Tabito 旅行达人 · 隐私政策
你在这个 App 里做的绝大多数事情，数据不出你的设备。 出设备的只有你主动开口的那几处，下面逐条列出来 —— 包括发去哪儿、我们存不存、存多久。
一、只在你设备上的东西
| 内容 | 存在哪儿 |
|---|---|
| 行程、清单、去过的地方、账目、伴手礼计划 | 你设备上系统的「应用程序支持」目录，会跟随你自己的 iCloud 备份 |
| 你拍的照片、你丢进来的截图 | |
| 拍摄位置与朝向（机位） | |
| 私人笔记 | |
| AI 记住的偏好（「我的 → AI 记住的偏好」里能看、能改、能删） | |
| 界面语言选择、问路看板的常用句排序 | 系统偏好设置 |
| 下载的语音讲解（自 1.6 起） | 「应用程序支持」目录，不进 iCloud 备份 —— 随时能重新下载，不占你的备份空间 |
我们看不到这些，服务器上也没有它们的副本。删除 App 就一起删除。
位置
定位用于三件事：算「你现在在哪一站、下一个去哪最划算」；在你用相机拍照时 记下拍摄位置和朝向；以及（自 1.6 起）在「今天」页上提示你到了哪条圣地附近、可以听讲解 —— 这一条只在你打开 App、看着那一页时才判断，坐标只在设备上用来比距离。只在你使用 App 期间获取，不做后台定位，坐标不上传。
从相册选入的照片，我们只读取照片自身携带的位置信息， 绝不用「你现在在哪」顶替 —— 那会把一张去年在东京拍的照片记成你家。
二、会离开设备的东西
2.1 iOS 直连 Apple 的两项（我们不经手）
| 服务 | 为什么需要 |
|---|---|
| Apple 地图（MapKit） | 显示地图与步行路线。需要相关坐标才能返回结果。 |
| Apple 天气（WeatherKit） | 取出行日期的天气预报。需要坐标才能返回结果。 |
这两项由系统发起、直连 Apple，我们不经手也存不下来，适用 Apple 的隐私政策。
2.2 你主动开口时发给我们的
| 什么 | 什么时候发 | 我们存不存 |
|---|---|---|
| 你在首页输入的话，连同 AI 记住的偏好（几天、几个人、最小年龄、节奏、预算、饮食和行动方便程度、交通和住宿偏好、想看的作品和想去的地区） | 你按下发送、让 AI 帮你排行程时（登录用积分；没登录每台设备能免费试 3 次，见 2.7） | 不存。对话历史由你的设备保管，每次请求由设备带上来 |
| 一张截图 | 你按下「认一下这是哪儿」时 | 不存。识别完就丢 |
| 那份行程：每天去哪些地方、日期、到达和离开的时间 | 你按「讲讲这份行程」时 | 不存 |
| 你问的问题，连同那处圣地的资料 | 你在圣地页按「问一句」时 | 不存 |
| 你想怎么改，连同当前行程每天的地点 | 你按「改计划」时 | 不存 |
| 你填的车费：金额、哪一段、IC 卡还是单程票 | 你主动填写时 | 存，而且公开 —— 这个功能的意义就是给别人看。见下面 2.4 |
前五样经我们的服务器转给第三方大模型服务商处理（见第三节）。内容我们不存， 每次调用只记一行元数据：哪个功能、哪个模型、用了多少 token、花了多少钱、多少毫秒、成功没有、 两位国家码，登录了还有你的账号 —— 留 180 天。
为了网络重试时不重复扣分，每次请求还会留一个请求指纹，跟着那一笔积分记录 （或试用记录）一起保存。它由请求内容算出，再加上一把只存在服务器配置里的密钥 —— 所以从它推不回你说了什么，只能判断两次请求是不是同一次。
2.3 你有账号之后，服务器上会有这些
| 数据 | 为什么必须有 |
|---|---|
| Apple 给的账号标识（Sign in with Apple 的 subject） | 积分和购买记录要挂在某个东西上。我们拿不到你的真实姓名和邮箱 —— 除非你自己选择共享，而我们没有要 |
| 不在我们这里：「这台设备领过注册赠送没有」—— 由 Apple 的 DeviceCheck 记着 | 保证「一台设备只领一次注册赠送」，不然注册无数个 Apple ID 就能各领一份。 App 生成一个一次性的设备凭证，经我们的服务器交给 Apple 查询、标记； Apple 替我们记的只是一个是/否。我们拿不到设备编号，也不存这个凭证 |
| 购买记录：交易号、商品、金额、货币、地区、时间 | 内购入账和退款争议。我们看不到你的卡号和账单地址，那些一样都不经过我们 |
| 积分账本：哪个账号在什么时候用了哪个功能、扣了多少分 | 你问「我的分怎么少了」时我们要答得上来。它同时也是一份使用记录，我们据此看哪个功能被用得多 |
| AI 调用记录：见 2.2 表下面那一行元数据 | 算清每个功能真实的成本、排查故障。留 180 天，到期自动删除 |
一个两位国家码（例如 CN、JP），由请求来源推得 |
按地区分摊模型成本，以及判断某个模型供应商在某个地区通不通。我们不记录你的 IP |
2.3b 你申请退款时，我们会告诉 Apple 你用掉了多少
