隐私政策 — Community Network

一、简介及文件状况

本隐私政策（“政策”）描述了Community Network（“公司”、“我们”）如何处理Community Network平台（“平台”）用户的个人数据。平台网址为 www.communitynet.app。本政策适用于所有产品、移动应用程序、网站、API、通知和其他服务，无论进入域如何。本政策是服务条款不可分割的一部分。条款中规定的所有责任限制同样适用于个人数据的处理。数据控制者：Global Data Labs LLC（“公司”）。某些处理可能由关联公司执行；名单和角色在第 9 节中披露。数据保护官 (DPO)：隐私 @communitynet.app / dpo@communitynet.app。欧盟代表（GDPR 第 27 条）和英国代表（UK-GDPR）将在超过适用门槛后任命；当前详细信息发布在网站的/legal/ 部分。本政策同时符合：俄罗斯联邦法律 152-FZ（以及关于本地化和 Roskomnadzor 命令的 242-FZ）、GDPR（欧盟）、UK-GDPR 和 2018 年数据保护法、CCPA/CPRA 以及弗吉尼亚州、科罗拉多州、康涅狄格州、犹他州、德克萨斯州、俄勒冈州、蒙大拿州的综合法律； NY GBL 第 394-c/cc/ccc 条（约会服务的特殊要求）；盾牌法； COPPA（关于年龄限制）； LGPD（巴西）； PIPEDA（加拿大）； FADP/nLPD（瑞士）。

2. 角色分配：控制器/处理器二元性

轮廓 1 — 用户自己的数据。对于用户在注册和使用平台时个人自愿提供的个人数据（个人资料、用户照片、匹配信息、支付数据、账户内容），本公司作为独立的数据控制者。轮廓 2 — 用户上传的第三方数据。对于用户主动在平台上上传或发布的第三方数据（其他个人的照片、联系人、活动受邀者名单、企业账户工作人员的描述、社区成员的简历和图片），适用以下模型： ——用户是此类数据的主要控制者； — 公司代表用户充当处理者（在 GDPR 第 28 条和 152-FZ 第 6 条第 3 部分的含义内）； ——用户对具有合法依据、取得同意并履行信息义务的数据主体和监管机构承担全部责任。等值线 3 — 管理和技术数据。对于自动收集的技术数据（日志、安全日志、会话元数据、欺诈防护），公司是基于确保信息安全的合法利益的独立控制者。

3. 处理数据的类别

注册和身份数据：电子邮件、用户名/displayId、姓名，以及您提供的电话号码。出生日期、性别和关系状态是可选资料，并非创建或使用账号的必要条件。个人资料、偏好和社交数据：头像、简介、兴趣、技能、专业、职业、城市，以及在相应功能可用时提供的约会和社交目标或偏好、自愿提供的社交媒体链接、联系人、社区与活动参与、点赞、匹配、邀请、建立联系的决定和二度人脉信息。功能及决定标签因客户端平台和地区而异。普通头像是用户选择用于个人资料、社区和社交展示的图像。Community Network 不对头像进行人脸检测或识别，也不从中生成或保留面部关键点、几何数据、向量嵌入、生物识别模板或人脸标识符。头像保存在 Community Network 媒体存储中，按资料和隐私设置展示，并通过删除个人资料媒体或删除账号流程移除。上传图像可能含有人脸，并可能发送给 OpenAI 进行内容安全分类，而非身份识别。第 21 节说明相关处理、接收方、保留和控制措施。可选身份验证（KYC）仅在原生 iOS 以外提供，包括提供该功能的网页端和 Android。若您选择验证，Sumsub 可能收集身份证件图像和提取的信息、实时自拍或视频、面部图像及特征、用于活体检测和人脸比对的生物识别模板、IP 地址、设备和技术数据及验证结果。证件图像、实时自拍／视频和生物识别模板直接传输给 Sumsub 并由其保存，而非 Community Network。Community Network 保存申请人标识符、审核状态／结果、时间戳、标签、评论和提供商的审核事件数据，其中不包含证件图像、自拍／视频或人脸模板。历史人工自拍验证材料如仍存在，是由 Community Network 私密保存、供人工审核的独立图像；它们不是原生 iOS 功能，详见第 21 节。通信数据：消息、语音消息、聊天图片、消息元数据、音视频通话的发生及持续时间（不录制内容）、回应、评论和社区帖子。使用数据：访问和互动记录、点赞、匹配、邀请、建立联系的决定、联系人、收藏、社区和活动参与以及搜索设置。技术和设备数据：IP 地址、浏览器类型和版本、操作系统、设备品牌和型号、广告标识符（仅经同意）、连接数据、时区、语言和 Cookie。位置数据：基于 IP 的大致位置（合法利益）；精确位置（GPS/Wi-Fi）仅经明确同意，且可随时撤回。在地图上开启共享后，我们仅保存最新位置，24 小时后过期，关闭共享时删除。您自己已接受的签到和明确点击“我的位置”还会为始终启用的地图迷雾生成约 300–600 米区域标识符，不含原始坐标、时间或顺序。该明确操作仅发送粗略标识符，而非设备精确位置。迷雾记录跨会话保留，删除账号时清除。付款数据：公司不保存完整银行卡信息，由持牌支付商按 PCI DSS 处理；我们保存交易事实、金额、币种、状态、交易标识符及掩码显示的卡号后四位。心理测试数据：用于自我认识、匹配推荐和个性化的可选结果，并非医疗数据。社交评分数据：综合评分（0–100）、等级、各项指标（资料完整性、验证、活跃度、公众声誉、人脉信任、心理特征）及对公开信息的自动评估结果。用户上传的第三方数据（范围 2）：为作为控制者的用户之利益处理，并由其承担责任。

