BuddhaSide（一念寺）隐私政策

1. 适用范围与产品边界

本政策适用于“一念寺”iOS、Android 和同版本 Web 应用。当前 App 用于个人修持记录、离线经文阅读、冥想、祈愿和寺务意向留存，不代表任何寺院官方服务，也不承诺现实结果。

冥想、诵经、反思和修持统计旨在帮助减压、放松与保持专注，仅作文化学习和一般身心健康支持。BuddhaSide 不是医疗器械，不诊断、治疗、治愈或预防任何疾病，也不替代医疗或心理健康专业意见。如有医疗或心理健康问题，请咨询合格的医疗专业人士。

注册和登录是可选功能。未登录时可以使用核心修持功能，相关记录默认保存在当前设备；iOS 用户无需创建或登录 BuddhaSide 账号即可购买、恢复和使用 Apple 订阅。只有账号云同步、云端点灯等明确标注的账号专属功能需要登录。仓库中为未来评估保留的云端问法服务不在当前发布包中；若未来启用云端问法、额外分析或真实服务，我们会在启用前更新本政策、商店隐私标签和必要的用户提示。

2. 本机处理的数据

在你主动使用相关功能时，App 可以在应用容器内保存以下内容：

• 账号资料、订阅状态和自动同步数据在设备上的必要副本；
• 用于展示的拜香、修持、私密祈愿、代拜意向、居士等级与功德收支本机记录；登录后，其中适用的数据可与账号同步；
• 首页礼敬选择；个人添加的菩萨或寺庙、名称，以及你主动拍摄或从相册选择并经本机裁切压缩的相关照片；
• 你设置的每日修持提醒名称、时间和启停状态；配对 Apple Watch 时，这些设置与念珠计数会通过 Apple 的 WatchConnectivity 在你的 iPhone 与 Apple Watch 之间同步；
• 界面状态与完成时间等维持功能所需的本机设置。

核心 App 功能无需登录即可使用；未登录时，相关修持数据和首页礼敬选择保存在当前设备。你主动登录后，第 3 节列明的适用数据和首页礼敬偏好会与账号自动同步。首页礼敬偏好包括 App 内置对象的内部目标标识（如适用），或选择个人添加对象时表示“不含内置对象”的空值标记，以及修订号和更新时间；这些数据仅用于同一账号跨设备恢复选择。个人添加的菩萨或寺庙、名称、照片及其他个人素材有意限定为本机数据，不会由本 App 上传到发布者的云端。地区由你主动选择；App 不读取 GPS 或推断精确位置，但该选择可能在商店数据安全披露中作为大致位置数据。依据你的系统设置，应用容器数据也可能被 Apple 或设备系统纳入整机备份或迁移；此类系统服务由相应平台提供者控制。

3. 账号与云端处理

当你主动注册或登录时，账号服务器会处理邮箱、法名/昵称、地区、邮箱验证状态、账号状态、注册与最近登录时间。密码只用于生成不可逆的加盐摘要，服务器不保存明文密码；App 本机仅保存可撤销且有有效期的会话令牌。

选择“通过 Apple 登录”或“通过 Google 登录”时，对应提供者会向 App 提供经签名的身份令牌。服务器验证令牌、受众、有效期与随机 nonce，并处理提供者用户标识、经提供者验证的邮箱以及你同意提供的昵称；Apple 邮箱可能是隐藏真实地址的私密转送地址。服务器保存提供者与账号的关联，不接收你的 Apple 或 Google 密码。你也可以继续使用邮箱与密码登录。

邮箱验证与找回密码使用随机、单次有效的安全链接。服务器仅保存链接令牌的 SHA-256 摘要：邮箱验证链接最长保留 24 小时，找回密码链接最长保留 30 分钟；使用、过期或重新发送后不再有效。重设密码会撤销该账号的旧登录会话。

登录后，App 会在你使用相关功能时自动同步账号资料、订阅版本、拜香数据、修持记录、祈愿数据、代拜意向、居士等级与已获得徽章，以及包含念珠／抄经计数和消耗记录的功德收支，无需另行点击备份或同步。上述数据用于在你的设备间恢复和合并。登录后，首页礼敬偏好也会同步：若你选择 App 内置对象，服务器保存其内部目标标识、修订号和更新时间；若你选择个人添加对象，服务器只保存表示“不含内置对象”的空值标记、修订号和更新时间。首页礼敬偏好仅用于同一账号跨设备恢复选择；个人添加对象的名称、照片或其他素材绝不上传，继续只保存在当前设备。未保存的输入草稿、密码和商店凭证也不进入修持快照。并发更新采用修订号检测，并以记录标识、日期和不递减计数合并，降低覆盖另一设备新记录的风险。

