epolar 隐私政策

一、按您使用的功能处理信息

本机照片、视频与编辑

拍摄画面、所选照片及文件携带的元数据，用于本机预览、调色、构图、边框和签名合成、实况处理与保存。导入通过系统选择器访问您选定的文件，不扫描其他照片；原文件可能携带拍摄时间或位置等元数据，不代表 App 申请定位。epolar 不将这些媒体、相册索引或人脸点位上传至服务器，不用作广告或模型训练。系统相册云备份和您主动分享的接收方按您的系统设置另行处理。

可选账号、验证码与登录

您主动输入的中国大陆手机号或邮箱、验证码请求与核验结果，用于注册、登录、绑定和敏感操作验证。服务端生成账号 ID，保存创建时间、同意的协议版本和验证时间；标识加密保存，同时保留带密钥的匹配哈希和脱敏值，不保存验证码明文。邮箱匹配忽略字母大小写，不合并加号别名或移除地址中的点。App 不读取短信、设备手机号或邮箱内容。服务端保存会话凭证哈希、有效期和必要验证时间，本机安全存储登录资料；这些凭证不能用购买凭据替代。

Pro 权益与购买归属

账号 ID、权益来源、状态、购买关联和退款撤销记录，用于核验权限、防止重复分配及跨端查询同一账号的有效权益。账号权益可跨端，不表示照片或签名库互通。支付服务涉及的信息处理见第三方服务一节。

自愿支持作者与付款核验

仅在您使用该功能时，本机生成并保存随机订单查询凭证和必要的待确认订单信息，服务端保存该凭证经带密钥哈希派生的归属标识，以及请求编号、平台、支持订单号、金额、币种、创建时间、支付渠道交易号、付款及退款核验状态，用于创建支持订单、确认到账、防止重复扣款、处理异常和争议。凭证不是设备硬件标识，不用于登录或广告跟踪；支持订单不绑定 epolar 登录账号，不附带您的手机号、邮箱、照片或签名。这些可关联到交易的记录属于去标识数据，不称为完全匿名。当前页面仅核验待确认的该笔付款，不提供历史支持订单列表或跨设备恢复；涉及支付宝、微信 OpenSDK 和微信支付的信息处理见第三方服务一节。

可选签名云同步

仅在验证登录、账号具有有效 Pro 并主动开启时，同步您选择的签名笔画、名称、墨色、笔宽、尺寸、摆放设置和适用的透明预览图，以及签名编号、版本、删除标记和更新时间。载荷加密保存在私有业务数据库，不上传照片、视频或相册索引。按账号及平台隔离：iOS／iPadOS、Android、HarmonyOS 三组签名库目前不互通。仅本机签名不会因登录自动上传或绑定。首次开启和主动同步获取云端变化，开启后的增删改先保存本机再后台提交；关闭同步不自动删除已有本机或云端副本。限免不包含云同步。

语言与本机偏好

支持语言选择的版本可跟随系统或在 App 内选择中文、英文，选择保存在本机。系统语言用于确定界面语言，设备地区用于建议手机号或邮箱登录方式，您可以自行切换；设备地区不是 GPS 定位，不代表国籍或实际所在地。语言切换不创建新账号，不改变会员归属，也不会自动上传照片或签名。

相纸目录与素材下载

App 请求和缓存相纸标识、可见性、版本、校验值和预览。主动选择缺少的素材或点击下载时，按需获取高清文件；会员素材请求还需核验账号或有效 iOS 游客购买。开通 Pro 不自动下载全部素材。资源服务接收必要 IP 地址、请求时间、路径、状态及临时下载凭据，不接收用户照片、签名或构图参数。鸿蒙当前主要使用随包提供的素材；未提供下载功能的版本不会因此上传或下载您的内容。

建议、反馈与客服

处理您填写的类型、文字、时间和防重复请求编号，正文加密保存，仅授权管理员可查看，不自动附带照片、签名或诊断日志，暂不提供站内回复。iOS 与鸿蒙的当前反馈使用匿名接口，不附带登录或购买凭据，IP 的带密钥哈希用于临时频控；Android 当前反馈需要登录并关联账号 ID，注销时一并删除。匿名反馈不因注销账号自动删除，可提供提交时间和内容摘要联系客服请求删除。主动邮件联系时，处理您提供的邮箱、正文和必要附件；请勿发送密码、验证码或无关个人信息。

