简要说明
Orbit 是由荷兰一位独立开发者制作的 iPhone 应用。你的习惯流程、步骤、连续记录、完成记录和备注都保存在你的设备上。若开启 iCloud 同步，这些数据会进入你自己的私有 iCloud 容器——我们没有任何服务器能够读取它们。
Orbit 不含广告、不做追踪、没有任何第三方追踪器，也不会请求“App 跟踪透明度”权限。不过它会发送匿名使用统计——哪些页面和功能被使用，绝不包含你写下的内容——以便我们了解 App 在哪里给人添了麻烦。你可以在 Profile → Data 中关闭。唯一的例外：如果你回答了 App 内的简短问卷（例如在免费试用即将结束时），我们会收到你选择发送的回答，包括你输入的文字。
除了这些统计，只有两项功能会把数据发送到设备之外，而且都是可选的：iCloud 同步（同步到你自己的 iCloud 账户）和好友排行榜（需你主动开启，且只包含你选择分享的内容）。购买由 Apple 处理。
1. 我们是谁（数据控制者）
Orbit 由设立于荷兰的独立应用开发者 Aron de Groot 运营。根据欧盟《通用数据保护条例》(GDPR)，我们是下文所述有限个人数据的控制者。
- 控制者：Aron de Groot，以 Groot Apps 名义经营
- 隐私联系方式：privacy@groot-apps.com
- 一般联系方式：hello@groot-apps.com
由于 Orbit 不进行大规模监控，也不处理特殊类别的数据，我们无需指定数据保护官。隐私相关问题会由开发者本人在上述地址直接处理。
2. 处理哪些数据、目的与法律依据
下表即为全部内容。未列出的内容我们不会处理。
| 数据 | 存放位置 | 目的 | 法律依据（GDPR 第6条） | 保存期限 |
|---|---|---|---|---|
| 习惯流程、步骤、日程、备注、配色、光球样式 | 你的设备；开启同步时为你的私有 iCloud 容器 | 提供你所需的应用功能 | 履行合同，第6条第1款(b) | 直到你删除或卸载应用 |
| 完成记录、连续记录、冻结额度 | 你的设备；开启同步时为你的私有 iCloud 容器 | 展示你的进度 | 履行合同，第6条第1款(b) | 直到你删除或卸载应用 |
| 应用设置（提醒时间、减弱动效、主题） | 你的设备（UserDefaults） | 记住你的偏好 | 履行合同，第6条第1款(b) | 直到你删除应用 |
| 显示名称、假名化 CloudKit 用户 ID、已分享的连续天数 | 公共 CloudKit 数据库（Apple） | 好友排行榜 | 同意，第6条第1款(a)——需主动开启 | 直到你退出排行榜或删除数据 |
| 匿名 App Store 交易 ID、收据、应用/系统版本、国家或地区 | Apple；RevenueCat（我们的处理者） | 在不同设备和重装后识别你的订阅 | 履行合同，第6条第1款(b) | 订阅存续期间，以及 Apple 依法保存的期限 |
| 崩溃与卡顿诊断（Apple MetricKit） | 仅限你的设备 | 修复你主动向我们反馈的崩溃 | 维持应用可用的正当利益，第6条第1款(f) | 设备内滚动保存，最旧的报告会自动清除 |
| 使用事件（例如“流程已开始”“付费墙已显示”）、App 版本、语言设置、安装后的天数，关联到一个随机的假名 ID | TelemetryDeck GmbH，德国（欧盟） | 了解并改进 App | 正当利益，第 6(1)(f) 条；你可随时在 Profile → Data 中提出反对 | 仅在汇总统计所需期间保留；我们的 TelemetryDeck 账户关闭时删除 |