你对一笔积分充值向 Apple 申请退款时，Apple 会问我们一个问题： 这批分他用掉多少了？我们**默认会回答**，回答的内容只有这些：
- 这批分你用掉了百分之几（千分位的一个整数）
- 有没有正常到账（我们这边永远是「已到账」—— 验签通过才发分）
- 你买之前有没有免费试过（永远是「有」—— 注册就送 150 分）
- 我们建议 Apple 批还是不批（按你用掉的比例算：几乎没用 → 建议全额批； 用光了 → 建议不批；中间 → 建议按比例）
不包含你的姓名、邮箱、Apple ID、设备信息、位置、 你输入过的任何文字或图片 —— Apple 的接口本身也不收这些。
开着对你不一定是坏事：你几乎没用就退款时，如实报上去 反而更容易、更快批下来。真正被它挡住的是「买 → 花光 → 退款」再来一遍。
🔴 随时可以关：「我的」→ 账号 → 「退款时告诉 Apple 我用了多少」。 关掉之后我们对 Apple 的这个问题一句都不答（Apple 的规则是： 没有你的同意就不许答，而答一个「不同意」会被它直接拒收 —— 没有中间态）。 关掉不影响你申请退款，只是 Apple 少一份来自我们的材料。 2026-09-10 之前就有账号的人默认是关的，要开得自己去开。
2.4 你填的车费是公开的
日本有几家铁路公司不提供可商用授权的票价数据（JR 东日本没有公开票价数据集， 小田急和京王只有赛事限定授权，大阪地铁和京都市营地下铁禁止转载）。 那几段我们算不出来，所以留了一个位置让你把实际付的金额填进去。
你填的金额会显示给其他用户看，标明是「用户填的」，别人可以投认同票。 上面没有你的名字、头像或任何能指向你的东西 —— 只有一个数字、一段行程、IC 还是单程票。 它不会进我们那个交通费合计，那一栏只放我们自己算得出来的。
2.5 不登录也会发的：你用了哪个功能（自 1.3 起）
从 1.3 版开始，App 会把「你用了哪个功能、结果如何」发给我们。 不登录也会发 —— 这一条是故意的，下面说为什么。
会发的，就是下面这些，没有别的：
| 什么 | 例子 |
|---|---|
| 一个事件名（共 19 个，写死在代码里，服务器只认这 19 个） | 打开了 App、开始排行程、看到了付费墙、
取消了登录、AI 出了结果 |
| 几个枚举型标记 | 哪个功能（identify_spot）、成功还是失败、用了多少毫秒、
在哪一屏报的什么错（signin / network） |
| 一个安装标识：装一次生成的随机串 | 卸载即失效，不是广告标识符，不跨 App，别的 App 读不到 |
| App 版本号、一个两位国家码 | 1.3、CN |
不会发的：
- 你打的字、你问 AI 的话、AI 给你的回答
- 你的行程内容、清单、账目、照片、笔记
- 你的 IP 地址、设备序列号、姓名、邮箱
这不只是承诺。技术上，这些标记只允许是字母、数字和
. _ : -，最长 32 位；服务器对不符合的整批拒收。
也就是说中文、空格、标点结构性地无法通过这条路 ——
就算哪天有人写错代码想把你的提问塞进来，它也进不来。
为什么不登录也要发。我们想知道的是 人在哪一步走掉了：下载了没打开？打开了没排行程？ 排到一半退了？看到价格就走了？这些事全都发生在登录之前。 只记已登录用户的话，等于把最想弄明白的那一段人为删掉。
这些记录留 180 天，到期自动删除。
这一条没有开关。我们没有给它做一个「关闭统计」的按钮， 理由照实说：它记的不是你，是这个 App 哪里做得不好，而且它记的东西里 没有一样能指向你本人。如果你不接受这一点，可以不使用这个 App —— 这比给你一个开关然后指望你不去动它更诚实。
2.6 语音讲解：从我们的服务器下载（自 1.6 起）
圣地的语音讲解是预先录好的音频，你点「听讲解」时从 audio.linkos.cc 下载到设备上。
- 下载请求里没有你的账号、没有安装标识、没有任何能指向你的东西 —— App 用一个单独的、不存 cookie 的连接去下载。
- 文件存放和分发用的是 Cloudflare。和访问任何网站一样，传输过程中它会看到你的 IP； 我们没有开启访问日志，不记录谁下载了哪一条。
- 你放了哪一处的讲解，会作为第 2.5 节里的一个事件（
narration_play， 只带圣地编号和讲解语言）进使用统计 —— 我们据此决定下一批先给哪些圣地补讲解。 - 讲解是免费的，不需要登录，不扣积分。
2.7 没登录也能试 3 次 AI 排行程（自 1.6.1 起）
没登录时，首页那句话也能交给 AI 读，每台设备 3 次（AI 反问你的那几轮不算）。 发给 AI 的内容和登录时一样，见 2.2。为了做到「每台设备 3 次」，多了这几样：
- App 第一次用时生成一个随机的试用编号，存在这台设备的钥匙串里。 我们的服务器只存它的哈希，以及还剩几次、用了几次、两位国家码、开通和最后一次使用的时间。 没有账号，没有设备编号，没有你说的话。
- App 还会生成一个一次性的 DeviceCheck 凭证，经我们的服务器交给 Apple， 请 Apple 在这台设备上记一个「试过了」—— 这样删掉 App 重装也不会再送 3 次。 这个凭证我们不存；Apple 记的只是一个是/否。
