隐私政策

最后更新日期：2026年10月17日。

Tales of Museums 和 talesof.app 由居住在匈牙利的个人 Adrienn Sepa 以 Talesof 品牌提供。她是您个人信息的控制者。本政策说明您在使用本应用或 talesof.app 时，您的信息是如何被处理的。如有隐私方面的问题或请求，请联系 hello@talesof.app。

我们使用本文所述的信息来提供、运营、保护和支持本应用及网站，防止滥用，修复问题，并改进现有功能，例如标牌识别和解说质量。下文所述的部分做法属于计划中而非当前实践；这些内容已标注为“计划中”，我们会在其生效前更新本页面。

法律依据：我们处理信息是为了提供本应用以及您所请求的购买（履行合同）；为了保护服务安全、防止欺诈和滥用、修复问题并改进现有功能（我们在运营一项安全、正常运作的服务方面的正当利益）；为了保存购买和会计记录（法律义务）；以及在我们征求您的同意时，基于您的同意进行处理，您可以随时撤回该同意。

您的相机与博物馆标牌

本应用在您的设备上识别标牌文字。进行新的读取时，应用会将拍摄的图像、可用的已识别文字、您的语言和读取选项发送到我们的服务器。图像中可能包含标牌周围的人物或其他细节。请注意取景框中包含的内容。

您从相册中选择或分享到本应用的照片，与相机扫描以相同方式处理；位置信息和其他隐藏的元数据会在上传前被移除。

应用会在读取完成后尝试删除临时照片文件。我们的服务器通常在内存中处理图像。如果应用和服务器均启用了诊断捕获，服务器还会保存图像和模型响应以便排查问题。

计划中：我们打算将拍摄的图像存储在我们自己的基础设施上或 Supabase 等服务提供商处，以运营读取服务并改进识别和解说质量。常规的图像存储目前并非现行做法；在开始之前，我们会在此处注明保留期限。

AI 服务

读取内容、翻译、解说、补充知识和术语解释均由 AI 生成。您听到的声音是合成语音，而非真人录音。AI 输出可能包含错误。

AI 和语音服务提供商可能包括 Google、OpenRouter、Fish Audio、Cartesia 和 Speechify，以及通过 OpenRouter 访问的模型提供商。这些服务处理图像或文本，以识别标牌、翻译内容并生成解说。所使用的提供商取决于功能和配置；并非每个提供商都会收到每次读取的内容。

计划中：如果 Google 的标牌读取服务不可用，我们可能会将同一拍摄图像、可用的已识别文字和读取指令发送给 OpenRouter 及为该请求选定的模型提供商，作为一次性的备用方案。该提供商可能不同于 Google。

每日摘要会将已保存的展品文字发送给 AI 提供商。失败的读取可能会将文字节选和失败详情发送给 AI 提供商，以解释问题所在。

为了提供关于展品的可选背景知识，我们会请求一个基于 Google 搜索的模型，利用标牌文字和可用的已识别文字，查找标牌所描述的人物、物品、地点或时期的公开信息。我们的服务器还会在 Wikipedia 中搜索标牌的标题，并可能显示匹配文章的简短摘要。仅当您选择查看时，我们才会显示这些知识，并附上我们所依据来源的链接。这些知识来自公开来源而非博物馆，可能不准确或不完整。我们仅将该搜索用于查找和呈现相关知识，不用于广告。

当您点按读取内容中的某个术语以了解更多时，我们会将该术语和标牌文字的简短节选发送给 AI 提供商，以您选择的语言撰写更详细的解释。我们仅在您请求时才请求并缓存该解释，且不会将其用于广告。

