隐私政策
会音会签 隐私政策
生效日期：2026 年 9 月 29 日 最后更新：2026 年 10 月 26 日
本隐私政策适用于「会音会签」（以下简称「本应用」）iOS 版本，包括本应用主程序、桌面小组件、锁屏实时活动、Apple Watch 应用及其表盘复杂功能。本政策说明我们如何处理你的信息，以及你对自己信息享有的权利。
请在使用本应用前完整阅读本政策。你下载、安装、启动或以任何方式使用本应用，即表示你已阅读、理解并同意本政策所述的信息处理方式。如你不同意本政策的任何内容，请停止使用并卸载本应用。
一、关于我们
本应用由个人开发者独立开发与运营（以下简称「我们」或「开发者」）。
- 开发者名称：尼森与海
- 联系邮箱：
[email protected] - 支持页面：应用内「关于 → 帮助与支持」，或邮件 [email protected]
我们不是《中华人民共和国个人信息保护法》意义上的「个人信息处理者」之外的第三方受托方，也未委托任何第三方代为处理你的个人信息。
二、核心结论（请先读这一段）
本应用是一款纯本地工具。我们不设立账号体系、不运营服务器、不收集、不上传、不出售你的任何内容。
- 你创建的待办、清单、日历事项、文字便签、语音便签、录音文件、专注记录、外观与主题设置，全部只保存在你自己的设备上（应用私有目录与设备钥匙串），不会传输给我们或任何第三方。
- 我们没有你的姓名、手机号、邮箱、通讯录、位置、照片、设备标识符（IDFA/IDFV）或任何可直接识别你身份的信息。
- 办公工具里的「扫描取字」「图片取字」与 PDF 处理全部在你的设备上完成：你拍摄或选择的文件不会被上传，处理结束即从临时目录删除。
- 本应用不含任何广告 SDK、数据分析 SDK、崩溃统计 SDK、行为埋点或跨应用追踪组件，不做用户画像，不进行任何形式的定向推送。
- 因此，本应用不需要「应用跟踪透明度（ATT）」授权，也不存在把数据卖给第三方的情形。
三、我们处理的信息、目的与方式
3.1 仅保存在你设备上的信息
以下信息由你在使用过程中产生，仅存储在你的设备本地，我们无法访问：
| 信息类型 | 具体内容 | 处理目的 | 存储位置 |
|---|---|---|---|
| 待办与清单 | 任务标题、日期、时刻、清单名称、备注、完成状态、优先级、重复规则 | 实现待办管理与提醒 | 设备本地数据库（加密字段） |
| 日历与课程 | 日历事项、课程表、纪念日/倒计时 | 实现日历视图与倒计时 | 设备本地数据库（加密字段） |
| 便签内容 | 文字便签、当日记事、语音便签的波形与时长 | 实现便签与留声功能 | 设备本地数据库与文件目录 |
| 录音文件 | 你通过「语音便签/留声资产」录制的音频文件 | 播放、管理、导出你本人的录音 | 设备本地文件目录 |
| 专注与会话 | 专注计时记录、每日会话统计、连续打卡天数 | 展示专注统计 | 设备本地数据库（加密字段） |
| 设置与外观 | 主题、强调色、字体、小组件与锁屏版式、语言、录音时长等偏好 | 保存你的个性化设置 | 设备本地数据库与偏好存储 |
| 备份文件 | 你主动导出的加密备份文件 | 由你自行保管与迁移数据 | 由你选择的位置（本地/你指定的分享目标） |
3.2 需要系统权限的功能
本应用仅在实现对应功能时申请必要权限；拒绝授权只会使该功能不可用，不影响其他功能。
| 权限 | 用途 | 触发时机 | 拒绝后果 |
|---|---|---|---|
| 麦克风 | 录制语音便签、把你说的话转成待办文字 | 你首次按住录音/语音输入时 | 无法录音与语音输入，可改用键盘输入 |
| 语音识别 | 把语音转写为文字待办 | 你首次使用语音输入时 | 无法语音转文字，可改用键盘输入 |
| 通知 | 在待办到点、纪念日到点时提醒你 | 你首次创建带提醒的任务时 | 不发送到点提醒 |
| 闹钟（AlarmKit，iOS 26 及以上） | 对「闹钟类」任务在到点时全屏响铃，绕过静音以确保不错过 | 你为任务设置闹钟时 | 仅保留普通通知提醒 |
| 相机（仅 iOS 版） | 拍摄纸质文档并识别成文字 | 你在「扫描取字」中点击「拍照扫描」时 | 无法拍照取字，可改用「从相册选图」 |
| 运动与健身传感器（重力感应） | 仅在专注会话页与锁屏页用于界面视差微动效 | 进入相关页面时 | 无动效，功能不受影响 |
