隐私政策
让记录
留在自己手里。
摘要
- 你的经期记录、症状、心情与备注属于敏感健康数据。默认情况下，它们只在你的设备上存储和处理。
- 无需账户。核心记录、估算、日历、洞察、导出与删除全部离线可用。
- 没有广告、没有分析、没有追踪 SDK，不出售、不共享你的健康数据。
- 云同步为可选功能，默认关闭；开启后仅以加密快照上传到无法读取其内容的服务器。
- 你可以随时在应用内导出全部数据、删除全部数据。
一、我们是谁，本政策适用于什么
月序（Mori）是一款隐私优先、离线优先的经期记录与周期估算应用（iOS / Android），由个人开发者 JIE CAO（下称「开发者」）开发和运营。月序当前面向中国大陆以外的用户发布；本政策不描述面向中国大陆的专门服务。
开发者（法定）名称：JIE CAO
联系方式：privacy@moricycle.com。
本政策适用于月序在所有发布平台上的应用及本网站，说明应用处理哪些信息、存储在哪里、为什么需要、保存多久，以及你如何导出或删除。购买与退款条款单独发布于《购买与退款政策》。
二、我们处理哪些信息
下表是本应用可能处理的全部个人数据清单。「离开设备」指数据被传出你的设备；其余默认保存在本地。
| 数据 | 用途 | 存放位置 | 离开设备？ | 保留期限 |
|---|---|---|---|---|
| 经期日期及其派生周期簇；症状、心情、备注、自定义标签（均由你主动输入） | 记录、周期估算、日历、洞察 | 应用本地数据库（仅本机） | 否（仅在开启同步后包含于加密快照） | 直到你删除或重置应用 |
| 由记录派生的预测、统计与洞察 | 在设备上计算并展示 | 仅本机 | 否——即使开启同步也不上传 | 随原始记录删除 |
| 提醒设置；语言、主题、周期偏好 | 应用功能 | 仅本机 | 仅少量子集包含于同步快照 | 直到你修改或删除 |
| 匿名本机身份（随机生成） | 区分本机数据命名空间；不是登录、不是账户 | 系统安全存储（仅本机） | 否——从不上传 | 直到你清空本机数据 |
| 导出文件（JSON / CSV / 可读摘要） | 导出——仅在你主动操作时生成 | 你选择保存或分享的位置 | 仅当你主动分享；此后不受我们控制 | 由你掌控 |
| 邮箱地址（同步账户，可选） | 登录、验证、安全通知、密码重置 | 同步服务器（泰国） | 是——仅当你创建同步账户 | 直到你删除账户 |
| 加密同步快照（可选） | 跨设备备份/恢复你的记录 | 同步服务器（泰国），仅存密文 | 是——仅当你开启同步 | 直到你删除快照或账户 |
| 支付字段：邮箱、订单号、激活码 | 处理你的一次性购买（由支付服务商处理） | 支付服务商与同步服务器 | 是——仅当你购买 | 见第六节及《购买与退款政策》 |
| 更新检查元数据（平台、应用/运行时版本） | 通过网络检查应用更新 | 更新服务（Expo）——不涉及健康数据 | 是——自动，仅最小技术数据 | 由更新服务处理 |
应用内所有估算均基于你自己的历史记录计算。它们是估算，不是医学事实。
三、权限
| 权限 | 申请时机 | 用途 | 拒绝后的影响 |
|---|---|---|---|
| 通知 | 仅在你开启经期或排卵期提醒时——绝不在首次启动时 | 本地提醒。通知内容绝不包含经期或排卵的具体信息 | 提醒不可用；其余功能全部正常 |
月序不申请位置、通讯录、相册、麦克风、日历或健康平台权限。
四、存储、处理与哪些数据离开设备
未开通同步：所有健康数据存放于应用本地数据库；匿名身份存放于系统安全存储。应用产生的唯一网络流量是软件更新检查（仅技术元数据，绝无健康数据）。核心功能无需联网。
系统备份：设备上的数据可能包含在你的操作系统常规备份中（如 iCloud 或 Google 备份）。我们无法控制操作系统保留备份的时长；在应用内删除数据不会删除已有的系统备份。
我们不做的事：没有广告或广告 SDK；没有分析、追踪或遥测 SDK；日志、崩溃报告和诊断中不含健康数据；不出售、不出租、不向第三方共享你的健康数据。
五、可选云同步
云同步默认关闭，需要你主动创建已验证邮箱的同步账户。开启同步即表示你对本节描述的处理作出明确同意；关闭同步即撤回对后续上传的同意（已上传的快照保留至你删除）。
开启后，只有以下内容会以客户端加密快照的形式离开你的设备：
- 你已验证的邮箱地址（登录、验证、安全通知、密码重置）；
