隐私与数据
归箱是一款完全离线运行的搬家与收纳箱管理工具。这份政策说明我们如何处理（以及更重要的：不处理）你的信息——你的箱子、物品、照片与备注只保存在你自己的设备上。
本政策说明归箱（以下称"本 App"）如何处理你的信息，包括处理哪些信息、为什么处理、保存在哪里、保存多久，以及你可以如何查看、修改、导出与删除这些信息。它适用于你在 iPhone 与 iPad 上使用本 App 的全部功能，包括记录箱子与物品、拍摄或选择照片、生成二维码标签、导出与导入完整备份。
本政策与 App Store 产品页上的「App 隐私」标签，以及随本 App 一起提交给 Apple 的隐私清单（PrivacyInfo.xcprivacy）内容一致。如果三者之间存在表述差异，以本政策为准，我们会尽快修正其余两处。
本政策不适用于 Apple 提供的系统服务。App Store 的分发与更新、系统照片选择器、系统文件选择器、iCloud 备份、以及"与 App 开发者共享分析"等，均由 Apple 按其自身隐私政策处理，我们无法控制也无法访问其中的数据。
我们建议你在开始使用前完整阅读本政策。开始使用本 App，即表示你已阅读并理解本政策的内容。
本 App 是一款搬家与收纳箱管理工具，它的工作方式决定了一件事：你的资料只需要留在你的设备上，就能完成全部功能。因此我们从产品设计上采取了三条原则：
第一，不收集。本 App 没有服务器，不发起任何网络请求，也不要求你注册或登录。你的箱子、物品、照片与备注只写入设备本机的 App 沙盒，我们既看不到，也没有任何技术途径获取。
第二，不外传。本 App 不接入任何第三方 SDK，不包含广告、统计、埋点、崩溃上报、推送与社交登录，也不会把你的信息出售、出租或提供给任何第三方。
第三，你来掌控。你可以在 App 内随时查看、修改、删除任何一条记录，可以随时导出完整备份把资料带走，也可以直接卸载 App 一次性删除全部本机数据。不需要申请、不需要等待、不需要联系客服。
苹果在「App 隐私」中对"收集"有明确定义：把数据从用户设备传出，或者在用户设备之外保存，使得开发者或第三方能够读取这些数据，才构成"收集"；仅仅在设备本地处理与保存，不构成"收集"。
归箱的所有数据都写在设备本机的 App 沙盒中，从未离开设备，我们与任何第三方都无法读取。因此，按照苹果的定义，归箱不收集任何数据：App Store 的隐私标签为"不收集数据"，随 App 提交的隐私清单中，收集数据类型（NSPrivacyCollectedDataTypes）为空数组，追踪标记（NSPrivacyTracking）为否，追踪域名列表为空。
为了让你看清边界，下面按苹果「App 隐私」的数据类别逐一说明，本 App 既不申请也不读取其中的任何一类：
以下信息由你在使用过程中产生，只保存在本机沙盒，用于实现你看到的功能：
箱子与物品记录。包括箱子的编号、名称、所属房间、状态（整理中 / 已封箱 / 已拆箱）、易碎与优先拆箱标记、备注，以及每个物品的名称、数量、备注与照片文件名。这些内容保存在沙盒的 `Documents/GuiXiang/boxes.json` 中。
物品照片。你用相机拍摄或从相册选择的照片，会先压缩到长边不超过 1400 像素，再以 JPEG 格式保存在 `Documents/GuiXiang/Photos/` 中。压缩的目的是减小占用空间，也让备份文件更容易携带。
导入前的安全备份。每次实际执行备份导入之前，本 App 会把当时的完整资料另存为一份本机安全备份（`Documents/GuiXiang/Recovery/`），用于在导入结果不符合预期时找回原状态。这份备份在本机保存，不会上传。
偏好设置。例如列表显示方式（紧凑列表 / 详细卡片）、是否播放启动动画等界面偏好，保存在系统提供的 UserDefaults 中。这类数据只包含你的界面选择，不含任何个人信息。
旧版数据库副本。如果你是旧版本升级上来的用户，本 App 会把升级前的原始数据库另存为 `Documents/GuiXiang/before-v1.1.json`，以便出现问题时进一步排查。该文件同样只在本机。
上述本机数据只用于下列目的，且全部在设备上完成：
