Android 1.0.0 隱私政策
本頁供 Android 1.0.0 使用。Android 的資料處理以「Android 1.0.0 的適用範圍」章節為準，並適用共用的回饋、保留、刪除與聯絡條款。文中的 Apple 專屬功能條款不適用於 Android。
問杯·擲筊隱私政策
生效及更新日期：2026 年 10 月 27 日
本政策適用於「問杯·擲筊」iPhone App、配套 Apple Watch App 及 Android App。開發及隱私聯繫方爲問杯·擲筊開發者（GitHub：hanyitim），聯繫渠道爲 hanyitim/feedback。
問杯·擲筊無需註冊 App 賬戶。問杯在設備上完成，開發者沒有接收問杯內容、位置或運動讀數的服務器；App 不接入廣告或跨應用追蹤。Apple 版本自 V1.1.0 起，在配置啓用統計的版本中使用 TelemetryDeck 分析功能使用與 Pro 購買流程；統計不包含問題正文、具體問杯結果或位置。用戶主動在 App 內提交的反饋按下文單獨處理。
Android 1.0.0 的適用範圍
Android 1.0.0 完全免費、無需賬號、無廣告，配置啓用統計的版本使用 TelemetryDeck 瞭解核心功能使用與故障。下文關於 Apple Watch、位置、朝向、搖一搖、天氣、祈願、求籤、正式模式、購買及 Apple 服務的說明僅適用於提供相應功能的 Apple 版本，不適用於 Android 首版。
Android 只在本機保存你輸入的問題、問杯結果、時間、一言閱讀快照、待完成會話、語言與聲音等偏好及反饋草稿。問杯無需聯網；不會讀取定位、天氣、運動、相機、麥克風、通訊錄或其他個人資料。Android 聲明的權限僅爲網絡連接和震動，網絡連接用於你明確確認的公開反饋及下述使用統計。個人數據庫、問題草稿、反饋草稿及本機偏好均排除 Android 系統雲備份與設備數據提取／遷移；卸載會移除本機數據，刪除記錄不會刪除已公開的反饋。Android 首版沒有手動導出或雲同步。
Android 統計只記錄會話開始、本機首次觀察、完成或跳過引導、成功保存且實際顯示的新結果、主動打開歷史，以及存儲或渲染失敗的階段與有限分類；不會上傳具體問杯結果。隨事件發送的平臺、事件協議 event_schema、開發／測試／正式環境、App 版本與構建號、App 顯示語言、Android 主版本及 SDK 版本用於區分版本和兼容性。SDK 默認的設備型號、屏幕、時區、日曆和可訪問性參數及自動會話事件已關閉。統計不包含問題、一言或其他閱讀內容及其標識、歷史正文、位置、原始異常或調用棧、廣告標識符、Android ID、郵箱或電話。本機去重使用的記錄 ID 不上傳。
統計使用本機隨機生成並保存的標識，SDK 經 SHA-256 散列後發送，以及隨機會話標識；不復用 Apple 版本的身份。首次觀察不代表首次安裝，無法判斷此前使用情況時記爲未知。TelemetryDeck 接收事件類型、上述字段、標識和接收時間；建立網絡連接時服務方也會處理 IP 地址等連接信息。App 本機等待發送的隊列最多 1000 條，超出時淘汰最早事件；網絡異常可重試，但不保證每條事件送達。統計狀態或初始化異常時停止統計，不影響問杯、歷史保存或反饋。問杯仍可離線使用，統計不會自動上傳已保存的歷史。
卸載會刪除本機統計標識和未發送隊列，重新安裝生成新標識；刪除本機記錄或卸載不會撤回已經送達的統計。統計僅用於產品分析與故障排查，不用於廣告或跨應用追蹤；服務的處理和保存規則見 TelemetryDeck 隱私政策。下文第 7 節僅說明 Apple 版本的統計範圍，Android 以本節爲準。