在受支持的 Apple 设备上，应用可能使用 Apple 的设备端语音转写功能和 Desert Ant Labs 的 Align 模型，以改进生成解说中的词语时间对齐。导览音频及由此产生的时间数据保留在设备上，不会为此功能发送到我们的服务器或 Desert Ant。如果 Apple 的设备端转写资源尚未安装，设备会从 Apple 下载。Apple 可能会收到正常的模型下载请求数据，例如 IP 地址以及设备或网络信息；导览音频不会为此功能发送给 Apple。应用会在需要时下载体积较小的 Align 模型；Desert Ant 和下载主机可能会收到正常的下载请求数据，例如 IP 地址以及设备或网络信息。我们仅将其用于改进播放时的文字高亮，不用于广告。Android 不使用此功能。

账户与购买

我们的账户提供商管理您的账户，包括在您添加电子邮件地址之前创建的账户。电子邮件注册和登录会将您的电子邮件地址和密码发送给该提供商。您的登录会话保存在您的设备上。

当您创建匿名账户、使用电子邮件和密码登录、请求电子邮件登录链接或重置密码时，应用会在内嵌浏览器中使用 Cloudflare Turnstile 来检测自动化滥用。Cloudflare 会处理技术信号，包括 IP 地址、TLS 指纹、user-agent、Turnstile 站点密钥及关联的来源。我们会将一次性结果发送给我们的账户提供商进行验证，然后再完成账户请求。我们仅将其用于防止自动化账户活动和滥用，不用于广告。Cloudflare 也会使用这些信号来改进其机器人检测服务；有关 Cloudflare 的现行条款和披露，请参阅 Cloudflare 的 Turnstile 隐私附录和隐私政策。我们尚未独立核实 Cloudflare 控制面板的保留设置或小组件模式设置。

通过 Apple 或 Google 登录时，会在您的设备上使用该公司自己的登录界面。Apple 会返回您 Apple 账户的标识符，以及（在您允许的情况下）一个电子邮件地址，该地址可能是私密转发地址；应用不会向 Apple 请求其他任何个人资料信息。Google 会返回一个登录令牌，其中包含您 Google 账户的电子邮件地址、账户标识符和基本个人资料信息。应用将返回的令牌发送给我们的账户提供商，由其验证并记录关联的账户。我们不会从这两家公司收到任何密码。当您撤销访问权限或更改您的私密转发地址是否转发邮件时，Apple 可能会通知我们的服务器；我们使用这些通知来保持您的账户访问状态和联系状态为最新。

我们的电子邮件提供商会收到您的电子邮件地址和账户消息，包括确认链接和密码重置链接。

在启用购买功能的情况下，我们的购买服务和您的应用商店会处理购买信息。我们的购买服务会收到您的应用账户 ID。我们的服务器会收到产品 ID 和交易 ID，包括 Apple 将该交易验证为 Sandbox 还是 Production，并针对您的账户记录已验证的购买和积分变动。Apple Sandbox 交易仅用于测试购买，并非真实扣款。指定的发布审核账户及其测试积分与普通客户账户分开标记。测试积分不能转移到客户账户，发布审核账户也不能转换为普通付费账户。

使用情况与设备信息

计划中：我们将使用一项诊断服务来发现应用和服务器中的崩溃、错误和缓慢步骤，涵盖启动、导航、登录、购买、设备检查、标牌扫描、解说、播放和共享参观。报告将包含技术错误类别和代码位置、事件时间、步骤耗时和结果、应用和服务器版本、设备型号和操作系统版本、服务和模型名称，以及数值形式的资源使用信息。随机标识符将把一次操作的各个步骤在应用和服务器之间关联起来。我们将排除照片、标牌文字、音频、账户标识符和持久性设备标识符、电子邮件地址、凭据、购买收据和交易标识符，以及共享参观代码。屏幕截图、会话录制和不受限制的控制台日志将被禁用。当您的设备传输报告时，该服务会收到您的 IP 地址。我们将核实报告字段、保留期限和处理地点，并在面向访客启用此功能之前公布核实后的详情。

应用会向我们的服务器发送使用分析数据，包括安装 ID、事件时间、界面和播放操作、设置更改和错误。事件可能包含展品标题和参观 ID。运营日志包括请求标识符、响应状态、耗时、应用上报的应用版本和构建号，有时还包括已识别文字的节选。这些记录用于使用情况分析和故障排查。

