FAMILY CLOCK · PRIVACY

隐私政策

让家人的信息共享，有清晰的边界。

更新于 2026 年 9 月 23 日 · 版本 1.9

适用范围与联系方式

家迹钟（FamilyClock）由宜创智维（山东）智能科技有限公司（Shandong Yichuang Zhiwei Intelligent Technology Co., Ltd.）提供。本政策说明 iOS App、Apple Watch App 与家庭服务所使用的信息。如有隐私问题或需要提出信息处理请求，请联系 contact@etron.net.cn。

账号与家庭关系

已核验的 App Store 账户对应你的成员，无需另行“通过 Apple 登录”。共用同一个“媒体与购买项目”账户的设备拥有相同的家庭访问权限；当该账户拥有订阅时，也拥有相同的管理权限。App 不请求通讯录或邮箱。已创建的旧账户可能仍需处理原 Apple 登录记录，以完成迁移与清理。

家庭服务保存账号标识、你选择的称呼与头像、成员颜色、家庭关系、邀请与加入申请记录，以及订阅核验记录。家庭成员可以看到你共享的资料和当前状态。持有有效邀请、已验证账户的申请人可先查看家庭名称、订阅人称呼与成员人数，再提交申请；订阅人会收到申请人选择的称呼，并决定是否批准加入。

照片或贴纸头像仅在你主动选择或粘贴后导入，App 生成小尺寸头像并去除图片元数据后共享，不扫描相册或自动读取剪贴板。你为其他家人设置的本机称呼属于个人设备偏好，不会修改对方共享名片。

由你控制的自动状态

在开启日常更新并授予定位权限后，设备使用保存的地点、地理围栏与城市解析判断当前状态。设备结合一段时间的位置观测，区分移动与在附近停留。可选 Wi-Fi 辅助使用当前连接的网络；在你开启活动辅助并授予运动与健身权限后，系统活动分类可辅助位置判断。未授予运动与健身权限仍可使用定位识别。确认时间超过各状态的离线阈值时，保留上次状态和更新时间并标为离线；首次没有观测时等待状态。来源手机或平板处于前台时，还会低频读取本机陀螺仪和去除重力的加速度，判断设备是否长时间完全静置；达到相应状态阈值时，即使位置仍更新也显示离线。后台不持续读取这些传感器，也不会将无样本当作静置证明。原始读数只在本机短暂使用，仅末次设备活动时间及末次观测时间可随状态加密共享，用于其他设备判断离线。App 不采集车载音频连接信息，不录音、不使用麦克风。

日常状态不会向家庭服务上传当前位置、私人居所及公司学校的坐标、Wi-Fi 名称与标识或原始运动读数。 服务保存“在家”“在居所”“移动中”等末次状态、来源、确认时间和识别版本，不建立日常位置轨迹。移动中满 30 分钟、停留满 60 分钟、已知地点或远行满两小时未确认时显示离线。服务可保留末次记录，直至被新记录替代或按相关家庭、账号生命周期清理；只有当前权限允许时才能读取，离线不会延长成员访问权限。当前活动城市和是否有多个常驻城市可随状态加密共享；有多个常驻城市时，家人卡片会显示活动城市。地址、城市及相关地点查询使用 Apple 的定位、地理编码和地图服务。必要时会将已保存地点坐标及一次当前位置坐标提供给 Apple，以解析相关地点；这些查询不会向家庭服务上传日常位置轨迹。

订阅人设置的共同家位置、简略地址及可用城市信息经加密保存，并作为独立的家庭配置同步到当前成员设备；仅订阅人可修改。退出家庭后清除该家庭配置。成员本人可设置私人居所，公司和学校也由本人管理；这些个人地点及对应 Wi-Fi 规则保存在本人设备，启用私人规则同步后也会保存到本人 iCloud 私人数据库，供同一 iCloud 账户的设备同步，不作为日常状态发送给家人。共同家的 Wi-Fi 绑定不进入私人规则同步。家、居所、公司和学校所在的城市均作为常驻城市。只共享当前活动城市，不向家人提供全部私人地点地址或日常坐标。

