隐私说明
您可以不登录使用日历和记录。启用邮箱同步后，账号资料及个人记录会发送至开发者自有的香港云服务；天气、假期和人机验证也涉及第三方服务。本页说明这些数据的用途、保存位置、保留期限及删除方式。
私人记录如何保存
您输入的出差地点、起止日期、生日、其他重要日子和备注，保存在设备上本 App 的独立沙盒文件中。不登录也能使用日历和记录。访客记录不会自动上传为账号资料；这些记录也不会附带在公开天气或假期请求中。登录后的记录按下文的账号同步流程处理。
您选择的天气城市、国家或州级假日地区和公司补休开关，保存在 App 沙盒的本机设置文件中。访客与每个邮箱账号分别保存，新安装没有预设私人城市，公司补休默认关闭。这些地点与假日偏好不包含在本版 version 1 JSON 备份或账号云同步中；换设备需重新配置。公开天气、节假日缓存保存在 App 自己的 UserDefaults。
本 App 免费，无广告、订阅或第三方广告跟踪 SDK，不以这些数据建立广告画像。账号人机验证使用 Cloudflare 安全组件及安全分析统计，数据处理另见下文；无广告不代表没有分析或所有数据都留在设备。
当前使用本机文件保存记录，不提供独立的密码加密功能。设备本身的安全和系统备份取决于您的系统设置；iOS 设备备份可能包含 App 数据，这与 App 自行提供账号云同步不同。
联网时发送哪些信息
获取公开天气和节假日需要 HTTPS 请求。提供方会收到请求参数及普通网络信息，包括您的网络 IP 地址；因此不能把当前版本理解为“任何数据都不会离开设备”。请求不附带您的出差、生日、备注或备份内容。
- 城市搜索：把您输入的城市查询文本通过
name参数发送给geocoding-api.open-meteo.com，以取得匹配的城市、行政区、国家、坐标和时区。您选中结果后才保存到本机；搜索和选择出差城市也使用这个服务。查询文本会交由提供方处理，其是否逐条写入日志及保留方式未逐项公开，不能保证查询会即时丢弃。 - 天气：请求
api.open-meteo.com，传递您所选城市的经纬度、天气字段、时区参数和六日预报天数。添加出差城市时，该城市也会加入天气列表。城市坐标可能反映您选择的出差目的地，但请求不附带完整行程、日期、备注、邮箱或重要日子。App 不申请定位权限，也不读取您设备的 GPS 位置。 - 中国大陆假期：通过
cdn.jsdelivr.net获取 NateScarlet/holiday-cn 对应年份的数据。 - 马来西亚假期：请求
malaysia-holiday.dydxsoft.my，只传年份，下载当年所有地区的清单，再在本机按所选州或直辖区筛选。“全国共同假期”取适用于全部 16 地区的记录，不是所有州专属假期的合集。 - 香港公众假期：从
www.1823.gov.hk下载固定地址的官方简体中文 JSON，再在本机选择年份；请求不发送您选择的年份、城市或私人记录。来源为香港政府 1823，按政府公报列出实际公众假期及已公布的补假日期。截至 2026-10-12，该滚动数据集覆盖 2025–2027 年；未覆盖年份会提示数据暂缺。来源说明见官方数据集。 - 其他支持国家：请求
nagerholidays.com的国家目录，或传递国家代码和年份取得 Nager Community v4 的节日本日；该来源不提供实际补假或顺延日期，休息日以当地公告为准。奥地利可按州在本机筛选，其余支持国家本版只取来源标为全国适用的条目，不代表每个地区或雇主都放假，也不声称美国数据等同完整的联邦雇员或各州休假安排。不保证每个国家或年份都有数据。中国、马来西亚和香港使用上述各自来源。
Open-Meteo 的免费 API 隐私条款说明，其可能为技术维护和防滥用处理 IP 信息，排障日志可能包含请求坐标，并在 90 天后删除日志。这里传递的是您主动选择的城市坐标，不是设备实时位置。该条款没有逐字段说明免费地名搜索日志是否保存 name，不能据此断言每条搜索必然被保存 90 天。第三方的具体处理以其最新政策为准。来源：Open-Meteo Terms & Privacy及 Geocoding API 文档。其他国家假日服务的条款见 Nager Terms of Service。
