生效日期：2026年9月7日
版本：2026-09-07
欢迎使用 Voyage（亦称 VOYÁGE）。本政策说明我们如何收集、使用、存储、共享和保护您的个人信息，以及您可以如何行使权利。请在使用本服务前仔细阅读。若您不同意本政策，请停止使用本服务。
一、我们是谁
Voyage 的运营者和个人信息处理者为香港科技大学学生毕业设计团队（“Voyage 项目组”“我们”）。本项目当前为学生毕业设计项目，不是香港科技大学的官方产品，香港科技大学也不参与本服务的日常运营或个人信息处理。
网站：https://preview.ustvoyage.com
隐私与支持联系邮箱：support@ustvoyage.com
二、我们收集的信息
我们仅在提供服务所必要的范围内处理信息，主要包括：
1. 账号信息
使用 Apple 账号登录或主动注册时，我们接收 Apple 提供的主体标识（subject）及身份令牌，用于验证身份；仅主动注册会创建新账号。您可选择向我们提供邮箱。使用邮箱登录时，我们会将您提供的邮箱地址和一次性验证码发送至阿里云邮件推送（杭州区域）以投递登录邮件，不用于营销。服务端保存邮箱身份与验证码的带密钥哈希，不保存明文邮箱或验证码；设备会保存登录邮箱用于展示。验证码状态及邮箱/IP 限流标识在失效一天后由定时任务删除。
2. 船长身份与资料
您主动填写或选择的昵称、职业、头像（含本机照片，照片仅保存在本设备）以及目标偏好。
3. 健康信息（敏感个人信息）
在您授权 Apple 健康后，我们可读取您在健康权限弹窗中允许的类型，当前包括：出生日期、生理性别、身高、体重、步数、步行/跑步距离、活动能量、基础能量、爬楼层数、心率、静息心率、心率变异性（SDNN）、呼吸频率、血氧饱和度、Apple 锻炼时间、Apple 站立时间、睡眠分析、正念活动、锻炼（Workout）。我们只申请读取，不向 Apple 健康写入数据。您可在 iOS“健康”或“设置”中随时更改授权。演示/占位数据仅用于界面回退，不会作为真实健康数据上传。
4. 天气与位置
在健康同步且您另行同意天气采集时，我们使用大约位置（约三公里精度）通过 Apple WeatherKit 获取当前天气，并可能保存温度、湿度、气压、风速、降水、紫外线、能见度、天气状况、时区、城市级地点名称以及四舍五入后的经纬度。我们不将精确位置用于天气导出。
5. 设备与使用信息
为登录诊断、安全与故障排查，设备可能保存网络路径等诊断日志。我们还会保存您在应用内的任务完成、点名、贝壳余额、装扮与成就等使用记录。
6. 通讯、好友与健康摘要共享
我们处理好友关系中的显示名称、头像、邀请码、请求状态和共享状态。当前版本在双方确认好友关系后，默认相互共享当日健康摘要，包括步数、睡眠、活动能量、正念分钟、静息心率、心率变异性（SDNN），以及由这些数据计算的平衡分数和标签。好友不会获得您的原始 HealthKit 样本、出生日期、生理性别、体重、精确位置、天气明细或历史健康趋势。删除好友后，双方将停止获得新的好友健康摘要。
拜访船员时，麦克风仅在您按住说话期间使用，语音在本机转写后发送文本；我们不向服务器或模型上传原始录音。您输入或转写的对话内容、输入方式、回复和当日历史对话会发送到 Voyage 服务器并保存，以维持对话和限制每日使用次数。
7. 日历与通知（可选）
仅在您主动添加目标提醒时访问日历；通知用于可选的目标或任务提醒。
8. 人工智能处理所需的信息
仅在您单独开启“AI 健康分析”后，我们会向阿里云百炼发送不含账号标识的健康日汇总、您明确选择的偏好、当地时间上下文（时区、日期、时段，不含精确时间戳）以及可选的匿名天气类别，用于生成船员洞察和每日任务。
使用船员 AI 对话时，我们还会发送您当前的对话内容、当日历史对话和上述与该船员相关的匿名健康上下文。系统不会主动把姓名、昵称、邮箱、Apple subject、数据库用户 ID、访问令牌、GPS、城市、精确位置、原始 HealthKit 样本、来源 App 或设备标识加入模型请求；但如果您自行在对话中输入个人信息，该内容会随对话发送给模型，因此请勿输入不希望交由模型处理的信息。
三、我们如何使用信息