在你需要时显示箱子与物品清单，并支持按物品名、箱名、房间、备注与编号进行查找；为每个箱子生成编号与二维码，用于纸箱标记与扫码查询；导出 PDF 标签与文字清单，供你打印或查看；生成完整备份文件（.guixiang），供你转移或恢复资料；以及记住你的界面偏好。
我们不会将这些数据用于：广告投放或广告归因；建立用户画像或行为分析；个性化推荐或内容分发；训练人工智能或机器学习模型；自动化决策或信用评估；以及与任何第三方的数据交换。
本 App 只在对应功能被真正使用时申请权限，并把申请范围控制到最小。你可以在 iOS 的「设置 → 隐私与安全性」中随时查看与撤销。应用内的「设置 → 隐私中心 → 隐私选择」也会显示当前的相机授权状态，并在被拒绝时提供跳转系统设置的入口。
相机（唯一申请的权限）。只有当你主动点击「扫描箱子二维码」或「拍一张照片」时，系统才会弹出授权提示；本 App 不会在启动时或后台索要相机权限。相机用于两方面：识别贴在箱子上的二维码以打开对应箱子；拍摄物品照片以便日后辨认。相机画面仅在本机用于即时识别与拍摄，本 App 不会保存视频流、不会录像、不会把画面传输到任何地方。如果你拒绝授权，仍然可以输入编号（例如 `001`、`1`、`BX-001`）查找箱子，也可以从相册中选择照片，其余功能不受影响。
相册。本 App 使用系统提供的照片选择器（Photos Picker）。这种方式下，选择照片的界面由系统进程提供，本 App 只能拿到你明确选中的那一张或那几张照片，无法遍历、读取或上传你的相册，因此不需要申请相册权限。你后来从记录中删除照片时，该照片会随之从本 App 的沙盒中移除，但相册中的原图不受影响。
文件。导出与导入备份时，本 App 使用系统文件选择器。你选择保存位置或挑选文件，本 App 只拿到你确认的那一份结果。本 App 无法浏览你的文件系统，也不会自动上传到任何位置。
我们不申请的权限。本 App 不申请下列权限，因此不涉及相应数据：定位；通讯录；日历与提醒事项；健康与健身；麦克风与语音识别；运动与健身；蓝牙；HomeKit；Wallet；通知推送；后台定位；读取剪贴板。本 App 也不集成任何语音助手、快捷指令自动化或小组件来读取你的记录。
关于追踪。本 App 不进行任何跨 App 或跨网站的追踪，因此没有集成 App Tracking Transparency（ATT）授权流程，也没有配置追踪用途说明。
存储位置。全部资料存放在本 App 沙盒内的 `Documents/GuiXiang/` 目录中。iOS 为每个 App 分配独立的沙盒存储区域，其他 App 无法读取本 App 沙盒内的文件；本 App 也不会把资料写入沙盒之外的任何位置，除非你主动导出。
保留期限。资料默认一直保留，直到你删除对应记录，或者卸载本 App。我们没有设置自动过期、自动清理或云端副本。
删除方式。你可以逐条删除物品；也可以删除整个箱子（删除后 12 秒内可以撤销，避免误删）。如果你的原始数据库无法读取，本 App 会进入只读保护状态，拒绝保存、导出不完整备份与覆盖恢复，以免原文件被进一步破坏，此时你可以先导出资料再处理。
卸载即删除。卸载 App 会同时删除本机资料与本机安全备份，且无法恢复。如果你希望在换机、重装或维修后保留资料，请在卸载前导出完整备份文件，并把它保存在你信任的位置。
系统备份。如果你在 iOS 中开启了 iCloud 备份或电脑备份，本 App 的沙盒数据会随系统备份一起被备份。这部分行为由 iOS 的系统设置控制，本 App 不会主动上传，也无法访问你的备份内容。如果你不希望 App 数据进入系统备份，可以在系统设置中关闭对应 App 的备份开关。
本 App 不与任何第三方共享你的信息，具体包括：不出售、不出租、不交换、不以营销为目的提供；不向广告网络、数据经纪商、分析服务商提供；不因商业合作而向合作方提供；不向任何第三方提供本机沙盒的访问能力。
第三方 SDK 清单为空。本 App 不包含任何第三方 SDK、广告 SDK、统计 SDK、推送 SDK、崩溃上报 SDK 或社交登录组件。因此不存在第三方通过本 App 收集数据的情形，也不存在需要在此逐一列明的第三方主体。
