隐私政策

具有法律效力的版本为英文。中文翻译仅供参考。

Qiao - 面向在华留学生的数字指南

生效日期：2026年10月23日 · 版本 1.4

一、我们是谁

本隐私政策说明 Duor Digital OÜ（以下称"Qiao"或"我们"）如何收集和使用您的个人数据。我们是一家在爱沙尼亚注册的公司，注册代码 17631584，注册地址 Tartu mnt 67/1-13b, 10115 Tallinn。本政策适用于 Qiao 移动应用、myqiao.app 网站及相关服务（合称"本服务"）。

就本政策所述的个人数据，我们是数据控制者。

• 隐私相关事宜：support@qiaoguide.com
• 用户支持：support@qiaoguide.com

我们设立于欧盟，因此无论您在世界何处使用本服务，我们的处理行为均适用《欧盟通用数据保护条例》(EU) 2016/679（"GDPR"）及爱沙尼亚《个人数据保护法》。

二、要点速览

三、我们收集哪些个人数据

3.1 您主动提供的数据

3.2 使用过程中产生的数据

3.3 我们从他方获得的数据

• 应用商店 - 购买确认及交易标识，包括家长作为礼物为您购买时的交易。Apple 和 Google 不会向我们提供您的银行卡信息。
• Stripe - 您在付款页面使用支付宝付款时，Stripe 确认付款并向我们提供该笔付款的编号。我们不会收到您的支付宝账户信息。
• 人工付款 - 当您或您分享付款链接的人按付款页面的说明为接机服务或移动数据套餐付款时，我们会看到该付款方式向收款方显示的信息，例如付款人姓名、金额和参考号。
• 合作机构 - 若您通过机构而来，该机构可能告知我们您是其学生以及您的申请状态。帮助您入学的机构还可能为同届新生功能确认您的录取：直接确认，或向我们提供其已录取学生的名单，包括邮箱或 Telegram 用户名、大学和入学批次（见第十条）。若机构为您预约接机，我们会收到其填写的信息（见第十五条）。
• 您的向导 - 向导标记完成的步骤及时间、为这些步骤添加的照片、"在路上"卡片中的备注，以及接机确认。
• 其他同届成员 - 他们向您发出的认识请求以及对您的举报。
• 家长 - 在家长页面订阅更新的家长会向我们提供其邮箱地址和语言偏好。用您的访问码与您绑定的 Qiao 家长账号会向我们提供该绑定关系、为您支付的款项以及其拒绝的付款请求。
• 移动数据服务商 - 您的移动数据套餐是否已就绪、已安装或无法开通，其激活信息以及 SIM 卡号的后 4 位。

3.4 我们不收集的数据

我们不收集生物识别模板、健康数据、种族或民族出身、政治观点、宗教信仰、工会成员身份、性取向以及犯罪记录。您保存在"证件"中的护照资料页带有您的照片，但我们不会据此生成模板，也不会用它来识别您。若您在发给助手的消息中主动提及此类信息，我们仅用于回答您的问题，并在您删除聊天记录或账号时一并删除。

四、我们如何使用数据

1. 运行服务 - 创建账号、生成个性化计划与清单、计算期限、保存证件、根据护照或 JW202 表确认您的姓名、出生日期和性别、读取录取通知书、回答问题、展示地图与短语、运行同届新生功能、安排接机服务、提供移动数据套餐、向您的家长展示您的进度、让家长为您付款、运行机构聊天，以及将升学协助申请转交合作机构。
2. 提醒您 - 就您要求跟踪的期限，同届认识请求、接机预订和学习计划点评，与您绑定的家长及其为您支付的款项，以及在您抵达前后的下一步发送通知；并向提出请求的家长发送更新。
3. 个性化 - 按您的城市、大学、身份和抵达状态筛选内容，使助手回答贴合您的处境和语言，并选择应用向您建议的下一步。
4. 收取款项 - 处理购买（包括家长赠送的礼物）、确认接机服务和移动数据套餐付款、管理 Qiao Pass 与钱包、保存账务记录。
5. 提供支持 - 回答您的问题、排查您反馈的故障。
6. 保障安全 - 识别滥用、防范欺诈、执行限额、保护账号、管理同届新生内容并处理针对向导的投诉。
7. 改进服务 - 了解各功能的使用情况、衡量回答质量、定位故障。凡可行之处，我们均使用聚合或化名化数据。
8. 遵守法律 - 回应合法要求，保存税务和账务记录。

我们不使用您的数据训练人工智能模型，也不允许我们的服务商用其训练模型。

我们不会仅依靠自动化处理对您作出产生法律效果或类似重大影响的决定。 助手的回答、生成的计划、应用建议的下一步和奖学金机会测评结果仅供参考，不代您作出任何决定。

五、广告

本服务中没有广告。我们不为广告目的出售或共享个人数据，也不使用 IDFA、Android 广告 ID 等广告标识符。

六、AI 助手

当您向助手发送消息时：

• 您的消息、您的资料背景（城市、大学、身份、抵达状态、所处阶段如"申请中"或"第一个月"、当前适用于您的应用下一步建议如预订接机服务、中文水平、语言，以及证件期限的粗略描述，例如"签证约在三周后到期"）和知识库中的相关片段，会发送至 OpenAI, L.L.C. 以生成回答；
• 若您附上照片，随消息发送的只有在手机上从照片中识别出的文字，助手可能据此建议清单任务；照片本身留在您的手机上（见第九条）；
• 我们不会向 OpenAI 发送您的邮箱、姓名或证件号码，除非它们出现在您自行发送的照片或文字中；
• OpenAI 依据数据处理协议代表我们处理这些内容，不会用于训练其模型；
• 回答可能被缓存，以便相同问题即时作答。缓存以您处境的哈希值为键，而非以您的身份为键。带照片的提问，其回答绝不缓存；
• 您的对话记录会被保存以便您随时查看，短期工作副本保留至多 30 天。从照片中识别出的文字随对话保存 30 天后删除，在助手的工作记忆中最多保留 24 小时；
• 若您对回答作出好评或差评，该评价将与该条消息一并保存，用于改进质量。