我们使用上述信息用于：创建和维护账号；生成船员状态、每日任务、成就与航海进度；在您同意后同步与导出健康及天气记录；向已确认好友展示当日健康摘要；提供可选的 AI 洞察与船员对话；保障安全、防止滥用并遵守法律；分析故障并改进产品体验。我们不会出售您的个人信息，也不会将 HealthKit 数据用于广告、营销或与健康功能无关的数据挖掘。
四、处理的法律依据
我们主要依据履行与您的服务约定、您的明确同意，以及履行法定义务或保护生命健康和财产安全所必要的情形处理信息。健康、位置和 AI 数据具有较高敏感性；处理这些数据是为了提供个性化健康展示、同步、天气上下文和 AI 功能，可能带来信息泄露、被他人看到或被错误推断的风险。您可以拒绝这些可选功能，仍可使用演示数据和不依赖相应数据的功能。
HealthKit 读取和系统位置权限由 iOS 分别管理；AI 健康分析使用独立的 App 内授权。当前“更新数据授权”会同时记录原始健康样本上传和天气记录上传的授权。撤回 iOS 权限会停止后续系统读取；关闭 AI 开关会停止新的模型调用。如需撤回健康或天气云端上传授权，请联系 support@ustvoyage.com。撤回不影响撤回前合法完成的处理，也不会自动删除既有副本；您可另行提出删除请求。
五、我们如何共享与委托处理
我们仅在以下范围共享或委托处理信息：
1. 已确认好友：按本政策第二条第 6 项共享当日健康摘要。当前版本建立好友关系后默认开启双方共享；删除好友即可停止新的共享。
2. Apple：登录、App Store、HealthKit、WeatherKit 等系统能力按 Apple 的规则处理数据。
3. 阿里云：位于中国内地的云服务，包括华南 1（深圳）的应用接口与数据库、杭州的邮件推送，以及华北 2（北京）阿里云百炼上的模型推理。使用 AI 功能时，百炼会处理匿名健康上下文；使用船员对话时还会处理对话内容与历史对话。App 只连接 Voyage 接口，不直接持有百炼密钥。
4. 法律要求：为遵守适用法律、监管要求、诉讼或政府机关的合法请求。
5. 经您另行同意的其他情形。
我们会通过权限控制和服务约定，要求受托服务商仅按我们的指示处理信息，采取不低于本政策所述的保护措施，并在服务结束后返还或删除信息，但法律要求保留的除外。
六、存储地点与跨境
账号、健康日汇总、任务、好友、对话与授权记录等业务数据主要存储于中国内地（深圳）。邮箱验证由杭州区域邮件服务处理，AI 推理在北京执行。因此，位于香港或其他中国内地以外地区的用户使用云端功能时，其个人信息会传输至并存储、处理于中国内地。Apple 系统服务可能按其政策在全球基础设施上处理数据。我们会根据适用法律采取告知、同意、合同或其他必要的跨境保护措施。
七、保存期限
本机原始健康样本和天气记录按滚动 365 天窗口保存。云端原始健康及天气记录、健康日汇总、船员对话、账号资料、成就和任务记录在账号存续期间或实现相应功能所需期限内保存，您也可以请求提前删除。已配置清理任务的 AI 分析缓存和每日 AI 任务通常保存不超过 90 天。好友关系及共享状态保存至关系删除或账号删除。授权和安全审计记录可能在账号删除后按法律要求继续保存必要期限。过期验证码与邮箱/IP 限流标识在失效一天后删除。演示数据留在本机，不作为真实健康数据上传。
保存期限届满、处理目的实现或账号删除后，我们会删除或匿名化相关信息；因备份、法律义务或技术原因无法立即删除时，我们将停止除存储和安全保护以外的处理，并在可行时完成清理。
八、您的权利
在适用法律允许的范围内，您可以查阅、复制、更正、补充、限制处理、转移或删除个人信息，并撤回基于同意的处理：
1. 在设置中导出本机保存的 CSV 记录或删除本机数据。删除本机数据不会自动删除云端账号数据。
2. 在 iOS“健康”或“设置”中调整 HealthKit 和位置权限；在 Voyage 设置中关闭 AI 健康分析。
3. 删除好友以停止向该好友提供新的健康摘要。
4. 在“设置 → 账号 → 注销账号”中提交注销，邮箱账号通过一次性验证码、Apple 账号通过重新授权验证身份。未完成年龄核验或未满 14 岁的账号也可从年龄核验页进入注销。提交后账号停止使用，服务器清理账号与关联健康、天气、好友、对话、任务和奖励数据；Apple 授权撤销暂时失败时会重试并显示处理中。确认云端删除完成后，App 清理本账号在本机的缓存、待上传记录、登录凭证和提醒。此操作不可恢复，不删除 Apple 健康中的原始数据。备份按既有轮换规则过期，恢复时重新应用删除记录；完成后的进度回执保存 24 小时。