网络访问与安全

目录、登录、核验、反馈和同步请求包含必要功能参数、平台、构建号及发行渠道；网络连接产生 IP 地址、请求路径、时间、响应状态等记录，用于服务传输、频次限制、安全防护和故障排查。验证码、密码、会话及购买凭据不作为普通日志内容记录。哈希和去标识不等于完全匿名。当前不集成广告或跨 App 跟踪 SDK，不申请通讯录、定位、读取短信或设备通话状态权限；安卓美颜组件的统计另见下文。

我们按履行您请求的服务、取得的有效同意及适用法律义务处理信息；依法需要单独同意的，不以一并阅读或同意本政策替代。拒绝可选登录、云同步、美颜或相关权限，不影响与其无关的免费功能。

二、iOS／iPadOS：本机处理与系统权限

• 相机：进入拍摄时请求，用于预览和拍照；拒绝后仍可通过系统照片选择器导入。
• 麦克风：仅在启用带声音的实况拍摄时请求，记录快门前后短暂声音；拒绝后仍可拍摄静音实况和普通照片。临时动态画面与声音只在本机处理；关闭实况或离开拍摄页后停止相应录制。
• 照片选择和保存：系统照片选择器仅提供所选内容，导入不要求完整相册读取权限；手动保存或您主动开启的自动保存通过系统相册授权创建新作品。
• App 内相册：提供该功能的版本在进入相册时另行请求照片读写授权，可选择有限照片访问。按本机索引中的系统照片标识分页读取 epolar 保存的作品和缩略图，不扫描其他照片。拒绝会影响 App 内浏览，不妨碍系统选择器导入；保存按系统授予的添加权限处理。主动删除经系统确认后删除系统相册原作品，不建立独立照片备份。
• 美颜：由 Apple Vision／Core Image 在本机检测人脸位置与五官点位并完成磨皮、提亮、瘦脸。不识别身份、不建立人脸档案、不上传图像或点位。
• 安全存储：登录及 iOS 购买权益凭证使用系统安全存储；购买权益凭证用于核验与素材访问，不能登录 epolar 账号。

权限可在 iOS／iPadOS 系统设置管理或撤回；拒绝某权限只影响依赖它的功能。iCloud 照片和系统备份由您的系统设置及 Apple 规则决定，不等于 epolar 提供照片云同步。

三、Android：本机处理与系统权限

• 相机与网络：相机权限用于预览和拍照，网络用于您使用的在线功能及连接状态判断。拒绝相机不影响系统选择器导入。
• 方向传感器：仅在您同意隐私政策、授权相机并启用拍摄后，使用加速度传感器判断设备横竖方向，校正取景与保存方向。为寻找可用的加速度传感器，Android 系统接口会查询该类型的传感器列表，并在拍摄期间读取加速度数据；离开拍摄页面或应用进入后台时停止监听。原始传感器读数不持久保存、不上传，不用于广告或用户画像。拒绝相机授权、仅导入编辑照片时不启动方向传感器监听。
• 相册：当前支持 Android 10 及以上，使用系统选择器导入，用 MediaStore 保存自有作品。App 内相册按本机记录的自有作品 URI 查询，不申请广泛读取照片、视频或存储权限，不扫描其他照片。主动删除通过系统删除确认处理；主动分享只向指定接收方授予所选作品的临时读取权限。
• 麦克风：当前安卓版未申请录音权限，不录制实况声音。
• 本机数据：保存签名、偏好、相纸状态、作品标识及时间；缩略图按需使用有限缓存，不另建相册原图备份。App 配置关闭系统自动备份；系统相册作品仍由系统服务另行管理。

Google MediaPipe 美颜组件及单独同意

集成该组件的安卓版仅在您阅读提示、单独同意并启用美颜后创建组件。提供方为 Google LLC。输入图像与人脸点位在本机处理，不发送给 Google 或 epolar，不用于身份识别或建立人脸档案。

