TakeOff 隐私政策

1. 联系方式

TakeOff 是一款为 iPhone 和 Mac 独立开发的应用。如对隐私或数据处理有疑问，请联系 contact@sinuk.dev。

2. 你在 TakeOff 中保存的数据

TakeOff 使用 Apple 的 SwiftData 框架在本机存储应用数据，包括到访国家、行程、清单项目、预算、保存的时钟与地点，以及旅行文件的相关信息。

旅行文件的图像数据与其他 TakeOff 数据一起保存在本机。在 iPhone 上，这些数据受 iOS 设备数据保护机制保护。应用打开时即可查看文件，无需单独验证身份。TakeOff 不运营 TakeOff 账户服务器，也无法读取仅存储在你设备上的数据。

3. 可选的 iCloud 同步

iCloud 同步默认开启。iCloud 可用时，受支持的 TakeOff 数据会通过你的 Apple ID 对应的私有 CloudKit 数据库同步。一个 iCloud 同步开关控制受支持的旅行数据，同时也启用文件同步。若只想在本机使用 TakeOff，可以关闭开关并重新启动应用。同步设置的更改会在重新启动后生效。

TakeOff 不会接收你的 iCloud 数据。如需删除 iCloud 数据，请使用 Apple 为本应用提供的 iCloud 存储管理工具。

4. 诊断与产品分析

在 iPhone 上，正式发行版使用 Firebase Performance Monitoring 测量特定地图、行程、导入和导出操作的性能及完成结果。自动网络请求及屏幕监测已关闭。Firebase 会接收性能测量值、安装标识符、应用、设备及操作系统信息，以及用于按大致地理区域归类的连接信息。TakeOff 不会在这些性能记录中添加行程标识符、目的地、预订信息、文件内容、文件名或请求网址。

在 iPhone 和 Mac 上，TakeOff 会在本机保留 Apple MetricKit 提供的简要系统性能及诊断报告，最长保留14天。摘要可能包含启动与卡顿耗时、CPU/GPU 使用时间、可用内存测量值和诊断次数。当你选择发送反馈时，这些摘要会一并附上。“删除所有数据”会清除本机摘要。

正式发行版使用 Firebase Crashlytics 协助诊断崩溃。崩溃报告可能包含设备型号、操作系统版本、应用版本、调用堆栈及诊断标识符。TakeOff 不会在崩溃报告中附上行程备注、文件内容、预算或路线内容。

在 iPhone 上，正式发行版还使用 Firebase Analytics 记录应用打开、功能使用、付费页展示、购买、国家标记（含国家代码）及推广链接的展示与点击。Google Analytics 会自动收集应用实例标识符、设备与应用信息、大致地理位置，以及包含产品标识符和金额的购买或订阅事件。这些分析记录可能与安装标识符关联。TakeOff 使用的 Firebase Analytics 不支持广告 ID，也不用于广告追踪。TakeOff 不会将行程备注、文件内容、单笔费用内容或保存的每日安排路线作为分析数据发送。

Firebase 可能会生成安装标识符、应用实例标识符、诊断标识符及匿名身份验证标识符，用于保护 TakeOff 的 Firebase 服务、提供 Remote Config 配置值，以及归类崩溃和产品运行状况信息。TakeOff 无需用户账户，不会根据匿名 Firebase Auth 身份建立公开个人资料，也不会出售这些标识符。

5. 购买

现有订阅的购买与恢复由 Apple StoreKit 处理。TakeOff 不会接收或存储你的银行卡信息。Firebase Analytics 可能自动记录购买与订阅事件，这些数据不属于银行卡资料。

6. 权限

TakeOff 只会在相关功能需要时申请权限：旅行工具需要位置权限；行程、文件处理及可选导入功能可能需要相机和照片图库权限；从运动路线导入到访国家需要健康数据权限；文件到期、出行准备和时差提醒需要通知权限；当你选择添加或同步行程或时差安排到日历时，需要日历权限。

HealthKit 访问为只读，且仅限你选择扫描的运动路线。TakeOff 在设备上分析这些路线，识别你可能去过的国家。TakeOff 不会写入健康数据、与第三方分享或出售 HealthKit 数据，也不会将其用于广告。

只有在你主动使用相关功能时，TakeOff 才会访问照片图库，例如为行程添加照片、添加文件扫描件、扫描收据图片以获取费用建议，或从带有位置标签的照片导入到访国家。位置权限用于坐标、指南针、日出日落及附近信息等与位置有关的旅行工具。你可以拒绝这些权限，继续使用应用的其他功能。

你可以随时在设备系统设置中更改权限，也可以在 TakeOff 设置中关闭 iCloud 同步、Apple 建议及 Spotlight 索引。撤销日历权限会停止后续日历更新；已经导出的活动可在日历中删除。