计划中：如果您已启用故事制作功能，且运营者选择您的账户来制作故事，应用将在应用处于前台时，把一次现有读取的文字、音频、语言和时间信息上传到我们的服务器。此功能不会上传新照片。您可以在应用中关闭故事制作功能。源文字和音频将在 24 小时后删除；制作完成的视频和海报将在七天后删除。故事是为供您查看和分享而制作的；应用不会自动将其发布到 Instagram、WhatsApp 或其他服务。分享操作及您的反应（例如打开、重播、关闭或选择分享目标）将与您的账户关联 30 天。另有一份运营者审计记录将保留 90 天。此后，匿名汇总计数可能保留 12 个月。

计划中：如果您另行选择接收故事就绪通知，我们将发送一条通用通知，告知故事已就绪。通知不会包含您的读取文字或故事详情。Apple 或 Google 可能会收到设备推送令牌以及送达该通知所需的信息。您可以随时关闭通知。推荐记录可能会将邀请人账户与被邀请人账户关联起来，并显示该邀请是否满足资格条件。这些关系和资格记录将在其过期或账户被删除后最迟 90 天内删除。所授予积分的积分账目记录将出于财务记录保存目的而保留。

我们记录扫描性能信息，以发现延迟和错误。这包括随机扫描标识符、应用和服务器版本、语言、所请求的解说音色、图像和文字大小、处理时间、所使用的 AI 和语音服务及模型、服务器的决策，以及是否使用了设备端文字识别、重试或修复。应用还会报告每次扫描到达了哪些步骤（例如相机、上传、翻译和播放）、每个步骤耗时多久、精确到分钟的扫描时间，以及某一步骤失败时的一般错误类别。这些记录不包含您的照片、标牌文字、音频、IP 地址或账户和设备标识符。我们会将这些记录临时保存在您的设备和我们的服务器上，以便重试中断的上传。您的设备最多保留 20 次扫描的记录，每条不超过 24 小时，并在上传成功后或您退出登录时更早移除。我们服务器上的待处理记录会在七天内过期。我们将详细记录自收集之日起在数据库提供商处存储 30 天，并将不含扫描标识符的每日摘要保留 12 个月。

为防止重复领取免费积分，我们会将设备标识符与您的账户关联。在 iOS 上，设备验证服务还会收到一个令牌，用于检查该设备是否已领取过积分。

为了创建和保护匿名账户、防止欺诈并限制滥用，应用会在 iOS 上将 Apple App Attest 数据、在 Android 上将 Google Play Integrity 数据发送到我们的服务器。Apple 或 Google 会验证该请求是否来自合格设备上我们应用的正版。我们存储有限的安全记录，例如经认证的应用密钥标识符和计数器、完整性判定结果、账户与设备的关联以及反滥用决策。我们还会将截断的或经密钥哈希处理的网络速率限制值保留最多 24 小时。原始证明数据我们最多保留七天；安全记录在账户或设备处于活跃状态期间保留，并在删除或撤销后最多保留 90 天。我们不会将这些记录用于广告。

为了限制对可选解释和知识解说的自动化或过度请求，我们会保留一个与您账户标识符的密钥哈希关联的短期计数器。该计数器记录一个按日计算的时间窗口内的请求次数，而非解释文字或音频。它在该时间窗口结束时、即创建后 24 小时内过期，并由我们的定期安全清理移除。清理中断或积压可能会延迟移除。我们仅将其用于保护服务和控制滥用，不用于广告。