5. 通过 support@ustvoyage.com 请求撤回健康或天气上传授权，或请求查阅、复制、更正及其他个人信息处理。我们会先核实身份，并在合理期限或适用法律规定的期限内处理；若拒绝请求，将说明理由。
如您认为我们的处理损害了您的合法权益，可向香港个人资料私隐专员公署、中国内地有权的个人信息保护部门或您所在地的主管机关投诉。
九、安全
我们采取传输加密、访问控制、令牌保存在系统钥匙串、邮箱与验证码哈希等措施。没有任何系统是绝对安全的。请妥善保管您的设备与登录方式。
十、未成年人
本服务面向年满 14 周岁的用户。新用户在注册前填写出生日期，已有账号首次使用新版时补充核验；服务端按 UTC 日期判断年龄。此次生日仅用于计算年龄，不写入健康档案或日志；我们仅保存核验结果、时间、规则版本及必要的提交频率记录。该核验基于您自行填写的日期，不涉及身份证件。未满 14 周岁或尚未完成核验的账号不能继续使用健康等业务功能，但仍可更正误填、退出或注销。我们尚未提供监护人同意流程或儿童专门模式。如发现儿童信息，请联系 support@ustvoyage.com；核实后我们将停止处理并尽快删除，法律另有要求的除外。
十一、非医疗声明
Voyage 是日常健康与习惯陪伴工具，不是医疗器械，不提供诊断、治疗、用药或临床决策建议。健康相关展示仅供一般参考，不能替代执业医师意见。如您有医疗问题，请咨询专业医护人员。
十二、自动化分析与您的选择
船员状态、平衡分数、每日任务和 AI 回复可能基于健康数据进行自动化分析，但仅用于提供一般健康展示和建议，不用于医疗诊断，也不会单独产生对您的法律权利、价格、资格或其他重大权益具有决定性影响的结果。您可以不采纳建议，关闭 AI 功能或使用演示模式。
十三、政策更新
我们可能更新本政策。更新后的版本将在 App 内公布，并注明生效日期。若处理目的、方式、信息种类、接收方或保存期限发生实质变化，我们会通过 App 内显著提示告知，并在适用法律要求时重新征得同意。您不同意变更时，可以停止相关功能并联系我们处理账号或数据。
十四、联系我们
就本政策或个人信息相关请求，请发送邮件至 support@ustvoyage.com。
生效日期：2026年9月7日
版本：2026-09-07
歡迎使用 Voyage（亦稱 VOYÁGE）。本政策說明我們如何蒐集、使用、儲存、共享與保護您的個人資料，以及您可以如何行使權利。請在使用本服務前仔細閱讀。若您不同意本政策，請停止使用本服務。
一、我們是誰
Voyage 的營運者和個人資料處理者為香港科技大學學生畢業設計團隊（「Voyage 專案組」「我們」）。本專案目前為學生畢業設計專案，不是香港科技大學的官方產品，香港科技大學也不參與本服務的日常營運或個人資料處理。
網站：https://preview.ustvoyage.com
隱私與支援聯絡信箱：support@ustvoyage.com
二、我們蒐集的資料
我們僅在提供服務所必要的範圍內處理資料，主要包括：
1. 帳號資料
使用 Apple 帳號登入或主動註冊時，我們接收 Apple 提供的主體識別（subject）及身分權杖，用於驗證身分；僅主動註冊會建立新帳號。您可選擇向我們提供電子郵件。使用信箱登入時，我們會將您提供的信箱地址和一次性驗證碼傳送至阿里雲郵件推送（杭州區域）以投遞登入郵件，不用於行銷。服務端保存信箱身分與驗證碼的帶金鑰雜湊，不保存明文信箱或驗證碼；裝置會保存登入信箱用於顯示。驗證碼狀態及信箱/IP 限流識別資料在失效一天後由定時工作刪除。
2. 船長身分與資料
您主動填寫或選擇的暱稱、職業、頭像（含本機照片，照片僅保存在本裝置）以及目標偏好。
3. 健康資料（敏感個人資料）
在您授權 Apple 健康後，我們可讀取您在健康權限彈窗中允許的類型，目前包括：出生日期、生理性別、身高、體重、步數、步行/跑步距離、活動能量、基礎能量、爬樓層數、心率、靜息心率、心率變異性（SDNN）、呼吸頻率、血氧飽和度、Apple 鍛鍊時間、Apple 站立時間、睡眠分析、正念活動、鍛鍊（Workout）。我們只申請讀取，不向 Apple 健康寫入資料。您可在 iOS「健康」或「設定」中隨時更改授權。示範/佔位資料僅用於介面回退，不會作為真實健康資料上傳。
