隐私政策 · iOS / iPadOS 版

一、我们处理的信息与用途

1. 本机业务数据
你输入或导入的色卡、色号、库存数量、补货及用豆记录、图纸、材料统计、作品图片、创作手帐、备注及时间等，用于展示、编辑、计算、检索、保存和恢复你的创作资料。这些内容写入设备内的应用存储。账号与授权记录独立于本机创作档案；不会自动把上述业务档案上传给我们。

2. 可选个人资料
你可以设置昵称、头像和简介。这些信息默认用于本机资料展示，可随业务备份或局域网同步传输；你主动登记社区用户名或同步缩略头像后，相应名字与头像还会用于社区作者署名，不用于定位。填写个人资料不是使用库存、图纸、手帐等基础功能的必要条件。头像来自你主动选择的图片，应用不因此取得对整本相册的访问权。

3. 图片、文件与识别结果
只有在你主动选择、导入或分享文件时，应用才处理相应图片、文件内容及操作所需的名称、路径或访问凭证，用于图纸识别、照片转图纸、头像设置、作品记录、备份恢复、导出及分享。图像处理和文字识别使用本机算法或平台能力；Apple 系统服务的相关说明见第五部分。我们没有把你的图片自动发送到开发者服务器的功能，也不将你的素材用于模型训练或宣传。

4. 语音输入
你启动语音记录后，系统识别服务会处理麦克风采集的声音，并将文字结果返回应用。识别文字先用于待核对的输入草稿，确认保存后成为本机记录；豆库自身不保存原始录音文件，也不建立声纹识别资料。
应用默认尝试本机识别；本机模型、语言或设备能力不支持时，当前实现会尝试系统识别模式。系统模式可能经网络将音频及识别所需的服务信息交给系统识别提供方，不能理解为始终离线。不同设备、语言、地区和系统设置可能使用不同的服务。你可以停止语音操作、撤回相关权限，或使用文字输入。涉及在线处理的告知和依法需要的同意，应在相应服务启用前完成，本政策本身不替代该流程。

5. 局域网同步
你主动开启配对与同步时，应用处理局域网 IP 地址、端口、临时配对凭证、核对码、本机生成的同步副本标识、变更及冲突处理信息，并向你确认配对的设备传输业务档案及所需图片。档案可能包含个人资料、库存、图纸及手帐。传输在所配对设备之间进行，不通过开发者云端中转；会话使用加密通道保护。临时配对凭证有有效期，二维码或配对文本包含连接凭证，请仅交给你认可的设备使用者。接收设备会保留同步得到的内容，本机删除不等于所有接收设备上的副本立即消失。

6. 反馈、内测报名与权益支持
只有当你主动通过私信、邮件等渠道联系时，我们才会收到你发送的信息，例如联系账号、消息内容、设备型号、系统及应用版本、使用的色卡、复现步骤、截图、录屏或诊断资料。用途是答复问题、安排内测、核实测试完成情况和处理授权事务，不用于广告画像。请只提交解决问题所需的内容，并遮挡与问题无关的个人信息及第三方信息。
如果你申请购买权益核验或跨平台恢复，我们可能需要订单号、购买平台、时间、权益凭证及用于回复的联系方式。不要求提供支付密码、银行卡完整信息或与核验无关的身份证件。启用账号及内购的发行版本按下项处理可选登录、会员和购买核验信息。平台购买记录不自动互通，跨平台恢复可联系开发者核验，不能以登录代表创作档案已经云端备份。应用商店或支付渠道自身处理的信息由其对应规则说明。

7. 免费基础功能、Apple 登录与会员购买核验
基础功能长期免费，不要求先注册、购买或领取七天试用。会员账号和设备核验独立于本机业务档案，登录不代表库存、图纸、手帐、照片或录音已经上传或云端备份。历史有效永久购买或激活由服务端核实后迁为永久VIP，保留原购买、赠送、退款与恢复关联；试用和未经核实的本地标记不自动转为VIP。会员支持订阅与永久类型，未配置或尚未交付的商品不开放购买。会员权益与当前设备使用资格分别确认，会员到期、账号退出、设备超额或验证失败不会阻止免费基础功能或删除本机资料。

你可以不登录Apple账号而使用免费基础功能；已有商店游客购买也可按原商店身份恢复。为核验历史订单、建立商店权益会话或恢复购买，应用会将Apple签名的应用获取凭据与商店环境提交豆库后端，处理应用范围的稳定获取标识（AppTransaction ID）及必要的会话标识。创建商店会话不代表完成购买，也不开始或重置七天试用。购买与恢复仍须验证商店签名交易、当前交易状态、环境以及原交易与该商店身份的关系，不能仅凭本机声明或交易号认领其他人的权益。

