隱私政策

Flipism 是本地優先的。只要你不登入，你的 Flip 就不會離開這台裝置。

最後更新：2026 年 9 月 25 日 · 適用於 Flipism 移動應用程式（com.firstappstudio.flipism）和 Web 應用程式。

簡短版本

訪客 Flip 和歷史儲存在本機。

你的 Flip、選項和抽取歷史儲存在本機資料庫中，診斷和使用分析資料仍可能發送。
雲同步需要登入並由你確認。

只有當你登入——用 Apple、Google 或用電子郵件地址與密碼——並確認同步之後，Flip 才會上傳到你的私有帳號空間。抽取歷史始終只儲存在當前裝置。
應用程式會採集診斷與使用分析資料。

無論是否登入都會發生。裝置標識符可能包括可用時的 Android 廣告 ID。詳見下文。
我們不出售你的資料。

我們不投放廣告、不構建廣告畫像，也不會把你的內容分享給廣告商。

1. 我們是誰

Flipism 由 Xiaoyu Yin 提供，並使用 First App Studio 這一工作室名稱運營（下稱“我們”）。First App Studio 是工作室名稱，並非獨立註冊成立的法律實體。你可以通過 mensaplus2016@gmail.com 聯繫我們。本政策涉及的任何事項，這個電子郵件都是最快找到人的方式。

2. 不登入使用 Flipism（訪客模式）

無需註冊即可使用基礎隨機玩法。普通訪客使用將內容儲存在本機。發起原生購買或恢復購買可能建立匿名 Firebase 用戶 ID，並與 RevenueCat 的計費和權益元資料關聯。這個購買身份不等於註冊 Flipism 帳號，也不會開啟內容同步。未經確認的帳號同步不會上傳以下本地內容：

你建立的 Flip 及其名稱
每個 Flip 內的選項及其權重
你的抽取歷史與結果
一個用於隔離本地資料庫的隨機安裝標識符

這些資料存放在本地 SQLite 資料庫中。卸載應用程式或清除應用程式存儲後即被刪除。我們無法恢復未同步的內容。登入並選擇合併後可以備份 Flip，但不會備份抽取歷史。

原生 Premium 無需註冊，也不要求雲同步。建立帳號可以保留購買身份；要將訂閱關聯到已有帳號，請在原生應用程式中登入並恢復購買。恢復購買使用本機的 Apple 或 Google Play 帳號，可能將權益從此前的 Flipism 身份轉移過來。恢復購買不會恢復或上傳 Flip 或抽取歷史。要恢復已同步的 Flip，請登入其所屬 Flipism 帳號並明確選擇帳號資料；要上傳本地 Flip，請選擇合併並確認同步。抽取歷史始終留在本機。

3. 登入後我們收集什麼

登入是可選的，且始終由你主動發起。你可以用 Apple 或 Google 登入，也可以用電子郵件地址和密碼註冊帳號。這些方式都會收集帳號身份資料；內容與同步裝置資料僅在你確認同步後存儲：

資料	用途	存放位置
電子郵件地址	標識你的帳號，並在應用程式內顯示以便你確認當前登入的是哪個帳號	Firebase Authentication
帳號 ID（用戶 ID）	你的同步資料所歸屬的穩定標識	Firebase Authentication、Cloud Firestore
你的 Flip 名稱、選項文本、權重與玩法模式	讓你的內容可在其他裝置上使用並可恢復	Cloud Firestore，僅在你的帳號下
應用程式生成的裝置標識符	讓同步能區分你的多台裝置，避免同時編輯時被靜默覆蓋	Cloud Firestore，僅在你的帳號下

在上傳你已有的本地 Flip 之前，應用程式會讓你先做選擇：把本機資料合併進帳號、僅使用帳號中的資料，或取消本次登入。確認同步前，不會上傳本地 Flip。

其他用戶無法訪問你的同步內容。服務端規則限制訪問，獲授權的服務操作及處理方仍可能處理這些資料。

4. 診斷與分析

與是否登入無關，應用程式集成了 Google 的 Firebase Analytics 與 Firebase Crashlytics SDK，它們會採集：

應用程式交互事件——應用程式被開啟、顯示了哪些頁面、會話時長
裝置與應用程式資訊——裝置型號、系統版本、應用程式版本、語言、粗略地區
裝置標識符，可能包括可用時的 Android 廣告 ID
崩潰日誌與診斷資訊——崩潰時的調用棧與裝置狀態

