隐私政策
本隐私政策阐明 Candor（下称「本应用」）如何处理相关信息。
1. 我们是谁
服务商 / 开发者：Markus Levi
电子邮箱：support@candorjournal.com
技术支持页面：https://candorjournal.com/support
如果你对本隐私政策或本应用的隐私实践有任何疑问，可通过上述邮箱与开发者取得联系。
2. 概述
本应用设计为处理高度敏感的健康与个人信息的私密个人记录工具。
本应用不需要任何用户账号。
本应用采用去中心化架构设计，用户输入的信息直接保存在用户的本地设备上，绝不会上传至开发者运营的后端服务器。
3. 应用内处理的信息
根据你对本应用的使用方式，你可能会输入高度敏感的健康与个人信息，包括活动记录、随笔笔记、伴侣详情、PrEP 或 DoxyPEP 用药安排、STI 检测历史以及心境反思。
这些信息仅用于向你提供所请求的应用功能，包括记录与分类整理、依从性与周期计算，以及在应用内部展示历史趋势与统计摘要。
开发者不会仅因你在应用中输入了这些私密记录而自动获取或知悉它们。
4. 绝无开发者后端搜集
本应用不使用任何由开发者运营的云端后端来收集或存储你的私密日记。
开发者绝不出售你的私密记录，亦不将其用于广告宣传、营销画像构建、数据挖掘或任何其他商业目的。
5. 本地设备端存储与可选的 iCloud 同步
输入本应用的信息均保存在你的本地设备存储空间中。
如果你在设备上启用了 iCloud 或相关的 Apple 同步功能，部分应用数据可能会通过 Apple 的 CloudKit 或 iCloud 服务在你的不同设备之间进行加密同步。
此类同步完全通过 Apple 的系统服务进行，绝不经由开发者独立运营的云端基础设施。
6. 通知
本应用可能会请求发送本地通知的系统权限，用于提醒服药或检测等目的。
此类通知完全由你的本地设备直接生成。
本应用允许你在不同的通知呈现模式之间切换，包括不显示任何敏感文字的隐密预览模式。
由于通知内容可能会根据你的设备设置出现在锁屏或其他公开可见的界面上，用户有责任根据自身所处的现实环境选择适合的通知显示模式。
7. 面容 ID / 触控 ID
本应用提供面容 ID 或触控 ID 作为可选的设备级访问防护层。
该功能调用的是 Apple 固化在设备本地的系统生物识别验证框架。
在面容 ID 或触控 ID 的常规验证流程中，开发者绝不会接收到任何生物识别原始数据或特征模板。
8. 分析统计
本应用不使用任何第三方分析 SDK、第三方广告 SDK 或第三方崩溃报告收集 SDK。
在用户同意向应用开发者共享诊断与使用数据的前提下，开发者可能会查阅由 Apple 通过 App Store Connect 或类似平台工具汇总提供的匿名化统计数据。
对于完全由 Apple 平台层面汇总收集的诊断分析，Apple 规定开发者无需将其声明为开发者主动搜集的数据。
9. 用户反馈邮件
应用内可能包含反馈入口，点击后会调用你设备上的邮件客户端生成一封致开发者的草稿。
通过此途径发送的任何电子邮件，均属于你在应用之外完全自主决定的通讯行为。
如果你选择发送邮件，开发者将接收到你的电子邮箱地址以及你在正文中主动包含的所有信息。
该信息仅用于审查、处理及答复你的技术支持请求或产品建议。
建议你在技术支持邮件中避免包含任何非必要的敏感健康或高度私密信息。
10. 订阅
本应用需要有效的付费订阅（「Candor+」）方可使用全部功能。
新用户享有 14 天的免费试用期。
价格：¥148.00 / 年，按年计费。
订阅将在每个计费周期结束时自动续订，除非在当前周期结束前至少 24 小时取消。
免费试用期到期后将自动转为正式付费订阅，除非在此之前已手动取消。
若未续订，应用的功能访问权限将被暂停，直至重新激活订阅。
购买订阅不构成获得医疗咨询、个性化诊疗服务、优先客服通道或未来特定功能的权利承诺。
所有订阅款项均由 Apple 通过你的 Apple 账户处理与管理。
计费、续订、取消及退款政策完全遵循 Apple 媒体服务的相关条款。
