Android 1.0.0 隐私政策
本页供 Android 1.0.0 使用。Android 的数据处理以“Android 1.0.0 的适用范围”章节为准，并适用共用的反馈、保留、删除与联系条款。文中的 Apple 专属功能条款不适用于 Android。
问杯·掷筊隐私政策
生效及更新日期：2026 年 10 月 27 日
本政策适用于「问杯·掷筊」iPhone App、配套 Apple Watch App 及 Android App。开发及隐私联系方为问杯·掷筊开发者（GitHub：hanyitim），联系渠道为 hanyitim/feedback。
问杯·掷筊无需注册 App 账户。问杯在设备上完成，开发者没有接收问杯内容、位置或运动读数的服务器；App 不接入广告或跨应用追踪。Apple 版本自 V1.1.0 起，在配置启用统计的版本中使用 TelemetryDeck 分析功能使用与 Pro 购买流程；统计不包含问题正文、具体问杯结果或位置。用户主动在 App 内提交的反馈按下文单独处理。
Android 1.0.0 的适用范围
Android 1.0.0 完全免费、无需账号、无广告，配置启用统计的版本使用 TelemetryDeck 了解核心功能使用与故障。下文关于 Apple Watch、位置、朝向、摇一摇、天气、祈愿、求签、正式模式、购买及 Apple 服务的说明仅适用于提供相应功能的 Apple 版本，不适用于 Android 首版。
Android 只在本机保存你输入的问题、问杯结果、时间、一言阅读快照、待完成会话、语言与声音等偏好及反馈草稿。问杯无需联网；不会读取定位、天气、运动、相机、麦克风、通讯录或其他个人资料。Android 声明的权限仅为网络连接和震动，网络连接用于你明确确认的公开反馈及下述使用统计。个人数据库、问题草稿、反馈草稿及本机偏好均排除 Android 系统云备份与设备数据提取／迁移；卸载会移除本机数据，删除记录不会删除已公开的反馈。Android 首版没有手动导出或云同步。
Android 统计只记录会话开始、本机首次观察、完成或跳过引导、成功保存且实际显示的新结果、主动打开历史，以及存储或渲染失败的阶段与有限分类；不会上传具体问杯结果。随事件发送的平台、事件协议 event_schema、开发／测试／正式环境、App 版本与构建号、App 显示语言、Android 主版本及 SDK 版本用于区分版本和兼容性。SDK 默认的设备型号、屏幕、时区、日历和可访问性参数及自动会话事件已关闭。统计不包含问题、一言或其他阅读内容及其标识、历史正文、位置、原始异常或调用栈、广告标识符、Android ID、邮箱或电话。本机去重使用的记录 ID 不上传。
统计使用本机随机生成并保存的标识，SDK 经 SHA-256 散列后发送，以及随机会话标识；不复用 Apple 版本的身份。首次观察不代表首次安装，无法判断此前使用情况时记为未知。TelemetryDeck 接收事件类型、上述字段、标识和接收时间；建立网络连接时服务方也会处理 IP 地址等连接信息。App 本机等待发送的队列最多 1000 条，超出时淘汰最早事件；网络异常可重试，但不保证每条事件送达。统计状态或初始化异常时停止统计，不影响问杯、历史保存或反馈。问杯仍可离线使用，统计不会自动上传已保存的历史。
卸载会删除本机统计标识和未发送队列，重新安装生成新标识；删除本机记录或卸载不会撤回已经送达的统计。统计仅用于产品分析与故障排查，不用于广告或跨应用追踪；服务的处理和保存规则见 TelemetryDeck 隐私政策。下文第 7 节仅说明 Apple 版本的统计范围，Android 以本节为准。
Android 反馈同样适用第 5 节的公开预览、明确确认与公开仓库规则；附上版本与系统信息默认关闭，开启后仅附预览中的 App 版本、Android 系统版本与 API 版本，不附设备型号、设备标识符、问题或历史。用户原文及提交编号保持不变；网络断开、超时、限流或回执不明确时保留本机草稿和原编号，重新打开后可由你明确重试，不自动重发。只有收到相同编号的成功回执才清除对应草稿。
1. 设备上的记录与偏好
iPhone 在本机保存你输入的问题、问杯结果、时间、一言标识，以及待完成会话；祈愿保存心愿、燃香起止时间与完成状态，求签保存问题、签号、签号目录和揭晓状态。正式模式还保存心事、每次仪式的问题快照、燃香起止、请示与确认过程、签诗阅读快照及答谢记录，与简易历史分开保存。正式心事不向 Watch 同步，不写入桌面香炉。权益失效后仍可阅读、删除已有记录。这些内容默认保存在本机。也保存场景、配色、声音、触感等偏好和反馈草稿。这些数据用于显示历史、恢复未完成体验及记住设置，不会自动发送给开发者。
