问杯·掷筊隐私政策
生效及更新日期：2026 年 10 月 1 日
本政策适用于「问杯·掷筊」iPhone App 及配套 Apple Watch App。开发及隐私联系方为问杯·掷筊开发者（GitHub：hanyitim），联系渠道为 hanyitim/feedback。
问杯·掷筊无需注册 App 账户。问杯在设备上完成，开发者没有接收问杯内容、位置或运动读数的服务器；App 不接入广告或跨应用追踪。V1.1.0 起，在配置启用统计的版本中，App 使用 TelemetryDeck 分析功能使用与 Pro 购买流程；统计不包含问题正文、具体问杯结果或位置。用户主动在 App 内提交的反馈按下文单独处理。
1. 设备上的记录与偏好
iPhone 在本机保存你输入的问题、问杯结果、时间、一言标识，以及待完成会话；也保存场景、配色、声音、触感等偏好和反馈草稿。这些数据用于显示历史、恢复未完成体验及记住设置，不会自动发送给开发者。
Apple Watch 在本机保留最近 30 次问杯的结果、时间和一言标识，超出后由新记录替换较早记录。我们不会读取通讯录、照片、麦克风录音或健康资料。
iPhone 的「文化小册」提供本机内置的器物说明、一言原文、编辑释义与出处。阅读、翻面演示和搜索在本机完成，不记录阅读历史，也不向开发者或统计服务发送搜索词及具体阅读内容标识。主动点按外部资料链接时，会通过浏览器访问对应网站，需要联网；App 不向这些链接附带你的问杯记录或搜索词，来源网站可能按自身政策处理 IP 地址及浏览器信息。
2. 位置、朝向与运动
在支持相关传感器的 iPhone 上，完成首次实际问杯后，App 可能请求「使用 App 期间」定位授权。允许后，App 在前台按住问杯及结果展示期间，结合当前位置、手机朝向和姿态判断方向，呈现与方向相关的场景动效。位置不会改变随机问杯结果。
坐标、指南针和原始姿态读数仅在内存中处理，不写入历史、不上传给开发者；离开采集阶段或进入后台时停止采集。当前待完成会话不保存方向读数或坐标。旧版本可能留下动效标记，恢复时不使用该标记触发动效，而是重新检测方向。
Apple Watch 问杯需要 Pro。已解锁的摇晃模式会在问杯界面处于前台时读取加速度、旋转等运动数据，以识别摇晃及停稳；未解锁时不启动摇晃检测。原始运动读数不保存、不上传。App 不通过这些读数识别你或进行广告追踪。
你可以拒绝定位，或在 iPhone 的「设置 → 隐私与安全性 → 定位服务 → 问杯·掷筊」中撤销授权；仍可正常问杯、查看历史及使用 Pro 场景和配色。关闭精确位置可能影响方向判断。手表可切回长按模式停止摇晃识别，也可在系统提供的运动权限设置中调整授权。
3. 手机与手表之间的同步
App 使用 Apple 的设备通信服务，在你配对的设备之间传递场景、配色等设置，并把手表问杯的结果、时间、记录标识和一言标识同步到 iPhone。同步可能排队等待连接恢复；不经过开发者自建服务器，不传输原始位置或运动读数，也不把 iPhone 中输入的问题同步到手表。
手机和手表上的记录是独立副本，删除手机历史不会同步删除手表记录或已经排队的传输。设备备份、恢复及系统诊断可能受你的 Apple 账户和系统设置控制，详见 Apple 隐私政策。
4. Pro 购买与恢复
Pro 是通过 Apple App Store 提供的一次买断内购，解锁 Apple Watch 问杯和两端场景、配色。可在 iPhone 或 Apple Watch 购买和恢复；两端读取同一商品的已验证权益，无需重复付款。Apple 处理付款、退款与账户信息；App 读取 Apple 验证的交易及权益状态，用于解锁、恢复购买和响应退款。权益撤销后保留已有问杯记录。开发者不会获得你的银行卡、支付密码或 Apple 账户密码，不向开发者或统计服务上传交易凭证和交易编号。App 仅统计购买入口、验证结果、权限变化及可取得的金额和币种；购买尝试的随机标记供 Apple 关联本机发起的交易，不作为统计身份上传。
删除 App 不会取消已完成的买断或删除 Apple 保留的交易记录；购买记录与退款请求由 Apple 按其规则处理。
5. 意见反馈
反馈表单与草稿先保存在本机。点击「提交反馈」先展示公开发布预览；只有点击「确认公开发布」后，App 才通过 HTTPS 将预览的反馈标题、正文（含反馈类型及你选择附上的版本与系统信息）和随机生成的提交编号发送至开发者使用 Cloudflare Workers 托管的反馈接收服务。取消预览不会发送。提交无需注册或登录 GitHub，App 不读取你的 GitHub 用户名或账户。
服务将反馈转发到 GitHub 的 hanyitim/feedback 公开仓库；GitHub 确认创建 Issue 后，服务才返回成功回执。公众可阅读反馈内容、所附信息和提交编号，发布者为开发者配置的服务账户。反馈用于处理问题和功能建议，不用于广告。请勿填写真实姓名、联系方式、健康情况或其他不希望公开的信息。
