跨境数据传输说明
说明使用 Luotopia 时可能涉及的境外接收方、传输场景与您的选择权。
1. 说明目的
本说明用于告知：在提供 Luotopia 服务过程中，哪些功能可能使您的数据被传输至中华人民共和国境外的服务器或经境外节点处理，以便您在充分知情的前提下选择是否使用相关功能。
校园统一认证及多数教务/场馆/图书馆/校车等业务请求，默认发往武汉大学及境内合作系统域名，不属于本说明重点规制的「主动跨境」场景；但访问官网、天气、壁纸、部分 AI 服务商、代码托管与 CDN 时，可能产生跨境处理。
2. 可能涉及跨境的场景与接收方
2.1 天气与地理编码（可选/按提供商）
Open-Meteo（如 api.open-meteo.com、air-quality-api.open-meteo.com、geocoding-api.open-meteo.com）：可能接收经纬度或地名查询，用于预报与空气质量。服务设施通常位于境外。
AccuWeather（api.accuweather.com）：若您选择或系统使用该数据源，查询参数与位置相关信息可能发往境外。
OpenStreetMap Nominatim（nominatim.openstreetmap.org）：逆地理编码请求可能发往境外。
IP 粗定位（如 api.ip.sb、ip-api.com）：在未授权 GPS 或需要兜底定位时，可能向相应服务查询基于 IP 的大致位置；相关服务可能位于境外或经由境外链路。
小米天气（weatherapi.market.xiaomi.com）等境内数据源：一般不构成本条所述跨境，但以实际解析与网络路径为准。
2.2 壁纸与内容分发
必应每日壁纸（www.bing.com 等相关接口）：请求壁纸元数据/图片时，可能访问微软相关境外基础设施，并在本机缓存图片文件。
2.3 AI 大模型（用户主动配置）
当您将 AI 提供商设置为 OpenAI（api.openai.com）、Anthropic（api.anthropic.com）、Google Gemini（generativelanguage.googleapis.com）、xAI（api.x.ai）、Perplexity（api.perplexity.ai）或其他境外/自定义境外地址时，您的对话内容、历史消息以及本地日程摘要字段将传输至对应境外服务器。
若您使用硅基流动、DeepSeek、月之暗面、智谱、通义、混元等默认或可选的境内/主站在境内的服务商，则通常不构成本条意义上的跨境；最终以该服务商实际部署与隐私政策为准。应用内置的模型网关 ai.tsinbei.cn 属我们的第一方服务（境内）。
2.4 官网、静态资源与安全验证
Luotopia 官网与部分静态资源（如 whu.sb 站点、友情链接 JSON、法律文案、应用截图等）可能托管于 Cloudflare Pages 或经 Cloudflare 网络分发，访问日志与请求可能经过境外节点。
客户端本身也会主动请求 www.whu.sb，用于获取法律文案与目录、字体镜像、热更新脚本清单、友情链接配置与应用更新信息等；这些请求同样经 Cloudflare 网络分发，并可能产生标准访问日志（IP、User-Agent、请求路径）。其中，我们的 Pages Function 反向代理会向 fonts.gstatic.com 转发字体请求。
服务端使用 Altcha 人机验证，其工作量证明在客户端完成并由服务端验证。
2.5 开发者与社区资源（用户主动访问）
GitHub（github.com、raw.githubusercontent.com 等）：查看源码、Release、热更新脚本或文档时，访问将发往境外。
Google Noto Sans 字体：与前述由您主动访问的资源不同，字体属于界面默认资源，通常在后台按需加载。客户端在需要该字体时，优先通过我们的第一方源 www.whu.sb/fonts/gstatic/ 获取（该源由 Cloudflare Pages 反向代理 fonts.gstatic.com，文件名为其 SHA-256 摘要，客户端会校验摘要与文件长度）；仅当该镜像不可用时，才会直连 fonts.gstatic.com，此时可能产生跨境请求。
iOS 与 macOS 默认使用系统字体，通常不发生任何字体下载；系统已内置所选字体的设备同样不会下载。MiSans 字体按需从 www.whu.sb/fonts/misans/ 获取。官网自身使用的字体均已自托管，不会请求 Google。
2.6 友情链接与第三方应用
您点击友情链接跳转至第三方网站或应用（如社团站点、合作 App、AI 注册页等）后，适用该第三方的隐私与跨境规则，请谨慎阅读。
2.7 安全检测与推送服务
安全检测：freeRASP（Talsec / AHEAD）的安全事件会上报至该服务商后台，我们另行将客户端生成的随机安装标识（UUID）作为 external id 提供给该服务商，以便将安全事件与同一台设备对应；其服务器可能位于境外。
推送服务：Google Firebase Cloud Messaging（fcm.googleapis.com）的推送令牌经我们的服务端转发至 Google，相关处理可能位于境外；在不具备 Google Play 服务的设备上，可能改用华为 Push Kit（境内）。
可选遥测：仅在您于引导页或设置中开启后，Firebase Analytics、Crashlytics 与 Performance 的崩溃与异常记录、使用分析与性能数据才会发送至 Google，其服务器通常位于境外；这三个通道默认关闭。
上述传输均不含您的校园账号凭证、密码、成绩明细或聊天内容。相关处理详见《隐私政策》。
3. 传输的信息范围（最小化）
天气/地理：位置坐标或城市名、IP（用于粗定位）、设备时区/语言等请求元数据；
壁纸：壁纸列表/图片 URL 请求，一般不含校园账号 Cookie；
AI：聊天文本、日程摘要字段、模型名称与 API Key（Key 由您提供并存储在本机，随请求提交给您所选服务商）；
官网/CDN：标准 Web 访问日志（IP、User-Agent、访问路径等）；
安全检测：风险类型标签、检测结论与随机安装标识；
推送：推送令牌、安装标识、平台与版本、语言与时区；
默认不会将 CAS 密码、教务 Cookie、成绩明细批量上传至境外天气或壁纸服务。
4. 目的与法律基础
跨境传输仅为实现您主动使用的功能（获取预报、壁纸、AI 回复、访问文档/官网等），或保障站点安全与可用性。
您通过开启相关权限、选择境外数据源/AI 提供商、或主动访问境外链接的方式作出同意；您也可以通过下文「您的选择」拒绝或终止。
5. 安全与保护措施
尽量使用 HTTPS 等加密传输；
敏感凭证优先存放于系统安全存储，AI 会话可加密保存在本机；
对境外提供商的选择权交给您（尤其是 AI）；
校园核心业务默认直连接境内校方系统，降低不必要的跨境。
我们要求或期待第三方在其政策承诺范围内保护数据，但第三方的独立处理行为由其自身负责。
6. 您的选择
拒绝定位权限，并避免使用依赖境外天气源的功能；在设置中优先选择境内天气数据源（如有）；
不使用必应壁纸来源，改用本地图片或关闭壁纸；
AI 仅使用境内提供商，或关闭 AI 助手；不要在对话中提供敏感个人信息；
不访问 GitHub 等境外链接；
如您不同意本说明项下的跨境处理，请停止使用相应功能或卸载本应用。
7. 说明更新
境外接收方名单可能随版本迭代、默认提供商或基础设施调整而变化。更新后的说明以本页「最后更新」日期为准，并在本站发布。建议您定期查阅。
机器可读目录见：/data/legal.json（含各文档 slug、标题与 lastUpdated，供客户端核对版本）。
8. 联系我们
如对跨境处理有疑问，请通过 ClosedWHU 社区渠道与我们联系。