Android 反饋同樣適用第 5 節的公開預覽、明確確認與公開倉庫規則；附上版本與系統信息默認關閉，開啓後僅附預覽中的 App 版本、Android 系統版本與 API 版本，不附設備型號、設備標識符、問題或歷史。用戶原文及提交編號保持不變；網絡斷開、超時、限流或回執不明確時保留本機草稿和原編號，重新打開後可由你明確重試，不自動重發。只有收到相同編號的成功回執才清除對應草稿。
1. 設備上的記錄與偏好
iPhone 在本機保存你輸入的問題、問杯結果、時間、一言標識，以及待完成會話；祈願保存心願、燃香起止時間與完成狀態，求籤保存問題、籤號、籤號目錄和揭曉狀態。正式模式還保存心事、每次儀式的問題快照、燃香起止、請示與確認過程、籤詩閱讀快照及答謝記錄，與簡易歷史分開保存。正式心事不向 Watch 同步，不寫入桌面香爐。權益失效後仍可閱讀、刪除已有記錄。這些內容默認保存在本機。也保存場景、配色、聲音、觸感等偏好和反饋草稿。這些數據用於顯示歷史、恢復未完成體驗及記住設置，不會自動發送給開發者。
你可在「我的心事 → 備份與恢復」手動導出心事及關聯儀式、動作、絕對時間和籤詩快照，並在系統文件面板選擇 iCloud Drive 或其他可用位置。App 不自動備份，不進行跨設備實時同步，不把簡易問杯、祈願、求籤歷史、購買權益或設置放入該備份。文件包含心事原文，未額外設置 App 密碼保護，請保存在私人位置；選擇 iCloud Drive 時由 Apple 按你的賬戶與系統設置處理，選擇其他文件服務時適用該服務的規則。App 不向開發者或統計服務發送備份內容、文件路徑或賬戶信息。文件保存完成不等於雲端上傳完成，可在「文件」App 查看狀態。
恢復前顯示備份日期、心事列表及將添加和跳過的數量，經你確認後僅添加本機缺失的心事；相同標識的已有心事保留本機版本。恢復可能讓過去刪除的心事重新出現。備份文件的保留數量和刪除由你在「文件」App 管理，刪除本機心事或卸載 App 不會自動刪除已導出的文件。App 自有備份與 Apple 系統整機備份不同，系統整機備份可能按你的設置包含其他本機數據。
Apple Watch 在本機保留最近 30 次問杯的結果、時間和一言標識，超出後由新記錄替換較早記錄。我們不會讀取通訊錄、照片、麥克風錄音或健康資料。
iPhone 的「文化小冊」提供本機內置的器物說明、一言原文、編輯釋義與出處。閱讀、翻面演示和搜索在本機完成，不記錄閱讀歷史，也不向開發者或統計服務發送搜索詞及具體閱讀內容標識。主動點按外部資料鏈接時，會通過瀏覽器訪問對應網站，需要聯網；App 不向這些鏈接附帶你的問杯記錄或搜索詞，來源網站可能按自身政策處理 IP 地址及瀏覽器信息。
配置公共文化內容服務的版本，會在你打開文化小冊時通過 HTTPS 獲取版本清單、公共文章和節俗資料，並在閱讀時按需下載公共圖片。正文快照保存在本機，圖片緩存可由系統清理；收藏文章標識和當日提示的關閉狀態也僅保存在本機。內容更新請求只讀取公共靜態文件，不附帶問題、祈願、還願、收藏、搜索詞或定位，不影響離線問杯與祈願。託管平臺可能爲提供網絡連接及安全處理 IP 地址和請求路徑等技術信息。分享僅發送公共文章網址，不包含個人記錄。
2. 位置、朝向與運動
在 iPhone 上，首次打開 App 時可能請求「使用 App 期間」定位授權，系統彈窗會說明權限用途。允許後，每次啓動 App 只請求一次大致位置，在本機計算並緩存各場景的目標方向。隨後在前臺問杯初始、按住或搖一搖合杯及結果展示期間，僅檢測手機朝向和姿態來呈現與方向相關的場景動效；切換場景或從後臺返回不重複定位。位置不會改變隨機問杯結果。