功德是 App 内的修持记录计量：每完成一颗念珠或抄经一个字各记录 1 功德。成功保存一次祈愿时记录消耗 108 功德；成功点亮一盏灯时记录消耗 1000 功德。祈愿消耗由 App 在余额足够且祈愿成功保存后写入固定类型和金额的记录，并随修持快照自动同步；云端只接受规定的收支类型和固定金额。点灯由服务器依据云端修持快照核验可用功德，并在成功占用灯位的同一事务中写入 1000 功德消耗；点灯失败或同一幂等请求重放不会重复扣除。功德仅用于本 App 的功能记录，不是货币、捐赠、寺院服务凭证或对现实功德的评价，不能兑换现金，也不承诺任何现实结果。

Apple 订阅权益与用户的 Apple ID 购买状态关联，不要求 BuddhaSide 账号。你主动登录后，账号专属会员同步信息和点灯记录可与账号关联。点灯灯池按你在账号中选择的国家或地区隔离，每个地区、每个道场提供 20 个同时有效灯位；更换地区后会进入新地区灯池。你填写的点灯姓名和祈愿正文只返回给记录所有者；同地区其他用户只会看到固定的匿名称谓“一位善信”，不会收到他人输入的姓名或祈福正文。运营后台可查看账号资料、订阅、拜香、修持、祈愿数量、代拜数量和等级的同步状态与脱敏汇总，但不读取密码、会话令牌、祈愿正文、代拜正文、个人添加的菩萨或寺庙名称、照片或其他个人素材。

为提供账号、订阅、云端点灯和客服管理功能，并监控服务使用、安全和可靠性，发布者可从账号标识、订阅状态、应用内功能操作和必要技术标识生成第一方汇总运营指标。这些指标仅用于应用功能、账号管理、欺诈防范、安全及汇总分析，不用于广告、出售数据、跨应用追踪或建立广告画像。运营后台不会将祈愿正文用于分析。

当你领取、分享或在订阅前使用推荐优惠码时，服务器会处理推荐活动与个人优惠码、分享者和新订阅者之间的推荐关系、优惠码快照、兑换及资格状态、所选国家或地区、商店验单结果、双方奖励天数和有效期，以及退款、撤销或疑似滥用触发的人工复核状态与必要审计记录。这些数据仅用于核验活动资格和成功人数、发放及维持会员奖励、防止重复领取或互刷、处理争议，以及财务核对和活动汇总；不用于广告、出售数据或跨应用追踪。

当你主动购买订阅时，iOS App 使用 Apple StoreKit 2，Android App 使用 Google Play Billing 发起交易。iOS 不要求创建或登录 BuddhaSide 账号；App 向 StoreKit 提交的是本机生成的随机 UUID，不包含姓名、邮箱或其他注册资料。未登录时，App 直接依据 Apple 签名且由 StoreKit 验证的当前权益提供会员内容。你主动登录后，与当前账号标识匹配的 Apple 签名交易及续订 JWS 可交给 Core API，用于可选的账号会员同步；服务器不保存原始 JWS，仅保存其不可逆 SHA-256 摘要和必要的交易标识、商品、环境、购买／到期／撤销时间与账号关联。无论是否登录，Apple 订阅仍可通过 Apple ID 在 StoreKit 中购买、恢复和管理。Android App 会把 Google Play 返回的 purchase token 交给 Core API 验单；服务器使用 AES-256-GCM 加密保存 token，并保存不可逆 token 摘要、商品与方案、订单、订阅及确认状态、起止时间、自动续订、试用／测试标记和验单时间。Google Play 的实时开发者通知（RTDN）用于在续订、取消、退款或状态变化后重新向 Google 查询并更新权益。Apple 或 Google 处理商店账号、付款方式、账单、退款和订阅交易；本应用不读取或保存你的银行卡号、商店账号密码或完整付款信息。

4. 系统权限

• 相机与相册：仅在你添加个人菩萨（或寺庙）照片时使用。选择“拍照”时 App 才会调用相机，选择“从相册选择”时 App 才会调用系统相册。照片在本机处理，不会由本 App 另存回系统相册，也不会上传给发布者。
• 通知：仅在你添加或启用“修持时间”时请求，用于在设定的每日时间显示提醒并播放系统提示；Apple 可依据你的设备与通知设置将提醒转送到配对的 Apple Watch 并触发腕上震动。
• 后台音频：仅用于你主动开始的冥想、经文朗读或礼佛音频在锁屏或切到后台后继续播放。
• 未使用的权限：当前版本不请求麦克风、精确定位、通讯录、广告跟踪或跨 App 跟踪权限。

你可以随时在系统设置中撤回相机、相册或通知权限；撤回后，相应的拍照、相册选图或每日提醒功能可能不可用。

5. 网络访问与第三方服务

当前核心内容随安装包提供，App 不集成广告或第三方行为分析 SDK。注册、登录、必要修持数据自动同步、会员权益和云端点灯会访问发布者配置的 Core API；Apple 或 Google 登录仅在你选择时访问对应身份服务，并受其各自隐私政策约束。邮箱验证和找回密码邮件由 Cloudflare Email Service 代为发送，可能处理收件邮箱、发件域名、邮件内容、发送时间、投递与退信状态。第三方与邮件服务密钥只保存在服务器，不进入 App。

