隐私政策

最后更新：2026-10-16

NearbyLove 移动应用（下称“本应用”）由位于以色列的独立开发者 Nir Nagar（商号 Hearth Software）运营。没有其他任何人代表我们运营本应用，所以本政策中的“我们”指的就是 Nir Nagar，他对此处描述的信息负责。第11节说明如何联系我们，而本网站上的联系表单是能联系到我们的途径。本政策说明本应用收集什么、用于什么、与谁分享、保存多久，以及你可以要求我们如何处理它。凡是有局限的地方，本政策都会写明，而不是留给你自己去发现。

1. 我们收集的信息

1.1 你提供的信息

账号信息：账号只能通过 Google 登录创建。没有邮箱加密码的途径，没有其他登录提供方，我们也从不接触或处理你的任何密码。当你登录时，Google 会把你的姓名、电子邮件地址和头像返回给本应用；我们的服务器从中保存的是你的电子邮件地址和 Google 签发的账号标识符。只通过 Google 登录是我们把未成年人挡在平台之外的做法之一：没有匿名的入口，每个账号都绑定到一个 Google 账号，而不是一个用完即弃的邮箱地址。这并不能证明你是成年人，我们也不把它当作证明。下文的年龄声明，以及第8节中的举报途径，是这个答案的其余部分。
资料信息：昵称、出生日期、性别、简介，以及你选择填写的任何可选项：体型、身高、发色、眼睛颜色、吸烟、饮酒、运动、饮食、宠物、是否有孩子以及是否想要更多、感情状况、教育、职业、宗教信仰程度、你会说的语言，以及你在寻找什么。昵称、出生日期和性别之后的所有内容都是可选的，可以留空，之后也可以清除。
照片：你上传的个人资料照片（最多6张）。
语音录音：你录制的可选语音介绍（每段最长20秒）。
消息：通过消息功能分享的文字消息、语音消息和照片。
偏好设置：你的匹配偏好，包括首选年龄范围、性别和最大距离。
年龄声明：当你填入出生日期时，我们据此算出你的年龄。如果算出来不满18岁，该填写会被拒绝，我们会记录算出的年龄，以及这件事发生过和发生的时间。我们不存储你填写的日期。我们保留它，是因为一个会忘记被拒尝试的年龄限制根本不是限制，而是在提示该改填哪个数字。正因为我们保留了它，声明过自己未满18岁的人就无法再靠编辑绕过去，而第二次这样的声明会使账号被封停，交由真人查看，而不是让他简单地再问一次。第7节说明如果这件事误伤了你，该如何申诉。
安全约会详情：如果你开启一次安全约会会话，你要告诉我们你的哪位联系人是守护者，你还可以补充你自己的电话号码、一个紧急号码、你们在哪里见面和何时见面，以及你要见的人的姓名。如果你的守护者不在本应用上，你可以用一个链接邀请他，如果你选择填写他的电子邮件地址，我们也会存储它。第3节确切说明守护者会被展示什么。
加入申请：在仅限邀请注册期间，没有邀请码的人可以在应用内申请加入。申请包含所用 Google 账号的名称和电子邮件地址、应用语言、根据连接 IP 地址推断的国家，以及你可选填写的备注。只有 NearbyLove 团队会阅读它以作出决定；若获批准，我们会向该地址发送一封邮件。
居住国家/地区与信息：创建账户时，你会选择居住的国家/地区，以及是否同意接收营销信息。我们会保存你的回答，以及你之后在“设置”中做出的每次更改，并记录日期和当时向你展示的文字版本，因为法律要求我们能够证明你已同意。

1.2 自动收集的信息

位置数据：在你许可的情况下，我们收集你设备的 GPS 坐标，以便雷达发现、火花模式和安全约会能够工作。重要：就雷达和发现而言，你的手机会在任何数据发出之前把读数吸附到一个固定隐私网格所在格子的中心点，所以你的精确坐标根本不会到达我们的服务器。网格默认为250米，如果你希望别人更精确地找到你，则为100米。这不是随机位移：同一个地方始终映射到同一个点，所以反复取样求平均也无法把范围缩小。有两项功能是例外，而且它们彼此并不相同。火花会发送你的实际坐标，以便实时算出一段短距离；这些坐标不会被存储，也不会展示给任何其他用户（第4节）。安全约会会在安全约会进行期间把你的真实位置发送给另一个人，也就是你选定的守护者。我们的服务器会在安全约会结束7天后将其删除，如果触发过紧急情况，则在结束30天后删除（第3节）。
设备与连接信息：设备类型、操作系统版本、设备标识符，以及你的手机获得的推送通知令牌。当你登录时，以及每次会话续期时，我们还会记录该请求来自的 IP 地址和你手机随请求发送的设备描述。这两项存储在登录记录上，以便一个会话可以被列出和吊销，也以便滥用行为可以被追溯到某个会话，而不是靠猜。
使用数据：应用交互数据、功能使用情况和会话信息。
服务器日志与请求计数：我们的网页服务器保留常规的访问日志：请求来自的 IP 地址、时间、调用了哪个接口、响应码，以及你的应用或浏览器发送的标识符。它们按服务器的正常周期轮转和覆盖。我们还会按你的 IP 地址或你的账号统计近期的请求数，以便拒绝大量涌入的尝试；该计数器会随其自身的短窗口过期，随后被清除。
国家/地区（用于语音约会）：当你在语音约会中录制介绍或浏览介绍时，我们会根据请求的 IP 地址判断它来自哪个国家/地区，以便你听到的是你所在国家/地区的人。与你的介绍一起保存的只有两个字母的国家/地区代码；我们不会为此保留 IP 地址。如果你使用 VPN，我们看到的是 VPN 所在的国家/地区。IP 地理定位由 DB-IP 提供。

