隐私政策

1. TotShot 做什么

您选择国家和证件。应用加载该签发机构公布的证件要求，引导您拍摄，再把原图发送到我们的服务器；服务器按这些要求测量，返回一份可直接冲印的成品文件。

两件事发生在两个不同的地方，这个区别就是隐私的全部：检测人脸和引导拍摄都在您的手机上完成，离线运行，没有任何内容离开设备。测量拍摄结果、替换背景、生成最终文件，都在我们的服务器上完成。

2. 我们收集什么

• 账户。一个邮箱地址；若使用 Apple 或 Google 登录，则是它们提供的标识符和邮箱地址——如果 Apple 给您的是私密转发地址，我们看到的就只有它。此外还有您阅读所用的语言。
• 孩子。姓名，以及可选的昵称和出生日期。出生日期只做一件事：有些签发机构允许年龄较小的孩子闭眼，或放宽头部尺寸，应用需要知道您适用的是哪一条规则。
• 照片。您拍下的原图、由它生成的预览图，以及成品文件。
• 从照片中测得的数据。头部高度、眼睛位置、头顶留白、清晰度、曝光、我们所做的裁剪、判定结果，以及判定所依据的证件要求的具体版本。
• 购买。您购买的是哪个额度套餐，以及 Apple 或 Google 出具的收据，我们凭它核验这笔购买。卡号从不会传到我们这里——购买在商店自己的购买页面内完成。
• 通知。推送令牌，如果您开启了通知。
• 您如何使用应用。记录一次拍摄各个步骤的具名事件——拍下照片、给出判定结果、购买额度套餐——每个事件带有数字和本次拍摄的标识。其中永远不含照片，也不含从照片中测得的数据。
• 广告标识符，用于我们自己的广告。在 Android 上，Google Analytics 会读取设备的广告 ID。在 iOS 上，只有当系统询问是否允许 TotShot 跟踪您的活动、而您选择允许时，它才会读取广告标识符（IDFA）。它只做一件事：我们在 Google Ads 或类似的广告网络投放 TotShot 时，这个网络可以把一次安装和带来这次安装的广告对应起来，我们由此知道自己的广告起了什么作用。您可以在设备设置里重置或删除这个标识符，在 iOS 上也可以拒绝那次询问；无论哪种选择，应用的表现完全一样。
• 您大致在哪里。Google 会根据使用事件来源的 IP 地址，推算出城市一级的位置。设备本身从不向我们报告位置，应用也不申请任何位置权限。
• 崩溃报告。应用出错时：错误本身、堆栈信息、设备型号和系统版本，以及出问题的那个账户的标识——这样，只发生在一个人身上的崩溃能查得到，而不必靠猜。
• 服务器日志。和所有网络服务一样，我们的服务器会记录请求的 IP 地址和时间，用于安全和防止滥用。IP 地址可能属于个人数据，所以这里把它写出来，而不是略过。

没有别的了。TotShot 不索取住址，不索取电话号码，也不展示广告。上面的使用事件和崩溃报告，关联到一个每次安装随机生成的标识和您的账户。广告标识符是这里唯一会被广告网络看到的东西，而它的用途不超出衡量我们自己的广告。

3. 测得的是几何数据，不是人脸特征模板

我们从照片上取到的数字，用来裁剪照片，并对照公布的规则作出判定——头部在画面中有多高、眼睛在什么位置、头顶上方还剩多少空间。

我们从不用它们识别任何人。它们不是生物识别模板，从不与另一张照片或另一个人比对，我们也不对它们做任何形式的人脸识别。来源照片一旦删除，它们随之删除。

4. 儿童的数据，以及它为什么在这里

TotShot 由成年人代孩子使用。账户持有人须年满18周岁；孩子是被拍摄的人，不是应用的用户。

孩子的姓名、出生日期（如果您填了）和照片，只用于一个目的——制作并判定这张照片。它们绝不用于广告，绝不出售，绝不为他人的目的共享，也绝不用来训练任何模型。

5. 我们保存多久

TotShot 是相机，也是检查工具，不是相册。一切都会自行到期：

• 上传后一直没有变成一次拍摄的原图——24小时。
• 一次拍摄的原始文件和预览图，以及未购买照片的渲染结果——72小时。也正因如此，重新裁剪一张照片在三天内始终免费。
• 您购买的照片——由您设定的保存期限：7、30、90 或 365天，也可以永久保存。默认为365天。随时可以在应用里更改，更改对已有的照片同样生效。

默认是一年，因为孩子的证件照往往不到一年就不能再用——孩子的模样已经变了。留得更久，对谁都没有意义。

照片消失时，从中测得的数据一并消失。照片删除后仍然留下的，只有收据：哪份证件、什么时候、是否符合要求、扣了哪个额度——因为您日后可能还要就一笔扣款提出疑问。收据在应用里任何地方都不显示。

每次打开一张照片，下载链接都会重新生成，一小时后失效。我们存储里的内容不会公开列出，也无法公开访问。

6. 删除账户

您可以在应用里删除账户，没有任何附加条件。照片、照片背后的原图、所有测得的数据、收据、孩子的资料、额度余额、推送令牌和拍摄记录，都会在曾经保存过它们的每一项服务中被彻底删除。不会留下任何标记来证明您曾经来过；某一处删除失败，会一直重试到确认为止，而不是悄悄搁下。

