旅途今日隐私政策

生效日期：2026-11-02
版本：v2（草稿，待律师审阅；2026-11-02 加入“问 AI”）

旅途今日（下称“本 App”）由Ziyu Guo（日本的个人开发者，下称“我们”）开发和运营。这份政策说明本 App 处理哪些信息、为什么、发给谁、保存多久，以及你可以怎么做。

1. 一句话总结

不需要注册账号。没有广告，不追踪你，不卖数据，不使用第三方统计或广告 SDK。
你的行程保存在你的手机里，以及你自己选择的 iCloud 云盘文件夹里；我们的服务器不保存。只有你用 AI 功能时，需要的内容才会经过我们的服务器发出（见第 3、4 节）。
只有在你同意后、点“生成”时，你这次加的材料（每份的名称和文字）和你填写的行程名称才会经过我们的服务器发给 Anthropic 公司（美国）的 AI 模型，整理成逐日行程。
用“问 AI”时，你的问题、最近几轮对话、当前这趟行程的内容，以及你主动附上的照片或位置，也会经过我们的服务器发给 Anthropic；为了回答，AI 可能会上网搜索和打开公开网页（详见第 4 节）。
我们的服务器不保存这些内容，只按天记录每台设备的使用次数（用加密散列后的编号，不含内容）。Anthropic 在 30 天内自动删除，并且不会用它们训练模型（例外见第 3 节）。

2. 只在你手机上的信息（我们收不到）

信息	用途	存在哪里
行程、打勾、你的改动、短语卡、地址卡、出发前清单、生成时用的材料原文	显示和使用行程；需要时重新生成	手机上的 App 数据；你选择的 iCloud 云盘文件夹
截图里的文字识别	把截图变成文字	在手机上完成（使用苹果的文字识别功能），截图本身不会发出
短语翻译	生成当地语言的短语卡	使用苹果的翻译功能；本 App 的服务器收不到这些文字
本机使用统计	让你自己看旅途今日好不好用（例如生成后要确认的条目比例、确认用了多久、各功能打开了几次）	只在手机上，不上传。只记次数、编号（行程和条目的编号）、时间和日期，不记行程内容。可以在“设置 › 本机使用统计”查看全部内容并清空；“导出全部数据”时会包含在导出文件里，由你决定是否分享
报告问题	你对 AI 生成的某一项点“报告问题”时，记下问题类型、你写的说明、这一项的标题和报告时间	手机上的 App 数据；导出这个行程时一起导出。只有你选择发邮件时才会发给我们（见下面“报告问题的邮件”）
票和文件（你加进来的 PDF、图片，可能有姓名、订单号、条码）	在行程里出示；在手机上找出二维码或条码并放大（使用苹果的 Vision，在手机上完成）	手机上的 App 数据；这趟行程的 iCloud 云盘文件夹（备份）。不会发给我们或 Anthropic，不参与 AI 整理；选了“一起导出票和文件”时会包含在导出文件里

iCloud 云盘由 Apple 按其隐私政策提供，我们无法访问你的 iCloud。手机上的 App 数据也会包含在你自己的 iPhone 备份（例如 iCloud 云备份）里，由 Apple 按其政策处理。

翻译链接：你点“用 Google 翻译打开”时，App 会把那句文字和语言放进网址，打开 Google 翻译 App 或网页；之后由 Google 按其隐私政策处理，我们收不到。App 内的苹果离线翻译在手机上完成，不发送给任何人。

地图链接：你点某个地点时，App 会把地点名称（有地址时连同地址）放进网址，打开 Google 地图或 Apple 地图；之后由 Google 或 Apple 按其各自的隐私政策处理，我们收不到。

报告问题的邮件：在“报告问题”里选择发邮件时，App 会打开你手机上的邮件 App，预先填好收件人（zguo415@gmail.com）、主题和正文。正文包括问题类型、这一项的标题、你写的说明、App 版本和报告编号；只有你打开“附上这一项的内容”时，才会加上这一项的日期、时间、地点和说明文字。邮件由你自己确认后发送，也可以不发。发送后，我们会收到这封邮件和你的邮箱地址，只用来处理这次报告、回复你和改进生成；处理完后最长保留 12 个月，之后删除。

