隐私政策
To Do List · 生效日期 2026 年 8 月 28 日 · 版本 2.0
一句话总结
你在 To Do List 里创建的东西——任务、金币、基地、统计——全部保存在你自己的设备上，不上传、不共享。iOS 版本另外会联网做三件事：处理订阅购买、上报匿名的使用统计、衡量广告投放效果。Android 版本完全不联网。
本政策说明 To Do List（以下简称「本应用」）如何处理信息。本应用由 To Do List 开发者团队（以下简称「我们」）开发与提供，联系邮箱 support@youzou.vip。
本应用面向家庭与儿童使用，请由家长或监护人读完本政策，并在同意后让孩子使用。第 9 节是专门写给家长的，请务必读那一节。
1. 先分清你手上是哪个版本
本应用有 iOS 与 Android 两个版本，它们在「联不联网」这件事上完全不同：
- iOS 版本会联网，用于处理订阅购买（第 5 节）、上报匿名使用统计（第 3 节）、衡量广告投放效果（第 6 节）。
- Android 版本完全不联网。安装包里没有网络权限，你可以自己验证（第 8 节）。第 3、5、6 节描述的上传，在 Android 上一件都不会发生；它也没有任何购买入口。
除此之外两个版本一样：任务、金币、基地、统计等全部数据都只保存在设备本地。
2. 保存在你设备上的数据
为实现功能本身，本应用会把下列数据保存在你的设备本地。它们从不离开设备：
- 孩子档案：昵称与所选头像（头像为应用内置图片）。昵称可任意填写，我们建议使用小名而非真实姓名。
- 家长凭证：家长 PIN 与安全问题答案，均以加盐哈希（PBKDF2-HMAC-SHA256）形式保存，不保存明文。
- 任务数据：任务名称、说明、难度、排期规则、每日任务实例，以及完成、提交、撤回、验收、驳回记录与驳回原因。
- 奖励与经济数据：金币与太阳余额、发放与回收流水、商店购买记录。
- 游戏数据：基地建造与升级进度、装饰与植物、每日战斗结果、连胜天数、损坏与修复进度。
- 统计数据：按天聚合的完成率与趋势，仅用于家长后台看板展示。
- 应用设置：界面语言、减弱动效、休息日、进攻时间、通知与锁屏显示偏好。
- 订阅状态：你当前是免费版还是 Plus、以及上一次从商店取回的到期或续费日期。离线时应用用这份缓存判断权益，联网后自动更正。
上述数据保存在应用沙盒内的本地数据库（SQLite）与系统偏好存储中，只有本应用可以访问。我们看不到、读不到，也无法代为找回这些数据。
3. iOS 版本会上传的使用统计
iOS 版本会把下列信息发送给第三方分析服务（服务商清单见第 7 节）。它记录的是「做了什么动作」，不是「做的是哪一件事」：
- 匿名设备标识：首次启动时在本机随机生成的一串编号（UUID v4）。它与你的姓名、Apple ID、手机号、邮箱都没有关系，我们也无法凭它找到你是谁。
- 页面浏览记录：哪些页面被打开过，不含页面上的内容。
- 关键操作记录：哪些按钮被点过，例如打开了订阅页、点了哪一档商品、撞到了哪一条免费版上限。
- 战斗结算的三个计数：本场击杀数、被啃掉的植物株数、本场时长。这三个数用于调整游戏难度——只知道输赢比例的话，「3 秒被推平」和「撑到最后一波才崩」分不出来，而这两种情况的改法相反。
- 订阅与购买事件：见第 5 节。
- 商店接口的错误信息：例如「取不到订阅方案」，用于排查购买失败。
- 运行环境标识，以及你当前处于哪一档订阅（免费或某一档 Plus）。
除了上面这些我们主动上报的，Firebase 还有一批**关不掉**的自动采集。我们已经关掉了它允许关掉的部分（自动屏幕上报、广告个性化信号、Firebase 侧的广告标识符采集），剩下这些没有开关：
- 首次打开、会话开始、使用时长、应用更新、应用卸载、系统升级等自动事件。
- Firebase 自己生成的一个设备标识（App Instance ID）。它与上面那个匿名编号不是同一个。
- 设备机型、系统版本、系统语言。
- 按 IP 反查出的粗略地区（国家或城市一级，不是你的具体位置）。
使用统计里没有任何自由文本：孩子的昵称、你写的任务名与任务说明，一个字都不会离开设备。本应用里能自由输入文字的地方只有这两处，它们都不进埋点。这一条有自动化测试逐项守着。
4. 我们不收集的东西
下列信息我们一概不收集、不接触、不处理：
- 姓名、手机号、邮箱、住址等身份信息。
- 孩子的昵称、任务名称、任务说明，以及你在应用里输入的任何文字。
- 家长 PIN、安全问题与答案，及其任何派生值。
- 你的具体业务数据：某一件任务做没做、金币余额是多少、统计明细是什么。（第 3 节末尾列出的战斗三个计数是唯一的例外，它们是纯数字，无法反推到具体某个人做过哪件任务。）
- 地理位置、通讯录、通话记录、短信、日历。
- 照片、摄像头、麦克风、剪贴板内容。
- 你的支付方式、卡号、Apple ID 账号与密码。
这些不是「暂时没做」，而是设计上的边界：本应用**没有服务器**，我们没有一台机器能接收它们。第 3 节那些统计是直接从设备发给第三方服务商的，不经过我们。
5. 订阅与购买信息
购买通过 Apple App Store 完成，订阅状态由第三方服务商 RevenueCat 代为核验与管理。
- 我们看不到你的支付方式、卡号、Apple ID 账号与密码——这些只在 Apple 手上，从不经过本应用。
- 我们收到的是 Apple 出具的交易凭证，以及其中的交易编号、商品编号、金额与币种。
- RevenueCat 用这些信息判断你的 Plus 权益是否有效，并把结果返回给这台设备。
- 本应用没有账号体系。权益绑定的是你的 Apple ID，同一个 Apple ID 的设备点「恢复购买」即可拿回。
- 购买成功这件事，以及其中的商品编号、金额、币种与交易编号，同时会计入第 3 节的使用统计与第 6 节的广告归因。
Android 版本没有购买入口，因此这一节的数据在 Android 上不存在。
6. 广告归因与跟踪授权（ATT）
