（Google Play 與 Apple App Store 版 · Pro 一次性買斷 Lifetime · 非訂閱制）
SiteStake 是一款 完全本機優先（Device-First / Privacy-First） 的專業 GPS / GNSS 野外測量與施工放樣應用。我們的隱私設計原則：
能不收集就不收集；能不上傳就不上傳；使用者不主動分享，資料絕不發出裝置。
本政策說明我們在什麼情形下 會 及 不會 處理您的資料。我們不設帳號系統、不強制登入、不收集手機號 / 身份證 / 郵箱等任何身份資訊。所有測量資料 預設完全儲存在您裝置的本機沙箱中。
下表中 「收集」 定義 = 僅限您裝置的應用私有沙箱內部儲存（Play Data Safety 定義一致）。
任何主動離開您裝置 / 上傳到任何伺服器 的行為都會單獨用 🚀 特別標註 + 說明場景 + 說明接收方。
| 資料類別 | 是否收集 | 收集目的 | 儲存位置 | 保留期限 | 是否離開裝置 🚀 |
|---|---|---|---|---|---|
| 【定位資料】精確 GNSS 座標 （緯度、經度、高程、HDOP/VDOP 精度、可見衛星數、NMEA 原始電文字段） |
✅ 僅在您主動使用相關功能期間 軌跡錄製時：透過前台服務通知持續定位，App 退後台 / 鎖屏後仍繼續收集 |
① 地圖上顯示目前位置 ② 記錄航點 / 軌跡 / 工程點 ③ 放樣到達提醒 ④ 面積距離坡度測量 ⑤ 可選寫入 GEO 相機 EXIF | 應用沙箱內 SQLite 資料庫（Documents/nmea/ 資料夾用於 NMEA 日誌） | 直到您手動刪除條目或解除安裝應用 | ❌ 絕不上傳 僅當您自己點「匯出 / 分享」時，透過系統分享面板由您選定的目標 App 發送 |
| 【照片與媒體】 GEO 相機拍攝的照片 + 您從系統相簿匯入的圖片附件 |
✅ 僅在您主動拍攝 / 匯入時 | ① 野外證據存檔 ② 可選 EXIF GPS 中繼資料寫入（可關閉）③ 可選位置 / 時間浮水印燒錄（可關閉）④ 航點 / 工程點附件 | 應用沙箱內 Documents/photos/ 資料夾；可選同步寫入系統相簿（可在設定中關閉） | 直到您手動刪除或解除安裝 | ❌ 絕不上傳 同上，僅使用者顯式分享時離開 |
| 【作業檔案】 GPX / KML / CSV / DXF / SHP / NMEA 原始電文日誌 / PDF 巡檢報告 |
✅ 僅在您匯入 / 匯出 / 手動開啟日誌時 | ① 測量結果匯入匯出 ② 檔案櫃瀏覽 ③ PDF 報告產生列印分享 | 應用沙箱內 Documents/ 資料夾 | 直到您手動刪除或解除安裝 | ❌ 絕不上傳 |
| 【感測器】 氣壓計 / 加速度計 / 磁力計（羅盤）/ 陀螺儀 |
✅ 僅在相應功能前台執行時 | ① 羅盤朝向 ② 氣壓 A→B 相對高程 ③ 坡度測量 ④ 地圖旋轉朝向 | 僅記憶體暫存，不入庫不持久化 | 功能停止或 App 退後台立即釋放 | ❌ |
| 【地圖圖快取】 已載入的光柵圖像 |
✅ 僅線上圖層模式下（可完全關閉，純離線） | 加速二次載入、離線瀏覽 | 應用沙箱 tile cache 目錄 | 30 天 LRU 自動過期，或「設定 → 儲存 → 清除圖快取」隨時清除 | ⚠️ 僅由您的裝置向圖伺服器（OSM / Esri 等）發起 GET 請求，圖伺服器可看到您的出口 IP（由電信業者決定，我們不接收不儲存），圖本身不包含任何 SiteStake 專有資訊。 |
| 【使用者偏好設定】 單位制、主題、語言、座標系、Helmert 七參、地圖圖層、匯出格式預設值 |
✅ | UI 個人化、預設工作流程 | 應用沙箱 SharedPreferences | 直到解除安裝或「恢復預設」 | ❌ |
| 【裝置識別碼 / AAID / IMEI / 手機號 / 郵箱 / 通訊錄 / 剪貼簿】 | ❌ 完全不存取 | — | — | — | ❌ |
| 【分析 / 埋點 / 閃退上報 SDK】 （Firebase / Umeng / Bugly / Adjust / AppsFlyer 等） |
❌ 完全不整合 | — | — | — | ❌ |
| 【廣告 / 行銷 SDK】 （AdMob / 穿山甲 / 優量匯等） |
❌ 完全不整合，Free 版也無廣告 | — | — | — | ❌ |
| 【註冊 / 登入 / 帳號系統】 | ❌ 無帳號體系，無需註冊即可使用全部免費功能 | — | — | — | ❌ |
當您使用 軌跡錄製 功能時，App 會啟動一個 前台服務（Foreground Service） 並在通知列顯示持續通知，用於在以下場景下繼續收集定位資料：
