瑞士式隐私优先设计：为什么你的扫描数据不会离开 iPhone

户型图为何比看上去更敏感

人们会认真对待照片和位置记录，却几乎不会想到建筑几何数据。可扫描比两者都更能说明问题：它记录了一处私人空间的确切布局——每个房间的尺寸、窗户的朝向、门的位置以及开启方向。再加上拍摄过程中的照片和房产地址，就构成了小偷、数据中介和广告商都不该拥有的信息。

而且这类数据无法收回。密码泄露一分钟就能改掉；只要你还住在那里，家里的户型图就一直有效。正是这种不对称，说明这类数据应当从一开始就谨慎处理，而不是事后再加固。

这里所说的“隐私优先设计”是什么意思

隐私优先设计是瑞士《数据保护法》和 GDPR 共同确立的原则：隐私应当是产品的默认状态，内建于架构之中，而不是一个需要细心用户去主动开启的设置。落到实处，它可以归结为一个简单的问题——如果你从不碰设置，这个应用会做什么？

对 FloorLens 来说，答案是一切都留在你的 iPhone 上。不是因为某个偏好被设成了这样，而是因为这个应用根本没有理由把数据挪走。

1. 扫描在设备上处理

扫描本身、户型图生成、测量、房间识别和三维模型，全部由 iPhone 的 LiDAR 传感器和处理器完成。没有任何内容会为了处理而上传：不存在把你的采集数据变成户型图的服务器，因此也不存在排在某个处理队列里的、你家的副本。

扫描附带的一切同样如此。你填写的房产信息、位置、备注，以及采集过程中拍摄的照片，都随扫描一起留在设备上。

2. 账户是可选的

你可以下载 FloorLens 并一直使用，而无需创建账户或登录。扫描、测量、编辑房间、生成户型图、导出 PDF 或三维模型——这些都不会问你是谁。只有一件事需要身份，下面就会讲到。

这一点比听上去更重要。一个在做任何事之前先要求注册的应用，等于把你在其中的一切行为都与某个身份绑定了。账户可选，意味着默认状态不只是本地的——它是匿名的。

3. 只有你发送时，扫描才会离开设备

对外只有一条路径，而且刻意分成了好几步。要把扫描发布到网页查看器，你需要创建账户、登录，然后主动点击上传这一份扫描的按钮。之后再把生成的链接分享给你希望看到它的人。

每一步都是有意识的操作。没有后台同步，没有打着“改进产品”旗号顺带带走几何数据的遥测，也没有为了保险而把扫描悄悄复制到别处的自动备份。只要你从不点击上传，你扫描的一切就永远不会存在于手机之外。

4. 上传的内容依然属于你

分享不是一扇单向门。扫描发布之后，你仍然拥有完全的控制权，随时都能在应用内把它从云端删除——链接随即失效，数据也随之消失。

在它上线期间，它也不会做别的事。你的扫描永远不会被出售、不会提供给其他公司，也不会用于广告。FloorLens 中没有任何广告。

为什么称之为瑞士式

瑞士长期以来把隐私当作基础设施，而不是一项功能——它是用来砌墙的材料，而不是写进宣传册的卖点。FloorLens 正是在这一传统中构建的，所以上述架构先于产品存在，产品是围绕它设计的，而不是反过来。

坦白说，这也是更容易站得住脚的立场。从未收集的数据不会泄露，不会被调取，不会被未来的所有者出售，也不会在别人的安全事故中丢失。一个应用能给出的最有力的隐私保证，就是它根本没有你的数据——对于一款测绘住宅内部的工具来说，这是唯一说得过去的出发点。

简而言之

• 扫描在你的 iPhone 上处理。生成户型图不涉及任何上传。
• 详情、位置和照片随扫描一起留在设备上。
• 无需账户即可扫描、测量、编辑和导出。
• 不会上传任何内容，除非你登录并主动为该扫描点击上传。
• 上传过的内容随时可删，在应用内即可从云端移除。
• 绝不出售、绝不提供给第三方、没有广告。