iOS 版本会在引导流程的第一步弹出系统的「App 跟踪透明度」授权框。它问的是：是否允许本应用读取这台设备的广告标识符（IDFA）。
- 你选择「允许」：我们会读取 IDFA，并把「这台设备装了本应用」与「完成了哪一笔购买」发送给广告归因服务商，用于衡量我们投放的广告有没有带来安装与订阅。
- 你选择「不允许」：IDFA 取不到，归因只剩下粗略的安装量统计。**应用的其他行为完全不变**，没有任何功能会因此受限。
- 无论你怎么选，我们都不会跨其它公司的 App 或网站追踪你，也不会用这些数据向你投放个性化广告。归因服务商只收到「订阅成功」与「完成购买」两类事件——第 3 节那些页面浏览记录，一条都不会发给它。
- 你可以随时改变这个选择：iOS 的「设置 → 隐私与安全性 → 跟踪」。
Android 版本没有这一步：它不联网，也没有任何广告标识符可读。
7. 第三方服务商
iOS 版本内置下列第三方服务。每一家收到什么、用来做什么，以及它们各自的隐私政策：
我们没有自己的服务器，上述数据不经过我们的机器，而是从你的设备直接发给这几家。它们在各服务商处按其各自的默认留存策略保存，我们不另存一份，也不把这些数据与任何其它来源的数据合并。Android 版本不含上述任何一家的运行时组件所需的网络权限，因此它们在 Android 上不会发出任何请求。
8. 权限说明
本应用会用到的权限：
- 通知权限（可选，两个平台都有）：用于在设备本地排定任务提醒、截止时间提醒与家长验收提醒，并在锁屏上显示当天的任务进度。所有通知都由设备自身生成与展示，不经过任何服务器，也不使用任何第三方推送服务。它只在你理解其用途之后才会申请，不会在启动时突然弹窗；拒绝授权不影响其他任何功能，你也可以随时在系统设置中关闭它。
- 网络访问（**仅 iOS**）：用于连接 App Store 完成购买，以及发送第 3 节所述的使用统计。iOS 不需要单独声明网络权限，因此这一条不会出现在系统的权限列表里——写在这里是为了讲清楚，而不是因为系统会问你。
- 跟踪授权（**仅 iOS**，可选）：见第 6 节。
本应用不申请定位、相机、麦克风、通讯录、相册、日历或蓝牙权限。
Android 版本不申请网络权限，这一点你可以自己验证：安装包里 android.permission.INTERNET 被显式移除，用 aapt dump permissions 查看安装包，结果里只会有 POST_NOTIFICATIONS 一条。没有网络权限，应用在操作系统层面就无法发起任何网络请求——所以本政策里凡是写着「上传」「发送」的部分，在 Android 上都不会发生。
9. 儿童隐私（请家长读完这一节）
本应用面向 6 至 12 岁儿童及其家长设计。孩子会直接使用其中一部分界面，所以下面这几条请由家长或监护人先读完，再决定是否让孩子使用。
- 我们不收集孩子的姓名、生日、照片、语音、位置或通讯录。孩子填的昵称与家长写的任务内容都留在设备上，不上传。
- iOS 版本的使用统计**覆盖全部页面，包括孩子在用的那些页面**。它记录的是「这台设备打开了首页」这样的事实，不记录页面上的内容，也无法反推到具体某个孩子。
- 目前使用统计**没有提供关闭开关**。若你不希望发生任何上传，可以改用 Android 版本，或通过 support@youzou.vip 联系我们。
- 应用内没有广告位，不展示任何第三方广告，也没有行为定向推荐。
- 孩子端界面不含外部链接、社交功能、分享功能，也没有用户之间的通信功能。
- 应用内含订阅与一次性买断的购买入口。**购买页在家长 PIN 之后**，孩子端不显示价格与购买按钮，撞到免费版上限时只会看到「这一级还没开」。
- 家长后台由 PIN 保护，任务配置、验收与数据管理均由家长掌握。
由于本应用没有账号体系，我们手上没有任何能指向某一个人的记录。这既意味着这些统计确实难以关联到你，也意味着我们很难按个人受理删除请求：若你购买过，可以把 App Store 购买记录里的交易编号发到 support@youzou.vip，我们据此定位并删除相应记录；若你从未购买过，我们无法把某一条统计与你对应起来。
我们没有做「可验证的家长同意」流程（例如信用卡验证或身份核验）。本应用把这个判断交给你：请由家长读完本政策后再决定。如果你所在地区对未满 13 / 14 周岁未成年人的数据处理有更严格的要求，而上述安排不能满足，请不要让孩子使用 iOS 版本，或改用完全不联网的 Android 版本。
10. 数据备份与导出
家长可以在家长后台把数据导出为 JSON 文件，文件写入设备本地的应用文档目录。（导出与备份属于 Plus 功能，见《服务条款》第 5 节。）
- 导出文件不包含家长 PIN 与安全问题答案的哈希值。
- 导出文件也不包含第 3 节那个匿名设备标识。它刻意存在别处而不是数据库里——跟着备份走的话，同一个人在两台设备上会被算成同一台设备。
- 是否把导出文件分享给他人、以何种方式分享，完全由你决定；应用本身不会上传该文件。
- 一旦你通过系统分享面板、聊天工具或云盘外发该文件，其后的传播不再受本政策约束，请自行判断风险。
11. 数据的保存与删除
设备上的数据与已上传的统计，删除方式不一样：
- 设备上的数据始终保存在你的设备上，保存期限完全由你决定。
- 卸载本应用会一并删除应用沙盒内的全部数据，包括所有任务与游戏进度。由于不存在任何云端副本，删除后无法恢复，我们也无法代为找回。
- 已经上传的使用统计**不随卸载删除**。它们在第 7 节那几家服务商处按其各自的留存策略保存，删除请求的处理方式见第 9 节。
- 你的订阅本身不随卸载取消——取消订阅要在 App Store 的订阅设置里完成，见《服务条款》第 6 节。
请在换机或卸载前先导出备份。
12. 我们不会做的事
无论 iOS 还是 Android：
- 不出售、不出租、不交易任何数据。
- 不用这些数据向你投放个性化广告，也不做用户画像。Firebase 的广告个性化信号已在配置里关闭。
- 不用这些数据训练任何模型。
- 不上传任务内容、孩子昵称、家长 PIN 与安全问题答案。