4. 处理目的

每个目的都有合法依据支持（参见第 5 节）。我们不会将数据用于与下列目的不相符的目的。服务提供：帐户创建和维护、身份验证、算法匹配和推荐、活动组织、消息传递、呼叫、帖子。个性化：界面设置、相关内容和推荐匹配、搜索排名。通信：交易通知（新比赛、消息、活动注册）、系统通知（安全、条款变更）、罕见的信息电子邮件（严格征得同意）。安全和反欺诈：身份验证、欺诈预防、反垃圾邮件、违规检测、防止机器人和抓取。分析和产品改进：聚合和匿名使用分析、A/B 测试、技术问题检测。法律合规性：响应当局的合法要求、税务和会计义务、反洗钱合规规范。 AI模型训练。公司可以使用公共内容进行培训和微调推荐和生成模型，但须遵守以下规定： — 您有无条件通过个人资料设置选择退出的权利； — 我们从不使用：私人消息内容、18岁以下用户的数据（平台上根本不允许）、特殊类别的个人数据、KYC数据； — 采用技术措施尽量减少重新识别风险。

5. 处理的合法依据

对于每个处理目的，适用的法律依据均在 GDPR 第 6 条和第 9 条（针对欧盟/欧洲经济区）、152-FZ 第 6 条和第 10 条（针对俄罗斯）以及其他司法管辖区的同等依据中指明。账户创建和服务提供：合同履行（GDPR 第 6(1)(b) 条 / 152-FZ 第 6(1) 条第 5 页）。身份验证：法律义务+合法利益（第 6(1)(c)、(f) 条）。安全、反欺诈：合法权益（第 6(1)(f) 条/152-FZ 第 6(1) 条第 7 页）。精确地理定位：同意（第 6(1)(a) 条）。心理测试：同意。营销传播：同意 + 152-FZ Art。 15. 分析 cookie：同意（适用于欧盟/英国）。绝对必要的cookie：合同履行。 AI 模型训练：选择退出的合法权益。遵守法律：法律义务。撤回同意。如果处理是基于同意的，您可以随时通过个人资料设置或通过发送电子邮件至privacy@communitynet.app 来撤回。撤回不会影响撤回之前进行的处理的合法性，并可能导致无法使用某些平台功能。

