土拨鼠 App 隐私政策

本政策适用于我们开发的全部「土拨鼠」系列应用（合称“本系列应用”）。本系列应用都是轻量工具：记账、习惯打卡与经期记录。我们只收集让账号登录、云同步与提醒正常工作所必需的信息，不投放广告、不做用户画像、不出售或出租任何个人数据。下面说明我们收集什么、为什么收集、存在哪里，以及你如何删除它们。若某一款应用只提供部分功能，与其无关的条款不适用。

1. 我们收集的信息

表中「全部」指上面列出的三款应用。

2. 我们不收集的内容

• 不收集位置、通讯录、日历、照片与视频文件本身；
• 不读取 Apple「健康」App 中的健康或临床数据；
• 不收集广告标识符（IDFA），不接入任何第三方广告或分析 SDK，不使用 Cookie 追踪你在其他 App 或网站上的行为；
• 不做用户画像，不把你的数据用于训练任何模型。

3. 系统权限及其用途

• 相机 / 相册（仅记账）：只在你主动选择「拍一张记账」时使用；照片在你的手机上完成文字识别（OCR），照片本身不会上传，识别出的文字可能用于自动填写金额与分类。
• 麦克风与语音识别（仅记账）：只在你主动选择「说一句记账」时使用；语音通过 Apple 的语音识别服务转成文字，用于自动填写。
• 面容 ID（仅经期）：用于应用锁。面容数据由系统保管，我们既不读取也不上传。
• 通知（记账 · 打卡 · 经期）：仅用于你自行开启的本地提醒（预算提醒、习惯打卡、经期来临与每日记录等），由系统本地通知完成，可随时在 iPhone「设置 → 通知」中关闭。

4. 信息的使用目的

• 提供各应用的核心功能：记账与统计、习惯打卡与连续天数、经期记录与周期预测；
• 创建并验证账号，让你在登录后把数据同步到云端、换机不丢；
• 按你设置的时间发送本地提醒；
• 排查故障、保障账号与数据安全。

5. 存储与安全

• 数据默认保存在你的设备本地（应用沙盒内）；未登录时不会上传任何内容；
• 登录后，数据同步到我们自建的 OPG 平台（域名 opg.cx.wang，部署于阿里云服务器），按账号隔离，仅能由你本人（或你主动加入的同一账本成员）读写；
• 客户端与服务器之间的全部请求使用 HTTPS 加密；
• 我们采取访问控制、加密传输与密码摘要存储等措施保护数据。但请理解，互联网传输与存储无法做到绝对安全。

6. 共享与第三方

• 同一账本的成员（仅记账）：你邀请加入账本的成员可以看到该账本的记账内容与花销对照；
• Apple：语音识别（记账）、应用分发与系统通知，按 Apple 自身的隐私政策处理；
• 云服务器与数据库服务商：仅在提供上述服务所必需的范围内处理数据；
• 除法律法规要求外，我们不会向任何第三方出售、出租或主动共享你的个人信息。

7. 你的权利

• 查看与更正：在应用内直接查看和修改你的记录、昵称与设置；
• 导出（记账）：我的 → 导出备份文件，可随时导出全部数据；
• 删除：各应用都提供删除入口（见下一节），删除后不可恢复；
• 注销账号：注销后服务器会删除你名下的云端记录、注销账号并注销全部登录状态，本机数据与登录信息一并清除；
• 你也可以通过下方邮箱提出查询、更正或删除请求。

8. 各应用的数据删除方式

通过邮件提出的删除请求，我们会在 15 个工作日内完成处理。

9. 数据保留期限

账号与同步数据在你使用期间保留。注销账号后，云端记录会被删除，账号会被停用并匿名化处理；依法必须留存的运行日志最多保留 90 天。卸载应用会删除本机数据（未同步到云端时即彻底删除）。

10. 未成年人

本系列应用不面向 13 周岁以下儿童，我们不会有意收集儿童的个人信息。若你未满 13 周岁，请在监护人同意和指导下使用；如发现误收集，请通过下方邮箱联系我们删除。

11. 政策更新

本政策可能随功能调整而更新，更新后会修改本页顶部的生效日期；实质变更会在应用内提示。

12. 联系我们

English summary