隐私政策

1. 适用范围

本政策适用于 DingHai（中文名称“定海”）iOS 与 iPadOS App，以及本网站提供的隐私和支持页面。

2. 本机位置处理与守锚记录

守锚期间，定海在你的设备上处理精确船位，用于：

• 在地图上部署锚点并计算船舶与锚点之间的距离；
• 判断船位是否超出你设置的警戒范围；
• 绘制本次守锚的移动轨迹；
• 在锁屏或后台继续守锚，并在发生走锚风险时提醒你。

锚点、守锚轨迹、警戒范围、时间、显示偏好和你主动选择的守锚照片先保存在 App 的本地数据容器中； 定海不通过 iCloud 或 CloudKit 同步这些记录。

登录定海账户并开启“同步守锚记录”后，守锚记录会上传到定海服务器，并同步到登录同一定海账户的设备，详见第 4 节。

本机定位、距离判断和警报始终在设备上运行；账户、网络或定海服务器不可用时，本机守锚仍可继续。

只有在你主动开始航迹记录后，定海才会在设备上保存航行经过的位置、时间、定位来源和定位精度，用于显示航迹和航迹历史。 航迹目前只保存在本机，不会上传到定海服务器，也不参与账户同步。

如果你在 App 中填写船上 Signal K 服务的地址，定海会连接该服务，接收船位、航向、对地航速、风和水深等船载数据，用于守锚等航海功能； 连接船上本地网络中的服务需要 iOS 本地网络权限。以 Signal K 作为定位来源时，守锚轨迹和航迹会记录该定位来源。 定海不会向 Signal K 服务发送你的守锚记录、航迹或账户信息。登录定海账户后，船只名称和 Signal K 连接地址会作为船只资料同步到定海服务器和同一账户的设备； 船只资料同步不受“同步守锚记录”开关控制。当前船只名称还会写入每条守锚记录，并随守锚记录同步。

3. 定海账户与身份验证

通过 Apple 登录是可选功能。登录后，定海服务器会处理：

• Apple 提供给定海的用户标识，以及由它生成的定海内部账户标识；
• 设备标识、平台和系统提供的设备显示名称；
• 定海访问与刷新会话的哈希、有效期和撤销状态；
• 加密保存的 Apple refresh token，仅用于账户删除时撤销 Apple 授权。

登录时定海不向 Apple 请求你的姓名或电子邮件地址，也不会要求或保存你的 Apple ID 密码。移动端的定海会话令牌保存在设备钥匙串中。

4. 守锚记录同步、跨设备查看与告警推送

登录定海账户后，“同步守锚记录”开关默认开启。开启时，每条守锚记录是一条只追加的事实日志：开始、船位、警报确认、警戒范围调整、监控中断和结束等事实在本机写入后即上传到定海服务器， 进行中的守锚也会持续上传，不会等到守锚结束。登录前或关闭同步期间只保存在本机的守锚记录，也会在登录并开启同步后上传。

上传内容包括：开始时间、锚点坐标、警戒范围和船只名称；每个船位点的坐标、时间、定位来源、定位精度、与锚点的距离和当时的警戒范围； 警报确认、警戒范围调整、监控中断和结束的时间；记录名称（自动生成的地名或你填写的名称）；你主动加入记录的照片；以及写入每条事实的设备标识。

船位、警报确认、警戒范围调整、监控中断和结束只能由开始该守锚的设备写入；守锚不能被其他设备远程控制，也不能交接给其他设备。 守锚结束后，同一账户的设备可以修改记录名称和照片，或删除记录。

同一账户中开启同步的其他设备，在 App 处于前台时通过实时连接接收这些事实，用于查看进行中的守锚并保存记录副本；App 进入后台、关闭同步或退出登录时，该连接会断开。

守锚进行中，如果开始守锚的设备上报的首个船位即超出警戒范围，或新船位从警戒范围内变为超出，或定海服务器约 5 分钟没有收到新船位，服务器会通过 Apple 推送通知服务（APNs） 向同一账户中其他已登录、开启同步并完成推送登记的设备发送提醒；提醒不会发给开始该守锚的设备本身。只有定海服务器收到时仍是刚测得的船位才计入这两项判断；延迟送达的旧船位只作为记录保存，不会触发越界提醒，也不会重新开始 5 分钟计时。有记录名称时，提醒标题包含船只名称和记录名称；没有记录名称时，仅包含船只名称。 为此，服务器会保存这些设备的 APNs 推送令牌及其推送环境。关闭同步或退出登录时，App 会请求服务器删除这台设备的推送令牌；删除账户或 APNs 报告令牌失效时，服务器也会删除该令牌。 推送是辅助功能，可能延迟或丢失，定海不保证推送送达，请勿以它代替船上设备的本机警报。

你可以在 App 的账户页关闭“同步守锚记录”。关闭后，App 停止上传本机守锚事实、停止接收其他设备的事实，并请求服务器删除这台设备的推送令牌； 本机和服务器上的记录都不会因此删除，尚未上传的本机事实会保留，重新开启后继续上传。关闭期间，其他设备上已有的副本不会更新； 若关闭时本机正在守锚，服务器约 5 分钟后会向同一账户其他开启同步的设备推送“没有收到船位”的提醒。本机守锚不受影响。