1.3 发布前的照片审核

你上传的每一张照片，无论是到你的资料还是到聊天里，都会先写入一个我们的网页服务器不会向任何人提供的私有隔离区，并在能被看到之前接受审核。会有两项检查在它上面运行，它们回答的是不同的问题。

在我们自己服务器上运行的露骨内容检查：一个分类器为图片的露骨内容打分。它运行在接收该上传的同一台机器上，为这项检查，图像不会被发送到任何地方。它能检测裸露。它不估计任何人的年龄，也不识别虐待材料，我们也不作别的声称。
与已知清单进行的指纹比对：我们计算图片的 PDQ 感知哈希，32字节，无法据此重建图片，并只把这段指纹发送给 Project Arachnid Shield，一项由加拿大儿童保护中心运营的服务，用于与他们的已知儿童性虐待材料目录进行比对。你的照片本身绝不会上传给他们。他们的接口也可以接收整幅图像，而我们刻意不使用那条路径。
我们保留什么：分数、指纹、原始检测结果和处理结果都会记录在该次上传上，以便事后可以向你解释一项决定，也以便这些阈值可以对照真实照片来检验，而不是靠臆测。
如果某项检查无法运行，照片就会被扣下：当扫描服务宕机、变慢，或者返回我们看不懂的内容时，照片会被扣下并由真人查看，而不是被发布。在这里，扣下是安全的出错方式，它刻意与我们在速率限制检查失败时的做法相反。
被扣下或被拒绝的照片会怎样：它留在隔离区。它不会被发布，不会被加入你的资料，其他用户也看不到它。被扣下的照片由真人查看，由其放行或删除；被扣下或被拒绝的照片会在该决定作出30天后删除。匹配到已知儿童性虐待材料的照片会以不同方式处理：账号会被关闭，该匹配会被报告给警方或接收此类报告的国家机构，为了这份报告，我们还会记录上传来源的网络地址和设备，如果是在聊天中，还会记录它原本要发给谁。这些只在主管机关或法律要求或请求的期限内保留，即报告后一年，除非该机关另有说明，而该匹配的最简记录会在报告两年后删除。匹配到有害虐待性材料（这类材料可能未达到刑法门槛）时，会在真人复核案件期间封停账号。

这做不到什么。指纹比对能找到某人已经编目过的材料的再次上传。新制作或新生成的图像什么也匹配不上，会返回干净的结果，而且已发表的研究表明，了解该算法的攻击者可以修改一张图像，直到它不再匹配。露骨内容检查对任何人的年龄一无所知。审核抓住的是粗心的人。它值得做，而它不是保证。

1.4 我们在一次安全约会之后提出的问题

当一次安全约会结束时，我们可能会问你一个关于感受如何的问题。有三个答案：我感觉良好、我感到不安，或者我感到不安全。你的答案与你的账号以及那次安全约会关联存储。当本应用知道你见的是谁时，它也会与你见到的那个人关联存储：要么你是从与对方的聊天中发起这次安全约会的，要么你在回答时从你的好友列表中选择了对方。

没有人会被展示它：你的答案不会展示给你见的那个人，不会展示给你的守护者，也不会展示给任何其他用户。你或任何其他人在本应用中的呈现方式不会因此发生任何变化，本应用的任何部分都不会返回它或任何由它推算出的东西。
内部安全指标：当你回答感到不安或不安全时，我们的服务器会取出过去180天内不同的人针对同一个人给出的“不安”和“不安全”回答、举报和屏蔽，对它们进行加权，并把结果连同你的答案写入我们网页服务器的错误日志。我们的安全团队可能会用它来调查可能存在的安全隐患。它本身绝不会限制任何账号。该日志在14天后删除，这个数值不会保存在其他任何地方，也不会在本应用中展示给用户。
作决定的永远是人，绝不是算术：这里没有任何东西会自行封停、移除或隐藏任何人。如果有什么需要处理，由人来处理，而能触达到人的途径是第8节中的举报途径。
每次会话一个答案：数据库本身只允许一个人对一次会话给出一个答案。再次回答会替换你的答案，而不是新增一个。当你删除账号时，你的答案不会被删除，因为它们可以保护下一个见到同一个人的人。它们在180天后不再计入，并在约会之日起两年后删除。
如果你也告诉我们发生了什么：在回答“感到不安”或“感到不安全”后，你可以用自己的话描述这次约会。这会作为对你所见之人的举报保存，连同你选择的原因、对应的安全约会，以及你是否同意我们联系你。我们的版主会阅读。对方不会知道是谁举报了他们，也不会知道写了什么。
单独的推荐，只有正面：只有在一次感觉良好的约会之后，你才可以选择推荐你见到的人。只有当你们两人在这次安全约会开始之前就已经匹配，推荐才会计入。这是一个与上面不同的问题，并单独保存：谁在哪次安全约会后推荐了谁。当至少三位不同的人推荐了某人，其资料会显示一个小徽章。没有人会知道是谁推荐了自己或有多少人推荐，永远不会显示任何负面内容，上面的安全回答也从不计入其中。推荐会随任一账号一起删除。