- 不在不同公司的 App 与网站之间追踪你。
唯一需要单独说清楚的例外已经写在第 6 节：安装与购买事件会共享给广告归因服务商，用途仅限于衡量我们自己的广告投放效果。那是衡量，不是把你的数据卖掉。
13. 你的权利
设备上的数据完全由你掌握，无需向我们提出请求即可行使下列权利：
- 访问与查阅：在应用内直接查看全部任务、奖励与游戏数据。
- 更正：在家长后台修改任务、孩子档案与各项设置。
- 导出与可携带：使用家长后台的数据导出功能（Plus 功能）。
- 删除：在家长后台删除相应数据，或直接卸载本应用。
- 停止上传：改用 Android 版本，即可让第 3、5、6 节描述的上传完全不发生。
针对已上传统计的访问与删除请求，受第 9 节所述的限制。如你对上述权利有疑问，可通过 support@youzou.vip 联系我们。
14. 分发渠道与开源组件
你通过 Apple App Store 或 Google Play 下载、安装、更新本应用时，相应平台可能按其自身政策收集下载与设备信息。该行为受相应平台的隐私政策约束，不在本政策范围内。
本应用使用的第三方开源组件，除第 7 节列出的那几家之外，全部在设备本地运行，不进行任何数据传输。
15. 政策变更
本政策如有更新，我们会随应用版本发布新版本，并更新页面顶部的生效日期。
2026 年 8 月 28 日的这一版是一次重大改写，请特别留意：此前的 1.0 版写着「我们不收集任何个人信息」，那描述的是本应用引入订阅与使用统计之前的状态。iOS 版本自 2026 年 8 月起已不再符合旧版描述，本版据实重写。Android 版本的行为没有变化，旧版对它的描述至今仍然成立。
隱私政策
To Do List · 生效日期 2026 年 8 月 28 日 · 版本 2.0
一句話總結
你在 To Do List 裡建立的東西——任務、金幣、基地、統計——全部儲存在你自己的裝置上，不上傳、不共享。iOS 版本另外會聯網做三件事：處理訂閱購買、上報匿名的使用統計、衡量廣告投放效果。Android 版本完全不聯網。
本政策說明 To Do List（以下簡稱「本應用」）如何處理資訊。本應用由 To Do List 開發者團隊（以下簡稱「我們」）開發與提供，聯絡信箱 support@youzou.vip。
本應用面向家庭與兒童使用，請由家長或監護人讀完本政策，並在同意後讓孩子使用。第 9 節是專門寫給家長的，請務必讀那一節。
1. 先分清你手上是哪個版本
本應用有 iOS 與 Android 兩個版本，它們在「聯不聯網」這件事上完全不同：
- iOS 版本會聯網，用於處理訂閱購買（第 5 節）、上報匿名使用統計（第 3 節）、衡量廣告投放效果（第 6 節）。
- Android 版本完全不聯網。安裝包裡沒有網路權限，你可以自己驗證（第 8 節）。第 3、5、6 節描述的上傳，在 Android 上一件都不會發生；它也沒有任何購買入口。
除此之外兩個版本一樣：任務、金幣、基地、統計等全部資料都只儲存在裝置本地。
2. 儲存在你裝置上的資料
為實現功能本身，本應用會把下列資料儲存在你的裝置本地。它們從不離開裝置：
- 孩子檔案：暱稱與所選頭像（頭像為應用內建圖片）。暱稱可任意填寫，我們建議使用小名而非真實姓名。
- 家長憑證：家長 PIN 與安全問題答案，均以加鹽雜湊（PBKDF2-HMAC-SHA256）形式儲存，不儲存明文。
- 任務資料：任務名稱、說明、難度、排期規則、每日任務例項，以及完成、提交、撤回、驗收、駁回記錄與駁回原因。
- 獎勵與經濟資料：金幣與太陽餘額、發放與回收流水、商店購買記錄。
- 遊戲資料：基地建造與升級進度、裝飾與植物、每日戰鬥結果、連勝天數、損壞與修復進度。
- 統計資料：按天聚合的完成率與趨勢，僅用於家長後台看板展示。
- 應用設定：介面語言、減弱動效、休息日、進攻時間、通知與鎖屏顯示偏好。
- 訂閱狀態：你當前是免費版還是 Plus、以及上一次從商店取回的到期或續費日期。離線時應用用這份快取判斷權益，聯網後自動更正。
上述資料儲存在應用沙盒內的本地資料庫（SQLite）與系統偏好儲存中，只有本應用可以訪問。我們看不到、讀不到，也無法代為找回這些資料。
3. iOS 版本會上傳的使用統計
iOS 版本會把下列資訊傳送給第三方分析服務（服務商清單見第 7 節）。它記錄的是「做了什麼動作」，不是「做的是哪一件事」：
- 匿名裝置識別碼：首次啟動時在本機隨機生成的一串編號（UUID v4）。它與你的姓名、Apple ID、手機號、信箱都沒有關係，我們也無法憑它找到你是誰。
- 頁面瀏覽記錄：哪些頁面被開啟過，不含頁面上的內容。
- 關鍵操作記錄：哪些按鈕被點過，例如開啟了訂閱頁、點了哪一檔商品、撞到了哪一條免費版上限。
- 戰鬥結算的三個計數：本場擊殺數、被啃掉的植物株數、本場時長。這三個數用於調整遊戲難度——只知道輸贏比例的話，「3 秒被推平」和「撐到最後一波才崩」分不出來，而這兩種情況的改法相反。
- 訂閱與購買事件：見第 5 節。
- 商店介面的錯誤資訊：例如「取不到訂閱方案」，用於排查購買失敗。
- 執行環境標識，以及你當前處於哪一檔訂閱（免費或某一檔 Plus）。
除了上面這些我們主動上報的，Firebase 還有一批**關不掉**的自動採集。我們已經關掉了它允許關掉的部分（自動螢幕上報、廣告個性化訊號、Firebase 側的廣告識別碼採集），剩下這些沒有開關：
- 首次開啟、會話開始、使用時長、應用更新、應用解除安裝、系統升級等自動事件。
- Firebase 自己生成的一個裝置識別碼（App Instance ID）。它與上面那個匿名編號不是同一個。
- 裝置機型、系統版本、系統語言。
- 按 IP 反查出的粗略地區（國家或城市一級，不是你的具體位置）。
使用統計裡沒有任何自由文字：孩子的暱稱、你寫的任務名與任務說明，一個字都不會離開裝置。本應用裡能自由輸入文字的地方只有這兩處，它們都不進埋點。這一條有自動化測試逐項守著。
4. 我們不收集的東西
