方宜 隱私權政策
方宜（Android 套件名稱 app.linquan.fangyi，下稱「本應用」）由獨立開發者營運（下稱「我們」）。本應用沒有帳號系統，我們按「能不收就不收、能存本機就不上傳」的原則設計資料流。本政策說明本應用實際收集哪些資訊、存放在哪裡、會傳送給誰，以及你如何控制和刪除它們。
一句話版本：你的體質、生辰、忌口、位置等資料預設只存在你的手機上。經你明確同意後，應用在生成報告、更新本期宜食清單時隨請求上傳所需的最少資料；這些資料只用於處理該次請求，不寫入伺服器資料庫，生成的報告正文在伺服器上暫存到你的裝置確認收到為止，最遲在所屬週期結束 3 天後刪除（見第五節）。設了常居地後，應用另會用它的網格座標查詢當地地氣讀數，這一請求不帶裝置識別碼。上傳到我們伺服器的座標一律吸附到約 55 公里的網格，不是精確位置。
一、只存在你手機上的資訊
以下資訊儲存在你的裝置本地，不會上傳，解除安裝應用即隨之刪除：
- 體質測試（應用內稱「素體自察」）的逐題作答；
- 先天稟賦的生辰紀錄：出生日期，以及可選填的出生時刻與出生地時區；
- 常居地（應用內稱「居處」）與當前所在地的精確座標，用於真太陽時與曆法計算；查詢地名時只傳送取整後的座標，見第六節；
- 收到的來信與報告正文；
- 主題、語言、曆法等偏好設定（三伏數九日期的算法除外，它隨報告請求上傳，見第二節），以及信件已讀狀態等使用痕跡。
體質結論、據生辰推算的出生年五運六氣盤面、忌口選項與常居地地名同樣儲存在本機；其中哪些會在你同意後上傳、以什麼形式上傳，見第二節。
二、使用功能時上傳的資訊
生成報告時
本應用的報告正文由伺服器生成，包括節氣來信、六氣週期報告（應用內稱「氣宜」），以及一次性的「稟賦參考」（先天體質參考）。週期報告的生成只在兩種情況下發生：你手動獲取一份報告，或你開啟了自動送達、應用在交節氣/交氣後自動取回當期報告；稟賦參考僅在你手動獲取時生成。
含個人資料的生成須先經你明確同意：首次啟動時點按「同意並開始使用」，或首次生成時在彈出視窗中同意。上傳範圍以你在來信頁「合參」中的勾選和實際填寫為準——未勾選、未填寫的項不會上傳；每次生成時，以下資料在該範圍內隨該次請求上傳：
| 資料 | 說明 |
|---|---|
| 體質結論 | 體質類型、判定檔位與對應得分（如「氣虛·傾向」），不含測試的逐題作答 |
| 先天稟賦盤面 | 由生辰推算出的出生年五運六氣盤面：年干支、歲運、司天在泉，以及全年五步運、六步氣的主客與時段劃分（含標註你出生時刻所落的一步）。不含出生日期與時刻本身；但請注意，年干支可對應出生年份，所落步可反映出生在年內的大致時段（約兩個月粒度） |
| 忌口選項 | 預設選項的勾選：素食類別（蛋奶素、純素、魚素）、教規（清真、猶太潔食）與忌食的食物；只要已填寫即隨報告附帶 |
| 模糊位置 | 座標吸附到 0.5° 網格中心後的值（網格邊長約 55 公里），以及你設定的地名標籤 |
| 裝置資訊 | 隨機生成的裝置識別碼與存取憑證、平臺（Android/iOS）、應用版本 |
| 購買憑證 | 解鎖「足本」後，Google Play 發給本機的購買憑證隨請求附帶，用於向 Google Play 核對購買狀態（見第五、六節）；未購買的裝置沒有此項 |
| 請求上下文 | 提交時間、裝置的時區偏移與當日日期（用於按你的本地曆法書寫報告）、正文字形偏好（簡體/繁體）、三伏數九日期的算法（隨黃曆或隨本機時區，用於在來信裡寫對伏九日期） |
幾點說明：
- 上傳的資料只用於生成該次報告，不寫入伺服器資料庫，隨生成任務在伺服器記憶體中停留約 1 小時後清除（見第五節）；開啟「自動送達」時，每次生成都由裝置重新上傳；
- 先天稟賦盤面不預設上傳——即使你已錄入生辰，也須在「合參」中主動勾選（或手動獲取稟賦參考）才會隨報告上傳；
- 裝置識別碼是應用內隨機生成的，不是硬體識別碼，不能跨應用追蹤你；
- 精確座標從不上傳——上傳前一律粗化到 0.5° 網格中心；
- 未解鎖「足本」的裝置取週期報告時，只上傳模糊位置（用於判定所在的氣候分區），不上傳體質結論、先天稟賦盤面與忌口選項；此時收到的來信與氣宜是按氣候分區共享的通用版，不含你的資料。稟賦參考須解鎖後才能獲取。
