隐私政策

Filmer（iOS 与 Android 统一说明）

更新日期：2026年4月9日

说明：本页为 iOS 与 Android 共用的隐私政策。下列条款同时适用于双端；标有 「仅 Android」 的内容仅适用于 Android 客户端。Android 端更细化的收集字段与 SDK 说明见：个人信息收集清单、第三方信息共享清单（SDK）。

Android 特别提示（含目的、方式、范围与时机）：在您于应用内阅读本政策并点击「同意并继续」之后，本应用会在随后的启动与初始化流程中通过系统接口 Settings.Secure.ANDROID_ID 读取 Android ID，用于下文「信息收集」第 6 项所列目的；自动化合规检测场景下，该读取可能与您的同意操作在时间上非常接近，但不会发生于同意之前。此外，本应用集成的第三方 SDK（支付宝、百度地图）可能在对应功能场景中读取已安装应用列表信息（软件列表）及设备 MAC 地址，用于支付安全风控与辅助定位（详见下文「信息收集」第 7–8 项）。若您不同意，请勿使用本应用或请选择「不同意并退出」。

Filmer（以下简称「本应用」）非常重视用户的隐私保护。本隐私政策旨在说明我们在您使用本应用时如何收集、使用和保护您的信息。

1. 信息收集

本应用以本地管理与编辑为主，部分功能涉及联网与账户。我们收集信息的原则是「最小化」：

照片与元数据：我们访问您的相册以导入照片并读取/记录拍摄参数。照片原图默认在您的本地设备上处理与存储；若您开启云同步，与胶卷相关的参数记录可能同步至服务器，原图不上传至我们的服务器。
地理位置：若您授予权限，我们会获取或记录与照片相关的位置信息，用于胶卷足迹、展示或地点相关功能。相关数据可存储在本地；开启云同步时，地点类信息可能随胶卷数据上传至服务器。
内购与订单支付：iOS：订阅 Filmer PRO 时，交易由 Apple 处理，我们仅接收交易成功状态以解锁功能。官方冲扫等订单在 iOS 与 Android 上均可通过 支付宝 完成 App 内支付。Android：除上述冲扫订单外，Filmer PRO 订阅等亦通过 支付宝 完成。我们不收集银行卡号、支付密码，仅接收支付结果与订单状态以解锁权益或确认订单（具体以支付宝公示政策为准）。
第三方云存储：若您连接百度网盘或 WebDAV，相关授权令牌（Token）将加密存储在您的设备中。我们不会将您的网盘文件内容经由我们的服务器中转存储。
账户与登录（仅 Android）：使用手机号订阅 Filmer PRO、云同步等功能时，您需提供手机号码并通过短信验证码验证；我们可能将手机号及登录会话信息与您的账户关联并存储于服务器。官方冲扫通常可在未登录下按流程下单；订单中填写的收件手机号为履约联系方式，与账户登录无必然关联。
Android 设备标识符 / Android ID（仅 Android）：我们会通过系统接口读取 Settings.Secure.ANDROID_ID（即系统提供的 Android 设备标识符，俗称 Android ID）。读取时机：仅在您点击「同意并继续」之后，于应用初始化、建立设备会话、检查更新等需要设备标识的业务流程中读取；因流程衔接，读取时刻可能与同意操作在时间上非常接近。收集方式与范围：该标识符可能在本机生成应用内持久设备标识时作为输入，并可能以原文或派生形式与我们的服务器交互，用于：设备会话注册与安全校验、订阅权益下的多设备数量管理、应用内检查更新及版本/灰度发布策略等。不用于广告追踪或个性化广告。
已安装应用列表信息 / 软件列表（仅 Android）：在您使用支付功能时，第三方支付 SDK（支付宝）可能通过系统接口读取您设备上的已安装应用列表信息，用于支付环境安全校验与风险防控。该信息由支付宝 SDK 按其自身隐私政策在本地处理或传输至支付宝服务器；Filmer 自身不主动收集、存储或上传该信息至 Filmer 服务器，不用于广告追踪。
设备 MAC 地址（仅 Android）：在您使用定位相关功能时，第三方定位 SDK（百度地图）可能读取设备的网络 MAC 地址，用于 Wi-Fi 辅助定位与网络环境识别。该信息由百度地图 SDK 按其自身隐私政策处理；Filmer 自身不主动收集、存储或上传该信息至 Filmer 服务器，不用于广告追踪。
其他设备信息（仅 Android）：除上述外，我们可能向服务器同步设备型号、系统版本、应用版本、品牌与制造商等，用于兼容性、安全与问题排查。与 Android ID 相关的更细字段见个人信息收集清单。
同意方式（仅 Android）：您在首次启动（或政策更新后重新展示时）阅读本隐私政策并点击「同意并继续」，即表示您已充分知悉我们会按上文说明读取 Android ID，且第三方 SDK 可能按上文说明读取已安装应用列表信息及设备 MAC 地址并用于所列目的；该同意与您使用本应用的联网、支付与位置类功能相对应。若您不同意，请点击「不同意并退出」或停止使用本应用。
冲扫订单履约信息：若您使用官方冲扫下单（iOS 或 Android），您填写的收件人姓名、手机号、收货地址等，用于配送与客服沟通，并存储于服务器。
诊断日志（仅 Android）：崩溃时可能生成本地日志；仅在您主动使用应用内上传/反馈功能时，我们才可能收集相应日志以协助排查。