- 这条试用记录在最后一次使用 90 天后自动删除。
2.8 存多久
| 数据 | 存多久 |
|---|---|
| 你说的话、截图、行程内容（用 AI 时发出去的那些） | 不存 |
| AI 调用记录（2.2） | 180 天 |
| 使用统计（2.5） | 180 天 |
| 免登录试用记录（2.7） | 最后一次使用后 90 天 |
| 账号标识（2.3） | 到你注销为止 —— 注销时抹掉，见第五节 |
| 积分账本、购买记录（含请求指纹） | 长期 —— 对账、退款争议和税务都要用 |
| 你填的车费（2.4） | 长期，公开 |
| 退款欠账的哈希（第五节） | 到结清为止 |
到期的由服务器每天自动删除；哪天没删成，我们的后台会报警。
三、AI 功能把数据发给谁
五个 AI 功能 ——「AI 排行程」「照片认景」「讲讲这份行程」「问一句」「改计划」—— 需要把内容交给 第三方大模型服务商处理。当前使用的是 火山引擎方舟（字节跳动），其服务器位于中国大陆。
发过去的就是 2.2 表里那五样：排行程时你输入的文字和偏好；认景时那一张截图； 讲解、改计划时那份行程；问一句时你的问题和那处圣地的资料。 不含你的账号标识、设备编号、位置坐标或购买记录。
我们自己不留存这些内容（只记 2.2 里那一行元数据）。 但内容到了供应商那一端如何处理、留存多久，适用他们的政策， 不适用这一份。如果你不希望任何内容离开设备，就不要使用这些 AI 功能 —— 行程规划、票价精算、「这张券划不划算」、问路看板、对账 全部离线可用，而且永远免费，不需要账号。 （但请注意：「你用过这些功能」这件事本身仍然会被记下来， 见第 2.5 节 —— 内容不发，用没用发。）
四、我们不做的事
- 不做跨 App 或跨网站追踪，不使用广告标识符（IDFA），没有接入 ATT 的必要
- 没有第三方分析 SDK、没有崩溃上报 SDK、没有广告 SDK —— 第 2.5 节那份使用统计是我们自己写的，数据只进我们自己的库， 不经过任何第三方
- 不出售、不共享你的数据给任何第三方做营销
- 不保存你的 IP。我们的服务器跑在 Cloudflare 上，和访问任何网站一样， 传输过程中它会看到你的 IP；我们没有开启会把 IP 存下来的访问日志或调用日志
- 不上传你拍的照片和你丢进清单的截图 —— 动画截图受著作权保护，我们不分发、不展示给其他用户。唯一的例外是你自己按下「认一下这是哪儿」的那一张
五、注销账号
App 内「我的 → 账号」里可以注销。按下之后：
- 你的 Apple 账号标识被抹掉，换成一个不指向任何人的墓碑值
- 所有登录会话立即失效
- 剩余积分作废，不可恢复也不退款
- 你可以用同一个 Apple ID 重新登录 —— 那会是一个全新的账号，看不到之前的任何东西。 只有一个例外：你注销时如果还欠着分，那笔欠账会跟过来，见下面第三条
有三样东西会留下，说清楚：
- 购买和积分流水。那些行里只有金额和时间，不含任何身份信息； 抹掉账号标识之后它们已经指不向你。保留是为了对账和退款争议 —— 这也是法律上要求留存的交易记录
- 你填过的车费。上面没有你的身份，而且别人已经对那个数字投过认同票， 删掉等于把别人依据的东西抽走
- 一笔没结清的欠账 —— 只有在真的欠着的时候才有。
什么情况下会欠：你买过积分、把它花掉了，然后 Apple 把那笔钱退给了你。
花掉的那部分我们已经付给了模型供应商，所以账上会是负分。
这时我们会留下一个不可逆的哈希（对你的 Apple 账号标识做
sha256算出来的一串十六进制）和那个欠着的数字 —— 没有你的 Apple ID 原文， 也反推不出你是谁，它只能回答一个问题：「这个人是不是还欠着」。 你用同一个 Apple ID 重新登录时，那笔欠账会跟到新账号上，下次充值时先把它抵掉； 抵完这一行就删掉。不这么做的话，「注销」就成了一个免费洗掉欠账的按钮 —— 买、花光、退款、注销、再来一遍。 余额不为负时（也就是绝大多数情况）什么都不会留。
六、儿童
本 App 不面向 13 岁以下儿童，也不会有意收集儿童的个人信息。
七、你的权利
- 查看：App 内「我的 → 数据与隐私」列出了每一类数据存在哪儿
- 删除单条：照片、笔记、行程都可以在各自的页面上删除
- 删除设备上的全部：删除 App
- 注销账号：见第五节
- 索取或更正：写信到下面的邮箱，我们会在 30 天内回复
八、这份政策变了怎么办
我们改动这份政策时会更新本页顶部的「最后更新」日期，并在 App 内说明。 如果将来我们要把数据用于这里没写过的目的，我们会先更新这份政策，而不是先做了再补文件。
繁體中文
你在這個 App 裡做的絕大多數事情，資料不出你的裝置：行程、清單、帳目、 照片、機位和筆記全部只寫在你自己的裝置上。
