Anchor隐私政策
1. 简介
本隐私政策说明了由 kiyen 开发的 Anchor（以下简称"Anchor"或"我们"）在你使用 Anchor 移动应用（"本应用"）时如何处理相关信息。本政策适用于所有受支持的语言和平台。
Anchor 的设计理念是本地优先：本应用不需要账号，也没有任何由 Anchor 运营、存储你个人数据的服务器。本应用几乎所有功能都直接在你的设备上运行。本政策将准确说明本应用会访问哪些数据、原因是什么，以及极少数信息会离开你设备的情况。
2. 无需账号
Anchor 无需注册、登录或创建账号即可完整使用。我们的服务器上没有任何与你身份绑定的用户名、密码或个人资料——因为我们根本没有运营任何存储应用数据的服务器。其他场合（应用商店、评论）中提到的"你的 Anchor 账号"，仅指你用于购买的 Google Play 账号，并非 Anchor 专属账号。
由于不存在账号，也就没有"删除我的账号"这一流程需要说明——关于你的数据相关权利具体如何行使，请参见第 8 节。
3. 我们存储哪些数据，存储在何处
你在本应用中创建的所有配置和活动数据——包括屏蔽配置、被屏蔽的应用/网站、屏蔽规则与时间表、会话历史记录，以及专注度统计——都仅存储在你的设备上，保存在本地加密或应用私有的数据库中。这些数据都不会上传给我们，因为我们根本没有可以上传的地方。
具体而言，这包括：
- 你配置的屏蔽配置文件、被屏蔽目标（应用、网站、关键词），以及屏蔽规则/时间表。
- 你为每个方案（Hold、Earn、Seal）设置的严格度参数——例如延迟时长、访问时间窗口和绕过令牌数量。
- 会话状态（Quick Blocking、番茄钟、Lock Me Out）以及你的 Guard Mode 配置（受保护的方案、生效日期、关闭方式及任何计时器），包括你所设置密码的安全哈希副本——绝不会以明文形式存储密码本身。
- 你编写的自定义屏蔽页面信息，以及你选择的自定义背景图片（缩小后的副本会私密地保存在你的设备上）。
- 用于驱动应用内 Analytics 标签页的本地使用统计数据：你使用了哪些应用和网站、使用了多久，你解锁或拿起设备的次数，你最长的一次使用时长，你收到的通知数量（每条仅与其时间和发布该通知的应用名称一并保存——绝不包含标题、文本或其他内容），拿起手机后你首先打开哪个应用以及在哪些应用之间切换，以及你已完成的 Quick Blocking 和番茄钟会话的时长。 为了展示长期趋势，Anchor 还会保存这些数据的精简每日摘要（见第 4 节）。成人网站默认不计入网站统计，你可以在 设置 → 数据与隐私 中关闭此选项。同样的排除也适用于每日摘要。
- 屏蔽事件与绕过尝试的记录，仅用于计算你的本地连续记录（streak）和 Analytics 标签页中显示的洞察。
- 主屏幕小组件（小型分析视图和 Quick Blocking 控制）以及可选的使用提醒通知（例如“你今天已在此应用上花了 N 分钟”）均由上述数据在你的设备上生成，绝不会发送到任何地方。
如果你使用本应用的备份功能，它会在你的设备上（或你选择保存/分享的任何位置）创建一个本地文件——该文件完全由你创建和控制，并被特意设计为不包含你的使用统计数据、绕过记录，以及任何账号/购买信息。
4. 数据保留
详细的 Analytics 数据——应用使用会话、屏幕解锁、拿起设备以及通知记录——会在 120 天后自动删除，网站使用记录则在 35 天后删除。为了展示长期趋势，Anchor 还会保存最长 365 天的精简每日摘要（每天包括：总计、你使用的应用及其时长和打开次数、你花费时间最多的网站、按小时的总计，以及你首先打开、在其间切换、返回或收到其通知的应用的次数）；其中不含时间戳或内容。绕过记录和拦截界面历史会在 365 天后删除。你可以随时在 设置 → 数据与隐私 中自行删除任意过去日期范围的历史记录（无法删除今天的数据，因为使用限额依赖这些数据）。你的屏蔽配置文件、规则和设置将一直保留，直到你自行删除或卸载本应用。由于 Anchor 已禁用 Android 应用备份设置，卸载本应用会将这些数据彻底清除——无论是我们还是 Android 自身的备份系统，都不会保留任何后续数据。
5. 我们请求的权限，及其确切用途
Anchor 会请求若干特殊（"受限"）Android 权限，因为其核心目的——屏蔽让人分心的应用和网站——需要与操作系统进行深度集成。我们只会在某项功能确实需要时才请求相应权限，并且会在你授权前说明每项权限的具体用途。
无障碍服务（Accessibility Service）
这是 Anchor 的主要屏蔽机制。授予该权限后，本应用可以检测：
- 当前处于前台的应用，以便当其与你选择屏蔽的内容匹配时，Anchor 可以显示屏蔽界面。
- 浏览器地址栏中的文本（针对受支持的浏览器），以便 Anchor 可以屏蔽你配置的特定网站，而不仅仅是整个浏览器应用。
- 在 Lock Me Out 会话期间，同一服务使 Anchor 能够显示全屏锁定覆盖层，并关闭通知栏、最近任务界面和电源菜单，以免会话被绕过。只有紧急呼叫按钮和手机拨号器仍可使用。为此目的，它不会读取其他任何内容。
