生效日期：2026 年 8 月 31 日
本隐私政策适用于 Signature PNG（中文界面名称“签名抠图”）。Signature PNG 用于在 iPhone 或 iPad 上把用户选择的纸面签名图片处理为透明 PNG。
1. 核心处理方式
签名提取、纸张校正、背景去除、笔画修补、颜色调整、透明预览和 PNG 编码均在用户的设备上完成。App 没有把用户的原始图片、签名像素、处理蒙版、导出 PNG 或处理结果上传到开发者服务器的功能。
“本地处理”不表示设备在任何情况下都不会联网。以下由用户或系统触发的功能可能使用网络：
- 用户选择的照片或文件仅存在于 iCloud 时，Photos 或 Files 可能从 Apple 的服务下载素材；
- StoreKit 可能连接 Apple 服务以读取商品、购买、验证交易或恢复永久权益；
- 用户主动选择的照片、文件、邮件或其他分享目的地，可能按照相应系统、账户或第三方服务的设置同步导出的 PNG；
- 用户主动打开使用条款网页或发送反馈邮件时，会使用对应的系统服务或网络连接。
开发者不会通过这些系统行为接收用户的签名图片，除非用户自行选择通过邮件或其他方式将图片发送给开发者。App 的反馈邮件不会自动附加签名图片。
2. 不要求账号
Signature PNG 不提供 App 自有账号、登录、用户资料、社交关系或开发者管理的云同步。App 不使用 CloudKit 保存签名，也不提供跨设备签名素材库。
3. 照片与文件访问
从照片导入
App 使用 Apple 的 PhotosPicker，让用户明确选择单张图片。App 不申请完整照片库读取权限，也不会在后台扫描照片库。如果选中的素材只存在于 iCloud，系统可能需要联网下载原始文件。
保存到照片
只有当用户明确点击“保存到照片”时，App 才请求照片库的“仅添加”权限，并把经过验证的 PNG 写入照片库。保存后的内容由用户的系统照片设置管理，可能根据用户的 iCloud Photos 设置同步。
从文件导入与保存到文件
App 通过系统文件选择器访问用户明确选择的输入或输出位置，不扫描设备上的全部文件。导入的文件会在安全作用域有效期间复制到受保护、排除备份的临时目录，解码完成后立即移除。用户保存到 Files 的 PNG 由用户选择的位置及其文件服务设置管理。
4. 相机、Apple Pencil 与 iCloud
- 当前版本没有实际相机或文档相机入口，不申请相机权限；首页动画中的相机图形只是功能示意。
- App 没有使用 PencilKit，也没有 Apple Pencil 专属权限或专属数据收集。编辑画布使用普通触控手势。
- App 不使用 CloudKit 或开发者管理的 iCloud 同步。系统 Photos/Files 选择器和用户选择的导出目的地仍可能根据用户设置使用 iCloud。
5. 剪贴板
只有当用户明确点击“复制 PNG”时，App 才把导出的 PNG 写入系统剪贴板。该剪贴板项目被标记为仅限本机，并设置为大约两分钟后自动过期。App 不读取用户剪贴板中的现有内容。
6. 临时文件与本地保存
App 不建立签名历史、签名模板库或 App 内导出文件库，也不永久保留原始照片或处理后的签名图片。
为了完成文件导入和系统分享，App 会短暂创建受系统文件保护、排除备份的临时文件：
- 文件导入的临时副本在解码后删除；
- 系统分享的临时 PNG 在分享界面完成或关闭后清理；
- 异常中断后遗留的临时会话，会在后续启动时清理超过 24 小时的内容。
当用户主动保存到 Photos、Files、剪贴板或第三方分享目的地后，副本由相应系统或服务管理，用户应自行检查其同步、备份、访问与删除设置。
7. 内购与本机权益记录
Signature PNG 使用 Apple StoreKit 提供一次性内购，不提供订阅或自动续费：
- “解锁当前签名”是消耗型商品。App 会在本机记录当前来源结果的解锁状态，使同一结果可以在本机反复导出；该权益不承诺通过“恢复购买”带到另一台设备。
- “永久使用权”是非消耗型商品，可使用购买时的 Apple 账户通过 StoreKit 恢复。
Apple 负责处理付款、Apple 账户和交易服务。App 不接收或保存用户的银行卡、完整付款资料或 Apple 账户密码。
App 会在不可同步、仅限本机的 Keychain 中保存首个免费结果标识、已解锁结果标识、待处理的消耗型交易和已处理交易 ID。这些记录用于避免同一结果在本机重复购买，不包含签名图片、像素、文件名或文件路径。
8. 分析、广告、第三方 SDK 与追踪
当前版本：
- 不包含广告；
- 不包含自定义行为分析或用户画像；
- 不包含 Firebase、Crashlytics、Sentry 等第三方分析或崩溃收集 SDK；
- 不使用第三方运行时 SDK；
- 不进行跨 App 或跨网站追踪；
- 不出售或共享用户数据用于广告。
App 的 Privacy Manifest 当前声明：不收集数据、不追踪、没有追踪域名，也没有声明 Required Reason API 类型。Apple 仍可能根据用户、设备和 App Store 设置提供系统级崩溃或性能诊断；这不是 App 内嵌的第三方收集服务。
9. 安全与用户责任
签名属于敏感个人素材。App 对临时文件使用系统文件保护并在后台或任务切换状态隐藏签名内容，但任何本地设备、系统账户或导出目的地都可能受到其自身安全设置影响。用户应为设备设置密码，并谨慎选择保存、备份和分享位置。
10. 数据控制与删除
App 没有开发者服务器账号，因此没有需要向开发者申请删除的云端签名数据。用户可以：
- 在 Photos、Files、邮件或其他分享目的地中自行删除已经导出的 PNG；
- 等待剪贴板项目自动过期，或使用其他内容覆盖剪贴板；
- 删除 App，以移除 App 沙盒中的本地临时状态；
- 在系统中管理照片权限和相关云服务设置。
永久购买记录由 Apple StoreKit 管理；删除 App 不等同于取消或删除 Apple 的交易记录。
11. 政策变更
如果 App 的数据处理、联网能力或第三方依赖发生实质变化，本政策应在相应版本发布前更新。官网应显示最新生效日期。
12. 联系方式
如对本政策或 Signature PNG 的隐私处理有疑问，请联系：
dingronghui@163.com
开发者的法定名称、注册地址和适用法律信息尚未在当前项目资料中确认，官网发布方应在正式上线前按实际主体补充，而不是自行编造。