1.5 测试版期间的诊断记录

在本应用处于测试版期间，我们会记录一条它如何被使用的轨迹，以便有人报告的故障可以被还原，而不是靠猜。它保存的是打开了哪个页面、尝试了哪个操作、成功还是失败、耗时多久、你的应用版本，以及对我们服务器的请求所涉及的接口、操作、方法和响应码。它从不保存消息内容、坐标或身份验证令牌。它与你的账号关联。一项在本应用使用期间运行的清理会移除超过七天的记录，而属于你的整条轨迹会在你删除账号时被移除。测试版结束时，这项收集会被关闭，本节也随之取消。

1.6 每日一问

回答每日一问是自愿的。每个问题都有四个答案可供选择，不需要输入任何文字。

我们保存的内容：你为每个问题选择的答案，以及你选择它的时间。以前的问题也可以回答；如果你更改了某个答案，我们会保留更改之前的那个答案。
在你的资料上：你的答案显示在“我的看法”下，所有能看到你资料的人都能看到，每个人看到的都是自己的语言，同时还会显示你们两人有多少个相同的答案。屏蔽了对方或被对方屏蔽的人看不到这些答案，而仅守护者账号（第1.7节）的答案不会向任何人显示。
大家是怎么回答的：当一个问题至少有五个人回答过之后，你在自己回答了这个问题后，就可以看到选择每个答案的人各占多少比例。其中不包含任何名字。
“和我答案一样的人”和“AI 配对”：这两个列表显示与你居住在同一国家、答案与你相符的人，最相似的排在最前面，“AI 配对”还会以百分比显示相同答案所占的比例。只有已完成约会资料并且可以被找到的人才会出现在其中，双方在各自寻找的性别和年龄上必须互相符合，屏蔽了对方或被对方屏蔽的人都不会出现。你也会以同样的方式出现在其他人的列表中，显示你的名字、你的年龄（如果你选择显示）、按照与你资料相同的规则显示的照片，以及你们有多少个相同的答案。
没有任何 AI 处理你的答案：尽管名称如此，“AI 配对”目前只是对相同答案的计数，在我们自己的服务器上计算得出。如果将来加入与某个 AI 服务进行的访谈，本政策会在它开始之前对其作出说明，并写明是哪项服务以及它会收到什么。
话题：没有任何问题涉及健康、宗教、政治、性取向或族裔。你的答案会随你的账号一起删除，并包含在你的数据副本中。

1.7 仅守护者账号

被邀请担任某人安全约会守护者的人，可以只为此而加入，无需约会资料。这样的账号保存用于登录的 Google 账号信息、名字、出生日期（以便年满18岁的核查仍然适用）和性别、居住国家、登录记录以及通知令牌。它没有照片，也没有约会资料，绝不会出现在雷达、火花、约会列表或每日一问的列表中。邀请它的人会在自己的守护者列表中看到它的名字。如果该账号的主人以后创建了约会资料，本政策的其余部分就会像对其他任何人一样适用于其本人。

1.8 语音通话和视频通话

在网络允许时，通话会把两台设备直接连接起来，否则会通过我们位于德国的自有服务器上的中继进行。无论哪种方式，声音和画面在传输过程中都由通话技术本身加密，我们不会录制或存储它们。直接连接意味着每台设备都会得知另一台设备的 IP 地址。我们会保存每次通话的记录：谁呼叫了谁、是语音还是视频、何时开始、是否被接听、持续了多久以及如何结束，你的聊天中也会出现一行关于这次通话的简短信息。用于建立连接的技术细节（其中包括网络地址）会在一天后删除。通话记录会在任何一方的账号被删除时一并删除。

1.9 网页版

本政策中的所有内容同样适用于本应用位于 app.nearbylove.app 的网页版。网页版面向已经拥有账号的人，无法在那里创建账号。在浏览器中，有几件事的运作方式有所不同：

登录：登录页面会从 accounts.google.com 加载 Google 的登录脚本，每当该脚本运行时，Google 都会收到它通常会收到的内容，并适用 Google 自己的隐私政策。
你的浏览器保存的内容：你的登录令牌、你的语言、你的账号是否为仅守护者账号、位置权限请求的状态，以及一个用于隐私网格的随机值，会保存在你浏览器的本地存储中，这样你就能保持登录状态，本应用下次也会以同样的方式运作。我们不使用广告 Cookie 或跟踪 Cookie。
位置：网页版只为 IT'S A DATE! 向你的浏览器请求位置，并且在发送任何内容之前，就在浏览器内把它吸附到隐私网格上，与手机的做法完全相同。安全约会中使用精确位置的部分仍然只在手机上。
登录记录：从网页版登录时，随登录记录保存的设备描述是你的浏览器的描述。