第三方框架说明。本 App 使用的全部技术组件均由 Apple 随 iOS 提供并本地运行，包括 SwiftUI 与 UIKit（界面与交互）、AVFoundation（相机预览、二维码识别、手电筒）、PhotosUI（系统照片选择器）、UniformTypeIdentifiers（备份文件类型识别）、ImageIO（照片压缩与解码）、CryptoKit（照片完整性校验用到的 SHA-256 摘要）以及 Foundation（本地文件读写）。这些框架在设备上运行，不会把资料发送给框架提供方。
由你发起的对外提供。当你使用系统分享菜单或文件面板导出标签、清单或备份时，接收方与保存位置由你选择。一旦你选择保存到 iCloud Drive、发送给他人或上传到其他位置，该文件就由你与该接收方之间的关系决定，我们无法控制也无法访问。
跨境传输。由于本 App 不收集数据、不使用服务器，不存在个人信息的跨境传输。若你把自行导出的备份文件保存到境外的云盘或服务中，该行为由你与相应服务商决定。
完整备份（.guixiang 文件）由你主动导出，内容为带版本号的 JSON 数据与照片数据，其中每张照片都带有 SHA-256 摘要，导入时会逐张校验，校验不通过则拒绝导入，避免把损坏的资料写入本机。
需要特别说明的是：备份文件不加密、不压缩。任何拿到该文件的人都可以读取其中的箱子记录与照片。请把它保存在你信任的位置，例如设备本地的「文件」App 目录、你控制下的云盘，或加密磁盘中；不建议通过公开链接分享。
如果你把备份保存到 iCloud Drive，该文件由你的 Apple 账户管理，适用 Apple 的相关条款与你的账户安全设置。本 App 不会自动上传、不会自动同步，也不会在后台读取你的云盘内容。
PDF 标签与 PDF 文字清单只用于打印与查看，不包含照片，也不能代替完整备份进行恢复。
我们采用下列措施保护本机资料：
沙盒隔离。资料存放在 App 沙盒内，其他 App 无法读取。
原子写入。保存资料时采用原子写入方式：写入过程中断也不会留下半份记录，原文件保持完好。
系统文件保护。记录文件与照片文件使用 iOS 的文件保护等级存储，在设备锁屏未解锁的情况下无法被读取。
完整性校验。备份中的照片带 SHA-256 摘要，导入时逐张验证。
只读保护。当原始数据库无法读取时，本 App 进入只读状态，拒绝任何可能覆盖原始文件的写入操作。
权限最小化。仅申请相机权限，且仅在功能被主动使用时申请。
关于数据安全事件。由于本 App 不收集数据、不使用服务器、不进行网络传输，因此不存在服务器端数据泄露的风险，也不存在需要通知你的服务端安全事件。你的数据安全取决于设备本身：建议开启锁屏密码与"查找我的 iPhone"，并定期导出备份。如果设备丢失，可通过"查找"功能远程抹除设备，其中的 App 资料会一并删除。
关于恢复能力。因为我们无法访问你的资料，所以也无法替你恢复任何数据。请养成定期导出备份的习惯，尤其是在换机、重装系统或送修之前。
本 App 没有账号体系，因此不存在"注销账号"这一环节；你对自己数据的控制权直接落在设备本机上。你可以在任何时候行使下列权利，无需申请、无需等待审核：
查阅与更正。在 App 内打开任意箱子，即可查看与修改其中的全部内容，包括名称、房间、状态、标记、备注、数量与照片。
删除。删除单个物品，或删除整个箱子；删除后 12 秒内可撤销。你也可以直接卸载 App，一次性删除全部本机资料与本机安全备份。删除后无法恢复，如需保留请先导出备份。
数据可携带。导出完整备份（.guixiang），在另一台设备上通过「设置 → 备份与恢复 → 从备份恢复」导入，即可带走全部资料。资料在合并或替换两种恢复方式下的行为，在 App 内与项目文档中均有说明。
撤回同意。在 iOS 的「设置 → 隐私与安全性 → 相机」中关闭相机权限，即可撤回对相机的授权；也可以在「设置 → 隐私中心 → 隐私选择」中直接跳转。撤回后编号查找与相册选择仍然可用。
反对与限制处理。由于本 App 不收集数据、不做画像与推荐，不存在需要额外行使的反对权或限制处理权。
