隐私政策

适用范围

本说明适用于时之旅当前版本的文字与照片记录、未来信、静静保存、iCloud 同步、钥匙文件、本地提醒、订阅与外观功能。

记录内容与加密

正文、照片、缩略图、收好状态、信纸样式和静静保存选择在设备上使用 AES-256-GCM 加密，保存到本机和当前账号的 CloudKit 私有数据库。阅读时在设备上解密。开发者不运营内容服务器，不接收你的解密钥匙、钥匙文件密码或明文记录。

添加声音

声音是文字或照片记录的补充，不会自动开始录音。仅在你主动开始录音时申请或使用麦克风，不进行语音转写或声纹识别。已保存的声音在本机加密，随记录同步至你自己的 iCloud 保险库；未来信抵达前不能播放。保存前可移除录音草稿；保存后，声音随所属记录一并删除。开发者无法远程读取或播放私人录音。录制他人声音前，请取得必要的授权和同意；未成年人应由监护人指导使用。

地点

地点仅是你自行填写的一行文字，最多 80 字；不申请定位权限，也不读取设备位置。填写的地点随所属记录在本机加密并同步，未抵达的未来信不会展示地点。请勿填写非必要的家庭住址或他人私人位置。

同步所需的元数据

为识别、排序和同步记录，CloudKit 中另存有记录与附件标识、类型、创建时间、时区、抵达时间、钥匙标识及云端修改信息等元数据。这些信息并非全部包含在应用加密的正文中。保险库身份与重置标记用于核对钥匙、防止错误覆盖和旧设备重新上传；本机还保存待同步操作及账号隔离信息。

钥匙与钥匙文件

解密钥匙保存在系统钥匙串；在系统允许且已开启 iCloud 密码与钥匙串时，可由 Apple 同步到你的其他设备。钥匙文件包含受你所设密码保护的钥匙，不包含记录；文件交由系统文件保存界面存到你选择的位置，该位置可能属于其他储存服务。本机离线验证凭据不含钥匙，不上传给开发者，也不随设备备份迁移。请勿向客服或他人发送文件与密码。

照片与文件访问

照片通过系统照片选择器导入，App 只取得你选择的照片，并保存处理后的副本。导入钥匙文件时，App 读取你选定的文件进行格式、密码及钥匙验证；不会将其内容发送给开发者。文件类型筛选之外，还会检查文件大小、结构与加密格式。

通知与静静保存

通知权限用于设备本地安排的周年与抵达提醒。通知不包含记录正文或照片，但可包含年份、记录数量及抵达提示，系统可能将它们展示在锁定屏幕或通知中心；内部记录标识用于打开对应内容。可在系统设置管理通知和预览。静静保存的记录不参与新的展示与提醒安排；其他设备在同步到该选择后生效。

本机偏好与订阅

主题、回忆卡片与年度回顾风格、两种记录各自上次成功使用的信纸等偏好保存在本机，不作为记录内容上传到 iCloud。订阅由 Apple StoreKit 处理，App 在设备上验证交易及有效权益。开发者不接收付款卡号，也不建立购买信息服务器。订阅信息由 Apple 按其规则处理。

服务与追踪

本应用使用 Apple 的 CloudKit、系统钥匙串、App Attest、StoreKit 与本地通知服务，相关服务受 Apple 的条款与隐私政策约束。不集成广告、跨应用追踪或第三方分析 SDK，提醒不经过开发者服务器。只有你开启可选的“小东西发现”，并发现第一件小东西后，应用才会联系开发者运营的口袋服务，范围见《小东西发现与数据说明》。你在系统设置中选择与开发者共享的诊断信息，可能由 Apple 提供给开发者，用于排查和改进应用；这不提供私人保险库的访问权限。

保留、同步与删除

本机保存加密记录及待同步操作，以便离线使用。删除请求先保存在本机，联网且账号验证成功后同步到 iCloud；其他设备在同步完成前可能仍有旧副本。卸载 App 不会自动删除 iCloud 内容、系统钥匙串或你另存的钥匙文件。逐条删除所有记录后，保险库身份仍会保留。

重置与其他副本

「重置并清空内容」在单独确认后永久删除本保险库的记录与照片，并返回首次设置。保留不含正文和照片的重置标记，以阻止旧设备重新上传已清空内容；其他设备联网检查后清理旧副本。离线设备、系统备份或手动另存的文件不会被远程即时擦除；外部副本需在相应设备或服务中管理。