你可在「我的心事 → 备份与恢复」手动导出心事及关联仪式、动作、绝对时间和签诗快照，并在系统文件面板选择 iCloud Drive 或其他可用位置。App 不自动备份，不进行跨设备实时同步，不把简易问杯、祈愿、求签历史、购买权益或设置放入该备份。文件包含心事原文，未额外设置 App 密码保护，请保存在私人位置；选择 iCloud Drive 时由 Apple 按你的账户与系统设置处理，选择其他文件服务时适用该服务的规则。App 不向开发者或统计服务发送备份内容、文件路径或账户信息。文件保存完成不等于云端上传完成，可在「文件」App 查看状态。
恢复前显示备份日期、心事列表及将添加和跳过的数量，经你确认后仅添加本机缺失的心事；相同标识的已有心事保留本机版本。恢复可能让过去删除的心事重新出现。备份文件的保留数量和删除由你在「文件」App 管理，删除本机心事或卸载 App 不会自动删除已导出的文件。App 自有备份与 Apple 系统整机备份不同，系统整机备份可能按你的设置包含其他本机数据。
Apple Watch 在本机保留最近 30 次问杯的结果、时间和一言标识，超出后由新记录替换较早记录。我们不会读取通讯录、照片、麦克风录音或健康资料。
iPhone 的「文化小册」提供本机内置的器物说明、一言原文、编辑释义与出处。阅读、翻面演示和搜索在本机完成，不记录阅读历史，也不向开发者或统计服务发送搜索词及具体阅读内容标识。主动点按外部资料链接时，会通过浏览器访问对应网站，需要联网；App 不向这些链接附带你的问杯记录或搜索词，来源网站可能按自身政策处理 IP 地址及浏览器信息。
配置公共文化内容服务的版本，会在你打开文化小册时通过 HTTPS 获取版本清单、公共文章和节俗资料，并在阅读时按需下载公共图片。正文快照保存在本机，图片缓存可由系统清理；收藏文章标识和当日提示的关闭状态也仅保存在本机。内容更新请求只读取公共静态文件，不附带问题、祈愿、还愿、收藏、搜索词或定位，不影响离线问杯与祈愿。托管平台可能为提供网络连接及安全处理 IP 地址和请求路径等技术信息。分享仅发送公共文章网址，不包含个人记录。
2. 位置、朝向与运动
在 iPhone 上，首次打开 App 时可能请求「使用 App 期间」定位授权，系统弹窗会说明权限用途。允许后，每次启动 App 只请求一次大致位置，在本机计算并缓存各场景的目标方向。随后在前台问杯初始、按住或摇一摇合杯及结果展示期间，仅检测手机朝向和姿态来呈现与方向相关的场景动效；切换场景或从后台返回不重复定位。位置不会改变随机问杯结果。
首次尚未选择签本时，App 会使用已有的授权位置向 Apple 地点服务查询国家或地区，用于推荐可用的地区签本；无法匹配时使用台湾传本。只在本机保存所选签本及选择方式，不为此保存原始坐标，也不发送给开发者或统计服务。首次选择完成后不随旅行自动变化；手动选择优先。拒绝定位或查询失败不影响使用和手动选择。
方向功能的设备坐标、目标方向、指南针和原始姿态读数仅在内存中处理，不写入历史、不上传给开发者；离开方向检测阶段或进入后台时停止朝向和姿态采集，但保留本次启动的目标方向缓存，App 退出后不保留。当前待完成会话不保存方向读数或坐标。旧版本可能留下动效标记，恢复时不使用该标记触发动效，而是重新检测方向。
选中场景时，iPhone 可将本次启动的位置取整为约公里级的大致区域，直接向 Apple WeatherKit 查询天气，用于调整场景光线与环境音。明月或神像彩蛋显现期间，会改为查询该彩蛋的参考点（Pro 自定义明月使用你保存的家乡），按目标地点的当地时间和天气调整环境；固定目标查询不需要新的设备定位。各区域的天气分别缓存。天气查询不发送问杯、祈愿或历史内容，不经过开发者服务器。天气数据、更新时间及该大致区域缓存在本机，一小时内复用；超过两小时的数据不再用于天气效果。无授权、离线或服务不可用时，仍可按当前环境地点的当地时间呈现光线。进入后台暂停天气刷新。环境音默认关闭，首页与设置开关共用本地偏好；播放不使用麦克风。Apple 对天气查询的处理请参阅 Apple 隐私政策。