首次尚未選擇籤本時，App 會使用已有的授權位置向 Apple 地點服務查詢國家或地區，用於推薦可用的地區籤本；無法匹配時使用臺灣傳本。只在本機保存所選籤本及選擇方式，不爲此保存原始座標，也不發送給開發者或統計服務。首次選擇完成後不隨旅行自動變化；手動選擇優先。拒絕定位或查詢失敗不影響使用和手動選擇。
方向功能的設備座標、目標方向、指南針和原始姿態讀數僅在內存中處理，不寫入歷史、不上傳給開發者；離開方向檢測階段或進入後臺時停止朝向和姿態採集，但保留本次啓動的目標方向緩存，App 退出後不保留。當前待完成會話不保存方向讀數或座標。舊版本可能留下動效標記，恢復時不使用該標記觸發動效，而是重新檢測方向。
選中場景時，iPhone 可將本次啓動的位置取整爲約公里級的大致區域，直接向 Apple WeatherKit 查詢天氣，用於調整場景光線與環境音。明月或神像彩蛋顯現期間，會改爲查詢該彩蛋的參考點（Pro 自定義明月使用你保存的家鄉），按目標地點的當地時間和天氣調整環境；固定目標查詢不需要新的設備定位。各區域的天氣分別緩存。天氣查詢不發送問杯、祈願或歷史內容，不經過開發者服務器。天氣數據、更新時間及該大致區域緩存在本機，一小時內複用；超過兩小時的數據不再用於天氣效果。無授權、離線或服務不可用時，仍可按當前環境地點的當地時間呈現光線。進入後臺暫停天氣刷新。環境音默認關閉，首頁與設置開關共用本地偏好；播放不使用麥克風。Apple 對天氣查詢的處理請參閱 Apple 隱私政策。
Pro 用戶可在設置中通過 Apple 地圖選擇家鄉，替代默認西安的明月方向和環境。地點名稱、經緯度及當地時區保存在本機；地圖搜索會將你提交的地點名稱發送給 Apple，確認地點/時區時會將所選座標發送給 Apple 的地點服務，明月顯現時將家鄉座標直接發送給 Apple WeatherKit。上述數據不發送給開發者或統計服務，不改變啓動定位次數。取消不保存，設置可恢復默認並清除自定義家鄉及其天氣緩存；Pro 失效時保存的選擇保留但不啓用。
iPhone 的「問」與「求」頁面支持搖一搖：當前頁面在前臺、未被彈窗或首次引導遮擋且等待操作時，會讀取加速度和旋轉數據，識別往返搖動與停穩後擲杯或出籤。離開當前頁面、進入「祈」、打開彈窗、開始擲出或出籤、查看結果或進入後臺時停止該檢測。這兩項簡易功能無需付費；正式模式也複用運動識別，正式頁面不可見、被彈窗遮擋或權益失效時停用；原始運動讀數不保存、不上傳，傳感器不可用時仍可長按操作。
Apple Watch 問杯需要 Pro。已解鎖的搖一搖模式會在問杯界面處於前臺時讀取加速度、旋轉等運動數據，以識別搖晃及停穩；未解鎖時不啓動搖晃檢測。原始運動讀數不保存、不上傳。App 不通過這些讀數識別你或進行廣告追蹤。
你可以拒絕定位，或在 iPhone 的「設置 → 隱私與安全性 → 定位服務 → 問杯·擲筊」中撤銷授權；仍可正常問杯、查看歷史及使用 Pro 場景和配色。關閉精確位置可能影響方向判斷。手錶可切回長按模式停止搖晃識別，也可在系統提供的運動權限設置中調整授權。
3. 手機與手錶之間的同步
App 使用 Apple 的設備通信服務，在你配對的設備之間傳遞場景、配色等設置，並把手錶問杯的結果、時間、記錄標識和一言標識同步到 iPhone。同步可能排隊等待連接恢復；不經過開發者自建服務器，不傳輸原始位置或運動讀數，也不把 iPhone 中輸入的問題同步到手錶。
手機和手錶上的記錄是獨立副本，刪除手機歷史不會同步刪除手錶記錄或已經排隊的傳輸。設備備份、恢復及系統診斷可能受你的 Apple 賬戶和系統設置控制，詳見 Apple 隱私政策。