学习计划点评。 若您订购学习计划或动机信点评，您的文本会发送至 OpenAI 生成初稿，由我们的团队阅读、修改后再发给您。该文本加密存储，并随账号一并删除。我们的 AI 服务会将完成的初稿保留最多 30 分钟，以免重复请求时再次生成。

机构聊天消息的翻译。 您和机构工作人员都可以请求将该聊天中的某条消息翻译成英文、俄文或中文。只有在有人对某条消息点击"翻译"时，该消息才会发送至 OpenAI，且仅发送其文字或说明 - 绝不发送照片或文件，也不发送作者或请求翻译者的身份。我们的 AI 服务只负责转发文字，收到译文后不保留其中任何内容。译文随该消息保存，以便之后用该语言阅读的人无需再次发送即可看到，并随该消息一并删除。

读取护照或 JW202 表。 当您用护照或 JW202 表确认身份时（见第八条），我们的 AI 服务会用在我们自己服务器上运行的文字识别模型再次读取照片。照片及其文字绝不会发送至 OpenAI 或任何其他服务商，该服务也不保留其中任何内容。

助手可能出错。 它不是律师、医生、出入境管理人员或财务顾问。出入境规定、费用和办事流程经常变化，且各城市不尽相同。任何重要事项，请务必向官方渠道或您所在大学的国际学生办公室核实。

七、您上传的证件

这是本服务中最敏感的信息，因此单独规定。

同意。 我们在您首次上传前征求明示同意。您可随时通过删除证件撤回同意；撤回不影响撤回前处理行为的合法性。

存放方式。

• 证件文件本身以加密形式存放于我们的对象存储中，只能通过与您账号绑定的鉴权请求访问。
• 从证件中识别出的信息（姓名、证件号码、国籍、性别、日期等）存放于我们的服务器，用于预填表格和计算期限。
• 在手机端，证件标识保存在操作系统的安全存储中（iOS 的 Keychain、Android 的 Keystore）。

证件如何读取。 您拍摄证件时，其文字首先在手机本机完成识别。对于签证及其他证件，图像不会被发送到任何地方进行识别，保存前您可以看到并修改每一个字段。护照和 JW202 表会经过第八条所述的身份确认：其照片保存在此处，并由我们自己的程序在我们的服务器上再次读取，绝不由第三方读取。在"录取通知书"步骤中扫描的录取通知书或 JW202 表同样在手机本机识别，其照片或 PDF 随后与您的其他证件一样保存在此处；见第九条。

截屏。 在 Android 上，显示证件标识的页面禁止截屏。

谁能查看。 日常工作中我们的工作人员不会访问您的证件。仅当您在支持请求中主动要求我们查看，或法律强制要求时才会访问，且每次访问均留有记录。若您通过机构邀请码加入 Qiao，该机构的工作人员可以在其合作方门户和 Qiao 应用中看到您文件夹中的证件、证件文件及其有效期 - 包括您用于确认身份的护照或 JW202 表照片（见第十九条）。您的向导和家长绝不会看到您的证件。

原件仍由您保管。 Qiao 只是便利工具，不是官方存档系统。它不能替代依法随身携带护照和各类许可，我们也不是您官方证件的保管人。

删除。 您可随时删除任一证件，包括您用于确认身份的护照或 JW202 表照片；据此确认的姓名、出生日期和性别仍保留在您的个人资料中。被删除的证件在 30 天内从我们的系统中清除，90 天内从加密备份中滚动清除。

八、根据护照或 JW202 表确认您的姓名、出生日期和性别

注册时，以及之后在"证件"中，您都可以用护照资料页或 JW202 表确认您的身份。您也可以跳过：之后只有在某项功能需要时 - 同届新生、接机服务或住宿登记表 - 我们才会询问您的出生日期或性别，届时您可以扫描证件或手动填写。

证件如何读取。 您的手机在本机用 Google ML Kit 识别该页上的文字，并把这些文字（护照还包括两行机读码）连同照片或 PDF 一起发送给我们。由我们自己的程序（而非 OpenAI 或其他服务商）从中找出您的姓氏、名字、出生日期和性别，以及护照上的护照号码、国籍和有效期。作为第二重核对，在我们服务器上运行的我们自己的文字识别模型会再次读取照片，且不保留其中任何内容。任何第三方都不会读取照片或其文字，我们也不保存、不在日志中记录从该页读取的文字。

照片保存在您的"证件"中。 照片或 PDF 始终加密保存在您的"证件"中，并按第七条所述处理：若您通过机构邀请码加入 Qiao，该机构可以看到它，与您的其他证件一样。若您使用刚在"录取通知书"步骤中扫描的 JW202 表，应用会先告知您其照片将被保存。

保存哪些内容、保存多久。 读取结果以密封形式保存 - 加密并仅与该次扫描绑定 - 直至您确认或取消，最长一小时；之后即被清除，该次扫描只保留不含您个人信息的技术记录，例如校验位是否吻合、照片是否清晰。您确认后，您的姓氏、名字、出生日期和性别会保存到个人资料中，同时记录其来自哪份证件以及您确认的时间。护照号码、国籍和有效期仅在您选择保存时才会保存。如您保存国籍，我们会像使用您注册时选择的国家一样，据此在您的清单中添加与之相关的步骤，例如您的国家要求在出发前办好的证件。您在应用中的姓名会改为证件上的写法。

性别。 我们按证件所示，将您的性别记录为男、女或未注明；若无法识别或您跳过了扫描，则按您的选择记录。我们仅将其用于：在您找室友时在同届新生中匹配室友，在您需要时安排同性别的接机向导，以及在家长页面上正确表述您的抵达进度。其他同届成员只有在您寻找室友期间才能看到您的性别。

证件优先于手动填写。 根据证件确认的姓名、出生日期或性别无法在应用中修改，只能更正个别识别错误的字母或数字；若护照与 JW202 表不一致，以护照为准。若识别有误，请重新扫描证件或写信给我们。只有我们的团队 - 绝不是您的机构 - 才能修改来自证件的信息，且每次修改都会记录修改人和原因。