未使用的额度随账户一起销毁，不予退款，所以请先把它们用掉，或者先来问我们。您也可以随时删除任意一张照片，或者写信到 support@totshot.app，我们替您删除。

7. 还有谁会接触到

我们不出售、不交换个人数据。它只会到达下面这些公司，每一家只为一件事：

• Apple 和 Google——登录，以及购买额度。它们向我们确认一笔购买是真实的；关于您的孩子，我们什么都不告诉它们。您申请退款时，Apple 还可能来问这笔购买后来怎么样了——下一节讲的正是这件事。
• Google（Firebase Cloud Messaging）——向您的设备投递推送通知，前提是您开启了通知。
• Google（Firebase Analytics 和 Crashlytics）——统计上述使用事件，接收崩溃报告。我们靠它得知：某一步在那些从不来信的人那里出了问题。Google 按我们的指示处理这些数据，服务器在美国。
• Google（Google Ads）——我们为 TotShot 投放广告时，Google 把上述广告标识符与它投放过的广告点击对应起来，再告诉我们一次安装来自哪个广告系列。这是对我们自己广告的衡量；您孩子的数据不参与其中。
• Resend——发送账户邮件和支持邮件。
• 我们的主机服务商——运行应用所连接的服务器。

去除背景在我们自己的服务器上、在一个私有网络内完成。您孩子的照片从不发给任何第三方 AI 服务，也从不发给 Google：上面提到的分析和崩溃 SDK 只看得到事件名称、数字和标识符，看不到任何图像数据。应用里没有广告 SDK，也不展示广告；上面那个广告标识符由分析 SDK 读取，只用于已经说明的那一个目的。

8. 如果您向 Apple 申请退款

您通过 App Store 申请退款时，Apple 可能会问我们这笔购买后来怎么样了，并给我们一小段时间作答。我们会作答。这是我们唯一能说上话的时刻；无人作答的申请，会在我们缺席时被裁定。Google Play 没有对应的环节，因此在那里完成的购买与本节无关。

我们发送的是一份概要，不是记录：套餐用掉了多少、成品照片是否已经交付，以及您历来购买与退款的总额——给出的是一个区间，不是具体金额；只要有任何一笔购买使用了其他货币，连区间也不会给，因为说不准的美元数字，我们不会去估。这份概要只通过商店为该笔购买签发的令牌与这笔购买关联，此外不关联任何东西。

我们还会告诉 Apple，我们认为答案应该是什么，而您有权知道我们依据的规则，因为规则就这么多：额度一个没用，我们说应当同意退款；额度全部用完，我们说应当拒绝退款；用掉了一部分，我们不表态。我们不会为您从未用过的东西去请求 Apple 拒绝退款。

我们从不发送您的照片；除那个购买标识符之外，也不发送任何个人数据。Apple 还会问您持有账户多久、在应用里待了多久。这两个问题我们都回答“未声明”，而不是估一个数字——估出来的数字，往后就成了我们的断言。

9. 保存在哪里，怎么保存

我们的服务器位于欧盟，租用自一家商业主机服务商。我们写出的是地区，不是服务商：服务商可以更换，地区是承诺。照片和从照片测得的一切都留在那里。

有两样东西会离开这个地区。使用事件和崩溃报告去往美国的 Google，推送通知经由 Google 和 Apple 转发。这两项传输都依据欧盟委员会的标准合同条款（SCC）进行，那正是这两家公司为此专门公布的机制。除此之外，没有任何东西跨境。

传输使用 TLS 加密。照片存放在私有存储里，内容从不公开列出，每一次下载都通过一条短时有效的签名链接。登录令牌保存在您设备自带的钥匙串或密钥库中。只有需要用到的服务才有访问权限。没有哪个系统是绝对安全的，我们不会假装不是这样。

10. 本网站

totshot.app 上没有分析统计，没有广告，也不加载任何第三方脚本、字体或图片——页面用到的每一个文件都来自本域名。上面描述的分析统计在应用里，本网站没有。

网站本身由我们的网站主机 Vercel 提供服务，它会把每次请求的 IP 地址、时间和 User-Agent 记入访问日志，用于页面分发和防止滥用。这是参与向您展示本页面的唯一一家公司。

本网站只存一个 cookie：NEXT_LOCALE，用来记住您在用哪种语言阅读。里面没有任何标识符，没有别人会读它，它也不会跟着您去任何地方。

11. 您的权利

您可以要求获取数据副本、更正、导出或删除。删除您可以自己在应用里完成；其余事项请写信到 support@totshot.app。每一条请求都由真人回复。

在欧盟和英国，这些是《通用数据保护条例》（GDPR）赋予您的权利，您也可以向当地的数据保护机构投诉。在加利福尼亚州，按《加州消费者隐私法案》（CCPA）对这两个词的定义，我们既不出售也不共享个人信息；行使权利不需要您付出任何代价。

12. 变更

本页顶部的生效日期，就是您正在阅读的这一版。如有重大变更，我们会在变更生效之前通过邮件或在应用内告知您。

13. 联系我们

本页涉及的任何事——查阅、更正、导出、删除，或者一个在这里找不到答案的问题：support@totshot.app。这是找到我们最快的方式，来信由真人阅读。纸质信件可寄往下方地址。

14. 适用法律

本政策受美国特拉华州法律管辖。

本政策以语言切换器提供的每一种语言发布。具有管辖效力的是英文版本；译本供阅读之用，不得作为争议中援引的依据。