适用范围 Scope
本清单说明艾赛网球（AceLink Tennis）当前移动端和网页端实际处理的信息、申请的系统权限及接入组件。我们按“实现一项能力所必需的最少范围”处理数据，不因安装应用而读取通讯录、精确位置或设备中的全部文件。
This list describes the data, system permissions, and components actually used by the current AceLink Tennis mobile and web products.
个人信息收集清单 Personal information inventory
- 账号与身份：昵称、邮箱、加盐哈希后的登录凭证、邀请码及邀请关系、内部账号 ID 和公开球友 ID。用于注册、登录、账号安全、档案归属和邀请关系。
- 训练与视频：用户主动选择的原视频、视频时长/尺寸/方向/文件大小、动作类型、持拍手、水平、关键帧、姿态点、质量检查、AI 报告、教练复核、复测记录及用户反馈。用于完成训练分析和长期档案。
- 可选本地 AI 关键帧复核：仅在用户独立主动勾选后，将 3–4 张关键帧和必要动作信息交给 AceLink 管理的 Mac 上的本地模型处理；画面可能包含脸部与身体，不附账号名、邮箱或完整视频，不用于训练。授权状态、版本、时间与范围用于核对和执行同意。原报告先生成，AI 复核随后补充，可在自己的原报告撤销；以往 OpenAI 或样本校准授权不自动适用。
- 可选球友资料：用户主动填写的水平、持拍手、城市/区域、常用球馆、可约时间和训练目标。仅在用户选择进入球友功能后使用。
- 球连照片与安全审核：用户主动发布的照片会先清除 EXIF、定位和文本元数据，再经过自动图片安全检查或人工复核；未通过前仅本人和授权管理员可见。自动检查启用时，照片会提交给已披露的安全处理服务商。
- 可选通知设备令牌：用户允许系统通知后，保存与账号关联的 APNs 或 FCM 设备令牌，用于训练报告、点赞、评论、关注和约球提醒；锁屏提醒不包含私信正文，退出或注销会撤销令牌。
- 服务与安全记录：请求时间、任务状态、失败原因、同意记录，以及匿名会话 ID、App/系统版本、关键步骤和错误代号等必要诊断记录。用于排错、防滥用、权限校验和安全审计；匿名诊断不记录姓名、邮箱、密码、令牌、媒体地址、视频内容、错误原文或调用堆栈。
- 支付与虚拟权益：当用户主动发起购买时处理订单状态、权益与必要的去标识化账务记录；当前不会把 Ace 点兑换成现金。
训练视频默认只用于生成该账号的报告和档案。只有另行取得明确授权并通过教练标注及质量门槛的样本，才可能进入去标识化校准流程。
Android 权限清单 Android permissions
- 网络访问（INTERNET）：登录、上传视频、读取报告、同步训练档案及完成权限校验所必需。
- 相机（CAMERA，可选）：仅在用户主动选择现场拍摄时请求，用于录制待上传的网球训练视频；拒绝后仍可使用系统文件选择器上传已有视频。
- 通知（POST_NOTIFICATIONS，可选，仅 Android 13+）：仅在用户主动点击“完成时通知我”后申请，用于提示训练报告已经完成；拒绝后不影响上传、分析和报告查看。
当前 Android 版本不申请精确位置、通讯录、通话记录、短信、麦克风或广泛文件存储权限。选择已有视频使用系统文件选择器，不要求读取设备中的全部照片和文件。
第三方组件与基础设施 Third-party components and processors
- Capacitor Core / Android（Ionic）：将网页产品封装为移动应用并提供基础运行环境；不用于广告追踪。
- Capacitor App / Haptics / Status Bar（Ionic）：分别用于应用前后台状态与报告深链、轻量触觉反馈和系统状态栏样式；不读取通讯录、位置或广告标识符。
- Capacitor Browser / App Launcher（Ionic）：仅在用户主动点击外部网页、客服电话或客服邮箱时，将链接交给安全浏览器或对应系统应用打开；不在后台读取浏览记录、通话记录或邮件内容。
- Capacitor Local Notifications / Capacitor Push Notifications（Ionic）：仅在用户授权后接收训练报告与球友互动提醒，通知点击进入对应页面；不用于广告营销或跨应用追踪。
- Capacitor Clipboard（Ionic）：仅在用户点击复制报告、编号或链接时写入系统剪贴板，不在后台读取剪贴板。
- MediaPipe Pose Landmarker：作为姿态估算算法组件处理视频关键帧；移动端所需脚本、WASM 与轻量模型随艾赛网球同源提供，不会为了加载模型把训练视频提交给 Google 广告、账号服务或公共 CDN。
- AceLink 管理的 Mac / 本地 AI：接收单独授权的 3–4 张关键帧与必要动作信息，产生 AI 复核并回写 App 原报告。临时帧在任务结束后清理；异常退出后可能在任务过期或下次启动时清理。本地指受管理设备上的推理，不保证在用户手机或某一国家、地区处理。未经校准的 AI 结果不是教练确认、进步认证或整体水平认证。
- OpenAI API（按功能启用）：球连自动图片安全检查启用时，接收去除元数据后的待发布照片并仅返回安全类别。画面本身仍可能识别人物外观；API 数据默认不用于模型训练，但安全与滥用监控可能保留必要记录，处理也可能发生在用户所在地区之外。自动服务不可用时，照片不会直接公开，而会进入人工复核。旧版另行授权的 OpenAI 复核记录继续按原处理方式展示；新的本地 AI 授权不会重新发送历史素材。
- Apple Push Notification service / Firebase Cloud Messaging：用户允许通知后，分别为 iOS 和 Android 处理设备令牌、通用提醒文案与目标页面；不发送私信正文、邮箱、姓名或媒体地址。
- Railway 云基础设施：承载当前后端、访问控制、训练数据和运行日志。视频访问需要账号权限或短期签名链接。
- Resend 邮件服务（启用时）：仅为密码重置等账号安全邮件处理收件邮箱和一次性链接。
当前移动端未接入广告、跨应用追踪、统计分析、地图、通讯录或社交账号登录 SDK。基础设施或组件发生实质变化时，我们会先更新本清单和隐私政策。
查询、更正与删除 Your controls
登录后可在“我的 → 账号与数据”查看政策并永久删除账号。若无法登录，请按账号删除说明使用注册邮箱联系 developer@acelinktennis.com。完整处理规则见隐私政策。