隐私政策
「追远」（以下简称"本应用"）是一款离线优先、免注册登录的家族族谱管理软件，由个人开发者徐士博（以下简称"我们"）开发并提供。我们高度重视您的隐私。
核心承诺：您录入的族谱、照片和家族文化内容仅保存在您的设备本地，我们不收集、不上传、也无法访问。平台授权、购买、恢复与退款核验需要联网，但不包含族谱内容。
本政策适用于本应用的 Windows、Android、HarmonyOS 与微信小程序版本。不同平台的授权、支付、系统备份和文件选择能力可能不同，以对应平台的应用内说明和系统提示为准。
一、本地族谱数据
1.1 您录入的族谱内容
您录入的家族成员姓名、性别、生卒日期、亲属关系、字号、籍贯、职业、生平、照片，以及家训、大事记、字辈谱等，全部仅保存在您设备的本地存储（应用沙箱 / 本地数据库）中，不会上传到任何服务器，我们及第三方均无法访问。
1.2 机器码
为将授权与当前安装绑定、防止滥用，Android 与 HarmonyOS 版首次启动时在本地随机生成安装标识，经 SHA-256 哈希生成 8 位"机器码"（形如 XXXX-XXXX），不读取 Android ID、ODID、序列号等系统设备标识。
- 本地随机安装标识仅保存在应用沙箱，不会上传；
- 当您在 Android 版主动前往官网购买时，应用会将机器码放入购买页链接的 fragment 中；浏览器不会把 fragment 发送到网站，购买页会在本地读取并立即从地址栏移除，仅在您核对、同意并创建订单后提交机器码；
- 当您在 HarmonyOS 版主动购买或恢复购买时，机器码会随华为签名购买凭据和商品 ID 发送到我们的订单核验服务；
- 订单核验过程不会上传任何族谱内容。
1.3 微信小程序稳定授权账号
您同意微信小程序隐私政策后，小程序会调用微信登录能力取得一次性临时凭证，并发送到追远授权服务。服务端向微信接口换取该小程序范围内的 OpenID，通过服务端 HMAC 密钥分别派生内部稳定身份编号与较短的外显授权账号（形如 WX-XXXX-XXXX-XXXXX）。
- OpenID 与 session_key 不返回小程序，身份换取接口不保存映射；微信内购买按订单核验需要加密保存 OpenID，session_key 只在短期内存中使用，不持久化、不写日志；
- 稳定授权账号缓存在本机，用于在清理缓存或换设备后重新校验同一份激活码；
- 本应用不获取微信昵称、头像、手机号、好友关系或通讯录；
- 您主动购买激活码时，订单系统会保存稳定授权账号、授权版本、订单与支付状态，以及您自愿填写的邮箱，用于签发与售后恢复。
1.4 文件与相册访问（仅在您主动操作时）
仅在以下您主动发起的操作中访问文件或相册，且仅限于您本次选择的内容：选择成员头像、添加照片；导出/导入整库备份（.zybak）、家族分享包（.zyshare）、通讯录（CSV）；保存谱书 PDF。本应用不会扫描或上传您的其他文件。
人物头像仅支持应用内置系统头像与您主动从本机选择的自定义头像。旧数据中的 http://、https:// 远程头像地址不会加载，也不会产生网络请求；界面会使用姓名字章占位。
1.5 我们不收集的信息
本应用不收集位置、通讯录、通话、短信、生物特征等信息（手机号等仅在您自行录入为成员资料时存于本地），无广告、无第三方统计或分析 SDK。除各平台的软件授权、购买与订单核验外，族谱管理功能可离线运行。
二、软件激活、支付与订单核验
2.1 官网兼容激活码购买
您主动创建官网订单时，订单系统会保存 PC、Android 或 HarmonyOS 的机器码，或微信小程序的匿名授权账号、授权版本、官网订单号、订单与支付状态、支付宝交易号，以及您自愿填写的邮箱，用于签发激活码、交易核对与售后恢复。邮箱不是创建订单的必填项；支付宝负责账号、收银和支付处理，我们不会获得您的银行卡号或支付密码。
官网订单号或支付宝交易号可作为订单持有凭证，用于重新取得当前激活码，或为新设备换发激活码。每笔订单累计最多记录四个不同授权标识；换发时历史授权标识会继续保留。订单号具有找回凭证作用，请您妥善保存且不要公开；第五个授权标识或订单号丢失时，可通过联系邮箱申请人工核验。
2.2 HarmonyOS 版
HarmonyOS 版支持华为应用内购买，也支持输入已经获得的兼容激活码。华为负责账号、收银和支付处理，本应用不会获得您的银行卡号或支付密码。
您主动购买或恢复购买时，本应用会将华为签名购买凭据、商品 ID 和机器码发送到我们的订单核验服务。服务端会向华为查询订单状态，并保存订单号、商品、订单状态、机器码及创建/更新时间，用于交付权益、恢复购买、处理退款撤销和防止重复交付。