下列資訊我們一概不收集、不接觸、不處理：
- 姓名、手機號、信箱、住址等身份資訊。
- 孩子的暱稱、任務名稱、任務說明，以及你在應用裡輸入的任何文字。
- 家長 PIN、安全問題與答案，及其任何派生值。
- 你的具體業務資料：某一件任務做沒做、金幣餘額是多少、統計明細是什麼。（第 3 節末尾列出的戰鬥三個計數是唯一的例外，它們是純數字，無法反推到具體某個人做過哪件任務。）
- 地理位置、通訊錄、通話記錄、簡訊、日曆。
- 照片、攝像頭、麥克風、剪貼簿內容。
- 你的支付方式、卡號、Apple ID 帳號與密碼。
這些不是「暫時沒做」，而是設計上的邊界：本應用**沒有伺服器**，我們沒有一台機器能接收它們。第 3 節那些統計是直接從裝置發給第三方服務商的，不經過我們。
5. 訂閱與購買資訊
購買通過 Apple App Store 完成，訂閱狀態由第三方服務商 RevenueCat 代為核驗與管理。
- 我們看不到你的支付方式、卡號、Apple ID 帳號與密碼——這些只在 Apple 手上，從不經過本應用。
- 我們收到的是 Apple 出具的交易憑證，以及其中的交易編號、商品編號、金額與幣種。
- RevenueCat 用這些資訊判斷你的 Plus 權益是否有效，並把結果返回給這台裝置。
- 本應用沒有帳號體系。權益繫結的是你的 Apple ID，同一個 Apple ID 的裝置點「恢復購買」即可拿回。
- 購買成功這件事，以及其中的商品編號、金額、幣種與交易編號，同時會計入第 3 節的使用統計與第 6 節的廣告歸因。
Android 版本沒有購買入口，因此這一節的資料在 Android 上不存在。
6. 廣告歸因與追蹤授權（ATT）
iOS 版本會在引導流程的第一步彈出系統的「App 追蹤透明度」授權框。它問的是：是否允許本應用讀取這台裝置的廣告識別碼（IDFA）。
- 你選擇「允許」：我們會讀取 IDFA，並把「這台裝置裝了本應用」與「完成了哪一筆購買」傳送給廣告歸因服務商，用於衡量我們投放的廣告有沒有帶來安裝與訂閱。
- 你選擇「不允許」：IDFA 取不到，歸因只剩下粗略的安裝量統計。**應用的其他行為完全不變**，沒有任何功能會因此受限。
- 無論你怎麼選，我們都不會跨其它公司的 App 或網站追蹤你，也不會用這些資料向你投放個性化廣告。歸因服務商只收到「訂閱成功」與「完成購買」兩類事件——第 3 節那些頁面瀏覽記錄，一條都不會發給它。
- 你可以隨時改變這個選擇：iOS 的「設定 → 隱私權與安全性 → 追蹤」。
Android 版本沒有這一步：它不聯網，也沒有任何廣告識別碼可讀。
7. 第三方服務商
iOS 版本內建下列第三方服務。每一家收到什麼、用來做什麼，以及它們各自的隱私政策：
我們沒有自己的伺服器，上述資料不經過我們的機器，而是從你的裝置直接發給這幾家。它們在各服務商處按其各自的預設留存策略儲存，我們不另存一份，也不把這些資料與任何其它來源的資料合併。Android 版本不含上述任何一家的執行時元件所需的網路權限，因此它們在 Android 上不會發出任何請求。
8. 權限說明
本應用會用到的權限：
- 通知權限（可選，兩個平台都有）：用於在裝置本地排定任務提醒、截止時間提醒與家長驗收提醒，並在鎖屏上顯示當天的任務進度。所有通知都由裝置自身生成與展示，不經過任何伺服器，也不使用任何第三方推送服務。它只在你理解其用途之後才會申請，不會在啟動時突然彈窗；拒絕授權不影響其他任何功能，你也可以隨時在系統設定中關閉它。
- 網路訪問（**僅 iOS**）：用於連線 App Store 完成購買，以及傳送第 3 節所述的使用統計。iOS 不需要單獨宣告網路權限，因此這一條不會出現在系統的權限列表裡——寫在這裡是為了講清楚，而不是因為系統會問你。
- 追蹤授權（**僅 iOS**，可選）：見第 6 節。
本應用不申請定位、相機、麥克風、通訊錄、相簿、日曆或藍芽權限。
Android 版本不申請網路權限，這一點你可以自己驗證：安裝包裡 android.permission.INTERNET 被顯式移除，用 aapt dump permissions 檢視安裝包，結果裡只會有 POST_NOTIFICATIONS 一條。沒有網路權限，應用在作業系統層面就無法發起任何網路請求——所以本政策裡凡是寫著「上傳」「傳送」的部分，在 Android 上都不會發生。
9. 兒童隱私（請家長讀完這一節）
本應用面向 6 至 12 歲兒童及其家長設計。孩子會直接使用其中一部分介面，所以下面這幾條請由家長或監護人先讀完，再決定是否讓孩子使用。
- 我們不收集孩子的姓名、生日、照片、語音、位置或通訊錄。孩子填的暱稱與家長寫的任務內容都留在裝置上，不上傳。
- iOS 版本的使用統計**覆蓋全部頁面，包括孩子在用的那些頁面**。它記錄的是「這台裝置開啟了首頁」這樣的事實，不記錄頁面上的內容，也無法反推到具體某個孩子。
- 目前使用統計**沒有提供關閉開關**。若你不希望發生任何上傳，可以改用 Android 版本，或通過 support@youzou.vip 聯絡我們。
- 應用內沒有廣告位，不展示任何第三方廣告，也沒有行為定向推薦。
- 孩子端介面不含外部連結、社交功能、分享功能，也沒有使用者之間的通訊功能。
- 應用內含訂閱與一次性買斷的購買入口。**購買頁在家長 PIN 之後**，孩子端不顯示價格與購買按鈕，撞到免費版上限時只會看到「這一級還沒開」。
- 家長後台由 PIN 保護，任務配置、驗收與資料管理均由家長掌握。
由於本應用沒有帳號體系，我們手上沒有任何能指向某一個人的記錄。這既意味著這些統計確實難以關聯到你，也意味著我們很難按個人受理刪除請求：若你購買過，可以把 App Store 購買記錄裡的交易編號發到 support@youzou.vip，我們據此定位並刪除相應記錄；若你從未購買過，我們無法把某一條統計與你對應起來。
我們沒有做「可驗證的家長同意」流程（例如信用卡驗證或身份核驗）。本應用把這個判斷交給你：請由家長讀完本政策後再決定。如果你所在地區對未滿 13 / 14 週歲未成年人的資料處理有更嚴格的要求，而上述安排不能滿足，請不要讓孩子使用 iOS 版本，或改用完全不聯網的 Android 版本。
