隐私政策

1. 范围与负责方

生效日期：2026 年 10 月 7 日；功能说明更新于 2026 年 10 月 19 日。本政策描述 Linmee 网站和移动应用当前试运行版本的数据处理。Linmee 是产品名称；运营者及数据控制者的法定身份、法律通知地址及适用登记资料尚未核实并公布，正式发布前须补齐。未登录用户也可使用法律信息页面的公开联系表单。

勾选注册条款表示接受使用条款并确认阅读本政策，不表示对所有数据用途、第三方服务或营销作无限制授权。可选权限、AI 关闭选择和依法需单独同意的用途应分别处理。

2. 账户、资料与登录数据

我们处理邮箱、昵称、语言、头像、账户标识、创建时间、验证状态、通知偏好、你选择并保存到账户的所在区域，以及填写的楼层和选填 Flat。密码登录使用加盐密码摘要，不保存明文密码；登录涉及令牌摘要、期限、验证码摘要和临时 OAuth 资料。防滥用限流使用从 IP 或邮箱派生的摘要；托管商也可能产生网络和安全日志。

选择 Google 登录时会验证其账户标识、邮箱和可用的显示名称；Apple 开通后会验证 Apple 标识、邮箱（可能是转发地址）及首次提供的名称。Linmee 不接收你的 Google 或 Apple 密码，也不因第三方登录取得通讯录。条款版本、同意时间和界面语言随注册保存，时间由服务端记录。

3. 商品、互动与联系数据

商品数据包括简介、标题、描述及英文版本、照片、分类、品牌、数量、成色、价格、所在区域、状态和时间。互动数据包括收藏及列表、保存搜索、关注、私聊及参与者、已读和归档状态、报价、交接确认、评价、举报快照、管理记录、欢迎消息和通知。反馈及公开联系表单涉及你提交的联系方式、类别、内容、语言、处理状态和邮件回执标识。

数据来自你提交的资料、交易参与者、举报人、所选登录服务及设备或网络的必要技术信息。当前没有平台支付或提现服务，不要求提供支付卡、银行账户、付款身份核验材料或税号来完成平台付款。请勿自行把这些资料写入商品或私聊。

4. 谁能看到你的数据

昵称、头像、商品照片、标题、描述、英文版本、价格及公开主页上的商品和评价可能被未登录访客看到。商品、公开主页和分享文字仅显示通用的附近区域标签，不展示所选地点名称；账户邮箱、楼层、Flat 和设备坐标不会公开。你主动写进照片、描述或消息的信息仍可能被相应接收者看到。

私聊限参与者访问，但不是端到端加密。举报会形成所选消息或内容的快照，供有权限的管理员处理；必要的支持、安全和依法处理也可能涉及授权人员。我们不会把私聊正文发送给商品整理 AI；技术访问控制不表示运营者无法访问存储内容。

5. 用途与法律依据

账户、商品发布、消息、报价、交接及你请求的通知，用于履行提供这些服务的合同。防滥用、安全、举报处理和支持拟依据经评估的合法利益；法律确实要求保存或披露时依据法律义务。运营者仍须完成并记录必要性、利益平衡及各用途的依据评估，不能用注册勾选替代。

拒绝提供注册必需信息会使我们无法创建账户；拒绝照片或相机权限可改用设备允许的其他上传方式。登录引导必须手动选择一个支持的所在区域后继续；系统位置和通知权限独立且可选，拒绝权限不会代替或阻止手动区域选择。访客可以浏览公开内容。当前无营销发送或订阅服务，注册默认不订阅营销；如未来增加，会另外说明并按适用规则征求选择。

6. Gemini 图片识别与翻译

商品自动整理默认开启，没有额外授权弹窗。在添加照片后的‘继续’步骤，将商品简介、语言和本次所选的商品照片发送给 Google Gemini，用于识别可见商品特征、建议分类、标题及描述。发布或修改中文商品时，标题和描述也会发送以生成英文版本。上传照片会压缩并去除元数据；照片中的人脸、门牌和文件文字仍属于可见内容，请不要上传不必要的私人资料。

系统不把账户邮箱、楼层、Flat 或聊天记录作为 AI 输入。你自行写入商品文字或拍进照片的个人资料可能随商品输入传送。建议会显示供你检查和修改，AI 不会自行发布或作出有法律效果的交易决定。可在‘隐私与数据’关闭自动处理；已有关闭选择保持有效，关闭后可手动发布，已公开的英文版本不会因此自动删除。默认开启不记录为主动同意。

Google 对输入、输出、滥用检测日志和境外处理适用其 Gemini API 条款及相关数据处理安排；付费与非付费服务的安排不同。当前项目的结算状态和具体供应商安排尚待核实，不能据此承诺输入不用于模型改进或零保存。Gemini API 条款：https://ai.google.dev/gemini-api/terms 。用户勾选不能替代运营者完成适用的数据处理及服务商合规要求。

