隐私政策

哪些数据留在您的手机上，哪些数据会被发送

Pruna 适用于 iPhone 和 Android 手机。它帮助您检查和整理手机上的照片、视频、联系人和日历事件，并将私密照片和联系人保存在加密的保险箱中。它没有账户，也没有广告。

您的照片、视频、联系人、日历事件和保险箱绝不会通过 Pruna 离开您的设备——所有分析都在手机本身上进行。本政策说明 App 存储哪些内容、发送哪些内容以及发送给谁。如果 iPhone 版和 Android 版有所不同，本政策会加以说明。

Pruna 发送的内容仅限于与随机标识符关联的使用事件、诊断信息和崩溃报告、订阅信息，以及是我们自己的哪个推广活动带来了您的下载，具体如下文所述。我们绝不会收到您的照片、视频、联系人、日历事件、保险箱内容或保险箱 PIN 码。

照片和视频

经您许可，Pruna 会读取您的照片图库，以找出重复项目、相似照片、截屏、录屏、大视频、实况照片或动态照片，以及模糊或昏暗的照片。在 iPhone 上，您可以授予完全访问或有限访问权限，并可随时在 iOS“设置”中更改。在 Android 上，您可以允许访问所有照片和视频，或者在 Android 14 及更高版本上仅允许访问所选的照片和视频，并可在 Android“设置”中更改；在授予照片访问权限时，Android 还会询问是否允许 Pruna 读取照片和视频中保存的位置信息，Pruna 仅将其用于在压缩后的视频以及它为您保存的静态照片中保留该位置。

为此，Pruna 只在您的设备上保存：

• 文件大小、日期和媒体类型；
• 在设备上计算出的视觉特征和质量评分——在 iPhone 上由 Apple 的 Vision 框架计算，在 Android 上由内置于 App 的图像模型和 Google 的 ML Kit 人脸检测计算，另加一个精简的图像哈希值。它们描述照片之间的相似程度、清晰程度以及眼睛是否睁开；它们不会识别照片中的人是谁，也无法还原成照片；
• 您的选择，例如您决定保留的照片和滑动时的决定；
• 您用 Pruna 压缩过哪些视频，以免再次向您推荐；
• 您的清理记录（日期、项目数量及其大小）。

此缓存不包含在设备备份中，删除 App 时会一并移除。

建议是如何生成的

Pruna 的建议（例如重复项、相似照片以及模糊或昏暗的照片）由在您手机上运行的软件自动生成：在 iPhone 上为 Apple 的 Vision 框架，在 Android 上为内置于 App 的图像模型和 ML Kit 人脸检测。为此，任何照片、特征或评分都不会被发送给我们或任何 AI 服务，您的照片也不会被用于训练任何模型。

建议只是估计，可能有误。它们仅是提议：在您确认之前，任何内容都不会被移除。

删除照片和视频

当您删除照片或视频时，在您于系统提示中确认后，Pruna 会请求系统将它们移到：

• 在 iPhone 上，移到“照片”App 的“最近删除”相簿。除非您清空相簿，它们会在那里保留 30 天。如果您使用 iCloud 照片，删除会应用到登录同一 Apple 账户的所有设备。显示仅存储在 iCloud 中的照片预览时，iOS 可能会从 Apple 下载该照片；此传输发生在您的设备与 Apple 之间。
• 在 Android 上，移到手机的回收站。除非您清空回收站，它们会在那里保留 30 天。由云端照片服务（例如 Google Photos）保存的副本遵循该服务自身的设置。

一定次数的删除无需订阅。为了显示还剩多少次，Pruna 会统计您在未订阅时删除的照片和视频数量，并且只将这个数字保存在您的手机上；即使删除 App，它也会保留：在 iPhone 上保存在 iOS 钥匙串中，仅限此设备；在 Android 上保存在 Google Play 服务的 Block Store 中，并关闭云端备份（当您将数据从一部手机迁移到另一部手机时，Android 可能会把它复制到新手机）。这个数字绝不会发送给我们或下列服务。

