隐私政策

1. 我们收集的信息

我们仅收集提供每日宣告、跨设备同步和连续灵修体验所必需的最少信息：

• 账户信息：你的登录方式：Google或Apple。我们会收到你的电子邮件地址——如果你使用 Apple 登录并选择隐藏电子邮件地址，此处可能是 Apple 的专用转送地址——以及你的姓名由你的身份验证提供商分享（Apple 仅在你首次登录时分享），并附带来自我们登录服务的账户标识符。我们绝不会查看或存储密码：你的密码仍由 Google 或 Apple 保管。
• 你的私人日记：日记、默想提示、主题标签和记录时间都会安全地保存在你的账户中，以便在各台设备间同步。你的日记严格私密：其他用户看不到这些内容；这些内容不会用于广告，也不会用于算法画像。
• 操练与连续记录历史：连续记录取决于你是否每天打开应用——某天打开 Edifice 就计为一天。因此，当你打开应用、查看一则宣告或标记完成一项操练步骤时，我们会在服务器记录时间戳、相关项目的 ID，以及按你设备时区计算的日期。这些信息可确保你在不同设备间及重新安装后仍能准确保留连续记录。我们不会记录你是否开口或实际说了什么；参见第 2 节。
• 已保存的宣告与目标：你收藏的宣告以及在初始设置时选择的灵性专注目标会被保存，用于个性化你的每日操练。
• 用户撰写的故事：如果你撰写故事并明确选择发布发布后，持有链接的人便可看到故事和你的名字。发布完全出于自愿；未完成的草稿仍只对你本人可见。
• 订阅状态：如果你选择订阅 Edifice Glory，付款会由 Google Play 商店或 Apple App Store 直接处理。我们仅接收加密的交易令牌和状态标记，以便在你的各台设备上启用订阅。我们绝不会接收或存储信用卡号或账单地址。
• 偏好设置：你选择的旁白音色偏好和界面语言。
• 你发送给我们的反馈：如果你使用设置 → 发送反馈，我们会在服务器上保存你填写的消息、所选类别，以及你使用的应用版本和平台。消息为自由文本，因此你写下的所有内容——例如姓名、个人情况描述或他人信息——都会按原文保存；请只分享你愿意让我们阅读的内容。该消息关联至你的账户，这样我们便可视情况跟进，也能在你的账户删除时一并删除。消息最多 1,000 个字符，仅 Edifice 团队可阅读；绝不会公开、展示给其他用户，也不会用于广告或画像分析。你无需使用此表单，也可以发送电子邮件至第 10 节所列地址。
• 使用情况、诊断与崩溃数据：Android 和 iPhone 应用会向第 5 节所列的分析及崩溃报告服务商发送使用事件（例如你打开了哪些功能、何时完成步骤——只记录涉及的内容项目，不会记录你写下的文字）、崩溃报告（故障情况、设备型号、操作系统和应用版本，以及崩溃前的操作）和性能测量数据（应用启动时间、网络请求耗时、内存和处理器使用情况）。购买订阅时，也会记录产品和价格。这些数据使用随机安装标识符，并且不会关联你的姓名、电子邮件地址或账户，且不会包含你的日记、故事或反馈。我们的分析与性能服务商也会根据 IP 地址推断大致的城市或国家级位置。网页应用不会发送这些信息。

2. 我们明确不会收集的信息

为保护你的隐私并符合 Google Play 和 App Store 的规范：

• 不收集语音或录音：宣告操练由用户自行确认。应用不会录制、捕获或传输麦克风音频。
• 不收集精确位置：我们绝不请求位置权限，也不使用 GPS。涉及的唯一位置数据，是我们的分析及性能服务商根据你的 IP 地址推算的大致城市或国家级位置（参见第 1 节）。
• 不收集联系人或通讯录：我们绝不会访问你的联系人。
• 不读取照片或文件：我们绝不读取或上传你的照片或文件。当你选择保存分享卡片时，应用只会将该张图片添加到你的照片图库，不会进行其他操作。
• 不收集广告标识符：我们不会收集 Google 广告 ID（AAID）或 IDFA。
• 不收集密码：你使用 Google 或 Apple 登录。Edifice 绝不索取、查看或存储密码。

