隐私政策

单人使用 LoveClock（默认方式）

不配对，LoveClock 也完全可用。你的恋爱开始日期、可选的结婚日期、里程碑、重逢倒数、计划、「我们的故事」里的时刻，以及你的主题偏好，都通过 Apple 的设备本地存储保存在你的 iPhone 或 iPad 上。单人使用时，应用不会联系我们的服务器，你输入的内容不会离开你的设备。

与伴侣配对（可选）

你可以选择用一个短配对码或邀请链接和一位伴侣配对。配对的做法保证了我们读不到你们分享的内容：

• 配对码永远不会离开你们的手机。唯一的例外是可选的 iCloud 备份，它也会把配对码存进你个人的 iCloud 钥匙串，而 Apple 对钥匙串做了端到端加密，所以我们同样读不到。加密密钥是在你们的设备上从配对码推导出来的，我们的服务器只会看到配对码的单向指纹，用作房间地址。
• 你同步的一切（日期、里程碑、重逢、计划）都在上传之前于你的设备上加密。服务器只保存这些密文，没有任何办法解密。
• 没有账号。你的设备用一个随机的、每台设备各自的密钥来验证身份；我们从不索要姓名、邮箱地址或电话号码。

配对之后我们的服务器保存什么

当你配对时（也只有在配对时），我们的服务器会保存这几类数据：

• 一条房间记录：哈希后的房间地址、哈希后的设备凭证，以及一个版本计数器。没有可读内容。
• 你的加密记录：上面说的端到端加密数据，在最后一次更新后最多保存 400 天。创建之后一直没人加入的房间，15 分钟后删除。
• 一个推送令牌：你设备的 Apple 推送通知令牌，只用来送达同步更新和戳一下，最多保存 90 天。这是服务器上唯一没有加密的数据，因为 Apple 需要可读的形式才能把通知送出去。
• 加密的快拍照片（传输中）：你发出的快拍会在你的设备上用一把全新的一次性密钥加密之后再上传，而密钥本身只在你的端到端加密记录里传递，所以我们服务器上的照片数据对我们不可读。这些数据大约一天之内自动删除，一次性密钥也会在快拍消失时在你们的设备上销毁，剩下的任何密文因此永远失去意义。两边都重要：我们这边只短暂地存着读不懂的东西，你们那边把密钥抹掉。
• 加密的语音留言（传输中）：语音留言和快拍的做法完全一样：在你的设备上用它自己的一次性密钥加密，经过我们这里时不可读，大约一天之内从我们这边删除，密钥在你们那边被抹掉之后就永远失去意义。音频只在手机内存里解开，除非你特意留下，否则不会写进手机存储。

解除配对会把你的设备从房间里移除，上面说的保留期限会让其余的数据自动过期。

通知和戳一下

纪念日和里程碑提醒由 iOS 在你的设备上本地排定，不经过服务器。配对之后，同步更新以静默推送送达，伴侣的戳一下只会显示一条固定的通用横幅。戳一下附带的可选留言和其他内容一样是端到端加密的，它只是短暂显示在伴侣屏幕上，不会被保存。快拍照片也是一样：伴侣打开后大约 20 分钟内可见，随后被抹掉，除非他们特意选择留下。如果对方留下了你发的快拍，你会被告知；被留下的快拍会存在他们手机上，也可以从那里保存到别处。唯一的例外是为了向我们举报而保留的快拍：那次保存是静默的，这样举报就不会让被举报的人察觉。我们看不到快拍，也无法阻止一部手机截屏；照片会消失是你们两个人之间的约定，而不是技术上的不可能。

语音留言遵循同样的规则，只有一点值得说清楚：它的二十分钟是从伴侣播放它的那一刻开始算，而不是从它出现开始。一条摆在屏幕上的语音留言什么都没告诉他们，所以在他们有机会听之前就开始计时并不公平。从未被播放的语音留言，会在发出一天之后自动抹掉。语音留言不会自己播放，通知里不会，刚到达时也不会；我们听不到它，就像我们看不到快拍一样。

什么永远不会同步

分享是有选择的：你设为私密的重逢和计划，即使在配对期间也只留在你的手机上。你的主题和动画偏好、你置顶的小组件选择，以及你的购买凭证，永远不会离开你的设备。如果你已配对，一个加密的「是或否」标记会把你的高级版状态告诉伴侣，好让一份订阅覆盖你们两个人；它不会透露别的任何信息。

如果你丢了设备

因为我们从来没有你的配对码或加密密钥，服务器上的数据我们无法恢复。如果你打开了可选的 iCloud 备份，一台登录了你 iCloud 账户的新设备或重装后的设备，可以从你个人的 iCloud 钥匙串里恢复配对，这条路径完全发生在你的设备和 Apple 之间。没有这份备份的话，两台手机都丢了就意味着加密数据会在没人读过的情况下过期。这是有意的取舍：正是这个性质让我们读不到你们的感情。

你留下的照片、语音留言和留言也是一样：它们存在你的手机上，根本不会到我们的服务器。你可以选择打开 iCloud 备份，这一个开关同时管着你们的配对和你的内容，它会把你的日期、时刻、计划和珍藏复制到你自己的 iCloud 云盘。每个文件都先在你的设备上加密，密钥只存在你的 iCloud 钥匙串里，所以这份备份对我们和 Apple 都是读不懂的。伴侣发来但你没有留下的内容不会被备份，它本来是临时的，就一直是临时的。关掉备份就会把它删除。

服务提供方

同步服务器运行在 Cloudflare 上（Workers、KV 和 Durable Objects），由它代我们保存上面说的密文和推送令牌。通知通过 Apple 推送通知服务送达。这两方都不会从我们这里拿到可读的感情数据。

无需账号

包括配对在内的每一项功能，你都可以不创建账号、不登录、不给我们邮箱地址就使用。没有登录墙。

没有分析、广告或第三方跟踪

LoveClock 里没有广告，没有分析或遥测 SDK，也没有第三方跟踪框架。我们不会给你建画像，也不会把数据分享给广告商或数据经纪商。

不做位置跟踪

LoveClock 从不请求也不使用你的位置。重逢倒数会考虑时区，但那是在你的设备上，根据你选择的日期和时区算出来的。我们不会追踪你或你的伴侣在哪里。

儿童

LoveClock 面向一般受众，不会在知情的情况下收集任何人的个人信息，包括儿童的个人信息。

本政策的变更

如果本政策有变化，我们会更新这个页面并修改上面的日期。更新之后继续使用应用，即表示你接受修订后的政策。

联系

对隐私有疑问？请发邮件到 pawels.apps@gmail.com.