守锚数据不会用于广告、用户画像或跨 App 跟踪。航迹不参与上述同步。

5. Apple 与基础设施服务

Apple 地图样式使用 MapKit；GSHHG 海岸线底图、矢量海图和栅格海图由 MapLibre 库在设备上读取本地数据并绘制。 GSHHG 底图的下载和更新检查会从 resources.dinghai.app 获取清单；安装时，App 会下载清单指定的资源包。 设备定位、通知和实时活动使用 Apple 的 Core Location、UserNotifications、ActivityKit 等系统服务。 开始守锚后，定海通过 MapKit 按锚点坐标查询附近地名，作为守锚记录的自动名称。跨设备告警通过 APNs 发送。 Apple 对这些系统服务的数据处理适用其自身的隐私政策。

定海使用 Cloudflare Workers、D1、R2 和 Durable Objects 提供账户、守锚记录同步与告警推送：D1 保存账户、身份关联、设备、会话、推送令牌和船只资料； 每个账户一个 Durable Object 保存该账户的守锚事实日志；R2 保存守锚照片。定海不接入广告 SDK 或第三方分析 SDK。

6. 权限

• 使用 App 期间的位置：显示当前船位、部署锚点、计算锚距，或记录你主动开始的航迹。航迹记录只需要此权限，开始后在锁屏或切换 App 时也会继续，不要求“始终允许”。
• 始终允许与精确位置：锁屏、切换 App 或系统按位置条件唤醒时持续守锚。
• 通知：在本机发生走锚风险时发送提醒；登录并开启同步后，还用于显示同一账户其他设备守锚的越界提醒和约 5 分钟未收到新船位的提醒（见第 4 节）。
• 本地网络：连接你填写的船上 Signal K 服务并接收船载数据。

定海不请求麦克风、相机或通讯录权限，也不会录音。只有你通过系统照片选择器主动选择的照片才会进入守锚记录。

7. 保留、删除与控制

已结束的守锚记录会保留到你在 App 内逐条删除。在其他设备上，没有结束记录且超过 7 天没有新船位的守锚可显示为“未结束”（从未收到船位时，从开始时间计算）。 开始守锚的设备仍会恢复本机最新一条没有结束记录的守锚，不受时间长短限制，也不会将其列入日志。App 目前不提供删除没有结束记录的守锚的选项。 删除已同步的记录时，服务器会删除该记录的全部事实和照片，只保留一个不含守锚内容的删除标记，用于让同一账户的其他设备删除各自的副本； 关闭同步期间删除的记录，会在重新开启同步后从服务器删除。

删除 App 会移除当前设备 App 数据中的守锚记录、照片和航迹，包括尚未上传的记录；已上传到定海账户的守锚记录仍保存在服务器上， 重新安装后登录同一账户并开启同步，会再次同步到设备。

你可以在 App 内逐条删除航迹；退出登录或删除定海账户不会删除本机航迹。

你可以在 App 的账户页面退出登录或删除定海账户。退出登录时，服务器会撤销这台设备的定海会话、断开它的实时连接并删除它的推送令牌； 随后 App 会从当前设备移除已归入该账户的守锚记录和照片，包括已开始上传但尚未上传完成的记录，本机正在进行的守锚除外。服务器上的记录不受影响，重新登录后会再次同步。

删除账户时，定海服务器会清空该账户的守锚事实日志并断开它的所有实时连接，删除该账户的守锚照片，撤销 Apple 授权， 并删除账户、Apple 身份关联、设备、定海会话、推送令牌和船只资料。随后 App 会从当前设备移除已归入该账户的守锚记录和照片（本机正在进行的守锚除外）， 并清除钥匙串中的定海会话。

登录并开启同步后，App 会把登录前或关闭同步期间创建、尚未上传的本机守锚记录归入当前账户并上传；此后退出登录或删除账户时，这些记录会和其他已归入该账户的记录一起处理：删除账户时从服务器和当前设备删除，退出登录时从当前设备移除。只有创建以来从未在登录并开启同步的状态下同步过、因而尚未归入任何账户的本机守锚记录，不受退出登录或删除账户影响。其他设备上已同步的本地副本不会因删除账户而自动移除。

你可以随时在系统“设置”中撤销定位或通知权限。撤销守锚所需权限会停止相应保护能力。

8. 数据使用与共享

定海仅为提供账户、守锚记录同步、跨设备查看与告警推送、安全与支持目的处理上述数据，不出售个人数据， 也不与广告、分析或数据经纪服务共享。除 Apple 和 Cloudflare 提供相关系统或基础设施处理外，定海不会将这些数据提供给其他第三方。

本网站不使用 Cookie、访问统计、跟踪像素或第三方字体。

9. 使用边界

定海是辅助守锚工具，不提供紧急救援或船舶控制，也不能替代安全锚泊程序、人工值守和合规船载设备。 请始终保留独立的安全措施。

10. 政策更新与联系

如果数据处理方式发生实质变化，我们会同步更新本页面、App Store 的隐私标签，并在适当情况下通过 App 告知你。

如有隐私问题，请通过 GitHub Issues 联系开发团队。请勿在公开 Issue 中填写船位、轨迹或其他敏感信息。