Asoma Photo 隐私政策
最后更新：2026-09-26
这份政策说明 Asoma Photo iOS App（下称「本 App」）处理哪些数据、在哪里处理、存在哪里、怎么删除。
概要
- 没有服务器，没有账号。 照片、人脸、时间、地点和你输入的一切都留在你自己的设备上。开发者看不到任何一张照片、任何一个名字。
- 分析全部在设备上完成。 人脸识别、场景识别等模型都打包在 App 里，在本机运行。
- 联网的只有三件事：经 Apple 的系统服务把坐标换成地名、显示地图（发出去的只有位置，不含照片）；以及你在 App 里打开本政策或使用条款时，加载这两份文档的网页。
- 不追踪、不做广告、不做统计、不上报崩溃。
1. 本 App 保存哪些数据
以下数据都存在本 App 的沙盒目录里（本地数据库、图片文件夹和 App 的偏好设置）。
| 数据 | 从哪来 | 存在哪 | 会不会离开设备 |
|---|---|---|---|
| 缩略图 | 每张导入的照片生成一张，长边 768 像素 | 沙盒图片文件夹 | 否 |
| 照片原图拷贝 | 仅限通过系统选择器导入、而本 App 没有相册访问权限时 | 沙盒图片文件夹 | 否 |
| 看过的原图 | 你全屏查看从「照片」导入的照片时，从「照片」取回的原图，留一份下次直接用 | App 的缓存目录；30 天没用过、或总量超过 2 GB 时自动删掉最久没用的 | 否 |
| 相册引用 | 从系统「照片」导入时，记下那张照片在「照片」里的标识和原文件名，原图仍留在「照片」里 | 本地数据库 | 否 |
| 拍摄时间、设备型号 | 照片的 EXIF | 本地数据库 | 否 |
| 拍摄地点 | 照片 EXIF 里的 GPS 坐标，以及由它换来的国家、城市、区县 | 本地数据库；地名另有一份本地缓存 | 换地名时发给 Apple，见第 4 节 |
| 人脸框、五点位置、人脸截图 | 在设备上检测得出 | 本地数据库；截图在沙盒图片文件夹 | 否 |
| 人脸身份向量 | 在设备上由人脸模型算出的一串数字，用来判断两张脸是不是同一个人 | 本地数据库 | 否 |
| 上半身外观向量 | 在设备上由模型根据上半身（主要是衣着）算出，辅助认出看不清脸的人 | 本地数据库 | 否 |
| 画面分析结果 | 场景标签、人体姿态、清晰度、曝光、画面指纹、整图特征，都在设备上算出 | 本地数据库 | 否 |
| 人物与关系 | 你起的名字、备注、分类、人物之间的关系，以及你对「不是同一个人」的纠正 | 本地数据库 | 否 |
| 你标记的「我」、头像 | 你自己选定 | 偏好设置；头像在沙盒 | 否 |
| 常住城市 | App 按照片的地点给出候选，由你选定 | 偏好设置 | 选「用当前位置」时见第 4 节 |
| 相册标题、描述、收藏、置顶、上锁、隐藏的人、旅程 | 你自己设置 | 偏好设置 | 否 |
| 性能日志 | 各处理步骤的耗时、照片数量、App 与系统版本 | 沙盒里一个不超过 1 MB 的文本文件 | 否 |
没有采集：设备标识符、广告标识符、通讯录、日历、相机、麦克风、健康数据、使用行为统计、崩溃报告。
2. 在设备上做的分析
本 App 用下面这些模型和系统能力分析照片。全部在你的设备上运行，模型随 App 安装，不在运行时下载。
| 模型 / 能力 | 用途 | 运行在哪 |
|---|---|---|
| RetinaFace | 找出照片里的人脸和五点位置 | 本机（Core ML） |
| AuraFace | 把一张脸换成身份向量，用来把同一个人的照片归到一起 | 本机（Core ML） |
| DINOv2 | 把上半身换成外观向量，在脸不够清楚时辅助判断是不是同一个人 | 本机（Core ML） |
| Apple Vision | 人脸质量、场景分类、人体姿态、文档检测、画面美观度与显著区域、整图特征 | 本机（iOS 系统框架） |
不做：年龄、性别、种族、表情、情绪的推断。「我」是谁、人物叫什么、谁和谁是什么关系，都由你自己设定，App 不去猜。
3. 权限
| 权限 | 什么时候请求 | 用来做什么 |
|---|---|---|
| 照片 | 首次启动，以及你导入照片时 | 读取你选中的照片，生成缩略图并做分析；全屏查看时向系统要原图。不修改、不删除你「照片」里的任何内容 |
| 定位（使用期间） | 只在你按「用当前位置」时 | 取一次公里级精度的位置，用来确定常住城市。不在后台读取位置，不记录轨迹 |
