随身卡夹隐私政策

更新日期：2026 年 10 月 15 日
生效日期：本修订版正式公布并完成适用告知程序之日 开发者／运营者：CoderChan（以下简称“我们”） 隐私联系邮箱：coderchan.support@icloud.com

本政策适用于随身卡夹（CardPouch，iOS）。随身卡夹是一款在设备本地整理证件、银行卡、会员卡、兑换券及其他卡片资料的工具。本政策说明我们如何处理信息，以及您可以如何管理自己的资料。

您无需注册账号。卡片录入、文字识别、存储和搜索主要在设备本地完成，可由您主动开启 iCloud 加密同步。同步使用您的 Apple 账户及 iCloud 私有数据库，不需要注册开发者账号。您主动生成 Apple 钱包票卡时，选定的票卡内容会通过加密连接发送至我们的签名服务，并处理必要的设备认证、设备标识和诊断信息。我们未接入广告或跨应用追踪 SDK，不将这些信息用于广告或用户画像。导出、分享、迁移、反馈、小组件及锁屏显示也有各自的信息处理边界，详见下文。

一、在设备上处理的信息

证件号码、证件照片、金融账户及未成年人资料可能具有较高敏感性。请仅录入您有权处理的信息，并谨慎选择是否保存及分享。识别内容可以由您核对和修改。

二、系统权限与身份验证

我们仅为相应功能使用系统能力，授权状态以 iOS 提示和系统设置为准。

生物识别由 Apple 系统完成，我们不会获得您的面容、指纹模板或设备密码。应用使用系统返回的验证结果及受保护密钥访问能力。

照片导入使用系统照片选择器，仅接收您选定的图片，不需要获取整个照片图库的访问权限。您可以在 iOS 设置中管理已申请且系统提供管理入口的权限，例如相机和本地网络。撤销权限不自动删除已经保存的卡片。导出到相册、文件或其他应用时，还可能受目标服务的权限和规则约束。

三、存储与保护

卡片资料保存在设备本地。我们使用系统安全能力保护资料，对卡片标题、资料字段及保存的图片进行加密，并使用系统钥匙串管理密钥。应用通过身份验证及后台遮挡降低未经授权访问和预览泄露的风险。

本地加密不代表全部信息均以应用层密文保存。 为实现管理功能，分类、时间、状态及部分显示设置等信息可能以非应用层加密形式保存。自定义背景作品的名称也未进行应用层加密，请避免在作品名称中填写敏感资料。资料在您查看、编辑、识别、复制或导出时，需要在内存或目标文件中以可用形式处理。

小组件与锁屏显示是例外。 桌面小组件、控制中心按钮和锁屏实时活动运行在应用之外，无法进行 Face ID 验证，也拿不到卡夹的加密密钥。因此，只有您在“出示会员码”页面主动开启并确认后，所选会员卡或兑换券的名称、号码和码图案才会以非加密形式保存在本机，供系统读取并显示：

• 保存位置： 本应用与其小组件共用的私有共享目录，受 iOS 沙盒保护，未获得同一共享授权的其他应用无法读取；该目录已排除系统备份。
• 可读时机： 文件保护级别为“设备重启后首次解锁起可读”。首次解锁之后，即使设备锁屏，小组件和实时活动也能读取并显示。因此，任何拿到您手机的人，都可能在锁屏或桌面上看到并扫描这些码。
• 适用范围： 仅限会员卡和兑换券，且需要逐张卡开启。需要 Face ID 验证的卡片，以及证件、银行卡、通用卡片，不能使用这一功能。
• 撤下： 关闭开关、删除卡片、卡片改为需要 Face ID，或兑换券被标记为已核销或已过期后，这些内容会从共享目录撤下，小组件和锁屏内容随之更新。系统可能短暂保留已渲染的画面，我们无法保证立即彻底清除。
• 实时活动： 内容由 iOS 保管并显示，最长保留约 8 小时（由系统决定），您可在锁屏上移除或在应用内关闭。我们不使用远程推送更新实时活动，内容不经过开发者服务器。

本地资料密钥与设备关联；iCloud 同步另使用独立同步密钥，通过 iCloud 钥匙串在您符合条件的设备间提供。开发者不保管可用于远程解锁您卡夹的密钥副本。设备或密钥不可用、iCloud 钥匙串未同步完成，都可能导致资料暂时无法访问或无法恢复。