2.3 微信小程序版
微信小程序的稳定授权账号仅用于激活码签发、校验与售后恢复。身份换取接口本身不保存 OpenID 与稳定账号的映射；当您购买激活码时，稳定授权账号会作为授权绑定标识写入订单和签名激活码。族谱数据不会上传。
微信内购买使用微信虚拟支付，iOS 使用微信提供的 Apple 支付。独立订单账本加密保存必要的购买者 OpenID，并保存商品、金额、订单号、发货与退款状态、授权位及时间，用于自动交付、补单、恢复购买和退款同步。再次进入小程序时可同步已购订单；断网不会清除有效授权，全额退款在成功同步后撤销对应权益，不删除族谱或其他有效授权。纯离线的历史授权不能即时远程撤销。
网络请求会自然携带 IP 地址，服务器可能在安全日志中短期记录请求时间、IP 地址、接口和响应状态，用于故障排查及防攻击。订单核验数据存储在中国境内服务器，原则上不超过五年；法律法规另有要求，或处理退款、争议所需时，按必要期限保存，期满后删除或匿名化。
访问官网或下载页时，服务器还可能记录请求时间、官方安装包文件名、平台、IP 地址、系统与浏览器、来源页和响应状态，用于统计各版本下载点击、排查异常流量，以及估算同一时间区间内的购买转化。该记录只表示发起下载，不代表下载完成或安装成功；官网不为此使用 Cookie、设备指纹或第三方分析 SDK。原始访问日志按运维策略短期轮转，下载明细只在受口令保护的内部运营后台查看。
三、数据存储、保管与安全
- 数据存于设备本地应用沙箱/数据库；卸载应用通常会清除其沙箱内数据。
- 整库备份（.zybak）和家族分享文件（.zyshare）可能包含成员资料及您选择包含的照片，由您自行保管与传输。文件默认不经过我们的服务器。
- Android 与 HarmonyOS 的系统备份、手机克隆可迁移族谱、本地随机安装标识和授权文件，因此在受支持场景中能够保持激活状态；该过程由您的系统账号控制，不经过我们的服务器。
- 数据在本地，其安全很大程度取决于您的设备安全（锁屏、加密、防丢失），请您一并注意。
四、家族分享、转让与公开披露
我们不会共享、转让或公开披露您的族谱数据（其根本不在我们处）。HarmonyOS 版可通过系统分享面板、碰一碰等系统能力发送 .zyshare 文件；接收端会先展示家族、成员、关系、记录、照片和预计冲突摘要，只有接收方确认后才会合并，合并完成后再由接收方决定是否切换目标家族。您可选择是否包含照片。
五、第三方
本应用未集成第三方广告、统计、推送等 SDK。Android 与 Windows 版官网购买使用支付宝网站支付，HarmonyOS 版购买流程使用华为 IAP Kit；微信小程序使用微信登录与小程序网络能力。支付宝、华为、微信对账号和支付信息的处理以其展示的隐私政策和系统页面为准。
六、未成年人信息
族谱内容可能包含家庭成员（含未成年人、已故先人）的信息，由您作为录入者提供并保存在本地。请确保您已合法获得相关信息并对其保管负责；本应用不主动向未成年人收集信息。若您是未成年人，请在监护人指导下使用。
七、您的权利
您的族谱数据完全由您掌控：可随时在应用内查看、修改、删除任意成员或家族数据，或卸载应用以清除本地数据，无需向我们申请。HarmonyOS 版可在设置中撤回隐私同意；微信小程序清除本地存储后会重新征求新版政策同意。
对于订单核验数据，您可通过下方联系方式申请查询、更正或删除。因履行法定义务、处理退款争议或维护交易安全必须保留的部分，我们将在必要期限届满后处理。
八、政策更新
我们可能适时更新本政策，并在应用内或官网公示更新后的版本；重大变更将以显著方式提示。
九、联系我们
如有疑问请联系：xusaber@foxmail.com 开发者：徐士博（个人开发者）
附：平台权限与系统能力
| 权限 | 用途 | 说明 |
|---|---|---|
| 网络（INTERNET） | 华为商品查询、购买/恢复和订单核验 | 仅购买相关流程使用 |
| 微信登录与网络请求 | 换取匿名稳定授权账号 | 不获取昵称、头像、手机号或族谱数据 |
| 文件 / 图片 | 导入导出、选择照片、保存谱书 | 经系统选择器，仅访问本次所选内容 |
| 本地随机安装标识 | 生成机器码、绑定授权 | 不读取 ODID；核验订单时上传机器码 |
| 系统备份与分享能力 | 用户主动迁移、备份或分享 | 可迁移本地激活状态；文件不经过我们的服务器 |
本应用不申请定位、通讯录、相机、麦克风、电话、短信等无关权限。