隐私政策
简短版本
finit 是 local-first 的：你的屏幕使用时间数据存放在你的设备上和你自己的私有 iCloud 里，我们的服务器从来收不到它——唯一的例外，是你明确选择分享给好友的那一个四舍五入后的每周合计（详见下文）。finit 是付费应用。你不是产品：没有广告，没有追踪，没有任何被我们和你的姓名或邮箱绑在一起的东西。应用或本网站会与之通信的每一方都在下面列了名字；名单很短。
在你的设备上和你的 iCloud 里
应用会保存你的每日使用记录（应用名称和时长，从 Apple 的屏幕使用时间导入）、你的人生档案（出生日期、每日作息时数、你自己填写的可选补充项），以及你添加到周网格里的人生条目。这些全部只同步到你自己 iCloud 账户的私有数据库（Apple CloudKit）：加密存放，绑定你的 Apple ID，我们无法读取。在系统设置里关掉 finit 的同步，同步副本就会离开这台设备：你的数据仍留在你的 iCloud 中，此后记录的一切只留在本地，等你重新打开同步，它们又会回来。导入日志和最后一次打开的日期则根本不会离开设备。分享统计图片走的是系统的分享面板。它去哪里，由你决定。
还有什么会离开设备
- Apple（iTunes 目录）：应用图标。为了显示真实图标，应用会把每个应用的名称发送一次（从不发送时长，也从不发送任何 ID）到
itunes.apple.com，然后把结果永久缓存下来。你可以在应用设置里关掉这些查询。和任何服务器一样，Apple 会看到你的 IP 地址。 - RevenueCat：购买。加载价格，并在一个随机的安装 ID 下检查你的解锁状态——我们从不把这个 ID 和你的姓名或邮箱联系起来；当你通过 Apple 的 App Store 购买时，它会处理这笔交易（产品、收据、设备型号、系统版本），用来解锁访问权限、运行试用和处理恢复购买。没有姓名，没有邮箱，没有屏幕使用时间。
- PostHog（欧盟）：产品分析，一组封闭的事件（取自固定清单的引导流程和付费墙步骤，从不含自由文本，也从不含你的姓名），记在一个随机的安装 ID 下。没有自动采集，没有个人画像，没有屏幕使用时间数值。这个 ID 是化名而非匿名：我们不会把它和你联系起来，但 PostHog 及其基础设施仍会处理诸如你的 IP 地址这类技术数据，以便送达并保护该请求。
- Sentry（德国）：崩溃报告，配置时不带用户身份、不带网络轨迹、不带链路追踪。一份报告携带堆栈信息、设备型号、系统版本，以及任何服务器都会看到的技术请求数据，其中包括你的 IP 地址。
App Store 的隐私标签与以上完全一致：购买、使用数据和诊断，都不与你关联。标签中还把联系信息、标识符和其他数据列为与你关联：那是下一节所说的账户和你分享的那一周，只有你登录后才存在。标签上的任何一项都不用于追踪。
如果你登录（好友功能）
登录（邮件验证码、通过 Apple 登录 或 Google）会在我们的服务器上（Supabase，托管于瑞士苏黎世）创建一个账户，其中保存：一个用户 ID、你的显示名称、你的好友关系、以及你用来登录的邮箱地址（仅用于发送验证码，由 Resend 投递），还有——只有在你明确分享某一周时——一个按 30 分钟取整的每周合计。从不含按应用划分的数据，从不含按日划分的数据，也从不自动上传。通过 Apple 和 Google 登录可能会交出一个名字和一项邮箱声明，认证服务会存下它们；用 Apple 时，你可以在登录面板里直接修改或不提供名字。分享出去的周，只有接受了你请求的好友能看到；在应用里删除账户会移除服务器端的一切。如果你从不登录，这些统统不存在。
权限
- 屏幕使用时间：通过你自己创建的快捷指令读取，用的是 Apple 内置的屏幕使用时间操作：只有应用名称和时长，在设备上处理。想停止导入，随时删掉快捷指令即可。
- 通知：可选，全部在你的设备上本地安排，一周最多三条；不存在任何推送服务器。
- 健康：仅在你选择后读取睡眠和运动数据。每一项都会建议最近 30 天的平均值；档案中只保存你确认的数值，且不会向外发送任何数据。
应用不会访问你的位置、通讯录、相机、麦克风、照片或文件。
本网站
getfinit.com 不设置 Cookie，也不在你的浏览器里存任何东西，因此也没有 Cookie 横幅。它由 Cloudflare 提供服务，为了送达并保护网站，Cloudflare 会处理每次请求的技术数据（IP 地址、URL、用户代理）。网站用与 App 相同的 PostHog 配置（欧盟服务器，见上文）来度量自己，不用 Cookie、不用浏览器存储，IP 地址在事件到达时即被丢弃。记录的是一次页面浏览，以及一次对 App Store 徽章或功能需求链接的点击。此外还会记录在用周来看你的一生保存或打印了海报，以及手机成瘾测试被开始或完成。每一条都带着事件发生页面的路径，以及那是哪个链接或哪个动作。你输入的东西都不在其中：不含出生日期，不含答案，不含分数。这次度量是离开网站的唯一请求，网站加载的一切都来自 getfinit.com 本身。功能需求板的链接只是一个普通链接，只有你点进去才会到达 Featurebase。