4. 天氣與位置
在健康同步且您另行同意天氣採集時，我們使用大約位置（約三公里精度）透過 Apple WeatherKit 取得目前天氣，並可能保存溫度、濕度、氣壓、風速、降水、紫外線、能見度、天氣狀況、時區、城市級地點名稱以及四捨五入後的經緯度。我們不將精確位置用於天氣匯出。
5. 裝置與使用資料
為登入診斷、安全與故障排查，裝置可能保存網路路徑等診斷紀錄。我們也會保存您在應用程式內的任務完成、點名、貝殼餘額、裝扮與成就等使用紀錄。
6. 通訊、好友與健康摘要共享
我們處理好友關係中的顯示名稱、頭像、邀請碼、請求狀態和共享狀態。目前版本在雙方確認好友關係後，預設相互共享當日健康摘要，包括步數、睡眠、活動能量、正念分鐘、靜息心率、心率變異性（SDNN），以及由這些資料計算的平衡分數和標籤。好友不會取得您的原始 HealthKit 樣本、出生日期、生理性別、體重、精確位置、天氣明細或歷史健康趨勢。刪除好友後，雙方將停止取得新的好友健康摘要。
拜訪船員時，麥克風僅在您按住說話期間使用，語音在本機轉寫後傳送文字；我們不向伺服器或模型上傳原始錄音。您輸入或轉寫的對話內容、輸入方式、回覆和當日歷史對話會傳送到 Voyage 伺服器並保存，以維持對話和限制每日使用次數。
7. 日曆與通知（可選）
僅在您主動新增目標提醒時存取日曆；通知用於可選的目標或任務提醒。
8. 人工智慧處理所需的資料
僅在您單獨開啟「AI 健康分析」後，我們會向阿里雲百煉傳送不含帳號識別的健康日彙總、您明確選擇的偏好、當地時間上下文（時區、日期、時段，不含精確時間戳）以及可選的匿名天氣類別，用於產生船員洞察和每日任務。
使用船員 AI 對話時，我們還會傳送您目前的對話內容、當日歷史對話和上述與該船員相關的匿名健康上下文。系統不會主動把姓名、暱稱、電子郵件、Apple subject、資料庫使用者 ID、存取權杖、GPS、城市、精確位置、原始 HealthKit 樣本、來源 App 或裝置識別資料加入模型請求；但如果您自行在對話中輸入個人資料，該內容會隨對話傳送給模型，因此請勿輸入不希望交由模型處理的資料。
三、我們如何使用資料
我們使用上述資料用於：建立和維護帳號；產生船員狀態、每日任務、成就與航海進度；在您同意後同步與匯出健康及天氣紀錄；向已確認好友顯示當日健康摘要；提供可選的 AI 洞察與船員對話；保障安全、防止濫用並遵守法律；分析故障並改進產品體驗。我們不會出售您的個人資料，也不會將 HealthKit 資料用於廣告、行銷或與健康功能無關的資料探勘。
四、處理的法律依據
我們主要依據履行與您的服務約定、您的明確同意，以及履行法定義務或保護生命健康和財產安全所必要的情形處理資料。健康、位置和 AI 資料具有較高敏感性；處理這些資料是為了提供個人化健康顯示、同步、天氣上下文和 AI 功能，可能帶來資料洩露、被他人看到或被錯誤推斷的風險。您可以拒絕這些可選功能，仍可使用示範資料和不依賴相應資料的功能。
HealthKit 讀取和系統位置權限由 iOS 分別管理；AI 健康分析使用獨立的 App 內授權。目前「更新資料授權」會同時記錄原始健康樣本上傳和天氣記錄上傳的授權。撤回 iOS 權限會停止後續系統讀取；關閉 AI 開關會停止新的模型呼叫。如需撤回健康或天氣雲端上傳授權，請聯絡 support@ustvoyage.com。撤回不影響撤回前合法完成的處理，也不會自動刪除既有副本；您可另行提出刪除請求。
五、我們如何共享與委託處理
我們僅在以下範圍共享或委託處理資料：
1. 已確認好友：按本政策第二條第 6 項共享當日健康摘要。目前版本建立好友關係後預設開啟雙方共享；刪除好友即可停止新的共享。
2. Apple：登入、App Store、HealthKit、WeatherKit 等系統能力按 Apple 的規則處理資料。
3. 阿里雲：位於中國內地的雲端服務，包括華南 1（深圳）的應用介面與資料庫、杭州的郵件推送，以及華北 2（北京）阿里雲百煉上的模型推理。使用 AI 功能時，百煉會處理匿名健康上下文；使用船員對話時還會處理對話內容與歷史對話。App 只連接 Voyage 介面，不直接持有百煉金鑰。
