隐私政策

本政策说明 iPhone 和 iPad 版 CueFlip 如何处理你的信息，以及本网站会做什么。CueFlip 的核心功能，包括阅读乐谱、音频、标注和演奏，都在你的设备上运行，不会把数据发送给我们。可选的邀请计划会使用本网站来验证邀请、记录积分和发放奖励，详见第 8a 节。如果翻页的时机出了错，你可以选择把那次演奏的报告发给我们，详见第 8b 节。

CueFlip 由 CueFlip Team（下称“我们”）制作。对于本政策中描述的、我们实际收到的信息，包括 Apple 转给我们的信息、你通过邮件发给我们的内容、你在问卷中选择告诉我们的内容、邀请计划使用的有限标识符，以及你选择发送的翻页问题报告，就英国和欧盟《通用数据保护条例》（GDPR）而言，我们是数据控制者。

1. 只留在你设备上的内容

CueFlip 创建或导入的一切，都写入 App 在你设备上的私有容器。除非你选择发送翻页问题报告（第 8b 节），这些内容都不会传给我们；App 本身从不向我们发送任何内容。

• 排练录音。你教 CueFlip 一首曲子时，它会录下你的演奏并保留这段录音，以便日后重建声学模型。
• 声学特征。App 从你的录音中计算出的数字指纹，用来跟随你的演奏。
• 乐谱 PDF 和页面缩略图，在你导入时复制到 App 中。
• 你的标注，包括你用 Apple Pencil 画的任何内容。
• 你的翻页标记、演奏记录和 App 设置。
• 每次演奏的加密记录。你演奏时，CueFlip 会记下麦克风听到的声音，以及 App 如何跟随你、如何翻页，方便你在出问题时发给我们。每份记录在写入时就已加密，只有 CueFlip 团队能打开——你不能，演奏结束后 CueFlip 自己也不能。记录在演奏 7 天后删除（合计超过 3 GB 时，会提前从最早的开始删除），乐谱被彻底删除时也会一并删除；这些记录不会包含在备份中。

如果你备份 iPhone 或 iPad，除这些加密记录外的数据都会包含在加密备份中。删除 App 会从设备上删除全部数据。我们没有任何副本，也无法替你恢复。

2. 麦克风

CueFlip 的核心功能需要麦克风：听你演奏，找到你在乐谱中的位置，在恰当的时刻翻页。

• 麦克风只在你录制排练或进行演奏时使用。不会在后台使用，也不会在 App 关闭时使用。
• 演奏时采集的音频会实时分析，同时以加密形式写入这次演奏的记录（第 1 节）。记录留在你的设备上，7 天后删除。
• 你特意录下的排练录音只保存在你的设备上。
• 除非你自己发送翻页问题报告（第 8b 节），任何音频都不会离开你的设备。CueFlip 不做语音识别，也不会把任何内容发送到云端音频服务。

3. 订阅

CueFlip 提供可选的自动续期订阅，完全由 Apple 销售和管理。

• 付款由 Apple 处理。我们从不会看到你的银行卡信息、账单地址、Apple 账户、姓名或电子邮件。
• App 通过询问 Apple 设备端的 StoreKit 框架来确认你是否已订阅。这项订阅检查不会向 CueFlip 的网站或邀请服务发出请求，也不会产生任何我们能看到的订阅状态记录。
• 和对所有开发者一样，Apple 会向我们提供匿名的汇总销售报告，只显示数量和收入，从不显示购买者身份。
• 退款由 Apple 在 reportaproblem.apple.com 处理。

4. 与附近的设备共享

CueFlip 可以和同一房间里的另一台 iPad 实时共享 Apple Pencil 标注，让大家对着同样的记号排练。

• 连接通过你的局域网直接建立在两台设备之间，不经过我们的服务器，也不需要联网。
• 只有在你主动用一次性代码与他人配对时才会发生，并且只在你保持会话打开期间持续。
• 交换的内容是笔迹本身，加上设备生成的公钥，以及在会话中标识你的显示名称和颜色。
• 请留意默认的显示名称。除非你修改，CueFlip 会使用你设备本身的名称，在很多设备上它类似“小安的 iPad”，因此包含你的名字。与你配对的人会看到它。你可以在配对前在 App 中修改。
• 我们不会从这项功能中收到任何东西。

4a. iCloud 同步

如果你在“设置”里开启，CueFlip Pro 可以通过 iCloud 让你自己的 iPhone 和 iPad 上的乐谱库保持一致。它在你打开之前是关闭的，你也可以随时再关掉。

