1. 引言与适用依据
本政策说明我们如何收集、使用、存储、共享、保护与删除你使用 TonoCam（以下简称“本 App”）产生的相关信息。TonoCam 是一款 iPhone 原生影调相机应用，提供照片与 Live Photo 拍摄、经典彩色与黑白影调、本地作品图库，以及以“原件 + 配方”为核心的非破坏式数字底片工作流。本政策同时适用于本 App 的相机控制扩展（控制中心/锁屏相机控制部件）。
本政策主要依据与参考：
- 中国大陆法律与监管要求：《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国消费者权益保护法》《移动互联网应用程序信息服务管理规定》及移动互联网应用程序（App）个人信息处理的相关规范；
- Apple 平台要求：App Store 审核指南（含隐私条款与权限用途说明要求）、App 隐私清单（PrivacyInfo.xcprivacy）申报要求；
- 通用原则：合法、正当、必要、诚信、目的限定、最小化、公开透明、准确与安全保障。
如果本政策与法律法规或平台政策存在冲突，以强制性规定为准。
2. 核心结论（请先阅读）
- 无账号：本 App 不提供账号注册或登录，核心功能无需提供手机号、邮箱等身份信息；
- 全本地处理：拍摄、影调处理、图库管理与配方重渲染默认在你的 iPhone 上完成，照片与作品不上传我们的服务器，主流程不依赖网络；
- 无广告、无追踪：本 App 不含广告 SDK、不含第三方统计或崩溃上报 SDK，不读取广告标识符（IDFA），不进行跨应用追踪（隐私清单已申报 NSPrivacyTracking = false 且未申报任何收集的数据类型）；
- 按需授权：相机、麦克风、照片库等权限仅在你使用对应功能时由系统弹出申请，拒绝不会导致 App 不可用；
- 作品归你：你拍摄的照片、Live Photo 与配方保存在你的设备上，删除权在你手中；
- 购买由 Apple 处理：会员购买通过 Apple App Store 的 StoreKit 完成，支付信息由 Apple 处理，我们不接触你的支付账户信息。
3. 术语与适用范围
- 本 App：运行在 iPhone 上的 TonoCam 主应用及其相机控制扩展；
- 作品：你使用本 App 拍摄或导入后生成的照片、Live Photo、视频及其原始文件；
- 配方：与作品关联的可复现参数（镜头、影调、滤镜、强度、曝光/白平衡/HSL、画幅等）；
- 数字底片：原始文件 + 完整可修改配方的组合，可从同一母版重新渲染新版本；
- 本地数据：仅保存在你的设备存储空间中、由本 App 管理的数据。
第三方平台（Apple）及你选择使用的其他服务适用其各自的政策。本 App 未接入任何要求共享数据的第三方服务。
4. 运营主体信息
- 运营主体名称：TonoCam 团队
- 联系邮箱：support@cuebuddy.cn
5. 我们收集与处理的个人信息清单
本 App 坚持最小必要原则。下表列出全部数据处理活动：
| 信息类别 | 具体内容 | 来源 | 存储位置 | 是否离开设备 |
|---|---|---|---|---|
| 相机画面 | 取景帧、你拍摄的照片 / Live Photo / 视频 | 你授权相机后由系统采集 | 设备本地（App 沙盒图库） | 否（系统相册保存由你主动触发） |
| 麦克风音频 | 有声 Live Photo / 视频的声音 | 你启用有声拍摄并授权麦克风后采集 | 设备本地 | 否 |
| 作品与配方 | 原始文件、成片、版本、滤镜参数、散列 | 拍摄或导入后由 App 生成 | 设备本地 | 否 |
| 设置与偏好 | 拍摄习惯开关、界面偏好等 | 你在 App 内配置 | 设备本地 | 否 |
| 运动数据 | 水平仪所需的设备姿态 | 你开启水平仪且传感器可用时 | 仅内存中实时使用，不落盘 | 否 |
| 购买信息（可选） | 订阅状态、权益校验结果 | Apple App Store / StoreKit | 由 Apple 处理；本 App 仅保存最小权益标识 | 经 Apple StoreKit 体系处理 |
| 你主动联系我们产生的信息 | 邮件正文及附件 | 你通过邮件发送 | 我们处理邮件的系统中 | 是（仅限你主动联系场景） |
5.1 我们不收集的信息（负面清单）
- 手机号、邮箱、姓名等身份信息（除非你主动通过邮件联系我们）；
- 精确或模糊的地理位置信息（本 App 不请求定位权限，成片不写入 GPS）；
- 通讯录、通话记录、短信、剪贴板内容；
- 广告标识符（IDFA）与跨应用追踪数据；
- 面部或其他生物特征（相机画面仅用于取景、拍摄与影调处理，不做人脸识别或特征分析）；
- 任何由第三方分析、统计、广告或云端 AI 服务处理的数据（本 App 未接入此类 SDK）。
5.2 关于音频的说明
麦克风权限仅在你主动使用有声 Live Photo 或视频拍摄时申请；普通静态照片与无声拍摄不采集音频。拒绝麦克风权限不影响拍照功能。
6. 网络行为说明（重要）