10. 資料備份與匯出
家長可以在家長後台把資料匯出為 JSON 檔案，檔案寫入裝置本地的應用文件目錄。（匯出與備份屬於 Plus 功能，見《服務條款》第 5 節。）
- 匯出檔案不包含家長 PIN 與安全問題答案的雜湊值。
- 匯出檔案也不包含第 3 節那個匿名裝置識別碼。它刻意存在別處而不是資料庫裡——跟著備份走的話，同一個人在兩台裝置上會被算成同一台裝置。
- 是否把匯出檔案分享給他人、以何種方式分享，完全由你決定；應用本身不會上傳該檔案。
- 一旦你通過系統分享面板、聊天工具或雲盤外發該檔案，其後的傳播不再受本政策約束，請自行判斷風險。
11. 資料的儲存與刪除
裝置上的資料與已上傳的統計，刪除方式不一樣：
- 裝置上的資料始終儲存在你的裝置上，儲存期限完全由你決定。
- 解除安裝本應用會一併刪除應用沙盒內的全部資料，包括所有任務與遊戲進度。由於不存在任何雲端副本，刪除後無法恢復，我們也無法代為找回。
- 已經上傳的使用統計**不隨解除安裝刪除**。它們在第 7 節那幾家服務商處按其各自的留存策略儲存，刪除請求的處理方式見第 9 節。
- 你的訂閱本身不隨解除安裝取消——取消訂閱要在 App Store 的訂閱設定裡完成，見《服務條款》第 6 節。
請在換機或解除安裝前先匯出備份。
12. 我們不會做的事
無論 iOS 還是 Android：
- 不出售、不出租、不交易任何資料。
- 不用這些資料向你投放個性化廣告，也不做使用者畫像。Firebase 的廣告個性化訊號已在配置裡關閉。
- 不用這些資料訓練任何模型。
- 不上傳任務內容、孩子暱稱、家長 PIN 與安全問題答案。
- 不在不同公司的 App 與網站之間追蹤你。
唯一需要單獨說清楚的例外已經寫在第 6 節：安裝與購買事件會共享給廣告歸因服務商，用途僅限於衡量我們自己的廣告投放效果。那是衡量，不是把你的資料賣掉。
13. 你的權利
裝置上的資料完全由你掌握，無需向我們提出請求即可行使下列權利：
- 訪問與查閱：在應用內直接檢視全部任務、獎勵與遊戲資料。
- 更正：在家長後台修改任務、孩子檔案與各項設定。
- 匯出與可攜帶：使用家長後台的資料匯出功能（Plus 功能）。
- 刪除：在家長後台刪除相應資料，或直接解除安裝本應用。
- 停止上傳：改用 Android 版本，即可讓第 3、5、6 節描述的上傳完全不發生。
針對已上傳統計的訪問與刪除請求，受第 9 節所述的限制。如你對上述權利有疑問，可通過 support@youzou.vip 聯絡我們。
14. 分發渠道與開源元件
你通過 Apple App Store 或 Google Play 下載、安裝、更新本應用時，相應平台可能按其自身政策收集下載與裝置資訊。該行為受相應平台的隱私政策約束，不在本政策範圍內。
本應用使用的第三方開源元件，除第 7 節列出的那幾家之外，全部在裝置本地執行，不進行任何資料傳輸。
15. 政策變更
本政策如有更新，我們會隨應用版本釋出新版本，並更新頁面頂部的生效日期。
2026 年 8 月 28 日的這一版是一次重大改寫，請特別留意：此前的 1.0 版寫著「我們不收集任何個人資訊」，那描述的是本應用引入訂閱與使用統計之前的狀態。iOS 版本自 2026 年 8 月起已不再符合舊版描述，本版據實重寫。Android 版本的行為沒有變化，舊版對它的描述至今仍然成立。
Privacy Policy
To Do List · Effective 28 August 2026 · Version 2.0
The short version
Everything you create in To Do List — chores, coins, the base, the stats — stays on your own device. It is never uploaded or shared. The iOS version additionally goes online for three things: handling subscription purchases, sending anonymous usage statistics, and measuring ad performance. The Android version never goes online at all.
This policy explains how To Do List (the "app") handles information. The app is built and provided by the To Do List developer team ("we", "us"), and you can reach us at support@youzou.vip.
This app is meant for families and children. A parent or guardian should read this policy in full and agree to it before letting a child use the app. Section 9 is written specifically for parents — please do read that one.
1. First, which version do you have?
There are two versions of this app, iOS and Android, and they differ completely on one point: whether they go online.
- The iOS version goes online, to handle subscription purchases (section 5), send anonymous usage statistics (section 3), and measure ad performance (section 6).
