订心丸（Subswell）隐私政策

谁负责您的信息

订心丸（Subswell）的个人运营者、个人信息处理者为张冰（Bing Zhang），并由其担任隐私负责人，负责个人信息保护相关事务。隐私咨询、访问、更正、复制、删除及投诉，请联系 subswell@outlook.com，主题可写“订心丸隐私请求”。本政策说明本应用的信息处理；第三方自身服务另有政策，但不减轻我们对自身处理活动的责任。

您可以不注册，直接在本机记录订阅。以下分别说明本机保存、功能所需的联网及会员云同步；没有登录不表示所有功能都不联网。阅读本政策不等于授予全部权限，也不代替依法需要的单独同意。

订阅记录与图片

您填写或操作产生的订阅名称、套餐、分类、金额、币种、周期、开始与续费日期、状态、备注、图标，以及付款、退款、套餐变更和最近删除记录，先保存在本机，用于记录、统计、提醒和恢复操作。

会员登录后，当前账号的这些记录会自动同步至腾讯云，以便换设备取回。未登录时保存的记录须经您选择「关联本机现有订阅」归入账号后才纳入同步；其他账号的记录不会归给当前账号。断网时，待上传修改暂存在本机队列中。

自定义图标通过系统照片选择器取得您选中的图片，缩小后作为图标保存；该订阅同步时图标也随记录上传。我们不因此读取整个相册。请勿在名称、备注或图片中填写密码、身份证件、银行卡资料等与记账无关的敏感信息。

邮箱、登录与本机偏好

注册、登录、设置或找回密码时，腾讯云 CloudBase 身份认证服务接收邮箱、验证码及验证编号；采用密码方式时，还处理为注册、验证或重设而提交的密码。账号标识、随机生成的安装标识和会话用于识别账号、保持登录及保护安全。验证码通过邮件服务送达您选择的邮箱；您的邮箱提供方也会处理这封邮件。

App 通过加密连接提交账号请求，将安装标识和登录会话凭据存入系统钥匙串，不将密码写入订阅记录。退出登录会清理当前设备的登录凭据，但不会删除云端账号。

成功登录后，最多三个近期邮箱保存在本机用于输入联想，退出后仍保留；可点击邮箱候选旁的 × 单独删除。外观、显示币种、图标识别偏好和协议版本确认等保存在本机。年龄范围由您确认，不收集完整生日或身份证件。

图标识别与汇率

本地常见订阅目录及名称、套餐的本地匹配在设备上完成。在线识别开启时，名称输入停顿后，如本地结果不足，App 可能将订阅名称及设备地区代码发送至 Apple 搜索服务，查找图标与分类；手动搜索会发送搜索框内的名称。预览或选用在线图标时也会请求图片。上述请求不附带账号邮箱、金额、周期或备注，但接收方会获得建立连接所需的 IP 地址等网络信息。

在线识别可在订阅图标菜单中关闭；关闭后仍可手动填写名称、分类和图标。匹配结果可能错误，您可以更正。

跨币种统计向 Frankfurter 公共汇率接口发送币种代码，获取并在本机缓存汇率及日期；不发送邮箱、订阅名称、金额、备注或账期。多币种页面可能自动发起请求。网络基础设施仍需处理通信信息，不因未发送账单金额就等于完全没有网络数据处理。

提醒、购买与客服

本机通知或闹钟使用订阅名称、日期及本机记录标识安排和打开提醒。通知权限由系统管理；订阅的相关提醒设置可随记录同步，但每台设备仍需各自授权。锁屏通知可能显示订阅名称，可调整系统通知预览设置。

Apple 处理会员付款。订心丸使用会员商品、交易标识、购买及到期时间、退款状态和与订心丸账号对应的标识确认权益、恢复购买、防止重复记账，并自动记录订心丸会员订阅。我们不接收银行卡号或 Apple 账户密码。Apple 自身的购买及财务记录按其规则另行处理。

您主动联系客服时，我们处理发件地址、问题描述、附件及回复记录，用于回应请求、排查问题和处理投诉。客服邮箱使用 Microsoft Outlook；请勿发送密码、验证码或不必要的敏感材料。导出账单时，您选择的接收 App 或保存位置会取得导出文件，由您决定如何分享。

功能选择与处理依据

账号验证、您选择的云同步和会员核验用于提供相应服务；本机记录、统计和提醒用于完成您要求的功能。我们仅在适用法律允许的范围内，为账号与服务安全、故障处理及履行法定义务处理必要信息。对于以同意为依据的可选处理，您可撤回同意，不影响撤回前合法处理的效力。

您可关闭在线识别、关闭单项提醒，或在 iOS 设置中撤回通知等权限。拒绝照片或通知权限不会阻止基本记账。不注册也可使用本机功能；退出登录停止该账号在本机继续同步，但不删除已上传内容。如要撤回账号服务所需授权并删除云端内容，可在头像页注销账号或联系我们协助。

