「在途 EnRoute」不出售任何資料。出勤相片只保存在你的裝置，永遠不會上傳；本應用程式不會掃描職員證，亦不會收集職員編號。
職員證驗證已取消：本應用程式不會掃描職員證，亦不會收集、上傳或保存任何職員編號、姓名或相片。字軌交換板以 Google／Apple 登入作為發佈門檻；你亦可自願經 Google reCAPTCHA 及一次短訊驗證碼確認 WhatsApp 號碼屬於你本人（不驗證亦可發佈，但帖上會標明「號碼未驗證」）。
本應用程式內置 Google AdMob 廣告以維持免費提供：默認顯示非個人化廣告，只有在你於 iOS 追蹤許可（ATT）視窗明確允許後，才會使用廣告識別碼顯示個人化廣告。
1. 我們收集的資料
| 資料 | 用途 | 是否關聯帳戶 |
|---|---|---|
| 登入識別碼及電郵（Google／Apple） | 換機後還原身份及出勤記錄；字軌交換板防止濫用、處理舉報 | 是 |
| 公開的 16 位編號（由識別碼單向雜湊） | 帖文擁有權識別、用戶之間指認及舉報 | 是（不可反推） |
| 出勤文字記錄（時間／路線／字軌／車牌） | 同步你本人的記錄（相片不會同步） | 是 |
| 換更交換帖（含自願填寫的 WhatsApp 電話） | 與其他車長交換字軌；號碼會記在你的裝置以便下次自動填上，可隨時自行更改 | 是 |
| 舉報記錄（只記舉報者的識別碼） | 一人一票；自動隱藏被多次舉報的帖 | 是 |
| 裝置識別碼的 SHA-256 雜湊值 | 「一部裝置只可以用一個帳戶」：這部裝置一經綁定，之後用其他帳戶登入會被拒絕（登入即時還原），以防繞過封鎖；未發佈過交換帖的裝置不會綁定，原始識別碼不會離開裝置 | 是（不可反推） |
| App Check token（Play Integrity／DeviceCheck） | 確認請求來自未經改裝的正式版本，阻止自製程式灌帖；不含身份資料 | 否 |
車長專區解鎖：以「瞬更 ShiftNow」生成、貼入本應用程式的解鎖 key 在本機驗證簽名；key 只含完整行程表份數、雜湊值、公鑰及簽名，不含路線、崗位或行程內容，亦不會上傳。
「出走」活動及交通規劃：活動全部來自官方開放數據——康樂及文化事務署節目及場地資料、城市售票網（URBTIX）每日節目批次、香港旅遊發展局節慶活動（以上均為 data.gov.hk）及香港公共圖書館活動 RSS；請求不含任何帳戶或裝置識別碼，活動只在本機快取。活動預覽圖只使用上述官方資料內明確提供的圖片網址，由裝置直接向官方伺服器讀取並由系統暫存；沒有圖片時顯示類別插畫。本 App 不會抓取任何第三方網站內容，「更多去處」只是開啟官方網站的連結。「點去」路線規劃完全在裝置上進行：以裝置定位為起點、活動場地座標為終點，用 App 內已下載的路線庫計算最快、最平及最少轉乘路線；位置不會上傳亦不會保存。結果頁地圖會以藍點顯示你而家位置（只在本機畫出）；你按「Google 地圖帶路」時，App 只會把上車站座標交給 Google 地圖 App 或瀏覽器開啟步行導航，之後由 Google 按其私隱政策處理。規劃不需要看廣告；看完規劃結果返回時可能顯示一段可隨時關閉的插頁式廣告（見「廣告」一節）。
發佈或舉報交換帖必須先用 Google 或 Apple 登入；只瀏覽交換板不需登入，亦不會上傳裝置雜湊值。 另外，為執行「每日最多 2 篇」及「新帳戶 24 小時冷卻」，你的發佈時間會記於本機，並以帳戶建立時間計算冷卻期。
2. 只保存在裝置、永不上傳
- 出勤相片（飛單相）：只儲存在裝置或你本人的相簿。
- 位置：只在本機用於計算最接近的車站、排序「附近」停車場／急症室／生活設施（公廁、ATM、AED、飲水機、街市、圖書館、充電站、食肆），以及「出走」及「去地址」路線規劃起點；已允許位置權限時，到站時間及「點去」地圖亦會以藍點顯示你而家位置（只在畫面顯示期間及 App 在前台時更新，不會在背景追蹤）。位置不會傳送至任何伺服器。
- 「去地址」相片：你拍攝或揀選的地址相片只在裝置上以離線文字辨識（Google ML Kit）抽出地址文字，相片本身不會上傳，亦不會儲存於應用程式內。
- 「我的地點」：住所／公司及最近去過的地址只儲存在裝置內，不會上傳；可在地址頁逐項刪除，或清除全部本機資料。
- 錯誤記錄：本機檔案（設有大小上限），不會上傳；內容只有錯誤訊息及出錯位置，不含相片、token、電話或座標。
