隐私政策

云星日历由云星道（深圳）传媒有限公司运营。本政策说明网站与移动应用如何处理你的信息，以及你可以如何管理相关选择。

本页为国际版（yunxingrili.com）适用文本。国际版与国内版（yunxingrili.cn）是各自独立部署的两套服务，账号与数据互不相通。

当日黄历摘要、月历与节气浏览无需注册；完整黄历详情、择吉更远日期与灵气签到等个人化功能需登录后使用。为保存主题、布局和隐私选择，浏览器会在本地存储相关偏好。

只有在你选择“同意匿名使用统计”后，我们才会在对应目的、有效同意和保留规则范围内处理第一方使用统计；撤回后停止新的可选统计与关联。当前版本未接入第三方广告、统计或推送。

第一方使用统计使用本产品私有、可重置的随机安装编号和单次会话编号，并可能记录设备类别、浏览器和操作系统家族及版本、应用版本、语言、时区、屏幕粗档位、浏览器能够提供的网络类型与质量、受控来源／活动／分享编号，以及不含正文的核心功能事件。只有浏览器明确支持并可靠返回受控设备型号时才记录该型号，否则品牌和型号保持未知；完整浏览器标识不会发送。我们不为统计采集完整网址、来源页、精确屏幕参数、提示词、聊天或日程正文、文件名，也不采集 IMEI（国际移动设备识别码）、MAC（媒体访问控制地址）或序列号等不可重置硬件标识。

为保障服务与网络安全、排查故障，服务器可能处理必要的访问和安全日志。这类记录与可选分析、用户画像和营销用途分开，仅在依法确认的必要期限内受限留存。

注册/登录为可选功能：不注册也可使用基础黄历与月历。国际版提供 Google（谷歌）账号登录与邮箱验证码登录，不提供手机号登录。

你选择谷歌登录时，我们从谷歌获取你的邮箱地址与谷歌账号唯一标识，仅用于创建与识别你的账号；不读取你的通讯录、日历或谷歌云端内容。邮箱用于登录验证、账号识别与找回。服务器保存不可直接展示的标识摘要与掩码信息，页面不展示完整邮箱。

登录后，浏览器会保存一枚仅用于维持登录状态的会话 Cookie（浏览器会话标记，使用 HttpOnly（仅服务器读取）属性，页面脚本不可读取）。你在账号中创建的日程/任务等数据与账号关联存储，用于跨设备同步。

个人资料（全部可不填）：账号里可以填昵称、头像样式、出生日期（公历）、出生时刻与性别。这五项每一项都是可选的，一项不填也能正常使用全部功能——黄历、日程、记事、签到、抽画签都不受影响；填了之后随时可以改回空。它们各自的用途是：

· 昵称与头像样式——在你的账号页、灵气流水与和阵灵（应用内的 AI 角色）对话时显示你；不填就用系统派发的默认名。头像只在站内预设图案里选，不上传照片。
· 出生日期——用于三处，各自独立：①生日助手在这一天提醒你；②起名测字功能按你的八字五行取用字；③抽画签的抽签评分——用你的生辰与当日历法信息一同换算出一个分数，决定这一次画签的呈现成色。不填这三处也各有各的走法（不提醒、按不含八字的数理算、只按当日历法信息算）。
· 出生时刻——补齐四柱中的时柱，让上面第②③两处算得更细。不知道就空着，我们按不含时柱的方式处理，并且不会声称结果是按你的生辰算出来的。
· 性别——用于起名测字按男用字／女用字取向拟名。填「其他」或留空都照常出结果，只是这一维不参与。

以上信息只用于上述功能本身，不用于广告投放、不做用户画像、不与第三方共享、不用于任何模型训练。为鼓励完善资料，填写后可在应用内领取站内灵气（站内积分，不可提现、不可转赠、不可单独购买）；不填、不领同样不影响任何功能。你可以随时在「我的 → 个人资料」逐项修改或清空，账号注销时这些信息一并删除。

信息仅用于提供服务、保存偏好、统计整体使用情况、保障网络安全和处理用户请求。

当前版本未接入第三方广告、统计或推送。国际版的站内购买由 PayPal（贝宝）处理：你在贝宝页面完成付款，我们只接收订单号、付款状态与金额，用于发放灵石与对账，不接触你的卡号或贝宝账户密码；从 Google Play（谷歌应用商店）获取的版本，其应用内购买由谷歌计费处理（以该版本实际开放为准）。支付服务商只负责完成交易与必要对账，不是获客渠道。接入或实质改变第三方处理目的前，我们会依法更新说明并在需要时重新征求同意。

人工智能功能：当你使用与阵灵（AI 角色）的对话、语音通话、图片识别等 AI 功能时（以你所用版本实际开放为准），你发送的对话文字、图片与语音转写文本会提交给 第三方 AI 服务商（阿里云的大模型服务平台）用于生成回复；为履行内容安全义务，相关内容 还会提交其内容安全检测服务做机器审核。这些内容仅用于向你提供回复与安全合规处置， 我们选用带有「不用于模型训练」承诺的服务配置。国际版的 AI 推理与内容审核在新加坡地区完成，不经过国内版实例。首次使用 AI 功能前，我们会以明确方式征得你的同意；不同意不影响 日历等其他功能的使用。