| 你在问卷中选择发送的回答：犹豫的原因、你认为合理的价格，以及你输入的文字（例如缺少的功能） | TelemetryDeck GmbH，德国（欧盟） | 改进 Orbit 的功能和定价 | 同意，第 6(1)(a) 条；在你点按 Send 或 That's fair 之前不会发送任何内容 | 仅在处理反馈所需期间保留；你可随时要求删除 |
我们从不接收任何健康数据，Orbit 也不保存诊断或用药信息（GDPR 第9条）。只有在你允许之后，Orbit 才会存储到“健康”App：它只申请写入的 HealthKit 权限，绝不读取你的健康数据（见第3节）。
3. 永不离开设备的数据
默认情况下，你在 Orbit 中创建的一切都通过 Apple 的 SwiftData 保存在 iPhone 上应用的加密沙盒内。
- 随时段变化的配色。依据设备时钟与时区在本机计算。不请求位置权限，也不使用 GPS。
- 大致的日出与日落时间。由你的时区标识（例如
Asia/Shanghai）结合内置表推算，绝不外发。 - Siri 与快捷指令。Orbit 提供 App Intents，便于你用语音启动流程。相关处理由 iOS 在设备本机完成，我们不会收到任何内容。
- 小组件与实时活动。通过共享应用组读取同一本地存储，不发起任何网络请求。
- 拍照打卡。如果某个步骤要求拍照，照片只保存在设备上的 App 存储中，不会同步到 iCloud，也绝不会上传。
- “健康”App。在你允许之后，Orbit 会把你完成的内容写入设备上的“健康”App：体能训练、正念分钟数、心理状态（仅在你回答问题时）、刷牙、洗手和饮水。每个步骤记为什么由它的名称决定，你可以逐个步骤更改或关闭。Orbit 只申请写入权限，绝不读取你的健康数据。这些内容都不会发送给我们、我们的使用统计或 Orbit 的 iCloud 同步；只有设置本身（每个步骤存储什么）属于流程的一部分并随之同步。你可以随时在“健康”App 中撤回权限。
4. iCloud 同步（可选）
开启后，Orbit 会把数据存入其 CloudKit 容器的私有数据库，位于你自己的 iCloud 账户内。这与 Apple 的“备忘录”和“提醒事项”所用机制相同，Apple 会在传输中与静态存储时进行加密。
我们没有服务器、没有管理后台，也没有任何凭据可以读取你的私有容器。就 iCloud 账户而言，Apple 是独立的控制者；参见 Apple 隐私政策。
你可以在 Orbit 内关闭同步，或在设置 →［你的姓名］→ iCloud → 使用 iCloud 的 App 中彻底撤销。
5. 好友排行榜（需主动开启）
排行榜默认关闭，只有在你生成邀请链接或接受邀请时才会启用。届时以下内容会写入公共 CloudKit 数据库，持有邀请的人可以查看：
- 一个假名标识符——Apple 的匿名 CloudKit 用户记录 ID。它不是你的 Apple 账户，也不是电子邮件地址，我们无法据此追溯到你。
- 由你自行选择的显示名称，可随时修改或清空。
- 你明确分享的那条流程的连续天数。
完成时间、步骤内容、备注和日程从不会被分享。退出排行榜即会从公共数据库中移除你的记录行。由于显示名称可自由填写，如果你不希望被其他成员识别，请不要使用真实全名。
法律依据是你的同意（GDPR 第6条第1款(a)）。你可以随时退出排行榜以撤回同意，这不会影响应用的其他部分。
6. 订阅与付款
所有购买均通过 Apple 的 App Store 与 StoreKit 完成。我们绝不会看到你的银行卡信息、账单地址或 Apple 账户邮箱。Apple 是销售方，并就支付数据担任独立控制者。
为了在重装后和其他设备上识别你的订阅，Orbit 使用 RevenueCat, Inc. 作为按我们指示行事的处理者。RevenueCat 会收到匿名应用用户 ID、你购买的 App Store 交易数据，以及其 SDK 发送的标准技术元数据（应用版本、系统版本、国家或地区、设备型号）。
