隐私政策

1. 谁负责本网站

资料控制者是在英国以 Ma／肥马名称营运「肥马食途」的个人；本政策中的「我们」亦指该营运者。为保障营运者隐私及减少身份盗用风险，网站公开使用营运名称。若你提出真实而可核实的资料权利要求，我们会在法律确有需要的范围内私下确认资料控制者身份。

隐私、资料权利或内容更正查询可电子邮件 contact@feimashitu.com。如需寄送必须签收的正式邮件，可使用：

此地址不设亲身接待。寄往此地址的信件不会获处理（需要签收的邮件除外）。首次联络无需提交身份证明；只有在对申请人身份有合理疑问时，我们才可能要求足以核实身份的最少资料。

2. 本网站不建立访客档案

我们不使用 Google Analytics、广告 pixel或其他个人行为分析工具，不出售或出租个人资料，也不进行具法律或类似重大影响的自动决策或 profiling。

一般文字搜寻及筛选在你的浏览器内处理。开启「问肥马帮我拣」面板不会传送查询；只有你提交偏好或要求重新挑选时，才会按第4节传送该次资料。「我的收藏」会以键值 feima-shitu-shortlist-v1 储存在你装置的 localStorage，让首页及探店页记住收藏；未登入时，这些收藏不会传送至肥马食途的资料库。你可随时取消个别收藏，或经浏览器网站资料设定清除全部收藏。

会员帐户与私人收藏

会员功能使用电邮、密码杂凑、验证状态、登入 session、收藏代号及私人标签，提供你要求的帐户、跨装置同步及密码复原服务。密码不以明文保存。注册、验证及重设邮件用于帐户服务，不会自动订阅推广邮件。

登入使用必要的安全 Cookie，与视频及地图的第三方内容选择分开。一般 session 在闲置两小时后失效。应用程式的 session 记录不保存 IP 或 user agent；短期限流使用加密金钥衍生的识别值。SiteGround 的标准主机纪录另按第6节处理。

帐户与收藏资料由 SiteGround 托管。私人标签不公开，不会送往「问肥马」或加入匿名操作统计；管理画面只提供帐户管理，不展示私人收藏。访客收藏只有在你明确选择汇入后才会合并至帐户。

你可在会员页下载资料或删除帐户。有效帐户的收藏持续保留；移除收藏后只保留同步所需的代号及版本，避免旧装置重新加入已删项目。删除帐户会清除运行中资料库的帐户、收藏、标签及登入凭证。管理操作纪录保留九十日，应用程式错误纪录保留七日。隔离备份依主机保留周期到期，复原时须重新套用已完成的删除要求。

3. 定位功能

只有当你按下定位按钮并在浏览器授权后，网站才会取得当时座标。座标只在你的设备记忆体内用来找出最接近的已收录地区，不会传送至肥马食途伺服器或保存。浏览器或设备供应商可能按其自身政策处理定位权限。

4. 「问肥马」餐厅选择顾问

「问肥马」是自愿使用的餐厅选择顾问。当你提交讯息或要求重新挑选时，当前讯息、本餐结构化偏好、已排除或指定比较的餐厅代号、已套用搜索条件与资料版本、Cloudflare Turnstile安全验证token，以及只在该浏览器分页sessionStorage保存的短期随机代号 feima-shitu-ask-session-v1，会传送至肥马食途的Cloudflare Worker。定位座标、餐厅收藏、点击历史及第三方内容选择不会送出。

Cloudflare Workers AI用来理解本餐偏好及比较少量有来源的餐厅证据。完整候选由程式依已套用条件筛选；模型不得自行改变地点、菜系或预算。对话、草稿及推荐只在本分页的 sessionStorage（feima-advisor-session-v2）保留，并可按「开始新饭局」清除；伺服器不保存对话纪录、不建立个人档案，也不以查询训练肥马食途自有模型。线上模型不接收完整对话或全部餐厅评论。短期随机代号及由IP地址即时产生、不可还原的杂凑限流键只用于防止短时间滥用；网站不保存两者的独立事件纪录，分页代号在关闭分页后由浏览器清除。请勿输入姓名、联络资料、健康、付款或其他敏感资料。