- 默认端侧：本 App 的拍摄、影调处理、RAW 解码与配方重渲染均在本机完成；当前版本不向我们的服务器上传照片、Live Photo、视频或配方；
- 无云端生成：本 App 不提供云端图像处理、云端生成或滤镜商店；文档中评估过的自建处理服务当前未实现、未部署，如未来提供将单独征得你的同意并在实现前更新本政策；
- 网络依赖有限：主流程可在飞行模式下完成；网络仅可能用于 Apple 体系的服务（App Store 购买、订阅校验），该部分由 Apple 处理；
- 本地推理组件：App 内包含用于本机推理的开源 ONNX Runtime 组件，推理在设备本地执行，默认关闭，不构成数据上传。
7. 权限申请说明
以下权限均在你使用对应功能时由系统弹出申请，你可以在系统设置中随时修改或撤回：
| 权限 | 用途 | 拒绝后的影响 |
|---|---|---|
| 相机 | 取景与拍摄照片、Live Photo、视频 | 无法拍摄，仍可浏览、导入与编辑已有作品 |
| 麦克风 | 录制有声 Live Photo / 视频的声音 | 普通照片不受影响；可使用无声拍摄 |
| 照片库（仅添加） | 将你选择保存的作品添加到系统相册 | 作品仍保存在 App 图库，可重试保存 |
| 照片库（读写，按需） | 24MP 延迟处理场景：由系统完成处理后回读成品 | 标准像素拍摄不受影响 |
| 运动 | 取景水平仪 | 不影响拍照，水平仪不可用 |
| 照片导入（系统选择器） | 你主动选择照片导入本 App | 无法导入；App 不会借此读取整个相册 |
8. 数字底片与配方
- 每次拍摄与编辑都会以版本化方式保存原始文件与配方；非破坏式重渲染生成新版本，不覆盖你的原件；
- 数字底片意味着“原始文件 + 可修改配方”，不是把 JPEG 还原为传感器 RAW；JPEG 已丢失的高光、色深与噪声信息无法恢复，本政策与产品说明均不作此承诺；
- 导出的底片包（.cmnegative 目录包）由你在本机主动触发，包含原始文件、配方与所需 LUT；本 App 不承诺其他 App 能直接识别该格式。
9. 数据存储与保留
| 数据 | 保留期限 | 删除方式 |
|---|---|---|
| 作品、原始文件与配方 | 保留到你主动删除或卸载 App | 在 App 图库内删除，或卸载 App |
| 设置与偏好 | 保留到你在 App 内修改或卸载 App | 随卸载删除 |
| 会员权益标识 | 会员有效期内及账务必需期间 | 随本地数据删除；Apple 侧收据记录由 Apple 按其政策处理 |
| 麦克风音频 | 仅在你保存的有声 Live Photo / 视频内存留 | 删除对应作品即删除其音频 |
| 你通过邮件联系我们的记录 | 问题处理完成及必要的后续支持期内 | 可随时要求删除 |
本 App 当前不提供自动清理图库功能；卸载 App 时，其沙盒内的本地数据将随之移除。
10. 你的权利
依据适用法律，你可以：
- 查阅与更正：在 App 内直接查看、管理作品与配方，修改设置；
- 删除：在 App 图库内删除单张或全部作品，或卸载 App 删除全部本地数据；
- 撤回同意：在系统设置中随时撤销相机、麦克风、照片库等权限；撤销后对应功能停用；
- 获取说明：通过第 4 条联系邮箱索取关于数据处理规则的进一步说明。
因本 App 无账号体系，上述权利主要通过 App 内功能与系统设置直接实现。
11. 未成年人保护
- 本 App 面向有影调偏好与记录需求的摄影用户设计，不以未成年人为目标用户；
- 如你为未成年人，请在监护人指导下使用本 App，并由监护人协助阅读本政策；
- 如你认为儿童在未获监护人同意的情况下向我们提供了个人信息，请立即联系我们，我们将依法采取删除等必要措施。
12. 数据跨境
本 App 的照片、Live Photo、视频与配方等媒体内容仅在本机处理与保存，不存在由我们实施的跨境数据传输。涉及第三方平台的场景（App Store 购买）由 Apple 按其全球服务架构处理，适用 Apple 的隐私政策与承诺。如未来接入需要服务器的功能，我们将在实现前更新本政策并说明服务器位置与合规安排。
13. 数据安全
我们采取的技术与管理措施包括：
- 作品文件与配方保存在本机 App 沙盒，导入导出使用系统文件机制，底片包含逐文件 SHA256 校验；
- 捕获后先原子持久化原始文件，再执行可失败的处理；处理或输出失败保留原件，不留下虚假的“保存成功”状态；
- 不引入第三方分析、广告或云端 AI SDK，降低供应链风险；
- 隐私清单如实申报：不追踪、不申报收集的数据类型，访问的受限 API（UserDefaults、文件时间戳、磁盘空间）均按 Apple 要求的原因码申报。
同时请注意：设备安全由你使用的设备与系统共同决定，建议为设备设置解锁密码并保持系统更新。
14. 政策更新
当我们更新本政策时，会在 App 内或发布页面公布新版本，并更新版本号与生效日期。涉及你权利义务重大变化的，我们会以显著方式提示；新增权限、新增数据类别或新增第三方 SDK 前，我们会先行更新本政策。
15. 联系我们
- 邮箱：support@cuebuddy.cn
- 我们将在合理期限内回复你的隐私相关请求与投诉。