OWMap 隐私政策

适用范围与信息控制者

1.1 适用范围

本隐私政策适用于 OWMap 旗下所有产品和服务，包括但不限于：

• OWMap 网站（owmap.space 及其子域名）
• OWMap 移动客户端应用程序
• OWMap 智能体（Agent）系统及 API 服务
• OWMap 地图数据嵌入服务（Embed SDK）
• OWMap 开发者平台

本政策不适用于第三方网站、应用程序或服务，即使您通过 OWMap 平台链接至上述第三方。

1.2 个人信息控制者

1.3 法律依据

本政策依据以下法律法规制定：

• 《中华人民共和国个人信息保护法》（PIPL，2021）
• 《中华人民共和国网络安全法》（CSL，2017）
• 《中华人民共和国数据安全法》（DSL，2021）
• 《互联网信息服务管理办法》（2011修订）
• 《网络数据安全管理条例》（2024）
• 欧盟《通用数据保护条例》（GDPR，针对欧盟/欧经区用户）
• 《加利福尼亚消费者隐私法》（CCPA，针对加州用户）

我们收集的个人信息

2.1 您主动提供的信息

2.2 服务过程中自动生成的信息

2.3 来自第三方的信息

• 第三方登录：如您通过微信、Google、GitHub 授权登录，我们接收该平台提供的公开主页信息（昵称、头像、账号唯一标识）。
• 合作伙伴：经您同意后，OWMap 生态合作伙伴可在遵守本政策的前提下向我们共享与服务相关的必要信息。
• 公开来源：部分地理数据来自 Natural Earth、OpenStreetMap 等公开数据集，不涉及个人信息。

个人信息的使用目的与法律依据

对于依赖"同意"作为法律依据的处理活动，您有权随时撤回同意，撤回不影响撤回前处理的合法性。

个人信息的共享、转让与披露

4.1 我们不会出售您的个人信息

OWMap 承诺不会以任何形式向任何第三方出售您的个人信息。

4.2 必要的共享情形

在以下情形下，我们可能向第三方共享必要的个人信息：

• 委托处理：OWMap 委托服务商（如云服务、支付处理、数据分析）在我们授权范围内处理您的信息，服务商须与我们签署数据处理协议（DPA），不得超范围使用。
• 业务合作：经您单独同意后，OWMap 认证生态合作伙伴可获取与其服务相关的最小必要信息（如地图嵌入场景下的 sessionToken）。
• 学术研究：经脱敏处理的聚合统计数据可用于学术研究或行业报告，不含任何可识别个人的信息。

4.3 法律要求的披露

当法律法规、司法机关或行政机关依法要求时，我们将依法披露必要的个人信息。在法律允许的范围内，我们会提前通知您（紧急情况除外）。

4.4 业务重组或收购

如 OWMap 发生合并、收购、资产转让等业务变更，涉及个人信息的转让须符合《个人信息保护法》要求，继承方须继续履行本政策义务。我们将提前以站内公告或邮件方式通知您，您有权要求继承方删除您的个人信息。

4.5 紧急情形

在维护用户或公众生命财产安全的紧急情形下，我们可能在未取得同意的情况下共享必要信息，并在紧急情形结束后及时通知。

个人信息的存储与保留期限

5.1 存储地点

OWMap 在中华人民共和国境内收集和产生的个人信息，依法存储于中华人民共和国境内的服务器。我们使用阿里云、腾讯云等通过等级保护认证的云服务商提供的基础设施。

5.2 保留期限

5.3 期满处理

保留期满后，我们将按照国家标准 GB/T 35273 的规定对个人信息进行删除或匿名化处理，使其无法被重新识别为特定自然人。

个人信息的安全保护措施

6.1 技术措施

• 传输加密：全站 HTTPS（TLS 1.2+）；API 通信使用双向 TLS（mTLS）。
• 存储加密：敏感字段（密码、手机号、证件号）使用 AES-256 加密存储；密码使用 bcrypt（cost≥12）哈希。
• 访问控制：最小权限原则，内部员工需通过多因素认证（MFA）方可访问生产数据库；所有访问留存审计日志。
• 数据脱敏：用于研发测试的环境使用经过脱敏处理的数据，不使用真实个人信息。
• 漏洞管理：定期进行渗透测试和代码安全审查；支持安全研究人员通过负责任披露渠道报告漏洞（security@owmap.space）。

