隐私政策
生效日期：2026 年 10 月 20 日
星屿工具采用本地优先设计，基础工具无需账号，健康共享使用本设备独立的共享身份，不接入广告、跨应用追踪或第三方分析 SDK。只有在你主动使用对应功能时，应用才会请求相关系统权限，或向星屿工具服务器提交完成该功能所需的数据。
1. 本地数据
账本、账户、预算、物品、过敏/忌口档案、提醒、轨迹和应用偏好默认保存在设备的应用沙盒中。卸载应用或在应用中删除数据后，本地数据可能无法恢复，请在操作前自行确认备份情况。
2. iCloud 同步
当你主动开启 iCloud 同步时，支持同步的数据会写入你 Apple ID 对应的 CloudKit 私有数据库，不经过星屿工具自建业务服务器。iCloud 数据的存储和安全同时受 Apple 的服务条款与隐私政策约束。
3. 位置与外部数据服务
实时海拔和轨迹功能在设备上使用系统定位数据。你主动查询星空条件时，应用使用 Apple WeatherKit 获取对应位置的天气数据。查询坐标不会写入星屿工具业务数据库。
4. 意见反馈与会员验证
- 当你主动提交意见反馈时，反馈类型、正文、可选联系邮箱、应用版本和构建版本会发送至星屿工具服务器。反馈最长保存 365 天，用于查看、回复和改进产品；你未填写邮箱时，反馈不会包含联系方式。
- 星空指南提供 10 次免费成功查询，Pro 用户不限次数。免费查询不要求提交会员凭证；需要确认 Pro 权益时，应用会向星屿工具服务器发送由 Apple 签名的当前 StoreKit 交易凭证。服务器使用 Apple 官方验证库核验应用 Bundle ID、商品、有效期及撤销状态，不接收银行卡号或 Apple ID 密码。
- StoreKit 签名凭证和交易标识不会写入星屿工具业务数据库，仅为会员校验、短时缓存和接口限流在服务器内存中处理。
5. 时间源校准
当你主动校准第三方时间源时，应用会向所选网站发送不携带登录 Cookie 的临时网络请求，并读取公开 HTTP 响应时间。对应网站可能接收你的 IP 地址、请求时间和基础设备网络信息。应用不会代你登录这些网站，也不会读取其中的账户或交易数据。
6. 麦克风、语音和照片
- 语音记账仅在设备支持本机语音识别时启用，语音不会上传到星屿工具服务器。
- 小票文字识别通过 Apple Vision 在设备上完成。
- 物品照片和过敏/忌口档案的配料照片默认仅在设备上处理；配料文字识别由 Apple Vision 在设备端完成。
7. 通知
经期、保质期和固定账单提醒使用 iOS 本地通知。星屿工具不会读取支付宝、微信、银行卡或其他应用的消费通知，也不会在后台抓取支付信息。
8. 购买
Pro 购买与订阅由 Apple StoreKit 和 App Store 处理。星屿工具读取经过 Apple 验证的购买权益状态，但不会获得或保存你的银行卡号等支付凭证。
9. 数据共享、广告与追踪
我们不会出售个人数据，不使用数据进行跨应用追踪，也不接入广告网络。除你主动启用的 Apple iCloud、App Store、WeatherKit，以及意见反馈、会员验证所需的星屿工具服务器和所选时间源网站外，应用不会将内容发送给其他服务。
健康记录共享（仅在你主动开启时）
健康记录默认保存在本机。你单独同意并开启某成员的共享后，该成员的称呼、关系、历史记录和后续更新，以及你的共享称呼、随机共享身份、邀请与绑定关系，会通过 HTTPS 发送至星屿工具服务器。健康记录与称呼使用 AES-256-GCM 加密保存，密钥单独配置；这是服务端加密存储，并非端到端加密。此共享功能不将数据写入 CloudKit，不上传 Apple ID、手机号或通讯录。
邀请二维码不包含测量数据，10分钟有效且只能使用一次。生成二维码表示你同意将所选成员的记录单向共享给接收该邀请的人，请只将二维码发送给信任的家人。对方扫码并确认接收后即可只读查看，不会反向共享其数据。接收方填写的成员备注名仅保存在其设备钥匙串，不修改分享者档案。新增记录在打开 App 并联网时同步；接收的数据仅在 App 内存中展示，不合并到接收方本地健康记录或 iCloud。临时请求来源 IP 用于限流，不写入共享业务数据库。
共享身份凭证保存在本设备钥匙串，不通过 iCloud 同步；换机需要重新绑定。请仅分享本人或已获得本人授权的成员数据。我们不会将健康数据用于广告、营销或数据交易。
10. 数据删除
你可以在对应工具内删除记录，或通过卸载应用删除本地数据。iCloud 数据可通过关闭同步并在 Apple 的 iCloud 管理功能中删除。如需删除已提交的意见反馈，请通过技术支持页面联系我们并提供反馈编号或填写的联系邮箱。
在健康记录的共享管理中，你可以解除某个人的绑定、停止某位成员的共享，或删除本设备共享身份及其全部服务器共享数据。停止成员共享会删除服务器中该成员的共享副本并解除全部绑定，本机原始记录保留。删除共享身份会删除该身份的共享副本、邀请及绑定。卸载 App 不等于删除服务器共享数据，请先在共享管理中删除；已由接收者截图、导出或另行保存的副本无法收回。过期邀请与未确认申请会定期清理。
11. 未成年人
本应用不以收集未成年人个人信息为目的。监护人如发现需要处理的数据问题，可通过技术支持页面联系我们。
12. 政策更新
功能、数据处理方式或法律要求发生变化时，我们会更新本政策并修改生效日期。重大变化会在应用内或产品页面进行提示。
13. 联系我们
隐私问题和数据处理请求请通过星屿工具技术支持页面联系。