1.10 先笑再看脸

在这项功能中，两位彼此匹配的用户会被实时、匿名地配对。每一方都只能看到对方的回答和消息，看不到任何名字、照片或资料，除非双方都选择揭晓。我们会保存谁在何时与谁配对、问题、两份回答以及消息，其中回答和消息与其他消息一样加密保存。回答和消息中不接受电话号码、电子邮件地址和链接。如果双方都选择揭晓，对话会被复制到双方之间的普通聊天中。否则，回答和消息会在对话结束24小时后删除，但被举报的对话除外，它会一直保留到举报处理完毕为止。当没有相匹配的人在等待时，与等待者相匹配的用户可能会收到一条推送通知，告诉他们有人在等着一起笑，最多每四小时一次，而且只在他们所在国家的白天发送。

2. 我们如何使用你的信息

我们使用收集的信息来：

创建和维护你的账户。
根据相互偏好和距离向其他用户展示你的个人资料。
启用匹配、消息和社交功能。
提供基于位置的服务（雷达、火花模式、安全约会）。
发送推送通知：消息、配对请求和配对、火花、安全约会和安全警报、通话、账号通知、每周一次在雷达之夜前不久发送的提醒（按你居住国家的当地时间安排），以及每天最多一条提醒，在你当地时间的白天发送，内容是有请求或聊天在等你回复，每一项只提醒一次。在“设置”的“我想接收的通知”中，你可以关闭消息、请求和配对、火花、提醒以及雷达之夜。安全警报、通话和账号通知无法关闭。在“我想接收的通知”中，也可以关闭“先笑再看脸”（第1.10节）的“有人在等着和你一起笑”推送通知。
确保用户的安全和保障。
改进和优化应用的性能和功能。
遵守法律义务。
在照片发布之前对其进行审核，并对审核发现的问题采取行动。
核查并执行18岁的最低年龄要求，并审理针对年龄封停的申诉。
调查举报和屏蔽，并对它们所反映的情况采取行动。
向主管机关和接收此类报告的机构报告儿童性虐待材料，并为他们保全该材料及其周边记录。
只有我们自己的广告：应用可能会显示一张卡片，介绍 NearbyLove 开发者的书籍和应用。不涉及任何广告网络或其他公司，也不会为此与任何人分享你的任何信息。显示哪张卡片取决于应用语言和你的连接所在的国家。我们只统计每张卡片每天被显示、打开或隐藏的次数，不记录是谁。付费订阅用户不会看到这些卡片。
谁可以加入：NearbyLove 逐个国家开放。我们根据你连接的 IP 地址所在国家/地区以及你填写的国家/地区来决定能否创建账户。如果不能，我们只为该国家/地区计数一次尝试，不记录任何关于你的信息。
营销信息：我们只发送给已同意的人，并标注为广告，每条信息都会说明如何停止接收。你可以随时在“设置”中关闭。关于你自己账户和活动的服务通知不属于营销。

3. 我们如何分享你的信息

我们仅在以下情况下分享你的信息：

与其他用户：根据你的隐私设置和相互偏好，你的个人资料信息（不包括精确位置）对其他用户可见。消息仅与预期接收者分享。如果你是在上线期间加入的，你的资料会向其他人显示创始会员徽章。
安全约会守护者：当你开启一次安全约会会话时，你的真实位置会发送给你指定的守护者，不对它施加任何隐私网格，并且在会话运行期间大约每三十秒刷新一次。本应用刻意向你的手机索取它能给出的最精确定位，因为一个落在街区另一侧的点，对试图赶到你身边的人毫无用处。守护者还会被展示你的姓名和照片、你填写的见面地点和时间、你所说的要见的人的姓名、你的电话号码和紧急号码（如果你填写了它们），以及你的签到是否已超时。把这一切送到你守护者的手机上，意味着它要经过 Google 的推送通知服务和我们的实时消息服务商，两者都列在第9节中。这是本应用中唯一一处会向另一个人展示你真正所在位置的地方。它只在你自己开启的会话期间发生，而且只对你选定的守护者发生。会话结束后，你的守护者就不能再看到它，但有一个例外你应当知道：已进入紧急状态的会话不会自行关闭。它会连同你的位置对你的守护者保持开启，直到你签到或结束它。
服务提供商：我们使用第三方服务来运营应用：
- Firebase Cloud Messaging（Google）用于推送通知
- Google 登录，用于身份验证。你的登录令牌通常在我们自己的服务器上对照 Google 公布的密钥进行校验，所以有效的令牌绝不会离开我们的服务器。如果该校验失败，令牌会在你被拒之门外之前发送给 Google 进行校验，这样我们这边的故障就不会把你锁在你自己的账号之外。
- Project Arachnid Shield，由加拿大儿童保护中心运营，用于第1.3节所述的照片指纹比对。它接收一张照片的32字节指纹，除此之外什么也不接收。
- Google Firebase Cloud Messaging，用于推送通知。它接收设备令牌、一条通知的标题和正文，以及它的数据负载。对于一次安全约会升级处理，该负载包含你的姓名、见面地点文本、你所说的要见的人的姓名，以及你的真实坐标。
- Hostinger，用于发送我们的电子邮件：守护者邀请以及我们对联系表单的回复。它接收收件人的电子邮件地址和该邮件的内容。
法律要求：如果法律、法规、法律程序或政府要求，我们可能会披露信息。
安全：我们可能会分享信息以保护用户或公众的安全。
安全约会期间的自动升级处理：我们服务器上的一个任务每隔一两分钟检查运行中的会话。如果你错过一次签到，你的守护者会被告知。在超时约七分钟时，他会收到一条包含你最后已知位置的紧急警报，而该警报会在会话持续无人回应期间，于约十五、三十、六十和一百二十分钟时重复。这一切在你什么都不做的情况下发生，这正是它的意义所在。它取决于你的手机曾有信号上报过一个位置、该警报送达你的守护者，以及你的守护者对它采取行动。我们不承诺安全。我们提供一个可以在这方面帮上忙的工具，而它只能做到一部手机和一条网络连接所允许的事。
儿童安全报告：凡是被识别出的儿童性虐待材料，我们都会连同与之关联的账号信息，一并报告给执法机关和接收此类报告的机构，并为他们保全该材料及其周边记录。无论是否有人要求我们这样做，我们都会这样做。我们完整的儿童安全标准载于儿童安全页面。