这项检测完全在你的设备本地实时进行，方式是将屏幕上显示的内容与你配置的屏蔽列表进行比对。任何数据都不会被发送到任何地方、被永久记录，或被发送给我们。Anchor 不会使用此权限读取你的消息、邮件、照片或任何其他应用的内容——仅会读取当前前台应用的身份信息，以及（针对浏览器）地址栏文本。Anchor 的主要目的是屏蔽应用/网站，而非面向残障人士的无障碍辅助，因此我们并不将自己定位为辅助技术意义上的"无障碍工具"——我们使用这一 Android API，是因为它是可靠检测前台应用及浏览器活动以实现屏蔽功能的唯一方式。其他应用内嵌的浏览器（例如社交应用内置的浏览器）以及注重隐私的浏览器（如 Tor）均无法被此功能读取。
在请求此权限之前，本应用会显示专门的说明界面，准确说明将访问哪些内容、如何使用，以及不会共享任何数据——并会在你被引导至设备设置之前，征求你的明确同意。
使用情况访问权限（Usage Access）
用于将本应用自身的本地使用情况记录，与 Android 系统级使用统计数据进行交叉核对，以提高准确性。这些数据仅保留在你的设备上，仅用于驱动第 3 节所述的 Analytics 标签页。
位置信息（包括后台位置）与 Wi-Fi
Anchor 出于两个具体目的请求位置权限，均为可选，且仅在相关场景下才会请求：
- 读取你的 Wi-Fi 网络名称（SSID）——这是 Android 系统自身（自 Android 9 起）的要求，是读取 Wi-Fi 信息的附带结果，仅在你设置了基于 Wi-Fi 的屏蔽规则时才会用到。
- 基于位置（"地理围栏"）的屏蔽规则——如果你选择创建一条根据你的位置来开启或关闭屏蔽的规则（例如"除了在家以外都屏蔽社交媒体"），Anchor 需要监测你的位置信息，包括在后台运行时，以确保即便未打开本应用，该规则也能持续生效。此权限仅在你添加基于位置的规则时才会请求，绝不会提前请求。
在请求后台位置权限之前，本应用会显示专门的披露界面（格式与上文的无障碍服务披露相同），说明将访问哪些内容，以及数据绝不会被发送到任何地方。所有位置信息处理均在你的设备本地完成。
在其他应用上层显示
用于在检测到被屏蔽的应用或网站时，显示屏蔽覆盖界面。
设备管理员（Guard Mode）
如果你启用 Guard Mode，Anchor 会请求成为设备管理员，其唯一目的是在 Guard Mode 激活期间防止本应用被卸载，作为你自愿选择启用的一项"防自我破坏"措施。关闭 Guard Mode 时会撤销该权限。此权限的范围被严格限定，除了这一防卸载保护之外，并不会赋予 Anchor 擦除、锁定或以其他方式控制你设备的能力。
相机与 NFC（Guard Mode 解锁）
如果你选择二维码或 NFC 标签作为关闭 Guard Mode 的方式，Anchor 仅使用相机扫描该码，并且只在你轻触时读取 NFC 标签的 ID。不会录制、拍摄或向任何地方发送任何内容。你的设备上只保存该码或标签 ID 的加盐单向哈希，且不包含在备份中。仅在你进行此设置时才会请求相机权限，不授予也可以使用 Anchor。
通知访问权限
仅用于按包名（即通知来自哪个应用）检测通知，以便 Anchor 清除来自你所屏蔽应用的通知或在 Quick Blocking 会话期间清除通知，并在设备上统计你收到的通知数量。Anchor 不会读取你通知的文本或内容，在设备上统计数量时，仅保存每条通知的时间和发布该通知的应用名称。
其他权限（低敏感度）
电池优化豁免、精确闹钟、开机自启、唤醒锁（wake lock）以及前台服务等权限，仅用于确保屏蔽引擎能在后台稳定运行，与访问个人数据无关。存储/媒体权限仅在你选择保存所生成的连续记录或每日平均"分享卡片"图片到设备相册时才会用到。
Anchor 还会读取你设备上已安装的应用列表，以便你选择要屏蔽的内容；如果你开启 Premium 的"自动屏蔽新应用"选项，则用于发现新安装的应用。该列表仅在你的设备上使用，绝不会传输到任何地方。
6. 第三方服务
由于 Anchor 没有自己的后端服务器，任何信息离开你设备的唯一途径就是以下这些第三方服务。
- Google（网站图标查询）：当你添加要屏蔽的网站时，Anchor 会从 Google 的公共网站图标服务请求该网站的图标，这必然会发送你所输入的域名。除此之外不会发送任何其他信息。
- Clearbit（域名自动补全）：在你输入要屏蔽的网站地址时，Anchor 可能会将你已输入的部分文本发送给 Clearbit 的自动补全服务，以建议匹配的域名。
- RevenueCat：负责管理 Anchor 的订阅与应用内购买。RevenueCat 仅通过匿名的、基于设备的购买 ID 识别你——而非姓名、邮箱，或任何 Anchor 账号，因为本来就不存在这样的账号。有关他们如何处理这些数据的详情，请参阅 RevenueCat 自己的隐私政策。