- 经期记录、症状、心情、自定义标签和少量设置，在设备端以账户专属密钥加密后上传。
预测、统计、洞察、导出文件、通知计划和匿名身份永远不会被上传。同步服务器只保存密文，不解析、不检索、不展示你的健康数据。但是，账户恢复流程可以解开加密密钥，因此这项服务不是端到端加密，也不是「零知识」服务。我们绝不会用那样的措辞描述它。
三种删除彼此独立：删除本机数据、删除云端快照、删除账户。任何一项都不会自动执行另一项。
六、支付
如果你购买一次性云同步解锁，结账由第三方支付服务商（Creem）处理。交易只涉及最小必要字段——邮箱、订单号和激活码；你的健康数据绝不会进入交易。退款、激活码规则与拒付处理见《购买与退款政策》。
七、第三方服务
| 服务 | 角色 | 涉及数据 | 所在位置 |
|---|---|---|---|
| 同步服务器（自建） | 存储同步账户与加密快照 | 邮箱、凭据（哈希）、密文 | 泰国 |
| Creem | 支付结账 | 邮箱、订单号、激活码 | 由 Creem 运营——见其隐私政策 |
| Resend | 发送验证与密码重置邮件 | 仅邮箱地址；邮件绝不含健康数据 | 由 Resend 运营 |
| Cloudflare | 我们域名的 DNS / CDN / TLS | 标准网络元数据（如 IP），由 Cloudflare 处理 | 全球网络 |
| Expo（EAS Update） | 应用更新分发 | 更新检查元数据（平台、版本） | 由 Expo 运营 |
| Apple App Store / Google Play | 应用分发 | 你与商店之间的关系（账户、下载） | 按各商店自身条款 |
我们不嵌入任何广告、分析或追踪 SDK。你的健康数据不与上述任何服务共享。
八、跨境传输
月序面向中国大陆以外的用户发布。根据你所在的地区，使用同步、邮箱验证或购买会把上述有限数据传输至泰国（同步服务器）及第七节所列第三方服务的运营地区。这些服务按其各自的隐私政策处理数据。
九、保留期限与删除
| 数据 | 保留期限 | 如何删除 |
|---|---|---|
| 本机记录、设置、派生数据 | 直到你删除 | 逐条删除，或「设置 → 数据与隐私 → 清空本机所有数据与重置」 |
| 匿名本机身份 | 随本机数据一并清除 | 同上清除操作（不可撤销） |
| 邮箱地址与账户 | 直到删除账户 | 设置 → 删除账户（移除账户、会话、被包裹密钥、快照、重置令牌） |
| 加密快照 | 直到删除 | 设置 → 删除云端快照（保留账户） |
| 验证 / 重置一次性验证码 | 10 分钟，单次有效 | 自动过期 |
| 服务器日志 | 短暂运维窗口；绝不含健康数据或正文内容 | 自动轮转清除 |
| 服务器备份 | 加密备份在线删除后约 30 天内轮转失效 | 自动——无法承诺从备份中即时消失 |
十、我们如何保护你的数据
- 健康数据被限制在应用沙盒化的本地存储中。
- 快照在设备端加密后才上传，并通过 TLS 传输。
- 密码以强盐哈希存储；会话与重置令牌只存哈希；每个账户拥有独立随机生成的数据加密密钥。
- 服务器日志与错误响应绝不包含健康内容、精确健康日期或记录数据。
- 不存在可以查看、检索或导出你健康明文的管理后台。
如发生影响你个人信息的安全事件，我们会毫不延迟地通知你并采取合理的补救措施。
十一、你的权利与行使方式
在数据保护法律适用于你的地区（例如你位于欧洲经济区或英国时的 GDPR），你有权访问、更正、删除、限制和处理你的个人数据，有权反对某些处理、转移数据，并撤回同意；你也有权向监管机构投诉。
大多数权利可在应用内直接行使：导出（访问与可携）、删除本机数据、删除云端快照和账户。其他请求请发送至 privacy@moricycle.com——我们力争在 30 天内回复。行使请求前我们可能需要核验你的身份；如拒绝请求，我们会说明理由。
十二、未成年人
月序不面向 13 岁以下（或当地法律规定的更高最低年龄）的儿童。如果你认为有儿童向我们提供了个人数据，请联系我们，我们将予以删除。
十三、本政策的变更
我们会在本页发布当前版本，并注明版本号、生效日期与最后更新日期。重大变更会在生效前通过应用或网站公告；应用内可访问的版本始终与本页一致。
十四、联系我们
对本政策或你的数据有疑问：privacy@moricycle.com。购买与退款事务：见《购买与退款政策》。