谁能看到。 您的向导能看到您的名字和姓氏首字母（第十一条），家长能看到您的名字（第十二条），同届成员能看到您个人资料中的姓名（第十条）。若您通过机构邀请码加入 Qiao，该机构能看到您的全名和出生日期，以及它们是否来自证件。若证件显示您未满 18 周岁，您将不再在同届新生中展示。

法律依据与保存期限。 我们为提供本服务而使用这些信息（第 6(1)(b) 条）。它们在账号存续期间保存；照片保留在"证件"中，直至您将其删除。每次扫描的记录（不含读取结果）以及我们团队所作修改的记录，随账号一并删除。

九、录取通知书、JW202 表与聊天照片

本机识别。 当您在"录取通知书"步骤中（注册时或之后在应用内）扫描录取通知书或 JW202 表，或在助手聊天中附上照片时，文字由在设备上运行的文字识别模型（Google ML Kit）在您的手机本机识别。图像不会被发送到任何地方进行识别。ML Kit 可能向 Google 发送有关应用和设备运行情况的技术诊断信息，但不包括您的图像或识别出的文字。应用为这些功能保存在手机上的照片不会进入设备备份。

录取通知书。 为找出您的信息，发送到我们服务器的只有识别出的文字。由我们自己的程序（而非 OpenAI 或其他服务商）从中找出大学、专业、学历层次、日期、奖学金等学习信息，并返回到您的手机。我们不保存、也不在日志中记录录取通知书的文字。 我们绝不会从中返回您的姓名、护照号码或出生日期。保存前由您核对：您确认的内容会成为个人资料的一部分，同时记录证件类型和扫描时间。JW202 表的编号也可能随您的证件一并保存。

通知书保存在您的"证件"中。 当应用将您扫描的内容识别为录取通知书或 JW202 表后，会上传其照片或 PDF，并加密保存在您的"证件"中，按第七条所述处理：若您通过机构邀请码加入 Qiao，该机构可以看到它，与您的其他证件一样。应用可能会先建议您用该 JW202 表确认身份（第八条）：若您用它确认，它将按第八条所述保存，否则作为普通证件保存。若扫描的内容既未被识别为录取通知书，也未被识别为 JW202 表，文件不会上传，并会从您的手机中删除。您可随时从"证件"中删除该通知书（第七条）；据此确认的信息仍保留在您的个人资料中。

"已扫描"的含义。 扫描过录取通知书的成员，在同届新生中会带有 ✓ 录取通知书标记。它仅表示该通知书已在应用内扫描，我们不会向大学核实。录取由其机构或我们的团队确认的成员，则改为带有 ✓ 中介确认 或 ✓ Qiao 确认 标记。

聊天中的照片。 照片本身留在您的手机上。从照片中识别出的文字随消息发送，并按第六条所述处理。我们将其加密后随对话保存 30 天，之后自动删除；删除账号时也会一并删除。

十、同届新生

您的同届新生，是指与您在同一入学批次前往同一所大学的 Qiao 用户，例如复旦大学 2027 年春季入学。

哪些人会被计入。 若您的个人资料中填写了我们目录中的大学和入学批次，且您不是"仍在申请"状态，您就会被计入该届。我们根据您的国家、专业或学历层次以及抵达日期计算成员看到的数字：共有多少人、多少人来自您的国家、与您同专业、在您前后 3 天内抵达，以及您按加入顺序的排名。这些数字从不包含姓名。在我们的网站上，我们只显示数字，且绝不显示小于 5 的数字。计入成员的依据是我们向学生展示同行者的正当利益（第 6(1)(f) 条）；您可以写信提出反对。

是否展示由您决定。 只有在您同意展示、您的出生日期（根据证件确认或由您填写）显示您已年满 18 周岁、填写 Telegram 或微信，并且您的录取已获确认（在应用内扫描录取通知书，或由您的机构或我们的团队确认）后，您才会出现在成员名单中。若您在 Qiao 中的出生日期显示未满 18 周岁，您无法被展示，只能看到数字。名单仅向同样满足上述条件的成员开放。他们能看到：您在个人资料中的名字、国家、学历层次与专业、出发城市、抵达机场和日期、是否在找室友，以及在您找室友期间您的性别（以便同性别的人找到您），以及您的录取如何获得确认。已在该校就读并同意展示的学生，可能以学长学姐的身份展示给新生，显示姓名、年级以及通常多快回复。

双方都接受后才显示联系方式。 只有当你们中一人发出认识请求、另一人接受后，您的 Telegram 或微信才会向对方显示。已收到您联系方式的人可能已经保存。

隐藏、屏蔽与举报。 您可随时通过同届页面上的开关停止展示。屏蔽某人会使你们互相不可见、拒绝待处理的请求，并隐藏你们已交换的联系方式。举报（含原因及您填写的备注）会提交给我们的团队。30 天内被三个不同的人举报的资料，或被举报为未满 18 周岁者的资料，会被隐藏，直至我们审核。

邀请。 若您通过他人的邀请链接加入，我们会记录邀请人，并告知对方有人通过其链接加入。

录取名单。 合作机构或我们的团队可能向我们提供某所大学的已录取学生名单：邮箱或 Telegram 用户名、大学和入学批次，以及（可选的）国家和学历层次。我们加密存储这些地址，并保存用于匹配的单向哈希值；对于您在同届新生中填写的 Telegram 用户名，我们也保存同样的哈希值。名单上的学生用相同的邮箱或 Telegram 用户名加入同届新生后，其录取会被标记为由该机构或我们的团队确认，对应条目随即从名单中删除。在此之前，条目最多保留至入学批次开始后 30 天（春季批次为 3 月 1 日，秋季批次为 9 月 1 日）或上传后 180 天（以较早者为准），届时自动删除；上传该条目的机构或我们的团队可随时提前将其删除。法律依据为我们确保同届新生中只有真正被录取的学生这一正当利益（第 6(1)(f) 条）。

保存期限。 您的同届记录、认识请求、屏蔽和举报在账号存续期间保存；即使您更换大学或入学批次，或不再符合同届条件，也会继续保留，以便屏蔽和举报持续有效。上述全部内容随账号一并删除。