本应用不读取系统通讯录、系统日历、麦克风或精确位置，不连接银行账户。我们不出售个人信息，不使用个人信息投放定向广告，不进行跨 App 广告追踪，也不作对您产生法律或类似重大影响的纯自动化决策。分类建议只是可修改的辅助结果。

服务商与信息保护

我们对受托处理负责，要求接收数据的服务商仅在所述用途和必要范围内处理，并提供不低于本政策及适用要求的保护，不允许仅因服务外包而扩大用途。涉及独立第三方的处理时，我们同样履行相应的告知、合法性及安全保护义务；若无法达到必要保护要求，应停止相关提供或调整服务。依法向有权机关提供必要信息时，我们审查依据并限制范围。

腾讯云 CloudBase：腾讯云计算（北京）有限责任公司，提供账号认证、验证码邮件及按账号保存的云同步。正式订阅数据库使用中国大陆上海地域，接收范围见前述账号和订阅章节。客户业务数据与开发者自己的腾讯云账户资料不同，前者按所购服务的约定处理。可查看 腾讯云客户数据说明 及 腾讯云隐私声明与联系渠道，也可通过我们的邮箱提出相关请求。

Apple：Apple Inc. 及按地区提供服务的 Apple 关联主体，提供 App Store、会员交易、搜索与图片等服务，接收范围见前文。Apple 的处理设施可能位于美国、爱尔兰等国家或地区。详见 Apple 隐私政策，权利请求可通过 Apple 隐私联系入口 提出。我们不会通过本政策取得访问您其他 Apple 购买记录的权限。

Frankfurter：使用公开汇率接口 api.frankfurter.dev，其开源项目维护者提供公共服务，采用 Cloudflare 缓存及网络防护。官方隐私说明 表示该 API 不收集或记录个人数据、IP 地址或请求网址，只提供汇总流量统计。这不表示通信不经过网络基础设施。可通过 项目联系入口 了解接口问题，涉及您的隐私请求也可先联系我们，不必公开个人资料。

Microsoft Outlook：Microsoft Corporation 及适用关联主体，提供我们使用的客服收信服务，处理您发送的邮件和附件。数据可能在美国及 Microsoft 运营设施所在其他地区保存和处理，不限于订阅数据库所在的上海。详见 Microsoft 隐私声明及隐私联系入口。不向客服发信不会影响本机记账。

Cloudflare Pages：Cloudflare, Inc. 及适用关联主体提供公开政策网页的托管、内容分发和网络防护。访问这些网页时，Cloudflare 会处理 IP 地址及请求、路由、设备或系统配置等网络信息，用于提供和保护网页服务。其隐私政策说明信息主要存储在美国和欧洲经济区，也可能在其他运营地区访问和处理。网页不要求登录订心丸，不因阅读政策向 Cloudflare 上传您的订阅记录、账号密码或验证码。我们上传的政策页面未加入广告或第三方分析脚本。详见 Cloudflare 隐私政策及联系渠道。

保存期限、删除与备份

正常使用的记录：本机资料在您保留期间保存；已同步账号资料在账号存续及提供相应服务所需期间保存，直到删除或注销。会员到期本身不删除账号及已上传记录。我们不因可能有用而无限制保留已不再需要的资料。

删除单项订阅：可在「最近删除」中恢复 30 天；期满后不能再通过该入口恢复。本机在应用运行清理时移除到期记录。已同步的删除操作到达云端后，云端每周清理已过恢复期的订阅正文及历史同步副本；网络、服务中断或清理积压可能使实际清除延后。因此“30 天可恢复”不等于第 30 天所有副本都瞬间消失。

云端保留不含名称、备注和账单正文的删除标记，阻止旧设备将已删除记录重新上传；标记与账号关联，直到注销时一并清理。断网设备的删除须在联网并成功同步后才到达云端。

注销账号：确认注销后，业务数据库移除账号关联的订阅、付款、套餐变更、同步回执和删除标记；当前设备清理该账号的记录与待上传内容。本机清理若未完成，保留必要清理任务以便重试，不视为可继续使用的正常账号。其他离线设备的副本不能被远程立即擦除；请在该设备联网后完成清理，或移除该设备的应用数据。重新注册同一邮箱不能恢复旧账号。

本机安全副本：为防止存储异常丢失资料，应用可在打开本机数据库时制作恢复副本，通常保留最近 7 份已验证副本，而非固定 7 天。旧迁移副本或故障原件可能保留更久，用于恢复核对，不是「最近删除」的恢复入口。注销会同时清理当前设备这些可控制副本中属于该账号的记录。对于本机信息删除请求，我们可协助处理，但不能远程读取仅存本机的资料。

