更新日期：2026 年 10 月 8 日
生效日期：2026 年 10 月 8 日
适用版本：Android 1.0.0-beta.12（当前未包含广告 SDK 的版本）
开发者及个人信息处理者：JLer
隐私联系邮箱：jr.kyrc@gmail.com
拾步目标 是帮助个人、家庭和小队管理目标、记录进展及协作的应用。本政策说明信息如何在您的设备、空间成员之间及必要服务中处理。个人目标以本机保存为主；空间协作会向获授权成员同步。当前版本不提供开发者中心云备份、不投放广告、不接入远程用户行为分析，不提供订阅或应用内购买。
本政策公开说明当前版本的实际行为。首次打开时，应用内置完整政策和服务清单，可离线阅读；完成选择前，不打开业务数据库或恢复空间网络。您可以主动勾选默认未选中的“我已阅读并同意《隐私政策》”后选择“同意并开始”，或直接选择“拒绝并仅本地使用”。首屏及首次阅读政策的弹窗均提供拒绝入口，关闭政策弹窗不代表同意。两种选择均不会自动开启空间联网、敏感信息、儿童信息或广告处理。
在“设置 → 隐私与授权”中，可分别了解、授权或撤回空间联网、敏感信息的本机处理、儿童信息的监护人授权及敏感信息空间共享。授权复选框不默认勾选；选择、说明版本与时间保存在本机，最多保留最近 100 次选择记录，不包含健康正文或儿童身份资料。授权说明发生需要重新选择的版本变更时，旧选择不自动延续。
本版本对全部用户关闭聊天入口、聊天通知及录音权限。历史聊天和媒体数据及底层协议保留，旧版本成员的历史内容仍可能随已授权空间日志在本机处理；本版本不提供新的聊天发送入口。下文关于聊天和媒体的说明适用于这些留存或同步内容，不表示本版本提供文字、图片、语音聊天。
1. 适用范围
本政策适用于 拾步目标 Android 应用及由开发者运营的隐私说明网站。系统文件选择器、邮件客户端、应用市场和空间成员独立使用的服务，另有各自的信息处理规则。
您无需注册 拾步目标 中心账号即可管理个人目标。加入空间使用的昵称、成员标识和公钥可能与您关联，并非匿名信息。应用内统计和成就依据已有记录在本机计算。
2. 个人信息收集和使用清单
| 场景 | 信息类型 | 目的、方式与接收范围 |
|---|---|---|
| 目标管理 | 您输入的名称、说明、清单、单位、次数、时间安排、提醒、模板和状态 | 在本机保存并计算进展；个人目标不会自动发布到空间 |
| 打卡与成果 | 填写内容、数量、选项、完成时间、更正记录、统计和徽章 | 保存进展、推荐历史常用输入、展示成果；空间目标记录在对应授权空间同步 |
| 空间与成员 | 昵称、生成的成员标识/公钥、空间名称/标识、角色、邀请和加入/退出记录 | 识别成员、验证权限、管理协作；由授权成员接收 |
| 历史空间聊天（当前入口关闭） | 文字、表情、您选择的图片或音频、旧版本主动录制的语音、发送者、时间及附件类型/大小/时长 | 加密同步并按需传输附件；获授权成员在自己设备查看 |
| 草稿与偏好 | 编辑草稿、消息查看标记、检索时的搜索词、主题和页面设置 | 支持本机编辑、检索和未读展示；搜索词用于本机检索，当前查看标记不向成员广播为已读回执 |
| 连接与同步 | 网络状态、IP/网络地址、端点公钥标识、发现和中继地址、连接时间及流量特征 | 寻址、连接、重连与加密传输；对端及发现/中继基础设施可能处理必要网络元数据 |
| 提醒与通知 | 目标标识、名称/说明、到期时间、声音/振动、延后及触发状态 | 在本机安排系统闹钟和通知；是否显示内容由您的预览设置决定 |
| 广告偏好 | 是否愿意展示广告的本机选择，以及后续授权配置指纹和申请次数 | 本机保存、不向空间同步；当前只保存偏好，不构成对未来广告服务的授权，不请求广告 |