6.2 管理措施

• 设立个人信息保护负责人（DPO），负责统筹合规工作。
• 员工须签署保密协议，定期接受数据安全培训。
• 建立数据分类分级制度，对个人信息及重要数据实施差异化保护。
• 制定数据安全事件应急响应预案，每年至少开展一次演练。

6.3 安全事件通知

一旦发生个人信息安全事件（泄露、损毁、丢失等），我们将按照《个人信息保护法》第57条规定，在发现后72小时内向主管部门报告，并通过站内通知、电子邮件等方式及时通知受影响用户，告知事件概况、可能影响、已采取措施及用户可采取的保护步骤。

Cookie 及同类技术

OWMap 使用 Cookie、LocalStorage、像素标签（Pixel Tag）、SDK 等技术提供更好的服务体验。详细的 Cookie 类型说明和管理方法请参阅 《Cookie 政策》。

7.1 必要性 Cookie

以下 Cookie 对于服务正常运行不可缺少，无需获得您的单独同意：

• 会话 Cookie（session_id）：保持您的登录状态，会话结束后自动过期。
• 安全 Cookie（csrf_token）：防止跨站请求伪造（CSRF）攻击。
• 负载均衡 Cookie：确保请求路由到正确的服务器节点。

7.2 功能性与分析性 Cookie

以下 Cookie 在获得您同意后使用：

• 偏好 Cookie：记住您的语言、地图样式、单位制等偏好设置（有效期365天）。
• 分析 Cookie：收集匿名化的使用数据，帮助我们改进服务（使用百度统计，IP 匿名化处理）。

7.3 Cookie 管理

您可以通过浏览器设置、我们网站的 Cookie 偏好中心，或发送邮件至 privacy@owmap.space 管理和撤回 Cookie 授权。拒绝非必要 Cookie 不会影响核心功能的正常使用。

未成年人个人信息保护

OWMap 服务面向14周岁及以上用户。我们不主动收集14周岁以下未成年人的个人信息。

• 14周岁以下：不得注册或使用 OWMap 任何服务。如我们发现误收了14周岁以下用户的信息，将立即删除相关账户。
• 14—18周岁未成年人：须在监护人知情并同意的前提下使用服务。监护人可通过 privacy@owmap.space 申请查阅、更正或删除其监护对象的个人信息。
• 监护人投诉渠道：如监护人发现子女在未获许可的情况下注册了账户，请立即联系 privacy@owmap.space，我们将在3个工作日内处理。

您的权利

依据《个人信息保护法》及相关法律，您对自己的个人信息享有以下权利：

知情权与决定权

您有权了解我们处理您个人信息的目的、方式、类别及保留期限，并有权对处理活动做出或撤回同意。

查阅权（访问权）

您有权查阅我们持有的关于您的个人信息。登录账户后可在"个人中心 — 数据与隐私"页面自助查阅，或发送邮件申请完整副本，我们将在15个工作日内响应。

更正权

如发现您的个人信息不准确或不完整，您有权要求更正。您可通过账户设置自助更正大部分信息。

删除权（被遗忘权）

在以下情形，您有权要求我们删除您的个人信息：处理目的已实现、同意已撤回、保留期届满、信息处理违法等。我们将在15个工作日内响应，法律明确要求留存的信息除外。

可携权（数据可移植性）

您有权以机器可读格式（JSON/CSV）获取您的个人信息副本，并转移至您选择的其他服务提供者。

限制处理权

在特定情形下（如您对信息准确性提出异议期间），您可要求我们暂停处理您的个人信息。

撤回同意权

对于基于同意处理的个人信息（如营销推送、个性化推荐），您可随时撤回同意，撤回后我们将停止相关处理活动。

注销账户权

您有权注销 OWMap 账户。注销申请在核实身份后15个工作日内完成，账户注销后个人信息将按第五条规定期限处理。

9.1 如何行使权利

行使上述权利，您可以：

• 登录账户，进入"设置 — 数据与隐私"自助操作；
• 发送邮件至 privacy@owmap.space，主题注明"隐私权利请求"；
• 我们可能要求您提供身份验证信息，以确保请求来自账户本人。