設計原因：軌跡錄製通常需要長時間持續記錄，如果 App 一退後台就停止定位，使用者無法在鎖屏狀態下完成野外軌跡採集。
您的控制權：
⚠️ 除軌跡錄製外，App 的其他功能（航點、放樣、測量等）不會 在後台收集定位資料。
SiteStake 僅在以下 4 種情況下發生網路 I/O。除此之外，絕不主動發送任何位元組：
| # | 觸發條件（必須是使用者主動動作） | 接收方 | 發送內容 | 是否與個人身份關聯 |
|---|---|---|---|---|
| ① | 線上地圖模式下滾動地圖，需要載入新圖 | OpenStreetMap / OpenTopoMap / Humanitarian OSM / Esri World Imagery 等（可在圖層設定中 完全關閉線上圖層，切換為純離線模式） | 標準 HTTPS 圖 URL（含縮放等級 + 圖座標）+ 您的網路出口 IP（電信業者路由決定，無法脫敏） | ⚠️ 圖伺服器可看到您的請求源 IP，但看不到任何 SiteStake 應用資料；該 IP 不被我們接收或儲存 |
| ② | 您 主動點「分享 / 匯出」按鈕（測量結果、軌跡、PDF 報告、NMEA 日誌、工程點等） | 系統分享面板（Share Sheet）由您選定的目標應用（如 WeChat / QQ / 郵件 / AirDrop / Google Drive / 百度網盤 等） | 您選擇的檔案本身 | ❌ 完全由您點選的目標 App 決定，與 SiteStake 無關 |
| ③ | 您 主動點「外部導航」按鈕 跳轉第三方地圖 App | 高德 / 百度 / 騰訊 / Google Maps / 系統自帶地圖（如果已安裝） | geo: / androidamap: / baidumap: scheme 攜帶目標座標 | ❌ 僅發送座標，無身份資訊 |
| ④ | 與 Pro 一次性買斷相關：您 主動 點擊「購買 Pro」或「恢復購買」按鈕時 | 安卓：Google Play Billing（Google） 處理支付本身 → RevenueCat Purchases SDK 做匿名永久授權校驗 iOS：Apple App Store / StoreKit 處理支付本身 → RevenueCat Purchases SDK 做匿名永久授權校驗 |
商店側：交易憑證（由 Google / Apple 加密處理，我們不觸達卡號） RevenueCat 側欄位（嚴格限定為以下，見 §3.2 列表）：匿名 UUID、產品 ID、價格、貨幣、國家代碼、交易時間、交易 ID、平台、App 版本 |
✅ 與匿名購買 ID 關聯（非個人資訊，見 §3.2）；絕對不含位置、照片、作業資料 |
💡 想完全斷網使用？ 關閉 Wi-Fi + 行動數據 + 圖層全部切換為「離線圖快取」→ 即可 100% 不產生任何網路請求（購買 / 恢復購買除外）。
從 v1.0 起，SiteStake 提供 SiteStake Pro 永久版（Lifetime / 一次性買斷），用於解鎖 18 項專業功能（全部圖層、CGCS2000 座標系、自訂 Helmert 七參、RTK、放樣、PDF 報告、25 格匯出矩陣等）。非訂閱制，不自動續費，購買後永久使用 + 永久更新。
目的：在您 換裝置 / 重裝 App 時，自動恢復已購買的永久 Pro 授權狀態（恢復購買 Restore Purchases 功能）。如果不用第三方校驗，您換了新手機要找回 Pro，只能重新買一份 — 這顯然不合理。
RevenueCat 收到的欄位（且僅收這些欄位）：
| 欄位 | 來源 | 用途 | 是否可識別個人 |
|---|---|---|---|
| app_user_id（匿名） | 您裝置首次啟動時本機產生的 UUID v4（$RCAnonymousID），與 IMEI / Android ID / AAID / 手機號 / 郵箱 完全無關 | 重裝 / 換裝置時關聯同一永久授權 | ❌ 匿名（除非您主動發郵件讓我們手動關聯到您郵箱，您不發郵件就永遠匿名） |
| 產品 ID（sitestake_pro_one_time） | 應用內硬編碼 | 判斷是 Pro 永久授權，不是其他 SKU | ❌ |
| 價格、貨幣、國家代碼 | Google Play 交易資料 | 匯率換算、退款偵測統計 | ❌ 去個人化彙總統計，不關聯到具體人 |
| 交易時間、交易 ID（Google Play Order ID） | Google Play 交易資料 | 永久授權不過期（無到期計算），僅用於 Restore 和退款偵測 | ❌ |
| 平台（Android）、App 版本號、系統版本 | 裝置資訊 | 除錯恢復購買失敗等問題 | ❌ |