- 在途助手：你輸入或講出的一句話（例如「屯門去旺角最快點去」）只在裝置上以 App 內的路線及地點資料解析，不會傳送至任何伺服器，亦不使用任何雲端人工智能服務；語音轉文字由裝置系統的語音辨識服務處理，朗讀答案使用裝置系統的文字轉語音功能。在途助手的個人化記憶（常查路線／地點、修正、預先規劃的行程）只儲存在裝置內，可在「清除資料」一併刪除。你按「答錯？」的句子只記錄在裝置內，不會自動上傳；只有你在「更多 → 在途助手回饋」主動按「分享檔案」，才會產生一個只含這些句子（不含位置、路線記錄或裝置資料）的檔案交由你選擇的 App 分享。
- 本機語言模型（可選）：在途助手預設只用裝置內的規則解析。你可在「更多 → 在途助手進階」自行選擇下載一個約 469 MB 的開源語言模型（Qwen2.5 0.5B，Apache-2.0）；模型不內置於 App，下載由裝置系統的下載管理器從 Hugging Face 取得，該連線只傳送一般下載請求，不包含你的查詢內容。下載後的理解全部在裝置內進行，你的句子不會傳送至任何伺服器；可隨時在同一頁停用或刪除模型檔案。
- 「出走」推薦：「今日推薦」按當前時間、天文台天氣／空氣質素、活動類別及你在本機點看過的活動類別排序，全部在裝置上計算；點看記錄只留在裝置，不會上傳，推薦卡可隨時關閉。
3. 權限用途
| 權限 | 用途 |
|---|---|
| 位置（使用期間） | 自動跳至最接近的車站、排序「附近」停車場／急症室／生活設施、「出走」及「去地址」本機路線規劃起點、在地圖上顯示你而家位置 |
| 相機 | 出勤相片，並在裝置上辨識路線／字軌／車牌；「去地址」拍攝地址卡片／招牌，在裝置上抽出地址文字 |
| 相簿 | 將出勤相片儲存至你本人的相簿；「去地址」可揀選一張相片作裝置內地址辨識 |
| 麥克風／語音識別 | 語音輸入路線號、起點或目的地 |
| 通知 | 只在車長專區已解鎖時：每日出勤記錄提醒（香港時間 06:00，可自行開關），及你在「字軌配對通知」設定條件後、有人發出符合條件交換帖時的本機通知；及你以在途助手預先規劃行程（例如「明日 9 點去機場」）後、建議出門時間前一小時的行程提醒（首次會徵求通知權限；可在在途助手卡按「取消提醒」、在「更多 → 行程提醒」逐個取消，或清除資料一併取消）。全部在裝置上產生及排程，不經推送伺服器。沒有到站提醒 |
| 追蹤許可（iOS ATT） | 個人化廣告；拒絕仍可使用全部功能（顯示非個人化廣告） |
| 廣告識別碼（Android AD_ID） | 個人化廣告；可在系統設定重設或停用 |
4. 第三方服務
| 服務 | 用途 | 涉及個人資料 |
|---|---|---|
| 運輸署 data.gov.hk（九巴／龍運、城巴、嶼巴、專線小巴、港鐵巴士、港鐵重鐵／輕鐵下一班列車、渡輪／電車／山頂纜車班次表、公共交通班次資料 GTFS 的頭班／尾班／班距、巴士分段收費） | 路線、車站、到站時間、班次、票價、路況、交通快拍；班次及分段收費快照內置於 App，每 7 日在背景更新一次並儲存在裝置內；請求不帶任何帳戶或裝置識別碼 | 沒有 |
| 港鐵公司、香港機場管理局、運輸署停車場資料、醫院管理局（data.gov.hk） | 港鐵／輕鐵票價表、機場航班實時資料、公眾停車場實時空位、急症室輪候時間及醫院名單；停車場／急症室只在本機用你的位置排序，位置不上傳 | 沒有 |
| 食物環境衞生署、香港金融管理局、消防處、康樂及文化事務署、環境保護署、醫院管理局（data.gov.hk） | 「附近」生活設施：公廁、公眾街市、飲水機、銀行自動櫃員機、公眾可用 AED、公共圖書館、電動車充電站位置。只在你選擇該類別時下載，每 7 日更新一次並保存在裝置；請求不帶任何帳戶或裝置識別碼，距離只在本機計算，位置不上傳。「食肆」類別為食環署「持牌食物業處所」名單，座標於 App 發佈前以地政總署地址查詢服務預先配對並內置於 App，使用時完全離線。康文署泳池、體育館、運動場、網球場、燒烤場及醫院管理局專科門診診所名單（附官方座標）同樣內置於 App、隨版本更新，使用時不發出任何請求 | 沒有 |
| Firebase（Google） | Google／Apple 登入、換更交換帖、出勤文字記錄、App Check | 有（識別碼／帖文） |
| Google Play Integrity（Android）／Apple DeviceCheck（iOS） | 簽發應用程式完整性 token | 沒有 |
