林泉 
方宜 隐私政策
方宜（Android 包名与 iOS 的 Bundle ID 均为 app.linquan.fangyi，下称「本应用」）由独立开发者运营（下称「我们」）。本应用没有账号系统，我们按「能不收就不收、能存本机就不上传」的原则设计数据流。本政策说明本应用实际收集哪些信息、存放在哪里、会发送给谁，以及你如何控制和删除它们。
一句话版本：你的体质、忌口、位置等资料默认只存在你的设备上。经你明确同意后，应用在更新本期宜食清单时随请求上传所需的最小数据；这些资料只用于算出该次清单，不写入服务器数据库。购买只在你的设备上向 Google Play 或 App Store 核对，不经我们的服务器。设了常居地后，应用另会用它的网格坐标查询当地地气读数，这一请求不带设备标识。上传到我们服务器的坐标一律吸附到约 55 公里的网格，不是精确位置。
一、只存在你设备上的信息
以下信息保存在你的设备本地，不会上传，卸载应用即随之删除：
- 体质测试（应用内称「素体自察」）的逐题作答；
- 常居地（应用内称「居处」）与当前所在地的精确坐标，用于真太阳时与历法计算；查询地名时只发送取整后的坐标，见第六节；
- 你收藏的食材、食单；
- 主题、语言、历法口径等偏好设置，以及试用的起算时刻等使用痕迹。
体质结论、忌口选项与常居地地名同样保存在本机；其中哪些会在你同意后上传、以什么形式上传，见第二节。
二、使用功能时上传的信息
更新本期宜食时
食材食单里的「宜」「尤宜」标注与「本期宜食」清单由服务器按当前节气计算。每逢交节，或你的体质、忌口、常居地、上传同意有变动时，应用会请求一份新清单；试用期满而未解锁「足本」时（在 iPhone、iPad 上，开始试用之前也一样），应用照常请求新清单，但只用它在本期宜食页列出各节的名称，以及每节有几味食材、几道食单（见用户协议第三条）。
上传个人资料须先经你明确同意：首次启动时点按「同意并继续」，或之后在「设置 › 数据与隐私」中打开「上传养生数据」。
- 你已同意上传时，请求附带体质结论中判出偏向的维度（最多三项，不含程度）、忌口选项、常居地的 0.5° 网格坐标，以及设备标识；
- 你未同意时，请求只带设备标识，得到的是不含个人资料的通用清单。
服务器算完即返回清单，不保存请求里的资料。
查询地气读数时
设了常居地后，应用会用常居地的 0.5° 网格坐标向服务器查询当地的地气读数，显示在历象页与地气页。这一请求只含网格坐标，不带设备标识，也不需要你开启上传同意。服务器查表即答，不保存查询的坐标，只在查询出错时于错误日志中记下该网格坐标，以便排查。读数缓存在本机，常居地不变时约 30 天重新查询一次。
三、你主动提交的信息
- 反馈与建议：反馈正文、你选填的联系方式，以及应用版本、系统版本、语言等诊断信息。应用出错时会在本机记下出错的位置（异常类型与代码行，不含你输入或看到的内容，最多十处）；反馈页上勾选「附上近期出错记录」才随反馈寄出，寄出后本机清空，平时不上传。从地气页进入反馈时，正文会预先填入常居地地名（没有地名时为网格坐标）与当期读数，寄出前你可以修改或删去。
这些信息会保留至处理完毕。你可以随时通过文末联系方式要求删除。
四、匿名使用统计（默认关闭）
本应用的 Android 版使用 Firebase Analytics 收集匿名使用统计。该功能默认关闭，只在你打开「匿名使用统计」开关后生效：
- 统计的内容：本期宜食页与解锁页的打开次数、首次启动时是否选择做素体自察、试用与解锁的状态（试用中、已解锁或已期满）、是否做过素体自察、是否开了上传同意、桌面微件与候卡的使用次数、通知权限状态，以及 Firebase 自动记录的会话与设备信息（如设备型号、系统版本、应用实例标识）和经 Google Play 完成的应用内购买（商品、价格与币种）；
- 统计事件不含位置坐标、体质结论或忌口选项；地区信息由 Firebase 按网络请求来源推断；
- 统计不读取设备的广告标识，也不用于广告；
- 你随时可以在「设置 › 数据与隐私」中关闭；关闭时会同时重置本机统计标识，此前收集的统计数据随之与你的设备解除关联。
iPhone、iPad 版不收集使用统计，设置里也没有这个开关。
五、数据的存储、保留与删除
- 服务器位于美国，由 Google Cloud 托管。数据在美国存放、处理期间，适用当地法律，可能被当地的法院、执法或国家安全机关依法调取。
- 计算本期宜食所用资料：服务器算完即返回清单，不写入数据库，也不在内存中留存。