4. 法律要求：為遵守適用法律、監管要求、訴訟或政府機關的合法請求。
5. 經您另行同意的其他情形。
我們會透過權限控制和服務約定，要求受託服務商僅按我們的指示處理資料，採取不低於本政策所述的保護措施，並在服務結束後返還或刪除資料，但法律要求保留的除外。
六、儲存地點與跨境
帳號、健康日彙總、任務、好友、對話與授權紀錄等業務資料主要儲存於中國內地（深圳）。信箱驗證由杭州區域郵件服務處理，AI 推理在北京執行。因此，位於香港或其他中國內地以外地區的使用者使用雲端功能時，其個人資料會傳輸至並儲存、處理於中國內地。Apple 系統服務可能按其政策在全球基礎設施上處理資料。我們會根據適用法律採取告知、同意、合約或其他必要的跨境保護措施。
七、保存期限
本機原始健康樣本和天氣記錄按滾動 365 天視窗保存。雲端原始健康及天氣記錄、健康日彙總、船員對話、帳號資料、成就和任務記錄在帳號存續期間或實現相應功能所需期限內保存，您也可以請求提前刪除。已設定清理工作的 AI 分析快取和每日 AI 任務通常保存不超過 90 天。好友關係及共享狀態保存至關係刪除或帳號刪除。授權和安全稽核記錄可能在帳號刪除後按法律要求繼續保存必要期限。過期驗證碼與信箱/IP 限流識別資料在失效一天後刪除。示範資料留在本機，不作為真實健康資料上傳。
保存期限屆滿、處理目的實現或帳號刪除後，我們會刪除或匿名化相關資料；因備份、法律義務或技術原因無法立即刪除時，我們將停止除儲存和安全保護以外的處理，並在可行時完成清理。
八、您的權利
在適用法律允許的範圍內，您可以查閱、複製、更正、補充、限制處理、轉移或刪除個人資料，並撤回基於同意的處理：
1. 在設定中匯出本機保存的 CSV 記錄或刪除本機資料。刪除本機資料不會自動刪除雲端帳號資料。
2. 在 iOS「健康」或「設定」中調整 HealthKit 和位置權限；在 Voyage 設定中關閉 AI 健康分析。
3. 刪除好友以停止向該好友提供新的健康摘要。
4. 在「設定 → 帳號 → 註銷帳號」中提交註銷，信箱帳號透過一次性驗證碼、Apple 帳號透過重新授權驗證身分。尚未完成年齡核驗或未滿 14 歲的帳號也可從年齡核驗頁進入註銷。提交後帳號停止使用，伺服器清理帳號與關聯健康、天氣、好友、對話、任務和獎勵資料；Apple 授權撤銷暫時失敗時會重試並顯示處理中。確認雲端刪除完成後，App 清理本帳號在本機的快取、待上傳記錄、登入憑證和提醒。此操作不可恢復，不刪除 Apple 健康中的原始資料。備份按既有輪換規則過期，恢復時重新套用刪除記錄；完成後的進度回執保存 24 小時。
5. 透過 support@ustvoyage.com 請求撤回健康或天氣上傳授權，或請求查閱、複製、更正及其他個人資料處理。我們會先核實身分，並在合理期限或適用法律規定的期限內處理；若拒絕請求，將說明理由。
如您認為我們的處理損害了您的合法權益，可向香港個人資料私隱專員公署、中國內地有權的個人資料保護部門或您所在地的主管機關投訴。
九、安全
我們採取傳輸加密、存取控制、權杖保存在系統鑰匙圈、信箱與驗證碼雜湊等措施。沒有任何系統是絕對安全的。請妥善保管您的裝置與登入方式。
十、未成年人
本服務面向年滿 14 歲的使用者。新使用者在註冊前填寫出生日期，已有帳號首次使用新版時補充核驗；伺服器按 UTC 日期判斷年齡。此次生日僅用於計算年齡，不寫入健康檔案或紀錄；我們僅保存核驗結果、時間、規則版本及必要的提交頻率記錄。此核驗基於您自行填寫的日期，不涉及身分證件。未滿 14 歲或尚未完成核驗的帳號不能繼續使用健康等業務功能，但仍可更正誤填、登出或註銷。我們尚未提供監護人同意流程或兒童專門模式。如發現兒童資料，請聯絡 support@ustvoyage.com；核實後我們將停止處理並盡快刪除，法律另有要求的除外。
十一、非醫療聲明
Voyage 是日常健康與習慣陪伴工具，不是醫療器材，不提供診斷、治療、用藥或臨床決策建議。健康相關展示僅供一般參考，不能取代執業醫師意見。如您有醫療問題，請諮詢專業醫護人員。
十二、自動化分析與您的選擇
船員狀態、平衡分數、每日任務和 AI 回覆可能基於健康資料進行自動化分析，但僅用於提供一般健康顯示和建議，不用於醫療診斷，也不會單獨產生對您的法律權利、價格、資格或其他重大權益具有決定性影響的結果。您可以不採納建議，關閉 AI 功能或使用示範模式。