你主动点击“通过Apple登录”后，应用调用Apple系统授权界面，不要求Apple账号密码，仅请求可选姓名用于本机昵称，不请求邮箱或头像。Apple通常仅在首次授权时返回姓名；没有姓名不影响登录。姓名保存在本机个人资料中，可随你主动进行的业务备份或局域网同步处理，不提交豆库登录后端，也不作为权益证明。应用将身份令牌、一次性登录挑战和必要授权码提交豆库后端（https://doucoo.cn），核验签发方、应用受众、有效期与随机数，首次成功核验时建立账号，保存应用范围账号标识、豆库账号标识、授权状态及必要安全记录。可选登录不会改变原商店订单归属，不因同邮箱或昵称与其他平台自动合并账号。

你主动购买或恢复时，应用通过StoreKit读取实际已配置的会员商品、价格、签名交易、商品及交易标识、应用范围账号关联标识、购买／续订／到期／撤销状态，并提交必要凭据到豆库后端验证。订阅仅在对应商品及验证服务完成配置后提供，周期、价格、自动续费和系统管理方式在购买前说明，不把尚未配置的方案作为可购买商品。登录与权益核验还会处理Apple签名的应用获取凭据及商店环境（可能包含原获取版本与时间），用于区分正式商店与测试发行。历史付费下载仅按可验证记录或必要人工核实保留，不凭早期安装时间自动授予。你主动申请退款时，应用使用已验证交易打开Apple系统退款表单；退款原因由你在Apple表单填写，提交申请不等于批准。支付和退款由Apple处理，我们不取得支付密码、银行卡或Apple账号密码。提供方：Apple；隐私政策：https://www.apple.com.cn/legal/privacy/ 。

会员设备名额为同一会员主体一部手机与一台平板。核验会处理设备公钥或应用专用密钥标识、一次性挑战与签名、必要的设备类别信息、绑定与撤销版本、会员类型及有效期；设备名称或当前窗口宽度不单独作为可信类别证明。仅在实际启用且明确说明的情况下处理平台验证凭据；证据不足时可以通过必要的受控人工核实确认类别，不以设备自报字符串直接授予平板名额。审核仅要求判断设备类别及授权所必需的信息，不索取支付密码、整份相册或无关身份资料；审核证据和操作记录限于核验、安全、申诉和恢复所需的必要期限保留。换机由你明确选择旧设备，绑定变更联网后确认；已签出的离线凭据可能在其到期或设备再次联网后失效。凭据刷新期限不等于永久会员到期或要求再次付款。

新版本不再开始七天试用，也不再为领取试用新采集去重标识。旧版本已经形成的试用与安全记录只在兼容、安全、权利请求或法定保存所需的必要范围和期限内保留，不因关闭试用而扩大用途，不用于广告画像。你可以联系上述邮箱提出访问、更正、删除或异议。

本机商店游客／登录会话及必要授权状态使用系统Keychain保存，不写入业务备份。服务端会接收连接所需IP地址；账号、会员、设备核验、交易及必要安全记录只用于登录、权益、安全与恢复，不用于广告画像，不上传创作资料。身份令牌与授权码只在核验所需期间处理，不作为普通日志长期保存。账号注销后按必要性删除或匿名化可删除信息，依法应保留的最少订单、安全与争议记录按所需期限保留。游客可通过邮箱提出访问或删除请求；登录用户也可通过应用内会员账号入口退出或申请注销，必要时按Apple要求撤销本应用授权。注销不删除原Apple账号、不自动退款；权利请求不影响免费基础功能。

二、权限和设备能力

相册与文件选择：用于读取你选择的图片或备份，保存你确认导出的文件。优先使用系统选择器及其授予的文件范围。拒绝或取消后，相应导入、保存或分享操作无法完成，不影响手动管理库存等其他功能。

相机或系统扫码：仅在你主动扫描局域网配对二维码时使用。应用可请求相机权限，具体授权由系统管理。不用于后台拍摄。

麦克风及系统语音识别：用于你启动的语音输入。拒绝后可继续手动输入；结束或取消语音操作后停止相应会话。系统语音服务的数据处理范围见第一及第五部分。

局域网及网络能力：用于设备配对和同步，以及识别服务或 SDK 自身所需的联网行为。拒绝局域网权限会影响局域网同步。设备联网权限不等于同意收集与功能无关的信息。

通知及振动：支持的平台上，用于你开启的库存提醒或操作反馈。库存通知由本机触发，当前未接入开发者远程消息推送。拒绝相关权限不影响基础资料管理。

应用不因上述功能要求通讯录、精确位置、短信或通话记录权限，不为广告投放主动读取 IMEI、IDFA 或 OAID。本机业务和同步标识用于区分本地资料及副本，不作为广告标识。第三方 SDK 自身处理的标识见第五部分。