十一、接机服务：您的接机向导

接机服务（Meet）是我们的机场接机服务：由您所在大学的一名学生在您抵达时接机，并在最初几天为您提供帮助。

我们收集的信息。 预订时：抵达日期和航班（可稍后补充）、机场、您希望向导使用的语言、是否需要同性别向导及您的性别、联系方式（例如微信、WhatsApp 或 Telegram）、是否允许向导查看您的宿舍地址，以及付款人（您或家长）。服务期间：向导标记完成的步骤及时间、向导为这些步骤添加的照片、"在路上"卡片、您提出异议的步骤、投诉，以及您的评分和评语。

向导在何时能看到什么。

我们可能会记录向导每次查看您的航班、联系方式或地址的情况。向导只能为接机和帮助您而使用您的信息。

接机码。 您的应用会显示一个 4 位数字的接机码。向导在见面时输入该码，以确认接机。我们加密存储该码，多次输错后会将其锁定。

照片和"在路上"卡片。 向导可以为其标记完成的步骤添加照片 - 例如与您见面或抵达宿舍 - 并在途中发送"在路上"卡片：一条简短备注，例如车牌号和预计到达时间，可附一张照片。我们会去除每张照片的相机信息（例如拍摄地点）后重新保存，并加密存储。您可以在应用中看到这些照片和卡片；您的家长能看到其页面所显示步骤的照片（见第十二条），但绝不会看到您提出异议的步骤的照片。我们会在预订完成、取消或退款 30 天后删除这些照片。

您能看到的向导信息。 向导的名字、照片、年级、语言、简介、评分和接机次数，以及在您抵达前 24 小时起显示的微信。

付款。 接机服务在我们的网站上付款，而不是通过应用商店。付款页面（myqiao.app/pay/…）显示金额、付款用途（接机服务，以及您添加的移动数据套餐，见第十三条）、您的名字、付款说明和参考号。您按说明付款，款项到账后由我们的团队将预订标记为已付款；如页面提供该选项，您也可以改用支付宝付款，该笔付款由 Stripe 处理，Stripe 确认后预订即标记为已付款。为处理这笔付款，Stripe 会收到金额、付款用途和订单编号（见第十九条）。任何持有付款链接的人都能看到该页面，因此请只把链接发给付款人。与您绑定的家长也可以在其应用中打开该页面（见第十二条）。我们会按会计法要求，将付款记录 - 金额、币种、日期、付款人（您或家长）、参考号以及付款方式显示的付款人信息 - 保存 7 年。

法律依据与保存期限。 我们为提供您预订的服务而使用这些数据（第 6(1)(b) 条）；如保留访问记录，则基于保护您的正当利益（第 6(1)(f) 条）；付款记录属于法定义务（第 6(1)(c) 条）。预订信息在账号存续期间保存，但航班、接机联系方式和接机码会在预订完成、取消或退款 30 天后清除，向导的照片也同时删除。对于需要处理的预订（例如尚未找到向导或某一步骤有异议），我们的团队会收到内部提醒；这些提醒在处理完毕一年后删除。删除账号时，您的联系方式和有关接机的备注会被清除，预订和付款记录将为账务目的继续保存，但不再与您关联。

十二、家长：家长链接、家长账号与付款

您的家长可以通过两种方式了解您的抵达进度：在我们网站上无需账号的页面查看，或在 Qiao 应用中使用与您绑定的家长账号查看。链接或访问码给谁，由您决定。

家长页面。 您可以在应用内创建一个链接 - myqiao.app/p/… - 以及一个 8 位访问码，在 myqiao.app/p 输入该码可打开同一页面。每位学生只有一个链接。

页面显示的内容：

• 您的名字、城市和大学；
• 若有接机预订，显示其状态，例如"等待付款"，或需要我们协助；
• 带时间和截止日期的抵达进度：已落地、与向导见面、前往宿舍途中、已入住宿舍、已办理住宿登记、银行卡与手机卡、已申请居留许可。这些信息来自您的接机预订、清单以及您填写的日期，并在语言需要时按您的性别表述；
• 向导为这些步骤添加的照片以及"在路上"卡片中的备注，但您提出异议的步骤除外；
• 您的向导的名字、照片、年级、大学、语言、评分和接机次数；
• 付款前，显示接机服务介绍和付款按钮；付款后，显示已付金额和付款日期。

页面绝不显示您的证件或证件号码、地址、联系方式或聊天内容。

谁可以打开。 任何持有链接或访问码的人都可以打开，无需登录 - 因此请只发给您信任的人。该页面不被搜索引擎收录，不运行分析工具，也不会把自身地址传给其他网站。页面上的向导照片通过签名链接打开，链接至少有效一小时后失效（例如 10:20 生成的链接可用到 12:00）。

有效期。 180 天。您可随时在个人资料中撤销，撤销后链接和访问码立即失效。之后您可以创建新链接。撤销链接不会解除已与您的账号绑定的家长账号，需另行解除。

家长账号。 家长可以创建自己的 Qiao 账号 - 使用邮箱和密码，或通过 Google 或 Apple 登录，并填写名字 - 然后输入您的访问码与您的账号绑定。每有一位家长绑定，您都会收到通知，并能看到每位已绑定家长的名字和大部分被隐藏的邮箱地址。最多可有 4 位家长与您绑定。已绑定的家长在应用中能看到家长页面显示的内容（照片仅在绑定期间可见），以及 - 为避免重复付款 - 您在 Qiao 已拥有的内容：您的 Qiao Pass 有效期至何时、是否已有前 7 天礼包、还剩几次学习计划点评、接机服务进展到哪一步，以及是否已有移动数据套餐。家长账号绝不会看到您的证件、聊天内容、与助手的对话、地址或联系方式。家长会在页面所显示的步骤收到通知，每位家长都可以将其关闭。

解除与家长的绑定。 您可随时在个人资料中解除与某位家长的绑定。对方的账号会立即失去对您账号的访问权限，您的访问码也会更换，旧访问码无法再次用于绑定。解除绑定不会撤销家长页面的链接：如果对方也有该链接，或曾用您的访问码打开过该页面，请一并撤销链接。家长也可以自行解除绑定。