该组件会向 Google 发送性能与使用统计，可能包括应用 ID、SDK 使用与会话情况、推理次数、性能和错误信息、系统及版本、处理媒体的一般特征；还可能联系 Google 获取组件修复、模型或硬件兼容信息。统计传输涉及必要网络连接信息，可能在境外处理；媒体的一般特征不等于照片内容。epolar 不向组件提供手机号、邮箱、账号凭证或会员记录。用途为衡量使用、排查问题、维护和改进组件，详见 MediaPipe 官方隐私说明及 Google 隐私政策。提供方联系方式和权利请求途径见其隐私政策。

您可拒绝开启，不影响普通拍摄、导入或其他无关功能；可在“拍摄页 → 美颜 → 撤回美颜授权”撤回，此后不再启动新的美颜处理。撤回不自动删除第三方此前已处理的统计；可按 Google 的权利途径请求处理。此组件说明不适用于没有集成它的版本。

四、HarmonyOS：本机处理与系统权限

• 相机：进入拍摄时请求。导入使用系统照片选择器，仅访问您选定的内容；拒绝相机仍可导入。
• 相册浏览：提供 App 内相册的版本按本机保存的作品 URI 查询应用自有作品及缩略图，不申请整库图片和视频读取权限，不扫描其他照片。保存通过系统提供的新增媒体或保存控件处理，不覆盖导入源文件。
• 删除：仅在主动点击删除作品时请求 WRITE_IMAGEVIDEO 权限，经系统确认删除系统相册原作品；拒绝或取消不会删除，拒绝该权限不影响 App 内浏览、普通拍摄或导入。
• 声音：带声音的实况能力仅适用于已提供该能力并声明录音权限的安装版本，由您开启时按需请求麦克风；未启用录音权限的版本不录音。拒绝后仍可使用普通照片及版本支持的静音实况。画面和声音均在本机处理。
• 美颜与安全存储：Core Vision 进行本机人脸检测，图像和点位只作当前美颜处理，不上传、不识别身份或建立人脸档案；Asset Store 等系统安全存储保存登录资料。系统组件自身的处理遵循设备及华为相应服务说明。

当前应用清单声明相机、网络和删除作品所需的 WRITE_IMAGEVIDEO；不将本政策视为对麦克风或整库读取的授权。临时导入和渲染文件存于缓存目录，作品索引、偏好和本机签名存于应用目录；卸载或清除数据后按系统规则移除。

五、第三方服务、支付与提供信息

Apple StoreKit／App Store（仅 iOS／iPadOS）

提供方为 Apple，用于商品查询、购买、恢复与交易核验。Apple 独立处理其账号和支付数据。epolar 处理商品 ID、交易标识、环境、签名交易凭据及退款撤销状态，并保存必要核验结果或凭证哈希；明确关联购买时传送的 appAccountToken 是随机购买意图标识，不包含手机号、邮箱或照片。epolar 不取得 Apple 密码、银行卡信息或账户邮箱。详见 Apple 隐私政策。

APP支付客户端SDK（支付宝，按平台与功能提供）

开发者为支付宝(杭州)信息技术有限公司；Android SDK 包名为 com.alipay.sdk。支持支付宝 Pro 购买的 Android／HarmonyOS 版本，以及提供支付宝支持作者功能的 iOS／iPadOS、Android／HarmonyOS 版本，集成相应客户端 SDK。iOS／iPadOS 的支付宝仅用于支持作者，不用于 Pro 购买。仅当相应渠道和功能已开放且您主动选择付款时调用收银台。付款金额以购买或支持页面与支付宝收银台确认为准。支付宝及其 SDK 按相应隐私说明处理应用标识、设备标识及设备信息、网络状态、IP 地址、商品、订单、金额和支付状态，用于完成支付、安全核验及风险防控。epolar 不向支付宝提供您的手机号、邮箱、照片或签名，不取得支付密码或完整银行卡信息；服务端处理支付凭据、通知、订单归属和状态以及退款核验记录，仅在验签及主动查单通过后确认到账，Pro 购买另按相应规则授予权益，支持作者不授予或改变会员权益。未选择支付宝时不发起支付宝付款；拒绝或取消付款不影响免费功能。详见 支付宝 SDK 隐私说明。

