余白隐私政策

1. 我们处理的信息

为创建账号、完成身份验证和维护安全，我们处理你提交的登录标识、昵称、余白号、头像、签名、用户 ID、密码的不可逆校验值、设备会话标识、设备公钥和推送令牌。我们不会保存明文密码。

你主动创建或发送的内容可能包括生活记录、心情、标签、纪念日、照片、视频、语音、私密消息、关系资料、共享日记、相册、清单、时间胶囊、举报和支持反馈。照片会在端侧重新编码以尽量移除 EXIF 与 GPS 元数据；余白不主动请求定位权限，也不读取系统通讯录。

为保证服务可靠，我们记录最少的请求路由、状态、时间、设备系统版本和安全审计事件。诊断日志默认不上传，只有你在反馈页面主动选择时才会上传经过脱敏的诊断内容。

2. 处理目的

• 注册、登录、会话撤销和账号安全；
• 保存、同步、搜索、导出和恢复你创建的内容；
• 提供好友、聊天、关系空间和多设备密钥分发；
• 上传、下载和校验你主动选择的加密媒体；
• 发送隐私化通知和本地提醒；
• 处理举报、申诉、反馈、安全事件和账号删除；
• 履行适用法律要求。

余白不展示第三方广告，不出售个人信息，不将信息用于跨 App 跟踪，也不建立广告画像。

3. 本地权限

• 照片：使用系统照片选择器读取你明确选择的项目；只有主动保存时才请求添加权限。
• 相机：仅在拍摄内容或扫描邀请二维码时请求。
• 麦克风：仅在你主动录制语音时请求。
• Face ID：由 iOS LocalAuthentication 完成；余白只收到成功、失败或取消结果，不获取或保存面部数据。
• 通知：用于记录、纪念日、胶囊和新消息提醒，可在应用或系统设置中关闭。

拒绝权限不会阻止使用不依赖该权限的其他功能。

4. 加密与安全

主空间记录的敏感字段在本机数据库中使用设备钥匙串密钥进行认证加密。私密消息、共享日记、共享清单、关系胶囊和附件内容在设备端加密后上传，服务端保存密文及完成鉴权、投递和同步所需的最少元数据。媒体采用独立随机密钥和分块认证加密。

密钥材料保存在 iOS Keychain；服务端不保存可直接解密私密正文的会话明钥。我们使用传输加密、访问控制、最小权限、会话撤销、敏感操作审计、备份和恢复机制降低风险，但任何系统都无法承诺绝对安全。

5. 共享与受托处理

余白只在提供服务所需范围内使用受控云服务器、PostgreSQL、Redis、兼容 S3 的对象存储和 Apple APNs。推送载荷默认仅说明“你有一条新消息”，不包含联系人姓名或消息正文。

除完成你主动发起的分享、取得你的另行同意、处理安全事件或履行法律义务外，我们不会向无关第三方披露信息。服务提供商发生实质变化时，我们会更新本政策与相应隐私申报。

6. 保存与删除

账号存续期间，账号资料和同步数据按提供服务所需保存。你删除内容后，在线副本进入清理流程；备份残留随受控轮换覆盖。注销账号会撤销会话，并删除或匿名化不再具有法定保存必要的数据。

为防止欺诈、保障安全、处理争议或遵守法律而必须保留的最少记录，会隔离保存至必要期限届满，不会用于广告或跨 App 跟踪。

7. 你的权利

你可以在应用内查看和更正资料，管理设备与通知，导出 JSON、加密 ZIP 或 PDF，删除单项内容，撤销其他会话，并永久注销账号。注销路径为“我的 → 设置 → 账号与安全 → 注销余白账号”。

你也可以通过 support@vexlune.com 提交访问、更正、删除、限制处理或申诉请求；我们会在核验账号控制权后依法处理。

8. 未成年人

余白不是面向儿童设计的产品。未成年人应在监护人指导下使用，并避免在记录、聊天或共享空间中披露不必要的敏感信息。发现未经适当授权处理未成年人信息时，我们会依法采取删除或限制措施。

9. 地区与跨境处理

信息会在提供余白服务所需的受控基础设施中处理。涉及跨境传输或特定地区要求时，我们会根据实际发行地区履行必要的告知、授权与安全义务；不满足当地强制要求的地区不会启用相应服务。

10. 更新与联系

功能、数据类型、服务提供商或法律要求发生实质变化时，我们会更新本政策，并通过应用内说明或其他适当方式通知。需要另行同意的事项会依法征得同意。

隐私与安全联系邮箱：support@vexlune.com