3. 点“生成”时发送的信息

第一次生成前，App 会显示说明并请你同意。你不同意，就不会发送任何材料，仍可手动建行程。

发送什么（每次生成发送一次）

材料：你这次加入的每份材料的名称和全文。选文件时，名称就是文件名（文件名里可能有人名，例如“张三-酒店确认.pdf”）；粘贴的文字和截图用“粘贴 1”“截图 1”这样的名称。全文包括粘贴的文字、从截图识别出的文字、从文件（文本、PDF、网页、邮件文件等）读出的文字。
邮件文件：你选择邮件文件（.eml）时，App 先在手机上把邮件拆开，只发送发件人、收件人、主题、日期和正文文字；其他邮件头（例如经过的邮件服务器、签名信息）和附件都不发送。
行程名称：你填写的行程名称（如有）。App 不发送行程日期。
生成设置：你选的场景包编号（例如“带小孩”“忌口 / 过敏”）、行程语言（和 App 的界面语言一致，例如简体中文或日文）。
请求信息：这次请求的随机编号、行程的随机编号、请求的创建时间、App 名称和版本。
同意记录：你同意的说明版本、同意时间，以及“已满 18 岁”的确认。不含姓名或其他身份信息。
防滥用的技术信息：Apple App Attest 的密钥编号和对这次请求的签名，用来确认请求来自这台设备上的正版 App、没有被篡改。第一次生成前，App 还会发送一次 Apple 签发的 App Attest 验证数据（含这个密钥的公钥），用来登记这台设备。

其中只有材料（名称和全文）和行程名称会转给 Anthropic；其他信息只由我们的服务器检查，处理完即丢弃，不保存（下面的“设备记录”除外）。

不会发送：照片或截图本身、其他行程、通讯录、位置、你手机里的其他内容。

请不要放进材料：护照号、银行卡号、病历或健康信息等敏感信息。

经过谁、发给谁

我们的生成服务器：运行在 Cloudflare, Inc.（美国公司）的全球网络上，请求通常由离你最近的数据中心处理，所以具体在哪个国家处理无法事先确定。服务器只负责转发和检查结果：
- 不把材料写入硬盘或数据库，日志里不记材料。
- 为了验证请求确实来自这台设备上的正版 App，并限制每台设备的使用次数（目前每台设备每天最多 3 次、每月 2 次，新安装的前 7 天共 3 次；问 AI 旅途中每天 5 条、其他日子每天 2 条），保存一条“设备记录”。每次安装 App 都会有一条：App 第一次打开时就向服务器登记，不论之后用不用 AI 功能。记录用 App Attest 密钥编号经加密散列（HMAC）后的值命名，不保存原始编号；内容是：这台设备 App Attest 密钥的公钥和签名计数器、记录的创建时间、安装来源（TestFlight、App Store 或开发版，App 登记时从自己的安装收据读出）、当天和当月的生成次数。不包含材料内容、行程名称、姓名、联系方式或 IP 地址。从创建起 90 天后整条自动删除（之后 App 会重新登记）。
- “从哪里知道的”：App 第一次打开时问一次你从哪里知道这个 App（App Store 搜索、小红书、note・Zenn、X、朋友推荐、别人分享的行程、其他），可以跳过。只发送你选的那一项，不发送任何文字；服务器在设备记录里记下“已回答”（每次安装只收一次），并把这一项加进当天的合计次数。合计只有“哪一天、哪个版本（个人版 / 公开版）、安装来源（TestFlight / App Store / 开发版）、哪一项、几次”，不和设备记录的编号放在一起，保存 2 年；设备记录里的“已回答”随记录在 90 天内删除。
- 我们会从这些设备记录里按天汇总出所有设备合计的使用次数（例如当天一共生成了几次、问了几条，可按安装来源分开），用来了解整体使用情况和控制成本。汇总结果不含设备记录的编号，App 也不为此另外上传任何东西。
- 为了整体预算上限，服务器还记录每天所有用户合计的 AI 费用；这个数字不和任何设备或内容关联。
- 运行日志：每次登记设备或生成记一行，内容是结果和错误代码（验证失败时附简短的技术原因）、安装来源、使用的模型和处理地区、材料份数和总字数、token 数、费用、耗时、AI 的结束原因、生成的条目数和其中需要你确认的条数、是否退还次数，以及记录时间。不含材料文字、文件名、行程名称、请求或行程编号、设备记录的编号或 IP 地址。最多保存 7 天。
- 我们不记录你的 IP 地址。为了防止滥用（同一网络每天最多问 AI 40 条、生成 6 次），服务器只保存“当天日期 + IP 地址”经加密散列（HMAC）后的一个编号和当天的次数和花费，不保存 IP 地址本身，编号每天都变；为了发现异常使用，还按设备记录编号的缩写记当天的花费。这些都在 2 天后删除。Cloudflare 为了把请求送到服务器，会按其与我们的数据处理协议处理 IP 地址等连接信息。
Anthropic, PBC（美国）：用其 Claude 模型把材料整理成行程。我们通过 Anthropic 的商业 API 使用，适用其商业条款和数据处理附录：
- 模型在美国的服务器上运行。
- Anthropic 不会用这些内容训练模型（Anthropic 官方说明：https://privacy.claude.com/en/articles/7996885 ）。
- Anthropic 在收到或生成后 30 天内自动删除 API 的输入和输出。例外：为执行其使用政策、或法律要求时，可能保存更久；被其自动系统判定为违反使用政策的，输入和输出最长保存 2 年，安全分类的评分最长保存 7 年（Anthropic 官方说明，2026-07-01 更新：https://privacy.claude.com/en/articles/7996866 ）。我们没有使用需要由用户自己控制保存期的服务（例如 Files API）。
- 我们发给 Anthropic 的只有给 AI 的固定指令、材料（名称和全文）和行程名称，不附带设备编号或任何能识别你的编号。

