ExtraSign隐私政策
1. 我们是谁
ExtraSign 由 Eric Z（“我们”）发布。联系方式：candy66861@gmail.com。
2. 只保存在你设备上的数据
- 变更单：标题、内容、金额、明细、项目、客户、公司资料、Logo、价目表、备注和操作记录。
- 照片：在 App 里拍的或从相册选的照片，以及拍摄时间和位置。
- 位置：经你允许后，App 只在拍照和签字的那一刻读取位置，用来记录发生地点；不会在后台定位。
- 签名，以及签字人的姓名和身份。
- 从通讯录选择的客户：只复制你选中的那条联系人的字段，App 不读取整个通讯录。
- 你生成的 PDF、备份和证据包只会到你发送或保存的地方。
备份：1.0 版没有云同步。你在设置 › 数据 里生成的备份文件，保存在你选择的位置（如“文件”或 iCloud 云盘，iCloud 云盘由 Apple 按其隐私政策运营），我们无法访问。
3. 我们收集的数据
3.1 匿名使用统计（可以关闭）
我们记录“新建变更单”“完成签署”“分享 PDF”这类事件，以及粗略的信息，例如 PDF 版式、PDF 语言是否与界面语言不同、照片数量区间。每个事件带有 App 生成的随机安装 ID、App 版本、系统版本、机型、语言、地区和时区。
我们从不收集变更单的内容：标题、内容、金额、客户姓名、地址、照片、坐标、签名都不收集；也不收集你的姓名、邮箱或广告标识符（IDFA）。
用途：了解哪些功能被使用，以便改进 App。你可以随时在设置里关闭“分享匿名使用统计”：App 自己的事件立即停止发送，统计 SDK 在下次启动时完全停止。原始事件保留 90 天，不含任何 ID 的每日汇总保留 400 天。
3.2 崩溃报告
App 崩溃时，Firebase Crashlytics（Google）会收到崩溃报告：调用栈、App 版本、系统版本、机型、可用内存和存储空间，以及 Crashlytics 安装 ID。只用于修复问题，和使用统计一起关闭。
3.3 诊断日志
App 在设备上保留最多 7 天的简短技术日志（例如“PDF 生成耗时 1.2 秒”或导出错误码），从不包含变更单内容。只有在我们排查问题（通常是你反馈的问题）时，才会请求某个安装 ID 的 App 上传这份日志。上传的日志在 90 天内删除。
3.4 网络数据
App 向我们的服务器发送统计或日志时，托管服务商 Cloudflare 会处理你的 IP 地址以完成请求和防止滥用。我们不保存 IP 地址。
3.5 购买
付款由 Apple 处理，我们收不到你的付款信息或 Apple 账户。匿名统计会记录发生了购买或恢复购买，以及价格和币种。
3.6 支持邮件
你给我们发邮件时，我们会收到你的邮箱地址和邮件内容（包括附件），只用于回复你，最多保留 2 年。
4. 我们绝不做的事
- 没有广告，不接入广告 SDK。
- 不跨其他公司的 App 或网站追踪你，不使用 IDFA。
- 不出售或共享数据，不与数据经纪商合作，不做用户画像。
5. 权限
| 权限 | 用途 |
|---|---|
| 相机 | 拍摄施工现场照片。 |
| 位置（使用期间） | 记录照片的拍摄地点和变更单的签署地点。可以不允许。 |
| 照片 | 通过系统选择器选择照片，App 只能看到你选中的照片。 |
6. 你的客户的数据
你记录客户的姓名、联系方式或签名时，由你决定记录什么、把 PDF 发给谁。这些数据只在你的设备（以及你导出的备份文件）里，我们不处理。请告知你的客户你会保存这份变更单记录。
7. 服务商与跨境传输
| 服务商 | 用途 | 数据 | 位置 |
|---|---|---|---|
| Cloudflare, Inc. | 服务器和数据库 | 使用统计、诊断日志 | 美国及 Cloudflare 全球网络 |
| Google LLC（Firebase Crashlytics） | 崩溃报告 | 崩溃报告 | 美国 |
| Apple Inc. | App Store、购买、iCloud | 按 Apple 隐私政策处理 | — |
上述数据可能在你所在国家或地区以外处理。对中国大陆用户：匿名统计和崩溃报告会传输到境外服务商处理，你可以随时在设置里关闭。
8. 你的选择和权利
- 在设置里关闭匿名统计和崩溃报告。
- 删除草稿、作废已签的单，或删除 App 以清除设备上的全部数据；在“文件”App 里删除你导出的备份文件。
- 我们不知道你是谁，只能按安装 ID 查找服务器上的数据。请发邮件申请查阅或删除。
- 根据你所在地的法律（例如《个人信息保护法》、GDPR），你可能有权查阅、更正、删除个人信息，撤回同意，限制或拒绝处理，以及向监管机构投诉。
9. 未成年人
ExtraSign 是工作工具，不面向儿童。
10. 安全
所有连接都使用 HTTPS。我们的服务器上没有变更单、照片、签名或客户数据。本网站不使用 Cookie，不加载第三方脚本。
11. 变更
本政策变更时会更新上方日期。如果以后的版本加入会把变更单数据发送到服务器的功能（例如远程签字链接），我们会在发布前先更新本政策。
12. 联系我们
Eric Z · candy66861@gmail.com