6.俄罗斯联邦特殊要求（152-FZ）

数据本地化。根据 152-FZ 第 18 条第 5 部分，公司确保使用位于俄罗斯联邦境内的数据库进行俄罗斯联邦公民个人数据的记录、系统化、积累、存储、更新和检索。 Roskomnadzor 通知。公司已向 Roskomnadzor 提交了处理个人数据的意向通知（在满足适用阈值的情况下）。详细信息可在运营商公共登记处获取。跨境转账。根据 152-FZ 第 12 条和 Roskomnadzor 2023 年 7 月 12 日第 128 号命令执行，仅限于为数据主体权利提供充分保护的国家，或经主体书面同意。同意分发数据（152-FZ 第 10.1 条）。通过将数据放置在平台的公共部分，用户明确同意其在隐私设置范围内的分发。违规通知。如果发生属于 152-FZ 第 21 条第 3.1 款规定的事件，公司将在发现后 24 小时内通知 Roskomnadzor，在 72 小时内提交有关内部调查结果的最终报告，并通知受影响的数据主体。

7. 欧洲经济区特殊要求（GDPR）

数据主体的权利：访问（第 15 条）、更正（第 16 条）、删除（第 17 条）、限制处理（第 18 条）、可移植性（第 20 条）、反对（第 21 条）、撤回同意（第 7(3) 条）、不受具有法律效力的完全自动决策的权利（第 22 条）。违规通知。公司在发现事件后 72 小时内通知主要监管机构，并在可能对其权利和自由造成高风险的情况下立即通知受影响的主体（第 33 条、第 34 条）。国际转账。欧洲经济区以外的转账基于： — 欧盟委员会的充分性决定； — 欧盟-美国美国数据隐私框架 (DPF)； — 标准合同条款（SCC）； — 具有约束力的公司规则（BCR）（如果有）； — 对司法管辖区的转移影响评估（TIA）不充分。向监管机构投诉。您有权向您经常居住地、工作单位或者涉嫌侵权行为所在地的监管部门提出投诉。

8. 美国特殊要求（CCPA/CPRA、各州、NY GBL）

数据的销售和共享。公司不会出售或共享 CCPA/CPRA 含义内的个人数据。来自美国的用户随时享有“请勿出售或分享我的个人信息”的权利 - 该链接位于页脚和帐户设置中。敏感个人信息 (SPI)：地理位置、可选健康数据（仅根据第 20 节在获得明确同意后处理）、性取向（如果由用户提供）、宗教/哲学信仰（不收集）、种族/族裔（不收集）、生物识别数据（仅由 KYC 提供商处理）、私人消息内容。用户有权通过账户设置限制SPI的使用。州居民权利：知情权、删除权、更正权、选择退出“销售/共享”的权利、限制 SPI 使用的权利、可移植性权利、行使权利时不受歧视的权利。纽约约会服务特殊要求（NY GBL §§ 394-c、394-cc、394-ccc）： — 公司对与首次在网上遇到的个人会面的风险做出显着警告； — 如果与之建立通信的其他用户随后因欺诈而被禁止（欺诈禁止通知），公司会通知该用户； — 未经用户明确书面同意，公司不会将个人识别信息转让给第三方，法律要求的除外。《神盾局法案》（纽约）网络安全计划。公司采取合理的管理、技术和物理保障措施来保护纽约居民的私人信息。