我们不会将你的个人信息出售给第三方。

你的信息存放在哪里

我们的服务器在德国，位于 Hetzner，你的账号、你的照片和你的消息都存储在那里。本应用从以色列运营和管理。第9节中列出的若干服务又分布在其他地方。Google 在全球运营，承载我们的推送通知，一条警报正是这样送达一部手机的；在一次安全约会升级处理期间，该通知会携带你的姓名、你填写的见面详情和你的真实坐标。实时事件（新消息、请求，以及在一次安全约会升级处理期间你的姓名和你的真实坐标）在我们自己的服务器上运行，而不是在外部服务上。第1.3节所述的照片指纹比对由一项在加拿大运营的服务作答。我们的电子邮件通过 Hostinger 发送。地图瓦片由我们的服务器获取，而不是由你的手机获取。如果你从任何其他国家使用本应用，你的信息会被传输到这些地方并在那里处理。除了我们自己的服务器之外，我们在任何地方都不保存用户数据库。我们自己的服务器还传递语音和视频通话的建立信息，其中包括双方设备的网络（IP）地址。

4. 位置隐私

我们非常重视你的位置隐私：

存储的坐标会被吸附到固定隐私网格单元的中心，而不是随机偏移。使用默认的 250 米网格时，存储点距离你的真实位置最多约 177 米，平均约 96 米。由于同一地点始终给出同一个点，重复读数无法通过求平均来缩小范围。
如果你想要更精细的网格：你可以选择100米的网格来代替默认的250米，这会让你更精确地被找到。打开火花模式会采用更精细的网格，因为没有它，火花就无法判断某人是否真的很近，而且这适用于你在本应用中各处的位置，不仅仅是在火花中。如果你先前已经在雷达页面自己设置过网格，打开火花会清除那个较早的选择，好让更精细的网格生效。本应用会在这件事发生的当下告知你，而火花页面有它自己的开关，你可以关掉它以留在较宽的网格上。之后你也可以自己把网格改回来。
你的精确 GPS 坐标绝不会通过发现、匹配或聊天展示给另一位用户。唯一会被展示它们的人，是你在自己开启的会话期间选定的安全约会守护者。见第3节。
其他用户只能看到大致距离（例如「500米外」）。
你可以随时关闭雷达以停止位置分享。
只在有东西在运行时：只有在你开启的某个会话运行期间才会收集你的位置，无论那是一个雷达会话、一次 VibeSwipe 或 ITS A DATE 会话，还是一次安全约会。在其他任何时候都不收集它。
就雷达和发现而言，降精度是在你的手机上、在任何数据发出之前完成的，所以你的精确坐标根本不会到达我们的服务器。有两个例外，而且它们并不相同。火花会发送你的实际坐标，以便在那一刻算出一段短距离；这些坐标不会被存储，也不会展示给任何其他用户，下文对它有描述。安全约会会在安全约会进行期间把你的真实位置发送给另一个人，也就是你选定的守护者，我们的服务器会在安全约会结束7天后将其删除，如果触发过紧急情况，则在结束30天后删除；第3节对它有描述。

后台位置信息

当你开始雷达会话并保持「后台搜索」开关开启时（默认开启，可随时关闭），应用会在后台定期收集你的设备位置（约每5分钟一次）并发送到我们的服务器。这样在会话期间，即使应用不在屏幕上，附近的用户也能继续发现你。

