PinGo隐私政策 / Privacy Policy

隐私政策

更新日期：2026 年 8 月 21 日
生效日期：2026 年 8 月 21 日

PinGo（以下简称「本应用」）由个人开发者陈卓（以下简称「我们」）开发与运营。

我们知道隐私政策通常又长又难读，所以先用一段话讲清楚最重要的事：

速览： 我们不自建服务器。你的企鹅、待办、心情日记和使用进度都存在你自己的手机里；如果你开启同步，会额外备份到你自己的 iCloud——那份备份我们在技术上无法读取，整份备份在离开设备前就已加密，连 Apple 也解不开。此外，为了知道哪些功能好用、哪件衣服受欢迎，本应用每天会上报一份使用统计：只有数字和一个无法反查你身份的随机标识，不含你写的任何文字。唯一的例外是你主动提交的意见反馈——那是你写给我们看的，我们确实能读到（见 1.6）。本应用不收集手机号、不读通讯录和相册、不投放广告、不做跨应用追踪、不向任何人出售你的信息。

下面是完整说明。请在使用前阅读，尤其是加粗部分。如果你不同意本政策，请停止使用本应用。

一、我们收集哪些信息，用来做什么

我们坚持最小必要原则：只收集实现具体功能所必需的信息，且绝不做功能之外的用途。以下是完整清单，没有遗漏项。

1.1 你在应用内输入的内容

收集内容： 企鹅昵称、待办事项及其提醒时间、心情记录与日记正文。

用途： 呈现和保存你的记录，按你设定的时间发出提醒。

是否必要： 是本应用核心功能所必需。

⚠️ 这些内容保存在你的手机本地。如果你开启了 iCloud 同步，会额外备份到你自己的 iCloud 账号中——整份备份采用端到端加密（详见 1.8）。我们既不会收到，也无法查看、导出或恢复这些内容。

1.2 使用进度与本地标识

收集内容： 签到、能量、任务、探险进度；图鉴与明信片解锁记录；贝壳币与珊瑚币余额；会员状态；服装、家具与卧室摆放等个性化设置；以及本应用在首次启动时生成的一串本地用户标识（即侧边栏显示的「用户 ID」）。

用途： 保存你的使用进度与个性化设置。用户 ID 仅在你提交反馈时用于定位问题。

⚠️ 该用户 ID 是在你手机本地随机生成的，不关联你的手机号、邮箱、设备序列号或任何真实身份，也不用于登录，更不会被用来跨应用识别你。

以上数据存在本机；开启同步后同样会备份到你自己的 iCloud。

1.3 位置信息（可选，需你授权）

触发场景： 当你记录心情时，本应用会自动获取当天的天气一并存入日记。

处理过程：

1. 首次记录心情时，由系统向你申请「使用 App 期间」的定位权限。你可以拒绝——拒绝后本应用不再尝试获取位置与天气，记录心情等其他功能一切照常；
2. 获取你的位置——精度被我们主动限定为公里级，本应用不获取、也不需要你的精确位置；
3. 将该经纬度发送给天气服务商 Open-Meteo，换取当天的天气与气温；
4. 把返回的天气结果存入你本地的日记。我们自己不保存这个经纬度。

⚠️ 请注意：接收方 Open-Meteo 会在其服务器日志中记录该经纬度及你的 IP 地址，用于排障与防滥用，并在 90 天后删除。该公司位于瑞士，因此这一步涉及个人信息出境，详见第五节。

该权限完全可选。 拒绝或随时在系统设置中关闭定位，不影响本应用的任何其他功能，只是日记里不会带上天气。

1.4 相册（可选，需你授权）

触发场景： 仅当你主动使用分享功能、选择把图片保存到相册时。

权限类型：「仅添加」权限。这是一种只写不读的权限——本应用只能往你的相册里存入这一张图，在技术上无法浏览、读取、上传或删除你相册中的任何已有照片。

1.5 通知（可选，需你授权）

用途： 发送你自己设定的待办提醒。

⚠️ 这些通知完全在你的设备本地生成与触发。我们没有推送服务器，无法向你推送任何广告或运营消息。

1.6 意见反馈（可选，仅在你主动提交时）

收集内容： 你选择的反馈类型、你填写的正文、你选填的联系方式、你的本地用户 ID、本应用的版本号与设备系统版本。

接收方式： 你点击「提交反馈」后，由本应用直接上传至 Apple CloudKit 的公共数据库（容器 `iCloud.com.cz.pingo`），我们从那里读取。这一步需要你的设备已登录 iCloud；未登录时提交会失败，本应用会如实告知你，并给出开发者邮箱供你另行联系。