9.2 响应时限

一般情况下，我们将在收到请求后15个工作日内响应；情况复杂时最长延长至45个工作日，并告知延期原因。对于合理且不损害他人权益的请求，我们免费提供服务。

9.3 拒绝响应的情形

以下情形我们可能拒绝响应，并书面说明原因：

• 请求涉及国家安全、国防、重大公共利益；
• 请求涉及正在进行的刑事调查、司法程序；
• 频繁、无理或恶意重复的请求；
• 提供信息将侵犯第三方的合法权益。

9.4 投诉渠道

如您认为我们处理您个人信息的行为违反法律规定，或对我们的响应不满意，您有权向网络信息主管部门（国家互联网信息办公室）或其省级主管机构投诉举报。

个人信息跨境传输

10.1 基本原则

OWMap 在中华人民共和国境内收集和产生的个人信息原则上存储于境内。仅在以下情形下，相关信息可能被传输至境外：

• 您使用 OWMap 地图嵌入 SDK，将 OWMap 集成至境外运营的产品中（此时您作为数据控制者负责合规）；
• 您在境外注册账户并使用 OWMap 服务（我们在遵守当地适用法律的前提下提供服务）；
• OWMap 委托境外服务商处理特定业务（须经您单独同意，并签署标准合同条款 SCCs）。

10.2 合规机制

如确有个人信息跨境传输的必要，OWMap 将依据《个人信息保护法》第38条及《个人信息出境标准合同办法》要求，采取以下措施之一：

• 通过国家互联网信息办公室的安全评估；
• 取得个人信息保护认证（GB/T 35273）；
• 与境外接收方签署符合国家标准的标准合同；
• 获得您的单独同意，并告知境外接收方名称、联系方式、处理目的、方式、类别及您的权利。

10.3 欧盟/欧经区用户（GDPR 补充条款）

对于欧盟/欧经区（EU/EEA）用户，OWMap 将额外遵守 GDPR 的跨境传输规定，采用欧盟标准合同条款（SCCs）作为合规机制，并在 GDPR 要求时向用户提供完整的 Art.13/14 信息通知。

10.4 加利福尼亚州用户（CCPA 补充条款）

加利福尼亚州居民依据《加利福尼亚消费者隐私法》（CCPA）享有额外权利，包括：知悉"出售"个人信息的权利（OWMap 不出售个人信息，适用"不出售通知"）、数据删除权、非歧视权。请联系 privacy@owmap.space 行使上述权利。

第三方服务与外部链接

11.1 集成的第三方服务

11.2 外部链接声明

OWMap 可能包含指向第三方网站的链接。我们对这些网站的内容和隐私实践不承担责任。我们建议您在访问第三方网站前阅读其隐私政策。

人工智能处理特别说明

12.1 Agent 系统的数据处理

OWMap 的智能体（Agent）系统基于大语言模型技术。当您使用 Agent 功能时：

• 您输入的指令（prompt）及相关上下文将被传递至 AI 模型进行推理处理；
• OWMap 不会将您的 Agent 指令用于训练 AI 模型，除非您明确选择参与模型改进计划；
• Agent 对话记录在您账户内保存30天，您可随时手动删除；
• 系统日志（含 AI 推理耗时、错误码等技术数据）保留6个月用于系统优化，不含对话内容。

12.2 AIGC 内容的特别说明

AI 生成的地图内容、标注文本等由您操控指令触发生成。该内容的个人信息处理规则与用户生成内容（UGC）相同，请参阅 《UGC 内容政策》。

12.3 自动化决策

OWMap 可能基于您的使用数据进行自动化分析（如地图内容推荐、会员等级判定）。此类决策不会对您产生法律效力或其他重大影响。如您认为自动化决策结果不合理，可通过 privacy@owmap.space 要求人工复核。

12.4 合规依据

OWMap 的 AIGC 功能符合《生成式人工智能服务管理暂行办法》（2023）及国家互联网信息办公室相关规定，已进行算法备案。

政策更新与通知

OWMap 可能因法律法规变化、产品功能调整、业务发展等原因更新本政策。

• 重大变更：如涉及个人信息处理目的、方式、类别或您权利的重大调整，我们将提前30天通过站内通知和注册邮箱告知您，并要求您重新确认同意。
• 一般性更新：非重大变更将在更新后通过站内通知告知，更新后继续使用服务视为接受。
• 历史版本：您可在本页面底部访问本政策的历史版本存档。

联系我们与投诉渠道

14.1 监管机构投诉

如您对我们的隐私实践有异议，您有权向以下机构投诉：

• 中国大陆用户：国家互联网信息办公室（网信办）及各省级网信部门，投诉热线：12377
• 欧盟/欧经区用户：您所在成员国的数据保护监管机构（DPA）
• 英国用户：信息专员办公室（ICO），ico.org.uk