| 邮件反馈 | 您的发件地址、正文、主动附加文件、可选版本/系统浏览器信息 | 在您通过邮件应用确认发送后用于回复与处理问题；不自动附带目标库、聊天历史或密钥 |
| 运行组件与应用处理程序信息（软件安装信息） | 本应用及必要运行组件的包名、版本/权限信息；系统操作中可处理该操作的应用名称、包名及处理能力 | 用于本机界面兼容、权限校验，以及您主动发起的文件选择、系统分享或文本处理；组件/系统按功能查询，不用于目标分析、广告或画像，不建立、保存或上传设备全量软件安装列表 |
| 更新检查 | 配置渠道后主动请求版本清单涉及的 IP、请求时间等 | 用于检查版本；当前更新渠道尚未配置，不发生实际清单请求 |
| 访问本政策网页 | 连接所需的 IP、请求路径、时间及浏览器发送的请求头 | 提供 HTTPS 静态页面、排查服务故障；不读取应用目标或聊天数据，不设表单，不使用访问统计或跟踪脚本 |
关于软件安装信息：本应用不主动枚举设备的全量已安装软件列表。已取消框架启动时的 WebView 提供程序版本查询和相关可选特性检测，并关闭自动性能配置初始化。用户主动使用文件选择、分享或文本处理等系统能力时，系统/界面组件可能查询可处理该操作的应用信息；相关结果在本机用于完成该操作，不向空间成员或开发者上传，不用于广告。系统 WebView 及 Android/华为系统自身的信息处理按其说明执行，不能将本应用的限制外推为系统绝不读取任何运行组件信息。
自由文本、图片或语音可能包含他人信息。请只提交您有权处理的必要内容，避免填写身份证、银行卡、精确住址等与目标无关的信息。应用不从血糖仪或系统健康平台自动采集数据。
健康与其他敏感信息
血糖、进食、护理及其他健康记录可能属于敏感个人信息，泄露或不当共享可能影响本人及儿童的隐私与权益。其用途限于您选择的记录、提醒和协作。普通目标管理不要求这些信息。
新建目标时，请按实际内容选择“一般信息”“敏感信息”或“儿童信息”。已知护理模板会提高保护级别，但应用不能识别所有自定义文本；请主动准确标记，不填写实现目标不必要的资料。已有目标的保护级别不能降低。
本机处理敏感信息前，会单独说明信息范围、记录/统计/提醒用途、本机保存、通知预览风险和撤回方式，并要求主动同意。拒绝不影响一般目标。撤回后，应用拒绝继续保存相应目标、模板、新记录或更正，并暂停所有空间连接；已有本机资料仍可查看，保存与删除边界见第 5、8 节。处理他人信息前，请确认已获得本人或监护人的有效授权。输入内容、接受整份政策或授予麦克风权限不能代替单独同意。
敏感/儿童目标如用于空间，还需额外确认共享范围；本版本该能力限使用虚构资料验证，不支持据此传输真实敏感资料，原因见第 7 节。该选择不是对任意接收方或跨境处理的概括授权。
3. 权限与设备能力
| 权限或能力 | 使用目的与触发场景 | 拒绝或撤回的影响 |
|---|---|---|
| 网络访问、网络状态 | 空间连接、附件同步、政策网页与配置后的主动更新检查 | 断网仍可管理本地目标；空间传输与网页访问无法进行 |
| 通知 | 到时目标提醒；本版本关闭聊天通知 | 可在系统设置关闭；仍可在应用内查看目标 |
| 准时提醒特殊访问 | 安排您设置的系统闹钟 | 拒绝可能降低提醒准确性，不阻止保存目标 |
| 开机接收 | 恢复已有提醒计划 | 用于恢复计划，不收集目标外的新资料 |
| 振动 | 提醒与触觉反馈 | 可通过适用的应用/系统设置调整 |
| 麦克风 | 本版本移除录音权限，不提供语音录制入口 | 不申请该权限 |
| 系统文件选择器 | 您主动选择提醒铃声等当前开放功能所需文件 | 仅取得所选文件的访问能力；取消不会发送文件 |