7. 第三方链接与实时旅行数据

创建行程时，若已选择国家且未手动选择封面，TakeOff 会使用第一个所选国家的名称，在 Pexels 中搜索，必要时再从 Wikimedia Commons 选择目的地封面。打开“查找封面照片”时，如有可用国家，会搜索第一个所选国家。选图器和手动搜索会查询已启用的两个图片服务：Pexels 与 Wikimedia Commons。Pexels 搜索通过 TakeOff 的 Firebase 代理进行；Wikimedia Commons 搜索直接发送到 Wikimedia。加载图片时，图片服务商也会接收常规连接信息。自动搜索不包含行程标题、备注、预订或文件。代理会临时缓存 Pexels 搜索结果，并保留请求次数以限制用量。所选照片及其来源和许可署名会随行程保存，遵循现有同步设置，与临时搜索缓存相互独立。你可以替换或移除封面。

TakeOff 可能提供外部旅行服务或网站的链接。这些服务适用各自的政策。TakeOff 不会向这些服务商分享你在应用中的个人数据。

为显示实时旅行信息，TakeOff 使用国家代码、机场代码、航班号和货币代码等非个人查询词，从 Apple 及第三方服务获取数据。航班时刻、机场和路线方案查询通过 TakeOff 的 Firebase Cloud Functions 代理及 AirLabs 或 Logostream 完成。请求可能包含航班号、出发与到达机场代码、出发日期、路线搜索限制及候选机场路径。后台使用你的匿名 Firebase UID 和网络地址的带密钥哈希值来限制请求次数并防止滥用，不会接收行程备注、预订、文件或付款资料。航空公司标志可能从 Logostream 加载。汇率来自 Frankfurter 或 ExchangeRate-API。地图、地点搜索与天气请求使用 Apple 服务，并发送查询所需的位置或搜索信息。Firebase 代理请求受 App Check 保护。

Apple 建议

Apple 建议在每台设备上默认开启。当你打开已保存的行程或符合条件的活动时，TakeOff 会提供其基本标题、计划日期与时区、已知地点名称与坐标、已记录的结果，以及用于重新打开 TakeOff 中该记录的标识符。成功保存结果更改后，已有内容可能会更新。这些活动可用于 Siri、搜索及受支持的日记建议。显示哪些内容由 Apple 决定，TakeOff 无法查看或保证某条建议会出现。

自动提供的内容不包括备注、照片、旅行文件、已知预订编号及财务字段。标题是你填写的基本信息；若希望参与建议，请避免在标题中放入私人信息。TakeOff 在本机保留标识符和内容指纹记录，用于清理，并在应用运行期间，随保存、更改、删除或同步移除过时内容。在“设置”中关闭 Apple 建议，可停止并移除该设备上的这些内容。此设置与“Siri 与系统操作”中的 Spotlight 索引分开。

请直接在 Apple 日记中撰写及管理内容。TakeOff 不会创建、读取或同步日记条目，也无法确认建议是否出现、条目是否已保存。关闭建议不会删除日记中的内容。“回顾”仍是独立的行程导出功能，需由你主动选择；其照片为缩小后的副本，不含原始照片元数据，原件不会更改。

8. 保留与删除

保存的旅行记录与附件会一直保留，直到你删除。在“工具 > 设置 > 同步与数据”中，“删除所有数据”会移除本机旅行数据、文件原件与识别出的文字、受保护的共享文件导入、待处理的操作草稿、本机缓存及 TakeOff 通知；还会移除该设备上由 TakeOff 提供给 Apple 建议的内容，并申请删除匿名 Firebase 身份及其服务商配额记录。若某一步失败，TakeOff 会提示你重试。这不会取消 App Store 订阅，也不会删除你在 Apple 日记中创建或导出到日历的内容。

iCloud 同步开启时，保存记录的删除操作会随着设备同步，通过 CloudKit 传递到其他设备。同步关闭时，其他设备或已有 iCloud 副本可能仍保留数据。请在 Apple 的 iCloud 存储设置中管理这些副本。仅删除应用不会申请删除 Firebase 记录或已有的 iCloud 副本；请在卸载前使用“删除所有数据”。

服务请求次数记录，包括单独用于防止网络滥用的计数，在最后更新40天后符合删除条件，并由后台每日检查清理。网络计数保存的是带密钥的哈希值，而非原始 IP 地址；IPv6 地址按网络前缀归组。为防止通过反复创建账户绕过限制，这些计数独立于匿名账户删除而保留。公开的服务查询结果会单独临时缓存，不与个人旅行记录混存。Firebase Authentication 会保留匿名身份，直到其被删除。已上传的分析数据、崩溃报告及性能记录适用 Firebase/Google 配置的数据保留期限，不会因删除匿名 Auth 身份而清除。“删除所有数据”会重置本机 Analytics 标识符，但不会清除已上传的分析数据、崩溃报告或性能记录。

如需查阅、更正、删除个人数据或撤回同意，请联系 contact@sinuk.dev，说明涉及的服务和大致日期。请勿发送旅行文件或其他敏感资料。我们会说明哪些数据可以识别和删除，以及适用的数据保留要求。你可以在系统设置中撤回设备权限，也可以在 TakeOff 设置中停止可选同步或向系统提供内容。

第三方服务按照各自政策处理请求：Firebase 隐私政策、Google 隐私政策、Apple 隐私政策、Pexels 隐私政策及Wikimedia 隐私政策。

9. 政策变更

本政策可能随 TakeOff 的发展而更新。上方日期为最新发布版本的日期。