应用不会请求 GPS 位置信息。但照片和展品文字仍可能透露您所在的位置。

计划中：博物馆共享参观

当共享参观功能在应用中可用时，创建或加入一次参观会将您的账户与该参观关联。我们的服务器将保存参观代码、参与者成员资格、所选语言、参与者是一起收听还是各自收听，以及读取内容的参观日志。其他参与者将能够看到参观日志中的读取内容。音频将以参与者各自选择的语言送达一起收听的参与者；在“独自”状态下进行的读取只会播放给您本人，但其条目仍会出现在参观日志中。“独自”并非私密读取模式。

您的设备会将您收到的完整共享读取以文字和音频形式保存到“历史记录”中，同样受最近 50 条读取的上限约束。这些已保存的读取在您离开参观后仍会保留，直到您删除它们或被更新的读取取代。不完整的共享录音不会作为完整读取保存。共享参观的“历史记录”不会包含标牌照片。

当主持人结束参观或最后一位参与者离开时，我们会移除临时的参观成员资格和重播记录。参观在四小时无活动后将过期，其记录将在下一次参观清理时移除；无关的参观不会延长该保留期。临时的服务器音频仍受下文所述的单独服务器音频保留期约束。结束参观不会删除已保存在参与者设备上的读取内容、财务记录或单独保留的运营记录。

计划中的临时共享音频存储

我们将把生成的共享参观音频发送给 Cloudflare，临时存储在一个私有的 Cloudflare R2 存储桶中，以便服务器将其送达获授权的参与者并支持参观期间的重播。我们不会在该存储桶中存储标牌照片。一旦音频超过 15 分钟的保留期，服务器将拒绝读取，然后请求删除，并在删除失败时重试。Cloudflare 服务中断或反复删除失败可能会延迟移除，因此我们无法保证在精确的某一分钟删除。有关 Cloudflare 的角色，请参阅服务提供商信息。

为了限制猜测参观代码的尝试，我们将为您的账户临时记录加入失败的次数。该记录将在最近一次失败尝试后五分钟过期。我们仅将其用于保护共享参观免遭滥用。

存储与删除

我们存储账户和设备标识符、账户创建详情、积分余额、购买记录和积分历史。账户、设备、购买、使用情况和运营记录没有固定的自动删除时间表。

我们会将您的账户已接受本隐私政策的哪个版本以及接受时间，作为您账户信息的一部分予以记录。与即使在账户删除后我们仍出于财务记录保存目的而保留的购买和积分记录不同，如果您删除账户，该接受记录会与您的其他账户信息一并删除。

您的设备最多保留 50 条包含文字和音频的最近读取。您可以逐条删除读取；添加更多内容会移除最早的条目。服务器音频是临时的，15 分钟后在后续检查时即可被移除。

计划中：故事源文字和音频将在 24 小时后移除，制作完成的故事视频和海报将在七天后移除。与账户关联的故事反应事件将在 30 天后移除，运营者审计记录将在 90 天后移除；匿名汇总总数可能保留 12 个月。推荐关系和资格记录将在过期或账户删除后 90 天内移除。积分账目记录出于财务记录保存目的而保留。

诊断图像清理会在保存另一张图像时运行。它会移除超过七天或超出最新 200 张之外的图像，连同其关联的诊断记录。如果没有进一步的捕获触发清理，文件可能会保留更长时间。

删除已保存的读取不会删除您的账户或服务器记录。您可以在应用中请求删除账户（包括在添加电子邮件地址之前创建的账户），或发送电子邮件至 hello@talesof.app 提出请求。我们会保留一条最小化的待删除记录，包含您的账户 ID、请求时间和处理状态，以便完成或重试您的请求。已完成的删除任务记录我们会在七天内移除。删除成功后，您的登录信息和政策接受记录将被移除；购买和积分记录出于财务记录保存目的而保留，有限的安全记录则遵循上述保留期限。目前尚无固定的备份删除时间表。

儿童

本应用面向一般受众，并非针对儿童。您必须年满 13 周岁才能使用本应用。未满 13 周岁的儿童只能在与其共同使用本应用并代其同意的父母或监护人陪同下使用。本应用不核实年龄。如果我们获悉未满 13 周岁的儿童在没有父母或监护人参与的情况下创建了账户，我们会将其删除。父母和监护人可以联系 hello@talesof.app 请求删除。