你可以随时在「设置 → 你的姓名 / Apple 账户 → 订阅」中管理或取消订阅。
11. 数据共享与对外披露
鉴于本应用不使用任何开发者运营的后端存储私密记录，开发者绝不会向任何第三方共享、出售或披露你的私密日记。
如果你使用 Apple 提供的服务（如 iCloud、App Store 计费或平台级分析），此类服务受 Apple 自身的隐私政策管辖。
如果你主动通过邮件发送反馈，你的邮件服务提供商及中继服务将根据其自身的隐私规范处理该邮件通讯。
12. 用户自决与数据删除
你可以直接在应用内完全管理、编辑与删除你的条目。
本应用内建了带确认验证的「抹掉所有数据」功能，以便你彻底、不可逆地清空本地保存的所有记录。
本应用还设计了紧急销毁机制（紧急 PIN），旨在实现本地存储数据的瞬时静默自毁。
从设备上删除本应用通常会一并彻底移除本地存储的数据，具体取决于你的系统设置以及是否存在 iCloud 备份。
13. 无通用导出或外发分享工具
本应用不对你的私密日记提供常规的一键导出或系统分享菜单功能。
除你自主通过 Apple 基础设施开启的 iCloud 同步以及主动发送的技术支持邮件外，你的私密记录始终封闭在你的本地设备之内。
14. 其他系统权限
除本地通知和可选的面容 ID / 触控 ID 防护外，本应用不请求任何其他敏感设备权限，如地理位置、通讯录或相机。
如果未来版本中的应用权限发生变更，本隐私政策将同步修订。
15. 消费者健康数据合规声明 (华盛顿州《My Health My Data Act》)
本应用可能会处理在适用法律下被归类为消费者健康数据或其他敏感健康信息的数据。
在相关法规适用的范围内，此类信息处理的唯一目的，在于向用户提供其明确请求的个人记录工具功能。
开发者绝不出售消费者健康数据，亦不运营任何独立的后端系统用于收集此类信息。
16. 未成年人保护
本应用不面向未成年人提供。
17. 安全性
本应用采用「数据完全留存于本地设备」而非「上传至开发者云端服务器」的架构，旨在从根本上最小化私密记录的外泄暴露风险。
然而，没有任何电子存储、网络同步或通讯方式能够被保证绝对不可攻破。
你仍有责任妥善保管设备物理安全、锁屏密码、Apple 账户、iCloud 配置及个人邮箱的安全。
18. 本隐私政策的变更
本隐私政策可能会适时更新，以反映应用的演进、法律法规的调整或开发者实践的优化。
最新版本将通过应用内部或技术支持网站发布。
19. 网站 Cookie 声明
本节仅适用于官方网站 candorjournal.com，不适用于应用本身。两者在技术架构上完全隔离 — 网站无法访问任何应用数据，应用本身亦不使用任何 Cookie。
绝对必要型 Cookie
本网站托管于 Tilda 平台，该平台会植入极少数维持基础页面渲染与安全防护所必需的技术 Cookie。它们不包含任何个人身份信息，且无法关闭。
分析型 Cookie
若你给予授权同意，本网站可能会植入分析型 Cookie，用于生成有关页面访问量及流量来源的匿名统计。这些 Cookie 不含任何可直接识别个人身份的标记。
广告型 Cookie
本网站不使用任何广告推销、再营销或跨站点追踪 Cookie。
网络字体加载
页面从 Google Fonts 加载字体样式。在加载字体时，你的浏览器会与 Google 服务器建立连接，从而使 Google 获取你的 IP 地址与浏览器环境数据。Google 声明将字体资源请求与其主要业务数据分离处理，不用于用户画像。
更改 Cookie 偏好
Cookie 授权横幅将在你首次访问时展示。你可以随时通过网站页脚的「Cookie 设置」链接调整你的选择。
20. 语言效力
本隐私政策可能提供非英语的其他语言翻译文本供参考。若翻译版本与英文原始版本之间存在任何理解分歧或矛盾，概以英文版本为准。
21. 联系方式
如有任何关于隐私事务的咨询或权利行使请求，请联系：
服务商：Markus Levi
联系邮箱：support@candorjournal.com
技术支持页面：https://candorjournal.com/support