你的选择与账号

App 不创建独立注册账号。你可以关闭通知、管理 iCloud 空间、删除记录、重置保险库，并在 Apple 系统中管理订阅。更换 iCloud 账号会重新核对对应保险库，钥匙文件不能将另一个账号的私有数据库迁移过来。静静保存改变主动展示与提醒方式，不会删除内容。

反馈与联系

联系邮箱：timesoria@gmail.com。你主动发送的邮件由所选邮件服务传送。反馈时请说明遇到的问题，仅提供排查所需的最少信息；发送前检查文字和截图，不要包含私人记录、照片、钥匙文件或密码。首次打开保险库之前也可以查看帮助和联系信息。

小东西发现与数据说明

谁处理这些数据：时之旅开发者提供并运营此可选功能，联系邮箱：timesoria@gmail.com。口袋服务部署在中国大陆的服务器上，只用于判断能否发现小东西，以及发放和恢复小东西。不开启小东西发现，也可以正常使用日记、未来信和在本机发现的小东西。

本机发现与保存：首次发现只在本机判断普通记录的合格保存日、未抵达未来信数量、有效访问及小箭接受发射次数。静静保存和已删除记录不参与。小东西及其固定外观加密保存；钥匙文件仅备份日记钥匙，不备份口袋。发现后的小东西与必要事实会端到端加密同步到你自己的 iCloud 私有空间；完成情况取决于联网、账号与同步校验。单独持有钥匙文件，不能恢复已经从 iCloud 清除的小东西。

开启后会发送的数据：开启后，只有在发现第一件小东西并通过设备校验后，才会发送以下汇总，用于判断能否发现新的小东西：

• 记录与未来信：数量，保存与封存的日期摘要（如连续天数、星期、特定日期或时刻），未来信的等待年限与抵达年份；
• 使用情况：有效访问的次数、日期、时段与间隔，页面往返和一次访问中的操作类型，快捷菜单与小箭的使用次数和天数；
• 重读：重读旧记录、打开已抵达未来信的次数、天数和记录年龄；
• 附件与编辑：照片张数，是否附带录音或手动地点标签，地点标签的数量与重复使用天数，信纸选择，以及是否修改过已有记录；
• 口袋：打开次数、已获得的小东西，以及对它们的互动次数与日期。

小东西会分批上线，每类数据只在需要它的小东西上线后才开始统计。未列出的数据不会采集；需要新的数据类别时，会先暂停相关功能并重新征得你的同意。

不会发送到口袋服务的内容：不发送正文、正文长度或哈希、照片、录音、地点标签的文字或其哈希、精确位置、日记标识、日记钥匙或 Apple 账号标识。原有日记加密 iCloud 同步是独立功能，仍按总隐私政策运行。

身份、联网与外观：联网时使用口袋专用的随机身份、Apple 设备证明（App Attest）和请求时间等必要资料；服务器可见 IP 地址与请求时间。服务保存物件与外观标识、取得凭证及多台设备的外观合并决定。外观不按付费、地区或设备分配，也不追踪分享对象。小东西不会执行下载的脚本，也无法读取日记钥匙。

保留与删除：服务只保留当前必要的汇总：连续 12 个月没有活动会清理行为摘要，已获得物件的最小记录和防回退记录保留到删除为止。普通错误日志保留 7 天，安全审计记录保留 30 天，已删除的数据最长 30 天内从备份中移除。关闭小东西发现会停止发送，已获得的小东西会保留，不会自动删除服务中的记录。使用“重置并清空内容”会同时清空口袋里的小东西并请求删除口袋服务中的记录，仍未完成的云端清理会如实提示；小东西发现的设置保持不变。

你的选择：小东西发现默认关闭，可随时在“时旅口袋设置”中开启或关闭。这个选择会通过 Apple 的 iCloud 键值存储同步到使用同一 Apple 账号的设备：在一台设备上开启或关闭，其他设备随之开启或关闭；不会因订阅而开启。发现第一件小东西之前不会联系口袋服务。暂停或关闭期间不继续专用统计，重新开启时也不补传。开启时可选择是否计入开启前已有记录的数量与日期，只由作出选择的那台设备汇总一次。隐藏入口只影响显示。已作出的有效选择不必在首次发现时重复确认；处理范围发生实质变化时，会先暂停相关功能并重新告知。