新版 App 在新安装后首次接通家庭、且账号尚未选择过状态来源时，默认将本机选为状态来源；实际自动识别仍需系统授权。已有的状态来源选择和手动暂停会保留。你可关闭可选辅助方式，在系统设置中撤回定位或运动权限，或暂停本机更新。没有权限不代表你在家或正在休息；系统也可能限制后台更新，因此状态可能过时。

Wi-Fi 辅助读取当前连接的网络名称（SSID）及接入点标识（BSSID）的 SHA-256 指纹，不读取上网内容，也不将原始 BSSID 保存为规则。保存的地点绑定用于辅助判断；原始运动样本不作为日常状态上传。关闭辅助方式会停止后续读取，但不等于删除已保存的绑定。

Apple Watch 可通过自身网络连接，使用手表当前的 App Store 账户和家庭提供的邀请码申请加入。手表的自动状态分享默认关闭，开启前需要本人选择并授予定位权限；个人地点保存在手表本机。手表可读取家庭资料和当前状态，向家庭服务发送账户、设备验证及日常语义状态，不发送日常精确坐标。断开账户只清除此表的本机数据；删除账户会影响该账户在所有设备上的家庭访问，且不会取消 Apple 订阅。

系统权限与可选功能

阅读本文无需账户或传感器权限。加入家庭或恢复购买不会自动授予定位、运动或照片访问权限。

仅在主动求助时共享位置

在支持持续位置更新的版本中，只有你本人新发起求助、打开位置选项并明确确认后，App 才会在该求助期间持续尝试获取精确或大致位置，并向当前有权访问的家庭成员共享最新位置、精度和采集时间。拒绝定位或关闭位置选项仍可发起求助；无法取得位置时不会使用猜测的位置代替。已有求助、旧版单次位置请求及原有定位授权不会因升级自动变成持续位置共享，也不会仅因打开 App 或恢复购买而启动。

求助位置通过家庭服务保存和授权共享，仅保存最新一条位置，新位置替换旧位置，不建立求助轨迹。在新发起并选择持续共享位置的求助解除前，最后一条位置不会因为一小时没有更新而自动清除；新位置会覆盖旧位置。旧版单次位置请求仍按原有限期限清理，不会因升级扩大旧授权。位置是否可用不影响求助事件本身。

求助事件持续到发起成员本人解除，其他成员确认、普通状态过期或暂停日常共享均不会解除。在本机解除时，App 立即停止本机的求助定位并清除本机求助位置信息，同时通过网络撤回服务中的位置；离线或网络失败时，撤回会在连接恢复后重试，服务收到撤回前，当前有权访问的家庭成员仍可能看到最后一条位置；旧版单次位置仍受原有限期限约束。离开家庭会移除该家庭中的可见性，不代表本人已经解除。基础设施备份、家人已看到的内容及离线副本可能无法立即消失。

持续更新受系统定位授权、精确位置选择、后台调度、网络及强制退出等限制；撤回权限、无网络或强制退出可能中断更新。App 不承诺固定更新间隔、即时送达或可靠急救，不会联系紧急救援人员，也不是紧急救援调度服务。发生紧急情况时，请直接联系当地适用的紧急服务。

购买、设备与服务运行

付款由 Apple 处理。服务接收已签名的交易信息，核对商品、购买人关联、订阅状态与有效期，以决定家庭是否可更新日常状态；服务不会获得你的银行卡资料。一个购买账户拥有一个家庭名额，最多包含六个账户成员。恢复购买会找回同一账户及原家庭，订阅失效时不会恢复付费更新。这不等同于 Apple 系统“家庭共享”权益。

服务还使用安装标识，以及在支持并完成注册时使用的 Apple 推送令牌，识别当前发布状态的设备、请求后台刷新，并在你允许时投递提醒。认证、限流、请求去重及运行记录用于保障服务。云与网络提供商可能在运行基础设施时处理连接及请求元数据。