出裝置的有這些：由系統發起、直連 Apple 的地圖與天氣（需要座標才能回答， 我們不經手）；以及你用五個 AI 功能時，那一次需要的內容：排行程時首頁輸入的文字與 AI 記住的偏好； 「認一下這是哪兒」時那一張截圖；「講講這份行程」時行程的地點、日期和時間； 「問一句」時你的問題和那處聖地的資料；「改計畫」時你想怎麼改和目前的行程。 這些經我們的伺服器交給第三方大模型服務商（火山引擎方舟，伺服器位於中國大陸）處理。 內容我們不留存：每次呼叫只記功能、模型、用量、成本、耗時、成功與否和國碼（登入了還有帳號），留 180 天； 為了重試時不重複扣積分，還會留一個加了金鑰的請求指紋，從它推不回你說的話。供應商那一端適用他們的政策。 不想讓任何內容離開裝置，就不要使用 AI 功能 —— 行程規劃、票價精算、問路看板、對帳全部離線可用且永久免費。
你有帳號之後，伺服器上有：Apple 給的帳號識別、購買記錄、積分帳本、一個兩位國碼。 「這台裝置領過註冊贈送沒有」由 Apple 記著，不在我們這裡：App 產生一個一次性的 DeviceCheck 憑證， 經我們的伺服器交給 Apple，Apple 替我們記一個是或否 —— 我們拿不到裝置編號，也不存這個憑證。 不記錄 IP（伺服器跑在 Cloudflare 上，傳輸時它會看到 IP，我們沒有開啟會存下 IP 的日誌）。 我們看不到你的卡號與帳單地址。
你填的車費是公開的 —— 只有金額、哪一段、IC 或單程票，沒有你的身份。
App 內可註銷帳號：帳號識別被抹除、工作階段失效、剩餘積分作廢。 購買與積分流水、以及你填過的車費會留下 —— 那上面沒有你的身份。
還有一種情況會留下東西：你註銷時如果帳上是負分
（你買過積分、花掉了，然後 Apple 把錢退給你），我們會留下
一個不可逆的雜湊（對你的 Apple 帳號識別做 sha256）和欠著的數字。
沒有 Apple ID 原文，反推不出你是誰。用同一個 Apple ID 重新登入時那筆欠帳會跟過來，
下次儲值先抵掉，抵完就刪除。不這麼做的話，「註銷」就成了免費洗掉欠帳的按鈕。
餘額不為負時什麼都不會留。
你向 Apple 申請退款時，Apple 會問我們「這批積分他用掉多少了」。 我們預設會回答，內容只有：用掉的百分比、有沒有正常到帳、 你買之前有沒有免費試過、以及我們建議批或不批。不含姓名、 信箱、Apple ID、裝置資訊、位置或你輸入過的任何文字與圖片。 用得少時如實回報反而更快批下來。 隨時可關：「我的」→ 帳號 →「退款時告訴 Apple 我用了多少」， 關掉後我們一句都不答。2026-09-10 之前就有的帳號預設是關的。
自 1.3 起，App 會記錄「你用了哪個功能、結果如何」：
事件名（共 19 個，寫死在程式裡）、幾個列舉型標記（哪個功能、成功或失敗、花了幾毫秒、
在哪一頁報了什麼錯）、一個裝一次就產生的隨機安裝識別碼（不是廣告識別碼，
解除安裝即失效）、App 版本與兩位國碼。不會送出你打的字、你問 AI 的話、
AI 的回答、你的行程內容、照片、IP 或姓名。技術上這些標記只允許字母、數字與
. _ : -，最長 32 位，中文與空白在結構上就無法通過。
未登入也會送 — 我們想知道人是在哪一步離開的，而那幾乎都發生在登入之前。
這些記錄留 180 天。這一條沒有開關。
自 1.6 起，聖地的語音講解從 audio.linkos.cc 下載到裝置上：
下載請求裡沒有帳號、沒有安裝識別碼；存放與分發用的是 Cloudflare，傳輸時會看到你的 IP，
但我們沒有開啟存取紀錄，不記錄誰下載了哪一段。講解音訊不進 iCloud 備份。
你播放了哪一處的講解，會以一個事件（narration_play，只帶聖地編號與語言）進入上面那份使用統計。
自 1.6.1 起，沒登入也能讓 AI 在首頁幫你排行程，每台裝置 3 次（AI 反問你的那幾輪不算）， 送出去的內容和上面一樣。為了「每台裝置 3 次」：App 第一次用時產生一個隨機的試用編號，存在這台裝置的鑰匙圈裡； 伺服器只存它的雜湊，以及還剩幾次、用了幾次、兩位國碼、開通和最後一次使用的時間 —— 沒有帳號、沒有裝置編號、沒有你說的話。 App 還會把一個一次性的 DeviceCheck 憑證經我們的伺服器交給 Apple，請 Apple 在這台裝置上記一個「試過了」，刪掉重裝也不會再送； 這個憑證我們不存。試用記錄在最後一次使用 90 天後自動刪除。
存多久：你用 AI 時送出的內容 —— 不存；AI 呼叫紀錄、使用統計 —— 180 天；免登入試用記錄 —— 最後一次使用後 90 天； 帳號識別 —— 到你註銷為止；積分帳本與購買記錄（含請求指紋）—— 長期，對帳、退款爭議和稅務都要用；你填的車費 —— 長期，公開； 退款欠帳的雜湊 —— 到結清為止。到期的由伺服器每天自動刪除。
English
Almost everything you do in this app stays on your device: itineraries, lists, expenses, photos, camera spots and notes are written only to your own device.
