CardChat 隐私政策

1. 数据处理概述

CardChat 主要在应用的设备本地私有沙盒中处理和保存 AAC 卡片、媒体、设置及功能所需的数据。部分功能需要用户主动授予系统权限，具体用途见下文。CardChat 不会把 TrueDepth 面部与眼球数据或派生眼控校准资料发送给 CardChat 服务器或第三方。

2. 热更新功能

CardChat 使用 Expo 提供的热更新功能，用于快速修复 bug 和优化用户体验。热更新仅更新前端代码，不访问 TrueDepth 面部与眼球数据或用户的眼控校准资料。

3. 消息推送

本应用可能使用消息推送功能（如系统通知），用于提醒功能更新或重要信息。推送服务遵循操作系统隐私规定，用户可随时在系统设置中关闭通知权限。TrueDepth 面部与眼球数据及眼控校准资料不会用于消息推送。

4. 本地数据与安全

用户创建的卡片、媒体和应用设置主要保存在应用的设备本地私有沙盒中。CardChat 不会自动把这些数据上传到 CardChat 服务器。用户可通过“设置－备份－批量导出”主动生成 zip 备份文件，并自行决定保存或分享位置；眼控校准资料不包含在 CardChat 的卡片备份或导出中。删除应用可能移除设备上的本地数据。由 iOS 管理的设备备份依用户的 Apple 备份设置处理。

5. 相册与相机权限说明

CardChat 使用相册权限选择自定义卡片图片，并使用相机拍摄自定义卡片。在支持的 Apple 设备上，相机权限也用于用户主动启用的 TrueDepth 眼控功能；该功能访问、使用、存储和删除数据的方式详见第 6 节。用户可随时在系统设置中管理或撤销相册和相机权限。

6. TrueDepth 眼控与面部数据

启用及数据：仅在支持 TrueDepth 的 iPhone 或 iPad 上，且仅当用户主动开始眼控校准或启用眼控并授予相机权限时，CardChat 才会通过 Apple ARKit 读取视线估计点、左右眼位置和方向、面部相对相机的位置和方向、左右眼眨眼系数、追踪状态及帧时间戳，并在设备本地派生未校准注视坐标、面部距离和位置及头部偏航角、俯仰角和侧倾角。

用途：这些数据仅用于校准和验证注视、显示并稳定准星、把注视映射到 AAC 卡片及受支持按钮、执行停留点击或用户选择的眨眼确认，以及提供距离和头部姿势提示。CardChat 不用这些数据识别或认证用户、不进行人脸识别或创建生物识别模板，也不访问 Face ID 的注册或认证数据。

临时处理：CardChat 代码不会读取、录制、保存或传输相机画面或视频、深度图、面部几何或网格、面部特征点或面部标识符。逐帧数值及原始校准样本仅在易失性内存中处理，不写入持久化文件、数据库、CardChat 备份、分析系统或服务器。眼控停止、应用离开前台、会话中断或出错时停止处理新数据并清除普通运行状态；原始校准样本最迟在新校准开始或应用进程结束时清除。

本地校准资料：为免每次重新校准，CardChat 仅在应用的设备本地私有沙盒保存屏幕方向和尺寸、校准时间、面部距离/位置/头部姿态基线与离散度、双眼睁闭摘要和眨眼阈值、注视映射中心/缩放/系数、质量摘要及首次校准时间。这些派生资料不含照片、视频、深度图、面部网格、生物识别模板或逐帧轨迹，也不包含在 CardChat 卡片备份或导出中。

共享、保留、删除及撤回：CardChat 不上传、出售、出租或向第三方共享或披露 TrueDepth 或眼控数据，也不用于广告、营销、分析、数据挖掘、画像、识别或认证。用户可关闭眼控或在 iOS 设置中撤销相机权限以停止后续处理。关闭眼控后本地校准资料会保留供下次使用；同方向重校准会替换旧记录，删除 CardChat 及其数据会删除全部本地记录。CardChat 无服务器副本。操作系统设备备份由用户的 Apple 备份设置管理。