关于语音识别的重要说明：语音转文字通过 Apple 系统提供的语音识别服务完成。为实现转写，你按住的这段语音会由 Apple 按其自身隐私政策处理；我们不接收、不存储、不出售这些音频与识别结果，也不会将其用于转写以外的任何用途。若你希望音频完全不出设备，可以不使用语音输入而改用键盘输入；语音便签的录制、存储与播放全程在本机完成，不涉及该服务。
关于相册与相机：本应用不申请相册权限。选择图片走的是系统提供的独立选择器（iOS 的 PHPicker / Android 的系统照片选择器），你选中的图片由系统直接交予本应用，本应用无法读取你选择之外的任何照片。相机权限仅在 iOS 版、且由你主动使用「扫描取字 → 拍照扫描」时申请（使用系统文档扫描器）；Android 版的拍照由系统相机应用完成，本应用不申请相机权限。
3.3 设备间同步（系统行为）
本应用通过 Apple 提供的应用组（App Group）在你的同一台设备上为主程序、桌面小组件、锁屏实时活动与 Apple Watch 应用共享必要数据（例如今日待办与进度）。该共享发生在你的设备内部。
若你开启了 iCloud 设备备份或 iTunes/Finder 本地备份，你的设备数据（含本应用数据）会按 Apple 的规则进入该备份。这属于 Apple 系统的备份行为，我们无法访问你的备份内容，相关处理请参阅 Apple 的隐私政策。若你的备份未包含本应用用于加密的密钥，则恢复后加密内容可能无法解开（详见第七条）。
3.4 版本更新检查（向 Apple 查询，只读）
本应用在联网时可能向 Apple 官方的 iTunes 查询接口（https://itunes.apple.com/lookup）查询本应用自身的最新版本信息，用于在有新版本时向你发出更新提示：
- 请求仅包含本应用在 App Store 的公开应用标识（bundleId），不包含你的任何待办、便签、录音、账号信息或设备标识符；
- 该请求由你的设备直接发往 Apple，我们不经手、不中转、不记录；Apple 对该请求的处理适用 Apple 的隐私政策；
- 检查结果仅用于展示更新提示，并按天进行网络节流；在断网、应用尚未上架或查询失败时一律静默跳过，不影响任何功能；
- 本应用不据此收集信息，也不进行强制升级。
除上述向 Apple 查询版本更新（3.4）外，本应用不进行任何其他网络请求（不含广告、不含统计、不含内容分发、不含任何自动上报）。
3.5 本地崩溃诊断日志（仅存本机，需你主动导出）
当应用发生异常时，本应用可能在你的设备本地（应用私有目录 crashes/）写入一份经过脱敏的崩溃日志，内容仅包含错误类型、调用栈、应用版本号与经脱敏的异常摘要，不含你的待办、便签、录音内容或任何个人信息：
- 写入前统一脱敏：URL 查询串、令牌 / 密码 / 签名等凭据，以及异常摘要里被引号包裹的输入片段均被遮蔽；本应用自身代码也不会把任务标题、便签正文或录音内容写入日志；
- 该日志只保存在你的设备本地，不会自动上传；本应用不接入任何第三方崩溃统计或上报服务；
- 只有当你在「设置 - 诊断」中主动选择导出或分享时，该日志才会经由你指定的系统分享渠道离开设备；
- 你可以随时在诊断页删除全部本地崩溃日志。
3.6 本地使用计数（仅存本机，不联网）
为了判断「装完之后有没有真的用起来」，本应用会在设备本地记录一组匿名的使用计数。它只回答「某个动作发生过几次、第一次是什么时候」：
- 记录的是事件名与次数，例如「打开应用」「走完引导」「按住说话」「转写成功 / 失败（分「没听到声音」「没联网」「没有麦克风权限」三类）」「新建了第一条待办或账目」「弹出付费墙（含触发入口名）」「发起购买 / 购买成功」；
- 不含内容：不记录你的待办标题、便签正文、录音、金额、账目备注或任何输入文本；
- 不含身份：不生成也不保存任何安装标识、设备指纹、广告标识；不记录机型、系统版本、语言、时区或 IP；两次安装之间无法互相识别；
- 不出设备：本应用不接入任何第三方统计、分析或归因 SDK，这份计数不会自动上传，也不会被批量打包发送；只有你在「设置 - 诊断」中主动点「复制摘要」时，文本才会进入你手机的系统剪贴板，由你决定发给谁；
- 你随时可以在同一页面清空它；卸载应用会连同这份计数一起删除。
3.7 办公文档工具（扫描 / 识别 / PDF）
办公工具中的「扫描取字」「图片取字」「PDF 转文本」「PDF 转图片」「图片转 PDF」全部在你的设备上完成：