• 数据去哪里。只会去你自己的私有 iCloud 数据库，也就是属于 CueFlip 的 CloudKit 容器里、只能通过你的 Apple 账户读取的那一部分。它不经过任何 CueFlip 服务器（我们没有服务器），我们也看不到、读不了、恢复不了。
• 同步什么。每份乐谱的 PDF、排练录音及其声学特征、你的标注和图层、翻页标记、演奏历史与乐谱设置，以及你的文件夹。翻页问题报告所用的演奏记录（第 8b 节）、缩略图和 App 自带的教程乐谱不会同步。
• 冲突与删除。两台设备改了同一份乐谱的同一部分时，App 会把两个版本都保留，而不是丢掉其中一个。在一台设备上删除的乐谱，会在你的其他设备上进入“最近删除”，保留 30 天。
• 关闭同步只会停止同步，不会动每台设备上的乐谱库。已经在 iCloud 里的数据由 Apple 保管，你可以在 iOS“设置”的 iCloud 中删除。Apple 如何处理 iCloud 数据，见 Apple 的隐私政策。
• 我们不会从这项功能收到任何东西。

5. 我们绝不做的事

这些承诺针对的是 App。本网站上唯一的例外，即来自我们自己广告的访问，在第 8c 节中说明。

• 没有分析，也没有遥测。CueFlip 不会以任何频率、任何形式向我们报告你的使用情况。翻页问题报告只有在你自己发送时才会到达我们这里。
• 没有第三方 SDK。App 不包含任何广告、分析、归因或崩溃报告库，唯一的依赖是 Apple 自己的框架。
• 不使用广告标识符。CueFlip 不使用 IDFA，也从不弹出“App 跟踪透明度”的提示，因为它不追踪你。
• App 不追踪你在其他公司的 App 或网站上的活动，也不做用户画像。
• App 不出售、不共享个人信息（按《加州消费者隐私法》对这些词的定义）。我们从未这样做过，App 也没有这样做的机制。
• 没有账号。CueFlip 不要求注册，不要用户名、密码或电子邮件地址。问卷和报告页面里的邮箱栏都是可选的，位于网站上而不是 App 里，也不是账号。

6. Apple 提供给我们的信息

除了下文所述的可选网站功能之外，通过 App Store 发行意味着 Apple 会把少量信息转给我们。我们宁愿把这一点说清楚，而不是声称自己真的什么都没收到。

• 崩溃与能耗诊断。如果你在 iOS 的设置 → 隐私与安全性 → 分析与改进中打开了与 App 开发者共享，Apple 可能会向我们提供 CueFlip 的崩溃日志和性能数据。这些由 Apple 而不是我们收集，经过汇总，并且据 Apple 所述无法识别到你本人。你可以在同一个 iOS 设置中为所有 App 关闭它。
• 汇总的 App Store 统计，包括下载量、留存和按国家或地区的计数，Apple 会在 App Store Connect 中向我们展示。这些都是汇总数据，从不识别到个人。
• 评分和评论，即你选择以自己设定的昵称在 App Store 上公开发表的内容。

以上所有信息都由 Apple 依据《Apple 隐私政策》收集和处理。我们只能看到 Apple 决定向开发者展示的内容。

7. 如果你给我们发邮件

给我们写信，是你的信息直接到达我们的途径之一。其他途径是下文所述的可选问卷、邀请计划和翻页问题报告。

• 我们会收到你的邮箱地址、你写的内容以及任何附件。请不要发送你不希望我们拥有的东西。
• 我们只用它来回复你，以及修复你报告的问题。
• 法律依据（GDPR）：我们回复来信的正当利益，第 6(1)(f) 条；如果你是我们的客户，则为履行合同，第 6(1)(b) 条。
• 处理者。发往我们 cueflip.com 邮箱的邮件由 Cloudflare 的电子邮件路由服务接收，再转发到由 Google（Gmail）托管的邮箱。Google 会把邮件存储在其基础设施上，并可能在你所在国家或地区之外处理。Cloudflare 和 Google 是我们的数据处理者，并对此类传输适用标准合同条款。
• 保留期限。支持往来邮件会在 24 个月内删除；如果你要求，我们会更早删除。

8. 本网站上的问卷

本网站在 cueflip.pages.dev/survey 提供一份可选问卷，询问你演奏什么，以及 CueFlip 用得怎么样。它是本网站上的一个页面，而不是 App 的功能：App 里只有一个指向它的链接，除非你打开那个页面、填写并点击“发送”，否则不会发送任何内容。

