Privacy Policy

局儿隐私政策

本政策适用于局儿 iOS App，说明移动端、后台接口、账号登录、手动加密云备份、订阅和反馈流程中的数据边界。

更新日期：2026-07-23

本地优先

iOS App 默认把用户主动记录的文本、待确认草稿、已确认人物和关系信息、待办、会前简报材料、设置和本地导出结果保存在本机。
RedactionMap、原文身份映射、Keychain 中的加密材料和本地数据库均属于本机敏感数据，不作为普通日志、普通导出包或客服材料上传。
首次使用 Apple 登录后，当前设备上的本机资料不会自动上传、合并到账号或开启云备份；云备份和同步需要用户单独主动开启。
用户可在 App 的设置与备份入口执行本地清空；清空后首页、搜索、简报和导出不应继续显示旧数据。

账号、登录和设备

局儿支持继续本机使用；登录用于云备份、跨设备同步和账号资料，不是本机记录、整理、查看或 Apple App 内购买的前置条件。
局儿使用 Apple 登录作为账号登录方式，同时始终提供继续本机使用；用户不登录也可以使用本机基础功能和 Apple App 内购买。
登录会向局儿后台发送必要的授权结果、昵称或显示名、客户端设备标识、设备名、系统版本和 App 版本，用于账号创建、会话、权限、服务诊断和安全审计。
Apple sub、邮箱等第三方身份字段只保存不可逆哈希或低敏派生值；identity token、authorization code、nonce、access token、refresh token 和 secret 不作为普通用户资料保存。
用户编辑账号资料时，会同步昵称、职位和公司；上传头像时，会上传用户主动选择的图片。
Apple 登录配置不可用时，登录能力会失败关闭，但继续本机使用不受影响。

整理和简报

iOS 只将经过本地脱敏后的文本发送到局儿自有后台结构化接口，用于生成待确认草稿。
后台结构化结果必须保持为 pending draft，只有用户在 App 内确认后才会进入正式数据。
会前简报和后台评分只使用已确认资料、脱敏摘要和必要来源标识；不会上传 RedactionMap、原文身份映射、API Key、完整 prompt、debug log 或普通导出原包。

手动加密云备份

云备份默认关闭；开启前不会自动上传本机记录。
手动云备份只上传由本机 Keychain key 加密后的密文快照、备份摘要和必要元数据，服务端不持有解密密钥。
当前正式版不承诺跨设备同步、自动备份、多设备实时同步或服务端代解密。

订阅和支付

Apple App 内购买、恢复购买和管理订阅不要求先登录局儿账号。
购买、续订、退款、恢复购买和权益判断会保留必要的 Apple 交易 ID、商品、时间、状态、权益和审计记录，用于账务、退款、争议处理、反欺诈和恢复购买。
注销局儿账号不会自动取消 Apple 订阅；如需停止扣费，请在 Apple 订阅管理中取消。注销后仍可能为退款、税务、争议、反欺诈或法律要求保留最小必要支付和审计记录。

通知和公共信息

1.0 正式版可展示 App 内站内消息和本地待处理状态，但不申请、不宣传系统推送能力。
1.0 正式版不展示真实公共信息刷新入口，不把外部公共信息源作为正式开放能力。
如果后续启用 APNs、真实公共信息源或新的第三方数据来源，本政策、App 内说明和 App Store Connect 隐私声明会同步更新。

反馈和支持

反馈内容会发送给局儿后台或支持渠道，用于定位问题、回复支持请求和控制上线风险。
反馈不要求提交真实原文、真实身份、真实客户、人名、公司名或完整关系链。
截图或描述中如包含敏感内容，提交前应遮挡或改写为匿名描述。
反馈不会用于创建未经用户确认的正式关系数据。

用户控制

用户可以停止使用 App、删除 App、退出当前账号、在 App 内清空本地数据，并删除已上传的云备份。
登录用户可以在 App 内发起账号注销；注销会撤销云端会话、解绑第三方登录身份、匿名化账号资料，并处理云端备份、头像、缓存等账号相关数据。
注销账号不会自动清空当前设备上的本机资料；如需删除本机记录，请在 App 内数据管理入口单独操作。
如果 Apple 登录没有可用的撤销凭证，局儿会完成账号注销，并提示用户在 Apple ID 设置中手动撤销对局儿的授权。
由于退款、账务、反欺诈、安全审计或法律要求，部分最小必要记录可能按规定保留；本政策不承诺所有数据立即物理删除。
如发现数据丢失、清空失败、敏感信息泄露、无法登录或无法退出账号，应按支持页规则提交匿名高优先级反馈。
如需了解或处理账号相关数据，请通过支持页列出的渠道联系。