- 拍摄或选择的图片只在应用私有临时目录中存在，用于识别与合成，处理结束即删除：不写入你的数据库，不进入备份，也不参与任何统计；
- 文字识别（OCR）、PDF 文字抽取、页面渲染与合成均由设备本地能力完成（iOS 使用系统 Vision 与 PDFKit；Android 使用随安装包分发的离线识别模型与系统 PDF 能力），不联网、不上传文件；
- 识别出的文字与生成的图片 / PDF 只交给你下一步操作（复制、分享），本应用不留存副本；
- 本应用不提供把文件上传到服务器做「转 Word / Excel / PPT」等需要云端版式还原的转换。
3.8 内购
本应用提供一次性买断（非消耗型内购项目）以解锁完整功能。支付与交易由 Apple 通过 App Store 处理，我们不会收到你的姓名、卡号、账单地址或任何支付凭证。我们仅从 Apple 收到「是否已购买该商品」的结果，用于在你的设备上解锁功能。你可随时通过 App 内「恢复购买」重新校验该结果。
四、我们不做的事
- 不收集或上传你在本应用内创建的任何内容；
- 不收集设备标识符（IDFA、IDFV）、不进行跨应用/跨网站追踪；
- 不收集精确或粗略位置、通讯录、短信、通话记录、健康数据、照片库；
- 不使用 Cookie 或类似技术进行追踪；
- 不出售、不出租、不交换你的任何信息；
- 不向你推送营销信息或第三方推广内容。
五、信息的共享、转让与公开披露
我们不共享、不转让、不公开披露你的个人信息，因为我们在技术上无法访问它们。以下情形除外：
- 你主动导出/分享：当你使用备份导出或系统分享面板将文件发送给他人或其它应用时，属于你自主决定的行为，请自行评估接收方的可信度；
- Apple 平台服务：内购交易、iCloud 设备备份、App Store 分析（聚合且匿名）由 Apple 按其政策处理；
- 法律法规要求：如果我们依法必须配合有权机关的要求，我们只能提供我们实际持有的信息，而如前所述，我们并不持有你的内容数据。
六、信息的存储期限与安全措施
6.1 存储期限
你的数据保存在你的设备上，直至你自行删除（删除单条内容、清空数据、或卸载本应用）。卸载本应用会一并删除应用私有目录下的数据；设备级系统备份中的副本按 Apple 的备份策略到期清理。
6.2 安全措施
- 字段级加密：待办、便签、专注记录等文本内容在写入本地数据库前使用 AES-256-GCM 加密；
- 密钥托管：加密主密钥保存在 iOS 钥匙串（Keychain） 中，不写入明文文件、不随应用数据一起导出；
- 备份文件加密：你导出的备份文件使用 PBKDF2-HMAC-SHA256（600,000 轮）派生密钥 + AES-256-GCM 加密，且口令由你掌握，我们无法解密。早期版本曾以 150,000 轮派生密钥，本应用仍可正常解密这些旧备份；自当前版本起，新导出的备份统一使用 600,000 轮；
- 最小权限：仅申请实现功能所必需的权限，不申请任何与功能无关的权限。
尽管我们采取了上述措施，任何本地存储都无法保证绝对安全。请妥善保管你的设备解锁密码与备份口令；若你的设备被他人解锁使用，对方可能看到本应用内的内容（本应用提供「隐私模式」用于临时遮蔽主页内容）。
七、你的权利
由于数据都在你的设备上并由你直接掌控，你可以随时在应用内直接行使以下权利，无需向我们申请：
| 权利 | 实现方式 |
|---|---|
| 查阅、更正 | 在应用内直接查看与编辑任何内容 |
| 删除 | 删除单条内容、使用「回收站」清理、或在系统中卸载本应用以删除全部数据 |
| 复制/导出（可携带） | 使用「备份」导出加密备份文件，或通过系统分享面板导出你的录音 |
| 撤回同意 | 在「设置 → 隐私」中关闭对应系统权限，或在应用内关闭相关功能 |
| 注销账号 | 不适用：本应用没有账号体系，不存在账号注销问题 |
如你认为我们在处理你的信息时违反了法律，你可以通过本政策第九条的联系方式与我们联系；你也有权向有管辖权的监管部门投诉或举报。
关于删除的特别提醒：本应用提供「回收站」用于误删恢复；回收站中的内容在你手动清空后不可恢复。卸载应用或清除应用数据后，未导出的内容将永久丢失，请务必定期导出备份。
八、未成年人保护
本应用是一款效率工具，不面向 14 周岁以下的儿童设计，也不会主动收集儿童的任何个人信息。
- 若你是不满 14 周岁的儿童，请在监护人的陪同下阅读本政策，并在取得监护人同意后使用本应用；