Cloudflare为提供推理、安全验证、限流及技术诊断，可能处理IP地址、请求时间、浏览器或网络技术资料，并可能在英国以外处理。所有请求会先通过大小及短时间限流，再验证只能使用一次、并与本站hostname及指定操作相符的Turnstile token；只有验证成功才会呼叫AI。肥马食途不在应用程式纪录原始查询文字。此有限处理以提供你主动要求的功能，以及维持服务安全可靠的合法利益为基础；AI不可用时，原有本地搜索仍可使用。

网站语言偏好

当你到访繁体版或使用简繁切换键时，网站会以 feima-shitu-language-v1 在这个浏览器的 localStorage 保存语言偏好。再次开启首页时会沿用繁体选择；直接开启文章等具体网址时，以网址语言为准。这项设置不会传送至伺服器，也不作分析或追踪。你可按「简体」更新选择，或清除网站储存资料。切换时的阅读位置与搜索状态只在目前分页的 sessionStorage 暂存。

5. 第三方视频、地图、评分及设备偏好

YouTube、Instagram、Google Maps及 Google Places评分在你主动选择接受第三方内容前不会加载；未同意时，网站亦不会向这些平台请求缩图或评分。加载后，相关供应商可能接收你的 IP地址、设备和浏览器资料、referrer及 cookies，并可能在英国以外处理资料。Google评分由 Places UI Kit在需要显示时直接取得，本站不会保存星级或评论数。YouTube视频使用 privacy-enhanced嵌入模式，但仍属第三方内容。详情请参阅 Google隐私政策及 Meta隐私政策。

你的接受或拒绝选择会以键值 feima-shitu-third-party-content-v1 储存在浏览器 localStorage，内容包括政策版本、选择及六个月到期日，只用来履行你的第三方内容偏好，不作分析、广告或 profiling。你可在任何页面的页尾选择「第三方内容设置」撤回或更改决定；撤回后已加载的 iframe及评分元件会被卸载，但不会自动删除第三方先前可能设置的 cookies，你可透过浏览器设置清除。

6. 匿名操作统计及技术纪录

当你按下餐厅的订位、致电、官网或 Google Maps连结，网站会向同一网站网域传送餐厅代号、动作类型及所在页面类别，并只按伦敦日期累加成汇总次数。这项统计不设置或读取 Cookie、localStorage或其他设备识别码，不保存个别点击时间、完整referrer、IP地址、user agent或个别访客历史，也不作广告、佣金归因、跨网站追踪或profiling。统计只用来了解网站功能是否实用及改善餐厅决策流程；你可透过第1节的方式免费提出反对。

托管服务商 SiteGround仍会为提供、安全保护及诊断网站而建立标准 access logs，可能包括 IP地址、日期和时间、请求网址、HTTP状态、referrer及 user agent。SiteGround表示过往纪录一般可保留最多30日。我们只会在安全或故障排查所需时查阅。

这些有限处理以改善网站及维持安全可靠运作的合法利益为基础。SiteGround亦会按其合约及隐私安排处理资料。

7. 电子邮件及书面联络

若你联络我们，我们会收到你的联络资料、消息及你自愿提供的内容。普通查询以回复和管理通讯的合法利益为基础，通常在完成后六个月内删除。资料权利要求、正式投诉或争议纪录会按履行法律义务及建立、行使或抗辩法律申索的需要保存；只有确有需要时才会延长保留，最长一般不超过六年。

请勿主动传送身份证件、医疗资料或其他敏感个人资料。若确有核实需要，我们会先说明所需的最少资料及安全提供方式。

8. 分享和跨境处理

我们不出售或出租个人资料。SiteGround为本网站提供托管及电子邮件相关服务；Cloudflare只在你使用「问肥马」时提供安全验证、Worker及AI推理；Google只会在你选择加载地图后处理相关资料。资料亦可能在法律要求时向有权机关披露。供应商可能在英国以外处理资料；我们会依赖适用的 adequacy regulations、合约保障或供应商依法采用的其他转移保障。你可使用第1节的方式查询与特定处理相关的保障。

9. 你的权利

根据具体情况，你可要求查阅、更正、删除或限制处理个人资料、反对基于合法利益的处理，以及撤回全站第三方视频及地图选择。请使用第1节的电子邮件，或寄送需要签收的邮件；首次提出要求无需附上身份文件。

若你对处理方式不满，可向英国 Information Commissioner's Office投诉：ico.org.uk/make-a-complaint/。

10. 儿童及政策更新

网站不是特别为儿童而设，也不会故意收集儿童资料。我们会在功能、供应商或法律要求改变时更新本政策，并在页首标示最新日期。