托管与跨境处理

托管、账户、电子邮件、购买和 AI 提供商会处理上述功能所需的信息。信息可能在您所在国家/地区以外处理。处理地点和提供商的保留安排取决于所使用的服务。

本政策及服务提供商页面中列出的服务提供商为当前示例。随着应用的发展，我们可能会在这些类别内增加、移除或更换提供商。

如果本应用或其资产被转让给另一组织（例如通过合并、收购或重组），信息可能会作为该变更的一部分被转移，并将继续受一项保护程度至少与本政策相同的政策约束。

访问 talesof.app

本网站没有广告、Cookie 或第三方分析工具。我们的网站托管商 Cloudflare 会处理每个请求，包括您的 IP 地址、浏览器 user agent 和所请求的页面，以提供并保护本站。当页面加载失败时，您的浏览器也可能向 Cloudflare 发送自动错误报告。我们依据的是我们在运营一个正常运作、安全的网站方面的正当利益。这些托管日志的保留期限尚未确认。

为了解哪些页面有用，本网站在服务器上统计页面浏览量。对于在普通浏览器中浏览的每个页面，它会按日期、页面地址（不含“?”之后的内容）、Cloudflare 根据您的 IP 地址推断出的国家/地区，以及来源网站的名称（或者，如果您所点击的链接带有推广活动标签，例如“utm_source=chatgpt.com”，则为该标签）对应的每日总数加一。AI 助手因其某位用户提出问题而抓取的页面，会以该助手的名称单独计数。当您点按“在 App Store 下载”按钮或扫描其二维码时，本网站会按日期、按钮所在的页面和位置以及您所在的国家/地区对应的每日总数加一，然后将您转至 App Store；该链接会将该页面和位置标注为一项 App Store 推广活动，以便 Apple 向我们显示每个位置带来了多少次下载，且仅以总数形式显示。仅存储这些总数，保存在位于西欧的 Cloudflare 数据库中：不存储 IP 地址、Cookie、浏览器详细信息或其他标识符，且为此不会在您的浏览器中运行任何内容。我们依据的是我们在改进本网站方面的正当利益。我们会在 24 个月后删除这些总数。

当您通过我们网站上的链接前往其他网站时，您的浏览器会告知该网站您来自 talesof.app：仅告知网站名称，不包括您正在阅读的页面。

如果您在网站的语言菜单中选择了一种语言，您的浏览器会以“museums-lang”为名将该选择存储在您的设备上，以便下次以该语言打开页面。该信息不会发送给我们，您可以通过在浏览器中清除本站数据来移除它。

如果账户邮件打开了我们的确认页面，我们的网站托管商会收到其请求 URL，包括该 URL 中的任何临时登录代码。该页面会将代码传递给应用以完成账户操作。其脚本不会将代码保存到浏览器存储中，也不会发送给分析工具。请求 URL 可能出现在托管日志中；其保留期限尚未确认。

您的权利

根据适用法律，您可能有权访问、更正、删除您的信息或获取其可携带副本、限制处理或反对某些用途。在适用的情况下，您可以选择退出出售或共享，并在不受非法歧视的情况下行使您的权利。这些权利受法律条件和例外的约束。

当处理基于同意时，您可以撤回同意，而不影响此前合法处理的效力。您可以向您居住地或工作地的数据保护机构，或向匈牙利国家数据保护与信息自由局（NAIH）投诉。

请将请求发送至 hello@talesof.app。我们可能会要求您提供核实身份和查找您记录所需的信息。请勿发送您的密码或支付卡信息。

本政策的变更

本政策变更时，我们会更新本页面及其日期。如果变更属于重大变更，我们会在法律要求的情况下另行通知。更改本页面本身并不免除任何单独的通知您或征求您同意的义务。我们的服务条款规定了使用本应用的规则。