《浮标》隐私政策

生效日期：2026 年 11 月 12 日

感谢你使用浮标。浮标是一款本地优先的情绪记录应用：不注册账号、不要求登录，你的记录默认只存储在这台手机上。本政策同时适用于安卓端与鸿蒙（HarmonyOS）端，仅某一端存在的功能与权限均已逐一标注。除应用内版本检查、鸿蒙端的提醒排班与「云端换机」的加密备份中转外，你的数据不经由我们的服务器处理。请在使用前仔细阅读，特别请留意第五节「位置信息」——它属于敏感个人信息。

一、开发者信息

软件著作权所有人：中城展（北京）体育科技有限公司（统一社会信用代码：91110102MA04GB4114）

开发者：王梓翔

联系邮箱：Buoy_Dae@163.com

ICP备案：京ICP备2026070363号-1A

你也可以在应用内「我的 → 联系我们」找到我们。本政策的解释权归上述开发者所有。

二、我们收集的信息

我们不做用户画像，不投放广告，不接入任何统计、广告或分析类 SDK。你的数据分两类处理：

（一）仅存储在本机的数据

以下内容全部保存在本应用的私有目录中，受系统沙箱保护，其他应用无法读取：

• 心情记录（表情与时间；十分钟内可修改，修改历史不留存）
• 你写下的文字、随手涂鸦、拍摄或从相册选择的照片（含实况照片）
• 歌曲条目（歌名、歌手、分享链接、封面链接、你的备注）
• 今日一句话、昵称与头像
• 免打扰时段规则、不可打扰应用名单
• 场景快照（仅安卓端）：记录心情那一刻的前台应用名称与使用时长，用于在回忆栈中还原「刚才在做什么」；仅在你授权「使用情况访问」后生成，只存本机，可随单条记录一并删除
• 你主动添加的记录地点，以及天气徽章使用的城市与坐标缓存（均仅存储于本机，详见第五节）
• 你设置的云端备份密码（加密存放于本机，仅用于备份的加密与解密）

（二）为提供特定功能而必须传输的数据

除下列情形外，本应用不存在其他数据上传行为：

• 添加位置、使用天气徽章与日出日落时：当时的经纬度坐标会发送至高德服务器，用于解析省市区、附近地点或当地天气（详见第五节）
• 使用云端换机时：经你设置的密码端到端加密后的备份密文，经 Cloudflare 服务器中转（详见第十一节）
• 获取法定节假日日历、解析歌曲分享链接与加载歌曲封面时：只发送请求本身（封面反查时含歌名、歌手关键词），不携带你的账号、设备标识等个人信息
• 检查应用更新时（安卓端、鸿蒙端）：向我们的更新服务器请求版本信息，不携带你的个人信息；仅安卓热修渠道（内测、官网直装）会在你确认后下载并覆盖安装热修包
• 鸿蒙端排询问提醒时：把你的推送令牌与提醒时刻上报给我们的排班服务器，仅用于到点经华为推送服务把询问通知送达你的设备，不含任何记录内容

三、应用权限

• 通知（安卓端、鸿蒙端）：发送心情询问、今日一句话与周回声提醒。可拒绝；拒绝后仍可手动记录，仅失去主动提醒。
• 使用情况访问（仅安卓端）：仅在手机本机判断前台应用与使用时长，用于把询问推迟到合适时机、生成场景快照与按应用免打扰；相关数据不出本机。可拒绝；拒绝后「智能时机」「场景快照」与「按应用免打扰」不可用，其余功能不受影响。
• 位置（精确/粗略）（安卓端、鸿蒙端，仅应用使用期间）：在你主动点「添加位置」、开启天气徽章或打开「自动更新位置」后按需单次定位，不持续追踪（详见第五节）。可拒绝；拒绝不影响任何记录功能。
• 照片与相册（仅安卓端）：仅在「从相册选」和选择头像时读取你所挑选的照片，仅在保存分享相纸与色谱图时写入相册；不扫描相册、不上传相册内容。鸿蒙端不持有相机与相册权限：拍摄与选图均经系统相机与系统相册选择器完成，保存经系统安全控件由你确认。
• 相机（安卓端、鸿蒙端）：通过系统相机应用或系统拍摄器拍摄，本应用不持有相机权限，照片只保存本机。
• 后台任务调度（安卓端、鸿蒙端）：安卓端借助系统后台任务与闹钟按计划执行提醒调度与场景感知检查；鸿蒙端使用系统代理提醒（受限权限）作为提醒通道之一。均不产生常驻通知。
• 悬浮窗（仅安卓端）：仅在通知「记一笔」四宫格浮层使用，不做常驻悬浮。
• 安装未知应用（仅安卓热修渠道：内测、官网直装）：用于下载并覆盖安装热修包；经应用商店安装的版本不适用，商店版本的更新请走应用商店完成。
• 开机自启动（仅安卓端）：用于在设备重启后恢复提醒调度。
• 网络（安卓端、鸿蒙端）：上述数据传输与日历、歌曲功能所需。

