1. 本机处理的数据
- 用户选择导入、使用相机拍摄或从浏览器保存的图片和视频。
- 解锁失败次数、时间、冷却状态，以及 Pro 用户开启功能后产生的前置摄像头抓拍。
- 主 PIN、访客 PIN 和访客模式等安全设置。
- 语言、自动锁定、生物识别、当前图标和 Pro 权益状态等应用偏好。
2. 处理目的
- 提供媒体加密、展示、播放、导出和删除功能。
- 验证 PIN 或系统生物识别，并防止密码被高频尝试。
- 记录解锁失败，并在用户开启时执行入侵抓拍。
- 加载用户输入的网址，并保存用户选择的媒体。
- 向 Apple 查询订阅状态、恢复购买并解锁 Pro 权益。
3. 加密与本地存储
媒体使用分块 AES-GCM 加密后写入 App 沙盒。256 位密钥由设备安全随机生成，保存在设置为“仅本设备”的 iOS Keychain 项目中；PIN 与访客设置也保存在 Keychain。
视频播放或导出时可能在系统临时目录生成短期明文副本，并在处理结束后删除。用户主动导出的副本不再受本 App 加密库保护。
4. 系统权限
- 照片：用于接收用户明确选择的媒体，或将用户选择的内容导出至系统相册。
- 相机：用于用户主动拍摄，以及用户主动开启的 Pro 入侵抓拍。
- 麦克风：仅在用户主动录制视频时记录声音。
- Face ID / Touch ID：仅由 iOS 执行本机解锁验证，App 不会获取或保存生物识别模板。
- 网络：用于无痕浏览器加载网页、下载用户选择保存的媒体，以及与 Apple 核验订阅。
5. 无痕浏览器
无痕浏览器使用 WKWebView 的非持久化数据存储，并提供清空网站数据的操作。这不代表网络匿名：访问的网站、网络服务商或内容分发服务仍可能收到 IP 地址、浏览器信息、请求内容和用户提交的信息。
6. 订阅与 Apple
Pro 为通过 Apple App Store 提供的每周自动续期订阅。付款、Apple ID、账单和交易处理由 Apple 完成，本 App 不接收完整支付卡信息。App 使用 StoreKit 获取价格、已验证权益、购买和恢复结果。Apple 对相关数据的处理适用 Apple 的隐私政策。
7. 共享与第三方
- 我们不向广告商、数据经纪商或分析服务销售、出租或共享媒体与浏览记录。
- 用户访问网站时，网络请求会发送给目标网站及其服务商。
- 用户导出或共享媒体时，由用户选择的系统服务或接收方处理该副本。
- 订阅交易由 Apple 处理。除上述用户发起的操作外，App 不主动披露加密库内容。
8. 保留、删除与备份
- 加密媒体保留在设备上，直到用户删除或卸载 App。
- 入侵记录保留到用户清空；网站会话数据可在无痕页清除。
- “清除所有数据”会删除媒体、抓拍、浏览数据、主 PIN、访客 PIN 和本机加密密钥；订阅权益保留并由 Apple 核验。
- 系统备份可能包含加密后的 App 文件，但“仅本设备”密钥不会迁移到其他设备，恢复或换机后可能无法解密。
9. 用户权利与控制
用户可删除加密媒体和入侵记录、关闭可选功能，并通过 iOS 设置撤销照片、相机、麦克风和生物识别权限。App 没有云端账号，因此开发者无法远程查看、恢复或代为删除设备内的保险箱内容。
10. 儿童隐私
本 App 不专门面向儿童设计，也不通过开发者服务器主动收集儿童个人信息。未成年人应在监护人指导下使用。
11. 政策更新
我们可能随功能、法律或平台要求变化更新本政策。重大变化会在 App 内或本页展示新的生效日期。
12. 联系方式
如对本政策或隐私处理有疑问，请联系：