系统备份不等于本应用的完整备份。 当前卡片图片目录被排除在系统备份之外，解密密钥不能随系统备份迁移至其他设备；部分本地数据库或设置仍可能受系统备份机制影响。请勿将 iCloud 或电脑整机备份与应用内的 iCloud 同步混为一谈。更换或清除设备前，请确认应用内同步已完成且新设备可解密查看，或在旧设备仍可用时完成应用内迁移，并核对资料。

四、资料离开设备的情形

1. 您主动复制、导出或分享

您点击复制后，所选内容会写入系统剪贴板。敏感内容的复制路径设置为仅本机使用、约 60 秒后到期；普通文本复制不一定采用相同限制。过期设置不能撤回已被粘贴或被其他应用取得的副本。

您导出图片或使用系统分享时，所选内容会交给您指定的应用、位置或接收者。导出的可读文件不继续受本应用的加密和应用锁保护；水印也不能阻止复制或再传播。目标应用可能自行同步至云端，具体受其政策和您的设置影响。

2. 您主动换机迁移

迁移通过两台设备之间的本地网络加密连接进行，可能涉及卡片内容、图片及恢复卡夹所需的管理信息，不经过开发者服务器。迁移需要配对、验证码及系统身份验证等操作。

请仅与您控制或明确授权的设备配对，不向无关人员提供配对图案和验证码。迁移会在接收设备建立资料副本，不自动删除旧设备资料；请核对结果后自行管理两端资料。小组件与锁屏显示的开关不随迁移，需要在新设备上重新开启。

3. 您主动开启小组件或锁屏显示

开启后，所选卡片的名称和码会显示在桌面小组件和锁屏（含灵动岛）上，不需要解锁即可查看。这些内容被他人看到，或被截屏、录屏、投屏时，即离开您的控制。请仅在能够承担这一风险的场合开启，不需要时及时关闭。

在编辑小组件、控制中心或快捷指令时，选卡列表会显示可选卡片的名称和号码。控制中心和快捷指令只能启动“在锁屏显示”，不会把卡片内容输出给其他应用或快捷指令。这些内容不会发送给我们或第三方。

4. 您主动生成或管理 Apple 钱包票卡

此功能是可选的，仅适用于符合条件的会员卡和兑换券。您点击生成后，App 会联网进行设备认证和票卡签名；取消或不使用该功能，不影响一般本地整理功能。

UUID 是本应用生成并保存在本机钥匙串中的随机标识，不是手机序列号或永久硬件编号。 删除并重装 App 后它可能仍保留；清除设备或钥匙串数据丢失后可能改变。App Attest 密钥标识与 UUID 不同，重装可能产生新密钥。服务端在验证签名后关联两者，日额度可以随保留的 UUID 延续。这些记录可以关联同一标识下的多次请求，因此不是完全匿名的信息。

票卡内容在签名请求处理中使用，签名服务不建立票卡正文或生成文件的长期资料库；网络代理处理请求时可能使用短暂缓冲或临时文件。常规诊断日志不保存完整请求正文、条码内容、字段值、Logo 图片、认证证明或请求断言。 当前未启用记录完整业务参数的远程调试模式。开发构建的本机调试日志仅记录请求大小、图片尺寸、处理阶段、状态码及请求编号等诊断信息，不打印完整票卡请求内容。

签名服务和阿里云日志服务 SLS 当前使用中国大陆广州地域。SLS 由阿里云提供云日志存储与检索能力，通过服务端采集器接收前述诊断信息，不在 App 中植入行为统计 SDK。SLS 日志库保留 30 天；服务器本地运行日志还会受系统轮转和容量管理影响，并非与 SLS 同时删除。我们按运维排障需要限制访问，不将日志用于营销或模型训练。IP 地址会为网络连接及入口防滥用被处理；当前钱包接口关闭常规访问日志，不将客户端 IP 作为本功能 SLS 日志字段。