| 面容 ID / 触控 ID / 设备密码 | 打开、解开或删除你上锁的相册、人物、关系或旅程时 | 确认是你本人。生物特征由系统保管，本 App 拿不到 |
| 通知 | 首次启动 | 只发本地通知：分析进度、分析完成。没有推送服务器 |
| 实时活动 | 分析照片时 | 在锁屏和灵动岛显示进度：已处理张数、正在处理的日期 |
你可以随时在系统「设置」里关闭任何一项权限。
4. 联网
本 App 自己不连接任何服务器。联网的只有下面三件事：
- 地名反查：把照片的 GPS 坐标显示成「杭州 · 西湖区」这样的地名时，会把坐标取整到约 1 公里见方的格子，把格子中心点发给 Apple 的地理编码服务（CLGeocoder），换回一个地名。发出去的只有这个点，不含照片、不含任何标识你身份的信息。地名缓存在本地，同一片区域不会重复请求。你按「用当前位置」时，取到的位置也经这项服务换成城市名。
- 地图：你打开含地图的页面时，系统地图（MapKit）会从 Apple 下载你正在看的那片区域的地图，Apple 因此可以知道被显示的区域，也就是照片的拍摄地附近。
- 查看本政策与使用条款：这两份文档托管在 Craft（craft.do）上。你在 App 里打开它们时，App 会加载对应的 Craft 网页，Craft 的服务器因此会收到一次普通的网页请求（例如你的 IP 地址）。不发送任何照片或你在 App 里的数据。
地名与地图两项适用 Apple 的隐私政策，文档网页适用 Craft 的隐私政策。
另外，如果你的 iCloud 照片开了「优化 iPhone 储存空间」，本 App 向系统要原图时，系统可能从 iCloud 下载那张照片。这发生在 iOS 与你的 iCloud 之间，本 App 不经手。
除此之外，本 App 不发起任何网络请求：没有统计、没有广告、没有崩溃上报、没有同步。
5. 存储与备份
- 全部数据都在本 App 的沙盒里，受 iOS 保护，其他 App 读不到。
- 除了看过的原图（存在缓存目录，不进备份，手机空间紧张时 iOS 也可能自动清掉），本 App 的其余数据都会随设备备份一起保存：你开了 iCloud 云备份，或用电脑备份这台设备时，本 App 的数据会随设备备份一起保存。备份由 Apple 或你的电脑管理，开发者无法访问。
- 你系统「照片」里的原图始终由你掌握，本 App 不修改、不删除它们。
6. 删除
本 App 提供下面几种删除，看过的原图另外会自动清理（30 天没用过、或总量超过 2 GB），其余数据一直保留到你卸载 App。
| 操作 | 删掉什么 | 保留什么 |
|---|---|---|
| 删除一个 Day Album | 这一天照片在本 App 里的全部数据：缩略图、原图拷贝、看过的原图、人脸截图、相册引用，以及这些照片的分析结果（拍摄时间、地点、人脸框、人脸与上半身向量、归属到哪个人、画面分析） | 你系统「照片」里的原图；人物的名字、备注与关系 |
| 设置 › 存储 › 按相册删除原图 | 只删本 App 保存的原图拷贝，用来腾出存储空间 | 缩略图和全部分析结果。之后全屏查看这张照片时，本 App 会按需向系统「照片」要原图来显示（取回的原图按「看过的原图」缓存）；「照片」里找不到这张、或本 App 没有相册权限时，只能看缩略图 |
| 设置 › 存储 › 清理缓存 | 能重新生成的缩略图，以及看过的原图 | 照片本身（引用式照片的缩略图）、人脸截图和全部分析结果；再看大图时会重新向「照片」取原图 |
| 卸载 App | 沙盒里的全部数据 | 你系统「照片」里的原图；已经存在的设备备份（见第 5 节） |
隐藏人物、移除人物身份、解除关系都不是删除：它们改变的是显示和归类，相关数据仍保留，直到你删除对应的 Day Album 或卸载 App。
7. 分享与导出
本 App 没有分享、导出、上传功能，也不向系统的聚焦搜索、Siri 或其他 App 提供你的数据。
8. 第三方
- 本 App 不含任何收集数据的第三方 SDK，不含广告网络，不与任何第三方共享数据。
- 本 App 用到的开源组件（动画运行库、上面的模型、Rust 库）都随 App 打包、在设备上运行，不联网。完整清单与许可证见 App 内：设置 › 开源许可。
9. 政策变更
政策更新会改动本页顶部的日期。若某次更新涉及数据处理方式的实质变化，会在 App 内以显著方式说明。