隐私政策
ℹ️ 本政策由”时光环”运营者结合实际数据采集面起草。国内《个人信息保护法》《生成式人工智能服务管理暂行办法》《App 违法违规收集使用个人信息行为认定方法》对”告知-同意”和”最小必要”原则要求严格，如本政策与你阅读时实际运行版本存在偏差，请以应用内最新弹窗为准。
我们（青岛市即墨区极夜软件工作室，以下简称”我们”）非常重视你的隐私。本政策说明”时光环（TimeRing）“App 会收集哪些信息、如何使用、与谁共享、如何保护，以及你对自己个人信息享有的权利。
一、我们收集的信息
1.1 你主动提供的信息
| 场景 | 信息项 | 用途 | 存储位置 |
|---|---|---|---|
| 注册/登录 | 手机号、验证码 | 完成身份识别 | 后端服务器（中国大陆） |
| 日程/任务/笔记/纪念日 | 你创建的内容（标题、时间、备注、关联附件等） | 本地展示 + 云端同步 | 本地 + 后端服务器（仅订阅/试用用户启用云同步时） |
| 睡眠数据 | 你在「睡眠」模块手动输入的起止时间 | 本地展示与统计 | 本地为主，订阅用户启用同步时存后端 |
1.2 我们自动收集的信息
| 场景 | 信息项 | 用途 | 说明 |
|---|---|---|---|
| 应用运行 | 设备型号、iOS 版本、App 版本、Bundle ID | 崩溃诊断、兼容性排查 | 本地日志为主；未上报给任何第三方崩溃采集 / 分析服务 |
| 推送通知 | APNs 设备 Token | 发送「今日日程摘要」「日程提醒」等通知 | 仅推送使用，不用于画像 |
| Apple IAP | 订单的 Apple originalTransactionId、交易时间、商品 ID | 订阅/买断权益校验、对账 | 通过 Apple 服务器验证，我们存 ios_iap:<originalTransactionId> 作为幂等 key；账号注销时与个人信息一并删除（不留存订单流水），原始购买凭证可在你的 Apple ID 购买记录中查阅 |
1.3 我们不会收集的信息
- 位置信息（本应用不请求位置权限）
- 通讯录、照片库内容（你主动从照片库选择作为附件的图片除外）
- 浏览历史 / 广告标识符（IDFA 等）
- 麦克风录音（语音输入相关功能见 §1.4 与 §2.3 说明）
1.4 授权访问的系统权限
| 权限 | 必要性 | 场景 |
|---|---|---|
| 推送通知 | 可选 | 日程提醒、今日日程摘要 |
| 本地网络 | 可选 | 与同 Wi-Fi 下的本地开发服务器通信（仅内测，生产版本可不开启） |
| 相册读取 | 可选 | 在笔记/日程里添加图片附件 |
| Apple HealthKit（睡眠） | 可选 | 读取 iOS 睡眠记录供你查看/编辑 |
| 系统日历（读 / 写） | 可选 | 把你的日程 / 纪念日写入「时光环」专属日历；或读取你勾选的日历，在 App 内只读镜像显示（见 §2.6） |
| 麦克风 / 语音识别 | 可选 | 语音输入（见 §2.3）。仅在你长按首页”+“或点编辑器麦克风按钮时按需请求 |
拒绝任一权限不影响其它核心功能。
二、我们如何使用这些信息
2.1 本地处理
日程/任务/笔记/纪念日等内容在你未开通云同步时，仅存储于本地设备，不上传到任何服务器。
2.2 云端同步
当你处于试用、订阅或买断（选择 iCloud 同步）状态时，相关数据会通过加密链路同步到：
- 订阅/试用：后端服务器（腾讯云华东 1 上海可用区，数据存储于境内）
- 本地买断 + iCloud：Apple iCloud（由 Apple 运营，我们无访问权限）
2.3 语音输入（可选功能）
在首页长按”+“按钮，或在日程 / 任务编辑器中点麦克风按钮，可启用语音输入将自然语言快速转成结构化内容（标题、时间、提醒等）。
- 你按下录音键后，麦克风音频直接交由 iOS 系统自带的语音识别框架（Apple Speech Framework）处理。iOS 13 及以上版本默认在设备端完成识别（不出设备）；若用户系统设置允许，部分场景可能由 Apple 调用其服务器辅助识别，具体处理由 Apple 隐私政策管辖（https://www.apple.com.cn/legal/privacy/szh/）
- 我们不调用任何第三方语音识别服务，不上传音频或识别结果到我们的服务器，不保留任何原始音频