其他公开数据提供方也可能接收或记录网络请求；开发者不控制其日志处理。账号人机验证使用第三方安全脚本，并包含挑战交互、来源和验证结果的安全统计，其数据流另见下文。您选择打开外部链接时，相关网站适用自己的隐私规则。
备份、分享与删除
在“更多”导出 JSON 备份，会把当前访客或账号的出差、重要日子及备注写入您选择的文件位置；不包含天气城市、常用假日地区或公司补休偏好。JSON 文件包含可直接读取的私人记录。选择 iCloud Drive、其他云盘或分享对象，是您的手动文件操作；对应服务或收件人可能获得文件内容。App 不自动把导出的备份文件上传到第三方；账号记录本身按账号同步流程处理。
恢复备份先完整校验，再由您确认替换当前访客或账号的全部记录。账号恢复后的记录可能进一步同步，访客文件仍独立保存。删除记录会更新本机当前记录文件；账号记录在下一次成功同步时更新云端资料。
记录文件损坏时，App 会保留原文件并提示读取失败；损坏的账号记录不能直接打开继续编辑。记录恢复过程可能在沙盒内保留可恢复副本。删号时会清理能明确归属于该账号的记录及恢复副本；无法归属的损坏副本会保留，避免误删其他资料，需通过卸载 App 或联系支持安排人工清理。本说明不承诺删号会擦除所有沙盒文件。
删除当前记录不会自动删除您导出的文件、别人已收到的副本或已有系统备份。要移除这些副本，请分别管理对应文件和系统备份；卸载 App 通常会移除本机 App 沙盒数据。
邮箱账号与个人同步
账号功能使用邮箱验证码注册或登录，无需设置密码。邮箱用于验证身份、发送账号验证码及识别您的账号。验证码邮件由腾讯云 SES 香港服务发送。该邮件服务接收收件邮箱和验证码邮件内容，不接收您的出差或重要日子；验证码通过普通邮件传递，不是端到端加密通信。邮件提供方和您的邮箱服务可能按各自规则处理邮件及投递记录。参见 腾讯云隐私保护声明及 Tencent Cloud Privacy Policy。
选择登录和同步后，邮箱、随机用户编号及您的出差、重要日子与备注保存在开发者自有的香港云服务。各账号的数据分别保存，服务端按登录身份限制访问。天气城市和假日偏好仍只按本机账号保存，本版不随账号同步上传。账号请求通过 https://calendar-api.aistella.net 的 HTTPS 连接传输；登录凭据保存在设备 Keychain，设备上的账号记录和访客记录分别保存。第一次登录不会自动导入访客资料，您可以选择导入后同步。服务器需要处理同步内容，这不是端到端加密同步；本说明不承诺数据库或备份具有静态加密。
同步遇到同一记录的不同修改时会要求您选择。删除一条记录后，下一次成功同步会更新云端资料。退出只退出当前设备，不删除账号或云端资料；本机按账号保存的离线记录仍保留。卸载和外部备份仍由设备系统及您选择的存储服务管理。
可在“账号与同步”申请删除账号：向当前邮箱重新获取验证码，再确认删除。成功后服务端删除在线业务资料中的账号、个人记录、相关登录会话与验证码；此设备的清理包括账号记录、账号地点偏好和账号天气缓存。独立访客记录、访客偏好及您自行导出的备份不属于账号数据，不会因此删除。若本机清理失败，按 App 提示完成后续处理。
为防止恢复旧业务备份时重新开放已删除账号，成功删号时会在独立审计库中保存旧用户编号（UUID）、规范化邮箱的 SHA-256 摘要及删除时间。标记不包含邮箱明文、行程、重要日子、备注、验证码或登录令牌，但仍能关联同一旧账号，并非匿名数据。这些标记不会随账号删除而清除，具体保留方式见下文。
为限制验证码发送、错误尝试和服务预算，服务器保存邮箱及网络 IP 的摘要计数。摘要仍用于区分同一邮箱或网络，不将其表述为完全匿名数据。删除账号不会立即清空全部短期限流计数或全服务累计预算，其保留方式如下。
服务器保留期限、日志与备份
- 在线账号邮箱、用户编号和云端记录：保留至您成功删除账号；旧用户编号及邮箱摘要仍会保存在下述独立删号审计中。单条记录在成功同步删除后从在线资料移除。退出登录或卸载 App 不等于删除云端账号。
- 验证码及验证记录：验证码有效期 10 分钟。登录会话有效期为 30 天。人机验证 token 最长接受 5 分钟内的验证结果；防重放使用摘要保存 10 分钟。到期后不能继续用于验证，相关到期记录每小时清理；实际物理清理可能晚于失效时间。