- The Android version never goes online. The package has no network permission, and you can verify that yourself (section 8). None of the uploads described in sections 3, 5 and 6 happen on Android; it also has no way to buy anything.
In every other respect the two are the same: chores, coins, the base and the stats live only on your device.
2. Data kept on your device
To make the app work at all, the following is stored locally on your device. It never leaves it:
- Child profile: nickname and chosen avatar (avatars are pictures bundled with the app). The nickname can be anything; we suggest a pet name rather than a real one.
- Parent credentials: the parent PIN and the security-question answer, both stored as salted hashes (PBKDF2-HMAC-SHA256). Nothing is stored in plain text.
- Chore data: names, descriptions, difficulty, scheduling rules, daily instances, and the records of completion, submission, withdrawal, approval and rejection — including rejection reasons.
- Rewards and economy: coin and sun balances, the ledger of grants and deductions, shop purchases.
- Game data: base construction and upgrade progress, decorations and plants, daily battle results, streak days, damage and repair progress.
- Statistics: completion rates and trends aggregated by day, used only for the parent dashboard.
- App settings: interface language, reduced motion, rest days, attack time, notification and Lock Screen preferences.
- Subscription state: whether you are on the free tier or Plus, and the expiry or renewal date last retrieved from the store. Offline, the app uses this cached copy; it is corrected the next time you are online.
All of this lives in a local database (SQLite) and the system preference store inside the app sandbox, which only this app can read. We cannot see it, cannot read it, and cannot recover it on your behalf.
3. Usage statistics the iOS version uploads
The iOS version sends the following to third-party analytics services (listed in section 7). It records what kind of action was taken, not what the action was about:
- An anonymous device identifier: a random number (UUID v4) generated on the device the first time you launch the app. It has no connection to your name, Apple ID, phone number or email address, and we cannot use it to work out who you are.
- Screen views: which screens were opened — never what was on them.
- Key actions: which buttons were tapped, e.g. that the subscription page was opened, which plan was tapped, or which free-tier limit was hit.
