隐私政策
自 2026年9月29日 起生效
OjeTimor 是帝力（Dili，东帝汶）的摩托车出租、网约车、送餐与代购服务。本页说明我们收集哪些数据、为何收集、数据流向何处，以及您可以如何处理。如实说明：若某些数据我们尚未自动删除，也会写明。
1. 我们收集的数据
取决于您在应用中的角色。
所有用户
| 姓名、电话、邮箱 | 用于创建账号，并让司机和商家在订单进行时能联系到您。 |
|---|---|
| 头像 | 可选。会显示给您订单上的司机或商家。 |
| 设备标识 | 设备名称与应用生成的标识，用于限制一个账号只在一台设备上活跃，并识别您已验证的设备。 |
乘客与买家
| 位置 | 仅在您打开地图或下单时读取一次。上下车点保存在订单中。乘客端不会持续追踪您，应用关闭时也不读取位置。 |
|---|---|
| 订单内容、备注与聊天 | 用于完成订单与处理投诉。 |
| OjePay 余额及其交易记录；充值转账凭证 | 仅在 OjeTimor 开放 OjePay 服务期间，用于余额支付与充值。凭证存放在非公开存储中。 |
| 发送安全报告时的位置 | 仅在您于行程中发送时：报告连同您的位置发送给 OjeTimor 团队，以便跟进处理。这不是紧急服务；遇到紧急情况请拨打报警电话 112、急救电话 110 或消防电话 115。 |
司机
| 精确位置，包括应用最小化或熄屏时 | 仅在您处于「上线」状态时。这让乘客能在地图上看到您移动，也让订单派给最近的司机。运行期间您的手机会一直显示正在使用位置，下线后全部停止。 |
|---|---|
| 行程中的位置轨迹 | 行程进行中每 10 秒记录一次，用于处理行程纠纷。仅管理员可读取。 |
| 身份证（KTP/BI）、驾照（SIM）及其号码和有效期、车辆检验证（KIR）和行驶证（STNK）及其号码和有效期、车辆照片、选民卡号、户口卡照片以及本人照片 | 用于核验驾驶资格。此为该服务性质所必需。 |
| 银行名称、开户人、账号 | 向直接通过转账付款给您的乘客展示，并在您有 OjePay 余额时用于支付。 |
| 车牌与车辆信息 | 便于乘客辨认前来接送的车辆。 |
商家
| 名称、电话、店铺与商品照片、收款账户 | 用于展示店铺，并向直接向您支付货款的司机出示店铺收款账户。 |
|---|
2. 我们不会做的事
- 我们不会将您的数据出售给任何人。
- 我们没有自行搭载任何广告、分析、归因或崩溃上报 SDK：没有 Google Analytics、Firebase Analytics、Crashlytics、Sentry、AdMob 或 Facebook SDK。本应用中的 Google 组件为 Google 地图、Google 登录，以及仅限 Android 的 Google ML Kit 二维码扫描器；各自接收哪些数据见第 3 节。
- 我们不会为广告目的共享您的数据，也没有加入我们自己的分析工具。离开应用的使用、性能和崩溃数据只会发送给 Google，来自第 3 节所列的 Google 组件，用于运行这些组件。
- 乘客端不会在后台记录位置。
3. 数据流向何处
| Google 地图平台 | 地址搜索文本与坐标会被发送，用于查找地点、将坐标转为地址并计算路线。应用内的 Google 地图 SDK 还会向 Google 发送一个设备标识符以及使用、性能和崩溃数据，Google 依其自身的隐私政策用于运行和改进地图服务。您的姓名、电话号码和邮箱不会发送给 Google 地图。 |
|---|---|
| Google 登录 | 若您选择使用 Google 登录。Google 会向我们提供您的姓名、邮箱与头像。 |
| 通过 Apple 登录 | 若您选择通过 Apple 登录。Apple 会向我们提供：您 Apple 账户的一个不会改变的标识符，我们仅用它让您登录；一个邮箱地址；以及您首次登录时的姓名。该姓名和邮箱会成为您账户的姓名和邮箱，如同您自己填写的一样。您可以选择用 Apple 的中转地址隐藏真实邮箱，我们的邮件会经由中转地址转发给您。我们绝不会获得您的 Apple 账户密码。 |