4. 訂閱、永久版與恢復
付費權益提供月度自動續訂與一次買斷的永久版兩種方式，經 Apple App Store 購買，解鎖 Apple Watch 問杯、兩端場景與配色，以及 iPhone 自定義家鄉。可在 iPhone 或 Apple Watch 購買和恢復；兩端獨立讀取 Apple 驗證的有效訂閱或永久版權益，無需重複付款。Apple 處理付款、退款與賬戶信息；App 讀取 Apple 驗證的交易及權益狀態，用於解鎖、恢復購買和響應退款。權益撤銷後保留已有問杯記錄。開發者不會獲得你的銀行卡、支付密碼或 Apple 賬戶密碼，不向開發者或統計服務上傳交易憑證和交易編號。App 僅統計購買入口、驗證結果、權限變化及可取得的金額和幣種；購買嘗試的隨機標記供 Apple 關聯本機發起的交易，不作爲統計身份上傳。
刪除 App 不會取消自動續訂、撤銷已完成的買斷或刪除 Apple 保留的交易記錄；月訂閱請在 Apple 賬戶中管理或取消，購買永久版不會自動取消已有訂閱。購買記錄與退款請求由 Apple 按其規則處理。
5. 意見反饋
反饋表單與草稿先保存在本機。點擊「提交反饋」先展示公開發布預覽；只有點擊「確認公開發布」後，App 才通過 HTTPS 將預覽的反饋標題、正文（含反饋類型及你選擇附上的版本與系統信息）和隨機生成的提交編號發送至開發者使用 Cloudflare Workers 託管的反饋接收服務。取消預覽不會發送。提交無需註冊或登錄 GitHub，App 不讀取你的 GitHub 用戶名或賬戶。
服務將反饋轉發到 GitHub 的 hanyitim/feedback 公開倉庫；GitHub 確認創建 Issue 後，服務才返回成功回執。公衆可閱讀反饋內容、所附信息和提交編號，發佈者爲開發者配置的服務賬戶。反饋用於處理問題和功能建議，不用於廣告。請勿填寫真實姓名、聯繫方式、健康情況或其他不希望公開的信息。
「附上版本與系統信息」對新用戶默認關閉，可由你主動選擇；曾設置過該選項的用戶沿用原有偏好。開啓時僅附上表單內展示的 App 版本、系統版本和設備類別，不自動附上位置、問杯問題或歷史記錄。App 不會把反饋自動複製到剪貼板。
Cloudflare 接收服務在處理請求時讀取正文並轉發，不在 Durable Object 中持久保存正文。它保存提交編號、正文摘要、接收時間和 GitHub Issue 編號或轉發狀態用於防止重複提交；另外處理連接所需的 IP 地址，保存其帶密鑰摘要和按小時的提交計數以限制濫用。原始 IP 及其摘要均不附到公開 Issue，IP 摘要計數與去重記錄分開保存。
網絡失敗或回執不明確時，App 保留本機草稿與提交編號供重試。回執不明確也可能意味着 GitHub 已經創建 Issue，服務會避免盲目重複發佈，需要維護者覈實。收到成功回執後才清空草稿；成功不代表開發者已經閱讀。
託管與轉發分別由 Cloudflare 和 GitHub 處理。開發者要求這些服務依照其數據保護條款處理受託數據，且不出售反饋資料或將其用於跨應用追蹤。網絡基礎設施可能爲安全、連接和運維按服務條款處理技術記錄。請閱讀 Cloudflare 隱私政策 和 GitHub 隱私聲明。
6. 保留、刪除與撤回
iPhone 簡易歷史可在「歷史記錄」中刪除或清空，正式記錄在「我的心事」中單獨刪除；反饋草稿可通過編輯標題和正文刪除輸入，或在成功提交後自動清空。關閉表單不等於清空草稿。刪除 App 可移除該設備的 App 本地數據；僅卸載 App、保留文稿與數據時，數據仍可能保留。手錶目前可通過刪除手錶 App 移除本機記錄。Apple 的備份副本、已同步副本和系統排隊傳輸需要分別管理，恢復備份可能恢復舊數據。