9. 与第三方共享数据

公司不出售个人数据，仅向有限接收方披露：其他平台用户按您的隐私设置查看公开资料。服务提供商（处理者）： — 基础设施：DigitalOcean（托管、Spaces）、AWS（备份）、Cloudflare（CDN、DDoS 防护）——美国／欧盟／俄罗斯（分区）； — 邮件：SendGrid / Mailgun / Postmark——美国、欧盟； — 推送：Firebase Cloud Messaging / Apple APNs——美国； — 短信：持牌网关——俄罗斯／欧盟／美国； — 原生 iOS 以外可用的 KYC：Sumsub（Sum and Substance Ltd. 及其分包处理者）处理证件、活体检测和人脸比对。原始证件和生物识别面部数据直接发送至 Sumsub；Community Network 保存验证元数据和审核事件数据，不保存该流程中的证件图像、自拍／视频或人脸模板。服务隐私声明：https://sumsub.com/privacy-notice-service/； — 支付：Stripe / ЮKassa——欧盟／美国／俄罗斯； — 分析：内部工具及仅经同意启用的 Google Analytics，IP 匿名化，保留 14 个月； — AI 模型（不用于训练）：OpenRouter、DeepSeek、OpenAI，用于 AI 聊天；提供商不将查询内容用于训练； — 内容安全：上传的文字和普通图像（可能含有人脸）可发送至 OpenAI 审核 API 以分类违禁内容。这独立于可选 AI 辅助，不进行身份比对。端到端加密的秘密聊天媒体和实时通话视频不发送至该审核服务。保留和用户控制见第 21 节。完整现行处理者名单：https://communitynet.app/processors。活动协办者仅获得举办您所报名活动必需的最少信息。执法机关和法院仅在合法请求且法律要求的范围内获得数据，每次披露均记入内部日志。重组、合并或资产出售时，数据转交继承方，至少提前 30 天通知用户。所有服务商均受合同（DPA、跨境传输 SCC）约束，保护程度不得低于本政策。相同或同等保护要求也适用于接收含人脸图像或生物识别面部数据的所有处理者，包括相关基础设施、内容审核及身份验证提供商，涵盖保密、用途限制、安全、保留和删除。

10. 数据保留

账号和个人资料数据在账号有效期间保留。删除账号后立即无法访问，直接标识信息被清除，其余账号记录在 30 天内永久删除。 Community Network 验证记录：申请人标识符、审核结果／状态和时间戳在账号有效期间保留，删除账号后 30 天内永久删除。 Sumsub 的原始 KYC 和面部数据：证件图像和数据、实时自拍／视频、面部特征及生物识别模板用于身份验证和防欺诈。收到账号删除或专门的 KYC 删除请求后，我们指示 Sumsub 删除；除非适用法律义务或有记录的法律保留要求更长时间，Sumsub 在 30 天内完成删除。流程见 https://sumsub.com/privacy-notice-service/。聊天通信和媒体在账号有效期间保留。删除账号后，已送达其他用户收件箱的消息仅可匿名保留；其他与账号关联的副本在 30 天删除流程中移除。运行备份在主要账号记录永久删除后 30 天内到期清除。付款数据依财税法律保留（通常为交易起 5 年）。安全和授权日志最多保留 12 个月，此后匿名化。反欺诈日志在检测重复滥用、提出或抗辩法律请求或遵守法律所需时最多保留 36 个月；其中不含 Community Network 保存的原始 KYC 图像或生物识别模板副本。汇总匿名分析可无限期保留，无法据此识别个人。退出 AI 训练后，数据不再进入后续训练周期；技术上无法从已训练模型中移除，但训练样本匿名化可降低风险。

11. 数据安全

公司采取了一系列分层措施：加密：传输中 TLS 1.2+，强制 HSTS；静态 AES-256（数据库、空间、备份）；通过 KMS 轮换管理密钥；密码 — Argon2id / bcrypt 加盐。访问控制：所有具有生产访问权限的员工都必须执行 MFA/2FA；最小特权原则；暴力破解和重放保护；密码恢复的动态控制字符串。监控：持续监控可疑活动；授权和行政操作的日志记录；定期安全审计和渗透测试；员工培训。备份：每日加密快照；地理上分散的存储；定期进行恢复训练。事件响应：24/7 待命，升级链；事件响应计划；在法定期限内向监管机构发出通知。担保的限制。尽管采取了这些措施，但没有一种通过互联网传输和存储数据的方法是绝对安全的。本公司不能保证绝对安全，并且对于用户或第三方超出其合理控制范围造成的事件不承担任何责任。

