隐私政策

1. 我们处理的信息

根据你使用的功能，我们可能处理：

• 账户与认证数据：邮箱、可选手机号、显示名称、头像地址、用户 ID、登录方式、账户时间、验证与恢复记录，以及使用 Apple 登录时的 Apple 标识符。
• 接收人与共享数据：指定接收人的账户 ID 或联系方式、确认与邀请记录、发送者身份披露选择、投递状态、开启状态、开启进度及撤回状态。
• 胶囊与媒体数据：标题、文字、情绪设计、开启时间、Shared 或 Personal 模式、照片、视频、录音、文件、音乐引用、可选地点与天气、媒体元数据和完整性值。
• 设备与运行数据：设备和 App 环境、APNs token、通知语言偏好、上传与投递状态、安全事件、错误诊断，以及运营和排障所需的有限日志。
• StoreKit 与权益数据：产品 ID、经验证的交易 ID 与原始交易 ID、订阅状态与付费周期、账户绑定、Shared 余额与账本活动、Personal 额度、赠送、预约、退款、退款撤销及对账状态。Capsoul 不会收到完整的支付卡信息。
• 支持数据：你主动发送的消息与非敏感引用、联系地址、问题时间、App 版本及回复记录。
• 安全与滥用数据：举报类别与说明、举报人和被举报账户引用、相关胶囊引用、审核状态、审核所需证据、防欺诈信号及屏蔽关系。

2. 我们如何使用信息

我们使用这些信息来认证用户；创建、储存、释放和投递 Shared Capsoul；识别指定接收人；展示开启进度；执行 Personal 额度和授权密钥释放；处理经验证的购买与会员；发送服务通知；回复支持请求；防止欺诈与滥用；调查举报；执行屏蔽；处理账户删除；并履行法律义务。

我们不会出售或出租个人数据，也不会为了广告目的向第三方共享个人数据。

3. Personal 胶囊保留在本地

Personal 胶囊文档保留在本机。Personal 正文与媒体使用 AES-256-GCM 在设备上加密，保存为绑定账户并排除在云备份之外的本地 .capsoul 文档。Capsoul 不上传 Personal 明文或媒体，也不为 Personal 正文与媒体提供云端资料库、同步、发现或备份。

CloudBase 仍可能处理执行功能和授权释放密钥所需的有限账户额度、权益、预约与提交状态、经过哈希的标识、加密包完整性值、预定开启时间及封装密钥元数据。导出和导入的 Personal 文档保持加密并绑定原账户。

4. Shared 投递与服务提供商

腾讯云开发（CloudBase）及相关腾讯云服务作为服务提供商，为认证支持、数据库操作、Shared 对象存储与投递、邮件或短信投递以及可选推荐功能提供支持。Apple 提供“通过 Apple 登录”、App Store、StoreKit 及 Apple 推送通知服务（APNs）。这些提供商仅在提供相应服务和运营 Capsoul 所需范围内处理信息。

访问控制会根据适用的释放与安全规则，将 Shared 内容限定给发送方、指定接收方和获授权的服务操作。我们使用 APNs token 与语言数据发送服务通知，不会把私密胶囊内容放入通知载荷。

对于符合条件的 Shared Capsoul，可能保存经验证的本地文档，但前提是相关功能已启用且认领条件得到满足。确认必要的持久本地副本或相应认领期限结束后，符合条件的云端媒体之后可能被清理。这是有条件的生命周期行为，不表示每个账户或胶囊都已启用清理。由他人设备控制的本地文档无法通过账户删除远程移除。

5. 举报、屏蔽与安全保留

举报会提交审核所需的有限信息，例如账户与胶囊引用、类别、可选说明、相关服务证据和审核状态。我们不会向被举报人透露举报人的身份。屏蔽是独立关系，在你解除屏蔽前会保持有效。

已结案的举报记录与审核历史通常保留 180 天。仅在安全、防欺诈、争议或法律合规确有需要时延长保留，例如持续调查或法律保全。

6. 保留与删除账户

账户、未开启 Shared 胶囊、购买、权益与运行信息会在提供服务以及执行购买与封存政策所需期间保留。验证码、上传会话、通知尝试及其他临时数据会在可行情况下采用较短的运行保留期。

你可以在 App 内通过“个人资料 → 删除账户”申请删除；若无法进入 App，也可联系支持。验证后，我们会在 30 天内删除或匿名化账户数据与相关服务内容；但安全、购买记账、安全治理、争议、防欺诈或法律要求所需的有限记录除外。

服务端删除成功后，App 会尝试从当前设备移除该账户的 Personal 包、密钥和临时明文。如果服务端删除失败，App 会保留会话与本地密钥材料，避免因请求失败而过早破坏本地访问。删除账户不会取消 Apple 订阅，也无法远程抹除其他设备上由用户控制的本地副本。

7. 权限与选择

你可以更正资料、拒绝提供可选媒体与地点、选择接收人、选择发送者身份披露方式、按 App 规则撤回符合条件且未开启的 Shared Capsoul、管理屏蔽并申请删除。相机、麦克风、照片、位置、联系人与通知等设备权限仅在相关功能需要时请求，并可在系统设置中管理。Capsoul 不会持续追踪位置。

8. 儿童、安全与跨境处理

Capsoul 不面向 13 岁以下儿童，我们不会有意收集其个人信息。如你认为儿童向我们提供了信息，请联系我们。

我们采取适合本服务的访问控制、服务端验证、已说明场景中的加密与数据最小化措施，但任何系统都无法保证绝对安全。信息可能在服务提供商运营所在地处理，并受适用保障与法律约束。

9. 变更与联系

我们可能更新本政策，并会对重大变更提供适当通知。如有隐私问题或请求，请访问支持页面或发送邮件至 support@capsoul.chat。