压缩视频

压缩视频时，Pruna 会在您的手机上重新编码视频；视频不会上传。在 iPhone 上，如果您选择的视频仅存储在 iCloud 中，Pruna 会先征求您的同意，只有在您同意后才会从 Apple 下载（如果您正在使用蜂窝数据，也会告诉您）；否则会跳过该视频。压缩后的文件会留在您设备上的 App 储存空间中（不包含在备份内），直到您存储或丢弃它们；如果两者都没做，7 天后会被删除。存储时，压缩副本会带着原件的日期、个人收藏标记及其位置（在 Android 上，前提是您允许 Pruna 读取位置）添加到您的照片图库；除非您选择保留原件，否则在您于系统提示中确认后，原件会像其他删除的项目一样移到“最近删除”或回收站。在 Android 上，压缩视频期间会通过一条通知显示进度；该通知不会显示任何视频的名称。

联系人

只有当您打开“联系人”部分或向保险箱添加联系人时，Pruna 才会请求访问联系人。它在设备上读取联系人，以找出重复项和没有姓名或号码的条目。每次合并或删除前，它都会把相关联系人的备份（一个 vCard 文件）写入设备上的 App 存储空间；它会保留最近的十份备份，您可以在“设置”中恢复或删除。根据您的设置，这些备份属于设备备份的一部分——在 iPhone 上为 iCloud 备份或电脑备份，在 Android 上为 Google 备份和设备迁移。

在 iPhone 上，Pruna 不读取也不写入联系人备注。在 Android 上，它会读取其可编辑账户中的联系人详细信息（姓名、电话号码、电子邮件地址和邮寄地址、网站、日期、备注和照片）；合并时，其他条目的详细信息（包括备注）会移到保留的条目中，备份中也包含这些信息。Android 备份以不可逆的单向代码记录联系人所属的账户，而不是记录账户的名称或地址。

日历

只有当您打开“日历”部分时，Pruna 才会请求访问日历。它在设备上读取过去的事件，列出您可能想删除的事件；尚未结束的事件、仍在进行的重复事件以及您无法编辑的日历绝不会被建议。在 Android 上，它读取受邀者地址仅是为了区分会议和您自己的事件；会议绝不会被自动选中。每次删除前，Pruna 都会把相关事件的备份（一个 .ics 文件）写入设备上的 App 存储空间，并像联系人备份一样保存。根据您的日历服务商，删除您组织的事件可能会向受邀者发送取消通知；这由您的日历服务完成，而非 Pruna。

保险箱

您添加到保险箱的项目会在存储前于设备上加密（AES-GCM）。

• 在 iPhone 上，密钥由您的 PIN 码和 iOS 钥匙串保护；如果您开启面容 ID，验证由 iOS 完成。加密的保险箱文件包含在设备备份中；没有您的 PIN 码（或用于恢复的 iPhone 密码）就无法打开。
• 在 Android 上，密钥由您的 PIN 码和 Android Keystore 保护；如果您开启指纹或人脸解锁，验证由 Android 完成，您也可以通过屏幕锁定方式设置新的 PIN 码。保险箱的界面无法被截屏或录屏。保险箱不包含在 Google 备份或设备迁移中：要将它转移到另一部手机，您需要把它导出为一个文件，该文件由您另行设置的密码短语保护。

Pruna 绝不会接收您的生物识别数据。我们无法打开、恢复或重置您的保险箱。删除 App 或抹掉保险箱会删除其中的内容。

储存空间信息

Pruna 会读取手机的总储存空间和可用空间，以便在向保险箱添加项目或压缩视频前（在 Android 上还包括保存静态照片前）检查空间是否足够，并在空间不足时告诉您。这些数值绝不会被发送到任何地方。