经营者与必要处理

本应用由位于中国的时之旅开发者提供，下文简称“时之旅开发者”。联系邮箱：timesoria@gmail.com。应用为你主动使用的记录、加密、检索、跨设备同步、钥匙恢复与购买校验处理必要信息。你另行开启可选的“小东西发现”后，应用还会按《小东西发现与数据说明》向开发者运营的口袋服务发送其中列出的汇总。系统通知、照片选择与订阅购买分别在使用相应功能时操作，不授权通知不影响记录。开发者没有私人保险库远程管理后台；设备上的处理能力不代表开发者能访问你的私人内容。

首次确认与本机凭据

首次使用时，由你或合法监护人阅读并明确确认相关说明。应用在本机保存确认时间、语言、协议与使用条件确认及对应文案摘要等必要凭据，用于记住已完成的确认；常规应用更新不会要求重复确认。不记录年龄段，不采集出生日期、身份证或监护人联系方式，也不向开发者上传该凭据。凭据保留至后续确认替换或系统移除相应应用数据；其他设备分别确认。系统通知、照片与购买仍在使用相应功能时分别操作。关于隐私选择或法定权利，可联系 timesoria@gmail.com；联系邮箱不能代操作私人保险库。你可在“协议与隐私”页面撤回本机隐私同意。撤回后停止正常功能及新的主动同步安排，保留必要的既往确认及撤回凭据，不自动清空记录或取消订阅；已发出的请求可能仍完成，其他设备需分别管理。撤回不影响此前基于同意已合法完成的处理。请在撤回前保留需要的内容并处理云端删除。

敏感内容与未成年人

应用仅向年满 14 周岁的使用者提供服务，14 至 17 周岁须由合法监护人阅读隐私政策、确认必要信息处理并指导使用；不满 14 周岁不能使用。应用不要求身份证件、金融账户、健康、生物识别或精确位置资料，也不主动分析记录来识别这些信息。请勿输入非必要的本人或他人敏感资料，或将其发送给开发者。记录的查看、修改和删除须在自己的设备与账号中操作；监护人应协助管理，开发者不能通过邮件代为查询或删除私人记录。如发现不符合年龄要求的使用，或开发者实际收到的支持信息中包含儿童个人信息，请联系 timesoria@gmail.com 获取停止使用、设备端资料管理说明，或依法请求处理开发者实际持有的信息；请勿附带私人记录、证件或钥匙。

保存期限与权利请求

私人记录保存在设备及对应 Apple 账号的 CloudKit 私有数据库，按你在应用中的操作管理；待同步操作保留至完成或按应用规则清理，必要的重置标记用于防止旧内容回流。钥匙及系统备份由相应设备和服务管理，卸载不保证清除所有副本。本机确认凭据保留至替换或系统移除。开启小东西发现后，口袋服务中的随机身份与汇总按《小东西发现与数据说明》保留和删除。开发者实际收到的支持邮件、主动反馈和相关诊断，仅用于处理问题、维护安全及依法处理争议，不用于营销；仅保留实现这些目的所需的最短时间或法律规定期限。对此类开发者实际管理的信息，可邮件提出查阅、更正、删除或解释等请求；处理前可能核实必要信息，需依法保留或技术上无法直接办理时会说明原因和可用方式。该渠道不是私人保险库的远程代查、代改、代删入口，不要求交出钥匙或密码。

本机诊断信息

为排查问题，应用在本机记录最近 14 天的运行信息：操作步骤、状态、错误类型和数量，以及应用版本、系统版本和机型代码。其中不含记录正文、照片、声音、钥匙、密码、账号或设备名称；它不会自动上传，也不随系统备份。只有你在“导出诊断信息”页面查看全部内容后，自己选择通过邮件或其他方式发送，开发者才会收到。你可以随时在该页面清除这些记录。开发者收到的诊断信息，按上文支持信息的规则使用和保存。

Apple 服务与地区差异

CloudKit、系统钥匙串、StoreKit、系统诊断与邮件服务各自按其规则处理相关信息。服务提供主体、服务器位置及备份保留方式可能随 Apple 账号地区与服务安排变化；本政策不承诺所有数据仅存中国大陆。Apple 账号及 Apple 实际管理的信息应通过其相应设置和隐私渠道管理。应用如增加新的信息用途或涉及依法需要另行告知、评估或取得单独同意的处理，将按适用要求办理，不以现有确认代替新用途所需手续。