UpUp 撑起 隐私政策
生效日期：
一句话： UpUp 在你的 iPhone 上运行，账号可选，没有第三方统计 SDK。开启分享后会向我们发送去标识化的使用与诊断事件。日志文件仅在你选择发送诊断日志或反馈时上传。
1. App 会用到什么，为什么
- 闹钟（AlarmKit）。用于在你设定的时间响铃，包括静音与专注模式下。闹钟标签保存在本机；开启分享时，闹钟时间等配置会作为诊断数据上传，详见第 2 节。
- 前置摄像头（TrueDepth 人脸追踪）。仅在俯卧撑页面用于测量脸与手机的距离以计数。画面在内存中处理后立即丢弃，不保存、不显示、不传输任何照片或视频。
- 运动传感器。加速度计用于确认做俯卧撑时手机静止，以及在摇晃任务中计数。读数不会保存。
- 定位（仅在你允许后）。关掉闹钟后，UpUp 会取一次位置，用来显示你醒来那里的天气。坐标会发送给 Apple 天气（WeatherKit）和世界空气质量指数项目（WAQI）以获取预报与空气质量，除本机缓存的天气报告外不会保存。只有当你点首页的天气行、点天气页上的「允许定位」，或关掉闹钟后打开天气时，UpUp 才会请求定位。若不想分享位置，可在天气页选择一个城市，App 就不再请求定位。
- 城市搜索。你在天气页输入城市名时，输入的文字会发送给 Open-Meteo 的地理编码服务以查找匹配的地点。不发送其他任何信息，选定的城市只保存在本机。
- 天气与空气质量。预报来自 Apple 天气，空气质量来自 WAQI，城市搜索来自 Open-Meteo。详见数据来源与致谢。
- 购买（StoreKit）。UpUp PRO 通过 Apple 销售，付款由 Apple 处理，我们看不到你的支付信息。App 只检查是否存在有效订阅。
2. 我们收集的诊断数据（以及如何关闭）
为了弄清闹钟为什么没响、大家真正在用哪些任务，App 会向我们发送以随机安装 ID 区分的诊断与使用数据。这是我们自己的代码在和我们自己的服务器（log.centneo.cn，部署在阿里云）通信；没有第三方统计 SDK，没有广告标识符，也不做跨 App 追踪。
- 使用事件。只记录发生了什么，不记录你是谁：保存了一个闹钟（时间、重复日、任务类型、铃声）、闹钟响了、按了停止、完成了任务及用时、看到了付费页、购买（以及是否为免费试用）成功或失败、天气页加载了。每条事件带一个随机的安装 ID、App 版本、iOS 版本、机型、语言和地区。绝不包含你的闹钟名称、位置或你扫描的码。
- 设置快照。设置变化时上传；未变化时每天最多一次：你的闹钟列表（时间、日期、任务、铃声、开关）、闹钟和定位权限是否已授予、你的方案（免费/PRO）、当前连续天数。
- Apple Ads 归因，仅一次。首次打开时，App 向 Apple 的 AdServices 框架取一个一次性令牌并发给 Apple（
api-adservices.apple.com）。Apple 返回这次安装是否来自 Apple Ads 搜索广告，是的话附带广告系列、广告组和关键词编号；我们把这个结果记为一条使用事件。不使用广告标识符，不做跨 App 追踪，关闭诊断时不会发起。 - 购买来源分析。开启使用与诊断分享时，购买会将随机安装 ID 作为 Apple 的 appAccountToken。自有服务验证 Apple 签名的交易通知，用它关联安装来源与购买、续订、退款，记录交易金额与币种，不接收银行卡信息。关闭分享后，新购买不附加此分析标记；历史交易可能已包含标记。自动搜索匹配不会提供单个用户的具体搜索词。
- 购买诊断。结构化事件记录商品是否可用、购买尝试、Apple 返回结果、交易验证、PRO 权益确认和账号同步状态，可包含 App Store 商店国家代码、交易环境、白名单错误域及数字错误码。随机购买尝试 ID 与随机安装 ID 用于关联步骤，两者都不是 Apple 交易 ID 或账号 ID。不包含收据、支付信息、凭证或原始错误文本。开启分享时，事件在本机排队并在后台异步重试；缺少事件不会被直接认定为购买失败。
- 反馈与日志文件，仅在你主动发送时。设置 → 「发送反馈」会上传你填写的内容（问题类型、描述）、你从相册挑选的最多三张截图、脱敏后的诊断附件（仅含白名单允许的闹钟、权限和购买错误记录，自由文本日志及未知字段会省略），以及可选的邮箱。相册选择器在 App 之外运行，UpUp 只拿到你选中的那几张截图。在你点「发送」之前，反馈内容和附带文件不会上传。
安装 ID 是 App 首次打开时生成的随机数，不来自你的设备或 Apple ID，删除 App 即作废。使用事件、配置快照和反馈最多保留 12 个月，只用于修复问题和改进 UpUp。设置 → 诊断 → 「分享使用与诊断数据」可关闭使用事件和配置快照；关闭后会清除待发送的数据，不会继续发送。严重购买或闹钟安排错误可能提示发送诊断日志；只有你明确选择「发送诊断日志」才会上传，不依赖分享开关状态。上传日志不会立即解决问题。
3. 可选的账号
不登录也能完整使用 UpUp。如果你在 设置 → 账号 → 登录 中选择通过 Apple 登录或邮箱验证码，我们会在账号服务器（托管于阿里云，与我们的另一款 App「宜食」共用，一个账号两款 App 通用）保存：你的账号 ID（Apple 提供的按 App 隔离的用户标识，或由邮箱派生的 ID）、邮箱地址、仅在你允许时 Apple 分享的姓名，以及登录会话。验证码由 [email protected] 发出，5 分钟后失效，使用后即删除。登录不会上传你的闹钟、连续天数或历史记录。设置 → 账号 → 「删除账号」会删除账号及服务器上属于它的全部数据。
4. 我们不做的事
- 不强制注册。账号是可选的（见第 3 节）。在反馈表单里填的邮箱只用来回复你。
- 没有第三方统计、广告或追踪。除了我们的诊断接口和发给 Apple 的一次性 Apple Ads 归因请求，App 的网络请求只有天气页对 Apple 天气和 WAQI 的调用（只携带坐标）和城市搜索对 Open-Meteo 的调用（只携带你输入的文字）。
- 没有云同步：无论是否登录，闹钟、连续天数与历史记录都保存在 App 本地存储中，删除 App 即删除。
5. 你能看到的数据
起床记录（每次响铃时间与完成任务时间）保存在本机用于计算连续天数。删除 App 即清除。
6. 儿童
UpUp 不面向 13 岁以下儿童，也不会有意收集他们的信息。
7. 变更
本政策如有变更，新版本将在此页面发布并更新生效日期。