隐私政策
最后更新 2026-06-25
生效日期： 2026-06-21
本政策提供繁体中文、简体中文、英文、日文版本以方便阅读。如各语言版本有任何文字歧异，以英文版为准。
一句话总结
我们看不到你照片的内容。照片在离开你的设备前就已在本机加密，我们的服务器只会收到加密后的密文。
如果这对你重要 — 而你正是这款 app 的目标用户 — 接下来的细节展示我们如何实现这个承诺。
1. 适用范围
本政策说明 Amazingface（域名 amazingface.app，以下简称“我们”）通过 Amazingface 应用程序及其后端中继服务（relay.amazingface.app，以下简称“中继服务”）收集、使用、保护你的数据的方式。
2. 我们收集哪些数据
我们仅收集以下类别的数据，且全部都是为了让 app 能运作所必需的最小集合：
| 类别 | 内容 | 来源 | 用途 |
|---|---|---|---|
| 账号识别 | Apple 提供的匿名 Sign in with Apple subject（sub） | Apple SIWA 授权流程 | 认证你的身份、建立你的账号 |
| 设备公钥 | 你设备上产生的 Ed25519 / age 公钥 | App 自动产生 | 让其他设备加密传照片给你 |
| 加密密文 | 你上传的照片加密后的二进制数据 + envelope（加密的密钥交换） | App 在本机加密后上传 | 暂存在我们的服务器，让收件人下载 |
| 订阅状态 | 你的订阅方案（Free / Plus / Pro）、当期用量、续订日 | Apple StoreKit Server Notifications | 执行配额管理、订阅续订 |
| 交易识别码 | Apple 给的订阅与消耗品 transaction ID | Apple | 避免重复扣费（replay 防护） |
3. 我们不收集的数据
重要 — 以下数据我们完全没有，也不会收集：
- ❌ 你的照片内容（原始或缩略图） — 在离开你设备前已加密
- ❌ 你的 Apple ID 邮箱、姓名（除非你主动填在 support 邮件）
- ❌ 你的 IP 地址（仅用于 TLS 连接与即时流量限制；服务器访问日志已关闭，因此不写入日志、不存储）
- ❌ 你的位置信息
- ❌ 你的联系人
- ❌ 广告识别码（IDFA / IDFV）
- ❌ 分析数据（我们没有用 Firebase、Google Analytics、Mixpanel 等任何第三方分析）
- ❌ 崩溃报告（目前版本没接 crash reporter）
- ❌ 你和谁互相传了 AmazingDrop（我们只看得到 envelope，看不到原始照片内容；envelope 的收件人是我们系统内部的哈希 ID，不是对方真实身份）
4. 我们如何使用你的数据
仅用于下列最小必要功能：
- 验证身份：核对你的 SIWA sub，确保只有你能登录你的账号
- 暂存加密 AmazingDrop：让收件人在 24 / 48 / 72 小时内（视方案）下载
- 执行配额管理：确保你不超过订阅方案的字节额度
- 处理订阅续订：接收 Apple webhook，维持订阅状态正确
我们不会：
- 分析你的使用习惯
- 训练 AI 模型
- 将任何数据卖给或分享给广告商、数据中介
5. 第三方服务
我们仅将数据交给下列必要的第三方：
| 服务 | 收到什么 | 为什么 |
|---|---|---|
| Apple | 订阅交易信息 | App Store 规定 — IAP 资金流必须通过 Apple |
| Amazon Web Services（AWS）（我们的服务器） | 加密后的密文 + envelope（原始照片在你设备上已加密，AWS 看不到原始内容） | 中继服务运行的云端主机 |
| Let’s Encrypt（TLS 证书） | 域名 | HTTPS 连接加密 |
未来规划：我们预计将 AmazingDrop 密文存储迁移至 Cloudflare R2（零 egress fee 的对象存储），以降低成本与提升传输速度。届时 R2 仍只收到加密后密文，且我们会更新本政策版本。
我们不使用： Google Analytics、Firebase、Facebook SDK、AppsFlyer、任何广告 SDK、任何分析 SDK。
6. 数据保存期限
| 数据类型 | 保存多久 |
|---|---|
| AmazingDrop 密文（Free 用户） | 24 小时后自动删除 |
| AmazingDrop 密文（Plus 用户） | 48 小时 |
| AmazingDrop 密文（Pro 用户） | 72 小时 |
| 账号数据（SIWA sub、订阅状态） | 直到你删除账号 |
| 账号删除后备份 | 30 天后永久销毁 |
| 应用层 log（事件时间戳，不含 IP、不含请求内容） | 30 天 |
7. 你的权利
无论你在哪个国家 / 地区，我们提供以下权利：
- 访问：你可随时导出你的加密相册（本机 app 内功能）
- 删除：可在 app 内即时删除账号（设置 → AmazingDrop 身份 → 删除），或发邮件至 support@amazingface.app 申请永久删除你的服务器数据，邮件请求我们会在 30 天内处理
- 更正：你的照片在你自己设备，你直接编辑就好，我们没有副本
- 撤回同意：取消订阅即停止继续收费（通过 Apple）
对欧盟（GDPR）、加州（CCPA）、英国用户另有额外的法定权利（包括数据可携性、向监管机构申诉的权利等），适用 GDPR / CCPA 标准保障。
8. 儿童
本服务不主动针对 13 岁以下儿童。如发现我们意外收集到 13 岁以下儿童的数据，将立即删除。
9. 加密细节（技术透明度）
对技术用户，我们公开以下加密实现：
- 照片加密：每张照片以 XChaCha20-Poly1305（AEAD）加密，密钥由 Argon2id 从你的密码推导，仅存储在你的设备 Keychain
- AmazingDrop 加密：每个 AmazingDrop 用 age 格式加密，收件人设备的 X25519 公钥当作密钥交换点
- 传输：全程 TLS 1.3
- 零知识架构：服务器收到的请求只有加密 envelope + Ed25519 签名，从未持有任何明文密钥
10. 政策变更
任何重大变更，我们会在 app 内通知并更新“生效日期”。重大变更前 30 天通知。
11. 联系方式
隐私问题或数据权利请求：support@amazingface.app
我们承诺在 30 天内回复。
版本记录
- 2026-06-21：更新中继服务域名为
relay.amazingface.app、联系邮箱为support@amazingface.app；新增简体中文与日文版本。 - 2026-05-26：初版发布。