What leaves it: Apple Maps and Apple Weather, system-initiated and going straight to Apple (each needs coordinates to answer; we never handle or retain that data); and, only when you use one of the five AI features, what that request needs: the text you type on the home screen plus what the AI remembers (trip planning); the one screenshot you send with "Identify this place"; the itinerary's places, dates and times ("Explain this itinerary"); your question plus that spot's details ("Ask about this place"); and the change you ask for plus the current itinerary ("Replan"). These go through our server to a third-party model provider (Volcengine Ark, ByteDance), whose servers are located in mainland China. We do not store the content: per request we record only the feature, model, token counts, cost, latency, success, a two-letter country code and, if you are signed in, your account — kept for 180 days. To avoid charging twice on a retry we also keep a request fingerprint, computed from the content with a key that exists only in our server's configuration, so it cannot be turned back into what you said. Once the content reaches the provider, their policy governs, not ours. If you would rather nothing left your device, don't use the AI features: trip planning, exact fares, the "don't buy it" verdict, the ask-for-help board and reconciliation are all offline and free forever, no account needed.
Once you have an account, the server holds: the Sign in with Apple subject (we do not receive your real name or email), purchase records, the credit ledger, and a two-letter country code. Whether a device has already claimed the sign-up bonus is kept by Apple, not us: the app creates a one-time DeviceCheck token that our server passes to Apple, and Apple stores a yes/no for us — we never receive a device identifier and do not store the token. We do not log your IP address (our server runs on Cloudflare, which sees it in transit like any website; we have no logging turned on that would store it), and we never see your card or billing address.
Fares you submit are public — an amount, a leg, and IC-or-ticket. Nothing that points to you.
You can delete your account in the app: the account identifier is erased, sessions are revoked and any remaining credits are voided. Purchase and ledger rows remain (they contain amounts and timestamps only, no identity — kept for reconciliation and refund disputes), as do fares you submitted.
One more thing is kept, but only when there is one: an unsettled debt. That happens
if you bought credits, spent them, and Apple then refunded you — we had already paid the model provider
for what you spent, so the account goes negative. In that case we keep an irreversible hash
(sha256 of your Apple account identifier) and the number of credits owed. There is
no plaintext Apple ID and it cannot be reversed to identify you; it answers one question
only — "does this person still owe?" Sign in with the same Apple ID and the debt follows you to the new
account, to be settled out of your next top-up; once settled the row is deleted. Without this, deleting
your account would simply be a free way to wipe the debt. Nothing is kept when the balance is not
negative.
We do no cross-app or cross-site tracking, use no advertising identifier, and have no third-party analytics, crash-reporting or advertising SDKs.
When you ask Apple for a refund, Apple asks us how much of that batch of credits you had used. By default we answer, and the answer contains only: the percentage consumed, whether delivery succeeded, whether you had a free sample before buying, and whether we suggest granting or declining. It contains no name, email, Apple ID, device information, location, or any text or image you typed. Answering often helps you — if you had barely used the credits, the honest number tends to get the refund approved faster. You can turn it off at any time under Me → Account → "Share my usage with Apple for refunds"; then we say nothing at all. Accounts that existed before 2026-09-10 are off by default.
From 1.3 the app records which feature you used and how it went:
an event name (19 in total, hard-coded), a few enum-style tags (which action, success or failure,
how many milliseconds, which screen showed which error), a random install identifier created once
per install (not an advertising identifier; it dies on uninstall), the app version
and a two-letter country code. It does not send what you typed, what you asked the
AI, the AI's answer, your itinerary, your photos, your IP or your name. Technically those tags may
contain only letters, digits and . _ : -, up to 32 characters — Chinese, spaces
and punctuation structurally cannot get through. It is sent even when you are not signed
in: we want to know where people drop off, and that almost always happens before sign-in.
These records are kept for 180 days. There is no switch for this.
From 1.6 the audio guides for each spot are downloaded from audio.linkos.cc.
The download request carries no account and no install identifier. The files are stored and
served by Cloudflare, which, like any website, sees your IP address in transit; we have no access
logging turned on and do not record who downloaded what. Audio guides are excluded from your iCloud
backup. Playing a guide is recorded as one of the events above (narration_play, with only the
spot ID and language).
From 1.6.1, without signing in you can let the AI plan from the home screen 3 times per device (the AI's follow-up questions don't count); what is sent is the same as above. To limit it to one device, the app creates a random trial ID kept in this device's keychain; our server stores only its hash, the tries left and used, a two-letter country code, and when it started and was last used — no account, no device identifier, nothing you said. The app also passes a one-time DeviceCheck token through our server to Apple, which records a yes/no "already tried" for this device, so reinstalling does not reset it; we don't store the token. The trial record is deleted 90 days after its last use.