- Google AdMob：Anchor 会向免费用户展示广告（Premium 订阅用户不显示广告）。AdMob 可能会收集广告标识符及其他数据，用于投放和衡量广告效果。如果你位于欧洲经济区或英国，Anchor 会在进行任何广告个性化设置之前，通过 Google 的用户信息平台（User Messaging Platform）显示征求同意的表单，以符合 GDPR 的相关要求。免费版广告包括部分拦截和等待界面上的横幅广告，以及获得临时访问权限后展示的全屏广告。
- 成人内容过滤器：Anchor 的成人内容屏蔽功能完全在你的设备上检查网站，使用随本应用一同打包的过滤器——你访问或尝试访问的任何网站都绝不会被发送到任何地方，也不会与外部服务器进行核对。为了在应用更新之间保持该过滤器的屏蔽网站列表为最新，Anchor 会定期（大约每周一次）在后台下载该过滤器文件的更新副本。此下载不包含任何关于你本人或你浏览活动的信息——它只是对一份公开列表的单向获取，与任何垃圾邮件或广告屏蔽列表的更新方式相同。
除上述内容外，我们不使用任何分析、崩溃报告或广告追踪 SDK——特别是，本应用中并未集成 Firebase、Sentry、Mixpanel 或类似的第三方分析服务。
Issue reports (optional, English text)
If you choose to report an issue (Settings → About → Report an issue opens the report page on our website), what you type there is sent to our server and stored in a database hosted by Supabase; the website is hosted by Vercel. A report contains your description and answers, optional phone and app details, up to 3 screenshots (1 MB each) and an email address only if you give one. If you tick Include app info from my phone it also contains the app and Android version, whether Premium and the accessibility service are on, which permissions are granted, the number of active profiles and the app language. The page shows exactly what will be sent; the App itself never contacts that server.
We use a report only to fix the problem you describe and, if you left an email, to reply to you about it. Not for advertising, marketing, analytics, profiling or training models; not sold; shared with no one except Supabase and Vercel, which process it for us. Network and email addresses are kept only as salted one-way hashes for at most 48 hours. A report is deleted 180 days after we close it (screenshots after 90 days), or sooner if you email us the report code.
Early tester sign-up (optional, English text)
While Anchor is in a closed test you can ask to join it (Settings → About → Become an early tester opens the sign-up page on our website). We store your email address, your consent, and (only if you enter them) your phone model, Android version, a short note and the page language, in the same Supabase database (website hosted by Vercel). The App itself never contacts that server.