「附上版本与系统信息」对新用户默认关闭，可由你主动选择；曾设置过该选项的用户沿用原有偏好。开启时仅附上表单内展示的 App 版本、系统版本和设备类别，不自动附上位置、问杯问题或历史记录。App 不会把反馈自动复制到剪贴板。
Cloudflare 接收服务在处理请求时读取正文并转发，不在 Durable Object 中持久保存正文。它保存提交编号、正文摘要、接收时间和 GitHub Issue 编号或转发状态用于防止重复提交；另外处理连接所需的 IP 地址，保存其带密钥摘要和按小时的提交计数以限制滥用。原始 IP 及其摘要均不附到公开 Issue，IP 摘要计数与去重记录分开保存。
网络失败或回执不明确时，App 保留本机草稿与提交编号供重试。回执不明确也可能意味着 GitHub 已经创建 Issue，服务会避免盲目重复发布，需要维护者核实。收到成功回执后才清空草稿；成功不代表开发者已经阅读。
托管与转发分别由 Cloudflare 和 GitHub 处理。开发者要求这些服务依照其数据保护条款处理受托数据，且不出售反馈资料或将其用于跨应用追踪。网络基础设施可能为安全、连接和运维按服务条款处理技术记录。请阅读 Cloudflare 隐私政策 和 GitHub 隐私声明。
6. 保留、删除与撤回
iPhone 历史可在「历史记录」中删除或清空；反馈草稿可通过编辑标题和正文删除输入，或在成功提交后自动清空。关闭表单不等于清空草稿。删除 App 可移除该设备的 App 本地数据；仅卸载 App、保留文稿与数据时，数据仍可能保留。手表目前可通过删除手表 App 移除本机记录。Apple 的备份副本、已同步副本和系统排队传输需要分别管理，恢复备份可能恢复旧数据。
本机数据保存到你删除、被手表的最近 30 条规则替换或系统清理为止。开发者无法远程查看或删除你设备上的问杯记录。
Cloudflare 接收服务的去重记录以 30 天为清理阈值，每小时执行一次过期清理；IP 摘要限流计数通常在对应小时结束约 2 至 3 小时后清理，全站按日总计数在次日清理。定时服务故障可能延迟清理，恢复运行后继续处理。上述清理不会自动删除 GitHub Issue。开发者未启用该 Worker 的持久运行日志；托管平台自身安全与基础设施记录按其服务政策处理。
GitHub 上的反馈保留供开发者跟进，直到维护者删除。关闭 Issue 或删除本机草稿不等于删除已发布内容。匿名反馈由服务账户发布，申请删除时请提供反馈编号或 Issue 编号及必要说明，维护者需同时核实 GitHub 和接收服务中的副本。公开渠道中不要再次提供敏感内容；公众复制的内容、GitHub 留存及 Apple 备份受各自机制约束。
7. 产品使用统计
启用统计的版本通过 HTTPS 向 TelemetryDeck 发送关键操作事件，例如 App 会话、引导完成、问杯完成次数、页面访问、设置变更、同步与反馈提交的成功或失败，以及 Pro 购买入口、购买结果和恢复状态。我们用这些数据判断功能是否易用、哪些购买入口有效，以及需要修复的流程问题。
自定义事件只包含允许的固定参数，例如 iPhone 或 Watch 平台、App 版本与构建号、当前语言、Pro 状态、入口和归类后的结果。我们不上传问题正文或摘要、具体筊相、一言标识与原文、搜索词、反馈正文、原始位置或运动数据、交易编号、凭证或 Apple 账户。未完成的问杯结果恢复与新问杯分开统计。统计平台没有读取你的本机问杯历史的接口。
TelemetryDeck SDK 还会附加设备与运行环境资料，包括设备型号、系统与 SDK 版本、屏幕规格、区域及语言设置、时区、界面方向和部分辅助功能设置。区域来自系统设置，不来自 GPS。SDK 使用设备端标识生成哈希分析标识，并生成随机会话标识；不会把原始设备标识发送给开发者。TelemetryDeck 按其公开说明继续对收到的分析标识进行处理。我们不使用广告标识，不将 iPhone 与 Watch 的标识合并为个人身份，也不与外部推广渠道的单个用户数据关联。
App 在本机保存统计首次观察时间、是否已完成观察后的首次问杯，以及购买尝试的入口和交易去重信息。待发送事件最多缓存 1,000 条，超过上限时允许丢弃；网络可用时 SDK 重试发送。缓存包含上述统计字段，不包含用户正文。删除 App 可移除本设备的统计状态和缓存；设备备份或恢复可能保留副本。已送达的统计数据不会因删除 App 自动从 TelemetryDeck 移除。服务端的保留及匿名化规则请参阅 TelemetryDeck 隐私说明；如需了解本应用统计数据的处理，请通过下方渠道联系开发者。
SDK 配置缺失、自动化界面测试及预览环境不会发送统计；开发与 TestFlight 数据与正式分析分开。统计发送失败不会阻止问杯、阅读、保存记录或购买。
8. 联系与政策更新
隐私问题、反馈处理及删除请求可通过 反馈仓库 联系 GitHub 用户 hanyitim。该渠道公开可见，请只提供处理请求必需的信息。
若功能或数据处理方式变化，我们会更新本政策及更新日期，并在适用时重新请求系统权限或必要的同意。App 内保留随当前版本提供的政策全文，离线也可阅读。