• 保存的内容。只有你的回答、你填写时使用的语言、你是否从 App 进入、如果是的话 App 的版本，以及日期和时间。
• 不保存的内容。没有 IP 地址，没有 User-Agent，没有国家或地区，没有 Cookie，没有广告或设备标识符，也没有账号。问卷不设置 Cookie，也不从第三方加载任何内容。已保存的回答中，没有任何东西能关联到你、你的设备或其他任何一份回答。
• 防止被大量灌水。为了不让问卷被自动提交塞满，接口会统计最近从同一连接到达的提交数量。统计依据的是发送方 IP 地址加盐并截短后的摘要，从不使用地址本身，地址也不会被记录在任何地方。这些计数器存放在一张不含任何回答、和回答没有共同字段的独立表中，并在两小时内删除。这不会影响任何已保存的回答，计数器中的任何内容也无法与某一份回答关联。
• 邮箱地址是可选的，不填也能正常提交。如果你填写了，它只会用于回复这一份提交，从不会加入邮件列表，你也不会收到其他任何邮件。
• 存放位置。Cloudflare 基础设施上的 Cloudflare D1 数据库。Cloudflare 是我们的数据处理者，并对任何跨境传输适用标准合同条款。只有我们能访问。
• 法律依据（GDPR）：你的同意，第 6(1)(a) 条，即你选择提交表单。由于我们没有任何能识别提交者的信息，事后无法挑出并删除某一份匿名提交；但如果你留了邮箱地址，写信给我们，我们会删除那一份提交。
• 保留期限。回答在仍有助于决定开发方向时保留，最长不超过 24 个月。回复发出后，邮箱地址会立即删除。

和这里的每个页面一样，本网站由 Cloudflare Pages 提供，它会为了安全和传送页面而临时处理 IP 地址等请求元数据。你访问任何网站都会发生这种情况，我们不会收到这些信息，具体见《Cloudflare 隐私政策》。

8a. 本网站上的邀请计划

CueFlip 可选的邀请计划使用本网站来验证邀请、记录积分余额，并发放 App Store 奖励链接。你验证邀请时，Safari 会带着一个一次性令牌打开 CueFlip。CueFlip 会返回一份签名证明，以及一份由 Apple 签名的 App Store 交易记录，让网站能分辨真实的 App Store 下载和伪造的邀请。

• 为一次邀请保存的内容。我们保存邀请人由设备生成的邀请标识符、经验证的受邀人由设备生成的标识符、一个随机的一次性邀请令牌、验证时间戳，以及 Apple 稳定的 App 交易标识符的 SHA-256 摘要。这个摘要只用于防止同一次 App Store 下载多次获得邀请积分。我们不会收到或保存你的 Apple 账户名称、电子邮件地址、密码、付款信息、广告标识符或硬件序列号。
• 为积分和奖励保存的内容。积分根据经过验证的邀请数量计算。使用积分时，我们保存所选奖励、使用的积分数、所用的 App Store 优惠引用、发放时间以及简短的兑换链接令牌。邀请记录本身不保存 Apple 优惠代码的值；优惠代码库存另外保存在同一个奖励数据库中。
• 会处理但不随邀请记录保存的内容。验证过程中，网站会收到受邀人的公钥、Ed25519 签名、Apple 签名的 AppTransaction JWS 和 StoreKit 设备验证标识符，只保留到足以验证请求为止。公钥、签名、JWS 和设备验证标识符都不会写入邀请记录。
• 防止滥用。公开的邀请接口会保留短期的频率限制计数器，以请求 IP 地址截短后的 SHA-256 摘要为键；计数器中不保存原始地址，过期的计数器会自动删除。待处理的邀请令牌 30 天后失效。
• 奖励链接的访问。/r/<token> 形式的奖励链接会被记录，以便我们分辨真实打开和自动的链接预览爬虫，并调查滥用。这些访问日志可能包含请求时间、IP 地址、User-Agent 字符串、Cloudflare 国家或地区代码、令牌和结果。日志中不包含你的乐谱、音频、标注、联系人或乐谱库内容。
• 绝不会发送的内容。邀请验证和奖励兑换不涉及任何乐谱、PDF、标注、录音、麦克风音频、演奏记录、乐谱库内容、通讯录或设备名称。
• 保留期限。成功的邀请记录和积分使用记录会在计划运作期间保留，以保证积分正确并防止重复计分。过期的待处理令牌和频率限制计数器会定期清除。兑换访问日志只为运作和保护奖励系统而保留。
• 存放位置。邀请和奖励记录保存在 Cloudflare 基础设施上的 Cloudflare D1 数据库中。Cloudflare 是我们的数据处理者。
• 法律依据（GDPR）。在适用时，为我们管理和保护这一可选邀请计划的正当利益，第 6(1)(f) 条；以及在你选择参与时履行邀请优惠，第 6(1)(b) 条。