十三、政策更新
我們可能更新本政策。更新後的版本將在 App 內公布，並註明生效日期。若處理目的、方式、資料種類、接收方或保存期限發生實質變更，我們會透過 App 內顯著提示告知，並在適用法律要求時重新取得同意。您不同意變更時，可以停止相關功能並聯絡我們處理帳號或資料。
十四、聯絡我們
就本政策或個人資料相關請求，請寄信至 support@ustvoyage.com。
Effective date: September 7, 2026
Version: 2026-09-07
Welcome to Voyage (also styled VOYÁGE). This Privacy Policy explains how we collect, use, store, share, and protect your personal information, and how you can exercise your rights. Please read it before using the service. If you do not agree, please stop using Voyage.
1. Who we are
Voyage is operated by the Voyage Project Team (“we”), an HKUST student graduation-project team. Voyage is a student project, not an official product or position of The Hong Kong University of Science and Technology. HKUST does not participate in Voyage’s operation or processing of personal information.
Website: https://preview.ustvoyage.com
Privacy and support email: support@ustvoyage.com
2. Information we collect
We process information only as needed to provide the service, including:
Account information. When you log in or explicitly register with Apple, we receive Apple’s subject identifier and identity token to authenticate you. Only explicit registration creates a new account. You may also provide an email address. Email sign-in sends your address and one-time code to Alibaba Cloud Direct Mail in Hangzhou to deliver sign-in emails, not marketing. The server stores keyed hashes of email identities and codes, not plaintext addresses or codes. Your device stores the sign-in email for display. Verification state and email/IP rate-limit identifiers are removed by a scheduled job one day after they expire.
Captain identity. Nickname, occupation, avatar (including a photo stored only on this device), and goal preferences you choose.
