隐私政策

1. 适用范围与版本

本政策适用于“此刻状态（NowStatus）”App Store 正式版本和 TestFlight 测试版本。基础状态、计划、课程和小组件功能可在本机使用；通过 Apple 登录后可启用私人 iCloud 同步和单搭档加密共享。

此刻状态使用全新的 App 身份：Bundle ID 为 com.nowstatus.app，App Group 为 group.com.nowstatus.app，CloudKit 容器为 iCloud.com.nowstatus.app。首次使用从空数据开始，不迁移、不读取、也不删除旧 App 身份下的本机数据、搭档关系或云端记录；旧资源继续独立保留。

Apple 登录只作为账户入口；当前设备的系统 iCloud 账户才是 CloudKit 数据隔离与跨设备恢复身份。不同 iCloud 账户会进入独立的首次同步流程，不会自动合并数据。

2. 保存在设备上的数据

你创建的个人资料、头像、状态、表情、颜色、状态图片、课程、计划、导入事项和偏好设置首先保存在设备本地，用于展示 App 和小组件、计算日程并提供你主动使用的功能。

这些个人内容不会发送到开发者自建服务器，也不包含第三方广告或分析 SDK。你登录并启用 Apple 服务后，明确列出的数据由 Apple CloudKit 处理；启用搭档小组件唤醒时，开发者中继另行处理第 4、5 节列出的最小推送路由数据。

3. 可选系统权限

照片：仅在你主动选择图片时接收该张图片，用作头像或状态图片。你的图库和所选原图不会上传。启用私人 iCloud 同步时，App 会同步去除元数据、裁剪并压缩后的 512×512 JPEG 头像或状态图片副本；建立搭档连接后，App 会自动共享个人头像样式，照片头像仅共享去除元数据、居中裁剪并压缩后的 128×128 端到端加密副本。如果当前状态使用了所选状态图片，App 还可另外生成并共享一张同规格缩略图。

日历：仅在你授权并选择日期范围后读取相应日历事项，让你预览并导入为本机计划；不会向开发者上传完整日历。

健康：仅在你启用睡眠识别并授权后读取 Apple 健康睡眠阶段，用于在本机切换睡眠状态；不会向开发者上传原始健康数据。

大致位置：仅在你于“此刻”页主动开启天气后，App 打开时使用一次性大致位置向 Apple Weather 查询当前天气。不申请精确定位、始终定位或后台定位，不保存或分享城市、坐标与轨迹。

小组件与专注模式过滤条件：App 与 Apple 扩展通过 App Group 交换功能所需的最少本机设置和状态快照。

4. Apple 账户、iCloud 与搭档共享

Apple 登录用于进入账户和启用联网功能。App 会向 Apple 请求邮箱，并按系统本次返回、本次身份令牌中已验证的邮箱声明和本机钥匙串旧值的顺序尝试在本机显示；Apple 通常只在首次授权时让你选择共享或隐藏邮箱。Apple 用户标识、邮箱、登录令牌和授权码不会作为个人同步内容上传，也不会作为同步主键。

启用私人 iCloud 同步后，个人资料、处理后的头像、状态库和处理后的状态图片、语言与外观、强调色、地区和工作日、公众假日设置、快捷时长、学期与节次、课程、普通计划、全天提示、单日调整、当前手动状态、搭档自定义称呼、睡眠状态选择与自动化启用意愿，以及已建立的单搭档绑定会保存到当前设备 iCloud 账户所属的 CloudKit 私有数据库。新设备会恢复睡眠设置，但健康与专注模式仍须在该设备单独授权或设置。为让同一 iCloud 账户的其他设备恢复搭档关系，私人同步会保存稳定的加密绑定材料：随机频道、端到端长期密钥、双方 CloudKit 创建者与记录标识及搭档称呼。设备自身的收发序号、搭档状态缓存、二维码和未完成的配对会话不同步。结构化内容使用 CloudKit 加密字段，处理后的图片使用加密的 CloudKit 资源；此功能不使用开发者自建服务器。原始健康数据、睡眠检测结果、完整系统日历、系统权限、Apple 用户标识、邮箱和登录凭据不会进入私人同步。