本機數據保存到你刪除、被手錶的最近 30 條規則替換或系統清理爲止。開發者無法遠程查看或刪除你設備上的問杯記錄。
Cloudflare 接收服務的去重記錄以 30 天爲清理閾值，每小時執行一次過期清理；IP 摘要限流計數通常在對應小時結束約 2 至 3 小時後清理，全站按日總計數在次日清理。定時服務故障可能延遲清理，恢復運行後繼續處理。上述清理不會自動刪除 GitHub Issue。開發者未啓用該 Worker 的持久運行日誌；託管平臺自身安全與基礎設施記錄按其服務政策處理。
GitHub 上的反饋保留供開發者跟進，直到維護者刪除。關閉 Issue 或刪除本機草稿不等於刪除已發佈內容。匿名反饋由服務賬戶發佈，申請刪除時請提供反饋編號或 Issue 編號及必要說明，維護者需同時覈實 GitHub 和接收服務中的副本。公開渠道中不要再次提供敏感內容；公衆複製的內容、GitHub 留存及 Apple 備份受各自機制約束。
7. Apple 版本的產品使用統計
啓用統計的版本通過 HTTPS 向 TelemetryDeck 發送關鍵操作事件，例如 App 會話、引導完成、問杯完成次數、頁面訪問、設置變更、同步與反饋提交的成功或失敗，以及 Pro 購買入口、購買結果和恢復狀態。我們用這些數據判斷功能是否易用、哪些購買入口有效，以及需要修復的流程問題。
自定義事件只包含允許的固定參數，例如 iPhone 或 Watch 平臺、App 版本與構建號、當前語言、Pro 狀態、入口和歸類後的結果。我們不上傳問題正文或摘要、具體筊相、一言標識與原文、搜索詞、反饋正文、原始位置或運動數據、交易編號、憑證或 Apple 賬戶。未完成的問杯結果恢復與新問杯分開統計。統計平臺沒有讀取你的本機問杯歷史的接口。
TelemetryDeck SDK 還會附加設備與運行環境資料，包括設備型號、系統與 SDK 版本、屏幕規格、區域及語言設置、時區、界面方向和部分輔助功能設置。區域來自系統設置，不來自 GPS。SDK 使用設備端標識生成哈希分析標識，並生成隨機會話標識；不會把原始設備標識發送給開發者。TelemetryDeck 按其公開說明繼續對收到的分析標識進行處理。我們不使用廣告標識，不將 iPhone 與 Watch 的標識合併爲個人身份，也不與外部推廣渠道的單個用戶數據關聯。
App 在本機保存統計首次觀察時間、是否已完成觀察後的首次問杯，以及購買嘗試的入口和交易去重信息。待發送事件最多緩存 1,000 條，超過上限時允許丟棄；網絡可用時 SDK 重試發送。緩存包含上述統計字段，不包含用戶正文。刪除 App 可移除本設備的統計狀態和緩存；設備備份或恢復可能保留副本。已送達的統計數據不會因刪除 App 自動從 TelemetryDeck 移除。服務端的保留及匿名化規則請參閱 TelemetryDeck 隱私說明；如需瞭解本應用統計數據的處理，請通過下方渠道聯繫開發者。
SDK 配置缺失、自動化界面測試及預覽環境不會發送統計；開發與 TestFlight 數據與正式分析分開。統計發送失敗不會阻止問杯、閱讀、保存記錄或購買。
8. 聯繫與政策更新
隱私問題、反饋處理及刪除請求可通過 反饋倉庫 聯繫 GitHub 用戶 hanyitim。該渠道公開可見，請只提供處理請求必需的信息。
若功能或數據處理方式變化，我們會更新本政策及更新日期，並在適用時重新請求系統權限或必要的同意。App 內保留隨當前版本提供的政策全文，離線也可閱讀。