4. 用“问 AI”时发送的信息

第一次用“问 AI”前，App 会单独说明并请你同意。你不同意，就不会发送任何内容；行程的其他功能照常使用。

每条消息发送什么

你的问题，以及你贴进来的原文（例如酒店发来的消息）。
最近的对话：这段对话最近最多 10 轮问答的文字（AI 回答里的卡片会写成文字一起带上）。更早的不发送。
当前这趟行程的内容：每天的日期和时区、每一项（时间、标题、地点、说明、你的备注、是否已订）、住处、待办，以及你在手机上做过的改动。你的其他行程只发送标题、日期、城市和各天的项目标题，不发送内容细节。
旅行者资料（如果你在设置里填了）：护照国籍、居住国、居留身份、签证，各一句简短说明。不发送护照号。
时间信息：手机上的今天和时区、现在的时间、你是从哪个页面打开“问 AI”的。
照片（只在你那条消息里附了照片时）：缩小后发送，照片里的附加信息（例如拍摄地点和时间）会被去掉。照片只随那一条消息发送一次。
位置（只在你点了“发送我的位置”时）：精确到约 1 公里（只保留经纬度小数点后 2 位），超过 30 分钟的位置不发送。只随那一条消息发送一次。
请求信息和防滥用的技术信息：消息的随机编号、App 名称和版本、同意记录，以及和“生成”相同的 Apple App Attest 签名（见第 3 节）。

会被拦下的：看起来像银行卡号的数字，以及写明“护照”字样并跟着号码、或符合常见护照号格式的内容，会被手机或我们的服务器拦下，不转给 AI。但不能保证认出所有写法，请不要在消息里写卡号、护照号。

转给 Anthropic 的：上面除“请求信息和防滥用的技术信息”以外的内容，加上给 AI 的固定指令。不附带设备编号或任何能识别你的编号。

网页搜索：为了回答营业时间、规定、路线这类会变的问题，AI 可能会使用 Anthropic 提供的网页搜索和打开网页功能。搜索词由 AI 根据你的问题写（可能包含地名、店名、日期），在 Anthropic 那边执行；我们的服务器只收到搜索结果。搜索词不包含你的行程全文、照片或位置坐标（AI 被要求不把坐标写进搜索词）。

天气：AI 查天气时，我们的服务器会把城市名，或者你发的位置（精确到约 1 公里），发给天气服务 Open-Meteo（OpenMeteo GmbH，瑞士），查城市的坐标并取回那一天的预报。不发送其他内容。Open-Meteo 按其条款可能保存服务器日志（含 IP 地址和请求里的坐标）最长 90 天；发出请求的是我们的服务器，不是你的手机（Open-Meteo 条款：https://open-meteo.com/en/terms ，2026-11-02 查阅）。

我们的服务器保存什么

不保存你的问题、对话、行程、照片或位置，日志里也不记这些内容。
为了每台设备的次数和费用上限，在第 3 节的“设备记录”里按天（UTC 日期）记：当天的 AI 费用合计、问了几条、上网查了几次、被判定和出行无关或被拒答的次数；正在回答的消息有一条临时记录（最长 30 分钟）；为了断网重发时不重复扣次数，保存消息编号的加密散列值 1 小时。都不含内容。按天的计数保存 90 天（用来统计和防滥用；其中也记被拒的消息分别在旅途中和平时有几条），设备记录从创建起 90 天后整条删除。
运行日志：每条消息记一行，内容是结果、问题和对话的字数、带了几轮历史、有没有附照片或位置（不含照片和坐标本身）、AI 用了哪些功能、卡片的种类和张数、token 数、费用、耗时、错误代码和安装来源。不含文字内容、编号或 IP 地址。最多保存 7 天。

报告这条回答的邮件：每条 AI 回答下面有“报告这条回答”。点了以后，App 会打开你手机上的邮件 App，预先填好收件人（zguo415@gmail.com）、主题和正文。正文包括这条回答原文的前 1500 字、回答编号和 App 版本；不包括你问的问题、之前的对话、照片、位置和行程内容。回答原文本身可能提到你行程里的日期、地点或店名。发送前你可以删改正文里的任何内容，也可以不发。发送后，我们会尽快确认。我们会收到这封邮件和你的邮箱地址，只用来查明这条回答哪里有问题、回复你和改进问 AI；处理完后最长保留 12 个月，之后删除。