四、第三方服务清单

除本节列出的服务与应用商店外，本应用不与任何第三方共享你的数据；未来如需接入新的第三方服务，我们会先更新本政策并以显著方式告知。

• 高德开放平台（运营方：高德软件有限公司）：定位与位置相关服务，包括定位 SDK（仅安卓端）、逆地理编码、附近 500 米地点检索与天气查询。发往高德的请求包含坐标或城市编码；安卓端定位 SDK 将依据其自身隐私政策收集为实现定位所必需的设备信息与位置信息。其隐私政策：https://lbs.amap.com/pages/privacy/
• Cloudflare, Inc.：我们的更新与中转服务器部署于 Cloudflare（Cloudflare Workers 与对象存储）。用于：①「云端换机」密文中转，仅保存密文与取件编号的哈希值，30 天后自动删除（详见第十一节）；②应用内版本检查与热修包分发，不携带你的个人信息。Cloudflare 作为基础设施托管方，可能按其隐私政策处理网络层面的必要信息。
• 华为推送服务（运营方：华为软件技术有限公司）（仅鸿蒙端）：询问提醒的下发通道。应用向我们的排班服务器上报推送令牌与提醒时刻，由服务器到点调用华为推送服务下发通知；除推送令牌与通知文本外，不传你的任何数据。其隐私政策以华为消费者业务官网公布为准。
• 网易云音乐、QQ 音乐、酷狗音乐、汽水音乐：仅在你分享歌曲时向其发起链接解析并加载封面图片，不向其发送你的账号或设备信息。
• 法定节假日数据源（timor.tech）：获取公开的节假日安排用于调休识别，请求不携带任何个人信息。
• 应用分发平台（你下载本应用所在的应用商店，如华为应用市场）：应用的分发、安装与更新由平台完成，平台可能按其自身隐私政策收集设备与下载信息，该部分不受本政策约束，请以对应平台的隐私政策为准。

五、敏感个人信息：位置

位置信息属于敏感个人信息，我们按最小必要原则处理，仅用于你主动触发的以下场景：

• 为某条记录添加位置（安卓端、鸿蒙端）：在你主动点击「添加位置」并单独同意后，发起一次单次定位；定位结果（省市区、附近地点、经纬度）只写在该条记录上，仅存储于本机；删除该条记录即移除其位置；
• 天气徽章与日出日落（安卓端、鸿蒙端）：在你主动开启天气徽章后，发起单次定位解析出城市，仅用于向高德请求当地天气、按当地真实经纬度计算日出日落；解析出的城市与坐标仅保存于本机，用于后续刷新天气；
• 自动更新位置（可选，默认关闭）：开启后，安卓端在每次回到前台时、以及每 6 小时一次的系统后台任务中各重新定位一次；鸿蒙端在每次回到前台时重新定位一次（鸿蒙端无后台定位）。用于你跨城移动后持续刷新当地天气与日出日落，关闭开关即停止；
• 除「自动更新位置」的上述定时刷新外，不后台定位、不持续追踪、不建立行踪轨迹，位置数据不与高德以外的任何第三方共享；
• 在系统设置中关闭位置权限后，本应用无法再发起定位。

六、剪贴板

仅安卓端在你主动打开记歌页面时读取一次剪贴板，用于识别歌曲分享链接；不后台读取、不留存、不上传。两端都只在你主动点按「复制」时向剪贴板写入取件码或排障文本，不会读取剪贴板的其他内容。

七、数据安全

• 本应用数据受系统应用沙箱机制保护，其他应用无法读取；
• 云端换机使用 AES-256-GCM 端到端加密，密钥由你的密码经 PBKDF2 推导，密码与密钥均不离开你的设备，包括我们在内的任何一方都无法读取备份内容；
• 备份密码加密存放于本机（安卓端使用系统密钥库），仅用于备份的加密与解密；
• 我们不掌握任何可读取你记录的密钥。

八、你的权利

• 查阅与更正：随时在「回忆栈」查看全部记录；一条记录后的十分钟内可以修改；
• 删除：可单条删除、一键清空回忆栈；卸载本应用将删除全部本地数据；
• 撤回同意：随时在系统设置中关闭任何权限，或在应用内关闭天气徽章、自动更新位置等开关，关闭后对应功能停用，不影响其他功能；
• 账号与注销：本应用无账号体系，不存在独立的注销流程；卸载应用即完成全部个人数据的删除。

九、未成年人

本应用不面向 14 周岁以下儿童提供服务。若你是未成年人，请在监护人陪同下阅读本政策并使用本应用。

十、政策的更新

本政策更新后，将在应用内以适当方式提示；涉及数据处理方式的重大变更，将以弹窗单独征得你的同意。本政策生效日期见文首，历史版本在 https://yi-tiao-da-e.github.io/Mood_tracker/privacy/ 保留可查。

十一、云端换机服务

当你主动使用「云端换机」时，你选定范围内的记录将在本机打包，并以你设置的密码加密（AES-256-GCM，密钥由密码经 PBKDF2 推导），加密后的密文连同取件编号经 Cloudflare 服务器中转保存。加密密钥与密码均不离开你的设备，我们与服务器运营方均无法读取备份内容。服务器仅保存密文与取件编号的哈希值，30 天后自动删除。新设备输入编号与密码后，在本机解密恢复。安卓端与鸿蒙端使用同一套加密与备份格式（.fubiao），可互相迁移。使用该功能即表示你同意上述中转过程；不使用该功能不影响本应用其他任何功能。

十二、联系我们与法律适用

如对本政策或数据处理有任何疑问，可通过「我的 → 联系我们」中的邮箱与我们取得联系。

本政策未尽事宜，依照中华人民共和国相关法律法规执行。本政策任一条款被认定无效，不影响其余条款的效力。因本政策产生的争议，双方应友好协商解决；协商不成的，提交开发者所在地有管辖权的人民法院处理。

每一次记录，都是一个浮标。