Health information (sensitive personal information). After you authorize Apple Health, we may read the HealthKit types you allow in the permission sheet, currently including date of birth, biological sex, height, weight, steps, walking/running distance, active energy, basal energy, flights climbed, heart rate, resting heart rate, heart-rate variability (SDNN), respiratory rate, oxygen saturation, Apple exercise time, Apple stand time, sleep analysis, mindful sessions, and workouts. We request read access only and do not write to Apple Health. You can change authorization in the iOS Health or Settings apps. Demo placeholders stay on-device and are not uploaded as real health data.
Weather and location. When health sync runs and you agree to weather capture, we use approximate location (about three-kilometer accuracy) with Apple WeatherKit. Records may include temperature, humidity, pressure, wind, precipitation, UV, visibility, condition, timezone, city-level locality, and rounded coordinates. We do not store precise location for weather export.
Device and usage data. Diagnostic network logs may be kept on-device for sign-in troubleshooting. We also store in-app activity such as task completion, roll call, shell balance, wardrobe items, and achievements.
Communications, friends, and health sharing. We process friend display names, friend requests, and sharing status. Once a friend request is accepted, health sharing is on in both directions by default. Each friend may see the other person’s same-day steps, sleep duration, active energy, mindful minutes, resting heart rate, heart-rate variability, and the balance score and status label derived by Voyage. This friend view does not include raw HealthKit samples, date of birth, biological sex, height, weight, precise location, detailed weather, or historical trends. You can remove a friend in the app to stop future friend sharing.
Crew chat. When you visit a crew member, the microphone is used only while you hold to speak. Speech is transcribed on-device; the chat content is sent as text, together with recent conversation history and relevant anonymous health context, to generate a reply. We store the text messages and replies so that conversation history remains available. We do not upload or store the raw audio recording.
Calendar and notifications (optional). Calendar access is used only if you add a goal reminder. Notifications are used for optional goal or task reminders.
AI-derived context. If you enable AI health analysis, Alibaba Cloud Model Studio (Bailian) receives identity-free daily health summaries, explicit preferences, local time context (timezone, date, and time of day, without an exact timestamp), and optional anonymous weather categories. Crew chat sends the current chat content, recent conversation history, and health context relevant to the reply. We do not deliberately add your name, email address, precise location, city, raw HealthKit samples, or device identifiers to model requests. However, personal information you type or say in a chat will be included in the request, so do not submit information you do not want the model provider to process.
3. How we use information
We use this information to create and maintain your account; generate crew status, daily tasks, achievements, and voyage progress; sync and export health and weather records after you agree; display shared health summaries to friends; provide optional AI insights and crew chat; protect security and prevent abuse; comply with law; and improve the product. We do not sell your personal information. We do not use HealthKit data for advertising, marketing, or unrelated data mining.
4. Legal bases, sensitivity, and consent
We process data to perform the service you request, based on consent where required (especially for health, location, weather upload, AI analysis, and cross-border transfers), and where needed to meet legal obligations or protect vital interests. Health data, location data, and information about children under 14 may be sensitive personal information. Improper disclosure may affect your privacy, safety, or interests. You can use demo mode without providing real health data.
HealthKit and location permissions are managed in iOS Settings. AI health analysis has a separate in-app switch. In the current version, consent to upload raw Apple Health and weather data is presented together in the “Update Data Permission” flow; to stop those cloud uploads, disable the relevant iOS permission and email support@ustvoyage.com so we can record your withdrawal. Withdrawal does not affect processing already completed and does not automatically delete information previously stored; you may separately request deletion.
5. Sharing, recipients, and processors
We do not provide your personal information to others except as described below:
Friends you accept, who receive the health summary listed in Section 2 while the friendship and sharing relationship remains active.
Apple, for Sign in with Apple, the App Store, HealthKit, and WeatherKit, under Apple’s terms.
Alibaba Cloud in mainland China, including the API and database in South China 1 (Shenzhen), Direct Mail in Hangzhou, and Alibaba Cloud Model Studio (Bailian) in North China 2 (Beijing). Bailian processes AI-health-analysis context and crew-chat text, conversation history, and relevant anonymous health context. The app talks only to the Voyage API and does not hold the Bailian API key.
Authorities or other parties where required by applicable law, regulation, legal process, or a lawful government request.
Other recipients disclosed to you and authorized by your consent.
We require service providers to process data only for the services we request and to apply reasonable safeguards. We do not permit friends to use shared health summaries for harassment, discrimination, or commercial purposes.