| 剪贴板、系统分享 | 主动粘贴邀请、复制/分享文本或导出内容 | 由您的操作触发，不在后台持续读取剪贴板 |
当前版本未申请通讯录、定位、短信、通话记录、相机、系统日历读写或身体传感器权限，不主动采集 IMEI、IMSI、OAID 等用于广告或身份跟踪。应用里的“计划”日历使用自身目标数据，不读取系统日历。
4. 自动同步、提醒与通知预览
仅在您单独授权“空间联网”后，对于已经创建或加入并保有权限的空间，应用在可运行且网络允许时自动恢复连接，交换待同步目标、聊天和必要连接状态；这可能发生在您查看其他页面或系统仍允许后台运行时。撤回联网授权会停止本设备的全部空间连接和网络实验连接；重启不自动恢复授权。重新授权后才可继续同步。
涉及已标记敏感或儿童目标的空间，还会核对相应授权；未授权的受保护日志不会继续写入本机，相关同步可能暂停。普通聊天文字和附件无法自动判断是否含敏感或儿童资料，请勿通过聊天绕过目标的信息标记与授权，也不要发送真实敏感资料。
系统闹钟可以在页面关闭后触发已有提醒；开机、更新或时间变化可触发恢复。系统强制停止、设备关机或权限关闭可能影响送达，提醒不是自动健康监测或医疗判断。当前没有中心消息服务器保证离线收信。
开启通知内容预览后，锁屏、通知栏及有权访问通知的系统组件可能显示目标名称或说明。可在“提醒设置 → 消息通知与隐私”关闭预览，并调整系统锁屏设置。关闭预览不会删除已有消息。
5. 保存位置、期限与安全
个人目标、记录、文字草稿和空间数据主要保存在设备应用私有目录的加密数据库；Android 数据库密钥由系统 Keystore 保护。空间业务消息端到端加密，附件也有加密存储和传输处理。应用设置、使用中的内存内容、临时媒体与系统通知不代表始终处于同一种加密保护下。
| 信息 | 保存期限与删除边界 |
|---|---|
| 个人目标与记录 | 为进展、历史与更正保存在本机；删除目标当前主要从列表移除，加密历史仍可能保留，尚无逐目标彻底清除历史的完整入口 |
| 模板 | 在本机保存至您删除；删除模板不删除已创建的目标 |
| 空间日志与聊天 | 本机副本用于历史、权限验证及补同步；可用“忘记本机副本”移除对应本机空间数据，其他成员已收到的副本不会同时删除 |
| 草稿、查看标记与媒体 | 本机保存；草稿更新、移除本机空间、未引用文件清理及缓存容量管理影响其保存，不承诺固定秒数内自动清理 |
| 提醒计划 | 随目标变更、取消和计划恢复而更新；系统通知中的副本由系统管理 |
| 隐私授权记录 | 仅在本机记录说明版本、选择、时间，最多保留最近 100 次；清除应用数据会一并移除，开发者不持有中心授权副本 |
| 设置与广告偏好 | 在本机保存至您修改或清除应用数据；关闭广告选择撤回本机广告授权 |
| 反馈和权利请求邮件 | 仅在处理请求、必要跟进或适用保存义务所需期间保留，目的完成后删除非必要副本；不把邮件内容用于营销或广告画像 |
| 政策网站及外部服务 | 本站未启用常规 HTTP 访问日志，故障日志可能含请求元数据并仅用于运行排障；云平台、网络与邮件服务按各自规则处理其服务日志，不能据此声称它们不留存信息 |
当前文件选择和提醒音频播放可能产生必要临时文件；录音入口关闭，旧版媒体文件不会仅因升级自动删除。准备完成、取消及恢复清理流程处理相应文件，但意外中断与系统行为可能影响清理时机。
我们采取访问控制、加密及必要的故障处理措施，不承诺绝对安全或防止所有截屏、复制。已获授权成员、被解锁或被恶意控制的设备，以及自行导出的明文文件不受应用内加密的同等保护。
6. 共享、第三方组件和网络服务
空间成员
您选择在空间发布目标、进展、聊天和附件时，获授权成员可在自己的设备接收并查看。新成员可能获得空间保留的历史内容，请勿假定加入前的消息始终不可见。退出、移除或解散会影响后续权限与同步，但无法远程收回已解密、截图或另存的资料。
