概述
Encore 在你的 iPhone 上读取相册，找出值得再看一遍的片段，然后踩着拍子放给你看。你的照片从不上传。Encore 没有账号系统——没有任何需要注册的步骤。唯一会离开设备的数据，是你主动通过应用内反馈发送给我们的内容，以及标准的匿名诊断信息。
Encore 还可以把反复出现在你照片里的人收在一起。这个能力用到人脸识别，在你主动开启之前它不会运行，开启之后同样全部在这台 iPhone 上完成。第 5 节写清楚了它算什么、存什么、存多久、怎么销毁。
1. 我们处理哪些数据
| 数据 | 存在哪里 | 用途 |
|---|---|---|
| 照片与视频 | 仅在设备端读取，从不上传 | 找出并播放值得回看的片段 |
| 照片元数据（拍摄时间、位置、收藏标记、连拍分组） | 仅在设备端读取 | 把照片聚成出行、某一天、纪念日、旧地重游 |
| 由位置换算出的网格单元 | 仅存在你的设备上 | 判断某个地点对你有多稀有；从不存储精确坐标 |
| 你的编辑（留下哪几张、选了哪套节奏、看过什么） | 仅存在你的设备上 | 记住你的选择 |
| 人脸特征值——每张脸换算成的 512 个数字，以及这张脸在照片里的位置（仅在你开启认人之后） | 仅存在你的设备上，位于 Encore 自己的沙盒内 | 把同一个人的照片收在一起 |
| 认出来的人与你给他们起的名字（仅在你开启认人之后） | 仅存在你的设备上，位于 Encore 自己的沙盒内 | 让你按人回看，并保住你做过的更正 |
| 反馈内容（留言、可选邮箱、可选截图） | 你提交反馈时发送给我们 | 回复你并改进产品 |
| 匿名诊断与崩溃数据 | 聚合分析 | 稳定性与质量 |
Encore 不需要账号，也不收集你的姓名、通讯录或浏览记录。
2. 相册权限
Encore 申请相册权限，用于读取照片及其拍摄元数据。它对这些照片做的一切——画质打分、近重复检测、美学评估、聚成故事——全部在这台设备上完成。任何照片、缩略图或由其派生的图像都不会传输到我们的服务器或任何第三方。
Encore 只读取你的相册，不会删除、修改或移动你的照片。
如果你只授予了部分访问（仅选中的照片）而非完整访问，Encore 会明确告诉你：此时它的挑选结果来自一份你手选的子集，因而会失真；它不会在沉默中给出一个已经跑偏的结果。
3. 位置数据
照片通常带有拍摄地坐标。Encore 用它来区分一次远行和一个寻常的居家日，并判断某个地点对你有多稀有。
在这些判断发生之前，坐标已经被缩减为一个粗粒度的网格单元——边长约数公里的方格。只有网格单元会被保留和比较。Encore 从不存储你的精确坐标，也从不传输任何位置数据。
4. 设备端分析
清晰度、曝光、近重复检测与美学评估全部在设备端完成，使用 Apple 的 Vision 框架与本地图像处理。任何分析请求都不会发往服务器，Encore 也不使用任何云端 AI 服务来查看你的照片。
人脸识别同样全程在设备端完成；因为它需要你先主动开启，单独放在第 5 节讲。
5. 人脸识别——你不开，它就不运行
Encore 可以把反复出现在你相册里的人各自收在一起，让你按人回看。这一档叫「我们」，也是 Encore 里唯一会看脸的部分。
你说可以之前，一张脸都不会扫。 在你明确打开「认出照片里的人」之前——无论是在设置里，还是在书架的「我们」那一页上（那一页会先讲清楚将要发生什么，再把选择交给你）——Encore 不会检测、测量或编码任何一张脸。没有默认开启，也没有默示同意。你拒绝了就是拒绝了：Encore 不会再问，你想开随时可以自己去开。
它算什么。 开启之后，Encore 用 Apple 的 Vision 框架在这台 iPhone 已有的照片里找脸，把每一张脸换算成 512 个数字的数学描述——也就是人脸特征值（faceprint）。彼此接近的特征值被归为同一个人。你可以给一个人起名、把他藏起来，或者告诉 Encore 这张脸不是他；你做过的更正不会被后续的扫描覆盖掉。
存在哪里。 人脸特征值、每张脸在照片里的位置、分组结果，以及你输入的名字，都保存在这台 iPhone 上 Encore 自己的沙盒内的一个数据库里。这些内容不会上传、不会发往我们的服务器、不会备份到我们这里，也不会出售、出租、交易或以任何方式披露给任何人——不给 SignalRender，不给 Apple，不给任何第三方。我们从未拿到过，也看不到。
保留与销毁。 人脸数据从不离开你的设备，唯一的一份在你手上，保留期限也被刻意设得很短：
- 你在设置里点**「清除人脸数据」时立即销毁**：特征值、分组、名字全部删除——是真的删掉，不是藏起来。
- 卸载 Encore 时随沙盒一并销毁。
- 最迟在你最后一次使用 Encore 之后三年内销毁，若上述用途先行完成则以先到者为准。
- 关掉「认出照片里的人」只是停止继续扫描，已经认出来的仍会保留；想让它消失，请用「清除人脸数据」。
人脸识别和 Encore 的其余部分是可以分开的：其它每一种成段都由时间、地点和画面统计推出来，从不依赖人脸。不开它，或者把认出来的东西清掉，你只是少了「我们」那一档。
6. Encore 对你照片的说法
Encore 展示给你的每一条理由（例如「2024 年只来过这一次」「那天拍了 42 张」）都是从你相册自身元数据推导出的事实陈述，可以逐条核对。Encore 不会对你的生活、你的关系或照片里的人做出审美或价值判断。
7. 第三方服务
Encore 不嵌入任何第三方广告或社交追踪 SDK。如提供付费项目，交易由 Apple 应用内购买处理，订阅状态由 Apple 提供。匿名诊断数据可能由 SignalRender Inc. 运营的分析基础设施处理。
8. 数据留存与删除
- 你的编辑与观看记录：仅存本地；卸载应用即被移除。
- 派生的分数与网格单元：仅用于本次扫描的分析，每次重扫都会重新计算；对于你已删除的照片不保留任何信息。
- 人脸特征值、认出来的人与名字：只有在你开启认人之后才会存在；你点「清除人脸数据」时、卸载应用时，或最迟在你最后一次使用之后三年内销毁，以先到者为准。详见第 5 节。
- 反馈内容：仅在处理你的请求所需的时间内保留。
- 诊断数据：以聚合、匿名的形式保留。
9. 你的权利
Encore 本地优先、无需账号，你始终掌握自己的数据。你可以随时在 iOS 设置中撤销相册权限，Encore 会立即停止读取。关掉「认出照片里的人」即停止人脸识别，点「清除人脸数据」即销毁它认出来的一切。卸载应用会从设备上清除 Encore 自己存储的全部内容。如对已提交的反馈数据有疑问，请联系我们。
10. 儿童隐私
Encore 不面向 13 周岁以下儿童。我们不会在知情的情况下收集 13 周岁以下儿童的个人信息。
11. 安全
你的照片从不离开 iOS 应用沙盒。Encore 自身存储的状态受沙盒与设备级加密保护。用于反馈或诊断的数据通过加密连接传输。
12. 政策变更
我们可能不时更新本政策。「最后更新」日期反映最新修订；重大变更将通过应用内通知告知。
13. 联系我们
支持邮箱：[email protected]
Encore 由 SignalRender Inc. 开发。