本节适用于「云星日历」移动应用；前面各节关于账号、数据与你的权利的说明同样适用。移动应用与网页版共用同一套服务端接口与同一个账号体系。移动应用的功能少于网页版，权限也更少；网页版当前用到的麦克风见下一节。

系统权限：当前版本使用三类权限。其一是网络访问权限，用于向我们的服务器请求黄历、节气与你的个人化数据；它在安卓属于普通权限，安装时即授予，不会向你弹窗，苹果系统不需要为此单独授权。从谷歌应用商店获取的版本另含谷歌计费所需的「查看网络连接状态」权限，同属普通权限，只读联网与否，不涉及你的任何数据。其二是麦克风（录音）权限及其配套的「修改音频设置」与「前台服务」，只在你第一次主动使用阵灵语音输入或语音通话时才申请，用途、时机与拒绝后果见第六节。其三是日程提醒用到的通知权限，以及为让提醒准时响所配套的「使用精确闹钟」与「接收开机完成广播」——通知权限在安卓 13 及以上系统会向你弹框，你可以拒绝，拒绝后应用内仍能看到到期列表；后两项属安卓普通权限，安装即授予、不弹框，只用于在你自己设定的时刻唤醒本应用弹出提醒，不读取任何数据，详见第六节。本版本不申请位置、相机、通讯录、相册、日历读写、电话或短信读取等其他敏感权限，也不读取国际移动设备识别码、媒体访问控制地址或序列号等不可重置的硬件标识。

本机保存的内容：应用在设备的私有存储区保存三项本地设置——你的匿名统计同意状态、你同意时对应的政策版本号，以及一枚本产品私有、随机生成、可随卸载清除的安装编号。它们只存在本机应用私有目录，其他应用无法读取；卸载应用即一并删除。

第三方软件开发工具包：当前版本未集成任何第三方软件开发工具包，不含广告、统计、推送、社交分享或应用内支付组件。今后如需集成，我们会先在本节列出名称、提供方、处理目的与所收集的信息，并在你同意隐私政策前不做初始化。

如何拒绝与撤回：应用内可随时撤回匿名统计同意，撤回后不再上报新的可选统计；不注册也可使用基础黄历与月历功能。卸载应用即清除全部本机保存内容；账号数据的导出与注销途径见「你的权利」一节。

下表列出云星日历会用到的设备权限。我们绝不在启动时打包索取——每一项都只在你主动使用对应功能时才申请，系统弹窗前会先用一页应用内说明讲清用途。标注「功能上线后适用」的，是路线图内即将提供的功能，该功能未上线前我们不会申请对应权限。

· 麦克风（录音）——用于阵灵语音输入与语音通话：录一小段话转成文字填进输入框由你过目再发，或与阵灵实时通话。录音只在当次会话中处理，不留存录音文件、不用于训练。申请时机：你第一次按住语音按钮时。不给：打字输入与全部其他功能一字不少。移动应用在通话中会切换听筒与外放并开启回声消除（安卓「修改音频设置」权限，普通权限不弹框）；通话进行中、以及五音在后台播放时，会在通知栏显示一条控制条（安卓称「前台服务」），用于让系统不中断播放或通话，并不额外采集任何数据；通话结束、播放停止即消失。（网页版与移动应用均现已启用。）

· 相机与相册——用于给日程、记事添加图片附件，以及设置头像。申请时机：你点「添加图片」或「更换头像」时，拍照与相册分别申请。不给：纯文字记事完全可用。（功能上线后适用。）

· 位置——用于按你所在地提供本地化内容：当地天气、按经纬度算准的日出日落与节气时刻，以及与地域相关的黄历宜忌呈现。申请时机：你首次使用天气或点「定位到我」时；只取所需精度，能用城市级就不要精准坐标。不给：手动选择城市即可，上述功能全部照常可用，只是精度略降。精准位置属敏感个人信息，我们会在使用当时单独征求同意，不并入本政策的总体同意。（功能上线后适用。）

· 系统日历——用于生日助手与日程提醒：把你在云星日历里设置的生日、纪念日与日程写入手机自带日历，或读取手机日历中已有的安排一并展示，避免两边各记一份。申请时机：你在设置里打开「与手机日历同步」时。不给：云星日历应用内的生日助手与日程完全可用，只是不与手机自带日历互通；你自己的生日也可以直接在「我的 → 个人资料」里手动填，不需要任何权限。（功能上线后适用。）

· 通知——用于按时提醒你设置的日程、生日与纪念日，以及你订阅的内容。申请时机：你首次设置提醒或订阅时。不给：打开应用可在提醒中心看到红点与到期列表，日程数据本身不受影响。（移动应用现已启用；网页版不提供定时提醒。例外：五音后台播放与阵灵通话期间通知栏的那条控制条不属于本项，它不需要通知权限、也不会主动打扰，见上文「麦克风」一行。）

