隱私權政策

適用範圍

本說明適用於時之旅目前版本的文字與照片記錄、未來信、靜靜保存、iCloud 同步、鑰匙檔案、本地提醒、訂閱與外觀功能。

記錄內容與加密

正文、照片、縮圖、收好狀態、信紙樣式和靜靜保存選擇在裝置上使用 AES-256-GCM 加密，儲存到本機和目前帳號的 CloudKit 私有資料庫。閱讀時在裝置上解密。開發者不營運內容伺服器，不接收你的解密鑰匙、鑰匙檔案密碼或明文記錄。

加入聲音

聲音是文字或照片記錄的補充，不會自動開始錄音。僅在你主動開始錄音時申請或使用麥克風，不進行語音轉寫或聲紋辨識。已保存的聲音在本機加密，隨記錄同步至你自己的 iCloud 保險庫；未來信抵達前不能播放。保存前可移除錄音草稿；保存後，聲音隨所屬記錄一併刪除。開發者無法遠端讀取或播放私人錄音。錄製他人聲音前，請取得必要的授權和同意；未成年人應由監護人指導使用。

地點

地點僅是你自行填寫的一行文字，最多 80 字；不申請定位權限，也不讀取裝置位置。填寫的地點隨所屬記錄在本機加密並同步，未抵達的未來信不會顯示地點。請勿填寫非必要的家庭住址或他人私人位置。

同步所需的中繼資料

為識別、排序和同步記錄，CloudKit 中另存有記錄與附件標識、類型、建立時間、時區、抵達時間、鑰匙標識及雲端修改資訊等中繼資料。這些資訊並非全部包含在應用加密的正文中。保險庫身份與重設標記用於核對鑰匙、防止錯誤覆蓋和舊裝置重新上傳；本機還儲存待同步操作及帳號隔離資訊。

鑰匙與鑰匙檔案

解密鑰匙儲存在系統鑰匙圈；在系統允許且已開啟 iCloud 密碼與鑰匙圈時，可由 Apple 同步到你的其他裝置。鑰匙檔案包含受你所設密碼保護的鑰匙，不包含記錄；檔案交由系統檔案儲存界面存到你選擇的位置，該位置可能屬於其他儲存服務。本機離線驗證憑據不含鑰匙，不上傳給開發者，也不隨裝置備份遷移。請勿向客服或他人傳送檔案與密碼。

照片與檔案訪問

照片透過系統照片選擇器匯入，App 只取得你選擇的照片，並儲存處理後的副本。匯入鑰匙檔案時，App 讀取你選定的檔案進行格式、密碼及鑰匙驗證；不會將其內容傳送給開發者。檔案類型篩選之外，還會檢查檔案大小、結構與加密格式。

通知與靜靜保存

通知權限用於裝置本地安排的週年與抵達提醒。通知不包含記錄正文或照片，但可包含年份、記錄數量及抵達提示，系統可能將它們展示在鎖定螢幕或通知中心；內部記錄標識用於打開對應內容。可在系統設定管理通知和預覽。靜靜保存的記錄不參與新的展示與提醒安排；其他裝置在同步到該選擇後生效。

本機偏好與訂閱

主題、回憶卡片與年度回顧風格、兩種記錄各自上次成功使用的信紙等偏好儲存在本機，不作為記錄內容上傳到 iCloud。訂閱由 Apple StoreKit 處理，App 在裝置上驗證交易及有效權益。開發者不接收付款卡號，也不建立購買資訊伺服器。訂閱資訊由 Apple 按其規則處理。

服務與追蹤

本 App 使用 Apple 的 CloudKit、系統鑰匙圈、App Attest、StoreKit 與本地通知服務，相關服務受 Apple 的條款與隱私權政策約束。不整合廣告、跨 App 追蹤或第三方分析 SDK，提醒不經過開發者伺服器。只有你開啟可選的「小東西發現」，並發現第一件小東西後，App 才會聯絡開發者營運的口袋服務，範圍見《小東西發現與資料說明》。你在系統設定中選擇與開發者分享的診斷資訊，可能由 Apple 提供給開發者，用於排查和改進 App；這不提供私人保險庫的存取權限。

保留、同步與刪除

本機儲存加密記錄及待同步操作，以便離線使用。刪除請求先儲存在本機，聯網且帳號驗證成功後同步到 iCloud；其他裝置在同步完成前可能仍有舊副本。卸載 App 不會自動刪除 iCloud 內容、系統鑰匙圈或你另存的鑰匙檔案。逐條刪除所有記錄後，保險庫身份仍會保留。

重設與其他副本

「重設並清空內容」在單獨確認後永久刪除本保險庫的記錄與照片，並返回首次設定。保留不含正文和照片的重設標記，以阻止舊裝置重新上傳已清空內容；其他裝置聯網檢查後清理舊副本。離線裝置、系統備份或手動另存的檔案不會被遠程即時擦除；外部副本需在相應裝置或服務中管理。