- Three counters from the end of a battle: enemies defeated, plants lost, and how long the battle lasted. These are used to tune difficulty — from the win/loss ratio alone you cannot tell "flattened in three seconds" from "held out until the last wave", and those two call for opposite fixes.
- Subscription and purchase events: see section 5.
- Error messages from store calls, e.g. "could not load subscription plans", used to diagnose failed purchases.
- A build-environment marker, and which tier you are currently on (free, or one of the Plus plans).
Beyond what we deliberately send, Firebase collects a further set of data that **cannot be turned off**. We have disabled everything it does let us disable (automatic screen reporting, ad personalization signals, and Firebase-side advertising-identifier collection). What remains has no off switch:
- Automatic events such as first open, session start, engagement time, app update, app removal and OS update.
- A device identifier Firebase generates for itself (the App Instance ID). It is not the same one as the anonymous identifier above.
- Device model, OS version and system language.
- A coarse region derived from your IP address (country or city level — not your actual location).
The usage statistics contain no free text whatsoever. Your child's nickname and the chore names and descriptions you write never leave the device — not one word. Those two are the only places in the app where you can type freely, and neither is ever sent. Automated tests hold this in place, item by item.
4. What we do not collect
We never collect, receive or process any of the following:
- Identity information such as name, phone number, email address or postal address.
- Your child's nickname, chore names, chore descriptions, or anything else you type into the app.
- The parent PIN, the security question and its answer, or anything derived from them.
- Your actual content: whether a given chore was done, what your coin balance is, what the stats say. (The three battle counters at the end of section 3 are the single exception; they are plain numbers and cannot be traced back to any particular person or chore.)
- Location, contacts, call logs, text messages or calendars.
- Photos, camera, microphone or clipboard contents.
- Your payment method, card number, or Apple ID username and password.
None of this is "not built yet" — it is a structural boundary. The app has **no server of ours**: we do not operate a machine that could receive any of it. The statistics in section 3 go straight from your device to the third-party services; they never pass through us.
5. Subscription and purchase information
Purchases are completed through the Apple App Store. Subscription state is verified and managed on our behalf by a third party, RevenueCat.
- We never see your payment method, card number, or Apple ID username and password. Those stay with Apple and never pass through the app.
- What we receive is the transaction receipt issued by Apple, and from it the transaction ID, product ID, amount and currency.
- RevenueCat uses that to determine whether your Plus entitlement is valid and returns the answer to this device.
- The app has no accounts. Your entitlement is tied to your Apple ID; on any device signed in with the same Apple ID, "Restore purchases" brings it back.
- The fact that a purchase completed — along with the product ID, amount, currency and transaction ID — is also included in the usage statistics of section 3 and the ad attribution of section 6.
The Android version has no purchase entry point, so none of this data exists there.
6. Ad attribution and the tracking prompt (ATT)
The iOS version shows Apple's App Tracking Transparency prompt during the first step of onboarding. What it asks is whether the app may read this device's advertising identifier (IDFA).
- If you allow it: we read the IDFA and send "this device installed the app" and "this purchase completed" to an ad attribution service, so we can tell whether the ads we run actually lead to installs and subscriptions.
- If you decline: the IDFA is unavailable and attribution is reduced to a rough install count. **Nothing else about the app changes.** No feature is withheld.
- Either way, we do not track you across other companies' apps and websites, and we do not use any of this to target personalized ads at you. The attribution service receives only two kinds of event — subscription succeeded, and purchase completed. None of the screen views from section 3 are ever sent to it.
- You can change your answer at any time under iOS Settings → Privacy & Security → Tracking.
The Android version has no such step: it does not go online, and there is no advertising identifier for it to read.
7. Third-party services
The iOS version embeds the following third-party services. What each one receives, what it is for, and where to read its own privacy policy:
- RevenueCat, Inc. (subscription state) — receives the App Store transaction receipt and the anonymous device identifier. Privacy policy: https://www.revenuecat.com/privacy
- Mixpanel, Inc. (usage statistics) — receives all the events from the first half of section 3. We have turned off its IP-based geolocation lookup. Privacy policy: https://mixpanel.com/legal/privacy-policy/
- Singular Labs, Inc. (ad attribution) — receives only the subscription-succeeded and purchase-completed events, plus the IDFA if and only if you allowed tracking. Privacy policy: https://www.singular.net/privacy-policy/
- Google LLC (Firebase / Google Analytics) — receives only the subscription-succeeded and purchase-completed events, plus the automatic collection described in the second half of section 3, which cannot be turned off. Privacy policy: https://firebase.google.com/support/privacy
- Apple Inc. (App Store downloads and payments) — handled under Apple's own policy. Privacy policy: https://www.apple.com/legal/privacy/
We run no servers, so none of this passes through our machines: it goes from your device straight to those companies. Each retains it under its own default retention policy; we keep no second copy and we do not combine any of it with data from other sources. On Android the network permission these components would need is absent from the package, so none of them can make a request there.
8. Permissions
Permissions the app uses:
- Notifications (optional, both platforms): to schedule chore reminders, deadline reminders and parent approval reminders locally on the device, and to show the day's progress on the Lock Screen. Every notification is generated and displayed by the device itself — no server is involved and no third-party push service is used. The app only asks once you understand what it is for, never with a surprise prompt at launch; declining costs you nothing else, and you can turn it off in system settings at any time.
- Network access (**iOS only**): to reach the App Store for purchases and to send the statistics described in section 3. iOS has no separate network permission to declare, so this will not appear in any system permission list — it is written here for clarity, not because the system will ask you.
