1. 我们是谁
ToDone 的个人信息处理者为 Gui Zou（个人开发者）。
隐私联系邮箱：it_quinna@163.com
本政策适用于 ToDone 客户端、账号、云同步和 locklock.ltd 上的 ToDone 法律页面。
2. 我们处理的信息
2.1 本地任务与偏好
你在设备上创建的任务、备注、项目、区域、清单、标签、提醒、重复规则、排序、完成和删除事件、应用设置及统计信息，会保存在本地数据库中。未登录时，这些内容默认不会上传至 ToDone 服务器。
ToDone 可能在设备上建立加密滚动备份；macOS 小组件会在系统 App Group 中保存有限数量的今日任务标题和标识；本地通知会把任务标题和任务标识交给操作系统进行排程。
2.2 账号信息
创建或登录账号时，我们处理邮箱地址、系统生成的用户 ID、昵称和注册时间。当前客户端使用邮箱验证码登录，不要求设置 ToDone 密码。
验证码在服务器内存中最长有效 10 分钟，并会在成功验证后删除。邮件发送服务商会处理收件邮箱、邮件标题和验证码正文。
2.3 云同步内容
登录并使用云同步后，任务、备注、项目、区域、清单、标签、提醒、重复规则、排序、完成和删除状态以及任务事件时间会发送至服务器，以便在多个设备之间同步和恢复。
为处理冲突和增量同步，我们还会处理客户端更新时间、同步水位、变更序号、删除标记和必要的实体关联信息。
2.4 设备与技术信息
为区分同步设备、保护账号并维护服务，我们处理应用级设备标识、平台类型、同步能力、最近同步时间、token 到期时间、请求 IP、请求时间、访问路径、响应状态和耗时。
应用级设备标识优先由平台设备标识经过 ToDone 专用 SHA-256 派生；读取不到时会生成随机安装标识。它不用于广告跟踪。
2.5 支持通信
当你主动发送邮件联系我们时，我们会处理邮件地址、正文、附件和后续沟通记录，以响应问题、处理账号请求或解决争议。
2.6 当前不进行的处理
当前 ToDone 客户端未集成广告 SDK、定向广告、第三方用户画像、Firebase Analytics、Crashlytics、Sentry 或类似行为跟踪服务，也不出售个人信息。
共用后端中存在尚未由 ToDone 客户端调用的智能账单接口。若未来 ToDone 增加会向第三方模型发送用户内容的 AI 功能，我们会在启用前更新本政策，并在发送前进行单独、明确的提示。
3. 处理目的
我们仅在以下目的所必需的范围内处理信息：
- 提供本地任务管理、提醒、统计和备份功能；
- 发送登录验证码、创建账号和维护认证会话；
- 提供云同步、冲突处理、跨设备恢复和同步安全回收；
- 防止接口滥用、未授权访问和其他安全风险；
- 诊断故障、维护稳定性和回应支持请求；
- 履行适用法律要求以及处理用户权利请求。
4. 设备权限
ToDone 会在你启用提醒或每日摘要时请求通知权限。通知由设备操作系统本地调度，当前不使用 APNs 或 FCM 远程推送 token。你可以随时在系统设置中关闭通知权限。
当前核心任务管理功能不要求通讯录、精确位置、相机、麦克风或广告标识符权限。
5. 信息存储位置和服务提供者
ToDone 当前使用位于中国大陆的腾讯云基础设施托管 API 和数据库，并使用网易 163 邮箱 SMTP 服务发送邮箱验证码。服务提供者只在提供基础设施、网络或邮件发送所必需的范围内处理相关信息。
- 腾讯云计算（北京）有限责任公司：处理服务器、数据库、网络连接及相应运行数据。
- 网易 163 邮箱：处理验证码邮件所需的收件地址、主题和邮件正文。
- Apple、Microsoft、Google 等平台：在你通过相应商店下载应用或使用操作系统通知、备份等功能时，按其自身政策处理相关平台数据。