服务日志和服务商内部副本：登录验证、安全防护、故障排查或法律要求可能产生必要记录及灾备副本。其期限取决于安全事件处理、适用保留义务和服务商相应的删除轮转安排，不与订阅的 30 天恢复期混同。我们仅为对应目的保留可控制的信息，目的结束或期限届满后删除或匿名化；因法律要求或技术原因暂不能删除的，限制为必要存储及安全保护，不用于新业务目的。服务商独立处理的 Apple 购买账务等记录依其政策保存，您可通过前述渠道请求查询或删除。

客服邮件：普通咨询办结后保留往来邮件和附件 90 天，到期后按月清理。未办结投诉或法律要求保留的材料，仅在该事项所需期间保留，理由消失后清理；邮箱服务商自身的删除保留机制另受其政策约束。

登录和用户自存资料：退出清理本机会话凭据；近期邮箱可在候选项单独移除。用户导出的账单、自行制作的文件副本或设备系统备份由您及对应服务控制，不会因 App 内删除自动全部消失。卸载不等于注销，系统钥匙串也可能在卸载后保留部分凭据；请使用退出或注销完成对应操作。

境内外处理

订阅云数据库位于中国大陆上海；这不表示邮箱投递、Apple 搜索与交易、Frankfurter 网络服务、Outlook 客服邮件或 Cloudflare 托管网页的访问都在中国大陆处理。您在境外使用账号同步时，资料也会传输到上述中国大陆数据库。语言和显示币种不会改变数据保存地点。

我们依适用法律处理跨境传输，按需履行接收方告知、影响评估、合同或其他保障及单独同意义务。依法要求传输前完成的条件，不以接受本政策替代；只有满足相应条件后才能提供该项传输服务。您可通过联系邮箱询问涉及您的接收方、保障方式和适用范围，并申请行使权利。

您的权利与处理方式

您可在 App 中查看、更正、删除订阅，恢复有效期内的最近删除记录，删除近期邮箱，关闭在线识别和提醒，撤回系统权限，或通过头像页注销账号。账单导出是会员功能，但依法提出个人信息访问、复制或可携带请求不以购买会员为条件。

您也可通过 subswell@outlook.com 请求访问、复制、更正、删除、限制处理、撤回同意，以及适用法律规定的数据可携带、反对处理或其他权利。请说明请求事项及涉及的账号；我们进行与风险相称的身份核验，不要求发送密码、验证码或无关身份证明。仅存本机且我们无法访问的资料，会说明限制并协助您在本机处理。

我们在收到请求后 15 个工作日内回应；适用法律规定更短期限的，遵守更短期限。需要补充必要信息、依法延期或不能满足全部请求时，在适用期限内说明原因、依据和进一步救济方式。一般不收取费用，只有法律明确允许的例外才另行说明。不会因您依法行使隐私权而不当区别对待。

不同地区的补充

以下依适用法律及您所在地区理解，不按 App 界面语言决定；不适用的地区内容不会减少您在本地区的权利。

中国大陆：您享有知情、决定、限制或拒绝处理、查阅、复制、更正、删除及要求解释规则等权利。依法需要单独同意的跨境提供或其他处理，应另行取得；您可向有权个人信息保护部门或法院投诉或寻求救济。

美国：我们不出售个人信息，也不为跨情境行为广告共享个人信息。适用州法赋予的访问、更正、删除、可携带、授权代理请求及申诉等权利，可通过上述邮箱行使。对处理结果有异议可要求复核，并获知当地投诉渠道。

加拿大、澳大利亚及新西兰：您可依适用法律请求访问、更正或删除个人信息，撤回可撤回的同意，或反对相关处理。您可先向我们的隐私负责人投诉，也可依法向当地有管辖权的隐私主管机关寻求救济。各地更严格的保护、期限和消费者权利不受本政策限制。其他地区依法适用的权利，也不会因本节未单独列出而被排除。

安全、未成年人及更新

客户端通过 HTTPS 访问所列网络服务，会话凭据使用系统钥匙串保存。我们采取与风险相适应的权限控制、账号隔离及安全措施，但不承诺任何系统绝无风险，也不将系统保护描述为所有本机资料均另行加密。发生安全事件时，依法补救、通知和报告。

本应用面向 16 岁及以上用户，不以儿童为对象，不向未满 16 岁用户提供账号或记账服务。首次使用相关功能需要确认年龄范围，但这不是身份核验。如发现误收未满 16 岁用户的信息，我们将核实并停止相关处理、依法删除；本人或监护人可通过上述邮箱联系。已满 16 岁但仍属当地未成年人的，仍适用所在地的监护和其他保护要求。

政策更新时标明日期。对处理目的、方式、信息类别或重要接收方的实质变化，会适当提示并在法律要求时重新取得同意，不通过改写政策追溯授权新用途。运营者：张冰（Bing Zhang）；联系邮箱：subswell@outlook.com。