- Tracking authorization (**iOS only**, optional): see section 6.
The app never requests location, camera, microphone, contacts, photos, calendar or Bluetooth.
The Android version requests no network permission, and you can verify this yourself: android.permission.INTERNET is explicitly removed from the package. Run aapt dump permissions against the APK and POST_NOTIFICATIONS is the only entry you will see. Without that permission the app cannot make a network request at the operating-system level — so wherever this policy says "upload" or "send", none of it happens on Android.
9. Children's privacy (parents, please read this section)
This app is designed for children aged roughly 6 to 12 and their parents. Children use part of the interface directly, so a parent or guardian should read the points below before deciding whether to let a child use it.
- We do not collect a child's name, date of birth, photo, voice, location or contacts. The nickname the child enters and the chores the parent writes stay on the device.
- The usage statistics on iOS **cover every screen, including the ones the child uses**. What they record is a fact like "this device opened the home screen" — never what was on the screen, and never anything that could be traced back to a particular child.
- There is currently **no switch to turn the usage statistics off**. If you would rather nothing were uploaded at all, use the Android version, or contact us at support@youzou.vip.
- There are no ad slots in the app, no third-party ads are shown, and there is no behavioural targeting or recommendation.
- The child-facing interface has no external links, no social features, no sharing, and no way for users to communicate with one another.
- The app does contain subscription and one-time purchase entry points. **The purchase page sits behind the parent PIN.** The child side never shows prices or a buy button; hitting a free-tier limit only produces "this one is not unlocked yet".
- The parent console is protected by the PIN. Chore setup, approvals and data management are all in the parent's hands.
Because the app has no accounts, we hold no record that points at any individual. That cuts both ways: it genuinely is hard to link those statistics back to you, and it is equally hard for us to act on an individual deletion request. If you have made a purchase, send us the transaction ID from your App Store purchase history at support@youzou.vip and we will locate and delete the matching records. If you have never purchased, we have no way to tell which records are yours.
We do not operate a verifiable parental consent process (credit-card verification, identity checks, or the like). The app leaves that judgement to you: a parent should read this policy and decide. If your jurisdiction imposes stricter requirements on processing data about children under 13 or 14 than the arrangement described here can satisfy, please do not let your child use the iOS version — use the Android version, which never goes online.
10. Backup and export
A parent can export the data as a JSON file from the parent console; the file is written to the app's local documents directory. (Export and backup are Plus features — see section 5 of the Terms of Service.)
- The export never contains the hashes of the parent PIN or the security-question answer.
- It also never contains the anonymous device identifier from section 3. That identifier is deliberately stored elsewhere rather than in the database — carried along in a backup, it would make one person on two devices look like one device.
- Whether and how you share the exported file is entirely your decision; the app itself never uploads it.
- Once you send it out through the system share sheet, a chat app or a cloud drive, what happens to it next is outside this policy. Please judge the risk for yourself.
11. Retention and deletion
Data on the device and statistics already uploaded are deleted in different ways:
- Data on the device stays on your device for exactly as long as you want it to.
- Uninstalling the app deletes everything in the app sandbox, including all chores and game progress. There is no copy in any cloud, so deletion is irreversible and we cannot recover it for you.
- Usage statistics already uploaded are **not deleted by uninstalling**. They are retained by the companies in section 7 under their own retention policies; how to request deletion is covered in section 9.
- Your subscription is not cancelled by uninstalling either — cancellation happens in the App Store subscription settings, see section 6 of the Terms of Service.
Export a backup before switching phones or uninstalling.
12. Things we do not do
On iOS and on Android alike:
- We do not sell, rent or trade any data.
- We do not use any of it to target personalized ads at you, and we build no user profiles. Firebase's ad personalization signals are disabled in our configuration.
- We do not use any of it to train any model.
- We never upload chore content, child nicknames, the parent PIN or the security-question answer.
- We do not track you across apps and websites owned by other companies.
The one exception worth stating on its own is already in section 6: install and purchase events are shared with an ad attribution service, purely to measure how our own advertising performs. That is measurement, not selling your data.
13. Your rights
The data on your device is entirely under your control; you can exercise the following without asking us for anything:
- Access: view all chore, reward and game data directly in the app.
- Correction: edit chores, the child profile and every setting from the parent console.
- Export and portability: use the export function in the parent console (a Plus feature).
- Deletion: delete the relevant data from the parent console, or simply uninstall the app.
- Stop uploading: switch to the Android version and none of the uploads in sections 3, 5 and 6 will happen at all.
Access and deletion requests concerning statistics already uploaded are subject to the limits described in section 9. If you have questions about any of these rights, write to us at support@youzou.vip.
14. Distribution channels and open-source components
When you download, install or update the app through the Apple App Store or Google Play, those platforms may collect download and device information under their own policies. That is governed by the relevant platform's privacy policy and falls outside this one.
Apart from the services listed in section 7, every third-party open-source component the app uses runs locally on the device and transmits nothing.
15. Changes to this policy
If this policy changes, we will ship the new version with an app release and update the effective date at the top of the page.
The version dated 28 August 2026 is a substantial rewrite, and one difference is worth calling out: version 1.0 stated that "we do not collect any personal information". That described the app as it was before subscriptions and usage statistics were introduced. The iOS version has not matched that description since August 2026, and this version says what is actually true. The Android version's behaviour has not changed — the old description of it still holds today.
16. Contact us
If you have any question or comment about this policy or how data is handled, write to support@youzou.vip. We reply within a reasonable time.