Pro 用户可在设置中通过 Apple 地图选择家乡，替代默认西安的明月方向和环境。地点名称、经纬度及当地时区保存在本机；地图搜索会将你提交的地点名称发送给 Apple，确认地点/时区时会将所选坐标发送给 Apple 的地点服务，明月显现时将家乡坐标直接发送给 Apple WeatherKit。上述数据不发送给开发者或统计服务，不改变启动定位次数。取消不保存，设置可恢复默认并清除自定义家乡及其天气缓存；Pro 失效时保存的选择保留但不启用。
iPhone 的「问」与「求」页面支持摇一摇：当前页面在前台、未被弹窗或首次引导遮挡且等待操作时，会读取加速度和旋转数据，识别往返摇动与停稳后掷杯或出签。离开当前页面、进入「祈」、打开弹窗、开始掷出或出签、查看结果或进入后台时停止该检测。这两项简易功能无需付费；正式模式也复用运动识别，正式页面不可见、被弹窗遮挡或权益失效时停用；原始运动读数不保存、不上传，传感器不可用时仍可长按操作。
Apple Watch 问杯需要 Pro。已解锁的摇一摇模式会在问杯界面处于前台时读取加速度、旋转等运动数据，以识别摇晃及停稳；未解锁时不启动摇晃检测。原始运动读数不保存、不上传。App 不通过这些读数识别你或进行广告追踪。
你可以拒绝定位，或在 iPhone 的「设置 → 隐私与安全性 → 定位服务 → 问杯·掷筊」中撤销授权；仍可正常问杯、查看历史及使用 Pro 场景和配色。关闭精确位置可能影响方向判断。手表可切回长按模式停止摇晃识别，也可在系统提供的运动权限设置中调整授权。
3. 手机与手表之间的同步
App 使用 Apple 的设备通信服务，在你配对的设备之间传递场景、配色等设置，并把手表问杯的结果、时间、记录标识和一言标识同步到 iPhone。同步可能排队等待连接恢复；不经过开发者自建服务器，不传输原始位置或运动读数，也不把 iPhone 中输入的问题同步到手表。
手机和手表上的记录是独立副本，删除手机历史不会同步删除手表记录或已经排队的传输。设备备份、恢复及系统诊断可能受你的 Apple 账户和系统设置控制，详见 Apple 隐私政策。
4. 订阅、永久版与恢复
付费权益提供月度自动续订与一次买断的永久版两种方式，经 Apple App Store 购买，解锁 Apple Watch 问杯、两端场景与配色，以及 iPhone 自定义家乡。可在 iPhone 或 Apple Watch 购买和恢复；两端独立读取 Apple 验证的有效订阅或永久版权益，无需重复付款。Apple 处理付款、退款与账户信息；App 读取 Apple 验证的交易及权益状态，用于解锁、恢复购买和响应退款。权益撤销后保留已有问杯记录。开发者不会获得你的银行卡、支付密码或 Apple 账户密码，不向开发者或统计服务上传交易凭证和交易编号。App 仅统计购买入口、验证结果、权限变化及可取得的金额和币种；购买尝试的随机标记供 Apple 关联本机发起的交易，不作为统计身份上传。
删除 App 不会取消自动续订、撤销已完成的买断或删除 Apple 保留的交易记录；月订阅请在 Apple 账户中管理或取消，购买永久版不会自动取消已有订阅。购买记录与退款请求由 Apple 按其规则处理。
5. 意见反馈
反馈表单与草稿先保存在本机。点击「提交反馈」先展示公开发布预览；只有点击「确认公开发布」后，App 才通过 HTTPS 将预览的反馈标题、正文（含反馈类型及你选择附上的版本与系统信息）和随机生成的提交编号发送至开发者使用 Cloudflare Workers 托管的反馈接收服务。取消预览不会发送。提交无需注册或登录 GitHub，App 不读取你的 GitHub 用户名或账户。
服务将反馈转发到 GitHub 的 hanyitim/feedback 公开仓库；GitHub 确认创建 Issue 后，服务才返回成功回执。公众可阅读反馈内容、所附信息和提交编号，发布者为开发者配置的服务账户。反馈用于处理问题和功能建议，不用于广告。请勿填写真实姓名、联系方式、健康情况或其他不希望公开的信息。
「附上版本与系统信息」对新用户默认关闭，可由你主动选择；曾设置过该选项的用户沿用原有偏好。开启时仅附上表单内展示的 App 版本、系统版本和设备类别，不自动附上位置、问杯问题或历史记录。App 不会把反馈自动复制到剪贴板。
Cloudflare 接收服务在处理请求时读取正文并转发，不在 Durable Object 中持久保存正文。它保存提交编号、正文摘要、接收时间和 GitHub Issue 编号或转发状态用于防止重复提交；另外处理连接所需的 IP 地址，保存其带密钥摘要和按小时的提交计数以限制滥用。原始 IP 及其摘要均不附到公开 Issue，IP 摘要计数与去重记录分开保存。