- 识别结果文本仅在设备本地写回你正在编辑的条目，或作为草稿预填进快速笔记/日程编辑器
若你不希望使用该功能，可在 iOS 系统设置中关闭”麦克风/语音识别”权限，或不主动触发功能入口。
2.4 推送
APNs Token 用于推送我们发出的通知内容。推送内容生成在我们的后端（不经过第三方），通过 Apple 的 APNs 服务分发。
2.5 统计与改进
当前版本未启用任何匿名使用统计、行为分析、或第三方广告 / 统计 SDK。Apple 在 App Store Connect 后台聚合的安装量 / 崩溃率统计由 Apple 提供，受 Apple 隐私政策管辖。
2.6 系统日历（可选功能）
TimeRing 提供两个相互独立、均默认关闭、需你主动开启的系统日历功能；两者都需要你在系统弹窗中授予日历权限：
-
同步到系统日历（写入）：开启后，TimeRing 会在系统「日历」中创建一个名为「时光环」的专属日历，把你在 TimeRing 内创建的日程与纪念日写入其中，方便你在系统「日历」App 里查看。TimeRing 只写入自己创建的这个日历，绝不修改或删除你的其它日历事件；关闭该功能时会清除已写入的事件。
-
从系统日历导入（读取）：开启并勾选你指定的日历后，TimeRing 会读取这些日历的事件，在 App 内以只读镜像与你自己的日程一起展示。说明：
- 这些镜像仅保存在你的本地设备、不上传服务器；作为本地数据，它可能被包含在你的设备备份（如 iCloud / iTunes 备份）中。
- TimeRing 绝不修改或删除你系统日历中的原始事件。
- 你若在 App 内编辑某条镜像，它会”脱钩”成为你自己的一条日程（从此与系统日历各自独立）；此后它作为普通日程，按 §2.2 的云端同步规则处理——即在你开启云同步（订阅）时会随之同步到云端。
- 关闭该功能、或取消勾选某个日历，对应的镜像会从 App 中消失。
你可随时在 iOS 系统设置中关闭日历权限，或在 TimeRing 设置中关闭上述功能。
2.7 连接 Google 账号读取日历（可选功能）
该功能默认关闭、需你主动连接。连接后：
- 你通过 Google 官方 OAuth 授权，TimeRing 以只读方式访问你的 Google 日历（权限范围
calendar.readonly、calendar.events.readonly）——只读取、绝不修改或删除你的任何 Google 日历或事件。 - 用途单一：只要事件仍是 Google 日历镜像，就仅用于在 App 内的聚合日历视图（设置 →「同步与集成」→「日历」）展示给你本人看。
- 存储：Google 日历镜像只缓存在你的设备本地，不上传到 TimeRing 的服务器、不与任何第三方共享，也不用于广告或人群画像。你若主动把某条镜像转换为自己的 TimeRing 日程（例如编辑它），转换后的日程不再是 Google 日历镜像，而是按 §2.2 的普通内容云端同步规则处理；在你启用云同步时，该日程可以上传到 TimeRing 的服务器。
- 撤销：你可随时在 App 内断开连接（删除该日历源），或在 Google 账号的”第三方访问”设置 中移除对 TimeRing 的授权。
- TimeRing 对从 Google API 获取的信息的使用与传输，遵守 Google API Services User Data Policy，包括其中的 Limited Use（有限使用）要求。
2.8 连接 Microsoft 账号读取日历（可选功能）
该功能默认关闭、需你主动连接。连接后：
- 你通过 Microsoft 官方 OAuth 授权，TimeRing 申请
Calendars.Read委托权限——只读取、绝不修改或删除你的任何 Microsoft 日历或事件。 - 用途单一：只要事件仍是 Microsoft 日历镜像，就仅用于在 App 内的聚合日历视图展示给你本人看。
- 存储：镜像只缓存在你的设备本地；用于维持连接的 refresh token 保存在操作系统的安全存储（钥匙串 / Keystore）中。镜像与 token 都不上传到 TimeRing 的服务器；token 仅在本功能需要时发送给 Microsoft 的 OAuth / Graph 服务，不与任何其他第三方共享，也不用于广告或人群画像。你若主动把某条镜像转换为自己的 TimeRing 日程（例如编辑它），转换后的日程不再是镜像，按 §2.2 处理。
