TimeFlow 隐私政策

TimeFlow 是一个本地优先的时间记录 App。本政策说明 TimeFlow 如何处理本机记录、用户选择开启的 iCloud 多设备同步、用户主动创建的 iCloud 备份、老用户权益同步、Apple 系统服务和购买信息。

本机数据

活动、计划、时间段、事件详情、日记、NFC 贴纸绑定、记录图片和统计结果默认保存在你的设备或 TimeFlow App Group 容器中。延时摄影在拍摄与预览期间使用受保护的本机临时文件；你选择保留后，TimeFlow 会把一份 MP4 原文件保存到 App Group 并关联到对应时间段。TimeFlow 不提供独立账号，也不使用广告、第三方分析或跨 App 追踪 SDK。

iCloud 多设备同步与备份

你可以在设置中选择开启 iCloud 多设备同步。开启后，活动、分类、目标及行动、计划、已结束时间段、日记文字与关联、想法、模板、已结束 Routine、Time Focus 和 NFC 绑定等对象会保存到当前 Apple ID 的 CloudKit 私有数据库，并在同一 iCloud 账号的 iPhone、iPad 与 Mac 间近实时传播。CloudKit 由 Apple 提供，TimeFlow 不建设开发者自有业务服务器；静默推送可能延迟、合并或缺失，因此同步不承诺秒级或必达，App 会在启动、回到前台、本机写入和手动同步时继续收敛。

正在计时的开放时间段不作为完整业务记录进入普通多设备同步，也不会在其它设备生成时间记录或统计。开启同步后，TimeFlow 会另外把每台设备最多三条运行中计时的只读轻量状态保存到同一 CloudKit 私有数据库，包括随机来源设备 ID、设备平台、时间段 ID、活动标题与颜色、开始时间、主计时标记和更新时间；其它设备只用于展示，不能据此远端暂停或结束。状态超过 30 分钟未更新会标记可能过期并冻结显示时长，超过 24 小时不再展示。运行中的 Routine、日历与提醒事项 identifier、系统权限、通知任务和页面草稿仍不进入普通多设备同步。用户开启“同步记录媒体”后，记录图片和已保留的延时摄影 MP4 原文件会以独立 CloudKit 媒体记录在设备间同步；关闭时远端文字更新不会清空当前设备已有媒体。

你也可以主动创建独立的 iCloud 业务快照，用于换机、重装后的恢复或手动合并。手动备份与持续的对象级多设备同步相互独立；创建备份时可以选择是否包含记录图片和已保留的延时摄影视频。关闭媒体选项时不上传原文件；开启时图片和 MP4 会作为 CloudKit 私有数据上传，并在恢复前校验文件大小和内容摘要。

老用户权益同步

为避免老用户获得的 30 天 TimeFlow Pro 在换机、重装或多设备使用时重复计算，TimeFlow 会通过 Apple iCloud 键值存储，在同一 iCloud 账号的设备间自动同步赠送开始时间、结束时间、告知确认状态和防止设备时钟回拨所需的时间。记录使用随机安装 ID，不使用硬件序列号或广告标识符。

这项同步不包含活动、计划、时间段、日记、图片、视频、交易凭证或付款信息，也不会发送到开发者服务器。远端状态只有在本机已通过 Apple 验证为符合条件的老用户后才会生效；未登录 iCloud 时继续使用本机状态，不主动要求登录。