我們僅用它來判斷應用程式是否正常運行、哪些功能被使用。我們不將其用於廣告，不構建用戶畫像，也不出售。應用程式不含廣告，也不含任何第三方廣告 SDK。

產品分析事件不包含 Flip 名稱、選項文本或搜索詞。崩潰報告包含診斷錯誤詳情，可能帶有錯誤中出現的資料。另外，支援的原生正式版在啟用收集時，可自動向 Crashlytics 報告非預期的同步和權益讀取錯誤。這些非致命事件僅使用白名單錯誤類別／代碼及受限代碼位置，不發送原始錯誤消息、帳號 ID、電子郵件、token、文檔 ID 或 Flip 內容。可附帶已有緩存的隊列分類計數（不是 Flip 總數）及權益載入／錯誤／資料狀態。普通離線失敗不報告；持續至少五分鐘的重複網路失敗可能產生限量報告。事件經過去重和限流，不保證實時送達或一定送達，Web 不支援此上報。本地支援快照與自動錯誤上報分開，僅在你請求時複製。

第一批產品事件只記錄：建立了 Flip 及其玩法和來源、完成了抽取及其玩法、開啟了 Marketplace 或某個範本的分類和玩法，成功登入及其方式，以及成功採用了 Marketplace 範本、編輯了 Flip 或刪除了 Flip。事件不包含範本 ID、帳號 ID、電子郵件地址、搜索詞或任何 Flip 內容。

你的控制方式：Android 允許你在 設定 → 隱私 → 廣告 中全局刪除或重置廣告 ID。刪除後，包括 Flipism 在內的應用程式都無法再獲取它。

5. 裝置與瀏覽器完整性校驗

敏感操作受 Firebase App Check 保護。在 Android 上，Google Play Integrity 會生成證明令牌，幫助後端確認請求來自未經篡改的正版 Flipism。在 Web 上，Firebase App Check 使用 Google reCAPTCHA Enterprise 幫助防範濫用和欺詐。Google 和瀏覽器可能為此處理瀏覽器、網路和 IP 地址資訊以及證明信號。這些校驗確認的是應用程式或瀏覽器請求，而不是你的身份；我們不會用它追蹤你。

5a. 訂閱計費

在應用程式內訂閱 Web Premium。Web 計費披露適用於 Web 訂閱。Paddle 作為 Merchant of Record，RevenueCat 提供訂閱權益基礎設施。原生購買由 Apple 或 Google Play 處理；可用性取決於商店帳號和地區。 Apple 和 Google Play 依據各自條款及隱私政策處理商店支付與交易記錄；RevenueCat 為這些購買提供權益基礎設施。

處理方	處理的資料	用途
Paddle（Web 計費）	購買電子郵件、提供時的姓名、國家或地區、支付狀態、交易、稅務、退款和發票資訊	支付、欺詐防範、支援、稅務/開票、會計和法律義務
RevenueCat	Firebase 用戶 ID、訂閱和產品 ID、權益狀態、到期時間及交易元資料	權益發放、支援和訂閱狀態

對於原生購買與恢復購買，以及 Web 購買，Flipism 接收和存儲將購買與匿名購買身份或註冊帳號關聯所需的計費和權益元資料，例如 Firebase 用戶 ID、訂閱、產品或交易標識、權益狀態和到期時間。Flip 名稱、選項、標籤和抽取結果絕不會作為計費屬性。Flipism 絕不會接收或存儲完整付款卡資料。計費處理方所持的記錄可能因法律要求在 Flipism 帳號刪除後繼續保留。

5b. 應用程式內意見回饋

功能可用時，無需註冊即可通過“發送意見回饋”提交 1–1000 個字元。只有點擊發送後，應用程式才會提交你填寫的正文、應用程式版本、平台和界面語言。請勿填寫個人或敏感資訊。這是單向意見箱，不是郵件對話，不包含回覆地址。

提交時會建立並復用獨立匿名 Firebase Authentication 身份，用於限制濫用。它與登入帳號及購買身份分離，不會開啟雲同步。意見回饋及技術標識通過受 App Check 保護的伺服器存入 Cloud Firestore，其他應用程式用戶無法讀取，獲授權的運營人員可以查看。應用程式不會附帶你的 Flip、抽取歷史、電子郵件或診斷報告。Firebase 和完整性校驗提供方仍可能按上文說明處理網路元資料。

附帶使用標識預設開啟，可在發送前關閉。在現有 Analytics 授權允許且標識可用時，意見回饋會附帶移動端 Analytics App Instance ID 或 Web 的 GA4 Client ID，幫助獲授權的運營人員關聯已有使用事件來排查問題，而非完整操作錄像。不會因此增加註冊帳號 ID、電子郵件、Flip 內容、選項或抽取結果。這些標識可能在重置資料後改變，不是永久的跨裝置身份。獲取不到標識時仍可發送意見回饋。關閉選項僅使本條意見回饋不附帶標識，不會關閉 Analytics 或刪除此前記錄，也不會覆蓋 Analytics 授權設定。