12. 用户权利及其行使方式

您对您的个人数据享有以下权利： — 访问：获取正在处理的数据的副本； ——纠正：要求纠正不准确或不完整的数据； — 删除：请求删除您的数据（依据合法保留理由）； ——处理限制； — 可移植性：以结构化、机器可读格式（JSON/CSV）接收数据； — 在处理基于同意的情况下撤回同意； — 反对基于合法利益的处理，包括分析； — 选择退出自动决策：请求人为干预具有法律效力的决策； — 向监管机构（Roskomnadzor、爱尔兰 DPC、英国 ICO、加州 CPPA 或您所在国家/地区的机构）投诉。如何行使权利。请求将发送至带有请求者身份的privacy@communitynet.app。公司在以下时间内回复： — 10 个工作日 — 对于俄罗斯公民提出的 152-FZ 请求； — 1 个月 — 针对 GDPR 请求（根据复杂程度可延长至 3 个月）； — 45 天 — 对于 CCPA/CPRA 请求（可延长 45 天）； ——其他适用的法定时间表。没有歧视。公司不会采取歧视性措施（涨价、降低质量、拒绝服务）来行使您的权利。帐户删除。可通过配置文件设置进行自助删除。删除后，数据将根据第 10 节中的时间表进行匿名/销毁，法律要求公司保留的数据除外。

13. Cookie 和类似技术

Cookie 政策中有详细描述：https://communitynet.app/cookies。摘要： — 绝对必要的 cookie 无需同意即可工作（身份验证、CSRF 保护）； — 功能性 — 经您同意（语言、主题）； — 分析 — 经您同意（匿名分析）； — 公司不使用广告 cookie。

14. 未成年人

该平台专供 18 岁及以上人士使用。公司不会故意收集或处理 18 岁以下人士的个人数据。在收到有关未成年人注册的可靠信息后，公司立即冻结该帐户，删除所有相关数据，并通知法定代表人和主管当局（如有必要）。发现未成年子女在平台上注册的父母和法律代表可以向隐私@communitynet.app提交立即删除帐户的请求。

15. 政策变更

我们可能会更改本政策。我们至少提前 14 天通过平台、推送通知和电子邮件通知重大变更。最后修订日期显示在文档顶部。以前版本的存档可根据隐私@communitynet.app 的请求提供。对于重大变更（处理目的的扩大、新的接收者、合法依据的变更），您将需要通过同意模式重新接受更新后的政策。拒绝接受将导致无法使用受影响的功能或整个平台。

16. 联系方式

数据保护官 (DPO)：隐私@communitynet.app / dpo@communitynet.app 欧盟代表：超过门槛后任命 — www.communitynet.app/legal/eu-representative 英国代表：超过门槛后任命公司：全球数据实验室有限责任公司平台： www.communitynet.app 监管机构： — 俄罗斯联邦：Roskomnadzor，rkn.gov.ru — 爱尔兰（欧盟主要监管机构）：数据保护委员会，dataprotect.ie — 英国：信息专员办公室，ico.org.uk — 加利福尼亚州：加利福尼亚州隐私保护局，cppa.ca.gov

17. 短信通讯和电话号码

我们将短信用于单一交易目的：确认您提供的电话号码确实属于您。仅当您在应用程序中明确输入并点击“发送代码”后，才会向该号码发送一次性 6 位数代码。电话号码不是从任何第三方来源收集的。我们存储的内容：电话号码（静态加密）、验证日期以及最近 OTP 尝试的哈希历史记录（以遏制滥用）。删除帐户后，号码将在 30 天内删除。频率。每个收件人每天最多发送 3 条短信（一个初始代码加上最多两次重新发送）。我们不发送营销或促销短信——仅进行验证。送货伙伴。 SMS 通过我们的免费消息传递提供商 SignalWire (signalwire.com) 传输。他们仅处理传输中的消息，不会保留或将内容用于任何其他目的。它们受数据处理附录的约束。成本。您的移动运营商可能会收取标准消息和数据费率——我们绝不会直接向您收取短信费用。选择退出。回复任何消息“停止”即可立即从我们的消息列表中删除您的号码。回复 HELP 或联系 hello@communitynet.app 寻求帮助。选择退出不会删除您的帐户，但在重新验证电话号码之前，您将无法再拨打固定电话。运营商（T-Mobile、Verizon、AT&T、国际运营商）对延迟或未送达的消息不承担任何责任。