⚠️ 与第 1.9 节的使用统计不同，反馈正文是你自由输入的文字，不是匿名数字。 它与你的本地用户 ID 一同保存在我们能够读取的公共数据库中。请只写你愿意让我们看到的内容。

联系方式为选填。 不填同样可以提交，只是我们无法回复你。填了则仅用于就本次反馈与你联系，不做任何其他用途、不并入营销名单。

用途： 定位并修复你反馈的问题、回应你的诉求。

保存期限： 自收到起不超过 12 个月；如问题尚未处理完，保存至处理完毕后删除。你也可以随时来信要求我们提前删除某条反馈，请附上你的用户 ID。

⚠️ 反馈正文由你自由填写。请勿在其中填写身份证号、银行卡号、密码等敏感信息——我们不需要这些，也不希望收到。

1.7 购买与会员

⚠️ 支付流程全部由 Apple App Store 完成。我们只能从 Apple 处获知你的订阅是否有效、何时到期等结果信息，在技术上无法获取你的支付卡号、银行账户、账单地址等任何支付凭证。

1.8 iCloud 同步（默认开启）

为了让你换手机或重装后不丢进度，本应用提供 iCloud 同步。该功能默认为开启状态，应用内不提供关闭开关。

数据存在哪： 你自己的 iCloud 账号中一块专属于 PinGo 的私有存储区，占用你自己的 iCloud 空间。

⚠️ 我们在技术上没有任何入口能读取这份数据。 这不是我们的承诺，是 Apple 用基础设施强制的：私有存储区只有你本人的设备能访问，开发者的服务端密钥在设计上无法触及。我们只能看到请求次数、占用空间这类运维数字，内容一个字都看不到。

⚠️ 整份备份采用端到端加密（Apple 的 `encryptedValues`）：不只是日记，而是全部存档内容——在离开你的设备之前就已加密，密钥只保存在你的设备上，我们和 Apple 都无法读取。

为什么珊瑚币余额必须同步： 珊瑚币属于「消耗型」内购，Apple 只记录你购买过，不记录你还剩多少。如果不同步，你换手机后珊瑚币余额会归零，因此余额被包含在同步内容中。

同步不影响你已购买的会员权益——那部分由 Apple 按你的 Apple ID 记录，与本同步无关。

⚠️ 请注意：存档同步与第 1.9 节所述的使用统计是两回事，各自独立。如需删除统计记录，请按 1.9 节的方式来信告知我们。

⚠️ 如果你更换 Apple ID，在系统看来即为另一位用户，原有的备份将无法访问，我们也无法帮你找回。

1.9 使用统计

为了知道哪些功能真的有人用、哪些商品受欢迎、新手引导卡在第几步，本应用每天首次启动时会上报一次使用统计。

⚠️ 这是一份与随机标识关联的使用数据，不是匿名数据。 我们如实说明：同一台设备上报的多条记录可以被关联到同一个使用者。该标识由 Apple 按「你的 Apple ID × 本应用」生成，只在本应用内有效，换一个 app 就是完全不同的一串，无法反查你的姓名、手机号或任何真实身份。

具体收集这些四类，没有别的：

一、每日状态快照（每天一条）

⚠️ 关于「平均字数」： 这是一个由你输入的标题派生出的数字，用于判断建议库的文案长度是否合适。我们不上报标题本身，只上报一个平均值。

二、商店购买记录（每次购买一条）

商品编号、商品类别（衣服 / 家具 / 手持物 / 染色 / 会员 / 珊瑚币）、支付使用的是贝壳币、珊瑚币还是人民币、价格。

三、功能使用次数（每人每天每功能一条）

功能名称、当天开始了几次、当天真正完成了几次，以及功能内选择的选项（例如深呼吸选了 1 / 3 / 5 / 10 分钟）。

覆盖的范围：疗愈的 7 个功能、签到与探险、5 个页面的进入次数、新手引导每一步的完成情况。该统计在你的设备上先汇总，只上传当天的合计数字，不记录具体几点几分。

四、待办库主题统计（每人每天每主题一条）

9 个预置主题（如「好好吃饭」「晚安好梦」）各自被选中、被完成的次数。

⚠️ 只统计到主题，到不了具体某一条待办。 因为你从建议库里选完之后可以随手改标题，改过的标题就是你写的字，不能上报。主题名是我们预先定死的 9 个词，你改不了，因此绝不会混进你输入的内容。

