隐私政策：第七泡 (Seventh Steep)
生效日期：2026-10-18。发布者：Mark Bielinskyi（Ukraine）。联系方式：hop_fairer9v@icloud.com。
简要说明
本应用不设账号，不含广告，不进行数据分析或跟踪。您的茶架、笔记和设置仅存储于您的 iPhone 上。仅在您要求应用识别茶叶并已同意的情况下，照片才会传输至 iPhone 之外。照片将先传输至我们的服务器，再由我们发送给 AI 服务提供商 Anthropic 处理。您可以随时在“设置”中撤回同意，并删除本应用存储在 iPhone 上的全部数据。
1. 本应用存储在您 iPhone 上的数据
您的茶架、冲泡笔记、冲泡设置（茶具、单位、声音、上次冲泡状态）及偏好设置，均存储于您的设备上，不会传输给我们。本应用已具备 iCloud 同步能力，但当前版本尚未启用该功能。小组件和实时活动仅在同一设备上访问这些数据。
2. 照片识别（可选）
如果您选择通过照片识别茶叶，本应用会生成一张尺寸较小的副本（最长边为 1024 像素），并通过加密连接传输至我们的服务器。服务器会将其发送至 Anthropic API，以获取茶叶类型的识别结果。我们的服务器不会保存照片，也不会将照片写入日志。识别结果将显示给您。您可以将自己拍摄的照片保存至茶架，该副本仅存储于您的设备上。我们仅将照片用于生成上述识别结果。
3. 服务器处理的其他数据
为进行频率限制并防止滥用，本应用会生成一个随机安装标识符，并存放在 iPhone 的钥匙串（Keychain）中。每次识别请求都会连同该标识符一起发送；如果您订阅了 Plus，还会发送 App Store 提供的经签名订阅凭证。服务器只保存安装标识符的哈希值，以及照片识别次数的计数；对于 Plus，计数与订阅的原始交易编号相关联。服务器不会获知您的姓名、电子邮箱或 Apple ID。该标识符显示在“设置”>“照片与 AI”中（带有拷贝按钮），申请删除时请通过电子邮件发送该标识符（见第 8 节）。“删除所有数据”会保留该标识符，以免删除数据后免费次数被重置；删除并重新安装应用后，它也可能仍然存在。处理请求时，服务器还会获取您的 IP 地址，并将其用于限制请求频率，不会将其写入日志。
在支持 Apple App Attest 的设备上，本应用还会在 iPhone 的安全硬件中创建一个加密密钥。私钥不会离开设备。本应用会请 Apple 的 App Attest 服务确认该密钥属于运行本应用的正品 Apple 设备；按照 Apple 文档的说明，此请求由您的 iPhone 发送给 Apple。随后，本应用会把密钥标识符（一种假名标识符）和 Apple 的确认结果发送给我们的服务器。服务器会保存密钥标识符、公钥、每次使用后递增的计数，以及确认结果中的技术信息（应用版本和设备完整性类别），这些信息都与经过哈希处理的安装标识符相关联。之后的请求会带有用该密钥生成的简短签名，服务器会将其与已保存的公钥和计数进行核对。我们只将其用于防止欺诈和滥用免费照片次数。它不会让我们获知您的姓名、电子邮箱或 Apple ID。为完成这些核对，服务器还会发出短期有效的随机验证码，它们在使用后或到期时（24 小时内）删除。服务器不会保存确认结果本身和签名。如果设备不支持 App Attest，本应用会提供手动选择，Plus 仍可照常使用。
4. 购买
订阅和打赏均通过 Apple 处理。我们不会收到您的银行卡信息或其他支付详情。我们仅通过第 3 节所述的经签名订阅凭证确认 Plus 订阅是否有效，并保存与订阅原始交易编号相关联的计数。Plus 的照片识别方式相同：只有在您同意后，您的照片才会发送给 AI 服务。打赏不会解锁任何功能。
5. 第三方
- Anthropic（AI 服务提供商）：接收您要求识别的照片以及我们随附的指令。Anthropic 会在收到 API 输入和输出后 30 天内删除，但特定有限情形除外，例如相关内容被标记为违反政策，或法律要求保存更长时间。根据其商业条款，Anthropic 不会将这些内容用于训练其模型。我们承诺确保您的数据获得与本政策同等水平的保护，并要求 Anthropic 仅为此目的处理相关数据。
- Apple：App Store、购买处理以及 App Attest 验证，您的 iPhone 会为此联系 Apple 的 App Attest 服务（第 3 节）。
- 托管服务商：我们的服务器托管于 Amazon Web Services（Amazon Lightsail，瑞典斯德哥尔摩），其代表我们处理请求。
我们不会出售您的数据，也不会将其用于广告共享。
6. 您的同意及如何撤回
点按“识别”时，在照片被缩小或发送之前，本应用会征求您的同意。该提示会明确告知涉及 Anthropic。如果您选择“暂不”，则不会发送任何内容，您仍可手动选择茶叶。如需撤回同意，请打开“设置”>“照片与 AI”。“删除所有数据”也会清除您的同意。撤回后，本应用在发送任何新照片前会重新征求您的同意。已处理的照片无法从 Anthropic 撤回，但 Anthropic 会在第 5 节所述期限内删除。撤回同意不影响撤回前基于同意已进行的处理。
7. 数据保存期限
照片：我们不保存；Anthropic 保存时间不超过 30 天（第 5 节所述有限情形除外）。服务器计数记录：在其所统计的月份或日期结束后 90 天内删除。服务器日志（不含照片和订阅凭证）：最长 14 天。iPhone 上的数据：直至您删除。认证密钥记录：连续 180 天未使用后删除。App Attest 验证码：使用后或到期时（24 小时内）删除。
8. 删除您的数据
- 在 iPhone 上：通过“设置”>“删除所有数据”可清除茶架、笔记和设置，同时清除您的照片同意。应用用于统计免费照片次数的随机安装标识符会被保留；该标识符在删除并重新安装应用后也可能仍然存在。服务器上与之关联的计数记录会在其所统计的时间段结束 90 天后自动删除，或应您的请求提前删除（见下文）。该应用还会保留 App Attest 密钥，它与标识符一样存放在钥匙串中。服务器上的密钥记录会在连续 180 天未使用后删除，或应您的请求提前删除。
- 在我们的服务器上：我们不掌握您的姓名或电子邮箱。如需删除与您的安装或订阅相关联的计数记录和 App Attest 密钥记录，请发送电子邮件至 hop_fairer9v@icloud.com，并提供“设置”>“照片与 AI”中显示的标识符（或订阅的原始交易编号），以便我们查找。我们会在收到请求后 30 天内删除。
- Anthropic 处的照片：会在 Anthropic 对 API 数据所述的期限内自动删除（本政策更新时为 30 天），第 5 节所述有限情形除外。我们无法提前删除。
9. 儿童
本应用不面向儿童设计。我们不会故意收集儿童的个人数据。
10. 您的权利
根据您所在地区的法律规定，您可能有权查阅、更正或删除您的数据，并向数据保护机构投诉。请联系 hop_fairer9v@icloud.com。
11. 安全
数据通过加密连接传输。没有任何系统是绝对安全的。
12. 变更
如我们修改本政策，会在此地址发布新文本并更新日期。涉及照片的重大变更，应用会再次征求您的同意。
13. 联系方式
Mark Bielinskyi，hop_fairer9v@icloud.com。