- 在线邮箱/IP 限流摘要：小时、分钟及每日窗口结束后额外保留 1 天，每小时清理。正常运行时，在线短期摘要从窗口开始计通常最迟约 2 天加 1 小时清理。运维故障可能延迟任务，不承诺故障期间仍按时删除。恢复操作为保全安全限制而在独立审计库暂存的摘要计数副本，不适用这一在线清理期限。
- 全服务累计发信计数：仅保存全服务汇总数量，不包含邮箱或 IP，持续保留至管理员人工重置，不因删号而清空。
- 独立删号审计及恢复副本：旧 UUID、邮箱 SHA-256 摘要和删除时间持续保留，以核对旧备份中的已删账号。目前未配置自动到期；每日导出的删号审计文件也未配置自动清理。恢复操作暂存的限流摘要计数副本目前同样没有自动清理。它们不适用业务备份的 7 天规则；如需清理，须由管理员先核对可恢复备份和仍需保留的删除效果，再安排安全处理。您可以通过支持邮箱询问这些资料的处理方式。
应用日志只输出固定运行或错误状态，不记录请求内容、邮箱、验证码、登录凭据或私人记录。应用容器日志按容量轮转，最多保留 3 个文件、每个 2 MiB，没有固定的保留天数。当前反向代理未启用访问日志。以上仅说明本服务自身的日志设置；操作系统、云厂商或邮件提供方的日志处理以各自规则为准。
业务数据库计划每日在 03:20 UTC 备份，最多约 2 分钟随机延迟。备份目录和文件限制为服务器管理员访问；每次成功备份后，删除文件修改时间超过 7 天的业务备份。删除在线账号不会立即擦除已生成的历史业务备份，旧资料可能保留至到期清理；到期后仍需等待下一次成功任务，运维故障可能进一步延迟。独立删号审计及其导出文件另行保存，不随这些业务备份到期删除。
历史业务备份只用于故障恢复。恢复期间会关闭账号服务访问，依据仍保留的独立审计逐一核对并删除旧账号 UUID，清除恢复出的登录会话和验证码，经校验后才重新开放。后来用同一邮箱注册的新 UUID 不会仅因邮箱相同而被删除。缺少相符审计标识的旧备份会被拒绝，包括删号审计启用前生成的备份，不能作为自动恢复并开放服务的基线。
上述保护针对保留独立审计的业务备份恢复，不保证整套 MySQL 存储卷回退、损坏或审计资料丢失时仍能保留全部删除效果；周期性导出的审计也可能尚未包含最新删除，不能仅凭旧导出文件认定可以重新开放服务。您自行导出的文件、别人收到的副本及设备系统备份，不受本服务业务备份的 7 天清理规则控制。
人机验证与 Cloudflare
账号获取验证码时使用免费的 Cloudflare Turnstile，通过 App 内网页加载 Cloudflare 验证脚本，阻止机器人滥发邮件。免费方案也涉及第三方数据处理。
Cloudflare 可能处理客户端 IP、TLS 指纹、User-Agent、sitekey 和来源等安全信号，用于识别人机、阻止机器人并改进防机器人能力。服务器还将验证令牌与请求的客户端 IP（remoteip）发送到 Cloudflare Siteverify API，核实验证结果。处理规则见 Cloudflare Turnstile 隐私补充条款。
Turnstile 还提供跨请求的安全分析：按来源 IP、国家、浏览器、User-Agent 和操作系统统计挑战请求；统计挑战完成、失败、放弃及是否需要点击等交互；统计 Siteverify 验证成功或失败。这些统计用于发现异常来源、机器人活动或验证配置问题，评估并改善防滥用效果。本 App 不把这些统计用于广告画像或广告跨应用跟踪。来源：Turnstile Analytics、挑战结果统计及 验证结果统计。
Free 方案的 最长 7 天分析查询窗口指可查看的统计时间范围，不等于 Cloudflare 全部原始信号的删除期限。验证 token 的 5 分钟有效期和本服务防重放摘要的 10 分钟保存期，也不能解释为 Cloudflare 会在这些时间后删除所有资料。本服务不替第三方承诺未核实的原始信号保留期限。
联系与生效信息
个人开发者：Felix Wang。支持邮箱：mywy8866@gmail.com。如需了解、导出或删除账号数据，或在 App 中无法完成删除，请通过此邮箱联系支持。请不要在反馈中提供验证码、登录令牌或云服务密钥。