- 设备注册信息：设备标识、访问凭据的哈希值、平台、应用版本，以及注册与最近访问的时间，保留至你要求删除。
- 反馈：保留至处理完毕，可依请求删除。
- 服务器运行日志：用于排查故障与防止滥用，记有设备标识、请求时间与处理结果，地气查询出错时记有 0.5° 网格坐标；不整份记录上传的资料。日志按容量滚动覆盖（总量上限约 30 MB），旧记录随之删除。
- 本机数据：卸载应用即删除。若你开启了系统备份，本应用的本机资料可能随之备份：Android 上存入你自己的 Google 账号；iPhone、iPad 上存入你的 iCloud，或你用电脑做的备份。Google 账号与 iCloud 里的备份由 Google、Apple 依其政策保管。卸载应用不影响这份备份，你可以自行管理或删除。设备标识与访问凭据不随系统备份，换机恢复后应用会注册为新设备。
- 数据库备份：服务器数据库（设备注册信息与反馈）每天在 Google Cloud（美国）备份一份，保留 14 天后自动删除。你要求删除的服务器数据，会在其后 14 天内随旧备份一并清除。
- 你可以通过文末联系方式，要求我们删除与你的设备标识关联的全部服务器数据。
六、涉及的第三方服务
| 服务 | 用途 | 涉及数据 |
|---|---|---|
| Google Cloud Compute Engine | 服务器托管 | 第五节所列存放在服务器上的全部数据，包括运行日志 |
| Firebase Analytics | 匿名使用统计（仅 Android 版，默认关闭） | 见第四节 |
| OpenStreetMap Nominatim、系统地理编码服务 | 地名搜索与反查 | 你搜索的地名关键词；应用为定位结果查询地名时（设置居处时使用当前位置，以及显示「此刻所在」的地名），坐标先取整到约 5 公里（0.05°）。平时只发送给系统地理编码服务（Android 设备上多由 Google 提供，iPhone、iPad 上由 Apple 提供）；只有在你亲手操作时（按下搜索、使用当前位置、重新定位等），系统地理编码服务又没有结果，才改发给 Nominatim |
| Cloudflare | 网站与内容分发、API 网络接入 | 网络连接本身的元数据（如 IP 地址），按其惯例短期保留于连接日志 |
| Google Play | 应用分发与应用内购买 | 购买、付款与退款由 Google 依其政策处理，我们看不到你的付款信息或 Google 账号；是否已购由应用在你的设备上直接向 Google Play 核对，购买凭据不发给我们的服务器 |
| App Store | 应用分发与应用内购买（iPhone、iPad） | 购买、付款与退款由 Apple 依其政策处理，我们看不到你的付款信息或 Apple ID；是否已购、试用从何时开始，由应用在你的设备上直接向 App Store 核对，购买凭据不发给我们的服务器 |
本应用不含广告 SDK，不做跨应用追踪，不向任何数据经纪商出售或共享数据。
七、法律基础与你的权利
对第二节所列经你同意上传的个人资料（体质结论、忌口选项、模糊位置），我们以你的明示同意为处理基础；你可随时在「设置 › 数据与隐私」中关闭「上传养生数据」以撤回同意，撤回即时生效，此后应用停止上传相关数据，本期宜食改为不含个人资料的通用清单。匿名使用统计同样以你的同意为处理基础（见第四节）。对设备注册与地气读数查询，处理基础为履行你请求的功能所必需。
无论你身处何地，你都享有以下权利：查阅（本机数据即全部个人数据的主副本）、更正（应用内直接修改）、删除（见第五节）、撤回同意（应用内开关即时生效）。若你位于欧洲经济区、英国或其他设有数据保护监管机构的地区，你亦有权向当地监管机构投诉。
八、未成年人
本应用面向 18 岁及以上的成年人，不以未成年人为目标用户，也不会有意收集未成年人的个人信息。
九、政策变更
政策如有实质变更，我们会在应用内以公告横幅提示，并更新本页的生效日期。变更若涉及上传新的数据类别，或把数据用于新的用途，我们会先征得你的同意；你不同意时，原有功能照常可用。
十、联系我们
隐私相关问题或删除请求，请联系：hi@linquan.app
撤回同意不必写邮件：「设置 › 数据与隐私」中的开关即时生效。提出服务器数据删除请求时，请在邮件中附上你的设备标识——在应用「设置 › 数据与隐私」页可查看并点按复制——我们凭它定位并删除与你设备关联的全部记录。