RevenueCat 絕對不會收到的內容（我們也絕不會傳入 SDK）：
如需刪除 RevenueCat 中與您匿名 ID 關聯的永久授權校驗記錄：
support@sitestake.app，標題寫 「刪除 Pro 帳戶資料」，郵件正文貼上匿名 ID（或附上購買收據截圖也行）💡 註：刪除 RevenueCat 匿名記錄不會影響您已經由 Google Play 授予的永久 Pro 授權（授權本身存在 Google Play 側，重裝 App 時再次走 Restore Purchases 會根據您 Google 帳號的購買歷史重新產生 —— 只是關聯的匿名 ID 變了）。您的永久授權權益由 Google Play 保障。
免費版 永久可用，無時間限制，無廣告，僅以下 4 項數量上限 + 18 項 Pro 功能鎖，不涉及隱私：
| 類型 | 免費上限 | 升級 Pro 後 |
|---|---|---|
| 航點 | ≤ 200 個 | 無限 |
| 工程點 | ≤ 500 個 | 無限 |
| 航線 | ≤ 20 條 | 無限 |
| 軌跡 | ≤ 50 條 | 無限 |
座標系：WGS84 和 CGCS2000 免費可用（國際版預設 WGS84）。Pro 使用者可解鎖自訂 Helmert 七參座標系。
您對自己裝置上的全部資料擁有 完全所有權，我們幫您明確：
| 權利 | 如何行使 |
|---|---|
| 存取權（Right of Access） | 開啟 App → 設定 → 儲存 → 資料用量明細（可看航點數、工程點數、軌跡數、航線數、照片數、檔案總大小、圖快取大小） |
| 匯出權（Right to Data Portability） | 開啟 檔案櫃 → 全選 → 匯出 → 選擇 GPX + KML + CSV + DXF + SHP + PDF 批次打包，或透過系統 Share Sheet 發送給自己的郵箱 / 網路硬碟 |
| 刪除權（Right to Erasure / Right to be Forgotten） | ① 單項刪除：任意列表項長按或左滑 → 刪除；② 批次刪除：多選模式 → 刪除所選；③ 一鍵清空所有：設定 → 儲存 → 恢復應用出廠資料（不解除安裝）；④ 終極刪除：直接 解除安裝應用 → 整個沙箱被 Android 系統永久刪除 |
| 撤回同意權（Withdraw Consent） | 系統 設定 → 應用 → SiteStake → 權限 → 關閉位置 / 相機 / 藍牙 / 照片中任意一項。關權限後相應功能降級，不會被鎖死或強制退出 |
| 投訴權 | 向您所在司法轄區的監管機構投訴： • 歐盟：您所在成員國的資料保護機構（DPA） • 美國加州：加州總檢察長辦公室（California Attorney General） |
| Pro 匿名交易記錄刪除權 | 按 §3.3 步驟郵件申請，14 工作日完成 |
SiteStake 是面向 18 歲以上 的專業工程師、測繪工作者、巡檢人員的生產力工具。我們的 Play Store Target audience 也設定為不含 <13 歲。我們 不會明知地收集兒童的任何個人資訊（事實上我們根本不收集任何個人資訊）。如果您是父母 / 監護人，認為您的孩子向我們提供了任何資訊，請聯絡 support@sitestake.app。
購買 Pro 時，匿名永久授權校驗記錄由 RevenueCat 處理，儲存於其 AWS us-east-1（美國維吉尼亞）區域。
我們的保障措施：
RevenueCat 符合 GDPR、CCPA，已簽署標準合約條款（SCCs）。
若您不購買 Pro / 不點「恢復購買」→ 不產生任何跨境傳輸（免費功能 100% 本機完成）。
我們不會實質性削弱本政策的隱私承諾。如果有重大變更（例如：未來新增一個可選的雲端同步功能），我們會：
任何疑問、刪除請求、投訴、Pro 資料刪除申請，透過：
support@sitestake.app本隱私政策同樣適用於透過 Apple App Store 分發的 iOS 版。所有核心隱私承諾——資料僅存本機、無帳號系統、無廣告/統計 SDK、不上傳位置/照片/作業資料——在安卓和 iOS 上完全一致。以下說明 iOS 特有細節：
Apple 可能根據其自身隱私政策收集標準的 App Store 分析資料（如下載量、閃退率、安裝指標等）。這些資料由 Apple 收集，而非 SiteStake，且與您的應用內測量資料無關聯。
按 Apple App Store 要求，我們的 App 隱私標籤聲明：App 本身不收集任何資料（不收集也不傳輸個人資料）。應用內購買收據由 Apple / RevenueCat 按 §3 所述處理。