18. 原生 iOS 应用中的通讯录与外部 AI 数据共享

通讯录。仅打开联系人页面不会读取或上传通讯录。在显示 iOS 权限提示前，Community Network 会说明数据、接收服务器和用途，并要求明确同意。同意后，姓名和电话号码仅用于查找已注册用户和显示邀请选项。“同步联系人”会将列表保存在账号中，每次同步时替换，并在账号删除后 30 天内删除。“邀请好友”只进行一次性匹配，不保存同步列表。拒绝或撤销权限会阻止后续上传。原生 iOS 中的面部数据。原生 iOS 不提供身份验证或 KYC 面部数据处理，不收集、传输或保存用于验证的身份证件、活体视频、面部几何数据、面部模板或生物识别标识符，也不提供自己的 Face ID 登录功能。Apple 可使用设备生物识别来授权“通过 Apple 登录”；Community Network 收到的是授权凭据，而非生物识别面部数据。普通照片及用户开启的视频可能含有人脸，按第 21 节处理，并非生物识别身份系统。可选外部 AI 辅助。每次可选辅助请求前，iOS 应用都会说明数据和接收方并要求单独明确同意。根据功能，可能发送提示词和近期 AI 对话、相关资料字段、联系人和连接、社群关系、通话与聊天对象元数据、活动、签到、帖子以及推荐对象的公开资料。私信或秘密聊天内容不包含在此辅助上下文中。普通上传内容的安全审核是第 21 节所述的独立处理目的。接收方为 OpenRouter 和所选模型提供商（目前为 DeepSeek）。数据仅用于 Copilot 回答、匹配分析、Radar 结果、开场建议和营销辅助。请求启用零数据保留并禁止提供商收集数据；提供商必须提供同等保护，不得存储内容或用于模型训练。版本化的可选 AI 辅助同意可在隐私设置中随时撤回，撤回后立即阻止新的可选 AI 辅助请求，但不会停止对之后上传的普通内容进行安全审核。AI 对话可保存在账号中，直到对话或账号被删除；相关副本会在 30 天内删除。

19. 与好友共享位置

选择加入与收集。好友位置共享默认关闭。只有在“隐私与数据”中打开唯一的开关并授予设备权限后，才会开始共享。登录期间，Community Network 仅在应用位于前台时接收位置更新；不会请求后台或“始终允许”访问。我们只保存设备的最新位置，并且仅将其用于此功能。接收方与披露。共享开启后，每位已接受且未被屏蔽的好友都可以看到由服务器生成的同一个大致区域（半径 800 米，应用中称为约 1 公里）。您无法选择个别好友、提高精度或只对部分接收方暂停共享。非好友和被屏蔽的账号不会收到任何位置。好友绝不会收到 Community Network 所保存的设备精确位置。保留与控制。每个新位置都会替换上一个位置。最新位置会在 24 小时后过期，并在您关闭共享时立即删除；我们不保留移动历史。此规则需要新的独立位置同意，先前版本的同意不会沿用。您自己已接受的签到以及在地图上明确按下“我的位置”都会揭开地图迷雾。该操作只会发送并保存一个粗略的 z16 区域标识符，绝不会发送精确位置或时间戳。仅有好友位置共享更新不会揭开迷雾。