你的選擇與帳號

App 不建立獨立註冊帳號。你可以關閉通知、管理 iCloud 空間、刪除記錄、重設保險庫，並在 Apple 系統中管理訂閱。更換 iCloud 帳號會重新核對對應保險庫，鑰匙檔案不能將另一個帳號的私有資料庫遷移過來。靜靜保存改變主動展示與提醒方式，不會刪除內容。

回饋與聯繫

聯絡信箱：timesoria@gmail.com。你主動寄送的郵件由所選郵件服務傳送。回饋時請說明遇到的問題，僅提供排查所需的最少資訊；寄送前檢查文字和截圖，不要包含私人記錄、照片、鑰匙檔案或密碼。首次開啟保險庫之前也可以查看說明和聯絡資訊。

小東西發現與資料說明

誰處理這些資料：時之旅開發者提供並營運此可選功能，聯絡信箱：timesoria@gmail.com。口袋服務部署在中國大陸的伺服器上，只用於判斷能否發現小東西，以及發放和回復小東西。不開啟小東西發現，也可以正常使用日記、未來信和在本機發現的小東西。

本機發現與儲存：首次發現只在本機判斷普通記錄的合格儲存日、未抵達未來信數量、有效造訪及小箭接受發射次數。靜靜儲存和已刪除記錄不參與。小東西及其固定外觀加密儲存；鑰匙檔案僅備份日記鑰匙，不備份口袋。發現後的小東西與必要事實會端對端加密同步至你自己的 iCloud 私人空間；完成情況取決於連線、帳號與同步驗證。單獨持有鑰匙檔案，不能恢復已從 iCloud 清除的小東西。

開啟後會傳送的資料：開啟後，只有在發現第一件小東西並通過裝置驗證後，才會傳送以下彙總，用於判斷能否發現新的小東西：

• 記錄與未來信：數量，儲存與封存的日期摘要（如連續天數、星期、特定日期或時刻），未來信的等待年限與抵達年份；
• 使用情況：有效造訪的次數、日期、時段與間隔，頁面往返和一次造訪中的操作類型，快捷選單與小箭的使用次數和天數；
• 重讀：重讀舊記錄、開啟已抵達未來信的次數、天數和記錄年齡；
• 附件與編輯：照片張數，是否附帶錄音或手動地點標籤，地點標籤的數量與重複使用天數，信紙選擇，以及是否修改過已有記錄；
• 口袋：開啟次數、已獲得的小東西，以及對它們的互動次數與日期。

小東西會分批上線，每類資料只在需要它的小東西上線後才開始統計。未列出的資料不會蒐集；需要新的資料類別時，會先暫停相關功能並重新徵得你的同意。

不會傳送到口袋服務的內容：不傳送正文、正文長度或雜湊、照片、錄音、地點標籤的文字或其雜湊、精確位置、日記識別碼、日記鑰匙或 Apple 帳號識別碼。原有日記加密 iCloud 同步是獨立功能，仍按總隱私政策運作。

身分、連線與外觀：連網時使用口袋專用的隨機身分、Apple 裝置證明（App Attest）和請求時間等必要資料；伺服器可見 IP 位址與請求時間。服務儲存物件與外觀識別碼、取得憑證及多台裝置的外觀合併決定。外觀不依付費、地區或裝置分配，也不追蹤分享對象。小東西不會執行下載的指令碼，也無法讀取日記鑰匙。

保留與刪除：服務只保留目前必要的彙總：連續 12 個月沒有活動會清理行為摘要，已獲得物件的最小記錄和防回退記錄保留到刪除為止。一般錯誤日誌保留 7 天，安全稽核記錄保留 30 天，已刪除的資料最長 30 天內從備份中移除。關閉小東西發現會停止傳送，已獲得的小東西會保留，不會自動刪除服務中的記錄。使用「重置並清空內容」會同時清空口袋裡的小東西並要求刪除口袋服務中的記錄，仍未完成的雲端清理會如實提示；小東西發現的設定保持不變。

你的選擇：小東西發現預設關閉，可隨時在「時旅口袋設定」中開啟或關閉。這個選擇會透過 Apple 的 iCloud 鍵值儲存同步至使用同一 Apple 帳號的裝置：在一台裝置上開啟或關閉，其他裝置隨之開啟或關閉；不會因訂閱而開啟。發現第一件小東西之前不會聯絡口袋服務。暫停或關閉期間不繼續專用統計，重新開啟時也不補傳。開啟時可選擇是否計入開啟前已有記錄的數量與日期，只由作出選擇的那台裝置彙總一次。隱藏入口只影響顯示。已作出的有效選擇不必在首次發現時重複確認；處理範圍發生實質變化時，會先暫停相關功能並重新告知。