微信OpenSDK Android（com.tencent.mm.opensdk）／iOS 微信 OpenSDK

提供方为深圳市腾讯计算机系统有限公司。在提供微信付款的版本中，仅在您主动选择微信支付或处理相应回调时调用，用于向微信传递支付订单标识并接收结果。Android SDK 收集／处理范围：应用包名、应用签名、微信安装状态、支付请求中的应用及商户标识、订单标识、支付参数与回调结果，用于识别调用应用、拉起微信支付及返回支付结果；通过客户端与微信交互传递，SDK 按其隐私政策处理提供该服务所需的信息。仅查询微信安装状态，不以此读取完整应用列表。iOS 端跨 App 通信可能通过系统剪贴板读写本次交互信息。epolar 不通过该 SDK 获取微信头像、昵称、好友或聊天记录，不将付款作为微信登录授权。详见 微信 OpenSDK 个人信息处理规则。

微信支付

提供方为财付通支付科技有限公司。开放该渠道的 Android／HarmonyOS 版本可用于 Pro 购买或支持作者，iOS／iPadOS 仅用于支持作者。财付通处理支付账号、订单、金额、交易状态及支付安全所需的设备和网络信息；epolar 传递必要订单参数，处理交易编号、验签通知与查单、退款核验结果，不取得支付密码或完整银行卡信息。Pro 须经服务端核验后授予；支持款不授予会员权益。拒绝或取消支付不影响免费功能。详见 财付通隐私政策。

阿里云短信验证码

阿里巴巴云计算（北京）有限公司提供号码认证相关服务。仅在主动请求短信验证码时，由服务端提交手机号、区号和核验所需信息，处理发送请求标识、验证码及验证结果，不发送照片或签名。App 不读取短信或自动获取手机号。详见 短信认证说明。

阿里企业邮箱验证码邮件

阿里云计算有限公司提供邮件服务。主动请求邮箱验证码时，服务端通过加密 SMTP 从 noreply@epolar.cn 向您指定的邮箱发送验证码邮件，邮件服务处理收件地址、正文和必要投递信息；不发送手机号、订单、照片或签名，不用于营销。App 不集成邮箱 SDK 或读取邮件。您的收件邮箱服务商也会处理邮件，详见 阿里邮箱隐私政策。

阿里云 ECS／RDS／OSS／CDN

作为受委托基础设施，承载本政策所述账号、交易核验、反馈、加密签名及公开应用资源。业务服务器、数据库和素材存储位于中国大陆上海地域，公开资源通过 CDN 分发，高清资源使用临时下载地址。不向这些服务上传用户照片、视频或人脸点位，签名不上传公开素材 CDN。提供方服务与联系方式见 阿里云官网。

系统组件、收件邮箱与主动分享

Apple 和鸿蒙系统组件分别用于本机拍摄、图像处理、媒体选择、保存、浏览、分享、按用户确认删除及安全存储；安卓使用对应系统组件，另使用上文单独说明的 MediaPipe。您启用的系统云备份、收件邮箱或指定分享服务按其规则独立处理内容，可能涉及境外处理；这些行为不代表 epolar 提供照片云备份。

境内业务数据库不主动迁移到境外；安卓美颜组件的统计和您主动使用的邮件、系统或分享服务可能涉及境外处理，范围及选择见上文。新增由我们开展的跨境处理时，将依法完成必要告知、同意及其他程序。除提供您请求的服务、履行适用义务或取得必要同意外，不对外提供、转让或公开披露个人信息；受委托方须采取相应保护措施。

六、保存地点、期限与删除

• 本机内容：签名、账号归属、偏好、相纸状态、作品标识及时间保存在设备，临时媒体和渲染缓存按功能清理。兼容升级可能保留本机迁移备份，旧副本可保留至清除 App 数据；不参与日常云同步。系统相册作品单独管理。
• 账号与会话：账号资料在账号存续期间保存，注销从在线业务库删除并撤销全部会话；退出撤销当前会话。登录会话默认最长 30 天，过期后由定时任务清理。
• 验证码：默认 5 分钟有效，核验成功即不能再次使用；邮箱验证码保存带密钥哈希，成功核验时清除该次邮箱投递加密值和验证码哈希。防滥用记录超过 24 小时后由每小时任务清理，正常运行时约不超过 25 小时。邮件服务和收件邮箱的邮件及投递记录按其规则保留。
• 云端签名：保留至删除同步成功或注销。删除成功后移除笔迹载荷；账号存续期间保留不含笔迹的编号和删除版本，防止离线设备恢复已删内容。关闭同步或 Pro 失效不自动删除已有副本，可联系客服申请删除。
• 订单与权益：在核验、去重、退款、争议和履行适用义务所需的最短期间保存；注销后保留的必要去标识记录不再包含手机号或邮箱，不称为完全匿名，目的结束且无其他保留依据时删除或匿名化。
• 支持作者记录：本机待确认订单在确认付款、退款或关闭后清除，独立查询凭证可继续用于后续主动支持；卸载、清除数据或系统安全存储变更可能影响本机查询能力。服务端必要交易及核验记录按付款核验、退款、争议处理和适用法定义务所需的最短期间保留，不因退出或注销 epolar 账号自动删除。您可联系客服申请查阅、复制或删除；依法仍需保留的，仅在必要范围内保留，不用于其他目的。
• 反馈、客服和安全日志：仅在处理问题、维护安全及履行适用义务所需期间保留。Android 关联账号的反馈随注销删除；匿名反馈不因注销自动删除，可单独请求删除。安全事件或法定要求需要延长时，仅在对应必要范围内保留。

