留影隐私政策

1. 本政策适用于谁、由谁负责

留影手机应用（下称「留影」）与本站 liuying.lenscript.cn 由 光子方程 Lenscript（独立开发者团队，下称「我们」）开发与运营；这与 Lenscript 家族其它产品（lenscript.cn、掌镜 Zlens、拍搭 paida）在其服务条款与隐私政策中公示的运营主体是同一个。我们是本政策所述个人信息的处理者。

联系方式：隐私与权利请求邮箱 donaldkuke@gmail.com（有人值守）；中文用户也可加入 QQ 交流群 824558022；其它渠道与常见问题见支持页。

用于应用商店登记的书面联系方式：donaldkuke@gmail.com（光子方程 Lenscript，独立开发者团队）。

本政策适用于留影应用与本站。留影没有账号体系，也没有服务端用户档案：应用本身不向我们的服务器发送任何数据，因此本政策中由我们实际持有的信息，只有本站的访问日志、你主动发给我们的邮件，以及你选择通过主站支持表单提交的内容。

2. 留影在你的手机上处理哪些信息

为了在你的设备上找出重复照片、连拍相似组、清晰度候选、截图与聊天缓存图和大视频，并让你自行决定保留或删除，留影在你授权后处理：

• 你授权访问的照片和视频的缩略图（最大边 512 像素）及必要元数据：本地资产标识、类型、拍摄时间、尺寸、文件大小、时长、截图与实况标记、来源提示；
• 由本机计算得到的哈希、视觉描述符、清晰度与模糊程度、曝光、眼睛状态、分类、分组结果和推荐理由；
• 你作出的保留 / 待删决定、索引进度，以及安全的失败与重试记录；
• 你最后一次已授权的相册权限状态；
• 在买断流程中，本机 entitlement（是否已买断）与用于确认和恢复购买的交易标识：iOS 为已处理的 StoreKit 交易标识，Android 为由 Google Play 购买令牌单向派生的标识（不保存令牌本身）。

这些信息只用于本机的相册索引、分组、显示、撤销、系统删除确认、故障恢复，以及买断的确认与恢复。不用于广告、用户画像、云备份、社交功能、统计分析或崩溃上报。

与人脸有关的处理只发生在本机：iOS 在系统能力支持并经验证时使用眼睛状态等信号辅助挑片；Android 当前的人脸检测不作睁眼判断。相关处理只用于辅助清晰度或眼睛状态：不做身份识别、不建立人脸库、不保存人脸特征。

3. 本机存储、保留与删除

索引、分组、决定、失败记录、权限状态和本机买断状态保存在你设备上留影的应用沙盒数据库中。缩略图不作为数据库内容保存；原始照片与视频的字节不会通过应用的跨语言通道传输。

当系统通知某个媒体项目已被移除时，留影会清除与该项目关联的本地索引、待删决定和失败记录。你撤销某项待删决定时，相应的本地决定会被删除。

本地索引只保存在这台设备上，你随时可以把它清除：

• 在设置页点「重新索引」：清空已有的媒体索引、分组与失败记录后重新扫描（你已作出的保留 / 待删决定会保留）；
• 在系统设置中清除留影的应用数据，或卸载留影：索引库与决定随应用沙盒一起移除。

你可以在系统设置中随时改变或撤销相册授权。授权被拒绝或撤回后，留影不再读取未获授权的媒体；此前已写入的本地索引条目仍留在设备上的应用沙盒里，直到你用上面任一方式清除它——这些条目始终没有离开你的设备。

留影不在云端保存任何副本。Android 版已通过应用配置排除系统自动备份与设备间迁移；该配置仍需随最终发布候选核验。iOS 上如果开启了 iCloud 备份，应用沙盒数据是否被纳入备份、以及重装后是否被还原，由操作系统与你的备份设置决定，不由留影控制。留影自身既不上传也不读取任何云端副本。

留影没有账号或服务端用户档案，因此没有账号创建、登录或「账户删除」流程；账户删除在当前版本不适用。

4. 为什么说「不上传」，以及系统与第三方的边界

照片分析、缩略图、索引和待删决定在设备本地处理，留影不会把这些信息上传到由我们控制的服务器。这一点你可以自行核验：

• Android 正式发布版本的清单不声明 INTERNET 权限（可在系统的应用信息页或用 adb shell dumpsys package 查看已安装包的权限列表）；
• iOS 构建不包含留影自身的网络调用，也没有 App Transport Security 例外；
• 你也可以在手机上设置 HTTPS 代理抓包，观察留影运行期间是否有自有请求。

