数据处理
联网功能处理内部用户 ID、探险家名称与账号、密码与恢复码的加盐摘要、会话令牌摘要，以及用户主动提交的作品、位置、文字、照片、音频、评论、邀请、收藏、举报、屏蔽与足迹。Apple 或微信登录在配置开放时处理其授权凭据与稳定账户标识以核验身份；不同提供方映射为同一个内部用户 ID，不按同名或邮箱自动合并账户。地图发现与现场校验会发送当次坐标、时间和精度，不进行后台连续轨迹采集。 为内容安全、举报处理和申诉，还记录必要的运营审核动作、操作人、原因、时间与处理结果。
系统权限
定位仅在浏览身边世界、探索或创建地点时使用，申请使用期间权限；相机用于用户主动进入的近距 AR 氛围与邀请二维码扫描，这些功能不把相机画面上传服务器；照片仅读取用户经系统选择器选中的内容，上传前会重新编码以移除元数据；麦克风仅用于主动录制并上传的回声或胶囊音频；通知仅在用户为胶囊主动开启提醒后申请。拒绝相机可继续使用探测器；拒绝位置将限制真实到场解锁。
存储、同步与共享
真实账号的数据保存在所连接的寻宝服务端；本机同时保存受系统文件保护的未发布草稿，登录令牌保存在 iOS 钥匙串。体验世界只在本机独立存储。封存正文、答案、精确对象位置与媒体在服务端静态加密保存，公开发现接口只返回摘要与模糊区域。完成后内容会出现在有权访问者的足迹。用户主动分享邀请、战报或导出文件时，目标应用和收件人会收到相应内容。我们不出售个人数据。 这不是端到端加密服务。获授权的运营人员可为内容安全和举报处理受控查看正文、封存内容、照片与音频；访问和处理动作记录审计。运营导出仅保存在专用权限受限目录，不通过公开接口提供，个案完成后由运营清理。
第三方服务
Apple MapKit 为地图功能提供系统地图服务；CoreLocation、ARKit、Photos、AVFoundation 和通知使用 Apple 系统能力。默认联网服务部署于中国杭州区域的阿里云服务器；开发测试连接与体验世界会在应用中明确区分。可选 Apple 登录与微信登录会与相应身份提供方交互；未完成配置时入口不可用。当前未启用 CloudKit 同步、广告、支付、订阅或外部 AI 处理。
第三方数据保护
我们仅为地图、身份认证、服务器托管与用户主动分享使用必要服务，并通过服务访问权限、HTTPS 与最小数据范围约束处理。第三方服务按各自隐私政策处理其接收的信息；用户选择分享或导出到的其他应用由用户自行决定。正式运营会按适用要求维护供应商与数据保护安排。
同意、撤回与选择
可在系统设置撤回定位、相机、麦克风或通知权限；不再使用对应功能即可停止新增提交。可在共同探索页关闭匿名进度展示，在档案管理屏蔽和绑定方式。账号与安全提供应用内删除账户，支持邮箱亦可接收隐私请求；不要通过邮件发送账户密码或恢复码。
购买与付款
当前版本没有 App 内购买、付费订阅或广告收费。实体宝藏由创作者自行准备，App 不处理付款、价值担保或奖品交易。
保留与删除
账号和发布内容在用户使用服务期间保留，直到用户删除或依规则处理。登出撤销当前会话，恢复密码会轮换恢复码并撤销旧会话；过期凭据、临时信号与未绑定媒体由维护任务清理。删除账户会删除本人身份、会话、作品、媒体、成员关系和个人操作数据。为防止旧备份恢复后让已删除账户重新出现，服务保留仅含内部用户 ID 与请求时间的最小删除账本；它不保存姓名或创作内容，恢复时用于重新执行删除请求。已经形成的必要安全处置审计与运营操作人记录不会随账户自动删除，用于安全处理和申诉追踪，相关账号或作品的直接关联会在删除时清除。已被其他用户合法解锁并保存的个人文字足迹可能继续保留，技术上无法收回他人已导出的副本。卸载 App 不等于删除服务器账号；本地草稿与体验记录随容器删除，系统钥匙串可能保留令牌，因此需要删号请使用 App 内入口。服务端每日创建受访问权限保护的一致性备份，日常数据备份最多保留 14 天；为回滚版本保留的部署快照由运维按需管理。备份不用于日常访问。故障恢复时会重放现存删除账本；运营方还需核对备份之后的隐私请求，再恢复对外服务。如需处理备份或安全审计中的个人数据请求，请联系支持邮箱。