使用分析

为了了解哪些功能被使用、App 在哪里出错，Pruna 的正式版本会向 Mixpanel 发送与您此次安装的随机标识符关联的使用事件，数据存储在欧盟境内。一个事件会标明一个操作（例如“扫描完成”或“查看了订阅页面”），并且只包含大致范围和选项——例如“100–999 张照片”或“1–5 GB”——绝不包含确切数量或大小、照片或文件名称、您的照片、联系人或事件的标识符，或您的储存容量。每个事件还包含 App 版本和构建号、App 语言，以及 Mixpanel 的库添加的技术信息：在 iPhone 上为您的设备型号、iOS 版本和屏幕尺寸；在 Android 上为您设备的制造商、品牌和型号、Android 版本、屏幕尺寸和密度、移动运营商名称，以及 Wi-Fi、蓝牙、NFC 和电话功能是否可用。

Mixpanel 通过在您设备上生成的随机标识符来识别一次安装；它与您的姓名、Apple 账户、Google 账号或广告标识符都没有关联。发送事件时，Mixpanel 的服务器会收到您的 IP 地址；App 会要求 Mixpanel 不要用它来确定您的位置。App 还会将这个随机标识符提供给 RevenueCat，以便 RevenueCat 记录的订阅事件（例如试用开始或结束、续订、取消或退款，以及对应的方案和价格）被添加到 Mixpanel 中同一个安装的标识符下。

在 Android 上，在手机上为人脸评分的 Google ML Kit 会向 Google 发送有关其自身运行的诊断信息——设备和 App 信息、每次安装的标识符、性能测量数据、图像尺寸和格式等设置，以及错误代码。其中不包含任何照片或分析结果。请参阅 Google 的 ML Kit 数据披露说明（ https://developers.google.com/ml-kit/android-data-disclosure ）。

崩溃报告

正式版本会向 Sentry 发送崩溃报告、错误报告和部分性能测量数据。其中包含技术信息——App 版本、设备型号、操作系统版本，以及问题发生时 App 代码的状态。Pruna 关闭了 Sentry 的个人信息收集，也不会附带截屏或屏幕内容。在 iPhone 上，iOS 提供给 App 的诊断信息（MetricKit）会添加到这些报告中；在 Android 上，报告还涵盖 App 无响应的情况。

Sentry 将这些报告存储在其欧盟区域。

订阅和推广活动信息

付款由 Apple（在 App Store 上）或 Google（在 Google Play 上）处理。RevenueCat 会处理 App 专属的随机客户标识符、您的购买和订阅记录、设备和 App 的技术信息以及与订阅页面的交互，用于验证访问权限、恢复购买和提供订阅报告。这些服务需要联网，并可能收到您的公网 IP 地址。我们不会收到支付卡信息。RevenueCat 作为我们的服务提供商行事；删除 App 不会删除其购买记录。

在 iPhone 上，如果您是在 App Store 中点按 Apple Search Ads 广告后安装 Pruna 的，RevenueCat 会从 Apple 获得是我们的哪些广告系列、广告组和搜索关键词带来了这次下载（Apple 的 AdServices 归因）。为此，Pruna 会向 RevenueCat 发送一个来自 iOS 的令牌；它不使用您的广告标识符，也不请求追踪许可，因为 Apple 提供这种归因时不进行追踪。我们仅用它来了解我们自己的哪些广告有效。

在 Android 上，如果您是通过我们某个推广活动的链接进入 Google Play 的，Pruna 会从 Google Play 的安装引荐来源（Install Referrer）中读取一次推广活动的来源、媒介和名称（链接中的 utm_source、utm_medium 和 utm_campaign 值），并将其与上述随机标识符一起传给 RevenueCat 和 Mixpanel。它不会从引荐来源中读取任何其他信息——既不读取广告点击标识符，也不读取安装时间——也不使用您的广告标识符。我们仅用这些信息来了解我们自己的哪些推广活动有效。