权限用途

• 麦克风：用于录入你说出的活动名称。
• 语音识别：用于将你的语音转换成活动名称。语音识别由 iOS 系统和 Apple Speech 能力处理，TimeFlow 只接收识别后的文字结果。
• 相机：用于你主动拍摄记录图片，或在专注时生成无音频延时视频。延时视频只在当前会话临时处理，不进入 TimeFlow 素材库；只有你主动保存时才写入系统相册。
• 相册添加：用于在你主动点击保存时，把记录图片、随机回顾分享图片或计划专注延时视频保存到本机相册。
• NFC：用于录入和读取 TimeFlow NFC 贴纸，快速开始或结束计时。
• Apple 健康（HealthKit）睡眠：只有你在 TimeFlow 设置中主动开启“Apple 健康睡眠”后，TimeFlow 才读取 Apple 健康中的睡眠和清醒区间，用于生成 TimeFlow 时间块。仅读取开始时间、结束时间、睡眠/清醒分类和样本标识，不读取心率、呼吸、血氧、运动或其它健康类型，也不向 Apple 健康写入或删除数据。导入的健康睡眠时间块只保存在本机，不进入 TimeFlow 的 CloudKit 多设备同步或手动 iCloud 备份；如果你主动开启系统日历导出，可能按普通规则生成日历副本。关闭后停止未来读取，已导入的本机时间块不会被批量删除；每台设备都需要单独授权和读取。
• Apple 健康（HealthKit）健身：只有你在 TimeFlow 设置中主动开启“Apple 健康健身”后，TimeFlow 才读取 Apple 健康中的健身记录，用于生成本机 TimeFlow 时间块并按运动类型分类。仅读取运动类型、开始时间、结束时间和样本标识，不读取或使用心率、路线、能量、距离、爬升等其它健身指标，也不向 Apple 健康写入或删除数据。导入的健康健身时间块只保存在本机，不进入 TimeFlow 的 CloudKit 多设备同步、手动 iCloud 备份或开发者服务器。关闭后停止未来读取，已导入的本机时间块不会被批量删除；每台设备都需要单独授权和读取。
• Live Activity：用于在锁屏和 Dynamic Island 显示当前主计时活动和本次计时时长。
• 日历和提醒事项：在你授权后同步所选择的 TimeFlow 时间块、计划、日历或提醒事项列表。
• iCloud：在你开启多设备同步，或主动备份、恢复、合并和删除云数据时访问 CloudKit 私有数据库；使用不含业务正文的静默通知提示 App 拉取变化，并通过 iCloud 键值存储自动同步最小的老用户赠送状态。

你可以在 Apple 系统设置或 TimeFlow 设置中关闭相关权限或同步功能。关闭后，本地计时和已有本机记录仍可继续使用。

App Store 更新与购买

TimeFlow 最多每六小时查询一次 Apple App Store 公开接口，用于判断是否有新版本，请求不附带活动、计划、日记或时间段内容。

TimeFlow Pro 使用 Apple StoreKit 处理。价格、付款、订单和退款由 Apple 管理；TimeFlow 只读取 Apple 验证后的商品、交易和权益状态，不接收银行卡资料，也不记录交易 JWS 原文。

日志和诊断

正式 Release 构建只保留脱敏的事件、状态、计数、错误类型和匿名化对象标识，不记录活动名、计划名、日记正文、图片路径、交易凭证或账号信息。TimeFlow 不会自动把诊断日志上传到开发者服务器。

数据保存和删除

你可以在 App 内删除活动、计划、时间段、日记内容、记录图片和已保留的延时视频。当前会话临时文件会在关闭预览、删除本次或页面资源释放时清理；已保留的 MP4 原文件按媒体引用规则保存在 App Group。部分业务对象会先以软删除或墓碑形式保留，用于防止恢复、同步或旧设备重新创建已删除记录。

当前版本的存储管理不提供批量导出数据、导出诊断或同时永久清除本机与 iCloud 业务内容的入口。你仍可在 App 内逐项删除业务对象，并在 iCloud 备份页单独删除最近备份。卸载 App 不等同于删除多设备同步内容、已创建的 iCloud 备份或老用户权益同步状态。

数据共享

TimeFlow 不向广告网络、数据经纪商、第三方分析服务或开发者自建服务器出售或共享你的时间记录。只有你主动启用的 Apple 系统服务，或你主动发起的分享和支持请求，才会使相应数据离开 TimeFlow 本机容器。

儿童隐私

TimeFlow 不是面向儿童的 App，也不会主动收集儿童个人信息。

隐私政策变更

如果数据处理方式发生实质变化，TimeFlow 会更新本政策和公开页面的日期，并在必要时通过 App 或 App Store 信息进行说明。

联系方式

如需咨询隐私或支持问题，请联系：timeflowsupport@163.com。