8b. 翻页问题报告

如果 CueFlip 翻页的时机不对，你可以在 App 里把那次演奏的报告发给我们（在阅读器中选择··· → 报告翻页问题），让我们找出原因并修好。发不发完全由你决定，而且 App 本身什么都不发送：它把报告存成一个文件，由你在本网站的 cueflip.com/report 上传，或者用邮件发给我们。

• 报告包含的内容。你选中的那几次演奏中麦克风收到的声音，以及 CueFlip 跟随你演奏、翻页过程的详细日志；此外还有你教 CueFlip 这首曲子时的录音和它从中学到的内容、乐谱名称和翻页标记，以及设备型号、系统和 App 版本、电量和时间。报告不包含乐谱 PDF、你的标注，也不包含其他乐谱的任何内容。
• 离开设备之前就已加密。在你看到这个文件之前，App 就已用只有 CueFlip 团队持有的密钥把报告封存。本网站和 Cloudflare 保存它，却都无法打开；无论是传输途中被截获，还是从存储中被取走，副本都无法读取。
• 网站保存的内容。加密的报告、它的到达时间和大小，以及你在上传页面上自己添加的内容：可选的邮箱地址、可选的问题描述、页面的语言，以及链接里带的 App 版本。报告不附带保存任何 IP 地址、User-Agent 或国家和地区。为了防止上传功能被滥用，网站会统计最近从同一连接发起的上传次数，依据的是该连接 IP 地址加盐并截短后的摘要，使用的是和问卷相同的计数器（第 8 节），并在两小时内删除。
• 用途。只用于找出翻页出错的原因并加以改进，绝不提供给其他任何人。如果你留了邮箱，它只会用于就这份报告联系你。
• 保留期限。我们分析完一份报告就会删除它；存储上设有规则，每份报告连同你添加的内容最迟在到达 90 天后自动删除。你取消或中途放弃的上传会在一天内清除。如果你改用邮件发送报告，我们会在同样的 90 天内删除那封邮件。
• 存放位置。Cloudflare 基础设施上的一个私有 Cloudflare R2 存储桶，只有我们能访问。Cloudflare 是我们的数据处理者，并对任何跨境传输适用标准合同条款。用邮件发来的报告按第 7 节所述的方式到达我们这里。
• 法律依据（GDPR）：你的同意，第 6(1)(a) 条，即你选择发送报告。你可以随时撤回：附上上传页面显示的编号写信给我们，或者用你随报告留下的邮箱写信，我们就会删除它。

8c. 本网站上的广告

我们会为 CueFlip 投放广告，包括在 Instagram 上。本节只适用于来自我们自己广告的访问，也就是通过带有活动参数的链接（例如 utm_source，或 Meta 的点击标识符 fbclid）到达的访问。本网站的其他任何访问都不会被统计：页面不会向我们的统计服务发送任何内容，不会在你的浏览器中存储任何东西，也不会从 Meta 加载任何内容。问卷、邀请和翻页问题报告这几个页面，无论你是怎么到达的，都不会被统计。App 不做其中任何一件事。

