隐私权政策
AeroPacer（下称“我们”）是一个把赛道、天气与你的体能数字算成车段功率配置的工具。 这份政策说明我们收什么数据、为什么收、交给谁、以及你可以怎么把它拿回去或删掉。 写得白话一点，是因为我们希望你真的读得完。
我们收哪些数据
你主动给的
- 账号：Email。用密码注册的话，我们存的是密码的 scrypt 哈希值，看不到也还原不出你的原始密码。用 Google 登录的话，我们只拿到你的 Email 与 Google 给的账号识别码。
- 选手参数：FTP、体重、身高、车重、骑乘姿势、路面、齿比。这些是算功率配置的输入值。
- 你上传的文件：赛道 GPX、骑乘 FIT。FIT 原始文件会压缩留存，这样之后算法升级时能重新估算你过去的 CdA，而不必要求你重传。骑乘文件里有 GPS 轨迹，也可能有心率（见下面“心率是健康数据”）。
- 你链接的码表账号（Wahoo、Hammerhead、COROS、Garmin）：只在你按“链接”并在对方的同意画面授权后才会发生。我们访问的是你自己的骑乘活动清单与原始 FIT 文件（功率、速度、海拔、GPS 轨迹，以及文件里有的心率），以及对方提供的体重（Wahoo）。访问凭证存在我们的服务器，随时可以在账号设置解除，解除时凭证与同步记录立即删除。
- Garmin 的部分：链接后，你每次骑完、设备同步到 Garmin Connect，Garmin 会把那次活动的摘要（运动类型、设备型号、开始时间）与原始 FIT 文件发给我们；链接之前的活动不会发。我们用的是骑乘：跑步、游泳等其他运动的文件不会保存（类型不明的文件会先下载确认，不是骑乘就丢掉）。我们不会要你的 Garmin 密码，也不读取 Garmin 的健康数据（睡眠、压力、全天心率等）。在我们这边解除时，我们会一并通知 Garmin 停止发送；你在 Garmin Connect 移除授权，我们收到通知后也会删除链接。
- 教练功能创建的选手档案：如果你用教练方案替选手建档，那些姓名与参数同样适用这份政策。
- 问题反馈：你用“反馈问题”表单送出的内容、截图（最多 3 张）、你留的 Email（登录时用账号的 Email），以及表单自动附上的环境信息：当时所在的页面、语言、浏览器版本、屏幕大小、时区、外观设置，还有那一页最近的错误消息。只用来弄清楚并修好你反馈的问题、回复你。
系统产生的
- 你算出来的功率计划、CdA 历史记录与置信带、分享链接。
- 自动同步的骑乘会产生：赛后对比报告、骑乘指标（例如最佳 20 分钟功率，用来推估 FTP）、比赛／训练标记。这些只显示给你本人与你连接的教练。
- 骑乘起点的地名：单笔骑乘页上显示的“在哪里骑的”，是用起点坐标向 Nominatim 反查出来的乡镇、县市与国家（见下面的表）。
- 模型校正用的回测库（要你同意才收，默认不收）：在账号设置里打开之后，你做过赛后对比的比赛文件（自动或手动上传）才会以假名化的方式复制一份，连同体重、车重、当时的 CdA 与计划参数，用来校正与验证配速模型的准确度。假名化的意思是：副本里没有 Email、姓名或账号，只有一组用我们服务器密钥算出来的代号；但我们能用同一把密钥对回你的账号（这样才删得掉），而且比赛文件本身含 GPS 轨迹，所以它仍然是个人数据，受这份政策保护。随时可以在同一个地方关掉，关掉之后就不再收新的；已经收进去的可以寄信到 support@aeropacer.com 要求删除。这份副本不会公开、不会交给第三方、不用来训练对外的 AI 模型；删除账号时一并删除。从 Garmin 等码表账号同步进来的比赛文件也适用同样规则：只有你打开这个选项才会纳入，而且只用来校正我们自己的物理配速模型；因为这是用模型处理你的数据，我们把它当成要你明确同意的事。
- 付款状态：Stripe 的客户编号、你买了哪个方案、到期日。信用卡号完全不经过我们的服务器，一律由 Stripe 处理。
- 服务器日志与短期的 IP 计数（用来挡暴力登录，只存在内存里，服务器重启就消失）。
- 你是从哪里知道我们的：第一次进站时，前一个网站的域名（例如 google.com，不含完整网址）、链接上的活动标签（UTM），以及你看的第一个页面。这些不写进 cookie，只在你注册时跟着注册数据一起送到我们这里、存进你的账号，用来统计哪些渠道带来会员；没有注册的话，我们不会收到。
我们不收的：广告追踪识别码、通信录、位置权限。站上没有 Google Analytics，也没有任何第三方广告或分析 cookie。
心率是健康数据
上传或同步进来的 FIT 文件常常带着心率。心率属于健康数据，所以我们只在你明确同意之后才读取与使用它：显示骑乘的心率曲线与平均心率、在赛后对比报告里算心率漂移。