20. 可选健康数据

自愿启用与范围。对 Apple Health (iOS) 或 Health Connect (Android) 的访问默认关闭。只有在您选择类别、接受标明版本的告知声明并批准平台权限后，才会开启访问。我们仅请求读取权限；Community Network 不会写入健康记录，也不会在后台同步健康数据。数据与来源。根据您的选择及设备提供的数据，我们可能导入步数及其他活动或锻炼、睡眠、生命体征、身体测量、营养与水分摄入、生殖数据，以及临床或医疗记录，例如疾病、用药、化验结果、医疗操作、就诊和免疫接种记录。我们仅处理您选择的类别。近期数据的同步时间范围按类别设有限制；导入的记录可能包含历史数据。Apple Health 和 Health Connect 仍是这些记录的来源。用途与可见性。我们仅将导入的数据用于您的私人健康历史和私密步数圈。此类数据绝不会发布在您的个人资料中，也绝不会用于广告、匹配、推荐、Social Rating、资格判定或自动化决策。我们不会出售此类数据，也不会与广告商、其他用户或数据经纪商共享。健康功能不提供医疗建议。存储与法律依据。所选记录会上传至 CNET 服务器，与您的账户关联，在传输过程中通过 TLS 保护，并在存储时加密；步数还会以数值形式存储，用于计算私密步数圈的结果。对此类特殊类别数据的处理以您的明确同意为依据（GDPR 第 6(1)(a) 条和第 9(2)(a) 条、俄罗斯联邦法律 152-FZ 第 10 条及同等法律）。同步仅在您主动使用或启动该功能时进行。只要集成保持连接且您的账户处于活跃状态，我们就会保留导入的健康数据。控制、删除与导出。您可以随时断开连接。断开连接会从 CNET 服务器永久删除从提供方导入的数据样本及相关的同意／集成记录。在 Android 上，此操作还会撤销本应用的 Health Connect 权限。Apple 不允许应用以编程方式撤销 HealthKit 权限；您可以在 iOS 设置或 Health 中撤销该权限。源记录会保留在 Apple Health 或 Health Connect 中。删除账户会在 30 天内移除与账户关联的副本。您的数据导出包含可读的导入数据样本和同意元数据，但绝不包含提供方令牌、加密密钥或密文。撤回同意不影响此前已依法进行的处理。

21. 面部数据、照片和视频

范围和收集。您选择上传或传输的照片与视频可能包含您或他人的面部。CLIENT 类型账号需要头像；其他媒体在您使用相应上传、相机或通话控件时提交。普通图像用于您所要求的个人资料、帖子、签到、动态或消息以及内容安全审核。图像中可见的人脸不等于生物识别模板。原生 iOS 不收集生物识别数据。它没有身份验证、活体检测、人脸识别或应用自身提供的 Face ID 登录功能。Apple 可使用设备生物识别授权“通过 Apple 登录”；Community Network 仅收到授权凭据，绝不会收到 Face ID 传感器图像或 Apple 的生物识别模板。我们不从普通媒体提取面部关键点、几何数据、嵌入向量、面部特征模板或生物识别标识符，因此不存在由 Community Network 留存、共享或删除的 Face ID 或原生生物识别数据集。接收方和用途。普通上传媒体由 Community Network 及包括 DigitalOcean、Cloudflare 在内的托管、对象存储和内容分发商处理，并向您所选功能的受众展示。通过头像、帖子、签到和普通聊天上传的图像也可能传给 OpenAI 审核 API，以分类违禁内容。结果是安全类别和评分，而非身份识别、人脸比对或人格评估。此处理独立于可选 AI 聊天同意；关闭可选 AI 辅助不会关闭上传审核。端到端加密的秘密聊天图像对服务保持加密，不送交服务器端图像审核。实时视频。相机视频直接或经连接中继传给通话参与者。Community Network 不录制实时通话，也不从中提取面部生物识别数据。关闭相机或退出通话即停止视频传输。这不同于您主动上传保存的视频。存储和保留。上传原件及服务器生成的缩放副本随内容保留，直到删除内容或执行账号删除流程。动态的 24 小时展示期不代表其关联签到媒体已删除。删除头像会移除存储的原件及生成的缩放副本。删除账号后立即无法访问，其余关联媒体在 30 天删除流程内移除。运行备份在主要数据删除后 30 天内到期清除。我们无法删除他人独立下载或录制的副本。审核保留。Community Network 不为审核另建图像档案，但可按第 10 节安全和反滥用期限保留安全类别与决定。OpenAI 的文档说明 /v1/moderations 端点不使用提交数据训练模型，也没有常规的滥用监控或应用状态保留。适用法律要求仍须遵守。详情：https://developers.openai.com/api/docs/guides/your-data。此声明仅针对审核，不代表所有 AI 服务均零保留。原生 iOS 以外的验证。在网页端和 Android 等提供可选 Sumsub 验证的平台上，证件图像、自拍或活体视频及面部生物识别模板直接交给 Sumsub，用于身份验证和防欺诈，见第 3、9、10 节。Community Network 收到审核事件元数据，而非这些生物识别材料。历史人工自拍验证图像如仍存在，由 Community Network 私密保存供授权人员审核，不用于自动人脸识别，直至收到删除请求或删除账号。两种验证流程均不在原生 iOS 提供。删除和撤回。在“个人资料 → 照片”移除头像，适用时删除原始帖子或签到，或使用“个人资料 → 隐私 → 删除账号”。可邮件联系 privacy@communitynet.app，请求删除含人脸媒体、历史验证图像或 Sumsub 验证数据，或撤回验证同意。提供商持有的验证数据通过第 10、12 节的隐私请求程序处理，包括法律要求的保留。撤销设备相机或照片图库权限仅阻止今后使用该权限，不会删除已上传媒体；卸载应用也不构成删除请求。同等保护。接收含人脸图像或生物识别面部数据的每个第三方处理者都必须提供与本政策相同或同等的保护，包括规定的用途、安全、保留和删除限制。我们不出售面部生物识别数据，也不将其用于广告、人员推荐或模型训练。