邮件通讯
如果你在邮件通讯的表单里留下邮箱地址，我们会先只发一封确认邮件。只有当你点击其中的链接之后（双重确认），你的地址才会被保存。忽略那封邮件，就什么也不会留下：未确认的地址永远不会写进我们的任何名单。我们的受托处理方会按照各自公开的期限保留自己的投递与安全日志。你确认之后被保存的内容：你的邮箱地址、把你带来的是本站的哪一个渠道链接（若有的话，就是「tiktok」这样的一个词，背后没有任何追踪），以及日期。邮件由 Resend 在数据处理协议下发送并保管名单，我们的邮件从欧盟的基础设施发出。打开率和点击追踪都已关闭：没有追踪像素，也没有被改写的链接。我们不知道你是否打开过邮件，而且我们更愿意这样。订阅请求本身和其他页面请求一样经过 Cloudflare（见上文）；我们不会随订阅一起保存任何 IP 地址。每封邮件末尾都有一键退订，立即生效；写信到 hello@ 则会把地址彻底删除。它从不被分享，也从不与应用或应用账户挂钩。
反馈板
feedback.getfinit.com 是一个公开的功能需求板，由 Featurebase 代我们运营。你只有点击本站的功能需求链接，或应用里的反馈按钮，才会到达那里。要发帖、评论或投票，你需要直接在 Featurebase 注册，你给他们的姓名和邮箱地址，连同你写下的一切，都由 Featurebase 保管在我们的账户之下。即便不注册就打开这个板，那里也会留下一条访客记录，但没有姓名，也没有账户。你的 finit 账户从不会被交出去：应用和这个板之间没有单点登录，所以你在那里写的任何内容都不会和你的屏幕使用时间挂上钩。给我们或给 Featurebase 发一封邮件，就能删除你在板上的账户和帖子。
谁来负责
依据瑞士《数据保护法》（FADP）以及在其适用之处依据欧盟 GDPR 的所有者与数据控制者：
finit
Joschka Bieri
Postfach 9
3550 Langnau i. E.
瑞士
联系方式：legal@getfinit.com
法律依据与处理发生的地点
在 GDPR 适用的范围内：应用的核心功能与购买基于合同的履行（第 6 条第 1 款 b 项）；邮件通讯、好友账户和健康开关基于同意（第 6 条第 1 款 a 项），并且随时可以当场撤回；诊断信息、图标查询、反馈板，以及应用与网站的技术送达和防护，基于正当利益（第 6 条第 1 款 f 项）。这些利益是：让应用保持稳定、不崩溃；弄清楚设置究竟能不能跑通，以便加以改进；显示真实的应用图标而不是灰色方块；有一个公开的地方可以阅读功能需求并为其投票；以及把应用和网站送达用户，并抵御滥用与过载。凡是由我们选择区域的地方，处理都留在瑞士或欧盟：苏黎世的 Supabase、欧盟的 PostHog、德国的 Sentry，以及位于荷兰、德国和爱尔兰的 Featurebase。RevenueCat 和 Resend 是美国服务商，受包含欧盟标准合同条款的数据处理协议约束；Featurebase 也在同样的基础上与它自己的几家美国服务商合作。这些条款的副本可以向我们索取。Apple 依据其自身条款处理 App Store 购买和图标查询。
数据保存多久
屏幕使用时间记录、档案和人生条目都存放在你的设备和你的 iCloud 中：在那里删掉它们（或删掉应用及其 iCloud 数据），它们就没有了；我们手里没有副本。好友账户会一直存在，直到你在应用里删除它，删除会立即移除服务器端的一切。邮件通讯名单会保留你的地址，直到你退订或要求删除；板上的账户及其帖子会一直保留，直到你要求移除。崩溃报告在 Sentry 中 90 天后过期；分析事件只带一个随机安装 ID、固定的事件名称，不含任何屏幕使用时间数值，而且 PostHog 被配置为在事件到达的那一刻就丢弃 IP 地址，因此不会有任何 IP 与之一起保存。当项目的保留窗口到期时，这些事件会在 PostHog 中被删除。超出这些期限之外，我们不做任何归档。
你的权利
你可以询问关于你的哪些数据存在、要求更正或删除、以可移植的格式获取一份副本、反对某项处理，或随时撤回某项同意。给 legal@getfinit.com 写一封邮件即可，不需要填表。很多事情就地做更快：在应用里删除好友账户会移除服务器上的全部数据，设置 → 诊断可以立刻停止分析统计和崩溃报告，而每封通讯邮件都带有一键退订。你也可以向你所在地的数据保护机构投诉。
儿童
使用 finit 需要年满 16 周岁——引导流程不接受比这更小的出生日期。我们不会在知情的情况下收集儿童的数据；如果你认为有儿童向我们提供了数据，请写信告诉我们，我们会删除。finit 不显示广告，也不显示第三方内容，而且除非你登录，好友功能会一直处于关闭状态。
变更
如果未来某个版本改变了上述任何一点，本政策会在那个版本发布之前更新。