投诉。如果你认为你的隐私权利受到影响，可通过本政策末尾的联系方式提出；我们会在收到后尽快回复，通常不超过 15 个工作日。如果你所在地的法律赋予你向监管机构投诉的权利，你可以同时向相应监管机构反映。
内容定位。归箱是一款家居收纳工具，内容是箱子与物品的清单管理，不含任何不适合未成年人的内容，也不含社交、广告、内购与外部链接网页。因此它适合所有年龄使用，按 App Store 的年龄分级通常为 4+。
不收集个人信息。本 App 不要求填写任何个人信息，也不收集标识符与使用行为，因此不涉及未成年人个人信息的收集、存储、使用、转移与披露，也不存在针对未成年人的个性化推荐、广告营销或数据共享。正因为不收集，本 App 不需要监护人同意的流程，也不会知晓使用者的年龄。
监护人的角色。我们建议未成年人在监护人指导下使用本 App，例如把搬家与整理变成一件全家参与的事：一起给箱子编号、一起记录箱内物品。监护人如果希望清除本机记录，可以在 App 内逐条删除，或直接删除 App；由于资料只存在于本机，删除后即不可恢复。
关于 App Store 的「儿童」类别。本 App 目前不归入 App Store 的"儿童"类别。如果你计划归入该类别，还需要满足该类别的额外要求（例如不得包含第三方分析、不得包含外部链接、不得包含广告与内购等）。以当前功能与实现，归箱符合这些限制，但归类由开发者在上架时自行决定并承担相应责任。
关于儿童在线隐私。由于本 App 不收集、不传输、不共享任何个人信息，也不提供面向公众的内容发布与社交功能，因此不涉及基于儿童个人信息的数据处理活动。如你是监护人并对此有疑问，欢迎通过本政策末尾的方式联系我们。
本 App 通过 Apple 提供的系统服务运行，这些服务由 Apple 按其自身隐私政策处理数据，本 App 无法从中获得可识别你个人身份的信息：
App Store。负责本 App 的分发、更新与安装记录。本 App 免费且不含内购，因此不涉及支付信息处理。
系统照片选择器与系统文件选择器。选择过程由系统进程完成，本 App 只拿到你确认的结果。
iCloud 备份与电脑备份。如果你开启了系统备份，iOS 会备份 App 沙盒数据；备份的加密、存储与传输由 Apple 或其配合的软件负责。
分析与改进。如果你在 iOS 的「设置 → 隐私与安全性 → 分析与改进」中开启"与 App 开发者共享"，Apple 可能向开发者提供匿名的崩溃与使用统计。该开关可在同一位置随时关闭。
iCloud Drive。如果你把导出的备份文件保存到 iCloud Drive，该文件由你的 Apple 账户管理。
除上述系统服务外，本 App 不依赖任何其他在线服务。
本政策会随 App 版本更新而更新。每次更新，我们都会在本页与 App 内的「设置 → 隐私中心 → 隐私政策」中更新版本号与生效日期；如果变更涉及你权益的重大调整（例如新增联网功能、新增收集行为），我们会在应用内以显著方式提示，并在更新说明中说明变更内容。
继续使用更新后的版本，即表示你接受更新后的政策。如果你不接受，可以停止使用并卸载本 App；由于资料只在本机，卸载即完成删除。历史版本可通过 App Store 产品页所列的联系方式索取。
本政策适用中华人民共和国法律（不含冲突法规则）。如果你与我们之间就本政策产生争议，双方应先友好协商解决；协商不成的，任何一方可向开发者所在地有管辖权的人民法院提起诉讼。若本政策的任何条款与适用法律相冲突，以法律规定为准，其余条款继续有效。
如果你对本政策、隐私保护或数据删除有任何疑问、意见或投诉，可以通过以下方式联系我们：
为便于我们处理，请在联系时说明你使用的设备型号、iOS 版本与 App 版本（可在 设置 → 隐私中心 顶部看到）。我们会在收到后尽快回复，通常不超过 15 个工作日。涉及数据删除的请求请注意：归箱不掌握你的任何数据，删除操作需要你在本机完成（见第十二节）。
下表用于对照 App Store Connect 中「App 隐私」问卷的填写口径，与本政策正文完全一致：
如果你对本政策、隐私保护或数据删除有任何疑问、意见或投诉，写信告诉我们即可。由于归箱不掌握你的任何数据，删除与导出操作需要你在设备上完成，应用内的「设置 → 隐私中心」提供了完整入口。