您与家长之间的付款。 您可以在应用内请已绑定的家长为某项内容付款，例如 Qiao Pass 或接机服务。该请求连同产品名称和价格会发给您的所有已绑定家长；其中任何一位都可以付款或拒绝，无人回应的请求在 14 天后失效。家长也可以不经请求直接为您购买。家长在 App Store 或 Google Play 进行的购买属于家长本人的购买，是送给您的礼物：我们会记录付款人以及该购买归您所有；若该购买被退款，我们会从您处收回相应权益。接机服务和移动数据套餐通过付款链接支付（见第十一条和第十三条）。您能看到付款家长的名字。

发给家长的邮件。 家长可在页面上留下邮箱以接收更新。我们可能会先发送一封带确认链接的邮件；在这种情况下，只有在地址确认后才发送更新。更新内容涉及付款、接机、各项步骤和向导的新照片以及服务结束，最多每 10 分钟一封，每封邮件都附有退订链接。我们加密存储该地址，仅用于这些更新，并在链接过期或被您撤销 30 天后随链接一并删除；如您的账号先被删除，则随账号一并删除；家长也可要求我们提前删除。法律依据为家长的同意（第 6(1)(a) 条）。

法律依据与保存期限。 我们依据与您的合同提供链接、家长账号绑定以及你们之间的付款，并依据与每位家长就其本人账号订立的合同为其提供服务（第 6(1)(b) 条）；付款人记录属于账务方面的法定义务（第 6(1)(c) 条）。您的账号与家长账号之间的绑定关系在两个账号都存续期间保存（包括任一方解除绑定之后），并随任一账号一并删除。您的付款请求在您的账号存续期间保存，购买记录（包括礼物）保存 7 年。

十三、中国移动数据套餐

在已开放的情况下，您可以在应用内订购中国移动数据套餐，它以电子 SIM 卡的形式安装在您的手机上，无需实体卡；也可以将其添加到接机服务预订中。已绑定的家长也可以为您订购。您也可以在我们的网站上无需 Qiao 账号购买套餐（见下文"在网站上购买的套餐"）。

我们收集的信息。 您选择的套餐、价格和订单状态；付款人 - 您或已绑定的家长；付款链接；服务商为您的套餐分配的编号及其 SIM 卡号的后 4 位；以及您的手机安装套餐所需的激活信息。

服务商。 我们向移动数据服务商订购套餐。服务商只会收到订单编号和套餐 - 绝不会收到您的姓名、邮箱地址或联系方式 - 并在套餐就绪、已安装或无法开通时通知我们。

付款。 移动数据套餐与接机服务一样，在我们的网站上通过付款链接支付：付款页面（myqiao.app/pay/…）显示金额、付款用途、您的名字、付款说明和参考号。任何持有链接的人都能看到该页面，因此请只把链接发给付款人。添加到接机服务预订中的套餐是同一笔付款中的一项。也可以使用支付宝付款，与接机服务一样由 Stripe 处理（见第十一条）。

激活信息。 我们加密保存激活信息。应用会向您显示一次；若您的手机在安装过程中丢失了这些信息，可在 10 分钟内再次显示。套餐安装后我们会立即清除这些信息，订单退款或账号删除时也会清除。

在网站上购买的套餐。 在已开放的情况下，您可以在 myqiao.app 上无需账号购买套餐。此时我们会收集套餐、价格和订单状态，以及您的邮箱地址：我们加密保存邮箱地址，仅用于向您发送套餐的专属链接以及与该订单有关的邮件。Stripe 也会随付款收到该邮箱地址。该链接与应用一样，只显示一次激活信息，10 分钟内可再次显示；任何持有链接的人都能打开它，因此请勿转发该邮件。链接打开的页面不运行分析工具，也不被搜索引擎收录。订单结束（套餐已安装，或订单被取消、退款或套餐无法开通）30 天后，我们会删除您的邮箱地址和该链接。

法律依据与保存期限。 我们为提供您订购的套餐而使用这些数据（第 6(1)(b) 条），并按会计法要求将订单和付款记录保存 7 年（第 6(1)(c) 条）。删除账号时，订单将为账务目的继续保存，但不再与您关联。对于在网站上购买的套餐，订单和付款记录以同样方式保存，您的邮箱地址在订单结束 30 天后删除。

十四、向导与向导申请

本条适用于申请成为接机向导的中国高校学生，以及已成为向导的人士。

申请。 您可以在 myqiao.app/helpers 申请成为向导。我们收集您在表单中填写的内容，例如姓名、学校、年级和专业、语言能力、微信号或手机号码，以及您的自我介绍。

同意。 我们基于您在表单中作出的同意处理您的申请（GDPR 第 6(1)(a) 条；《中华人民共和国个人信息保护法》（"个人信息保护法"）第十三条、第十四条）。我们的服务器位于中国大陆境外，提交表单即意味着您的个人信息将被传输至境外；表单会就此单独征求您的同意（个人信息保护法第三十九条）。境外接收方为 Duor Digital OÜ，地址 Tartu mnt 67/1-13b, 10115 Tallinn，爱沙尼亚，联系方式 support@qiaoguide.com。我们使用您的信息审核申请、与您联系并安排面试。您可随时写信至 support@qiaoguide.com 撤回同意，我们将删除您的申请。

存储与保存期限。 申请以加密形式存储，仅由我们的团队查阅。若我们拒绝了您的申请，将在 30 天后将其删除；其他未使您成为向导的申请，最迟在您提交后 12 个月内删除。

若您成为向导。 面试时我们会核验您的学生证和身份证件。我们记录学生证的核验时间和面试时间，不保存任何证件的复印件。我们会为您开设向导账号，您可用邮箱登录合作方门户和 Qiao 应用（见第十五条）。查看您所在大学接机服务介绍的学生及其家长，会在该校向导中看到您的照片和姓名首字母。被指派给您的学生能看到您的姓名、照片、年级、语言、简介、评分和接机次数，并在其抵达前 24 小时起看到您的微信。学生家长通过家长页面或家长账号能看到您的姓名、照片、年级、学校、语言、学生证已核验的标记、评分和接机次数，以及您为该学生的步骤添加的照片和"在路上"备注。您的微信号和手机号码加密存储。我们可能会记录您每次查看学生的航班、联系方式或地址的情况；我们会保存学生对您接机的评分和投诉，以及我们为这些接机应付和已付给您的报酬记录 - 金额、币种、日期和付款参考号。您担任向导期间，我们保存您的向导记录；此后仅在处理投诉、争议和账务所需的期限内保存。