开发者没有持有所有设备解密密钥的中心控制台，不能代所有成员清除设备；您仍可提出请求，我们会说明能执行的范围并协助处理，不以“去中心化”为由一概拒绝。
第三方清单
完整说明见第三方服务与 SDK 清单。
| 服务或组件 | 作用及可能处理的信息 | 官方说明 |
|---|---|---|
| JLer 自建 iroh 中继，unown.cn:8443（阿里云杭州）；iroh 1.1.0 / iroh-gossip 0.101.0 | 优先设备直连，必要时转发密文；中继处理端点标识、网络地址、连接元数据，不取得空间业务解密密钥，不存储目标或聊天历史 | 本政策；iroh 项目 |
| 阿里云云服务器（杭州节点），由开发者管理的 unown.cn | 托管政策静态网页，处理网页请求所需网络信息；不是目标、聊天或媒体云存储 | 阿里云隐私政策 |
| Google Gmail | 您主动发送至 jr.kyrc@gmail.com 的反馈邮件、发件地址、附件和投递元数据，用于反馈与隐私权利请求处理 | Google 隐私权政策 |
| Android 系统、WebView、文件及通知服务 | 按您调用的功能处理界面、权限、所选文件、音频和通知 | 以设备系统和提供者的隐私说明为准 |
| Tauri、React、AndroidX/Material、SQLCipher/rusqlite、OpenMLS 等应用内组件 | 本机界面、数据库及加密协议执行；仅因使用这些库，不会自动把业务数据发送给库作者 | 与真正接收数据的外部服务区分 |
当前发行包未包含 uni-ad、优量汇或其他广告 SDK。未来启用前将单独公布实际服务、版本、数据和授权说明，不把技术候选列为已经收集数据的服务。
我们不出售个人信息，不把健康、儿童或聊天内容用于广告。除依法需要的情形外，不把空间内容提供给没有相应权限的主体。依法提供、委托处理或公开披露时，按适用要求落实告知、必要同意与保护义务。
中继仅在内存中维护连接并转发加密数据；不保存消息正文或 HTTP 访问日志。仅本机可访问的运行指标用于统计连接和流量；警告/故障日志可能包含连接诊断信息，由服务器系统日志管理，不承诺固定自动删除期限。中继故障不会阻止本机记录，网络恢复后空间内容继续同步。
7. 信息的跨境处理
本政策网页部署在中国大陆杭州节点，但这不代表应用的全部处理都在境内。自建中继位于中国大陆杭州；邮件服务以及位于境外的空间成员仍可能涉及境外处理。加密不能一概排除跨境个人信息处理。
应用不再使用 N0 公共中继或向其 DNS/Pkarr 发现服务发布设备地址；成员定位在设备内按固定中继地址完成。邮件提供者的相关规则见第 6 节链接；各空间成员及邮件服务的实际跨境路径仍需结合使用情况核实，本版本不承诺“全部境内”。请勿通过当前协作功能传输真实儿童或其他敏感资料。正式扩大这些处理前，需要核实实际接收方及保护条件，并在适用时提供进一步告知、单独同意和相应措施。本政策不构成对未说明境外接收者的概括授权。
8. 您如何管理个人信息
- 查阅、更正：在目标详情、记录历史、空间和成果页面查看；通过已支持的记录更正或目标编辑入口修改，空间操作受角色和规则约束。
- 复制、导出：部分本机留存记录支持单条导出，当前没有完整的一键全量导出。可联系开发者请求协助；仅在您设备保存的数据无法从不存在的中心副本提取。
- 删除本机资料：删除个人目标不等于彻底清除加密历史。“忘记本机副本”只处理对应本机空间。通过 Android 设置清除应用数据或卸载可移除应用私有数据，但不会删除已导出、邮件发送或其他成员保存的副本，也不保证介质级安全擦除。