• 我们记录这次访问的哪些内容。链接标明的广告、广告系列和展示位置；你查看过的页面；页面可见的时长；你滚动到了哪里；你看到了页面的哪些部分；你点按过的链接和按钮（记录它们的目的地或标签，绝不记录你输入的任何内容），包括 App Store 链接；脚本错误和页面速度的测量值；Cloudflare 从请求中得到的国家或地区和区域代码；你的设备类型、系统版本、浏览器，以及你是否通过 Instagram 这类应用内浏览器访问；屏幕尺寸、语言和时区；以及在你的浏览器中生成的随机访问标识符。我们不保存你的 IP 地址，也不保存你的 User-Agent 文本。
• App Store 链接。点按它会先经过本网站，网站记下这次点按，再带你前往 App Store，并在地址上附加一个广告系列标签。Apple 会按这个标签向我们汇总报告下载和购买。这能告诉我们哪条广告带来了下载，而不是你是谁；我们无法把某个人的下载和某个人的访问对应起来，App 也不会回传任何信息。
• 你的选择。在欧洲经济区、英国和瑞士，我们会先询问。在你同意之前，这次访问会在没有任何标识符的情况下被计数：浏览器中不存储任何东西，不设置任何 Cookie，也不向 Meta 发送任何内容。在其他地方，本节和页面底部的“隐私选项”链接就是告知，你可以在那里关闭统计。浏览器发出的 Global Privacy Control 信号在任何地方都按拒绝处理。拒绝或关闭后，下面描述的标识符会被删除。
• 如果你同意，或你所在地区无需同意而你没有选择退出。你的浏览器会保存一个随机的回访标识符（直到你清除网站数据），并在标签页存续期间保留这次访问的细节。我们会加载 Meta 像素，它会设置 Cookie（_fbp 和 _fbc），并在你查看页面、点按 App Store 链接时告知 Meta；我们的服务器也会通过 Meta 的转化 API 把同样的事件告知 Meta，附上你的 IP 地址、浏览器的 User-Agent，以及你的国家或地区和该标识符（后两者经过哈希处理），以便 Meta 把它们匹配到某个账号。Meta 依据它自己的隐私政策，用这些信息衡量我们的广告效果，并把广告展示给可能感兴趣的人；Meta 作为独立的控制者，自行决定如何处理收到的数据。我们已关闭像素对表单字段和按钮文字的自动匹配。这是本网站唯一一处把某次访问的信息分享给广告公司的地方；《加州消费者隐私法》把这称为“共享”（sharing），上面的选择就是你的退出方式。
• 存放位置。访问记录保存在 Cloudflare 基础设施上的 Cloudflare D1 数据库中，Cloudflare 是我们的数据处理者。记录会在 13 个月后删除。只有我们能读取。
• 法律依据（GDPR）。对于存储在你的浏览器中或从中读取的任何内容，以及发送给 Meta 的内容，依据是你的同意（第 6 条第 1 款 (a) 项，同时也满足 ePrivacy 规则）；你可以随时通过页面底部的链接撤回。对于不带标识符的访问计数，依据是我们想了解广告是否有效的正当利益（第 6 条第 1 款 (f) 项）。
• 查看或删除记录。访问记录关联的是一个随机标识符，而不是你的姓名。如果你想删除它，请通过电子邮件把你的浏览器在本网站的站点数据中保存的 cueflip.uid 的值发给我们（如果有的话）；没有它，我们无法判断哪条记录是你的，而记录会在 13 个月后自动删除。

9. 由你控制的权限

两项权限都可以随时在 iOS 的设置 → 隐私与安全性中授予或撤销。CueFlip 不请求访问你的通讯录、照片、日历、位置、健康数据，也不访问你导入乐谱时亲自选择的文件以外的任何文件。

10. 儿童

CueFlip 是给乐手用的工具，并非面向 13 岁以下（或你所在国家或地区规定的相应最低年龄以下）的儿童。它的核心乐谱、音频、标注和演奏功能不会把数据发送给我们。可选的网站功能在被主动使用时，可能会收到问卷中的邮箱地址、上文所述的假名化邀请信息，或翻页问题报告。如果你认为有儿童通过网站或邮件向我们发送了个人信息，请联系我们，只要能找到相应记录，我们就会删除。

11. 你的权利

如果你身在欧洲经济区、英国、瑞士、加利福尼亚州，或其他有类似法律的地区，你对我们持有的你的个人数据享有以下权利：访问、更正、删除、限制处理、反对处理和数据可携带，以及不因行使这些权利而受到歧视的权利。

实际上这个范围很窄。我们可能持有的可识别信息，是第 7 节所述的往来邮件、问卷回答附带的邮箱地址、邀请计划使用的假名标识符，以及你发送的翻页问题报告和你随它添加的内容。给我们发邮件，我们会在 30 天内免费处理有效的请求。除非你发送报告，你的乐谱、录音、标注和演奏数据都留在你的设备上，完全由你掌控：

• 查看或导出 App 保存的数据：使用 App 设置中的导出功能。
• 删除 App 保存的数据：删除 App。App 在那台设备上创建的一切都会一起删除。
• 网站上的记录：给我们发邮件。如果是邀请记录，请附上你手上的邀请链接或设备生成的邀请标识符，以便我们在不猜测你身份的情况下找到这条假名记录。

如果你身在欧洲经济区或英国，并认为我们处理你的数据不当，可以向你所在国家的监管机构投诉。

12. 变更与联系方式

如果我们对本政策做出对你有实质影响的修改，会更新本页顶部的日期。如果未来某个版本的 CueFlip 开始从核心 App 收集新的一类数据，我们会更新本政策，并在法律要求时征得同意，而不会悄悄开始。

关于隐私或本政策的问题：

[email protected]