How long we keep things: content you send to the AI — not at all; AI request records and usage statistics — 180 days; free-trial records — 90 days after last use; your account identifier — until you delete your account; the credit ledger and purchase records (including request fingerprints) — long-term, for reconciliation, refund disputes and tax; fares you submit — long-term, public; a refund-debt hash — until it is settled. Expired data is deleted automatically every day.
日本語
このアプリで行うことのほとんどは、データが端末から出ません。 旅程・リスト・家計簿・写真・撮影ポイント・メモはすべてお使いの端末にのみ保存されます。
端末を出るのは次のものです：システムが発行し Apple に直接つながる Apple マップと Apple 天気（回答に座標が必要で、当社は経由も保存もしません）、 そして 5 つの AI 機能を使ったときに、その 1 回に必要な内容です：旅程作成ではホーム画面へ入力した文章と AI が覚えていること、 「この場所を判定」ではスクリーンショット 1 枚、「この行程を解説」では行程の場所・日付・時刻、 「この場所について聞く」ではあなたの質問とその聖地の情報、「予定を変える」では変えたい内容と今の行程。 これらは当社のサーバーを経由して第三者のモデル事業者（火山引擎方舟／ByteDance、サーバーは中国本土にあります）が処理します。 内容は保存しません。呼び出しごとに記録するのは機能・モデル・トークン数・コスト・所要時間・成否・国コード（サインイン中はアカウントも）だけで、 180 日間保存します。再試行で二重に差し引かないよう、当社サーバーの設定にしかない鍵を使ったリクエスト指紋も残しますが、 そこから入力内容を復元することはできません。事業者側での取り扱いには当社ではなく先方のポリシーが適用されます。 何も端末から出したくない場合は AI 機能を使わないでください —— 旅程作成・運賃の精算・「買わないでください」の判定・道たずねボード・精算は すべてオフラインで動き、ずっと無料、アカウントも不要です。
アカウント作成後、サーバーには次が保存されます：Sign in with Apple の識別子 （氏名やメールアドレスは受け取っていません）、購入履歴、ポイント台帳、2 文字の国コード。 端末が登録特典を受け取ったかどうかは当社ではなく Apple が記録しています：アプリが一度きりの DeviceCheck トークンを作り、 当社サーバー経由で Apple に渡すと、Apple が「はい／いいえ」を記録します。当社は端末の識別子を受け取らず、トークンも保存しません。 IP アドレスは記録しません（サーバーは Cloudflare 上にあり、通信の途中で IP は見えますが、IP を保存するログは有効にしていません）。 カード番号や請求先住所を当社が見ることはありません。
入力いただいた運賃は公開されます —— 金額・区間・IC か切符か、それだけです。
アプリ内でアカウントを削除できます：識別子は消去され、セッションは失効し、 残ったポイントは失効します。購入とポイントの明細（金額と時刻のみで身元情報を含みません。 経理照合と返金対応のため）と、入力いただいた運賃は残ります。
もう一つ、残る場合があります：未清算の負債です。ポイントを購入して使い切ったあとに
Apple から返金を受けると、使った分の費用は当社がすでにモデル事業者へ支払っているため、残高がマイナスになります。
その場合のみ、不可逆なハッシュ（Apple のアカウント識別子の sha256）と
不足しているポイント数を保持します。Apple ID の原文は保持せず、そこから個人を特定することは
できません。答えられるのは「この人にまだ不足があるか」だけです。同じ Apple ID で再度サインインすると
その不足は新しいアカウントへ引き継がれ、次回の購入で先に相殺され、相殺後にこの行は削除されます。
そうしなければ、アカウント削除が負債を無料で消すための手段になってしまいます。
残高がマイナスでない場合は何も残りません。
Apple に返金を申請すると、Apple は当社に「そのポイントをどれだけ使ったか」を尋ねます。 当社は既定で回答します。回答に含まれるのは、消費した割合、正常に付与されたか、 購入前に無料で試したか、そして返金を認めるべきかどうかの当社の意見だけです。 氏名・メールアドレス・Apple ID・端末情報・位置情報・入力した文章や画像は 一切含みません。使った量が少ない場合、正直に伝えることでかえって 早く承認されます。「マイページ」→ アカウント →「返金時に使用量を Apple に伝える」で いつでもオフにでき、オフにすると当社は一切回答しません。 2026-09-10 より前からあるアカウントは既定でオフです。
1.3 以降、アプリは「どの機能を使い、結果はどうだったか」を
記録します。送るのはイベント名（全 19 種、コードに固定）、いくつかの列挙値（どの機能か、