- 断开：你可随时在 App 内断开连接，这会删除本机的 Microsoft 日历镜像、缓存与本地保存的 refresh token。在 TimeRing 内断开不会远程撤销你 Microsoft 账号中的授权，你可另行在 Microsoft 账号的应用权限设置中撤销。
2.9 连接 CalDAV 日历或日历订阅链接（可选功能）
该功能默认关闭、需你主动添加。TimeRing 支持通过标准协议连接第三方日历，包括飞书、钉钉、iCloud 及其他提供 CalDAV 服务的日历，也支持添加 iCalendar（.ics）订阅链接。添加后：
- TimeRing 以只读方式从你指定的服务地址或订阅链接获取日历与事件——只读取、绝不修改或删除源端的任何数据。
- 用途单一：只要事件仍是订阅镜像，就仅用于在 App 内的聚合日历视图展示给你本人看。你若主动把某条镜像转换为自己的 TimeRing 日程，转换后的日程按 §2.2 处理。
- 凭据：CalDAV 所需的服务地址、账号与应用专用密码，以及含私密参数的订阅链接，保存在操作系统的安全存储（钥匙串 / Keystore）中，仅在向该服务发起请求时使用；它们不上传到 TimeRing 的服务器，也不写入日志或导出数据。
- 直连：上述请求由你的设备直接发往对应的日历服务，不经过 TimeRing 的服务器。
- 移除：你可随时在 App 内移除该来源，这会删除本机对应的镜像、缓存与已保存的凭据。
关于 §2.7–§2.9 的共同说明：这三类连接不需要系统日历权限，只需网络；它们与 §2.6 的系统日历功能相互独立。三者缓存在本机的镜像都属于本地数据，与你自己的日程一样，可能被包含在你的设备备份（如 iCloud / iTunes 备份）中；这些镜像不上传到 TimeRing 的服务器，也不参与 §2.2 的云端同步。
三、我们与谁共享信息
我们不会为了商业目的向任何第三方出售、出租或共享你的个人信息。以下情形除外：
- Apple：订阅/买断订单校验、APNs 推送、iCloud 同步（必要的第三方）
- 腾讯云：作为后端基础设施提供方（短信验证码下发、对象存储 COS 存放用户附件），数据节点位于中国境内（华东上海可用区）
- Google：当你连接 Google 日历时，由你的设备通过 Google Calendar API 读取（见 §2.7）
- Microsoft：当你连接 Microsoft 日历时，由你的设备通过 Microsoft 账号 OAuth 与 Microsoft Graph 读取（见 §2.8）
- 你所连接的日历服务商：当你添加 CalDAV 日历或订阅链接时（如飞书、钉钉、iCloud 或其他 CalDAV / ICS 服务），请求由你的设备直接发往该服务商（见 §2.9）
- 法律义务：遵守法院、政府监管部门的合法要求
其中第 3–5 项的日历数据不经过我们的服务器，仅在你的设备与对应服务商之间传输。
四、存储期限
| 数据类型 | 保留期 |
|---|---|
| 账号基本信息（手机号） | 直到你主动注销账号 |
| 日程/任务/笔记/纪念日 | 直到你主动删除或注销账号 |
| APNs Token | 直到设备登出或 Token 失效 |
| 订阅/买断订单信息（我方留存部分） | 账号注销时一并删除；原始购买凭证由 Apple 控制，可在你的 Apple ID 购买记录中长期查阅 |
| 崩溃日志 | 当前版本未单独收集崩溃日志；仅在你主动通过联系邮箱反馈问题时，由你提供的截图或日志构成留存材料，处理完毕后及时删除 |
| 第三方日历镜像与连接凭据（§2.7–§2.9） | 镜像只保存在你的设备本地；连接凭据保存在操作系统安全存储中，直到你在该设备上断开连接、移除来源或注销账号。卸载 App 会删除镜像缓存，但部分系统（如 iOS）可能继续保留安全存储中的凭据；我们的服务器上不留存 |
账号注销后我们会在 30 个工作日内完成删除/匿名化；法律法规要求保存的除外。
五、数据安全
- 传输层：所有客户端与后端通信均走 HTTPS / WSS（TLS 1.2+）
- 存储层：数据库连接启用加密；敏感字段（如验证码）使用一次性 hash
- 访问控制：后端使用 JWT 访问令牌，刷新令牌按设备隔离；