为持续校验设备、维护票卡归属和限制滥用，服务器数据库另行保存认证公钥及密钥标识、UUID 关联、随机票卡序列号与归属关系、防重放状态、额度计数及必要的例外配置。这些状态不属于 30 天 SLS 日志，当前不会因卸载 App、从钱包移除票卡或日志到期而自动删除。 短期挑战和到期限流记录在后续请求处理中清理；持续认证及归属记录用于后续更新票卡，您可通过隐私邮箱申请查询或删除，我们在核实请求及必要的安全、法定义务后处理。删除认证或归属记录可能导致原票卡无法继续更新。

生成成功后，由 Apple 系统页面让您确认是否添加。钱包中的票卡是独立副本，其展示、锁屏访问、同步或备份受 Apple 钱包及您的系统设置管理，不继续受本 App 的应用锁控制。App 会查询本应用签发且与当前卡片关联的票卡是否存在及其内容版本，用于显示状态；不会因此读取您的支付卡列表。本地编辑不会自动更新钱包副本，本地删除或卸载也不会自动移除它。您可在钱包中移除，也可在 App 的钱包页面移除已关联票卡。签名服务不是卡夹备份或恢复服务。

5. 您主动联系我们

通过邮箱或其他已公布渠道反馈时，我们会收到您提交的联系方式、问题描述和附件，仅用于沟通、排查问题及处理您的请求。请优先提供虚构或脱敏示例，不要发送完整证件、银行卡资料、验证码或设备密码。

反馈信息仅向处理问题所需的人员开放，不用于广告营销。反馈邮件及其附件仅在处理问题所需的合理期限内保存，之后删除或匿名化处理；法律法规要求继续保存的除外。您可以通过本政策所列邮箱请求查询、更正或删除您主动提交的信息。所使用的邮件服务可能按其自身规则处理邮件。

6. Apple 平台及 TestFlight

使用 TestFlight 内测时，Apple 会按其规则处理测试使用情况、崩溃及您提交的反馈，并向开发者提供相应信息。具体信息与邀请方式、反馈方式及平台设置有关，可能包括设备和系统信息、构建版本、会话及崩溃信息，以及您主动提交的文字和截图。我们仅将这些信息用于组织测试、排查问题及改进应用。

这些平台流程与卡片在本机进行的识别和存储不同。请在反馈前检查截图，避免暴露真实资料。有关平台处理方式和管理选项，请查看 Apple TestFlight 说明及 Apple 隐私政策。平台自身保存的信息按其规则处理；我们另行保存的反馈副本按前述反馈保留规则处理。

7. 您主动开启 iCloud 同步

在设置中开启并确认后，卡片资料、成员名称及归属、排序、原图、卡片使用的合成背景及相应同步信息会同步到同一 Apple 账户的设备。资料在设备端加密后上传至您的 CloudKit 私有数据库；同步所需的随机记录标识、记录类型及变更元数据也由 CloudKit 处理。背景作品库及可编辑素材不参与此同步；成员与类型筛选偏好仅保存在本机，小组件和锁屏显示授权也需各设备单独设置。

同步需要可用的 iCloud 账户、iCloud 钥匙串、网络和存储空间。Apple 按其规则处理 iCloud 数据，相关服务适用 Apple 隐私政策及 iCloud 条款。同步密钥不发送到开发者的钱包签名服务器。开发者不通过该服务器保存卡夹同步副本。

同步不是历史备份。 编辑和删除也会传播到其他设备。关闭同步只停止后续同步，不删除已存在的本机和云端资料；卸载 App 也不会自动清空 iCloud 副本。需要删除云端副本时，可通过系统提供的 iCloud 存储管理入口处理；请先检查其他设备和未同步资料，避免再次合并上传。删除云端资料不等于删除 Apple 平台依其规则保留的所有记录。系统后台调度、锁屏、网络或冲突可能延迟同步；请以应用内状态和实际资料核对结果为准。

8. Pro 购买与订阅

购买、扣款及退款由 Apple 的应用内购买流程处理。App 通过 StoreKit 获取商品标识、交易与原始交易标识、购买及到期时间、撤销状态和经验证的权益结果，用于开通、恢复及管理 Pro；在本机保存必要的权益状态，供应用及扩展判断功能是否可用。我们不会因此获得您的 Apple 账户密码、完整支付卡号或支付验证码，也不会把卡片正文附加到购买请求中。