当前版本不部署短信登录或短信验证码。只有在你主动打开寺院资料来源、地图或搜索等外部链接时，设备才会访问相应外部网站或系统服务，对方可能按照其自身政策处理 IP 地址、设备信息或你提交的搜索词。

Apple App Store、Google Play、StoreKit、Play Billing、操作系统、整机备份和崩溃诊断等平台功能由相应平台独立提供，不由本 App 控制。你可以通过 App 内“管理订阅”或系统及商店账号设置查看、变更或取消订阅。

6. 保存、删除与控制

• 本机修持、祈愿与代拜记录会保留到你退出登录、在 App 内注销账号、在“我 → 设置&订阅 → 隐私与数据”中确认删除本机记录，或删除 App；已登录账号的云端数据不会因“删除本机记录”自动删除，并会在下次启动 App 或再次登录后按自动同步规则恢复；
• 个人菩萨（或寺庙）照片可在“菩萨寺庙”中单独删除或替换；
• 首页菩萨寺庙可以在“菩萨寺庙”中重新选择；登录后，首页礼敬偏好随账号保存，其中只包含内置对象的内部目标标识（如适用）或“不含内置对象”的空值标记，以及修订号和更新时间；个人添加对象的名称、照片和其他素材仍只保存在本机；
• 账号会保留到你在“我 → 设置&订阅 → 隐私与数据”中二次确认注销；注销会删除账号、Apple／Google 身份关联、有效会话、已同步的修持数据、首页礼敬同步偏好、会员权益关联和该账号的云端点灯记录，并自动删除本机修持、祈愿与代拜记录；
• 账号注销后，推荐优惠码、兑换和奖励台账中直接关联该账号的标识会被移除或置空。为保留另一参与方已取得的奖励，并用于成功人数统计、财务核对、防止重复兑换或欺诈以及处理退款、滥用和争议，去标识化的优惠码快照、活动、兑换、奖励、人工复核和审计记录可继续保留；这些记录不用于营销、恢复已注销账号的奖励或重新关联该账号；
• 注销应用账号或删除 App 不会自动取消商店订阅；你需要在 Apple App Store 或 Google Play 的订阅管理页面单独取消；
• 邮箱验证和找回密码令牌会在使用、重新发送或到期后失效，并随账号注销一并删除；
• 注销会删除 Google Play purchase token 密文、账号关联、商品／订单／订阅状态和关联 RTDN 记录。为防止已删除账号的购买 token 被重放、重新绑定或由延迟 RTDN 再次恢复，仅保留 purchase token 的不可逆 SHA-256 摘要、删除时间、原因和清理期限；不用于恢复权益或营销。该摘要至少保留到注销后 90 天，如订阅到期时间更晚，则保留到到期后 60 天，两者取较晚者，随后清理；
• 注销会移除 Apple 交易与 App 账号的关联和 App 账号标识，但会保留去标识化的 Apple 交易防重放标记，包括交易标识、已签名载荷的不可逆 SHA-256 摘要、商品、环境和购买／到期／撤销／签名状态时间。原始 JWS 不保留。在该标记仍处于保留期内时，注销后收到的已验签续订、到期、退款或撤销通知只会更新该标记，不会授予权益或重新关联账号。该标记保留到最近一次已验签签名状态时间与已记录的购买、到期或撤销时间中的最晚时间后 425 天，并由每月清理任务删除；如适用法律要求更长保存，我们会按该要求处理。该标记不用于营销或自动恢复权益；
• 注销后仍有效的 Apple 订阅不会自动关联到新建 App 账号。如准备继续使用该订阅，请在注销前联系支持；注销后也可联系支持申请人工核验，但不保证能够恢复关联；
• 删除 App 会移除其本机应用容器；系统备份中的副本按你的平台备份设置和平台政策处理。

退出登录或在 App 内注销账号时，本机修持、祈愿与代拜记录会自动删除；注销还会删除账号中的首页礼敬同步偏好，包括内部目标标识或空值标记、修订号和更新时间。法名、地区、本机首页礼敬选择，以及个人添加对象的名称、照片和其他素材会保留在当前设备。

7. 安全与儿童隐私

App 对本机输入实施长度、类型和容量限制；账号服务使用加盐密码摘要、限流、邮箱验证、单次令牌、可撤销会话和 HTTPS 传输。任何保存与传输方式都无法保证绝对安全，请保护好设备密码、邮箱和账号密码。

本 App 不以儿童为特定目标，也不会有意收集儿童的个人数据。监护人如允许未成年人使用，应共同审阅内容和系统权限。

8. 政策变更与联系

本应用的运营及发布主体为 NOVASHOT SPORTS TECHNOLOGY LIMITED。功能或数据处理方式发生实质变化时，发布主体会更新政策版本号和生效日期，并在必要时于 App 内提示。

如对隐私或数据控制有疑问，请发送邮件至 support@buddhaside.com。发布主体会在 Apple App Store 与 Google Play 商品页持续提供本政策的公开 HTTPS 版本和有效支持入口。