2. 信息使用

收集的信息仅用于以下用途：

提供与维护账户、订阅、云同步、冲扫下单与支付结果确认等功能（以各端实际提供的能力为准）
同步您的胶卷配置和参数记录（若您开启了云同步）
提供基于地理位置的展示、筛选与地点相关能力
保障服务安全、防范风险，以及优化应用性能和修复漏洞

3. 信息安全

我们采取行业标准的加密等措施保护您的数据。对于云同步及与服务器交互的数据，我们使用加密传输协议。百度网盘等第三方授权令牌在设备侧采用加密存储。

4. 第三方服务

本应用集成了以下第三方服务（部分以 SDK 形式接入；涉及敏感能力的 SDK 通常在您同意本政策后初始化）：

Apple App Store（iOS）：处理 Filmer PRO 等订阅与相关 IAP
支付宝（iOS / Android）：用于官方冲扫订单等 App 内支付；此外，Android 端的 Filmer PRO 订阅等亦通过支付宝完成
百度网盘 API：仅在您主动授权并导入照片时使用
百度地图 / 定位及相关搜索能力（以 Android 端为主）：在您授予位置权限并使用足迹、选点等功能时使用；必要信息由服务提供方依法处理
Google Play 服务（位置相关组件，仅 Android）：用于辅助位置能力（如系统融合定位），具体以设备与系统为准
Cloudflare：用于云同步、API 与站点等基础支撑及安全防护

各第三方的名称、使用目的及隐私政策链接，以第三方信息共享清单（Android）为准。

5. 权限说明

相册 / 照片权限：用于导入和保存照片
定位权限：用于记录拍摄位置与足迹相关功能
网络权限：用于云同步、网盘连接、账户与支付等

仅 Android：应用内更新

若您使用应用内更新安装包，系统可能要求安装应用相关权限（如「允许安装未知应用」）；您可在系统设置中管理。当前版本不申请相机权限。

6. 用户权利

您对您的个人信息享有以下权利：

访问权：您可以在应用内查看与您相关的数据记录（以产品功能为准）
删除权：您可以随时删除应用内数据，或卸载应用以删除本地数据；账户与云端数据删除规则见下文「数据保留」
撤回同意：您可以在设备设置中随时撤回对相册、位置等权限的授权。Android ID 由系统提供，通常无单独「开关」；若您不同意基于 Android ID 的处理，请停止使用本应用或卸载应用，详见上文「同意方式」。
数据导出、注销账户等：如需导出数据、注销账户或行使其他法定权利，请联系我们的客服

7. 数据保留

您的本地数据保留在您的设备上，直到您主动删除或卸载应用。对于云同步及与账户、订单相关的服务器数据，我们将在您删除账户后的合理期限内（例如 30 天）完成删除或匿名化处理，法律法规另有要求除外。

8. 未成年人保护

本应用不面向 13 周岁以下的儿童。如果我们发现在未经父母或其他监护人同意的情况下收集了儿童的个人信息，我们会尽快删除相关数据。如果您是家长或监护人，发现您的孩子向我们提供了个人信息，请联系我们。

9. 隐私政策的变更

我们可能会不时更新本隐私政策。更新后的政策将在本页面发布，并更新「更新日期」。如有重大变更，我们会通过应用内通知或其他合理方式告知您。

10. 联系我们

如果您对本隐私政策有任何疑问，请联系我们：

邮箱：filmerapp@163.com
地址：浙江省杭州市上城区闸弄口街道机场路135号1304室C09
电话：+8618757154373