① 存什么、存在哪

• 账号只要用户名 + 密码。密码只存加盐哈希 —— 我们自己也不知道你的密码原文。忘了密码只能用注册时发给你那串恢复码，服务端同样只存它的哈希。
• 不强制手机号 / 邮箱。它们是可选的，只用于「认证」徽章和找回，不会出现在任何公开页面（只有你自己的设置页看得到）。
• 你写的一切：行程、逐日条目、卡片（航班 / 酒店 / 门票 / 租车 / 证件）、账单、清单、游记、评分、照片，以及你上传的凭证文件。
• 它们存在本站服务器的数据库和文件目录里。上传的原件长期保留，方便你随时调取，不会自动过期。
• 凭证位只收图片（JPG / PNG / WebP，单张 6MB）或 PDF（单个 12MB）。

② 共享出去之后，谁能看到什么

• 不共享：只有你和同行人能看到。同行人由你邀请，名单你自己维护。
• 共享：任何人（包括没登录的访客）都能看，也可能被搜索引擎收录、被转发到微信群里。共享随时可以关掉，但别人已经保存或截图的内容收不回来 —— 所以发之前自己再看一眼。
• 账单默认不公开。三档可选：不公开 / 只公开机票·住宿·餐饮·交通 / 全部账单。即使选了公开，备注、付款人、个人标记也只你自己可见。
• 上传的凭证原件永不跟着共享。读取入口只认「创建者与同行人」——共享页连文件名都不会下发，更别说文件本身。

③ 删除我的数据

• 行程：随时删除，逐日内容、卡片、附件、照片、认证一起清掉，链接立即失效。
• 单件：卡片上的凭证文件、照片、游记、评分都能单独删；共享随时能关；认证能撤销。
• 账号：能自己注销 —— 入口在「账号认证」页最下面的危险区。提交后账号立刻停止对外露出（名下共享旅程全部下架、所有设备的登录状态作废），但数据保留 30 天：这 30 天里用原账号密码登录就能撤销，满 30 天连同行程、账本、照片一起删除。
• 带走再删：行程页上有「导出日历 / 全文」，导出的是你自己的内容。重要内容建议先导出一份 —— 删完就真没了。

④ 共享时会被打码的字段

规则是字段级打码，不是把整块内容藏起来：能帮读者安排行程的信息照常可见，能被拿去冒用或骚扰的字段换成 ••••。替换在服务端完成，原文根本不进页面。

④ 认证是怎么核的

• 认证只核验一件事：你有没有留下真的去过的痕迹，以及凭证日期有没有落在这次行程的区间里。核验过程不读取订单号、金额、电话。
• 认证绑定的是内容版本：签发之后你改了行程内容，徽章立刻失效 —— 这是设计，不是故障。所以看到「认证有效」，就意味着你正在看的就是被核验过的那一版。
• 作者可以随时撤销认证，撤销同样留痕。

⑥ AI 与第三方服务

• 行程初稿的 AI 补全在你自己的浏览器里直连模型服务，本站服务器不经手；送给模型的只有「主题 / 国家 / 月份 / 天数」这几个非个人字段。你的输入原文、上传的文件内容一律不出站 —— 这是代码里写死的死线，不是承诺。
• 站内没有任何第三方统计、广告或社交脚本。没有埋点，没有像素，没有 Cookie 追踪（只有一个记住你登录状态和主题选择的本地存储）。

⑥ 上传文件会被怎么处理

• 解析只做一件事：认出航班、酒店、景点、日期，拼成一份能直接改的行程单。
• 它不抽取金额、不抽取证件号 —— 宁可少抽，也不乱猜。识别不准的地方，进去以后都能自己改。
• 套用别人的模板时，模板作者的订单号、价格、电话会被脱敏剥离，不会跟着进你的行程。

⑧ 我们记录什么

• 为了防滥用，只记必要的技术信息：举报与数据拉取接口按 IP 限流；举报内容和后台管理操作会留一条记录（谁、什么时候、对哪个对象做了什么）。
• 不卖、不换、不给广告商。不会把你的手机号或邮箱提供给任何第三方。

⑨ 使用约定

• 共享内容文责自负。别发违法、侵权、骚扰内容，也别把别人的隐私放上来（别人的订单号、证件、电话、住址）。
• 看到违规内容可以举报，我会移除并保留处理记录；情节严重的封号。
• 站点还在打磨中：功能与数据格式可能会调整。重要内容请自己导出一份留底。

⑩ 联系我

导出数据、改内容、对某一节有疑问，或者账号注销卡住了（比如密码已经忘了）—— 在「无垠手记」的群里 @Jeffrey 说一声就行。本站目前是一个人维护，处理时间通常在 48 小时内。