更新本期宜食時
食材食單裡的「宜」「尤宜」標註與「本期宜食」清單由伺服器按當前節氣計算。每逢交節，或你的體質、忌口、常居地、上傳同意有變動時，應用會請求一份新清單：
- 你已同意上傳時，請求附帶體質結論中判定為偏頗的類型（最多三項，不含得分）、忌口選項、常居地的 0.5° 網格座標，以及裝置識別碼；
- 你未同意時，請求只帶裝置識別碼，得到的是不含個人資料的通用清單。
伺服器算完即傳回清單，不儲存請求裡的資料。
查詢地氣讀數時
設了常居地後，應用會用常居地的 0.5° 網格座標向伺服器查詢當地的地氣讀數，顯示在曆象頁與地氣頁。這一請求只含網格座標，不帶裝置識別碼，也不需要你開啟上傳同意。伺服器查表即答，不儲存查詢的座標，只在查詢出錯時於錯誤日誌中記下該網格座標，以便排查。讀數快取在本機，常居地不變時約 30 天重新查詢一次。
三、你主動提交的資訊
- 信件回信：你對某封信寫下的回信會傳送到我們的伺服器，同時附帶該信的標題與正文快照（用於對上號）。這份快照是按你的資料生成的個人化內容，與回信一起保留至處理完畢。回信是單向收集，不會產生回覆。
- 回饋與建議：回饋正文、你選填的聯絡方式，以及應用版本、系統版本、語言等診斷資訊。應用出錯時會在本機記下出錯的位置（例外類型與程式碼行，不含你輸入或看到的內容，最多十處）；回饋頁上勾選「附上近期出錯紀錄」才隨回饋寄出，寄出後本機清空，平時不上傳。從地氣頁進入回饋時，正文會預先填入常居地地名（沒有地名時為網格座標）與當期讀數，寄出前你可以修改或刪去。
這兩類資訊會保留至處理完畢。你可以隨時透過文末聯絡方式要求刪除。
四、匿名使用統計（預設關閉）
本應用使用 Firebase Analytics 收集匿名使用統計。該功能預設關閉，只在你開啟「匿名使用統計」開關後生效：
- 統計的內容：信件的開啟與閱讀情況（閱讀進度、停留時間）、回信是否寄出（只記字數）、桌面微件與候卡的使用次數、通知權限狀態，以及 Firebase 自動記錄的工作階段與裝置資訊（如裝置型號、系統版本、應用實例識別碼）；
- 統計事件不含位置座標、報告正文或回信正文；地區資訊由 Firebase 按網路請求來源推斷；
- 統計不讀取裝置的廣告識別碼，也不用於廣告；
- 你隨時可以在「設定 › 資料與隱私」中關閉；關閉時會同時重置本機統計標識，此前收集的統計資料隨之與你的裝置解除關聯。
五、資料的儲存、保留與刪除
- 伺服器位於美國，由 Google Cloud 託管。報告正文經由 Google Cloud Vertex AI 生成，呼叫的是 Vertex AI 的全球端點，處理地點由 Google 在其資料中心之間調度，不限於某一國家或地區（見第六節）。資料在美國或其他國家存放、處理期間，適用當地法律，可能被當地的法院、執法或國家安全機關依法調取。
- 自動送達的週期報告正文：生成後寫入伺服器資料庫，你的裝置確認收到即刪除；未能確認的（如裝置長期離線），最遲在所屬週期結束 3 天後自動刪除。
- 手動獲取的報告正文（週期報告與稟賦參考）：只在生成任務的記憶體中停留，供你的裝置取回，不寫入資料庫，約 1 小時後清除（清理每小時進行一次，最長約 2 小時）。
- 生成所用資料：同樣只在生成任務的記憶體中停留，不寫入資料庫，隨任務在約 1 小時後清除（最長約 2 小時）。
- 報告紀錄：為避免同一期重複生成，伺服器為每一期報告保留一條不含正文的紀錄（報告類型、期號、標題與生成狀態），最遲在所屬週期結束 3 天後刪除。
- 裝置註冊資訊：裝置識別碼、存取憑證的雜湊值、平臺、應用版本，以及註冊與最近存取的時間，保留至你要求刪除。
- 購買憑證：憑證本身不儲存，不寫入資料庫。伺服器只在記憶體中、以憑證的不可還原摘要記下三項，服務重啟即清：核對結果（是否已購），最長 1 小時；核對為已購的紀錄，最長 30 天，只在 Google Play 暫時連不上時用來照常認定已購；這枚憑證最近 24 小時在哪幾臺裝置上用過，用於防止憑證外流後被多臺裝置共用。執行日誌裡只出現摘要的前幾位與核對結果。
- 通用版報告正文：不含任何個人資料，按氣候分區、週期與字形各保留一份，供未解鎖的裝置共用，不設刪除期限。