备份按故障恢复和适用义务所需期限保留，恢复后继续落实已完成的删除，不以备份为继续使用已删除数据的理由。Google、Apple、华为、邮件及系统服务独立处理的信息，按其隐私声明管理期限和权利请求。

七、您的选择、权利与安全保护

您可查阅、复制、更正、补充或请求删除个人信息，撤回同意，并要求解释处理规则；符合法定条件的可申请转移。App 账号管理支持查看脱敏登录方式、绑定未占用标识、退出和注销；尚不支持自助替换标识或转移已关联购买。申请完整副本、更正、删除、无法登录或其他权利请求，请联系 support@epolar.cn，我们会及时核实并在适用法定期限内处理；仅核实必要身份，不索取密码、支付账号密码或验证码。

您可在系统设置撤回权限，在 App 关闭美颜或签名云同步。关闭同步不自动删除云端内容，关闭期间删除本机副本也不等于云端删除，可在开启同步时明确完成删除或联系客服。注销移除账号身份、会话与云端签名，不自动退款、不重新分配购买、不删除系统相册作品或未归属账号的本机签名。匿名反馈、账号注销、购买退款与本地删除分别处理。

我们使用 HTTPS、标识及反馈与云端签名加密、凭证哈希、系统安全存储、数据库私网连接、访问控制和请求频次限制等保护措施。任何系统均无法保证绝对安全；发生事件后采取补救措施，并依法通知受影响用户及主管部门。

epolar 并非专门面向儿童。未成年人应在监护人指导下使用；未满十四周岁者请勿自行提交手机号、邮箱或含个人信息的反馈。依法需要监护人同意时先取得必要同意；监护人可联系我们核实和删除未经必要同意提交的信息。

八、官网、政策更新与联系

epolar.cn 的公开介绍、更新日志及协议页面无需登录；官网不使用广告、分析脚本或跟踪 Cookie，不请求相机、麦克风或定位权限。浏览会使服务器处理必要 IP 地址、请求路径、时间、浏览器请求头及响应状态，用于传输页面、安全和排查故障；不据此建立广告画像。点击 App Store、备案查询、第三方说明或发送邮件后，由相应服务按其规则处理信息。

相纸工坊：使用邀请码进入时，服务端核验您输入的邀请码，处理邀请码编号、有效期、使用次数、会话凭证哈希及创建和过期时间，并使用 IP 地址的带密钥哈希做访问频控。浏览器保存必要的安全会话 Cookie，仅用于工坊访问校验，不用于广告跟踪；会话最长 30 天且不超过邀请码有效期，退出时撤销，过期会话按小时清理。邀请码管理记录仅在访问管理、安全和争议处理所需期间保留。工坊不要求 epolar 登录账号，导入的素材图片、预览和 ZIP 导出在浏览器本地处理，不自动上传或发布。清除 Cookie 会影响工坊登录状态，不影响 App 账号或会员；删除相关记录可联系客服。

本政策更新将标明日期与版本，涉及处理目的、方式、信息种类等重要变化时，通过 App 或其他适当方式告知；依法需要取得或重新取得同意的，在处理前取得，不以继续使用替代明确选择。系统授权、美颜组件单独同意、签名同步开启分别管理。

运营者及个人信息处理者：张峰峰。隐私联系邮箱：support@epolar.cn。