您的权利。 根据个人信息保护法和 GDPR，您可以写信至 support@qiaoguide.com，要求查阅、复制、更正或删除您的个人信息，或撤回同意（见第二十二条）。

十五、机构、其工作人员与向导

本条适用于通过机构邀请码加入 Qiao 的学生，以及在 Qiao 中为机构工作或担任我们接机向导的人士。

合作方账号。 机构的负责人、经理和向导，以及我们的接机向导，各自拥有一个合作方账号，使用邮箱地址和密码在合作方门户和 Qiao 应用中登录。创建账号的一方（机构负责人或我们的团队）会获得由我们服务器生成、仅显示一次的密码，并可通过邀请邮件发给新成员；首次登录时必须更改该密码。对每个合作方账号，我们保存其邮箱地址、姓名、角色和照片、仅以哈希形式保存的密码、最近登录和最近在线的时间、会话、其手机的推送令牌及语言和应用版本，以及通知设置；对向导，还保存其语言、性别、城市和机场，以及加密保存的手机号码或微信号。机构负责人能看到每位同事的邮箱地址、角色以及是否在线。团队和机构接机中的每项变更（谁添加或停用了谁、谁指派了向导或取消了接机）都会连同操作人和时间一起记录。停用账号或更改其密码、邮箱地址，会立即结束其会话并移除其手机。我们为向机构提供服务并保障其安全而处理这些信息，依据是我们和机构的正当利益（第 6(1)(f) 条）。合作方账号在机构使用 Qiao 期间保存，此后仅在处理投诉、争议和账务所需的期限内保存。

您的机构能看到什么。 机构的负责人和经理会在合作方门户和 Qiao 应用中看到第十九条所列的内容 - 您的个人资料、您的证件以及您与该机构的聊天 - 以及该机构为您安排的接机。他们可以打开您的证件，但无法修改或删除。在他们的手机上，Qiao 应用显示您的证件和向导照片时不会将其保存到手机或相册，不提供"下载"或"分享"按钮，并在退出登录时清除其保存的聊天和列表副本；网页版合作方门户可下载证件文件。在 Android 上，应用禁止对显示您的证件和个人资料的页面截屏或录屏；在 iOS 上，应用会在应用切换器中以及录屏期间隐藏这些内容。工作人员还可以用面容 ID 或指纹锁定应用。

机构为您安排的接机。 若您的机构提供此服务，您可以在应用中预约由该机构向导提供的免费接机。我们收集的信息与接机服务（第十一条）相同，但不涉及付款，并以相同方式保存和清除。机构的负责人和经理始终能看到其为您安排的接机的全部内容：抵达日期和时间、航班和机场、您希望的语言以及是否需要同性别向导、您为接机提供的联系方式、您允许向导查看时的宿舍地址、附有向导照片和备注的各个步骤、接机记录，以及您的评分和投诉（如有）。他们还可以为您预约接机、修改接机、指派或更换向导，以及确认已与您会合。严重投诉也会同时送达我们的团队。

机构向导能看到什么。 机构向导（在应用中显示为该机构的代表）是由您的机构挑选并核验的人员，而不是我们的接机向导。他们只能看到指派给自己的接机 - 绝不能看到您的证件、聊天内容或该机构的学生。被指派后，他们能看到您的名字和姓氏首字母、国家、抵达日期和机场以及您希望的语言。仅从您抵达前 48 小时起，至接机完成后 72 小时，他们才能另外看到您的航班、联系方式，以及仅在您允许时的中文宿舍地址。与接机服务一样，我们可能会记录向导每次查看您的航班、联系方式或地址的情况。若机构更换了向导或接机被取消，该向导会立即失去这些访问权限。您能看到向导的姓名、照片和语言。

您的同意。 接机表单会告知您，您的航班和联系方式将提供给机构的向导；提交预约即表示您同意提供。若由机构为您预约，这些信息由机构自行填写：应用会请您核对，显示同样的说明，并允许您更正信息或取消接机。

法律依据。 我们依据与您的合同（第 6(1)(b) 条）提供机构接机；如保存访问记录，则基于保护您的正当利益（第 6(1)(f) 条）。对于其工作人员和向导如何使用所看到的信息，机构作为独立的数据控制者负责（见第十九条）。

十六、通知与推送

若您开启通知，我们会注册您的设备以接收通知。

• iOS 使用 Apple 推送通知服务（APNs）。
• Android 使用 极光推送 JPush（深圳市和讯华谷信息技术有限公司）。采用该服务的原因是 Google 的 Firebase 云消息在中国大陆无法使用。极光推送位于中国境内，会接收您的推送令牌、基本的设备与网络信息，以及它向您手机投递的每条推送的文字。 若您不希望如此，可以拒绝通知权限 - 应用仍可正常使用，期限会在应用内和桌面小组件中显示。
• 部分提醒在您的设备本地排程，完全不经过任何服务器。
• 除期限提醒外，我们还会就同届认识请求、接机预订或机构接机、学习计划点评、您所在机构的公告、与您绑定的家长及其为您支付或拒绝的款项向您发送通知；在您抵达前后，每天最多发送一条下一步建议。
• 在家长账号中，我们会就家长页面所显示的孩子抵达步骤、孩子请您付款的内容以及您的付款向您发送通知。
• 在合作方账号中，我们会就学生消息和机构接机向您发送通知；向导则会收到与其接机相关的通知。默认情况下，锁屏只显示学生姓名，不显示消息内容；您可以在个人资料中更改此设置，或关闭任一类通知。

推送包含什么。 每条推送的文字 - 例如聊天消息的发送者姓名和内容 - 会根据接收的手机经由 APNs 或极光推送传递。与您有关的推送也可能发送到他人的手机上：您家长的手机，以及（若您通过机构邀请码加入 Qiao）该机构工作人员的手机。因此，在您所在机构的负责人、经理和向导的 Android 手机上，极光推送会收到其推送所显示的您的信息：您的姓名（若工作人员开启了消息内容显示，还包括您新消息的内容），以及您接机的日期和机场。您在自己手机上拒绝通知，并不能阻止发往他人手机的与您有关的推送。