老用户赠送资格和起止时间保存在本机，用于提供限期 Pro 权益，不会自动产生付费订阅。购买记录由 Apple 按其服务规则管理；卸载 App 或删除卡片不取消订阅。具体购买、取消及退款规则见《Pro 购买与订阅协议》和《自动续费说明》。

五、共享与跨境处理

我们不出售您的个人信息，不将卡片内容提供给广告商。除您主动使用 iCloud 同步、钱包签名等本政策列明的场景外，本机卡片不会由我们主动上传。钱包签名及日志使用前述阿里云基础设施；Apple App Attest 和钱包由 Apple 提供，相关平台处理适用 Apple 隐私政策。

您主动选用的分享接收方、邮件服务及 Apple 平台可能在不同国家或地区处理信息，具体以其服务规则为准。如我们依法需要披露实际持有的认证、诊断或反馈等信息，将核实请求并在必要范围内处理；法律允许时向您说明。我们无法提供未持有的本机卡片内容。

六、保留、删除及您的控制权

• 查看和更正： 您可在应用内查看、编辑卡片及识别结果。
• 删除卡片： 删除的卡片进入“最近删除”，通常保留 30 天，期间可以恢复；期满后在应用运行并执行清理时删除，不保证恰好在第 30 天后台即时清除。您也可在“最近删除”中选择“立即删除”，确认后永久删除该卡片及其原图，删除后无法恢复。
• 删除单张原图： 编辑页删除原图在点击保存后生效，会删除相应附件及本机文件；取消编辑保留原图。单张原图没有独立的“最近删除”入口，保存删除后不能在该入口恢复。开启 iCloud 同步时，相应附件删除会同步到其他设备。
• 关闭小组件与锁屏显示： 在“出示会员码”页面关闭“在桌面小组件显示”，会删除本机为小组件保存的非加密内容并刷新小组件；关闭“在锁屏显示”会撤下锁屏上的码。两个开关相互独立，关闭其中一个不会撤下另一个。
• 删除背景作品： 背景库中的作品与应用到卡片的背景是独立副本。删除背景作品不会删除已应用到卡片的背景；删除卡片也不会自动删除背景库中的作品。如需删除这些内容，请分别管理背景库作品和卡片中的副本。
• 删除整个本机资料库： 您可通过 iOS 的“删除 App”移除应用及其本地应用数据。“卸载 App”可能保留文稿与数据，不能视为删除资料。系统钥匙串、系统备份和已导出副本的生命周期由相应机制管理，不承诺随删除 App 一并清除。
• 管理钱包及服务端记录： 移除钱包票卡、本地卡片和服务端认证／诊断记录是不同操作；钱包副本和服务端保留规则见第四节。停止生成可停止新增相关签名请求，既有记录按其保留规则或您的有效删除请求处理。
• 管理其他副本： 删除应用内卡片不会删除照片图库里的原始图片、已导出的文件、本地迁移接收设备副本或其他服务保存的内容，需要您分别处理；已开启 iCloud 同步的设备会接收相应删除变更。
• 管理授权： 您可撤销系统权限、停止迁移或分享、停止使用应用。需要依法另行征得同意的处理，我们将另行告知并取得所需同意，不以阅读本政策替代授权。
• 反馈信息权利： 对我们实际持有的信息，您可联系申请访问、更正、删除、撤回相关同意或依法提出其他请求。我们会在适用法律要求的期限内处理，并仅在必要范围内核实身份，不要求您为此提供完整卡片内容。

由于没有注册账号，您无需申请注销账号；我们也无法远程查看、删除或恢复您设备中的卡片。

七、未成年人

本应用不以儿童为主要服务对象。未成年人应在监护人指导下使用，涉及依法需要监护人同意的情形，应先取得同意。家长或监护人保存儿童资料时，请确认必要性和处理权限，并谨慎分享。

如您认为我们在提供服务或处理反馈时不当获得了未成年人信息，请联系隐私邮箱，我们将核实并依法处理。

八、政策更新与联系

我们可能随功能或信息处理方式变化更新本政策，并更新日期。影响您权益的重要变化会通过应用内提示、版本说明或其他适当方式告知；依法需要重新取得同意时，会取得相应同意后再开展处理。

如您对本政策或个人信息处理有疑问，请联系：

• 开发者／运营者：CoderChan
• 隐私联系邮箱：coderchan.support@icloud.com