网络失败或回执不明确时，App 保留本机草稿与提交编号供重试。回执不明确也可能意味着 GitHub 已经创建 Issue，服务会避免盲目重复发布，需要维护者核实。收到成功回执后才清空草稿；成功不代表开发者已经阅读。
托管与转发分别由 Cloudflare 和 GitHub 处理。开发者要求这些服务依照其数据保护条款处理受托数据，且不出售反馈资料或将其用于跨应用追踪。网络基础设施可能为安全、连接和运维按服务条款处理技术记录。请阅读 Cloudflare 隐私政策 和 GitHub 隐私声明。
6. 保留、删除与撤回
iPhone 简易历史可在「历史记录」中删除或清空，正式记录在「我的心事」中单独删除；反馈草稿可通过编辑标题和正文删除输入，或在成功提交后自动清空。关闭表单不等于清空草稿。删除 App 可移除该设备的 App 本地数据；仅卸载 App、保留文稿与数据时，数据仍可能保留。手表目前可通过删除手表 App 移除本机记录。Apple 的备份副本、已同步副本和系统排队传输需要分别管理，恢复备份可能恢复旧数据。
本机数据保存到你删除、被手表的最近 30 条规则替换或系统清理为止。开发者无法远程查看或删除你设备上的问杯记录。
Cloudflare 接收服务的去重记录以 30 天为清理阈值，每小时执行一次过期清理；IP 摘要限流计数通常在对应小时结束约 2 至 3 小时后清理，全站按日总计数在次日清理。定时服务故障可能延迟清理，恢复运行后继续处理。上述清理不会自动删除 GitHub Issue。开发者未启用该 Worker 的持久运行日志；托管平台自身安全与基础设施记录按其服务政策处理。
GitHub 上的反馈保留供开发者跟进，直到维护者删除。关闭 Issue 或删除本机草稿不等于删除已发布内容。匿名反馈由服务账户发布，申请删除时请提供反馈编号或 Issue 编号及必要说明，维护者需同时核实 GitHub 和接收服务中的副本。公开渠道中不要再次提供敏感内容；公众复制的内容、GitHub 留存及 Apple 备份受各自机制约束。
7. Apple 版本的产品使用统计
启用统计的版本通过 HTTPS 向 TelemetryDeck 发送关键操作事件，例如 App 会话、引导完成、问杯完成次数、页面访问、设置变更、同步与反馈提交的成功或失败，以及 Pro 购买入口、购买结果和恢复状态。我们用这些数据判断功能是否易用、哪些购买入口有效，以及需要修复的流程问题。
自定义事件只包含允许的固定参数，例如 iPhone 或 Watch 平台、App 版本与构建号、当前语言、Pro 状态、入口和归类后的结果。我们不上传问题正文或摘要、具体筊相、一言标识与原文、搜索词、反馈正文、原始位置或运动数据、交易编号、凭证或 Apple 账户。未完成的问杯结果恢复与新问杯分开统计。统计平台没有读取你的本机问杯历史的接口。
TelemetryDeck SDK 还会附加设备与运行环境资料，包括设备型号、系统与 SDK 版本、屏幕规格、区域及语言设置、时区、界面方向和部分辅助功能设置。区域来自系统设置，不来自 GPS。SDK 使用设备端标识生成哈希分析标识，并生成随机会话标识；不会把原始设备标识发送给开发者。TelemetryDeck 按其公开说明继续对收到的分析标识进行处理。我们不使用广告标识，不将 iPhone 与 Watch 的标识合并为个人身份，也不与外部推广渠道的单个用户数据关联。
App 在本机保存统计首次观察时间、是否已完成观察后的首次问杯，以及购买尝试的入口和交易去重信息。待发送事件最多缓存 1,000 条，超过上限时允许丢弃；网络可用时 SDK 重试发送。缓存包含上述统计字段，不包含用户正文。删除 App 可移除本设备的统计状态和缓存；设备备份或恢复可能保留副本。已送达的统计数据不会因删除 App 自动从 TelemetryDeck 移除。服务端的保留及匿名化规则请参阅 TelemetryDeck 隐私说明；如需了解本应用统计数据的处理，请通过下方渠道联系开发者。
SDK 配置缺失、自动化界面测试及预览环境不会发送统计；开发与 TestFlight 数据与正式分析分开。统计发送失败不会阻止问杯、阅读、保存记录或购买。
8. 联系与政策更新
隐私问题、反馈处理及删除请求可通过 反馈仓库 联系 GitHub 用户 hanyitim。该渠道公开可见，请只提供处理请求必需的信息。
若功能或数据处理方式变化，我们会更新本政策及更新日期，并在适用时重新请求系统权限或必要的同意。App 内保留随当前版本提供的政策全文，离线也可阅读。