- 不同意也没关系，其他功能照常运作，只是看不到心率相关的图表与分析。
- 同意可以随时在账号设置撤回。撤回之后我们不再读取或显示你的心率；撤回前已经做过的处理不受影响。
- 原始 FIT 文件是整份保存的（理由见上面），心率字段会留在文件里；没有你的同意，我们不会读取或使用它。删除那笔记录或删除账号时，文件一并删除。
去识别化统计
我们会把站上累积的数据做成汇总统计，用来改进配速模型，也会写成站上的文章，例如〈CdA 多少算好〉里的 CdA 分布。
- 公开的只有汇总数字：人数、文件数、中位数、范围这类，不列任何一个人的个别数字，也不写得出是谁的细节（姓名、账号、哪一场比赛是谁骑的）。
- 样本太少、可能认得出人的分组，我们不公开。
- 不想被算进这类统计，寄信到 support@aeropacer.com，之后的统计就不会纳入你的数据。
处理的法律依据
如果你在欧盟、英国，或其他要求说明法律依据的地方，我们处理每一类数据的依据如下：
| 用途 | 依据 |
|---|---|
| 账号与登录、算功率配置、存计划、估 CdA、你主动链接的码表同步、骑乘起点地名、寄你要求的信（重设密码、比赛报告）、收款 | 履行我们跟你之间的合同：这些就是你要我们提供的服务 |
| 心率 | 你的明确同意（GDPR 第 9 条第 2 项 a 款），可随时撤回 |
| 回测库 | 你的同意，可随时撤回 |
| 防暴力登录、服务器日志 | 我们的正当利益：保护你的账号与服务的安全 |
| 注册来源统计、去识别化统计 | 我们的正当利益：知道哪些渠道有效、改进模型与内容。你可以反对 |
| 处理问题反馈 | 我们的正当利益：弄清楚并修好你反馈的问题、回复你 |
| 付款与税务记录 | 法律义务 |
Cookie
| 名称 | 用途 | 存活 |
|---|---|---|
bp_session |
记住你已登录 | 90 天 |
bp_oauth |
Google 登录流程中的一次性防伪码 | 10 分钟 |
lang、langpick |
记住你选的语言 | 1 年 |
ref |
你点的推荐链接里的推荐码，注册时用来绑定推荐人 | 30 天（注册后删除） |
这几个 cookie 都是网站运作必需的，不跨站追踪，也不交给任何第三方或广告平台。
用 Google 登录时
我们只要求 openid 与 email 两个权限范围，换句话说：只拿你的 Email 与一个账号识别码。
我们不会、也没有权限读取你的 Gmail、云端硬盘、联系人、行事历或照片。
从 Google 拿到的数据只用来创建与识别你的 AeroPacer 账号。我们不会把它卖给任何人、 不会用于广告或创建广告轮廓，也不会转给第三方，除非是下一节列出的服务供应商， 或法律要求。这符合 Google API 服务的用户数据政策（含限用要求）。
我们把数据交给谁
只有为了让服务跑起来才交，而且只交必要的部分：
| 对象 | 拿到什么 | 为什么 |
|---|---|---|
| fly.io（服务器在日本东京） | 全部数据的存放 | 主机与数据库 |
| Stripe | Email、购买记录；卡号直接由 Stripe 收 | 收款 |
| 你选择用 Google 登录时的验证往返 | 账号登录 | |
| Wahoo、Hammerhead、COROS、Garmin | 你链接时的授权往返；之后我们向对方读取你的骑乘（Garmin 是骑完后由对方发过来）；解除时通知对方 | 码表自动同步（你主动链接才会有） |
| Resend | 你的 Email 与信件内容（比赛报告、重设密码）；问题反馈的内容、截图与环境信息（转寄到我们的客服信箱） | 寄信 |
| Cloudflare、Google（Gmail） | 寄到 support@aeropacer.com 的信，包括问题反馈的转寄 | 客服信箱的转寄与收信 |
| Nominatim（OpenStreetMap 基金会） | 骑乘起点的坐标（精度约 1 米），不含账号、Email 或姓名；由我们的服务器去查，不经过你的浏览器 | 把起点换成地名 |
| Visual Crossing | 估 CdA 时：骑乘路线中点的坐标（精度约 10 米）与骑乘日期。排计划时：赛道上几个点的坐标与比赛日期。都不含账号、Email 或姓名 | 查骑乘当天的风与温度；赛日的历年天气 |
| MET Norway | 赛道上几个点的坐标与比赛日期（你上传自己的 GPX 时，就是那条路线上的点），不含账号、Email 或姓名 | 赛日天气预报 |
| OpenFreeMap | 你的 IP（加载地图瓦片时浏览器直接连过去） | 地图 |
