隐私政策
最后更新：2026 年 7 月 29 日 · 适用于灵迹（Lingji）iOS App
1. 隐私摘要
灵迹的记录默认保存在设备本地。当前版本不运营用于接收或存储用户记录的自建服务器，也未接入第三方广告、行为分析或崩溃收集 SDK。动物识别使用 Apple Vision 在设备端完成。
当 Pro 权益有效且 iCloud 可用时，灵迹会通过 Apple CloudKit 将记录同步到用户 iCloud 账号的私人数据库。地图、iCloud 照片、CloudKit 与购买功能会按功能需要使用 Apple 系统框架与服务；Apple 对相关数据的处理受 Apple 自身条款与隐私政策约束。
2. 灵迹处理的数据
为提供记录、识别、地图、同步与分享功能，灵迹会在设备上处理以下数据：
- 记录内容：照片与缩略图、动物类型、记录名称、备注、状态、发现时间、地点名称、照片裁切位置与缩放设置。
- 位置数据：设备定位、用户在地图上选择的位置，或所选照片包含的位置；记录会保存经纬度，并生成用于界面显示的地点文字。
- 识别与照片来源信息：动物识别结果与置信度，以及为判断照片来源而在设备端读取或生成的拍摄时间、拍摄设备厂商和型号、照片是否含 GPS、是否为截图、是否来自用户相册、来源类型、照片指纹和记录更新时间。
- 本地设置：外观、引导完成状态、功能提示状态，以及是否自动把 App 内拍摄的照片保存到系统相册。
- 购买权益：App 通过 StoreKit 在设备端读取与灵迹 Pro 有关的有效商品标识和权益状态。
记录名称用于描述动物或这次记录，不是灵迹账号姓名。当前版本不提供灵迹账号注册或登录，也没有把设备标识、使用行为、崩溃或诊断信息发送到开发者服务器的代码。
3. 本地存储
记录元数据保存在 App 的本地文件中，记录照片和缩略图保存在 App 自己的沙盒目录中。灵迹也会使用内存缓存和位于 App 沙盒内的同步工作文件，以便展示照片和完成 iCloud 同步。
本地记录会保留到用户删除相应记录、删除相应照片或删除 App。把拍摄照片或分享卡片保存到系统相册后，该相册副本由用户通过“照片”App 管理，不会随灵迹中的记录一起删除。
4. 动物识别
灵迹使用 Apple Vision 的动物识别与通用图像分类能力，在设备端识别动物类型及部分可识别特征。当前版本未打包自定义 Core ML 模型，也未使用网络识别接口。
用于识别的照片不会发送到开发者服务器或互联网识别服务。识别结果会成为记录的一部分，因此在 iCloud 同步开启时，识别结果会随该记录通过 CloudKit 同步。
5. iCloud 同步
在尚未启用 Pro iCloud 同步时，新建和修改的记录只保存在本机，灵迹不会启动 CloudKit 记录同步。当 Pro 权益有效且用户已登录 iCloud 时，灵迹会使用 Apple CloudKit 的私人数据库和专用记录区同步全部灵迹记录；当前代码不使用 CloudKit 公共数据库或共享数据库。
同步内容包括记录标识、动物类型与识别结果、记录名称、备注、状态、地点名称、原始经纬度与地图显示坐标、发现和修改时间、照片与缩略图、附加照片、照片裁切和缩放设置，以及与照片来源和识别有关的证据信息。
灵迹不运营用于接收或存储用户记录的自建服务器。启用 iCloud 同步后，上述数据会通过 Apple CloudKit 存储在用户 iCloud 账号的私人数据库中，并由 Apple 的 iCloud 服务负责传输和保存。
Pro 权益到期或失效后，灵迹会停止 CloudKit 同步，本机数据继续保留；已经同步到 iCloud 的数据不会因此自动删除。重新取得 Pro 权益且 iCloud 可用后，同步可以恢复。
6. 相机、相册和定位权限
灵迹会为对应功能请求以下系统权限：
| 权限 | 用途 |
|---|---|
| 相机 | 用于拍摄要记录的动物照片。 |
| 相册（读取与选择） | 用于在 App 内浏览系统允许灵迹访问的最近照片，并导入用户选择的照片及其拍摄时间、位置和来源信息。选择“有限访问”时，灵迹只能浏览用户允许的照片；允许访问所有照片时，App 内照片列表会读取最近最多 300 张照片。若所选照片只保存在 iCloud 照片中，系统可能通过 Apple 的 iCloud 服务下载照片。 |
| 相册（添加） | 用于按用户设置保存 App 内拍摄的照片，或在用户主动操作时保存分享卡片。 |
| 定位（使用 App 期间） | 用于获取并保存动物观察位置、在地图上展示记录、把坐标转换为地点文字以及计算距离。灵迹按需请求一次位置，不进行后台定位或持续定位。 |