| 二维码扫描：Android 上为 Google ML Kit，iPhone 上为 Apple Vision | 在 Android 上，Google 的 ML Kit 库在您的手机上读取二维码，并在扫描器使用期间向 Google 发送设备技术数据和性能指标；其中不含可识别您身份的信息。在 iPhone 上，扫描器使用 Apple 的 Vision 框架，在手机本地读取二维码，不涉及任何 Google 服务。 |
| 邮件发送服务 | 注册、登录、新设备和密码验证码会通过邮件发送服务商（SMTP）发送到您的邮箱，该服务商会收到您的邮箱地址和邮件内容。 |
| 分享行程链接 | 如果您分享行程链接，持有该链接的任何人都能看到您的姓名、司机的姓名与照片、司机位置、上车点和目的地，直至行程结束或链接过期（最长 6 小时）。 |
| OjeTimor 自有服务器 | 除本列表所列之外，其余数据均存放在我们自有的服务器上，而非第三方服务。 |
本节列出的每项服务只接收其旁边所写用途所需的数据；任何从我们这里接收用户数据的第三方，都必须以与本政策相同或同等的标准保护这些数据。
我们如何保护： 应用与我们服务器之间的所有数据均经加密传输（HTTPS，TLS 1.2 或更高版本）。您的数据存储在我们自己的服务器上；密码仅以单向哈希形式保存；身份证件和付款凭证存放在没有公开地址的私有存储中；数据库本身会根据发出请求的账户检查每一个请求。
为完成订单而必须知晓的人也会看到数据：司机可见您的姓名、上车点与目的地；商家可见订单与配送地址；OjeTimor 管理员可查看订单数据以处理投诉与欺诈。订单聊天内容仅在管理员审查对话双方之间的屏蔽，或其中一方针对该对话提交的举报时才会被打开，且每次打开都会被记录。
需要您知晓：在线司机的位置在已登录的乘客下单时对其可见，因为地图必须显示附近司机。可见的仅为位置点与司机姓名。
4. 我们保存多久
订单数据、交易与财务记录会保存至记账与纠纷处理所需的期限。
我们如实承认： 目前行程位置轨迹与聊天记录尚无自动删除，会保存至相关订单被移除为止。我们正在为两者设定保存期限。在此之前，您仍可通过第 8 节的邮箱要求删除。
5. 删除您的账号
您可以在应用内自行删除账户：账户 → 账户安全 → 删除账户。 打开「删除账号」页面
会被删除的： 您的姓名、电话、头像与邮箱地址；订单记录上的姓名、电话和照片；客服报告的内容；已识别的设备；屏蔽列表。账号将被锁定且无法再使用。司机的最后位置会被删除。
会被保留的： 已完成的订单与交易记录（不含您的姓名、电话和照片）、订单聊天消息，以及客服报告和安全报告的记录。出于记账义务，且司机收入与之关联，我们予以保留。旧的头像文件在清理前可能仍可通过原链接访问。
若仍有进行中的订单、余额不为零，或有未完成的充值/提现，则无法立即自助删除。请先完成订单；对于你无法自行处理的款项，可在同一页面发送删除申请，我们会处理后关闭账户。
司机与商家账户与需先行核对的支付记录相关联，因此通过申请关闭：在应用中点按“删除账户”即可发送申请。我们会在处理完未结的收入与结算后 30 天内关闭账户，并通过电子邮件确认。
6. 应用请求的权限
| 位置 | 用于确定上车点，并向乘客显示司机位置。 |
|---|---|
| 应用最小化时的位置（司机） | 仅在司机上线时，以便熄屏后行程仍可被追踪。 |
| 相机 | 用于扫描付款二维码，以及仅在您选择时拍摄照片：您的头像、司机证件与车辆、店铺与商品照片，以及应用要求时的转账凭证。仅在扫码器或拍照界面打开时才会启用相机。 |
| 通知 | 用于提示新订单，以及告知乘客司机已到达。 |
| 振动 | 伴随订单与司机到达的通知。 |
| 保存到相册 | 保存付款二维码图片，以便您的银行应用打开。 |
7. 儿童
OjeTimor 仅面向 18 岁及以上的成年人。本应用不进行年龄验证，我们也不会有意收集 18 岁以下人士的数据。若您知悉此类情况，请告知我们，我们会予以删除。
8. 联系我们
咨询、索取数据副本或删除请求： noreply@ojetimor.com
若本政策变更，我们会更新上方日期，并在应用内公告重要变动。