22. 地点签到与历史图片投稿

地点签到。您可以在地图上于地标或遗失之地签到。当您点击“在此签到”时，应用会向您的设备请求一次位置，并随该请求将坐标及其报告的精度发送至我们的服务器。服务器仅使用这些数据来核实您是否位于该地点的签到半径内以及定位是否足够精确，随后即予丢弃：坐标和精度不会被存储、不会被记录，也不会向任何人显示。我们存储的内容包括：地点（其目录标识符）、签到时间、您添加的可选照片和留言，以及您选择的可见范围。成功签到还会更新您的地图护照计数，并揭示该地点本身（而非您所在位置）周围的大致地图区域。谁可以看到签到。您始终可以看到自己的签到。在默认可见范围“好友”下，您已接受的好友可在地点卡片中看到您的姓名、头像、时间以及可选的照片和留言；选择“仅自己”时，其他任何人均无法看到。被屏蔽的账户在任何方向上都永远无法看到。其他成员仅可看到某地点不同访客的汇总人数，且仅在至少五人在该处签到后才会显示，不含姓名。签到所附照片须经过与其他上传内容相同的内容安全审核（第21条），并以去除相机元数据的重新编码图片形式存储。删除签到。您可以在地点卡片中删除您的任何签到，其照片将一并删除。删除账户将按照第10条所述移除您的全部签到及其照片。法律依据：为履行您所请求功能的合同（GDPR Art. 6(1)(b)、152-FZ Art. 6(1)(5)）。一次性位置核验仅在您明确点击后、并在您授予设备位置权限的情况下进行，您可以拒绝授予该权限。历史图片投稿。您可以提交展示某地点的老照片、版画、绘画、地图或平面图、明信片或文件。我们将处理该图片及您提供的信息——类型、年份或时期、说明文字、创作者、机构、来源链接、您声明的权利依据、所选许可、您是否希望署名，以及您的权利确认——连同您的账户标识符和提交时间。图片将被重新编码，其内嵌元数据（包括 EXIF 和位置数据）将被删除，并在审核前保存在私有存储中。图片将按照第21条所述发送至 OpenAI 的审核 API 进行内容安全分类，随后由 Community Network 审核员审核，审核员可看到该图片、上述信息及您的账户详情。发布。如获批准，图片及其信息将发布在该地点的证据图库中，平台的所有用户和访客均可查看，适用您所选择的许可（或第三方素材的原始许可），并注明您所述的创作者和来源。仅当您选择署名时才会显示您的显示名称；否则该条目将标注为由一位成员添加。如被拒绝，图片将被删除。您将收到关于该决定的应用内通知。移除。您可随时致信 privacy@communitynet.app 要求我们移除已发布的投稿；权利人可致信 dmca@communitynet.app。删除账户将在第10条规定的期限内移除您待审核及已发布的投稿。从平台移除并不能收回他人依据您授予的开放许可合法制作的副本。法律依据：履行合同（应您的请求发布）以及我们维护平台合法与安全的正当利益（审核）。