灵迹请求约十米级的定位精度，并按系统提供的数值保存经纬度；代码不会在保存前主动降低精度或截短小数位。因此，当系统“精确位置”开启时，这些数据应视为精确位置。若用户在系统设置中关闭“精确位置”，灵迹只能使用系统提供的大致位置。
从相册导入照片时，灵迹也会读取照片资源或 EXIF 中包含的位置。地图显示和地址转换由 Apple MapKit 或相关系统服务处理，必要的坐标和地图请求会发送给 Apple。
7. 购买与订阅
灵迹的购买和订阅由 Apple App Store 与 StoreKit 处理。付款信息在 Apple 提供的购买界面中完成，灵迹不会取得银行卡号、支付账号或其他付款凭证。
App 在设备端读取经 StoreKit 验证的商品标识、退款状态和当前有效权益，用于判断是否启用 Pro 功能。当前代码不会上传收据或交易标识，不使用 App Store Server API，也未配置开发者服务器接收 App Store Server Notifications。
Pro 权益失效后本地记录和照片不会被删除；iCloud 同步的变化见本政策“iCloud 同步”和“数据保存与删除”部分。
8. 分享功能
灵迹只会在用户主动制作并确认分享卡片、再打开系统分享面板后，把分享内容交给用户选择的接收对象或平台。分享卡片可能包含所选照片、记录名称、状态、日期、地点文字和备注，但不直接写入经纬度。
接收对象或平台取得内容后，其后续处理受该对象或平台的隐私规则约束。为保留图片透明区域，灵迹会在系统临时目录生成一份 PNG 文件；当前版本会在下次分享时覆盖同名文件，但没有在分享结束后主动删除该文件，系统可能按临时目录管理规则清理它。
9. Apple 系统框架与服务及第三方 SDK
灵迹使用 Apple 提供的 Vision、Core Location、MapKit、Photos、CloudKit 与 StoreKit。Apple 可能为提供这些系统服务处理相应的照片、位置、iCloud、购买或诊断数据；相关处理由 Apple 负责，并受 Apple 隐私政策约束。开发者不能控制 Apple 的全部数据处理行为。
当前项目没有 Swift Package Manager 或 CocoaPods 第三方依赖，也没有集成第三方广告、行为分析或崩溃收集 SDK。
10. 数据保存与删除
- 删除单条记录：用户可以从首页或“我的”档案中的记录菜单删除单条记录。删除后，App 会移除本机的记录元数据、封面照片、缩略图和附加照片文件。
- 删除单张照片：用户可以在记录详情页的照片菜单中删除单张照片。删除的是灵迹沙盒中的照片副本，不会删除系统“照片”App 中原有或另行保存的照片。
- 删除全部数据：当前版本没有“删除全部记录”、单独清除全部 iCloud 记录或清除缓存的入口。
- iCloud 删除：当 CloudKit 同步正在启用时，删除记录会加入 iCloud 删除同步队列。执行需要网络和 Apple CloudKit 服务可用，其他设备会在后续同步时收到删除结果，灵迹不承诺从所有设备完成删除的具体时间。若 Pro 权益无效或 iCloud 不可用，本机删除不会在当时发起新的 CloudKit 删除请求。
- 删除 App：删除 App 通常会移除其本机沙盒中的记录、照片和工作文件，但不会自动删除此前保存在 iCloud 私人数据库中的记录。重新安装并恢复 Pro 与 iCloud 同步后，仍在 iCloud 中的记录可能再次下载。
当前实现没有开发者账号系统、用户数据后台或由开发者代替用户远程删除私人 CloudKit 记录的机制。开发者可以提供操作说明，但不能通过自建服务器代替用户执行删除。
11. 权限撤回
你可以在系统设置中修改相机、照片和定位权限，也可以在定位权限中关闭“精确位置”。撤回权限不会自动删除已经保存在灵迹本机或 iCloud 中的记录，但相关拍摄、导入、保存、定位或地图功能可能无法继续使用。
12. 儿童隐私
灵迹不专门面向儿童设计。当前版本不提供账号注册，也不通过开发者服务器收集儿童的记录内容。监护人如对儿童使用灵迹时产生的数据有疑问，可以通过本政策中的联系方式咨询。
13. 政策更新
隐私政策发生变化时，本页与 App 内政策会更新相应内容和“最后更新”日期。新版本政策自公布之日起适用于对应版本的灵迹。
14. 联系方式
对本政策或灵迹的数据处理方式有疑问，可发邮件到 [email protected]。