你可以通过系统的应用权限设置查看和撤回授权。撤回仅影响依赖该权限的操作，不影响撤回前依法进行的处理。不同系统的权限名称、入口及可用能力可能不同。

三、剪贴板、分享与外部渠道

在你点击复制配对信息时，应用将配对文本写入剪贴板；点击反馈入口时，应用将开发者公开的小红书账号 6251150464 写入剪贴板，并尝试打开小红书搜索页面。当前这些功能不读取你的剪贴板内容，也不会自动附带你的业务档案、日志、截图或私信内容。

使用系统分享、导出或保存到相册时，你选择的接收应用、设备或保存位置会获得相应文件。整份备份可能包含个人资料和全部业务记录，请检查分享对象及文件内容。你在小红书、邮件或其他外部渠道提交的信息，还受该渠道的隐私规则约束；渠道的规则不能免除我们对实际收到的信息应承担的责任。

四、存储、保留与删除

本机业务档案在应用存储中保留，供你继续使用。保存时，应用可能保留上一份业务档案作为恢复副本；因此，删除当前界面中的某项内容，不代表该项内容已立即从上一份恢复副本、同步历史或你自行导出的备份中清除。本机业务存储并非由豆库另行提供的全量加密保险库。

图片处理、导入、导出和分享可能生成临时文件，其保留取决于操作流程和系统清理机制。导出的文件、相册内容、接收设备副本，以及系统或用户自行建立的备份，需要在相应位置单独管理。

你可以删除业务条目、修改或移除可选个人资料，并在系统支持时清除应用数据或卸载应用。请先保存需要保留的资料；系统备份、外部导出文件及其他设备上的副本不一定随清除或卸载而删除。启用账号的版本可在“我的 → VIP与账号”中退出登录或申请注销豆库账号，也可以通过联系邮箱申请。注销不删除原商店账号、不自动退款，也不替代本机资料和外部备份的清理。若需要协助判断本机内容及备份的处理范围，可以联系我们。

对于我们实际收到的报名与反馈资料：未入选或主动撤回的报名资料，原则上在结果确定或收到撤回请求后30日内删除；普通问题反馈在问题处理结束后原则上保留不超过6个月；内测完成证明在答谢权益发放完成后原则上保留不超过6个月。用于证明永久权益的最少必要授权记录可在该权益存续期间保留，以支持核验和恢复。存在法定保存义务或具体争议时，可仅将必要资料保留至相应期限或争议处理结束，之后删除或匿名化。权利请求可能要求更早删除的，我们依法处理。

第五部分所列服务提供方处理的数据，保留期限及删除渠道还需参照相应服务规则。我们不会将其服务端保留情况表述为已由豆库全部控制。

五、第三方组件与系统服务

1. Apple 系统能力（iOS）
提供方：Apple。Vision、Core ML 等系统能力用于本机文字识别和图像处理。Speech framework 用于语音转文字；可用模式取决于系统和语言，在线模式可能将音频交给 Apple 服务处理。相册、文件选择和分享通过相应系统授权完成。
隐私政策：https://www.apple.com.cn/legal/privacy/
语音相关说明：https://www.apple.com.cn/legal/privacy/data/zh-cn/ask-siri-dictation/

应用还使用 Flutter、文件选择、偏好存储、二维码解析和加密等软件组件来实现界面、文件操作和设备间传输；不能将本地软件组件等同于开发者云端收集服务。当前我们未接入开发者自有的广告、行为画像或自动崩溃上报服务。上述系统及 SDK 自身的处理不因此被排除。

六、对外提供与跨境处理

我们不出售你的个人信息，不将本机创作档案提供给广告商。向配对设备传输、向你选择的应用分享，以及向你主动联系的反馈渠道发送信息，按前述范围执行。若以后需要向新的独立第三方提供个人信息，会先明确接收方、目的、方式及信息范围，并依法取得所需的单独同意；委托处理、业务承接或法律要求的提供，也应履行适用的义务，不以本政策作无限制授权。

本机业务档案未通过开发者运营的云服务主动存储到境外。但Apple 在线语音识别，以及你自行选择的外部服务，可能涉及境外处理，不能据此承诺全部数据始终留在中国境内。如构成依法需要履行的数据出境行为，我们应在发生前完成适用的合法性评估、告知、同意及其他程序；无法满足条件的，不应启用该项传输。本政策不表示这些程序已经完成。

七、安全保护

我们采用系统应用存储隔离、权限控制、配对核验、局域网会话加密等措施保护资料，并限制收到的支持资料的访问和使用。传输加密不等于本机档案、导出文件及所有接收端存储都已经加密。请保持设备安全，妥善保管备份和配对凭证。