仅在会话进行期间：后台位置信息仅在你自己启动的限时雷达会话期间收集。会话计时结束或关闭开关后，后台收集即停止。
常驻通知：后台位置收集运行期间，系统通知会始终显示，让你随时知道它处于活动状态。
隐私偏移：你的精确位置从不向其他用户显示。显示的是固定隐私网格上的一个点，在默认设置下距离你的真实位置最多约 177 米。
安全且绝不出售：后台位置数据通过加密连接（HTTPS）传输，不会出售或与第三方共享。
你的控制权：你可以随时关闭后台搜索开关、停止雷达会话，或在设备系统设置中撤销位置权限。
保留：最后上报的位置只在会话到期之前对附近的用户可见，之后它会被你下一次会话的数据替换。存储的坐标由一项每天运行一次的处理从会话记录中清除，条件是该会话已超过一天。记录行本身会被保留但不含它们，这样你自己的会话计数和统计数据不会在你不知情的情况下发生变化。

火花模式

火花模式是一项可选功能，默认关闭。当另一位同样开启了火花模式的合适用户在你的雷达会话进行期间从你附近经过时，该功能会通知你。

仅限主动开启：Spark 检测仅在你有进行中的雷达会话且已开启火花模式时运行。停止雷达会自动关闭火花模式。
瞬时使用精确位置：为了准确检测短距离相遇，你的设备会发送真实坐标用于邻近度计算。这些坐标仅用于实时计算距离，不会被存储。保存在我们服务器上并向其他用户展示的位置，仍是经过隐私偏移处理的位置。
对方会收到什么：当 Spark 发生时，双方都会收到通知。对方会看到你部分隐藏的昵称（仅前两个字符）、年龄、性别、四舍五入到 10 米的大致距离，以及你的主照片（除非你选择在本次会话中隐藏照片）。你的精确位置绝不会被分享。
火花记录：我们保留火花事件的记录，即涉及的两个人、一个大致距离和时间，以便你的火花历史能够工作，也以便提醒被限制在每人每24小时最多一次。该距离由同一项每日处理在记录超过一天后清除。关于一次火花发生过以及何时发生的记录，会留在你的历史中，直到你或对方删除他的账号，届时它随账号一起消失。
你的控制权：你可以随时在雷达屏幕上关闭火花模式，它绝不会自行开启。
更密的网格：Spark 使用 100 米的隐私网格，而不是通常的 250 米，以便判断有人是否真的就在附近。此设置适用于你在整个应用中的位置，不仅仅是 Spark。开启 Spark 时应用会告知你，你也可以随时改回。
夜店模式：可选的时间窗口，把 Spark 缩小到约 50 米，只覆盖一个地点而不是整条街。三小时后自动关闭，你离开时也可以立即关掉。

邻近检测无法承诺的事。Spark 和雷达报告的是大致的邻近程度，并不保证检测到。卫星定位在室内、地下室和高楼之间明显不准确，而隐私网格在设计上又增加了一层容差。同一个房间里的两个人可能完全检测不到，而检测到也不代表对方就在显示的距离上。请勿依赖这些功能来判断他人身在何处或不在何处。