We use this only to send you the test invitation and to contact you about the test. Not for advertising, marketing, analytics, profiling or training models; not sold; not added to a mailing list. To add you to the test your email is entered into Google Groups / Google Play Console, which process it under Google's own terms. It is deleted 60 days after the test ends or 30 days after we remove you, or sooner if you email us. Network and email addresses are kept only as salted one-way hashes for at most 48 hours.
7. 儿童隐私
Anchor 在 Google Play 上声明的目标受众为13 岁及以上用户。Anchor 并非面向 13 岁以下儿童设计，我们也不会故意收集 13 岁以下儿童的个人信息。如果你认为某位 13 岁以下儿童通过上述第三方服务向我们提供了信息，请使用第 11 节中的联系方式与我们联系。
8. 你的权利
根据你所在地区的不同，你可能依据欧盟/英国 GDPR、美国各州隐私法（如 CCPA/CPRA）、巴西《通用数据保护法》（LGPD）、印度《数字个人数据保护法》（DPDP Act），或印度尼西亚《个人数据保护法》（UU PDP）等法律，享有访问、更正、删除或导出你个人数据的权利。
由于 Anchor 仅将你的数据存储在你的设备上，且不存在账号系统，这些权利大多可以自助行使：
- 访问与更正：Anchor 所掌握的一切信息，均可在本应用内直接查看和编辑。
- 导出：使用应用内的备份/导出功能，将你的配置保存为本地副本。
- 删除：在本应用内删除单个配置文件或规则，在 设置 → 数据与隐私 中删除任意过去日期范围的使用历史，或直接卸载本应用以一次性移除全部本地数据（Anchor 不使用 Android 的自动应用备份功能，因此卸载后不会留下任何残留数据）。
如涉及第 6 节所述第三方服务的相关事宜（例如 RevenueCat 的购买记录，或 AdMob 的广告标识符），请直接联系相应服务商，使用其自身的隐私工具处理，或联系我们，我们会协助你转达相关请求。
加利福尼亚州（CCPA/CPRA）
如果你是加利福尼亚州居民，你有权了解我们收集了你哪些个人信息、要求删除或更正这些信息，并且有权选择退出个人信息的"出售"或"共享"。由于 Anchor 通过 Google AdMob 展示广告，这可能涉及按 CPRA 定义"共享"你的广告标识符以用于跨情境行为广告——即便没有任何信息是以金钱形式出售的。要行使这项退出权利，请在应用内打开**"设置" → "关于" → "隐私选项"**（仅在你所在地区需要时显示）——这将打开 Google 的同意管理工具，你可以随时在其中撤回对个性化广告的同意。Anchor 不出售个人信息，也不会故意出售或共享任何 16 岁以下用户的个人信息。
印度（DPDP Act）
如果你位于印度，《2023 年数字个人数据保护法》（DPDP Act）适用于 Anchor 的第三方服务（第 6 节）代表你处理的任何个人数据。Anchor 自身的数据处理在设计上基于同意机制——你可以自行选择是否授予每一项权限，而第 3–5 节所述的本地优先架构意味着绝大多数"处理"根本不会离开你的设备。DPDP Act 将"儿童"定义为 18 岁以下的任何人；有关 Anchor 声明的最低年龄，请参见第 7 节。
9. 国际数据传输
由于 Anchor 没有自己的第一方服务器，本节内容仅涉及第 6 节所述的第三方服务。Google、RevenueCat 和 Clearbit 可能会作为其自身全球基础设施的一部分，在你所居住的国家/地区以外处理数据；有关国际数据传输及相应保护措施的详情，请参阅它们各自的隐私政策。
10. 本政策的变更
我们可能会不定期更新本隐私政策，例如当我们新增某项功能，从而改变本应用所访问的数据类型时。本页顶部的"生效日期"将始终反映最新版本。如果变更内容较为重大，除了更新本页面外，我们还会尽力在应用内通知你（例如以一次性提示的形式）。
11. 联系我们
如果你对本隐私政策或 Anchor 处理数据的方式有任何疑问，请通过 anchor.kiyen@gmail.com 与我们联系。
如需使用 Anchor 的帮助，请查看我们的帮助与支持页面。