发生个人信息安全事件时，我们将依法采取补救措施，并按适用要求向你告知及向主管部门报告。任何技术措施都不能保证零风险，但不能因此免除我们依法承担的安全保护责任。

八、你的权利与联系我们的方式

你可以依法要求了解处理规则，访问、复制、更正、补充或删除有关个人信息，限制或拒绝某些处理，撤回同意，以及在符合法定条件时要求转移信息。对于只存储在你设备上的资料，我们不能远程读取或替你删除，可协助你使用本机编辑、导出和清除方式；对于我们收到的反馈和授权资料，可通过上述邮箱提交请求。

我们将在收到请求后15个工作日内答复或说明所需补充信息及处理进度。为避免资料被误交给他人，只进行与请求相称的身份核验；一般可以使用原联系渠道或权益凭证，不要求无关信息。不能满足某项请求时，会说明依据及可采取的途径，不以账号不存在为由拒绝处理我们实际持有的信息。你也可以依法向有权机关投诉或通过法定途径维护权利。

九、未成年人

未成年人应在监护人的指导下使用豆库。我们不以收集未成年人资料作为基础创作功能的条件。涉及我们实际处理不满14周岁未成年人的个人信息时，将依法取得监护人同意、采用适用的专门保护规则，并仅在必要范围内处理。需要额外保护措施而尚未具备时，不开展该类收集；不以本政策或普通权限授权代替监护人同意。监护人可以联系我们请求更正或删除已收到的相关资料。

十、政策更新

变更处理目的、方式、信息种类、接收方或其他可能对你产生实质影响的内容时，我们会在适用前以清晰方式提示，并依法重新取得所需的同意。新政策不将此前未取得授权的处理追认为合法。你可以在首次确认页及“我的 → 关于”中离线阅读本平台隐私政策和用户协议，或在豆库官网查看、下载对应全文，通过邮箱查询适用版本及提出问题。

首次使用或适用文本版本变更时，应用先展示确认页。阅读正文或点击“暂不同意”不会写入同意记录，也不会开始应用业务初始化、平台账号登录或会员购买联网核验；暂不同意后可以继续阅读。点击“同意隐私政策及用户协议并继续”后，应用在本机偏好存储中记录平台、政策版本、协议版本和确认时间，保存成功后才进入启动流程。该记录不包含业务资料，不随豆库业务备份或局域网同步传输；恢复备份不代替当前设备的确认。清除应用数据后会重新提示，系统级备份与恢复行为以设备设置为准。本次确认不替代可选权限授权、在线语音等依法需要单独同意的流程。

十一、你主动使用的社区服务

社区属于可选的联网服务，库存、工坊和手帐资料不会因此被全量或自动上传。只有你主动登记社区身份、同步缩略头像、提交图纸、点赞、领取作品或举报时，我们才向豆库服务端发送相应内容。社区身份复用经验证的平台账号会话或持钥设备证明，不以用户名或本地标记替代认证，不因此授予会员。

登记的唯一用户名首次确认后不可自行修改，与稳定创作者编号及你主动同步的缩略头像一同展示，便于识别来源。头像只保存一份不超过96像素、24KB的重新编码缩略图，不保留原始头像文件。原作者来源、作品分类、版权声明、压缩图纸矩阵、带水印小预览、保护范围、分享协议版本及签订时间用于审核、发布、领取、追溯与争议处理；按北京时间记录每日上传和领取次数，用于执行每天各2张的额度与防止重复扣次。点赞关联社区身份及作品，展示作品赞数和作者累计获赞，不提供评论。

侵权举报必须填写联系邮箱、说明和证据链接。该邮箱及举证内容仅供经授权的管理员核查、联系和处理异议，不对社区公开；不会因填写链接自动抓取外部文件。审核决定、处罚原因和必要审计记录用于核实侵权和防止重复处理；首次核实违规停用社区7天，再犯永久停用社区，不能因此删除本机资料或阻挡其他免费基础功能。

你可以从“我的社区分享”查看状态并撤回自己的作品；撤回后停止新的展示与领取，已经领取的离线副本无法承诺即时删除。已撤回内容和必要的版权协议、举报及审核记录按争议处理和适用法律所需的最短期限保留，期满后删除或匿名化；可通过本政策所列邮箱提出访问、复制、更正、删除或处理异议请求。用户名不可自行改名不限制依法申请更正个人信息的权利。不得仅以“不可改名”拒绝依法应处理的更正。

发布前另行阅读并主动签订《社区作品分享协议》（community-sharing-v1），逐次确认版权来源。受保护图纸仅在系统保护能力成功启用后显示；iOS当前仅展示带水印小预览。本机私有档案和App内加密同步保留来源及制作进度，外部备份不导出受保护矩阵，只保留来源引用与进度。