⚠️ 明确不上报： 你的日记正文、待办的具体内容、企鹅昵称与用户名、你记录的具体心情值、位置信息、精确时刻、IDFA 等广告标识符。

其中具体心情值尤其值得说明：情绪数据在部分法域下接近健康数据，收集需要单独的明示同意。我们目前只统计「情绪记录功能被使用了几次」，不记录你当天是开心还是难过。

用途： 仅用于改进本应用的功能与商品。不用于广告、不用于向你推送个性化内容、不与任何第三方共享、不向任何人出售。

保存期限： 自上报之日起 24 个月，到期删除。

如何删除： 来信告知我们，我们会协助你处理使用统计的删除请求。

⚠️ 两点需要你知道：

1. 这份统计存放在 Apple 的 CloudKit 公共数据库中。该数据库是本政策所述数据中我们唯一能够读取的部分，其中除本节的统计数字外，还包含你主动提交的意见反馈（见 1.6）。
2. 上报需要你的设备已登录 iCloud。未登录 iCloud 时，本应用不会上报任何统计数据。 这不是一个可供选择的开关，只是技术上的必要条件。

二、权限清单与撤回方式

本应用申请的系统权限仅以下三项，全部为可选，且全部在你首次触发对应功能时才申请：

定位（使用 App 期间） —— 用于心情日记查天气。拒绝不影响其他功能。

相册（仅添加） —— 用于保存分享图片。拒绝不影响其他功能。

通知 —— 用于待办提醒。拒绝不影响其他功能。

撤回方式： 前往手机「设置 → PinGo」，可随时单独关闭上述任一权限，即时生效。撤回不影响撤回前基于你授权已进行的处理。

本应用不申请摄像头、麦克风、通讯录、日历、健康数据、蓝牙、后台定位等任何其他权限。

三、我们明确不会做的事

在本版本中，本应用不会：

如果未来版本需要新增上述任一能力，我们会先更新本政策、以应用内弹窗显著告知，并重新征得你的同意，之后才会启用。

四、第三方服务清单

本应用集成的第三方服务仅以下三项，我们不接入任何未在此列明的 SDK 或服务：

Apple
用途：应用分发、订阅与内购（App Store、StoreKit）；存档同步与使用统计的存储（CloudKit）。
会接触到：你的订阅与交易状态；作为存储方托管你的存档备份与使用统计。
说明：存档备份存于你自己的 iCloud 私有区，Apple 作为存储方托管，整份备份为端到端加密。
适用政策：https://www.apple.com/legal/privacy/

OpenMeteo GmbH（瑞士）
用途：仅在你使用天气功能时提供天气数据查询。
会接触到：公里级经纬度、你的 IP 地址。不含用户 ID、不含任何可识别你身份的信息。
保存期限：其服务器日志 90 天后删除。
适用政策：https://open-meteo.com/en/terms

Rive Runtime（动画渲染库）
用途：在你的手机本地渲染企鹅动画。
会接触到：无。该库纯本地运行，不联网、不采集、不上传任何信息。

五、信息的跨境传输

Apple 服务（存档同步与使用统计）

如果你使用中国大陆的 Apple ID，你的 iCloud 数据由 云上贵州大数据产业发展有限公司在中国境内运营与存储，不涉及出境。使用其他国家或地区 Apple ID 的用户，数据存储位置由 Apple 按其政策确定。

OpenMeteo GmbH（瑞士）

这是本应用唯一确定涉及个人信息出境的环节：

⚠️ 你可以随时在系统设置中关闭定位权限来终止这项传输，且不影响本应用的任何其他功能。

除上述之外，本应用不涉及其他跨境数据传输。

六、信息的存储、期限与保护

6.1 存储位置

本应用不自建服务器。数据分布在三处：

① 你的手机（本地） —— 全部存档。我们看不到。

② 你自己的 iCloud（私有区，需你开启同步） —— ①的备份，占用你的 iCloud 空间。我们在技术上无法读取，整份备份为端到端加密。

③ Apple CloudKit 公共库 —— 第 1.9 节的使用统计，以及第 1.6 节你主动提交的意见反馈。这是唯一我们能够读取的部分。 统计部分只有数字和随机标识；意见反馈则包含你自己写下的文字，这是本政策中唯一由你输入、且我们能读到的内容。