6. Storage and cross-border transfer
Account data, daily health summaries, tasks, friend relationships, chat messages, and consent records are stored primarily in mainland China (Shenzhen). Email verification is processed in Hangzhou. AI inference runs in Beijing. Apple may process data on its global infrastructure. If you use Voyage from Hong Kong or another location outside mainland China, this means your information is transferred to mainland China. Where applicable law requires consent, notice, a contract, assessment, or another transfer mechanism, we will complete it before the transfer.
7. Retention
Raw health and weather records on the device are kept on a rolling 365-day window. Cloud raw health and weather records, daily health summaries, crew-chat messages, profile information, achievements, and tasks are kept while the account exists or for as long as needed for the relevant feature; you may request earlier deletion. AI-analysis caches and daily AI tasks covered by configured cleanup jobs are ordinarily kept for no more than 90 days. Friend relationships and friend-sharing status are kept until you remove the friend or delete the account. Consent and security-audit records may be retained after account deletion where law requires it. Expired verification and rate-limit records are deleted one day after expiry. Demo data remains local and is not uploaded as raw health data. When a retention period ends, we delete or anonymize the information unless law requires it to be kept.
8. Your rights and choices
Subject to applicable law, you may access, copy, correct, supplement, restrict, object to, or request deletion of your personal information, and withdraw consent. Settings lets you export or delete locally stored records; those actions do not by themselves export or delete cloud copies. You can manage Health and Location permissions in iOS Settings, disable AI health analysis in Voyage Settings, and remove a friend to stop future friend sharing. To delete your account, open Settings → Account → Delete account and verify your identity with an email code or fresh Apple authorization. This option is also available on the age-verification screen for pending and underage accounts. Submitting deletion stops normal account use; the server removes associated health, weather, friendship, chat, task and reward data. Temporary Apple revocation failures are retried with an in-progress status. Once cloud deletion is confirmed, the app clears this account’s local caches, pending uploads, credentials and reminders. Deletion is irreversible and does not delete source records in Apple Health. Backups expire through the existing rotation process, and deletion records are reapplied on restoration. Completed progress receipts are retained for 24 hours. For other cloud-data or consent requests, email support@ustvoyage.com. We may verify your identity and will respond within the period required by applicable law. You may complain to Hong Kong’s Privacy Commissioner for Personal Data, the relevant authority in mainland China, or another authority where you live.
9. Security
We use encryption in transit, access controls, Keychain storage for tokens, and hashing of email identities and codes. We limit access to people who need it to operate the service. No system is completely secure. Please protect your device and sign-in methods. If a personal-information incident occurs, we will take remedial steps and provide legally required notices.
10. Children
Voyage is intended for users 14 years of age and older. New users enter their birthday before registration; existing accounts complete this check when first using the updated app. The server calculates age using the UTC date. This birthday is used only for age calculation and is not added to health profiles or logs. We retain the result, time, rule version and necessary submission-rate records. This is a self-declared age check, not identity-document verification. Pending and underage accounts cannot use health and other business features, but may correct a mistaken date, sign out or delete their account. We do not provide a guardian-consent flow or children’s mode. If you believe we may have collected a child’s information, contact support@ustvoyage.com and we will stop processing and delete it where required.
11. Automated analysis and health disclaimer
Voyage uses rules and optional AI to turn health signals into balance scores, status labels, tasks, and suggestions. These outputs may be incomplete or inaccurate and do not produce legal or similarly significant decisions about you. You can turn off AI health analysis and continue using local rule-based content. Voyage is an everyday wellness and habit companion. It is not a medical device and does not provide diagnosis, treatment, medication, or clinical advice. Health displays are general information only and are not a substitute for professional medical care.
12. Third-party services and links
Apple and Alibaba Cloud operate under their own privacy terms. Their services may be unavailable or may change. Voyage may also contain links that we do not operate; review the privacy policy of any external service before providing information.
13. Changes
We may update this Policy. The updated version will appear in the app with a new effective date. If the purposes, methods, data types, recipients, or retention periods materially change, we will provide a prominent in-app notice and obtain consent again where required by applicable law. If you disagree, you may stop the affected feature and contact us about your account or information.
14. Contact
For questions or privacy requests, email support@ustvoyage.com.