| 地政總署地址查詢服務 ALS（als.gov.hk，data.gov.hk） | 「去地址」：將你輸入或由相片抽出的地址文字傳送至 ALS，換回候選地址及座標；請求不帶任何帳戶、位置或裝置識別碼，結果只在裝置內短時間快取；樓層／室號會自動去除 | 沒有（只有地址文字） |
| 地政總署地圖 API（mapapi.geodata.gov.hk） | 到站頁、路況、「出走」及「在途助手」地圖的底圖及中文地名圖磚；裝置直接下載畫面範圍內的圖磚，對方會收到一般網絡請求資料（IP 位址及所請求的地圖範圍），請求不帶任何帳戶或裝置識別碼，定位不會上傳 | 沒有（只有一般網絡請求資料） |
| 運輸署空間數據共享平台（CSDI） | 專營巴士及專線小巴官方路線走線，於 App 發佈前內置，使用時不發出任何請求 | 沒有 |
| OpenStreetMap | 部分活動場地座標（ODbL），已內置於 App | 沒有 |
| 香港天文台、環境保護署、1823（data.gov.hk） | 到站頁天氣列用的天氣、分區雨量、九天預報、日出日落、潮汐、農曆、空氣質素、泳灘水質及公眾假期；請求不帶任何帳戶或裝置識別碼 | 沒有 |
| 康樂及文化事務署、城市售票網、香港旅遊發展局（data.gov.hk）、香港公共圖書館 | 「出走」公開活動資料及官方圖片網址；請求不帶任何帳戶或裝置識別碼 | 沒有 |
| Google AdMob | 廣告投放 | 有（廣告識別碼；獲許可時用於個人化） |
| Google Play 結算服務（Android） | 只用於「更多 App」頁的自願支持「請開發者飲杯嘢」；付款由 Google Play 處理，App 不會接觸你的信用卡或付款資料，亦不會保存任何購買紀錄；付款不會解鎖任何功能 | 沒有（付款資料只由 Google 處理） |
景點提示使用應用程式內置的本機資料，以車站座標配對，不會發出任何網絡請求。
5. 廣告
| 位置 | 形式 |
|---|---|
| 到站主頁、「去地址」頁（每 3 分鐘最多換一次）、我的捷徑、交通消息、「出走」列表及沿途景點下方、字軌交換板及帖文詳情（帖文詳情的廣告卡在頁面最底，與按鈕分開） | 畫面底部固定原生廣告卡（標示「廣告」） |
| 「附近」停車場／急症室／生活設施分頁、「出走」分頁、「資料來源」頁 | 頁底原生卡 |
| 「出走」、「去地址」及在途助手的「點去」 | 規劃不需要看廣告；看完規劃結果返回時可能顯示一段可隨時關閉的普通插頁式廣告（不設獎勵、毋須看完；每次開啟 App 的第一次規劃不會顯示，之後每 5 分鐘最多一次） |
| 由到站頁進入車長入口 | 每小時最多一次插頁式廣告，可隨時關閉，關閉後照樣進入 |
首次安裝後 24 小時內不會顯示任何全頁廣告。廣告卡載入失敗會完全收起；插頁式廣告載入失敗或無網絡時，仍可繼續使用該功能。除上述兩項外，不會在進入分頁或查看資料時彈出插頁式廣告。
不會顯示廣告：「資料來源」及「私隱政策」頁、車站到站時間列表及展開面板、環境資料（天氣／空氣質素）面板、鐵路票價／機場航班面板、交換帖「WhatsApp 聯絡」、出勤記錄及出勤拍攝的相機畫面、Apple Watch 及 Wear OS 錶面應用程式。
歐洲經濟區用戶會另行看到 Google 的同意管理視窗（UMP）。我們不會把你的職員編號、出勤記錄、相片或位置提供給廣告商。
6. 保留與刪除
- 換更交換帖：不能刪除，只能由發帖者設為「已取消」或「已完成」；已完成、已取消或日期已過的帖文一日後自動清除。
- 裝置與帳戶的綁定紀錄（只有雜湊值）會保留，以維持「一部裝置只可以用一個帳戶」；換機、賣機或需重新綁定可與我們聯絡解除。
- 因濫用而被封鎖的記錄（雜湊值及帳戶識別碼）會長期保留，以防封鎖被繞過。
- 本機資料：於應用程式內清除資料，或移除應用程式即全部消失（包括記住的 WhatsApp 號碼、電話已驗證狀態、出勤相片、錯誤記錄、「出走」點看記錄及「我的地點」）。
- 刪除帳戶：於應用程式內「私隱政策」頁底部按「刪除帳戶及雲端資料」（或「調字軌」分頁登出視窗內的「刪除帳戶」），即時刪除登入帳戶、所有交換帖（含 WhatsApp 號碼）、出勤雲端副本及登入 session；亦可依資料刪除說明電郵要求，我們會在 30 日內完成。
7. 兒童
本應用程式並非以兒童為對象，亦不會故意收集兒童個人資料。
8. 變更
政策更新會反映於應用程式內「私隱政策」頁；重大變更會在應用程式內提示。
9. 聯絡
如對本政策有任何疑問，或要求刪除資料，請電郵至：bc.braydencheung@gmail.com