Pruna 不会跨 App 或网站追踪您，不展示广告，不使用您的广告标识符，也不出售或共享个人信息。上述 Apple Search Ads 归因和 Google Play 推广活动信息只会告诉我们是我们自己的哪些广告或推广活动链接带来了下载。

支持

如果您发邮件至 info@odbs.tech，您的邮箱地址和提供的信息仅用于回复您。请勿在支持邮件中发送照片、联系人信息或保险箱 PIN 码。

服务提供商和数据处理地点

• Apple — App Store 购买、iCloud 照片、设备备份（iPhone）。
• Google — Google Play 购买和安装引荐来源、Android 备份和设备迁移、Block Store、ML Kit 诊断信息（Android）。
• RevenueCat — 订阅验证和报告、Apple Search Ads 归因（iPhone）、安装推广活动信息（Android）。
• Mixpanel — 与随机标识符关联的使用分析（数据存储在欧盟）、安装推广活动信息（Android）。
• Sentry — 崩溃和错误报告，位于其欧盟区域。

Apple、Google 和 RevenueCat 可能会在美国和其他国家处理这些数据。Apple 和 Google 依据其各自的隐私政策向您提供其商店、备份和照片服务。

数据保留期限

• 扫描结果、特征、评分、您的选择和您的清理记录：保存在您的手机上，直到您删除 App；它们不属于设备备份的一部分。
• 您既未存储也未丢弃的压缩视频：7 天后删除。
• 联系人和日历备份：各保留最近的十份，保存在您的手机上，直到您在“设置”中删除它们或删除 App；根据您的设置，它们属于设备备份的一部分。
• 保险箱：保留至您抹掉保险箱或删除 App 为止；在 iPhone 上，加密的保险箱文件也属于设备备份的一部分。
• 未订阅时所做删除的计数：保存在您的手机上，即使您删除 App 后也会保留，如“删除照片和视频”部分所述。
• 分析事件、诊断信息和崩溃报告：由 Mixpanel、Sentry 和 Google 根据其保留设置，仅在了解和改进 App 所需的期限内保存。
• 订阅和购买记录：由 Apple、Google 和 RevenueCat 在履行计费、税务和会计义务所需的期限内保存；删除 App 不会删除这些记录。

您在 Pruna 中的选择

• 照片、联系人、日历、面容 ID、指纹或人脸解锁：您可以随时在 iOS“设置”或 Android“设置”中授予或撤销访问权限。
• 联系人和日历备份：在“设置 › 联系人备份”和“设置 › 日历备份”中恢复或删除。
• 保险箱：在保险箱设置中更改您的 PIN 码或解锁方式，或永久抹掉保险箱及其密钥；在 Android 上，您还可以在那里将保险箱导出为一个受密码短语保护的文件。
• 订阅：“设置 › 管理订阅”和“恢复购买”；您也可以在您的 Apple 账户或 Google Play 设置中取消订阅。
• 分析和崩溃报告：Pruna 没有关闭它们的开关；您可以通过删除 App 来停止发送。
• Pruna 没有账户，因此没有可删除的账户。由于我们收到的数据与您的身份无关，如果您联系我们，我们会在您的请求能够与我们持有的数据相匹配的范围内提供帮助。

Pruna 的法律依据

• 分析您的照片图库、联系人和日历，以及保险箱、压缩和备份：履行我们与您之间的合同。这些处理在您的手机上进行，我们不会收到这些数据。
• 检查您的订阅、恢复购买以及统计未订阅时所做的删除：合同。
• 使用事件、订阅报告以及带来您下载的推广活动：我们了解 Pruna 的使用情况以及我们自己的哪些推广活动有效的正当利益。
• 崩溃报告和诊断信息（包括 ML Kit 的诊断信息）：我们保持 Pruna 正常运行和安全的正当利益。
• 答复您的电子邮件：我们为您提供帮助的正当利益；如果您的请求涉及您的购买，则为合同。
• 保存购买记录：法律义务。