您可随时在应用内或设备设置中关闭通知。

十七、位置信息

位置权限为可选。若您授权，您的位置将用于地图居中和按距离排序附近地点。坐标在设备本地使用，我们不保存您的行踪历史。拒绝授权仅意味着地图以您所在城市而非您本人为中心打开。

十八、网站、Cookie 与分析

网站必需的 Cookie。 在 myqiao.app 上，我们会在您的浏览器中保存以下 Cookie。它们用于网站运行并记住您的选择，绝不用于分析或广告，因此无需征得您的同意：

分析工具：仅在您接受后运行。 您首次访问时，横幅会询问我们能否使用分析工具，并提供两个同等的按钮：接受分析和拒绝。在您接受之前，不会加载任何分析脚本，您的浏览器也不会向 Google 发送任何内容；拒绝或不作选择不会改变网站的其他任何功能。如果您接受，我们会加载 Google Analytics 4，由 Google Ireland Limited 与美国的 Google LLC 提供。它统计访问、您查看的页面和事件，以及浏览器与设备信息和您来自的页面；它用您的 IP 地址估算国家和城市，但不存储该地址。Cookie：_ga 和 _ga_1QHPFR0VFF（2 年）。

法律依据是您的同意（GDPR 第 6(1)(a) 条，以及在爱沙尼亚适用的《电子隐私指令》第 5(3) 条）；向美国 Google LLC 的传输依据欧盟-美国数据隐私框架（见第二十条）。所用工具列于第十九条。

更改选择。 您可随时通过网站页脚的 Cookie 设置 更改或撤回选择，与作出选择一样简单。撤回后页面会重新加载以停止脚本，我们会删除其在 myqiao.app 上的 Cookie；此前的处理不受影响。6 个月后，或本条内容有变时，我们会再次询问。

不运行分析工具的页面。 家长页面（家长输入访问码的 myqiao.app/p，以及 myqiao.app/p/…）、付款页面（myqiao.app/pay/…）、申请进度查询页面（myqiao.app/…/request）、在网站上购买的移动数据套餐页面、管理后台和合作方门户无论您如何选择都不运行分析工具，其中的私密页面也不被搜索引擎收录。网站上的奖学金机会测评无需账号：您的回答仅用于计算结果，除非您点击「在应用中继续」，否则不会保存。点击后，回答和结果会以随机代码保存 30 天，代码过期即删除。

应用。 移动应用不使用 Cookie，也不使用第三方分析服务：第 3.2 条所述的使用情况记录在我们自己的服务器上。

十九、我们与谁共享数据

我们仅与下列处理方共享个人数据，且均已签署书面数据处理协议，共享范围以必要为限。

其他用户及您选择的人。 您的同届成员能看到第十条所述内容，您的向导能看到第十一条所述内容（机构接机见第十五条），您的家长（通过家长链接或已绑定的家长账号）能看到第十二条所述内容。

向导。 接机服务的向导是经我们核验的中国高校学生；机构向导由您的机构挑选并核验。他们只能看到与您的预订相关的信息，且仅限于第十一条和第十五条规定的时间范围内，并且只能为接机和帮助您而使用这些信息。

合作机构。 若您输入机构邀请码，该机构就您在聊天中提供的数据、您的申请材料、其为您安排的接机以及其如何使用在合作方门户和 Qiao 应用中看到的您的信息，成为独立的数据控制者，其自身的隐私政策适用于其后续处理。在合作方门户和 Qiao 应用中，该机构能看到您的姓名和邮箱地址、头像、国家、城市和大学、抵达状态和日期以及您的其他问卷回答、您的出生日期及其是否来自证件、您各项证件的有效期、您文件夹中的证件及其文件 - 包括您用于确认身份的护照或 JW202 表照片 - 您的注册时间和最近活跃时间、您与该机构的聊天，以及其为您安排的接机（见第十五条）。为便于机构为同届新生功能确认您的录取，该机构还会看到您的入学批次、您是否已计入同届新生及是否在其中展示、是否已扫描录取通知书、录取是否已确认以及是否已年满 18 周岁。机构无法修改来自您证件的姓名、出生日期或性别。若您提交升学协助申请，我们会将其转交给我们为此选定的合作机构；该机构在其合作方门户中查看申请并与您联系，并就其后续处理成为独立的数据控制者。

合作服务提供方。 若您购买由合作方提供的服务，我们仅向该提供方传递其履约所必需的信息。各提供方随后就其处理行为成为独立控制者。我们会在您购买前告知提供方身份。

其他披露情形。 在法律要求、维护我们的服务条款、保护用户或公众的权利与安全时，或在并购交易中，我们可能披露数据；就并购情形，我们会在您的数据适用另一政策之前告知您。

二十、跨境传输

我们的部分处理方位于欧洲经济区之外。向欧洲经济区之外传输个人数据时，我们依据：

• 欧盟委员会就该国作出的充分性认定；或
• 欧盟委员会的标准合同条款，并辅以传输影响评估，以及必要时的加密、最小化等附加技术措施。

向中国的传输（通过极光推送投递通知）需要特别说明：中国尚无充分性认定。极光推送会收到推送令牌、基本设备信息以及其投递的每条推送的文字 - 绝不包括您的证件，但包括聊天消息的发送者姓名和内容；在您所在机构工作人员和向导的 Android 手机上，还包括您的姓名、您消息的内容（若其开启了消息内容显示）以及您接机的日期和机场（见第十六条）。拒绝通知权限可停止发往您本人手机的推送所涉及的此项传输，但不能停止发往他人手机的与您有关的推送。

向美国的传输（Google LLC 和 Stripe, Inc.）依据欧盟-美国数据隐私框架（EU-US Data Privacy Framework），两家公司均已获认证；其他情况下依据标准合同条款。

向中国境内向导的传输。 当您预订接机服务或机构接机时，向导所需的信息会在第十一条和第十五条规定的范围内展示给位于中国的向导。此项传输是提供您所预订服务所必需的（GDPR 第 49(1)(b) 条）。