5. 数据保留

账户数据：在你的账户处于活跃状态期间保留。
消息：存储在我们的服务器上并同步到你的设备。删除一条消息会把它从你这一侧的对话中隐藏，隐藏一个对话会把它从你的列表中移除；两者都不会把消息从我们的服务器上抹除，对方也保留着他自己的副本。你发送过的一切会在你删除账号时被抹除。
位置数据：会话一结束，坐标就不再展示给任何人。一项处理每天运行一次，在会话超过一天后把它们从会话记录中清除，同时保留记录行本身，这样你的会话计数和统计数据不会在你不知情的情况下发生变化。安全约会的坐标是你的真实位置，并被刻意保留更久：同一项每日处理会在会话超过七天后清除它们，如果会话期间触发过紧急情况，则在超过三十天后清除，因为见面地点和最后已知位置正是日后有人回过头来询问发生了什么时最重要的两个事实。任何时候都不会记录逐分钟的移动轨迹。
语音录音：在你的个人资料处于活跃状态期间保留，或直到你删除它们。
语音约会介绍：在用户删除之前保持有效。
账号删除：删除你的账号是立即生效的。它不是一项带等待期的申请。在一次事务中，我们移除你的资料、你的照片、你的语音录音和语音介绍、你的消息、你的匹配和匹配请求、你的屏蔽、你的会话及其位置数据、你的守护者和守护者邀请、你的推荐记录、你的通知令牌、你的登录记录，以及你的测试版诊断轨迹，随后你上传的文件会立即从磁盘删除。有三样东西会留存下来，这三样你都应当知道。数据库备份会被保留，一个任务会在每份备份满十四天时将其删除，所以你的数据副本可能在备份中保留这么久。备份文件本身未加密。其中的消息正文是加密的，因为它们在数据库中就是加密的。一些安全记录会在你删除账号后保留，每一项只保留其用途所需的时长：未满18岁的年龄声明，保留到作出声明的人将年满18岁之时；照片审核的结果，保留一年；被扣下或被拒绝的照片，保留到对其作出决定后30天；申诉及其结果，保留到决定作出后一年；你在一次安全约会之后给出的回答，保留两年（第1.4节）；以及你提交的举报，在去除你的直接账号标识符后，保留到案件结案后两年。已声明的成年年龄会随账号一起删除。保留它们是为了能够解释一项决定，也为了我们能够回应关于某起事件的合法请求。你发给我们的支持留言同样会被保留，包括你写信时填写的姓名和电子邮件地址，只移除与你账号的关联，并在我们与你最后一次联系24个月后删除。
照片审核记录：每次审核的分数、指纹和结果都会被保留，以便可以向你解释一项决定，也以便这些阈值可以对照真实上传来检验，而不是凭直觉。被扣下或被拒绝的照片会留在私有隔离区，其他用户在那里看不到它，直到有人放行它或删除它，最长保留到该决定作出后30天；审核记录本身在一年后删除。匹配到已知儿童性虐待材料的照片，只在其被报告给的机关要求或请求的期限内保留在那里。未被报告的有害虐待性材料，只在复核和任何申诉需要的期间内保留：如果复核未作出不利决定，它会在复核后30天内删除，否则在申诉期结束或申诉作出裁定时删除，并且无论如何不晚于决定作出后六个日历月，除非存在法律保全要求。不含图像的匹配记录在匹配一年后删除。这些记录不是通过数据库关联挂在你的账号上的，所以当你删除账号时它们不会被移除。它们确实仍然记录了是哪个账号上传了该照片。
年龄与安全记录：年龄声明，以及申诉及其结果，在账号存在期间会被保留，账号不在之后也会被保留，以便可以解释一项决定，也以便我们能够回应关于某起事件的合法请求。它们绝不会展示给另一位用户。
诊断轨迹：测试版诊断记录在超过七天后会被清除，如果你删除账号，它们会随账号一起被移除，而测试版结束时这项收集会完全停止。
加入申请：被拒绝的申请在决定后 90 天删除，未答复或未使用的申请在 180 天后删除，已成为账号的申请在账号创建 30 天后删除。删除该账号会立即删除它。
举报：关于你的举报以及你对其他用户提交的举报，可能会在我们结案后保留两年。如果你删除账号，你的直接账号标识符会从你提交的举报中移除，这些举报也不再与你的账号关联，这样安全记录不会仅仅因为举报账号被删除而消失。只有在正在进行的调查、法律主张或其他法律义务要求时，举报才可能被保留更久。
国家/地区和信息选择：在你的账户存在期间保存，并随账户一起删除。
答案、通话和提醒：你对每日一问的回答、你的通话记录、你的通知选择以及我们向你发送提醒的记录，会在你的账号存在期间一直保留，并随账号一起删除。
联系表单留言：在我们就该请求与你最后一次联系满24个月后删除；如果此后没有进一步联系，则在收到满24个月后删除。
安全与登录记录：属于我们必需的访问与安全日志一部分的安全和管理审计记录，至少保留24个月。登录会话记录（会话的设备和网络地址）在会话结束90天后删除。
会员之间的消息：在双方账号都存在期间保留，以便双方都能看到他们的对话，并在任一账号被删除时删除。因举报、安全事件、法律义务或纠纷而单独保留的消息或摘录，遵循该记录的保留期限。
合作咨询：如果你询问在你所在的国家推出 NearbyLove，我们会保留你在表单中发送的内容，包括你的姓名、电子邮件、国家以及你写下的关于你自己或你的提议的任何内容，以便我们回复你并与你商谈。我们不会将其用于任何其他用途。我们会在就此事与你最后一次联系24个月后将其删除，如果你要求，也可以更早删除：你可以随时通过联系表单写信给我们，我们会照办，除非法律要求我们保留。

6. 数据安全

我们采取适当的安全措施来保护你的数据：

所有通信使用 HTTPS/TLS 加密。
认证令牌（JWT）在24小时后过期，并配有安全刷新机制。
设备上的敏感数据使用平台特定的安全存储进行存储。
可使用生物识别认证（指纹、Face ID）提供额外安全保障。
所有 API 端点都有速率限制和暴力破解保护。
通过参数化查询防止 SQL 注入。
私人消息的正文及其主题行在存储处使用 AES-256-GCM 加密，密钥保存在应用的配置文件之外，也在数据库备份之外，这样被窃取的数据库副本不会连同打开它的密钥一起被拿走。这不是端到端加密。我们的服务器持有密钥并且可以读取消息，正是这一点使我们能够对关于某条消息的举报采取行动。在聊天中发送的照片和语音留言以文件形式存储，不以这种方式加密。请不要把本应用当作一条保密渠道。

7. 你的权利

根据你所在的位置，你可能拥有以下权利：

访问：你可以在“设置”中通过“获取我的数据副本”获得我们持有的关于你的大部分个人数据的副本，每天最多三次。副本在你提出请求时生成，并在本应用内交给你，如果你的手机支持，会先进行指纹或面部验证，这样你可以把它保存在手机上，或发送到你选择的地方。它不会通过电子邮件发送，我们也不保留该文件的任何副本。为了保护作出这些记录的人，少数安全记录不包含在副本中，例如关于你的举报以及其他人给出的关于你的安全回答，副本中会说明是哪些。如需提出完整的访问请求，或者你希望以其他方式获取副本，请通过本网站上的联系表单写信给我们。
更正：通过个人资料设置更新或更正不准确的数据。
删除：你可以随时在本应用内删除你的账号，并且立即生效。第5节确切列出了哪些被移除、哪些被保留。
可携带性：该副本是一个机器可读的文件（JSON）。你以同样的方式获取它。
撤回同意：随时通过设备设置撤销位置权限或其他同意。
反对：反对对你数据的某些处理。

