正权：通过书面联系我们更正不准确的数据。
- 删除权：通过设置 → 删除我的帐户删除您的帐户和所有云数据。30 天内完全级联删除。
- 可移植性权：您导出的数据采用结构化、机器可读的 JSON 格式。
- 限制处理权：禁用「帮助改进 Compoz」开关以停止选择加入处理。
- 反对权：联系我们反对特定处理。
- 随时无理由即时撤回同意的权利。
- 向您的数据保护机构（例如法国的 CNIL）提出投诉的权利。
联系
对于有关您个人数据的任何问题、权利行使请求或投诉：privacy@getcompoz.app。我们在最多 30 天内回复。
此政策的变更
我们可能会更新此政策。任何实质性变更都将在应用中通知，此页面顶部的最后更新日期将被刷新。影响您权利的实质性变更将需要您明确的重新确认。