隐私政策

我们重视你的隐私，并在产品设计时即以“离线优先、最小化数据”为原则。以下说明结合 MeTrail 的实际权限使用和应用架构，帮助你清晰了解数据的流向与控制方式。

我们不做什么

  • 无需注册即可使用；我们不创建账户、不会采集可识别个人身份的信息。
  • 不接入第三方广告或分析 SDK，不出售、不共享任何个人数据。
  • 不在服务器端存放你的到访记录、地点、照片或笔记，除非你主动启用 iCloud 同步。

我们如何使用权限

  • 位置（始终 + 精确）：用于后台自动记录到访（Visits）、更新 Today/足迹地图中心点、维护地理围栏匹配精度。若只授予“使用应用期间”，仅支持手动定位和基础地图展示，无法连续记录行程。
  • 通知：用于抵达/离开提醒和状态提示，仅在你同意后启用，可随时在系统或 今日 > 设置 > 通知 关闭。若你开启「显示当前停留」，停留中的地点名和时长会以实时活动的形式显示在锁定屏幕和灵动岛上，仅在本机显示，不会上传。
  • 照片读写：读取：让你为地点/访问/图钉附加照片，以及在你打开地图的「照片」图层时，在设备上读取这段时间带位置的照片并显示在拍摄地点（不上传，不另存副本）；写入（Add Photos）：在你选择「保存到照片」、导出分享卡片或在 MeTrail 里拍照时写入图片。未触发保存或拍照时不会写入照片库。
  • 相机：只在你点「拍照」时打开，拍下的照片存进 MeTrail 并同时存入照片库；不录像，不在后台使用相机。
  • 运动与健身：只读取活动类型（步行、骑行、乘车或静止），用于校正抵达和离开时间、标出到访之间的交通方式；不读取步数，也不会上传。
  • Apple 健康（可选）：默认关闭。只在你于 今日 > 设置 > 工具与数据 > Apple 健康、首次设置时的 Apple 健康页或今日的提示里打开「显示步数」后请求读取步数，不读取其他健康数据，也不写入健康。步数只在显示时从健康读取，不保存到 MeTrail 的数据库，不同步到 iCloud，不进入导出、分享卡片、Hook 自动化和智能摘要，也不会离开这台设备。
  • 日历（可选）：只在你同意后读取或写入日历，需要完全访问权限。读取：在到访详情里显示与这次到访时间重叠的日程，不保存到 MeTrail 的数据库。写入：默认关闭，只在你为某个地点开启「写入日历」后，把在那里的到访作为日程添加到你选定的日历，日程带有指向这次到访的 MeTrail 链接；写入只在 MeTrail 处于前台时进行，只修改或删除 MeTrail 自己添加的日程，不碰你自己的日程。日程写进日历之后由 Apple 日历和你的日历账户（如 iCloud）保存和同步，能看到这个日历的人都能看到它们；抹掉 MeTrail 的记录不会删除这些日程，可以在 今日 > 设置 > 工具与数据 > 日历 一次移除。
  • 文件访问 / iCloud Drive：只在你主动导出或备份数据时使用，用于将导出包写入 Files 或你的 iCloud Drive 私有空间。
  • 网络访问：默认离线运行，我们不运营自有服务器。联网请求仅限五类：① iCloud/CloudKit 同步（若你开启），② Apple 地图服务，用于把坐标解析为地点名称、搜索地点、查看街景，以及查询清单里相邻地点间的路程，③ Apple Weather（WeatherKit），仅在你开启「记录抵达天气」后为新到访查询一次当地天气，④ 抵达/离开自动化（若你开启并自行填写目标地址，如 Bark、Telegram 或你自己的服务），⑤ 智能摘要（若你在 今日 > 设置 > 智能摘要 自行配置了端点）。无其他外部接口。
  • 智能摘要（可选）：端点、模型与 API key 均由你自己填写，请求直接从设备发到你选择的服务商，MeTrail 不接收、不转发、不存储发送内容。发送的只有地点名（可脱敏为「家」「工作」「地点 A」）、城市、日期与时段、停留时长、到访次数、标签名和搜索词，永远不发坐标、地址与照片；笔记只在你于编辑器中点击「校对」或「重写」时发送当前这一条，连同地点名（脱敏打开时不发）与日期；你可以在设置页预览每个场景的实际发送内容。API key 只存在本机 Keychain。

数据存储与同步

  • 本地：到访记录、地点、附件与日志保存在设备加密沙盒的 Core Data/文件系统内。
  • 云端：仅当你在 今日 > 设置 > iCloud 同步 开启 iCloud，同步目标是你的个人 iCloud 私有数据库；我们不可访问。
  • 导出：高级导出写入临时目录后立即交给系统分享，不在应用内保留副本。
  • 健康数据：步数只在显示时从 Apple 健康读取，不写入本地数据库、iCloud 或导出文件。

日志与诊断

  • 日志默认留存在本机，仅含调试信息与错误码，不含敏感内容。
  • 你可以在应用内导出日志以便自助排查或与支持团队共享，未导出前不会离开设备。

你的控制权

  • 随时在系统设置撤回权限；撤回后相关功能自动降级或关闭。
  • 可以随时删除本地数据或通过 iCloud Drive 备份/恢复；未启用同步时，所有数据仅存在本机。

如果你对本隐私政策或权限使用方式有疑问，请通过应用内反馈渠道与我们联系。