我们如何处理一项请求。本应用由一个人运营。请通过本网站上的联系表单发送你的请求，这是能联系到我们的途径。请求按顺序逐一处理，而任何涉及儿童安全或某人人身安全的事项会被排到这个顺序的最前面。我们不会白纸黑字写下一个人守不住的期限，所以我们不承诺具体的天数。我们的外发邮件目前还不能用，所以请在你的请求中说明我们可以如何把答复送到你手里。

自动化决定

有些事情会在没有人先行查看的情况下发生在你的账号上。一张照片可能被第1.3节所述的审核扣下或拒绝。如果两次声明了未满18岁的年龄，账号会被自动封停；如果在九十天内有三个不同的人举报它未满18岁，也会被自动封停。如果从某个账号上传的照片匹配到已知的儿童性虐待材料，该账号也会被立即关闭；如果匹配的是被标记为有害但不一定违法的材料，则账号会被封停，直到有人复核为止（第1.3节）。你会被展示哪些资料同样是自动产生的，依据是你的偏好和他们的偏好、你陈述的属性以及你们的大致距离，并按距离由近及远排序，绝不按某种评分排序。本应用确实会根据你们双方填写的生活方式答案，算出你与你看到的每一份资料之间的契合度百分比。它在你查看的那一刻计算，展示给你，不存储在任何地方，也不决定谁出现或以什么顺序出现。在上述每一种情况下，都可以由人再看一次：被扣下的照片会进入一个由人逐一处理的队列，而封停可以在本应用内申诉，这会把它送到人的面前。如果你希望某个自动化结果由人复核，请通过联系表单写信告诉我们。

以上说的是雷达。有两个列表的运作方式不同：“和我答案一样的人”和“AI 配对”会把对每日一问的回答与你相同次数最多的人排在最前面，“AI 配对”还会以百分比显示这一点。这只是对相同答案的计数，不是对任何人的预测，它只决定一个由你自己选择打开的列表的顺序。

欧盟/欧洲经济区居民（GDPR）

如果《通用数据保护条例》适用于你，因为你在欧盟或欧洲经济区，那么上面列出的权利按该条例的规定适用于你，而你提出的请求会与我们处理任何其他请求的方式完全相同。我们的服务器在德国。我们处理数据的依据是你的同意，就位置和可选功能而言，以及提供你所请求的服务和保障使用者安全的必要性。你也可以向你所居住国家的数据保护机关提出关切。我们没有在欧盟指定代表，也没有数据保护官，因为本应用由一个人运营。这是关于我们的一个事实，它不会减少你拥有的任何权利。

加州居民（CCPA）

如果你是加利福尼亚州居民，上面列出的权利适用于你：你可以询问我们持有关于你的什么信息、要求删除它，并要求我们停止。我们不出售个人信息，也不为跨情境广告而分享个人信息。不存在我们出售或分享过的任何类别的个人信息，我们也从未因任何人的数据收取过任何款项。

8. 儿童隐私

NearbyLove 面向成年人，不适用于任何未满18岁的人。账号只能通过 Google 登录创建，所以没有匿名的入口。在资料设置过程中你必须填写出生日期。使你未满18岁的日期会被拒绝，你声明的年龄会被记录，只记录年龄，绝不记录你填写的日期。第二次这样的声明会使账号被封停，交由真人查看，而不是当场删除它，因为一个打错的日期不应该让某个人失去账号且无路可回。凡确认用户未满18岁的，我们会移除该账号及其内容。我们保留一条极少量的记录，表明曾作出过一次年龄声明，这样它就无法从账号内部被编辑掉，也让我们在被问及时能够说明我们做了什么，而这条记录不会在账号被删除时移除。如果你认为有未成年人在使用我们的应用，请立即联系我们。 support@nearbylove.app.

9. 第三方服务

本应用依赖下列第三方服务，每一项都有它自己的隐私政策。第3节说明每一项实际从我们这里接收什么。

Hetzner（德国托管，服务器及其备份所在地）: Hetzner Privacy Policy
Google（登录，以及通过 Firebase 的推送通知）: Google Privacy Policy
Hostinger（发送我们的电子邮件：守护者邀请以及对联系表单的回复）: Hostinger Privacy Policy
加拿大儿童保护中心，Project Arachnid Shield（照片指纹比对）: Canadian Centre for Child Protection
OpenStreetMap（地图瓦片，由我们的服务器获取，而不是由你的手机获取）: OpenStreetMap Privacy Policy
我们还使用技术性的可用性监控服务，这些服务不接收用户的个人数据。

10. 政策变更

我们可能会不时更新本隐私政策。我们将通过应用或电子邮件通知你重大变更。变更发布后你继续使用应用即表示接受更新后的政策。

11. 联系我们

如果你对本隐私政策或我们的数据实践有疑问，请联系我们：

电子邮件： support@nearbylove.app
网站： https://nearbylove.app