意見回饋將在 180 天後進入刪除流程；提供方異步刪除可能需要額外時間。此到期規則適用於 Firestore 意見回饋記錄，不會刪除匿名 Firebase Authentication 身份。匿名標識不等於註冊帳號，因此刪除註冊帳號或卸載應用程式不會立即刪除之前提交的意見回饋。資料權利請求可通過下方聯繫方式提出。我們處理你主動提交的意見回饋以改進和支援應用程式，並使用技術標識防範濫用。

6. 我們絕不收集的內容

精確或粗略的 GPS 位置
通訊錄、日曆、照片、檔案或麥克風輸入
完整付款卡資料或完整支付憑據
健康資料

訪客內容不會同步，除非你登入並選擇合併。

7. 我們與誰共享資料

我們不出售個人資料，也不會與廣告商或資料經紀商共享。以下處理方按上文說明處理資料。RevenueCat 現已處理原生購買與恢復購買元資料；Paddle 處理 Web 計費：

Google LLC——Firebase Authentication、Cloud Firestore、Cloud Functions、Firebase App Check、Firebase Analytics 與 Firebase Crashlytics，依據 Google 的條款作為我們的資料處理方
Apple 和 Google Play——依據各自政策處理商店支付、訂閱、取消和退款
Paddle——Web Merchant of Record，處理支付、交易、稅務、退款、發票和購買支援
RevenueCat——使用以上所述計費元資料處理原生訂閱及權益，以及 Web 訂閱和權益

已同步的帳號內容存放在 Google Cloud 基礎設施上，主要位於美國。Paddle 和 RevenueCat 會如上所述處理計費和權益資料。如果你在美國以外使用 Flipism，你的資料可能被傳輸至美國。

在法律要求時，或為調查對服務的濫用行為時，我們可能披露資料。

8. 保留與刪除

你的同步資料會在帳號存續期間保留。你可以在應用程式內永久刪除： 設定 → 帳號與同步 → 刪除帳號及雲端資料。這會移除你的已同步的 Flip、任何舊版遺留的雲端抽取記錄，以及你的 Flipism 登入身份。此帳號在當前裝置上的 Flip 和抽取歷史會在應用程式清理本地資料時移除。訪客資料、獨立離線副本及其他裝置上的資料不會自動清除。

如果你已卸載應用程式，仍然可以提出刪除申請——見帳號刪除頁面。

刪除後保留的技術記錄

帳號被刪除後，我們會保留用於防止資料恢復和完成刪除的記錄，包含原帳號 ID、時間及技術狀態，不含 Flip 內容或電子郵件地址。

這是出於安全考慮。刪除時離線的裝置可能仍持有有效的緩存憑據；服務端通過防恢復記錄拒絕重新上傳已刪除的資料。刪除恢復記錄用於繼續完成中斷的帳號刪除。這些記錄目前不會自動到期。

9. 你的權利

取決於你所在的地區，你可能擁有訪問、更正、匯出或刪除個人資料的權利，拒絕或限制處理的權利，以及向監管機構投訴的權利。

實際操作上：你的同步資料在任何登入的裝置上都能在應用程式內查看，你可以在應用程式內刪除資料，也可以提出刪除申請。其他事項請發郵件至 mensaplus2016@gmail.com，我們會在 30 天內回覆。

我們處理帳號資料的法律依據是履行與你的協議（提供同步服務）；處理診斷與分析資料的依據是我們維持應用程式正常運行的合法利益。

10. 兒童

Flipism 不面向兒童。它的分級為 18 歲及以上，我們不會在知情的情況下收集兒童資料。如果你認為有兒童向我們提供了個人資料，請聯繫我們，我們會刪除。

11. 安全

應用程式與我們伺服器之間的所有流量都通過 TLS 加密傳輸。帳號資料的訪問由服務端安全規則強制執行，而不僅依賴客戶端。刪除帳號還額外要求你再次確認身份——通過 Apple、Google 或輸入密碼。

應用程式會將密碼發送至 Firebase Authentication，用於登入及註冊。密碼不屬於本地 Flip 資料庫的存儲內容。

12. 本政策的變更

如果我們改變資料處理方式，會更新本頁面以及上方的“最後更新”日期。重大變更也會在應用程式內提示。

13. 聯繫方式

咨詢、請求或投訴： mensaplus2016@gmail.com