6.2 保存期限

6.3 安全措施

全部网络请求使用 HTTPS 加密传输；本地数据受 iOS 系统级沙盒与文件加密保护；iCloud 备份整份采用端到端加密。你提交的意见反馈存放在 CloudKit 公共数据库中，我们已将其读取权限收紧为仅开发者本人可读，其他用户无法查看你写的内容。

由于我们不自建服务器、不持有你的账号密码与支付信息，不存在服务器被入侵导致你的个人信息大规模泄露的风险。但请理解，任何技术手段都无法保证信息的绝对安全。

6.4 关于数据丢失

⚠️ 如果你没有开启 iCloud 同步： 更换手机、卸载重装、恢复出厂设置或在应用内重置数据，都会导致进度永久丢失，我们无法为你找回——因为我们从来没有过这份数据。

⚠️ 如果你开启了 iCloud 同步： 在同一个 Apple ID 下，换手机或重装后可以恢复。但更换 Apple ID、或你自行删除了 iCloud 中的备份，同样无法找回。

七、我们如何共享、转让与公开披露

除第四节列明的必要服务方外，我们仅在以下情形共享、转让或公开披露你的信息：

我们不会将你的个人信息用于商业营销，也不会出售、出租给任何第三方。第 1.9 节所述的使用统计仅供我们自己改进产品，不对外提供。

如未来发生合并、收购或其他主体变更导致信息转移，我们将告知你接收方的名称与联系方式，并要求接收方继续受本政策约束；否则将要求其重新取得你的授权。

八、你的权利

在法律允许的范围内，你可以随时行使以下权利：

查阅与复制 —— 在应用内直接查看你的全部内容。如需导出副本，可使用应用内的导出功能，或邮件联系我们。

更正与补充 —— 在应用内直接编辑昵称、待办、日记等任何内容。

删除 —— 分三处，互相独立：

| 删什么 | 怎么删 |
|---|---|
| 手机本地数据 | 应用内删除单条记录；卸载应用会清除本机全部数据 |
| iCloud 中的备份 | 在 iPhone「设置 → 你的 Apple ID → iCloud → 管理账户存储」中删除 |
| 使用统计记录 | 来信告知我们 |

⚠️ 卸载本应用只会清除手机本地数据。如果你开启过同步或希望删除使用统计，请在卸载前完成上述操作，或来信联系我们。

撤回同意 —— 在手机「设置 → PinGo」中单独关闭定位、相册、通知任一权限。如需停止 iCloud 备份，请按上表在 iPhone 系统设置中删除本应用的 iCloud 数据。

注销 —— 本应用不设注册账号，无需注销流程。按上表删除三处数据，即等同于清空你在本应用的一切痕迹。

其他请求与投诉 —— 通过第十一节的邮箱联系我们。我们将在收到你的请求后 15 个工作日内予以回复。

如果你认为我们的处理行为损害了你的合法权益，除联系我们外，你也有权向网信、电信等主管部门投诉举报，或向有管辖权的人民法院提起诉讼。

九、未成年人保护

本应用适合一般用户使用，并非专门面向儿童设计。

⚠️ 如果你是不满 14 周岁的儿童，请务必在监护人的陪同下阅读本政策，并在取得监护人同意后再使用本应用。

我们不会主动收集儿童的个人信息。如果你是监护人，发现我们在未获你同意的情况下收集了你所监护儿童的个人信息，请通过第十一节的邮箱联系我们，我们将在核实后尽快删除。

十、本政策的更新

我们可能适时修订本政策，修订后会在本页面更新日期。

⚠️ 若涉及以下实质性变化，我们将通过应用内弹窗等显著方式提示你，并重新征得你的同意后才生效：

十一、联系我们

如对本政策有任何疑问、意见或需要行使上述权利，请通过以下方式联系我们：

我们将在收到后 15 个工作日内回复。

English version available — use the 中文 / English switch at the top.
App 备案号：京ICP备2026051962号-1A