7. 设备权限与本地存储

相机和照片权限用于你选择的商品图片或头像。所在区域由你手动选择并保存至 Linmee 账户，与可选的系统位置权限分开。允许位置权限不会自动确认或替代区域选择。精确坐标、楼层和 Flat 不会出现在公开地点标签中；精确设备坐标及街道门牌不会作为区域信息保存至 Linmee 后端。引导完成状态可按账号保存在此设备；不读取通讯录。

通知开启后，已配置的设备推送可能涉及 Expo、Apple 或 Google、设备令牌、通用提醒和内容标识；当前推送载荷不包含私聊正文。允许设备权限不保证远程推送已配置成功。登录会话、语言、搜索历史及部分草稿或偏好保存在浏览器或设备存储；退出、删除本地数据或设备设置可管理相应内容。

8. 服务商与共享

Cloudflare Workers、D1 和图片存储设施托管后端、数据库及上传媒体；Resend 发送验证、安全及其他事务邮件和反馈通知；Gemini 处理上述商品输入；所选 Google 或 Apple 服务处理登录；已配置的 Expo 及 Apple/Google 设施处理推送。反馈正文和必要账户标识可能作为邮件发送至运营支持收件箱。相关服务商在其服务所需范围内处理数据，不是所有服务商都会收到全部账户资料。

买卖双方会收到交易所必需的公开内容或私聊。授权管理员可访问举报及处理所需证据。依法必要时可能向有权机关或必要的法律顾问提供相关资料。当前代码没有配置广告追踪或使用分析 SDK，也没有出售个人数据的功能；这不排除服务商自身必要日志和登录页面的技术处理。

9. 英国境外处理

云服务、邮件、登录、AI 和推送可能在英国境外处理数据，不能承诺全部存储在英国或欧盟。运营者仍须核实实际接收方、处理国家、服务商合同及适用保障措施；如构成受限制传输，应落实适用的充分性安排、英国 IDTA、附加条款或其他合法机制。当前没有宣称已完成这些核实，你可通过公开联系表单请求现有安排的信息。

10. 保存期限与账户删除

账户使用期间保存提供服务所需资料。验证码可使用 10 分钟，一般刷新会话最长有效 30 天；有效期不等于物理删除时间。定时任务限量清理过期认证资料、符合条件的未引用媒体和终结的推送任务，排队或故障可能延迟删除。公开联系请求保留 90 天；已关闭的账号数据请求在关闭 90 天后进入清理。授权历史最多保留最近 100 条，并在 180 天后进入定时清理。

设置中的账号删除会终止会话、撤下商品、清除账户所在区域、楼层、Flat、头像引用、收藏、关注、保存搜索、通知、反馈及授权记录；本人消息正文被替换为删除标记，邮箱和昵称替换为删除账号标记，本人评价文字清空。媒体不能继续访问并等待物理清理。部分不可登录的账户标识、时间、商品文字及历史所在区域、关联会话、报价、举报证据和管理记录仍可能保留。

Apple 登录启用后，刷新令牌加密保存用于撤销授权。账号删除后在私有撤销队列保留，撤销成功后移除；限量重试最长 30 天。无法自动撤销时可在 Apple 设置停止使用 Linmee。设备钥匙串中的 Apple 标识用于检查授权失效，退出时清除。

残留商品、聊天、报价、举报、安全记录、邮件副本及服务商备份的完整保存期限尚未全部核定，也没有举报证据 90 天自动清除规则。本政策不能当作无限期保存的授权或‘删除账户即所有备份立即清空’的承诺。你可提出进一步删除、限制或保存期限说明请求；必要的法律保留须说明原因和范围。

11. 安全与自动处理

服务面向 18 岁及以上用户，不以儿童为对象；年龄限制不是已经完成身份或年龄核验的保证。怀疑未成年人提交资料时可通过公开联系表单说明，以便采取适当限制和数据处理。发生个人数据泄露时会评估风险，并在适用法律要求时通知有权监管机构和受影响用户。

平台使用会话验证、访问控制、密码与令牌摘要、上传校验及限制请求等措施；Apple 刷新令牌采用加密保存。任何互联网服务都不能保证绝对安全。请保护设备和邮箱，避免公开敏感资料。平台的分类与翻译建议供人检查，不用于决定贷款、就业或其他具有类似重大影响的资格。

12. 你的权利与联系

在适用条件下，你可请求访问、更正、删除、限制处理、数据可携带，反对基于合法利益的处理，撤回基于同意的选择，并反对直接营销。部分请求可能受法律条件限制，应说明原因。账户资料可编辑，删除入口在设置；‘隐私与数据’提供数据请求及 AI 开关，未登录或受限用户可使用公开联系表单。

请求回执表示已记录，不表示请求已完成。为保护账户可能要求与请求相称的核实，不应提交不必要的证件或私人资料。依法适用时可向英国信息专员办公室 ICO 投诉：https://ico.org.uk/make-a-complaint/ ，或向其他有权监管机构投诉。

13. 政策更新

功能、用途或服务商变化会更新本政策日期和版本，重要变化会通过适用的界面通知或重新确认流程告知。中英文旨在表达相同处理方式。当前仍须补齐运营者法定信息、完整保存政策和供应商及境外传输安排；本版本未声称已完成正式法律审查。