首次启用时，云端为空会上传本机数据；本机仍是默认空数据而云端已有内容时会恢复云端数据；两边都有内容时会让你选择合并、使用 iCloud 或保留本机。切换到不同 iCloud 账户时会重新进入首次同步流程，不会自动把上一账户的本机数据上传到新账户。

单搭档共享使用另一条数据流。状态内容仅在已配对设备上端到端加密和解密；CloudKit 公共数据库仅保存密文和最少路由元数据，不保存可直接读取的状态内容。状态密文成功写入 CloudKit 后，开发者中继可向搭档的 WidgetKit 推送令牌发送一个不含状态内容的唤醒请求，让系统在允许时刷新小组件并从 CloudKit 读取、验证和解密最新记录。该推送由 iOS 调度，不能保证固定时刻或实时送达。

共享内容可包括随机频道标识、显示名称、处理后的个人头像、抽象状态、联系意愿、图标与颜色、预计结束时间、更新时间、时区和当天最多八条最小日程摘要。Emoji 与首字头像只共享对应字符、样式和颜色；照片头像只共享单独加密、去除元数据、居中裁剪并压缩后的 128×128 副本。如果你主动开启天气，还会共享天气状况代码、当前温度、观测时间与有效期；不共享城市、坐标或轨迹。如果当前状态使用了所选状态图片，还可共享其同规格加密缩略图。共享不包含原始健康数据、完整日历、位置轨迹、参与人、教师、备注、会议链接、头像或状态原图以及你的图库。

5. 收集、出售与跟踪

此刻状态不把个人内容发送到开发者自建服务器，不出售个人数据、不投放第三方广告、不进行跨 App 跟踪，也不使用第三方分析服务。搭档小组件唤醒中继仅接收 128 位匿名配对标识、匿名端点标识、WidgetKit 推送令牌、开发/生产环境、授权值的 SHA-256 摘要、注册更新时间，以及不含正文的唤醒事件标识和单调序号；不接收头像、昵称、状态、联系意愿、日程、天气、CloudKit 记录名、Apple 账户标识或端到端密钥。传输使用 HTTPS，令牌存储加访问控制；注册在解绑时请求删除，最后一次刷新满 45 天后自动清理。启用联网功能时，Apple 会按其条款处理 Apple 登录、iCloud、APNs 推送与 Apple Weather 实时请求所需数据。

App Store、TestFlight、iCloud、健康、照片、日历、设备备份和系统权限由 Apple 按其条款与政策提供和管理。

6. 保存、删除与撤回权限

本机记录会保留到你在 App 内修改、删除或退出登录。主动退出时，App 先尝试完成一次私人 iCloud 同步；同步成功后会清除该设备的个人资料、状态、计划、课程、搭档凭据和小组件缓存，但不删除已同步的 iCloud 私有数据。同步失败时默认保留本机数据和登录状态；只有你再次明确选择放弃未同步更改，才会继续清除并退出。重新登录同一 iCloud 账户后可从私有数据库恢复；改用其他账户时不会看到或上传上一账户的本机内容。卸载 App 会移除该设备上的本地容器，但私人 iCloud 数据和你控制的 Apple 设备备份可能继续保留。你可随时在 iOS 设置或健康 App 中撤回照片、日历、健康或位置权限。关闭天气会立即删除本机天气缓存，并在下一次可用的端到端加密同步中通知搭档清除该天气结果。

删除账户时，App 会先请求删除私人 CloudKit Zone（包括处理后的头像和状态图片资源）以及已知搭档云端数据；云端删除成功后才清理本机数据。网络或 iCloud 暂时不可用时，App 不会把云端删除宣称为完成。单独解除搭档会停止后续共享、请求删除当前设备的中继注册，并清理搭档状态与头像缓存；中继离线时，注册在最后一次刷新满 45 天后自动清理。当前共享头像或状态图片变更、清除时，其加密副本会被替换或删除。

7. 未成年人

此刻状态不面向 13 岁以下儿童，也不进入 Kids Category；受邀搭档共享测试仅面向成年人。

8. 联系与支持

如需帮助或对本政策有疑问，请访问此刻状态支持页面；TestFlight 测试者也可使用 Apple TestFlight 反馈功能。

9. 政策更新

我们可能因功能、系统要求或适用规则变化更新本政策。当前版本和生效日期会显示在页面顶部；实质性变化将通过适当的 App 内方式提示。