經營者與必要處理

本 App 由位於中國的時之旅開發者提供，下文簡稱「時之旅開發者」。聯絡信箱：timesoria@gmail.com。App 為你主動使用的記錄、加密、檢索、跨裝置同步、鑰匙回復與購買驗證處理必要資訊。你另行開啟可選的「小東西發現」後，App 還會依《小東西發現與資料說明》向開發者營運的口袋服務傳送其中列出的彙總。系統通知、照片選擇與訂閱購買分別在使用相應功能時操作，不授權通知不影響記錄。開發者沒有私人保險庫遠端管理後台；裝置上的處理能力不代表開發者能存取你的私人內容。

首次確認與本機憑據

首次使用時，由你或合法監護人閱讀並明確確認相關說明。App 在本機保存確認時間、語言、協議與使用條件確認及對應文案摘要等必要憑據，用於記住已完成的確認；例行 App 更新不會要求重複確認。不記錄年齡層，不收集出生日期、身分證或監護人聯絡方式，也不向開發者上傳該憑據。憑據保留至後續確認替換或系統移除相應 App 資料；其他裝置分別確認。系統通知、照片與購買仍在使用相應功能時分別操作。關於隱私選擇或法定權利，可聯絡 timesoria@gmail.com；聯絡信箱不能代操作私人保險庫。你可在「協議與隱私」頁面撤回本機隱私同意。撤回後停止正常功能及新的主動同步安排，保留必要的既往確認及撤回憑據，不自動清空記錄或取消訂閱；已發出的請求可能仍完成，其他裝置需分別管理。撤回不影響此前基於同意已合法完成的處理。請在撤回前保留需要的內容並處理雲端刪除。

敏感內容與未成年人

應用程式僅向年滿 14 歲的使用者提供服務，14 至 17 歲須由合法監護人閱讀隱私權政策、確認必要資訊處理並指導使用；未滿 14 歲不能使用。應用程式不要求身分證件、金融帳戶、健康、生物辨識或精確位置資料，也不主動分析記錄來辨識這些資訊。請勿輸入非必要的本人或他人敏感資料，或將其傳送給開發者。記錄的查看、修改和刪除須在自己的裝置與帳號中操作；監護人應協助管理，開發者不能透過郵件代為查詢或刪除私人記錄。如發現不符合年齡要求的使用，或開發者實際收到的支援資訊中包含兒童個人資訊，請聯絡 timesoria@gmail.com 取得停止使用、裝置端資料管理說明，或依法請求處理開發者實際持有的資訊；請勿附帶私人記錄、證件或鑰匙。

儲存期間與權利請求

私人記錄保存在裝置及對應 Apple 帳號的 CloudKit 私有資料庫，依你在 App 中的操作管理；待同步操作保留至完成或依 App 規則清理，必要的重置標記用於防止舊內容回流。鑰匙及系統備份由相應裝置和服務管理，解除安裝不保證清除所有副本。本機確認憑據保留至替換或系統移除。開啟小東西發現後，口袋服務中的隨機身分與彙總依《小東西發現與資料說明》保留和刪除。開發者實際收到的支援郵件、主動回饋和相關診斷，僅用於處理問題、維護安全及依法處理爭議，不用於行銷；僅保留達成這些目的所需的最短時間或法律規定期間。對此類開發者實際管理的資訊，可透過電子郵件提出查閱、更正、刪除或解釋等請求；處理前可能核實必要資訊，需依法保留或技術上無法直接辦理時會說明原因和可用方式。該管道不是私人保險庫的遠端代查、代改、代刪入口，不要求交出鑰匙或密碼。

本機診斷資訊

為排查問題，應用程式在本機記錄最近 14 天的執行資訊：操作步驟、狀態、錯誤類型和數量，以及應用程式版本、系統版本和機型代碼。其中不含記錄正文、照片、聲音、鑰匙、密碼、帳號或裝置名稱；它不會自動上傳，也不隨系統備份。只有你在「匯出診斷資訊」頁面查看全部內容後，自己選擇透過郵件或其他方式傳送，開發者才會收到。你可以隨時在該頁面清除這些記錄。開發者收到的診斷資訊，按上文支援資訊的規則使用和保存。

Apple 服務與地區差異

CloudKit、系統鑰匙圈、StoreKit、系統診斷與郵件服務各自依其規則處理相關資訊。服務提供主體、伺服器位置及備份保留方式可能隨 Apple 帳號地區與服務安排改變；本政策不承諾所有資料僅存中國大陸。Apple 帳號及 Apple 實際管理的資訊應透過其相應設定和隱私管道管理。App 如增加新的資訊用途或涉及依法需要另行告知、評估或取得單獨同意的處理，將依適用要求辦理，不以現有確認代替新用途所需程序。