这个承诺说的是留影自己不联网，它不代表你设备上的所有系统或第三方进程都没有网络活动：

• iOS 内购由 Apple 的 StoreKit 系统能力完成，Apple 对交易数据的处理适用其自身条款与隐私政策；我们不设自有收据服务器。
• Android 内购由 Google Play 结算系统完成：购买在你设备上的 Google Play 商店应用中进行，Google 对交易数据的处理适用其自身条款与隐私政策；我们不设自有收据服务器，也看不到你的支付方式。
• 你主动在 Android 上预览视频时，留影会把该视频的本机 content:// 地址和临时只读访问授权交给系统或你已安装的播放器。该播放器独立于留影，其网络与隐私行为由其提供者负责；留影不会为此上传视频或下载播放器。
• 你点击隐私政策或支持链接时，由系统浏览器访问该网页；浏览器与网页运营者的处理适用各自政策。

留影当前使用的第三方组件只有 Flutter、sqflite、path_provider，以及 Android 侧的两个 Google 库：用于后台续扫的 AndroidX WorkManager（Jetpack 库；留影不使用它的网络约束，清单也已移除网络状态权限），和用于应用内购买的 Google Play Billing Library（它附带的 Google 日志传输组件需要联网权限才能发送数据，而 Android 正式版本不声明 INTERNET，所以它无法从留影发出任何数据）。相关的人脸信号使用系统能力：Android 的 android.media.FaceDetector 当前只提供人脸位置等信号，不作睁眼判断；iOS 使用 Apple 的 Vision 框架在支持并经验证时辅助眼睛状态判断（均为系统能力，非第三方 SDK，不联网）。应用内没有广告、统计、崩溃上报或云存储 SDK。

5. 权限与删除操作

我们只在相册整理功能需要时请求相册读取权限。你可以选择完整访问、有限 / 部分访问或拒绝；选择有限访问时，留影只能整理系统授权给它的项目，并在界面上明确提示。

为了让索引能在你切到后台时继续，Android 版本还包含由 WorkManager 库带入的后台任务相关系统权限。为了通过 Google Play 购买完整版，Android 版本还包含 Google Play 结算权限（com.android.vending.BILLING），它只允许留影与你设备上的 Google Play 商店应用通信，不是联网权限。正式版本的完整权限清单以应用商店页面与系统设置里显示的为准。

留影不会自动删除任何照片或视频。你先在应用中形成待删清单，随后由系统显示确认对话框：iOS 使用系统「最近删除」，Android 使用系统回收站。可恢复的期限由系统与版本决定，我们不承诺固定天数。

6. 一次买断与免费额度（iOS 与 Android）

留影在 iOS 与 Android 上分别提供相同类型的一次性、非消耗型买断（完整版）与恢复购买；不提供订阅、自动续费或消耗型商品。价格以 App Store 或 Google Play 购买页显示的为准。为了在本机确认与恢复买断，留影会保存本机 entitlement 与已处理的交易标识。

免费额度：留影可访问的照片（有限授权时只计你允许的照片，视频不计入）不超过 2000 张时，整理与删除全部免费。超过 2000 张时，你仍可扫描并查看全部分析结果，符合试用资格且尚未使用时，还可体验一次最多 100 项的整理任务；其余整理与删除需要买断解锁。免费额度按相册大小判断，不会被「用掉」，也不会被收回。

已成功保存在本机的买断，不会因之后 StoreKit 或 Google Play 的退款、撤销状态被留影主动撤回；在新设备或重装后，只能在原购买平台用对应的 Apple 账户或 Google 账号恢复，不跨平台同步或通兑。恢复以该商店账号当前有效的购买为准。付款全程由 Apple 或 Google Play 完成，我们既不接触也不保存你的支付方式、卡号或账单地址。

Android 正在内部测试，iOS 尚未公开提供；以上是拟发布版本的规则，实际可购买状态以对应商店页面为准。

iOS 版适用 Apple 的标准最终用户许可协议（Licensed Application EULA）；Android 版的购买适用 Google Play 服务条款。留影没有另行制定的服务条款。