清空对话：在 App 里清空一段对话，会从手机上删掉这段对话和发过的照片。我们的服务器本来就没有保存；已经发给 Anthropic 的部分按第 3 节的期限删除。

5. 我们为什么处理这些信息

根据你的材料生成行程，并检查结果和原文是否一致；回答你在“问 AI”里的问题。
防止滥用和控制成本（确认请求来自正版 App、每台设备的次数限制、整体预算上限）。
排查服务故障。
处理你通过邮件发来的报告和问题，回复你，改进生成。

我们不把信息用于广告、营销、画像，也不卖给任何人。

6. 发往外国（美国、瑞士）的说明

按日本《个人信息保护法》第 28 条，向外国的第三者提供个人数据前需要你的同意，并告诉你以下信息：

国家：美国（Anthropic 的处理地）；用“问 AI”查天气时还有瑞士（Open-Meteo）。Cloudflare（美国公司）的服务器分布在世界各地的数据中心，请求由离你最近的数据中心处理；具体是哪一个，每次都按你所在的位置和网络情况决定，所以无法事先确定国家。作为参考：我们和美国法人 Cloudflare, Inc. 签有数据处理协议。
美国的个人信息保护制度：美国联邦层面没有统一的个人信息保护法，按行业分别立法（例如医疗、金融、通信）；部分州有综合性的法律，例如加利福尼亚州的《消费者隐私法》（CCPA）。美国 2012 年加入了 APEC 跨境隐私规则（CBPR）体系。详见日本个人信息保护委员会的“外国制度（美国）”页面：https://www.ppc.go.jp/enforcement/infoprovision/laws/offshore_report_america/
瑞士的个人信息保护制度：瑞士有《联邦数据保护法》（FADP），并设有联邦数据保护和信息专员（FDPIC）作为监管机构。发给 Open-Meteo 的只有城市名或约 1 公里精度的坐标，不含其他内容。
对方采取的措施：Anthropic 和 Cloudflare 都与我们签有数据处理协议，作为处理者按我们的指示处理数据，并采取技术和组织上的安全措施；Anthropic 不得用这些内容训练模型，并按第 3 节的期限删除。发给 Open-Meteo 的只有城市名或约 1 公里精度的坐标，由我们的服务器发出（不是你的手机）；Open-Meteo 按其条款可能保存服务器日志（含 IP 地址和请求里的坐标）最长 90 天。所有传输都经过加密（HTTPS）。Open-Meteo 和我们没有签数据处理协议。它是否采取了和日本个人信息保护法要求相当的措施，我们无法确认。

7. 撤回同意、删除数据

撤回同意：设置 › AI 整理 › 撤回同意；“问 AI”的同意在设置 › 撤回问 AI 的同意。撤回后不再发送任何材料或消息；之后要用，需要重新同意。
已经发出的材料和消息：我们的服务器没有保存，无从删除；Anthropic 会按第 3 节的期限自动删除。目前我们无法要求 Anthropic 提前删除某一次的材料。
手机上的数据：在 App 里删除行程，或删除 App；iCloud 云盘文件夹里的文件请在“文件”App 里删除。本机使用统计可以在“设置 › 本机使用统计”里清空。删一张票或文件：在“票和文件”里长按 › 删掉，手机上和 iCloud 文件夹里的备份一起删。
导出你的数据：“设置 › 导出全部数据”会把所有行程（含报告的问题）、行程列表和本机使用统计打成一个 .zip，由你自己保存或分享。
设备记录：90 天内自动删除。它不含能识别你的信息，所以我们无法确认哪条记录属于你。
你发给我们的邮件：可以发邮件要求我们删除。
其他请求：你可以向我们申请查阅、更正、删除、停止使用或停止提供与你有关的信息，或询问利用目的。请发邮件到zguo415@gmail.com。我们会在合理时间内回复，不收费。

8. 安全

手机和服务器之间、服务器和 Anthropic、Open-Meteo 之间都使用加密连接（HTTPS）。
AI 服务的密钥只存在服务器上，不在 App 里。
用 Apple App Attest 确认请求来自正版 App。

9. 未成年人

AI 功能（生成和“问 AI”）只供 18 岁及以上的用户使用。本 App 不面向 13 岁以下的儿童，我们不会有意收集儿童的个人信息。

10. 政策变更

我们修改这份政策时会更新上面的生效日期。如果变更涉及发送什么、发给谁、保存多久，App 会在下次生成或问 AI 前重新请你同意。

11. 联系我们

运营者：Ziyu Guo（日本，个人开发者）
邮箱：zguo415@gmail.com
住所：根据日本《个人信息保护法》，如你提出请求，我们会及时告知。

本政策有中文、日文、英文三个版本。

旅途今日 隐私政策