隐私政策

1. 你的账号

使用 App 需要通过 Apple 登录。我们验证 Apple 的授权结果，保存本应用专用的 Apple 用户标识、加密授权凭据、展示名和公开账号 ID。Apple 提供的名字可用作初始展示名，你可以在 App 内修改。我们不向 Apple 请求你的电子邮箱地址。

账号用于登录、跨设备恢复账号下的承诺，以及加入和管理共享承诺。知道你完整账号 ID 的已登录用户可查询展示名并发送邀请，由你决定是否接受。会话凭据保存在设备 Keychain 中，服务端保存其哈希；会话有效期为 180 天。

2. Apple 健康与运动验证

获得许可后，不鸽通过 HealthKit 读取支持的训练，包括运动类型、距离、时长、起止时间、来源及是否手动录入。爬山海拔目标还会读取训练路线中的位置，寻找有效的最高海拔。训练记录与证据在设备上处理和缓存；不鸽不写入、修改或删除 Apple 健康数据。

对于账号下的运动承诺，App 会发送有限的验证摘要：训练标识、运动类型、起止时间、达标距离、时长或海拔数值，以及手动录入标记。服务端据此核验，防止一次训练兑现多个承诺，并保留含完成时间和训练标识的完成记录。已接受邀请的成员可查看进度和完成记录，但看不到他人的训练标识。

不鸽不会向账号服务上传原始运动路线、心率或完整训练文件。旧版本的本机承诺和完整本机运动证据不通过不鸽账号同步。Apple 健康自身的储存与同步由你的 Apple 设置另行控制。

3. 到场承诺与位置

服务保存承诺标题、时间、时区、地点名称、地址和坐标、可选备注、邀请和成员关系、参与答复、到场结果及安排历史。持有邀请链接的人可以预览基本安排，包括选定地点。有效参与者可查看成员展示名及参与状态。

点击“我到了”时，App 获取当前位置，并发送坐标、精度和时间戳供服务端核验是否处于地点范围及有效时段。服务端不保留这次位置样本，也不向其他参与者展示你的当前坐标；只保留到场结果和时间。

自动到场检测需要为每个承诺单独开启，在约定时间前 2 小时至后 6 小时内运行。收到附近事件后，App 获取新的位置进行同样的服务端核验，不上传持续位置或移动轨迹。iOS 可能延迟或阻止后台检测。Apple 地图、地点搜索及地理编码服务按 Apple 自身隐私条款处理搜索和位置请求。

4. 共享进度与鸽子

账号下的承诺保存规则、期限、周期、成员及见证人角色、完成记录和回应。历史记录可能包含旧版本中填写的备注。新建运动承诺不能靠自行报告打卡来完成。

鸽子的名字、成长和里程碑回忆保存在账号下。鸽分根据 App 内可用记录计算，用于自我激励，不是信用评分。你选择导出的结果卡片可能包含参与者展示名和结果，请只分享给你愿意共享的人或服务。

5. 储存、服务提供方与保留期限

网站和 API 由 Vercel 托管，Postgres 数据库保存账号及共享承诺数据。服务提供方为运行服务处理这些信息，请求可能出现在托管日志中。短期 IP 和账号计数用于防止滥用；部分未登录请求的计数会暂存 IP 地址，其他计数使用哈希。不鸽不将健康数据用于广告、不出售健康数据，也不进行广告追踪。

账号及共享承诺记录目前没有自动到期删除期限。删除账号会移除账号数据，并按下节说明处理保留的共享历史。本机偏好及证据保留至通过可用 App 操作清除或移除 App。托管日志遵循服务提供方的保留设置。不鸽无法删除已导出给他人或其他 App 的截图、分享卡片及日历事件。

6. 权限与删除

你可在 iPhone 设置中撤回健康或定位权限，关闭某个承诺的到场检测，或关闭提醒。拒绝健康权限会使运动验证不可用；拒绝定位权限会使到场验证不可用。不依赖相应权限的功能仍可使用。

删除账号的路径为“我的 → 点按账号 → 账号管理 → 删除账号”，然后确认。服务会撤销 Apple 授权，移除账号凭据、会话、邀请、你的运动完成记录和鸽子数据，并取消你发起的承诺。部分共享承诺标题、备注、地点及其他参与者历史仍会保留。保留的到场记录会移除你的名字，清空到场状态和时间，但可能保留化名化的记录引用。撤销授权未完成时可重试。删除账号不会删除 Apple 健康训练或旧版本本机运动记录；如共享内容仍包含希望删除的个人信息，请联系我们。

删除后，会保留 Apple 标识的单向摘要十分钟，阻止删除前发起的登录重新创建账号；过期后在后续登录或删除请求中清理。隐私或删除问题请联系 support@noflake.fun，请勿发送密码、Apple 授权码或会话凭据。

7. 儿童与政策变更

不鸽不面向未满 13 岁的儿童。服务或数据处理发生变化时，我们会更新本政策；上方日期标明当前版本。

8. 联系我们

需要支持或咨询个人信息相关问题，请发送邮件至 support@noflake.fun。