RevenueCat 还会收到几项与你如何设置 App 相关的非个人属性——你选择的流程类型、光球样式和 App 版本——以便我们了解哪些设置能让人坚持使用 Orbit。
RevenueCat 设立于美国。相关传输依据欧盟委员会标准合同条款，并结合 RevenueCat 文档所述的技术措施。
7. 通知
流程提醒由你的设备通过 Apple 的 UserNotifications 框架在本机安排。Orbit 不运行推送服务器，也不会发送针对你个人的远程推送。你可以随时在 iOS 设置中撤销通知权限。如果你开始免费试用，Orbit 还可能在试用转为付费订阅前一到两天安排一条本机提醒。
8. 崩溃诊断
Orbit 使用 Apple 的 MetricKit 在事后接收来自 iOS 的崩溃与卡顿报告。这些报告写入应用自身存储，保存在你的设备上并自动清理，不会被上传。如果你愿意帮助我们修复崩溃，可以自行导出并通过邮件发送。
Orbit 不包含 Crashlytics、Sentry 等任何第三方崩溃报告 SDK。
9. 无追踪、无广告、尊重隐私的统计
- 不使用广告标识符（IDFA），因此也不会出现 App Tracking Transparency 弹窗。
- 没有广告 SDK、广告网络，也没有归因或安装来源服务。
- Orbit 会将匿名使用统计发送给 TelemetryDeck GmbH——一家总部位于德国、数据存储在欧盟境内的分析服务商。每个事件包含事件名称（例如“流程已完成”）、若干数字（如时长）、App 版本、你的语言设置，以及一个假名 ID——即 RevenueCat 分配的随机客户 ID，不是你的姓名、电子邮件地址或 Apple 账户。我们绝不发送流程名称、步骤名称、备注、照片或你在排行榜上的显示名称。你可以随时在 Profile → Data → Share anonymous usage data 中关闭统计；关闭后，App 会删除所有尚未发送的事件。我们收到的唯一文字，是你在问卷中输入并选择发送的内容；请不要在其中填写个人信息。
- 不做设备指纹识别、跨应用或跨站点追踪，不向数据经纪商提供数据，不进行画像，也不进行 GDPR 第22条意义上的自动化决策。
- 我们绝不出售或共享个人数据，包括《加州消费者隐私法》或类似法律赋予这些词语的含义。
10. 还有谁参与其中
| 主体 | 角色 | 获得的内容 | 所在地 |
|---|---|---|---|
| Apple Inc. / Apple Distribution International | 独立控制者 | App Store 购买与账户数据；你的 iCloud 容器内容（已加密，我们无法访问） | 爱尔兰、美国 |
| RevenueCat, Inc. | 处理者 | 匿名应用用户 ID、交易数据、SDK 元数据 | 美国 |
| TelemetryDeck GmbH | 受托处理者 | 假名化的使用事件，以及你选择发送的问卷回答 | 德国（欧盟） |
这就是完整名单。没有其他接收方、关联公司或广告伙伴。我们也不会向其他第三国传输个人数据。若将来引入新的处理者，我们会先更新此表。
11. 数据保存多久
- 设备内的数据在应用安装期间一直保留，删除应用即被清除。
- iCloud 中的数据会保留在你的账户中，直到你在应用内删除，或在 iCloud 设置中移除 Orbit 的数据。
- 排行榜记录会在你退出排行榜或在应用内删除数据时移除。
- 购买记录由 Apple 与 RevenueCat 依税务与会计法规要求保存——在荷兰为七年。
- 使用统计仅在汇总统计所需的期间内由 TelemetryDeck 保存，并在我们的 TelemetryDeck 账户关闭时删除。
12. 安全
Orbit 完全依赖 Apple 自有的存储与传输机制：加密的应用沙盒、CloudKit，以及所有离开设备的通信均使用 TLS。我们不会在该沙盒之外以明文写入数据，也不运行任何可能被攻破的自有服务器。
