灵数手帐隐私政策

灵数手帐隐私政策与个人数据告知
版本：pdpa-local-first-v10
生效日：2026 年 7 月 31 日

一、Local-first 原则
本 App 的个性化、生活记录、手帐、周期日期、任务、例行、保养、衣橱、人格测试、生活洞察、相机处理、语音手帐、设备端口述、搜索、年度报告与温柔生活花园主要在手机运行。日常使用可选择本机模式，不强制登录。NaviaWorks 云端仅用于账号识别、交易验证、14 天试用、跨平台权益恢复，以及用户主动创建的账号绑定加密迁移包。

二、本机数据与加密
昵称、生日、偏好、语言、历法、主题、模块排序、日记、生活指标、任务、例行、人格答案、模板、照片、语音、衣橱、保养、洞察、花园与生活维护数据默认留在设备。敏感内容使用设备安全密钥及具完整性验证的加密格式保存。SQLite 查询字段仅保留必要日期、类型、状态与排序数据；用户输入文字和值放在加密 payload。

三、照片、相机与相册
App 可拍照或通过系统照片选择器取得用户选定照片，再在手机添加日期、时间、大致地点、实时天气、相框及算法式美颜。App 不进行云端人脸识别，不建立生物识别模板。导入 App 私人媒体前会尽可能重新编码以移除 EXIF／GPS metadata。只有用户按下保存时，照片才加入专用相册；分享使用系统原生分享面板，由用户自行选择目标 App。

四、语音手帐与设备端语音转文字
语音手帐只在用户主动录音时使用麦克风，录音保存在 App 专用加密媒体区。语音转文字仅在 Android 或 Apple 设备确认支持 on-device recognition 时启用；Android 使用 on-device recognizer，Apple 设置 requiresOnDeviceRecognition。若设备、OS、语言模型或权限不支持，App 保留手动输入或一般语音文件功能，不改用 NaviaWorks 或其他云端语音识别服务。

五、位置、天气与翻译模型
位置仅在用户允许并执行天气或水印功能时取得，坐标离开手机前会被粗化，并由手机直接查询公开天气服务。App 不保存位置历史，不要求后台定位。繁中、简中、英文内置；其他 App 界面语言可由手机下载 Google ML Kit 翻译模型并在设备端执行。私人手帐内容不会为了界面翻译发送到 NaviaWorks。

六、Widget、Shortcut 与可见计时
系统 Widget／Shortcut／Live Activity／持续通知只使用完成其功能所需的精简摘要，例如心情分数、饮水总量、任务数、简短今日提示、计时名称与结束时间。App 不把手帐全文、照片、语音、周期日期、账号、交易、权益或恢复密钥写入 Widget 共享区。用户可从系统设置移除 Widget 或关闭通知。

七、导入、文件备份与局域网直传
用户可主动导入 Daylio CSV、Day One JSON／ZIP 或自行映射的 CSV。源文件在手机解析，不上传 NaviaWorks。用户可创建加密备份文件并自行选择 Files、iCloud Drive、Google Drive、NAS Provider 或其他系统文件目的地；目标服务按其政策处理文件。局域网直传仅在用户主动启动时，于同一可信网络以短时效 token 传送已加密包；NaviaWorks 不扫描局域网、不保存传输内容，也不提供 relay。QR／Deep Link 可能包含短时效配对信息与恢复密钥，用户应仅在可信近距离设备之间使用。

八、人格、灵数、卦象与生活洞察
人格答案、灵数内容、卦象反思、趋势、关联与个人小实验在手机计算。这些功能不进行医疗、心理、疾病、生育、避孕、就业、保险或信用判断；生活洞察只描述个人记录中的关联，不代表因果。

九、账号、试用与交易
本机模式不需要账号。14 天完整试用、应用内购买、恢复购买及账号绑定的加密跨平台迁移需要登录，以维护每账号一次试用与跨平台权益。Apple 或 Google 处理付款；NaviaWorks 只处理验证所需商品、交易及权益数据，不取得完整信用卡信息。App 不销售自动续订月方案。

十、加密迁移与恢复密钥
App 可在手机生成独立恢复密钥并创建加密迁移包。服务器只保存密文与大小、哈希、版本、时间，不持有恢复密钥。账号密码、Session Token、Vault Key 与购买权益不包含在用户数据包。恢复密钥丢失时，NaviaWorks 无法代为解密。

十一、广告
免费版可能显示 Google Mobile Ads；广告模块不得读取日记、人格答案、照片、语音、周期、心情、位置历史或其他私人内容作为广告选择依据。一次买断后不显示广告。Google 仍可能依据设备、商店地区及其政策处理广告所需数据。

十二、保存、导出与删除
本机数据保留至用户删除、卸载 App 或由系统清除。用户自己的原始数据可查看、搜索、导出及删除，不因试用到期而被锁定。用户可清除本机数据，并在登录后删除账号及账号绑定的加密迁移包。商店交易记录依 Apple／Google 规则保存。

十三、安全、第三方与限制
网络传输使用 HTTPS；加密密钥使用设备安全存储。天气服务、Google ML Kit、Apple、Google、广告、文件目的地及分享目标 App 各依其政策处理必要数据。任何系统都无法保证绝对安全，用户应保护设备、账号、备份文件、QR 与恢复密钥。

十四、联系
支持：https://naviaworks.net/zh-tw/support/
账号删除：https://naviaworks.net/apps/daily-fortune/account-deletion