- 回信與回饋：保留至處理完畢，可依請求刪除。
- 伺服器執行日誌：用於排查故障與防止濫用，記有裝置識別碼、請求時間與處理結果（如安全檢查命中的詞條），地氣查詢出錯時記有 0.5° 網格座標；不記錄報告正文，也不整份記錄上傳的資料。日誌按容量循環覆寫（總量上限約 30 MB），舊紀錄隨之刪除。
- 本機資料：解除安裝應用即刪除。若你的手機開啟了 Android 系統備份，本應用的本機資料可能隨系統備份存入你自己的 Google 帳戶，由 Google 依其政策保管，解除安裝應用不影響這份備份，可在系統設定中管理或刪除。裝置識別碼與存取憑證不隨系統備份，換機恢復後應用會註冊為新裝置。
- 資料庫備份：伺服器資料庫每天在 Google Cloud（美國）備份一份，備份中不含報告正文，保留 14 天後自動刪除。你要求刪除的伺服器資料，會在其後 14 天內隨舊備份一併清除。
- 你可以透過文末聯絡方式，要求我們刪除與你的裝置識別碼關聯的全部伺服器資料。
六、涉及的第三方服務
| 服務 | 用途 | 涉及資料 |
|---|---|---|
| Google Cloud Compute Engine | 伺服器託管 | 第五節所列存放在伺服器上的全部資料，包括執行日誌 |
| Google Cloud Vertex AI | 生成報告正文 | 生成報告時，第二節所列的報告資料會進入生成請求；按 Google Cloud 條款，此類資料不用於訓練其模型 |
| Firebase Analytics | 匿名使用統計（預設關閉） | 見第四節 |
| OpenStreetMap Nominatim、系統地理編碼服務 | 地名搜尋與反查 | 你搜尋的地名關鍵字；應用為定位結果查詢地名時（設定居處時使用當前位置，以及顯示「此刻所在」的地名），座標先取整到約 5 公里（0.05°）。平時只傳送給系統地理編碼服務（多數 Android 裝置上由 Google 提供）；只有在你親手操作時（按下搜尋、使用當前位置、重新定位等），系統地理編碼服務又沒有結果，才改發給 Nominatim |
| Cloudflare | 網站與內容傳遞、API 網路接入 | 網路連線本身的中繼資料（如 IP 位址），按其慣例短期保留於連線日誌 |
| Google Play | 應用程式發布與應用程式內購買 | 購買、付款與退款由 Google 依其政策處理，我們看不到你的付款資訊或 Google 帳戶；核對購買狀態時，我們把購買憑證發給 Google Play Developer API 查詢這筆購買，傳回結果只用於判定是否已購，不寫入資料庫 |
本應用不含廣告 SDK，不做跨應用追蹤，不向任何資料仲介商出售或共享資料。
七、法律依據與你的權利
對第二節所列經你同意上傳的個人資料（體質結論、先天稟賦盤面、忌口選項、模糊位置），我們以你的明示同意為處理依據；你可隨時在「設定 › 資料與隱私」中關閉「上傳養生資料」以撤回同意，撤回即時生效，此後應用停止上傳相關資料，自動送達隨之關閉。匿名使用統計同樣以你的同意為處理依據（見第四節）。對裝置註冊、送達確認、購買核對與地氣讀數查詢等，處理依據為履行你請求的功能所必需。
無論你身處何地，你都享有以下權利：查閱（本機資料即全部個人資料的主副本）、更正（應用內直接修改）、刪除（見第五節）、撤回同意（應用內開關即時生效）。若你位於歐洲經濟區、英國或其他設有資料保護監管機構的地區，你亦有權向當地監管機構投訴。
八、未成年人
本應用面向 18 歲及以上的成年人，不以未成年人為目標使用者，也不會有意收集未成年人的個人資訊。
九、政策變更
政策如有實質變更，我們會在應用內以公告橫幅提示，並更新本頁的生效日期。變更若涉及上傳新的資料類別，或把資料用於新的用途，我們會先徵得你的同意；你不同意時，原有功能照常可用。
十、聯絡我們
隱私相關問題或刪除請求，請聯絡：[email protected]
撤回同意不必寫郵件：「設定 › 資料與隱私」中的開關即時生效。提出伺服器資料刪除請求時，請在郵件中附上你的裝置識別碼——在應用「設定 › 資料與隱私」頁可查看並點按複製——我們憑它定位並刪除與你裝置關聯的全部紀錄。