成功か失敗か、何ミリ秒か、どの画面でどんなエラーが出たか）、インストールごとに一度だけ
生成されるランダムな識別子（広告識別子ではありません。アンインストールで
消えます）、アプリのバージョン、2 文字の国コードだけです。入力した文章、AI への質問、
AI の回答、旅程、写真、IP、氏名は送りません。技術的にもこれらの値は
英数字と . _ : - のみ・最大 32 文字に制限されており、日本語や空白は構造上
通りません。ログインしていなくても送ります — 離脱がどこで起きるかを
知りたいからで、それはほぼログイン前に起きます。記録は 180 日間保存します。この項目にオフの設定はありません。
1.6 以降、聖地の音声ガイドは audio.linkos.cc から端末にダウンロードします。
ダウンロードのリクエストにはアカウントもインストール識別子も含みません。保存と配信には
Cloudflare を使っており、一般のウェブサイトと同じく通信中に IP アドレスが見えますが、
当社はアクセスログを有効にしておらず、誰がどのガイドを取得したかは記録しません。
音声ガイドは iCloud バックアップの対象外です。ガイドを再生したことは、上記のイベントの一つ
（narration_play、聖地 ID と言語のみ）として記録されます。
1.6.1 以降、サインインしなくてもホーム画面から AI に旅程を作ってもらえます（1 台につき 3 回、 AI からの聞き返しは数えません）。送る内容は上と同じです。1 台に限るため、アプリは初回にランダムな試用 ID を作り、 この端末のキーチェーンに保存します。サーバーに残すのはそのハッシュだけと、残り回数・使用回数・2 文字の国コード・ 開始日時と最終利用日時です —— アカウントも端末の識別子も、あなたの言葉もありません。あわせて一度きりの DeviceCheck トークンを 当社サーバー経由で Apple に渡し、この端末に「試用済み」を記録してもらうので、再インストールしても回数は戻りません。トークンは保存しません。 試用の記録は最後に使ってから 90 日後に自動で削除します。
保存期間：AI に送った内容 —— 保存しません。AI 呼び出しの記録・利用状況の記録 —— 180 日。試用の記録 —— 最後の利用から 90 日。 アカウント識別子 —— アカウントを削除するまで。ポイント台帳と購入記録（リクエスト指紋を含む）—— 経理照合・返金対応・税務のため長期。 入力いただいた運賃 —— 長期・公開。返金による負債のハッシュ —— 清算されるまで。期限が来たものはサーバーが毎日自動で削除します。
한국어
이 앱에서 하는 일의 대부분은 데이터가 기기를 벗어나지 않습니다. 일정·목록·가계부·사진·촬영 포인트·메모는 모두 사용자의 기기에만 저장됩니다.
기기를 벗어나는 것: 시스템이 실행하고 Apple에 직접 연결되는 Apple 지도와 Apple 날씨(응답에 좌표가 필요하며 저희는 경유하거나 보관하지 않습니다), 그리고 다섯 가지 AI 기능을 쓸 때 그 한 번에 필요한 내용입니다: 일정 작성에서는 홈 화면에 입력한 문장과 AI가 기억하는 것, '여기가 어딘지 확인'에서는 스크린샷 한 장, '이 일정 설명 듣기'에서는 일정의 장소·날짜·시간, '이곳에 대해 묻기'에서는 질문과 그 성지의 정보, '일정 변경'에서는 바꾸고 싶은 내용과 현재 일정. 이것들은 저희 서버를 거쳐 제3자 모델 사업자(Volcengine Ark, ByteDance, 서버는 중국 본토에 있습니다)가 처리합니다. 내용은 저장하지 않습니다. 호출마다 기능·모델·토큰 수·비용·소요 시간·성공 여부·국가 코드(로그인했다면 계정도)만 기록하며 180일 동안 보관합니다. 재시도 때 이중 차감을 막기 위해 저희 서버 설정에만 있는 키로 만든 요청 지문도 남기지만, 그것으로 입력한 말을 되살릴 수는 없습니다. 내용이 사업자에게 도달한 뒤의 처리에는 저희가 아니라 그쪽의 정책이 적용됩니다. 아무것도 기기 밖으로 내보내고 싶지 않다면 AI 기능을 쓰지 마세요 —— 일정 작성·정확한 교통비·'사지 마세요' 판단·길묻기 보드·정산은 모두 오프라인으로 동작하고 계속 무료이며 계정도 필요 없습니다.
계정을 만든 뒤 서버에 저장되는 것: Sign in with Apple 식별자 (실명과 이메일은 받지 않습니다), 구매 기록, 크레딧 원장, 두 자리 국가 코드. 기기가 가입 보너스를 받았는지는 저희가 아니라 Apple이 기록합니다: 앱이 한 번만 쓰는 DeviceCheck 토큰을 만들어 저희 서버를 거쳐 Apple에 넘기면, Apple이 '예/아니요'를 기록합니다. 저희는 기기 식별자를 받지 않고 토큰도 저장하지 않습니다. IP 주소는 기록하지 않습니다(서버는 Cloudflare에서 돌아가며 전송 중에는 IP가 보이지만, IP를 저장하는 로그는 켜 두지 않았습니다). 카드 번호나 청구지 주소는 저희가 볼 수 없습니다.
입력하신 교통비는 공개됩니다 —— 금액, 구간, IC인지 승차권인지. 그뿐입니다.
앱에서 계정을 삭제할 수 있습니다: 식별자는 지워지고 세션은 무효화되며 남은 크레딧은 소멸합니다. 구매·원장 기록(금액과 시각만 있고 신원 정보는 없으며, 정산과 환불 분쟁을 위해 보관)과 입력하신 교통비는 남습니다.