若发生可能危及你权利与自由的个人数据泄露，我们将在 72 小时内向荷兰数据保护监管机构报告，并在法律要求时直接通知你。
13. 你的权利
根据 GDPR——英国 GDPR、瑞士数据保护法、巴西 LGPD 以及加利福尼亚、科罗拉多、康涅狄格、弗吉尼亚等美国各州法律亦有同等权利——你有权：
- 访问你的数据。大部分内容已在你的设备上；打开应用，或使用 设置 → 数据 → 导出 获取 JSON 文件。
- 更正不准确之处——所有内容都可在应用内直接编辑。
- 删除你的数据：设置 → 数据 → 全部删除，或直接删除应用。
- 对基于正当利益的处理提出限制或反对。
- 数据可携——JSON 导出为机器可读格式，归你所有。
- 随时撤回对 iCloud 同步或排行榜的同意，且在应用内不会因此受到任何限制。
- 向监管机构投诉。
由于 Orbit 的设计使我们几乎不掌握你的任何信息，多数请求你都可以在几秒内自行完成。需要我们协助时，请发送邮件至 privacy@groot-apps.com，我们会依 GDPR 第12条第3款在一个月内回复。行使权利免费，我们也不会因此区别对待任何人。
荷兰的监管机构为 Autoriteit Persoonsgegevens。你也可以向自己所在欧盟国家的监管机构投诉。
14. 儿童
Orbit 并非面向 13 岁以下儿童，我们也不会有意收集他们的个人数据。若当地法律规定的数字同意年龄更高（部分欧盟国家为 16 岁），则以该年龄为准。
如果你是家长或监护人，并认为有儿童通过排行榜提供了个人数据，请联系我们，我们会尽快删除。Orbit 通过不参与 Apple 的儿童类别来遵守其相关规则，并且完全不含第三方广告。
15. 各国家和地区信息
英国
适用英国 GDPR 与 2018 年《数据保护法》。投诉可提交至 Information Commissioner's Office（ico.org.uk）。
瑞士
修订后的联邦数据保护法（revFADP）作为补充适用，监管机构为 FDPIC。
加利福尼亚州及美国其他各州
我们不出售也不共享个人信息，过去十二个月内亦未发生。除 CPRA §7027(m) 允许的目的外，我们不会使用或披露敏感个人信息。加州居民享有知情权、删除权、更正权以及拒绝出售或共享的权利（后者在此没有适用对象）。科罗拉多、康涅狄格、弗吉尼亚、犹他、得克萨斯、俄勒冈、蒙大拿等州居民享有同等权利，可在同一联系地址行使。
加拿大
适用 PIPEDA。可向加拿大隐私专员公署投诉；魁北克居民另享有第 25 号法律赋予的权利。
巴西
适用 LGPD。依据为合同履行（第7条第II项）以及排行榜的同意（第7条第I项），监管机构为 ANPD。
日本
适用《个人信息保护法》(APPI)。使用目的见第 2 节；除第 10 节列明的处理者外，我们不会向第三方提供个人数据。
韩国
依据 PIPA，收集项目见第 2 节，使用目的同节，保存期限见第 11 节。你可以拒绝排行榜的同意，应用其余部分仍可完整使用。
澳大利亚
适用 1988 年《隐私法》及澳大利亚隐私原则。投诉可提交至 OAIC。
印度
2023 年《数字个人数据保护法》适用于印度用户。可通过第 1 节的联系方式行使数据主体权利。
土耳其
适用 KVKK（第 6698 号法律）。第 11 条项下的请求请发送至第 1 节的联系方式。
中国内地
Orbit 未在中国内地 App Store 发行，也不在中国内地处理个人数据。本中文版本仅供中国内地以外的读者阅读参考。
16. 本政策的变更
若我们实质性改变 Orbit 处理个人数据的方式，将更新本页顶部的日期，并在法律要求时于变更生效前在应用内提示。此前版本可应要求提供。
17. 联系
如有疑问、删除请求或其他顾虑：privacy@groot-apps.com。