/webhooks/apple/notifications使用 Apple JWS 签名校验防伪造 - 员工访问：仅运营者本人（青岛市即墨区极夜软件工作室）具备后台数据访问权限；不存在其他员工或合作方访问
尽管我们尽力保护，但互联网传输不存在”100% 安全”的技术方案。一旦发生个人信息安全事件，我们会根据《个人信息保护法》规定的期限和方式告知你。
六、你的权利
作为个人信息主体，你对自己的信息享有以下权利：
- 查阅 / 复制：你可以在 App 内”设置 → 数据导入导出”功能将你的日程、任务、笔记、纪念日导出为 iCal / Excel / PDF 格式（图片附件需在 App 内逐条查看保存）
- 更正：在 App 内直接编辑即可；对无法编辑的基础信息请联系我们
- 删除：删除单条记录在 App 内完成；全量清除可通过”设置 → 账号 → 注销”
- 撤回同意：你可以随时在 iOS 系统设置中关闭推送、麦克风、HealthKit 等权限；关闭后相关功能将不可用
- 投诉：可通过 §九 中的联系方式向我们投诉，或依法向国家互联网信息办公室等监管机构投诉
七、未成年人保护
我们的服务面向年满 14 周岁的用户。若你是 14 周岁以下的未成年人，请勿使用本应用；若你是 14 至 18 周岁的未成年人，请在监护人陪同下阅读本政策并在取得监护人同意后使用本应用。
若我们发现在未取得可证实的监护人同意情况下收集了不满 14 周岁儿童的个人信息，将立即删除相关信息。
八、政策变更
本政策可能因业务调整、法律法规变更等原因修订。重大变更将在应用启动时通过显著弹窗告知，并要求你重新同意；非重大变更通过版本更新说明告知。历史版本可在本文件的 Git 历史中查看。
九、联系我们
如对本政策有任何疑问、意见或投诉，请通过以下方式联系：
- 邮箱：hahajiukanjian0911@gmail.com
- 所在地：山东省青岛市即墨区
我们会在收到后 15 个工作日内 回复。
附录 A｜变更记录
| 版本 | 日期 | 变更摘要 |
|---|---|---|
| v1.0 | 2026-05-15 | 首次发布。覆盖手机号 OTP 登录、Apple IAP 订阅与买断、附件 COS 存储、APNs 静默推送、设备唯一标识、App 内一键注销账号（注销时一并删除订阅/买断订单信息）、语音输入（基于 Apple Speech 框架，音频不上传）。未接入第三方统计/广告/崩溃 SDK。 |
| v1.1 | 2026-06-17 | 新增系统日历功能披露（§1.4 / §2.6）：①同步到系统日历（把你的日程/纪念日写入「时光环」专属日历，不动你的其它日历）；②从系统日历导入（读取你勾选日历的事件，做本地只读镜像展示）。镜像仅存本地、不上传服务器（可能随设备备份）；你脱钩编辑过的事件升格为普通日程后按 §2.2 既有云同步规则处理。 |
| v1.2 | 2026-06-26 | 新增 §2.7「连接 Google 账号读取日历」：经 OAuth 以只读方式（calendar.readonly / calendar.events.readonly）读取你的 Google 日历；镜像状态仅用于 App 内聚合展示、只缓存本地、不与第三方共享、不用于广告；你主动将镜像转换为自己的普通日程后按 §2.2 处理；遵守 Google API Services User Data Policy（含 Limited Use）。 |
| v1.3 | 2026-07-30 | 补齐其余第三方日历连接方式的披露：新增 §2.8「连接 Microsoft 账号读取日历」（Calendars.Read 只读授权，refresh token 存操作系统安全存储）与 §2.9「连接 CalDAV 日历或日历订阅链接」（覆盖飞书 / 钉钉 / iCloud / 其他 CalDAV 服务 / .ics 订阅链接；服务地址、应用专用密码与私密链接存操作系统安全存储，请求由设备直连服务商）。补充 §2.7–§2.9 共同说明（不需系统日历权限、镜像可能随设备备份、不参与云端同步），§三 增列 Google / Microsoft / 你所连接的日历服务商并说明其数据不经过我们的服务器，§四 增列镜像与凭据的留存边界。§2.7 用途表述同步为当前入口名称（设置 → 同步与集成 → 日历）。 |