隐私政策

数据控制者

CityVoice 目前处于上线前阶段。控制者的法定名称、国家和营业地址将在商业上线前公布。联系：privacy@cityvoice.world。

处理的数据

服务器生成随机 device_id，用于审核、投票和限流，不与真实身份关联。经浏览器明确授权后，坐标通过本地 PostGIS 判断国家并建议城市。IP 仅用于安全和反滥用，从不公开。文字、标签、照片和 PDF 发布后属于公开内容；device_id、IP、精确坐标和内部风险信号不会公开。

支付与翻译

Stripe 交易和账单邮箱保存在独立支付结构中，数据库不会将其与 device_id 或内容关联。LibreTranslate 由 CityVoice 自托管，外部翻译服务不会收到文本。

存储期限

device_id：2 年；本地滚动条记录：直到清除；会话位置：有效 5 分钟；Redis 位置缓存：1 小时；IP 限流键：10 秒至 1 小时；含 IP 的日志：最多 30 天。删除数据和加密备份在 30 天内清除。广告和分析默认拒绝，由 Google CMP 按选择启用。

可选的本地 cityvoice:recovery-key 会保留到更换密钥、删除历史或清除浏览器存储。

你的权利

你可以访问、导出、反对和删除。“我的数据”使用当前 Cookie；与 premium 完全分离的恢复密钥可在其他浏览器操作，我们只保存其哈希。公开内容立即下架，技术删除在 30 天内完成。