我们不贩售个人数据，也不做跨站广告分享。
跨境传输
我们的服务器在日本东京（fly.io），不论你住在哪里，数据都会传到日本存放。为了提供服务，部分数据也会传到这些地方：
- 美国：Stripe、Resend、Visual Crossing、Google、Cloudflare。
- 英国：Nominatim（OpenStreetMap 基金会）。
- 挪威：MET Norway（只有赛道坐标）。
- 码表厂商（Wahoo、Hammerhead、COROS、Garmin）：依各家自己的数据存放地。
欧盟对日本与英国有充分性认定。传到其他地方时，我们采用服务商提供的保障措施（例如欧盟标准合同条款）；没有这类条款的服务（例如 Nominatim），我们只送完成那个功能所需的最少数据：一个不含账号信息的坐标。想知道某一家用的是哪一种保障，寄信问我们。
数据留多久、怎么删
| 数据 | 保留多久 |
|---|---|
| 账号、选手参数、计划、CdA 记录与原始文件、码表同步记录、注册来源 | 账号存在的期间。删除账号后 30 天内删除 |
| 码表的访问凭证 | 解除链接（包括你在 Garmin Connect 那边移除授权）或删除账号时立即删除 |
| 心率 | 跟着它所在的骑乘文件；撤回同意后不再读取或显示 |
| 回测库的假名化副本 | 到你要求删除，或删除账号为止 |
| 问题反馈（内容、截图、环境信息） | 到你要求删除，或删除账号为止 |
| 寄到客服信箱的信 | 到你要求删除为止 |
| 登录 cookie | 90 天 |
| 防暴力登录的 IP 计数 | 只在内存里，服务器重启就消失 |
| 服务器日志 | 主机商只保留最近的一小段，我们不另外存档 |
| 备份 | 主机每日快照保留 5 天；每周一份的异地备份保留最近 8 份（约 8 周）。删掉的数据最晚在这段时间之后从备份消失 |
| 付款与税务记录 | 依法必须保存的期间（由 Stripe 保存），不在删除范围内 |
| 已发表的去识别化统计 | 只有汇总数字、对不回任何人，会一直保留 |
你可以：
- 在站上逐笔删除自己的计划、路线与 CdA 记录。
- 寄信到 support@aeropacer.com 要求删除整个账号。我们会在 30 天内删除账号、选手参数、计划、CdA 记录与原始文件。
你的权利
你可以要求查阅、更正、删除你的数据，或索取一份副本。 欧盟与英国的用户另有 GDPR 赋予的权利，包括限制处理、反对处理与数据可携。 依同意处理的数据（心率、回测库），你可以随时撤回同意，撤回前已经做过的处理不受影响。 寄信到 support@aeropacer.com 就可以，我们不会要求你说明理由。
向监管机关申诉：如果你认为我们处理你的数据有问题，可以先寄信给我们；你也有权直接向你所在地的个人数据保护监管机关申诉，例如你居住或工作所在的欧盟成员国数据保护机关、英国信息专员办公室（ICO）、香港个人资料私隐专员公署，或台湾的个人资料保护主管机关。
台湾个人资料保护法第 8 条告知事项
依台湾《个人资料保护法》第 8 条，我们向你告知：
- 收集者名称：AeroPacer（联系方式见文末“联系我们”）。
- 收集目的：提供账号与功率配速服务、CdA 估算与码表同步、收款与客户服务、回复问题反馈、维护系统安全，以及上面“去识别化统计”所写的统计与研究分析。
- 个人数据类别：见“我们收哪些数据”：辨识个人的数据（Email、账号识别码）、身体描述（身高、体重）、运动与骑乘数据（功率、速度、GPS 轨迹），以及你同意后才处理的心率。
- 利用期间、地区、对象及方式：期间见“数据留多久、怎么删”；地区为日本（主机）及“跨境传输”列出的地方；对象为我们、“我们把数据交给谁”列出的服务商，以及你连接的教练；方式为计算机自动化处理。
- 你的权利与行使方式：查询或请求阅览、提供副本、补充或更正、请求停止收集处理或利用、请求删除。寄信到 support@aeropacer.com 即可。
- 不提供的影响：你可以自由选择要不要提供。不提供 Email 就无法注册；不提供 FTP、体重这些参数，就算不出功率配置；不同意处理心率，就看不到心率相关的图表与分析，其他功能照常。
年龄限制
AeroPacer 只给年满 16 岁的人使用，注册时要确认你已年满 16 岁。我们不会刻意收集未满 16 岁者的数据，发现的话会删除那个账号与数据。
政策变更
改版时我们会更新这一页最上方的日期。若是实质性的变更（例如添加数据用途），我们会另外以 Email 通知登录中的用户。
联系我们
隐私权相关的任何问题，寄 support@aeropacer.com。