· 闹钟与开机重排——为了让提醒准时响，移动应用会为你设的每一条提醒向系统登记一个到点闹钟（安卓「使用精确闹钟」权限），并在手机重启后把这些闹钟重新排一遍（安卓「接收开机完成广播」权限）——不重排的话，手机一重启你的提醒就会全部失效，而你不会收到任何告知。两项都是安卓的普通权限，安装即授予、不弹窗；它们只用于在你自己设定的时刻唤醒本应用弹出提醒，不读取任何数据，也不在其他时刻运行。在安卓 12 及更早的系统上我们不申请精确闹钟（那需要你专程去系统设置里授予），提醒改用系统的宽松闹钟，可能比设定时间晚几分钟，应用内会如实标注。（移动应用现已启用；网页版不适用。）

· 网络访问——用于向我们的服务器请求黄历、节气与你的个人化数据。安卓属普通权限、安装即授予，不会弹窗。（现已启用。）

我们明确不做的：不读取国际移动设备识别码、媒体访问控制地址、安卓标识等不可重置的硬件标识（设备维度只用本产品自生成、可清除的随机编号）；不读取剪切板；不收集你手机上的应用列表；不在后台或你未使用应用时静默采集；不申请短信、通话记录、读取手机状态等权限。生日助手的生日数据来自你手动录入或手机自带日历，我们不读取你的通讯录。

第三方软件开发工具包：移动应用当前版本未集成任何第三方软件开发工具包。路线图内可能接入第三方登录、支付与激励视频广告组件；在你同意本隐私政策之前，我们不会初始化任何第三方组件，并会在接入前于此处列出名称、提供方与处理目的。网页版与服务端侧涉及的第三方（短信验证码代发、支付服务商）见第四节。

撤回：所有系统权限都可以随时在手机系统设置里撤回；撤回后对应功能按上面写的降级档运行，不影响其他功能。应用内「我的 → 设置」也提供各同意项开关。

国际版业务数据存储于中国香港地区的服务器，与国内版分开部署，不回流国内版实例。我们采用访问控制、密钥服务端保存、数据库备份等措施保护信息；但互联网服务无法承诺绝对安全。

可选第一方使用事件在发生满九十天后进入清理范围，严格边界日仍保留；关闭统计（撤回同意）或账号注销时会提前删除可选事件。依法需要保留的财务、履约、安全或同意证明不适用该可选统计期限，并与画像和营销用途隔离。

为排查阵灵回答质量，服务端可能保存对话过程记录（含你与阵灵的对话原文、当时提供给模型的资料）。这类记录只用于排查与改进回答质量，保存三十天后自动删除；账号注销时随即删除。

你可以在本页撤回匿名统计同意。关闭或撤回后不再上报新的可选统计，服务端会删除旧安装编号、关联画像和统计事件，仅保留不可逆摘要墓碑（摘要、撤回状态、政策版本和时间）作为防复活证明，浏览器再清除对应安装编号；以后重新开启会使用新的随机编号，不接回旧历史。

如需查询、更正、删除已提交的信息，或投诉、咨询隐私事项，可使用账号设置中的相关入口，或通过下方联系邮箱提出。我们会在核验请求后依法处理。

账号设置已提供站内注销入口，并设七天冷静期；冷静期内重新登录可撤回申请。到期后，当前实现会墓碑化该账号的登录身份、撤销会话，并删除日程、记事、思维导图、私有收藏、聊天、对话过程记录和云空间对象等私有内容。注销步骤另有公开说明页（/account-deletion），不登录、不打开应用也能查看，也可按该页说明以邮件提出删除请求。

支付、退款、权益、举报受理和必要安全审计等记录，不承诺随账号内容同时全部删除；依法需要保留的事实仅在经确认的必要期限内受限用于存储、安全、履约、退款、对账或合规处理，并排除可选分析、画像、归因、营销和第三方使用。期限届满或留存目的消失后依法处置。

国际版不以未满十八周岁的未成年人为服务对象。监护人如发现未成年人未经同意提交了个人信息，可联系我们处理。

本政策更新分两种，处理方式不同：

· 实质变更——处理目的、处理方式或所收集的个人信息种类发生变化（例如新增一类此前从未说明的收集，或把已收集的信息用于新的目的）。我们会跳版本号，并重新征求你的同意；在你重新作出选择之前，相关处理不会进行。

· 一般更新——措辞完善、把已有用途写得更具体、修正排版与错字。我们会跳版本号并更新本页顶部的「最近更新」日期，不会再次打断你。你随时可以在本页看到当前版本号与更新日期。

无论哪一种，我们都不会以「继续使用即视为同意」来替代实质变更所需的重新同意。

运营主体：云星道（深圳）传媒有限公司

深圳实际办公地址：广东省深圳市光明区玉塘街道玉塘社区同仁路盛荟红星创智光场公寓1511

联系电话：13714484349

联系邮箱：open@yunxingdao.com