한 가지가 더 남는 경우가 있습니다: 정산되지 않은 부채입니다. 크레딧을 구매해 모두
사용한 뒤 Apple로부터 환불을 받으면, 사용한 만큼의 비용은 저희가 이미 모델 사업자에게 지급했기 때문에
잔액이 마이너스가 됩니다. 그 경우에만 되돌릴 수 없는 해시(Apple 계정 식별자의
sha256)와 남은 부채 크레딧 수를 보관합니다. Apple ID 원문은 보관하지 않으며
이를 통해 신원을 역추적할 수 없습니다. 답할 수 있는 것은 "이 사람에게 아직 부채가 있는가" 하나뿐입니다.
같은 Apple ID로 다시 로그인하면 그 부채가 새 계정으로 따라오고, 다음 충전 시 먼저 상계되며 상계 후
해당 행은 삭제됩니다. 그렇게 하지 않으면 계정 삭제가 부채를 무료로 지우는 수단이 됩니다.
잔액이 마이너스가 아니면 아무것도 남지 않습니다.
Apple에 환불을 신청하면 Apple은 저희에게 "그 크레딧을 얼마나 사용했는지" 묻습니다. 저희는 기본적으로 답변합니다. 답변에 담기는 것은 사용한 비율, 정상 지급 여부, 구매 전 무료로 사용해 봤는지, 그리고 환불을 승인해야 한다고 보는지에 대한 저희 의견뿐입니다. 이름·이메일·Apple ID·기기 정보·위치·입력한 글이나 이미지는 전혀 포함되지 않습니다. 적게 썼다면 사실대로 알리는 것이 오히려 더 빨리 승인되게 합니다. '내 정보' → 계정 → '환불 시 사용량을 Apple에 알리기'에서 언제든 끌 수 있으며, 끄면 저희는 아무 답도 하지 않습니다. 2026-09-10 이전부터 있던 계정은 기본적으로 꺼져 있습니다.
1.3부터 앱은 어떤 기능을 썼고 결과가 어땠는지를
기록합니다. 보내는 것은 이벤트 이름(총 19개, 코드에 고정), 몇 개의 열거형 태그(어떤
기능인지, 성공인지 실패인지, 몇 밀리초 걸렸는지, 어느 화면에서 어떤 오류가 났는지),
설치할 때 한 번 만들어지는 임의의 설치 식별자(광고 식별자가 아니며 앱을
지우면 사라집니다), 앱 버전, 두 자리 국가 코드뿐입니다. 입력한 글, AI에게 물어본 말,
AI의 답변, 일정 내용, 사진, IP, 이름은 보내지 않습니다. 기술적으로도 이
값들은 영문자·숫자와 . _ : -만, 최대 32자로 제한되어 있어 한글이나 공백은
구조적으로 통과할 수 없습니다. 로그인하지 않아도 보냅니다 — 사람들이
어느 단계에서 떠나는지 알고 싶은데, 그건 거의 로그인 전에 일어나기 때문입니다.
기록은 180일 동안 보관합니다. 이 항목에는 끄는 설정이 없습니다.
1.6부터 성지 음성 해설은 audio.linkos.cc에서 기기로 내려받습니다.
다운로드 요청에는 계정도 설치 식별자도 들어 있지 않습니다. 파일 보관과 전송에는
Cloudflare를 쓰며, 여느 웹사이트와 마찬가지로 전송 중에 IP 주소가 보이지만
저희는 접근 로그를 켜 두지 않았고, 누가 어떤 해설을 내려받았는지 기록하지 않습니다.
음성 해설은 iCloud 백업에 포함되지 않습니다. 해설을 재생한 것은 위 이벤트 중 하나
(narration_play, 성지 ID와 언어만)로 기록됩니다.
1.6.1부터 로그인하지 않아도 홈 화면에서 AI에게 일정을 짜 달라고 할 수 있습니다(기기당 3번, AI가 되묻는 횟수는 세지 않습니다). 보내는 내용은 위와 같습니다. 기기당 한 번으로 제한하기 위해 앱은 처음 쓸 때 임의의 체험 ID를 만들어 이 기기의 키체인에 보관합니다. 서버에는 그 해시만, 그리고 남은 횟수·쓴 횟수·두 자리 국가 코드·시작 시각과 마지막 사용 시각을 남깁니다 —— 계정도 기기 식별자도, 입력한 말도 없습니다. 또 한 번만 쓰는 DeviceCheck 토큰을 저희 서버를 거쳐 Apple에 넘겨 이 기기에 '써 봄'을 기록하므로, 다시 설치해도 횟수가 돌아오지 않습니다. 토큰은 저장하지 않습니다. 체험 기록은 마지막 사용 후 90일이 지나면 자동으로 삭제됩니다.
보관 기간: AI에 보낸 내용 —— 저장하지 않음. AI 호출 기록·사용 통계 —— 180일. 체험 기록 —— 마지막 사용 후 90일. 계정 식별자 —— 계정을 삭제할 때까지. 크레딧 원장과 구매 기록(요청 지문 포함) —— 정산·환불 분쟁·세무를 위해 장기 보관. 입력하신 교통비 —— 장기, 공개. 환불로 생긴 부채의 해시 —— 정산될 때까지. 기간이 지난 것은 서버가 매일 자동으로 삭제합니다.