- 停止共享：在“设置 → 隐私与授权”撤回空间联网，停止本设备全部空间连接；也可通过空间退出流程处理成员关系。撤回或退出不收回其他成员已持有的内容，离线期间退出申请可能仍待同步。
- 撤回授权、权限或广告选择：在“设置 → 隐私与授权”逐项撤回，或点击“撤回以上授权，仅本地使用”；一般本机目标和已有提醒仍可使用。撤回敏感、儿童或共享授权也暂停空间联网，不会自动删除已有记录或撤销系统通知权限。系统权限在 Android 设置中撤回；本版本不开放广告偏好入口；未来广告启用前另行告知并主动授权，首次同意不包含广告授权。
- 账号与身份：当前没有 拾步目标 中心注册账号，清除数据会影响本机身份及空间访问。没有中心账号不意味着已发送的信息自动被删除。
- 联系开发者：发送邮件至 jr.kyrc@gmail.com，说明查阅、复制、更正、删除或其他请求及必要范围。我们会核验执行请求必需的信息、尽快处理，复杂请求说明进度和原因；不要求提供密码、私钥或不必要的健康详情。
当前没有开发者中心云备份。清除或卸载可能导致本机目标、记录及身份丢失，请先处理需要保留的内容。
发生信息安全事件时，会采取必要补救并按适用要求履行通知、报告义务。停止服务时，将就可控制的数据作必要通知及处置，并说明用户设备与其他成员副本的限制。
9. 儿童个人信息保护专门规则
本节适用于不满十四周岁儿童的信息，即使由家长代为记录，儿童健康、进食、活动等信息仍需专门保护。
- 儿童信息仅应为监护人明确选择的目标、记录、提醒与必要家庭协作而处理。普通目标不要求儿童真实姓名、学校、身份证或精确住址。
- 标记儿童信息后，应用分别取得敏感信息处理与监护人授权，记录说明版本、选择及时间。监护人须主动确认身份或已有明确授权；应用不要求上传监护关系证件，设备上作出的确认不等于已完成法律身份核验。拒绝或撤回后，后端拒绝继续录入或更正相应信息，一般目标不受影响。
- 本机儿童资料由您管理；空间共享需额外说明成员接收与新成员历史访问范围。各空间成员接收条件尚未核实完整，儿童协作模板限使用虚构资料，请勿共享真实儿童资料。整份政策或单个设备勾选不能代替实际监护人的有效授权。
- 不把儿童信息用于广告、营销或画像，不索取无关敏感权限。空间成员也不应将护理内容另作他用。
- 监护人可通过联系邮箱提出查阅、复制、更正或删除请求。我们仅核验必要的监护关系，说明他端副本的限制并协助执行可行措施。
- 如发现不当处理儿童信息，将停止相应处理并采取必要删除及整改措施。
10. 免费使用、广告与政策网页
完整应用免费，不设七天试用、订阅、自动续费或付费去广告，不处理支付凭证或订单。
当前默认发行包没有广告 SDK、没有广告请求。本版本不展示“广告与隐私”入口，已存在的本机偏好不构成未来广告授权；广告开放后还需阅读具体说明并主动确认。拒绝广告相关处理、离线或广告加载失败不影响完整目标与提醒功能。
未来广告不以目标、健康、儿童或聊天内容构建画像。启用前将更新实际 SDK、接收者、信息类型、目的、处理时机、权限、保存和撤回规则；非个性化广告也不等于零数据处理。
本政策网站仅提供静态文字与本地样式，不设置 Cookie、登录、评论、统计、广告像素或第三方字体，不通过网页读取您的应用数据。HTTPS 连接及云基础设施仍需处理必要网络信息；访问外部政策链接后适用对方网站的规则。
11. 更新与联系
政策变更将在公开页面注明日期。处理目的、方式或范围发生重要变化时，将显著告知，并在适用时重新取得同意；不把“继续使用”视为对任意新增处理的自动授权。
开发者及个人信息处理者：JLer
隐私联系邮箱：jr.kyrc@gmail.com
政策地址：https://unown.cn/daily-goals/privacy/
配套清单：第三方服务与 SDK 清单