- 本应用没有账号体系，也不收集任何个人信息，因此不存在「儿童个人信息」的收集、存储或共享，也不存在需要我们代为删除的儿童数据；
- 本应用不含广告、不含行为追踪、不做推荐算法，不会基于未成年人的使用行为推送任何内容，也不会引导消费（应用内购买是一次性解锁，需由成年人在系统支付环节完成）；
- 若你是监护人，请指导并监督未成年人使用；如需清除未成年人在本应用内创建的内容，在应用内删除、或在设备上卸载本应用即可——所有内容只存在这台设备上，卸载即彻底清除；
- 若监护人认为我们以任何方式接触到了未成年人的信息（本应用不会主动收集），可通过第十节的方式联系我们，我们将在 15 个工作日内答复；
- 由于我们无法访问你的数据，我们无法代你删除设备上的内容。
九、隐私政策的变更
- 若本政策发生实质性变更（例如新增数据收集类型、新增第三方 SDK、新增云端能力），我们会在应用内以显著方式提示，并在更新版本时同步修订本政策；
- 重大变更会同时更新「生效日期」与「最后更新」日期，必要时在应用内再次取得你的同意；
- 你可以随时在应用内或本页面查阅最新版本。若你不同意变更内容，请停止使用并卸载本应用。
十、联系我们
如你对本政策或你的信息处理有任何疑问、意见或投诉，请通过以下方式联系我们：
- 邮箱：
[email protected] - 支持页面：应用内「关于 → 帮助与支持」，或邮件 [email protected]
我们会在收到你的请求后 15 个工作日内 予以回应。
十一、附：本应用使用的开源与系统组件
为透明度目的，逐项列出本应用实际使用的组件及其用途（均为通用基础库，不含广告、统计、追踪或内容分发类组件；下表可与本应用代码仓库的依赖清单逐条核对）：
| 组件 | 用途 | 是否产生网络请求 |
|---|---|---|
| drift / sqlite3 | 本地数据库（待办、便签、账目、声音资产） | 否 |
| flutter_secure_storage | 密钥与会员凭据存入系统钥匙串（Keychain） | 否 |
| encrypt / pointycastle | 字段级 AES-256-GCM 加密与摘要算法 | 否 |
| flutter_local_notifications / timezone | 本地提醒与闹钟（由系统在你的设备上弹出） | 否 |
| record / just_audio | 录音与播放；音频文件只存在本机 | 否 |
| speech_to_text | 语音转文字；转写由 Apple 系统语音识别完成（见 3.2） | 由系统提供 |
| sensors_plus | 水平仪工具读取设备姿态传感器 | 否 |
| lunar | 农历、节气与农历重复规则换算 | 否 |
| intl / flutter_localizations | 日期、数字、货币的本地化格式 | 否 |
| path_provider / file_picker / share_plus | 本地文件读写、选择文件、调用系统分享面板 | 否 |
| uuid | 在本地生成记录标识 | 否 |
| http | 仅用于向 Apple 公开接口查询本应用自身的版本号（见 3.4） | 是（只读，仅 Apple） |
| in_app_purchase | 应用内购买；交易由 Apple 处理，本应用不接触支付信息 | 由系统提供 |
| in_app_review | 调用系统评分弹窗 | 由系统提供 |
| 版本更新检查 | 仅向 Apple 公开接口查询本应用自身的版本号（见 3.4） | 是（只读，仅 Apple） |
| 系统文档能力（iOS：Vision / PDFKit；Android：PdfRenderer / PdfDocument） | 图片取字与 PDF 渲染、合成（见 3.7） | 否 |
| ML Kit 文本识别（仅 Android 版） | 图片取字；识别模型随安装包分发，端上离线运行 | 否 |
| PDFBox-Android（仅 Android 版） | 抽取 PDF 文字层（见 3.7） | 否 |
以上组件均在你的设备本地运行。其中内购、语音识别引擎、iCloud 备份、评分弹窗由 Apple 提供，受 Apple 隐私政策约束；http 组件本身不指向任何我方服务器——本应用没有服务器。
*本政策的解释与适用以中华人民共和国法律为準据；如你位于其他司法辖区，我们会同时遵循当地强制性法律规定。*