3. 安全与加密

我们采用严格的技术防护措施来保护你的个人信息：

• 传输加密：Edifice 应用发送至我们服务器以及第 5 节所列服务商的所有信息，都会在传输过程中使用此方式加密：HTTPS（TLS）。已禁用明文网络流量。
• 设备层级的安全保护：会话身份验证令牌使用平台硬件加密安全存储；Android 密钥库在 Android 设备上，以及iOS 钥匙串在 Apple 设备上。在网页版应用中，登录令牌保存在浏览器的本地存储中。Android 可能会将应用数据包含在你自己的设备备份中，但登录令牌无法从备份中恢复。
• 服务器架构：我们的数据库设有访问权限控制，重要账户安全事件会记录在审计日志中。

4. 我们如何使用信息（法律依据）

5. 第三方基础设施与数据处理方

我们不会为营销或广告目的向第三方分享你的数据。以下服务商代表我们处理数据，以运行本服务：

• 托管与计算：由 Render 提供托管式后端应用服务器，运行于安全的云基础设施。
• 数据库：由 Neon 提供托管式 PostgreSQL 服务，并对静态数据加密。
• 支付平台：Google Play Billing（Google LLC）和 In-App Purchase（Apple Inc.），分别按照各自的隐私政策处理付款。
• 登录：Firebase Authentication（Google LLC）负责验证你的 Google 或 Apple 登录信息，并保存你的电子邮件地址、姓名和账户标识符。Google 与 Apple 根据各自的隐私政策处理登录过程。
• 分析、崩溃报告与性能：Google Analytics for Firebase、Firebase Crashlytics、Firebase Performance Monitoring（Google LLC）和 GameAnalytics。它们会接收第 1 节所述的使用、崩溃和性能数据，并通过随机安装标识符识别设备，而非通过你的账户识别。

6. 数据保留与账户删除

你的数据完全由你掌控。你可以随时直接在应用中删除单篇日记。

当你请求彻底删除账户时（可在应用中通过以下路径操作：设置 → 删除账户或通过我们的网页账户删除页面):

1. 立即失效：你的账户会立即停用，所有设备上的有效身份验证会话都会撤销。
2. 7 天安全等待期：为避免用户误删账户或账户遭未经授权者接管，数据会安排在约 7 天后永久清除。在此期间登录即可取消待执行的删除。
3. 永久删除：等待期结束后，你的账户、个人资料、私人日记、连续记录、目标、已保存内容，以及你通过应用发送的所有反馈，都会从生产数据库中永久且不可逆地彻底删除。反馈也会直接删除，不会以匿名形式保留，因为无论是否附有姓名，你写下的消息都属于你的文字。

删除后会留下什么。我们会保留无法关联回你的删除记录（包含原账户 ID 的加盐单向哈希及日期）；解除账户关联的购买收据，以处理账单争议（Apple 或 Google 仍可能通过其交易 ID 识别你）；以及指向已不存在账户 ID 的安全审计记录。含有旧数据的数据库备份会按服务商的计划到期删除。分析服务商持有的使用、崩溃和性能数据未与你的账户关联，因此不会因账户删除而移除；这些数据会按照服务商的保留设置到期清除。

故事。已发布的故事会立即从公开页面移除；私人记录会保留至你的账户删除。

7. 你的隐私权利

根据《通用数据保护条例》（GDPR）和《加州消费者隐私法》（CCPA/CPRA）等法规，你有权访问、更正、转移或删除个人数据。你可以直接在应用中删除数据，也可以联系隐私团队：supernaturalbrian@gmail.com。应用不提供自助数据导出；如需获取数据副本，请通过电子邮件提出申请。

8. 儿童隐私

Edifice 并非面向未满 13 周岁的儿童。我们不会故意收集未满 13 周岁儿童的个人信息。如果发现未满 13 周岁的用户提供了个人数据，我们会及时将其删除。

9. 本政策的变更

如果我们更新本隐私政策，修订版本会发布在此页面，并注明新的生效日期。重大变更也会通过 Edifice 应用通知你。

10. 联系我们

如对本政策有任何疑问、咨询或隐私请求，请联系支持团队：

Edifice 隐私事务组
电子邮件：supernaturalbrian@gmail.com
网站：https://edificeapp.org