7. 官网（liuying.lenscript.cn）收集什么

浏览本站不需要账号。本站是纯静态页面，收集的信息只有：

• 服务器访问日志：IP 地址、访问时间、请求路径、浏览器标识（User-Agent）、来源页。用于排查故障与防御攻击，按体积滚动保存，最长保留 30 天后自动覆盖。
• 内容分发：本站经 Cloudflare 提供 CDN 与安全防护，Cloudflare 会在传输过程中处理你的 IP 与请求头，详见其隐私政策。
• Cloudflare 可能注入的脚本：我们自己不在页面里放任何第三方分析、广告或社交插件，也不设追踪 Cookie。但本站经 Cloudflare CDN 分发，Cloudflare 可能在边缘向页面注入它自己的脚本——目前可以看到的是邮箱地址混淆脚本（/cdn-cgi/scripts/…/email-decode.min.js）；当其 Web Analytics 打开「自动注入」时，还会注入性能统计脚本（static.cloudflareinsights.com/beacon.min.js）。该脚本不由我们配置、不设置 Cookie、不用于广告或跨站追踪，只向 Cloudflare 报告页面性能与访问计数，其处理适用 Cloudflare 的隐私政策；你也可以用浏览器的拦截扩展阻止它。
• 你主动发来的邮件：页面上的联系入口只是打开你自己的邮件应用；我们收到的就是你发出的那封信，仅用于回复和你要求的用途。
• 主站支持表单：如果你改用 Lenscript 主站的支持请求表单，你填写的内容由主站接收和处理，适用 lenscript.cn 隐私政策中关于支持请求的说明。

8. 对外提供、委托、跨境与数据存放地点

除上文所述由系统或平台能力（iOS 的 StoreKit、Android 的 Google Play 结算）、系统浏览器或你主动选择的外部视频播放器处理外，留影不向我们控制的服务器上传或对外提供你的照片、视频、缩略图、索引、决定、失败记录或本机 entitlement。我们当前版本不使用广告、分析、崩溃上报或云存储 SDK。

本站（liuying.lenscript.cn）的服务器位于中华人民共和国境内，并经 Cloudflare 提供 CDN 与安全防护，因而你的 IP 与请求头会在传输过程中被 Cloudflare 的全球节点处理；Cloudflare 在边缘注入的脚本（见上一节）同样由 Cloudflare 在境外处理。你发给我们的邮件保存在我们使用的邮件服务商处。除此之外，没有其它跨境处理。

如果未来增加任何会改变数据处理、第三方 SDK、网络传输、账号或跨境处理的功能，我们会先更新本政策、应用内说明和相应的商店披露，并在适用时取得所需同意；在此之前不会把新功能作为本版本的一部分。

9. 未成年人

留影面向 14 周岁及以上用户（或你所在地法律要求的最低年龄），不面向儿童设计。Lenscript 家族其它产品各自声明适用年龄，以各自的隐私政策为准（例如光轴脚本 LCT 应用为 18 周岁及以上）。我们不会在知情的情况下收集 14 周岁以下儿童的个人信息——留影没有账号、不收集联系方式，应用本身也不向我们发送任何数据。各应用商店上显示的年龄分级以对应商店页面为准。

无论在哪个年龄档，留影在本机的处理方式不变：不建立账号、不收集联系方式、不做画像或定向推送。若你是监护人并对孩子使用留影有疑问，请通过支持页联系我们，或来信 donaldkuke@gmail.com。

10. 你的权利

依据《个人信息保护法》及你所在地可能适用的法律（如 GDPR、CCPA），你可以查阅、复制、更正、删除我们持有的关于你的个人信息，撤回同意，获取副本，并向所在地监管机构投诉。

就留影而言，这些权利的实际落点是：

• 应用在本机产生的数据：完全由你控制。你可以在系统设置里改变或撤销相册授权、用设置页的「重新索引」清空索引，或清除留影的应用数据、卸载留影。我们无法查看、导出或删除你手机上的这些内容，因为它从未离开你的设备。
• 本站访问日志：按体积滚动保存，最长 30 天后自动覆盖，我们不会用它识别个人身份。
• 你发给我们的邮件：只用于答复你和你要求的用途；你随时可以来信要求删除。

行使权利请发邮件至 donaldkuke@gmail.com，我们会在 15 个工作日内答复。这些请求不收费，除非明显重复或无理。

11. 政策的变更

我们会在本页直接更新本政策并修改页首日期。涉及收集范围、用途或第三方共享的实质变更，会至少提前 15 天在本页、应用内或通过邮件通知。历史版本可来信索取。当前版本地址：https://liuying.lenscript.cn/privacy/。

12. 联系我们

隐私问题、权利请求、数据导出或删除：donaldkuke@gmail.com（此邮箱有人值守）。中文用户也可加入 QQ 交流群 824558022。我们会在 15 个工作日内答复。