我们不会因本政策而授权上述服务提供者将 ToDone 业务内容用于广告画像。
6. 安全措施
- 本地业务数据库使用 SQLCipher 加密；JWT 和数据库密钥存放在 Keychain、Keystore 或平台等效安全存储中。
- 公开发布环境使用 HTTPS/TLS 传输账号、验证码和同步数据。
- 服务端使用 JWT 鉴权、用户级数据隔离和同步事务锁，限制不同账号之间的数据访问。
- 访问日志中的授权凭据由边缘服务默认脱敏；运维权限按必要范围控制。
ToDone 不是端到端加密或零知识服务：为了完成同步，服务器需要处理可读的业务字段和数据库密钥。任何系统都无法保证绝对安全；如发生可能影响用户权益的安全事件，我们会按照适用法律采取补救和通知措施。
7. 保存期限和删除
- 验证码：最长有效 10 分钟，成功使用后删除；未使用条目会在覆盖、验证或服务重启时清除。
- 账号与云同步数据：账号存续期间保存；账号注销成功后从在线业务数据库中删除。
- 同步设备和任务事件：为多设备同步、统计和安全回收随账号保存，账号注销时删除。
- 软删除内容：从界面删除后会保留删除状态以同步到其他设备；相关云端记录可能保留至系统清理或账号注销。
- 本地回收站：默认 30 天后从活动数据库硬删除；用户可在设置中调整保留期。
- 本地滚动备份：设备上最多保留最近 14 份，由应用滚动裁剪。账号注销、卸载或网页注销无法保证删除用户自行复制、系统备份或其他设备上的副本。
- 访问日志：正常情况下滚动保留不超过 30 天；为调查安全事件或履行法律义务时可能在必要期限内延长。
- 服务器灾难恢复备份：滚动保留不超过 30 天，仅用于灾难恢复，不用于恢复已注销账号的日常服务。
- 支持邮件：问题关闭后通常保留不超过 12 个月；法律义务或争议处理需要时可能延长。
8. 对外提供、转让和公开披露
除本政策列明的服务提供者、取得你的授权、完成你主动请求的功能，或法律有明确要求外，我们不会向其他主体提供个人信息。
如依法需要响应司法机关、行政机关或保护用户及公众安全，我们只会在合法、必要范围内披露。发生合并、转让或运营主体变更时，我们会告知接收方并要求其继续受本政策和适用法律约束。
9. 你的权利
在适用法律规定的范围内，你可以请求访问、复制、更正、补充或删除个人信息，撤回授权、限制处理、注销账号，或对处理规则进行解释和投诉。
- 在 App 内修改昵称、管理通知权限、退出登录或注销账号；
- 通过账号注销页面了解 App 外申请方式；
- 发送邮件至 it_quinna@163.com 提出其他请求。
为保护账号，我们可能核验你对注册邮箱或相关账号的控制权，但不会要求你提供邮箱密码或 ToDone 验证码。我们通常会在 15 个工作日内响应。
10. 未成年人
ToDone 不主动面向未满 14 周岁的儿童提供账号服务，也不以识别儿童为目的收集年龄信息。若我们发现未经监护人适当同意处理了儿童个人信息，将采取删除或其他必要措施。监护人可通过隐私联系邮箱提出请求。
11. 法律页面、Cookie 和第三方链接
locklock.ltd 上的 ToDone 法律页面不使用第三方统计脚本、广告、第三方字体或 Cookie。页面可能链接至邮件客户端、应用商店或服务提供者页面；第三方页面由其自身隐私政策约束。
12. 政策变更
我们会在本页面标注最新版本和生效日期。重大变更会通过应用内提示、网站或注册邮箱进行通知；如处理目的、方式或个人信息种类发生实质变化，我们会按照适用法律重新告知并在需要时取得同意。
13. 联系我们
个人信息处理者：Gui Zou（个人开发者）
所在地：中国广东省深圳市
隐私联系邮箱：it_quinna@163.com