向导申请经申请人单独同意，从中国传输至我们位于中国境外的服务器（见第十四条）。

您可写信至 support@qiaoguide.com 索取相关保障措施的副本。

二十一、数据保存期限

账号删除后，我们在 30 天内从生产系统中清除您的个人数据，90 天内从备份中清除。仅保留法律要求保存的内容 - 主要是购买的账务记录，包括不再与您关联的礼物、接机预订、移动数据套餐订单与付款记录 - 合作机构可能仍在处理的升学协助申请，以及"该邮箱对应的账号已删除"这一最简记录，以免误将其重建。

二十二、您的权利

根据 GDPR，您有权：

• 访问我们持有的您的个人数据并获取副本；
• 更正不准确或不完整的数据 - 其中大部分您可在应用内自行修改；来自证件的姓名、出生日期或性别，可通过重新扫描证件或写信给我们来更正（见第八条）；
• 删除您的数据（"被遗忘权"）；
• 在特定情形下限制处理；
• 可携带 - 以结构化、通用、机器可读的格式获取您提供的数据，并在技术可行时转移给其他控制者；
• 基于您的特殊处境，反对基于我们正当利益的处理；
• 在处理以同意为依据时随时撤回同意 - 例如证件、通知、位置、在同届新生中展示、发给家长的邮件或向导申请。撤回不影响撤回前处理的合法性；
• 不受仅基于自动化处理并对您产生法律效果的决定约束。我们不作此类决定。

如何行使。

• 删除账号：应用内 我的 → 删除账号。
• 停止在同届新生中展示：同届页面上的开关。
• 撤销家长链接或解除与家长的绑定：在应用内的个人资料中。
• 删除证件（包括护照或 JW202 表的照片）：在应用内的"证件"中。
• 其他事项：写信至 support@qiaoguide.com。

我们在一个月内答复。请求复杂时可延长至多两个月，并会向您说明原因。我们可能要求您验证身份。行使权利免费；仅对明显无依据或过度的请求，我们才可能收取合理费用或予以拒绝。

投诉。 若您认为我们处理不当，请先联系我们 - 我们更愿意直接改正。您也有权向爱沙尼亚数据保护监察局（Andmekaitse Inspektsioon，Tatari 39, 10134 Tallinn，info@aki.ee，www.aki.ee）或您居住、工作所在欧盟国家的监管机构投诉。

二十三、安全措施

我们采取的措施包括：

• 全部流量经 TLS 加密；
• 密码仅以加盐哈希存储，绝不以明文保存；
• 短时效访问令牌配合刷新令牌轮换与服务端吊销；
• 证件标识保存在设备安全存储（Keychain／Keystore）中；
• 上传文件加密存储，仅通过带时效的鉴权链接提供；
• Android 端对显示证件标识的页面禁止截屏；
• 同届及接机预订中的联系方式、家长邮箱、向导联系方式、学习计划文本、从聊天照片识别的文字以及向导申请，在数据库中另行加密；
• 护照或 JW202 表扫描的读取结果密封保存最长一小时，从证件读取的文字绝不保存或写入日志；
• 不保存录取通知书的文字，识别出的文字绝不写入日志；
• 向导的照片加密存储，仅能通过签名链接或登录后访问；
• 移动数据套餐的激活信息加密存储，仅显示一次，套餐安装后即清除；
• 家长链接和付款链接采用长随机令牌，访问受频率限制，撤销后立即失效；
• 用访问码绑定家长账号的尝试次数受限，您解除与家长的绑定后访问码随即更换；
• 接机码加密存储，多次输错即锁定；向导对学生信息的访问有时间限制并留有记录；
• 在机构工作人员和向导的手机上，学生证件和步骤照片绝不保存到手机，Android 上禁止对证件和学生个人资料截屏或录屏，并可选用面容 ID 或指纹锁定；
• 合作方账号被停用或其密码、邮箱地址被更改时，立即结束其会话并移除其手机；
• 认证接口限流与锁定；
• 内部最小权限原则，证件访问全程留痕；
• 异地加密备份；
• 错误监控与告警。

没有绝对安全的系统。若发生可能对您的权利和自由造成高风险的数据泄露，我们将毫不迟延地通知您，并按 GDPR 要求在 72 小时内通知监管机构。

二十四、位于中国大陆的用户

本服务的使用者主要身处中国大陆，请注意：

• 我们的服务器位于中国境外，因此使用本服务涉及您的数据跨境传输；
• 我们在您创建账号时就此单独征求您的同意；
• 中国的网络状况可能延迟或阻断通知与连接。我们尽可能采用境内投递方式，但无法保证送达；
• 我们未取得中国 ICP 许可，也不将本服务定位为面向中国公民的境内服务。唯一面向中国学生的部分是向导申请（见第十四条）。

若中国《个人信息保护法》适用于我们对您数据的处理，我们将按照与上述 GDPR 权利相同的标准保障其赋予您的各项权利。

二十五、未成年人

本服务面向 16 周岁及以上人士。我们不会在明知的情况下收集未满 16 周岁者的个人数据。若您认为未满 16 周岁的儿童向我们提供了个人数据，请写信至 support@qiaoguide.com，我们将予以删除。

同届新生功能面向 18 周岁及以上人士。若您在 Qiao 中的出生日期显示未满 18 周岁，您无法在同届新生中展示、查看成员名单或在其中交换联系方式，只能看到数字。

二十六、本政策的变更

我们可能更新本政策。更新时会修改顶部的版本号与日期，并在 myqiao.app/privacy 公布新文本。若变更实质影响您的权利，我们将在生效前至少 14 天通过应用内提示或电子邮件告知您，以便您提出异议或删除账号。在该日期之后继续使用本服务，即表示新版政策适用于您。

历史版本可应要求提供。

二十七、联系我们

Duor Digital OÜ Tartu mnt 67/1-13b, 10115 Tallinn，爱沙尼亚 注册代码 17631584

• 隐私：support@qiaoguide.com
• 支持：support@qiaoguide.com

我们未指定数据保护官，因为法律未对我们作此要求。隐私相关询问请发送至上述邮箱，由管理层处理。