设备验证使用 Apple App Attest、设备公钥、一次性验证请求及可撤销会话。服务保存保护账户访问所需的验证与安全记录，不会获得你的 Apple 密码。日常状态仅由你选定的设备发布；恢复账户不会自动授予定位权限或切换发布设备。

Apple 推送通知服务（APNs）除了后台刷新提示，还可发送通用的状态变化或求助提醒。推送包含用于打开对应内容的事件、家庭和接收账户标识，不含成员姓名、具体状态、坐标、Wi-Fi 标识或头像；打开后仍需核验当前账户及家庭访问权限。推送送达及小组件刷新受网络、专注模式及系统调度控制，不能证明家人已经收到或阅读求助。App 未接入广告或第三方统计分析 SDK，不使用广告标识符进行跟踪。

通知功能可用时，家庭服务保存你按状态设置的进入或离开提醒规则，以及紧急求助通知开关。这些是账户级偏好，无需选择具体成员，也可在加入家庭前配置；实际提醒仅针对当前有权访问的家庭中的其他成员。设备登记同时保存通知许可状态和提醒语言。为判断规则是否匹配，服务另外处理最少的状态枚举、确认时间和有效期，结合当前家庭权限生成短期提醒任务。坐标、Wi-Fi 名称与标识、头像和原始传感器读数不进入通知判定或投递链路。

保存方式与服务提供商

Apple 提供 StoreKit 付款、交易信息、设备证明及相关系统服务；Supabase, Inc. 作为受托服务提供商提供托管认证、数据库与服务端函数，按服务安排处理家庭服务数据；其隐私联系邮箱为 privacy@supabase.com。涉及家迹钟数据的请求请先发至 contact@etron.net.cn，我们会按需协调提供商处理。其隐私政策说明提供商角色及联系渠道，不替代本政策。当前家庭数据库部署在美国西部，因此在中国大陆使用时，发送至该服务的信息将在境外处理。

连接使用传输加密，受保护的家庭内容使用静态加密。这不是端到端加密：家庭服务可为授权共享与订阅核验处理数据。我们不出售个人信息，也不将其用于广告。

未启用 CloudKit 日常内容模式时，家庭服务把末次状态及可选的活动城市、是否有多个常驻城市、末次设备活动时间和末次观测时间保存在加密的状态内容中。启用该模式后，这些字段随状态写入设备端加密的 CloudKit 内容。两种方式都不将原始陀螺仪或加速度读数、日常坐标、Wi-Fi 标识作为状态内容共享。

启用 CloudKit 日常内容模式时，你的日常状态和头像会先在设备上加密，再保存到 Apple CloudKit 的公共数据库，供获授权的家庭共享使用。每次更新使用新的随机记录标识和独立加密密钥。公共记录不保存可直接阅读的状态正文、头像图片、称呼或家庭标识，但记录大小、时间、创建者标识及服务环境等技术信息仍可能可见。“公共数据库”并不按家庭成员关系限制密文本身的读取；没有相应解密密钥，不能仅凭这些密文读取内容。

同一模式还会在你当前 iCloud 账户的 CloudKit 私人数据库中，使用加密字段保存你本人最近的日常状态和头像档案。该私人档案与家庭共享密文、可选的私人规则同步分别处理，不使用 Apple 系统“家庭共享”来管理成员。App Store 购买账户与 iCloud 账户可以不同；更换 iCloud 账户不会改变家庭服务中的成员或订阅权限。

Supabase 家庭服务继续保存订阅、家庭关系、权限、设备及必要的共享索引，并以加密形式保存每次内容更新的解密密钥。上述最少通知判定数据仍单独提交给家庭服务，不改变 CloudKit 日常内容与私人档案的保存方式。服务核验当前会话和家庭访问权限后，向获授权的设备提供相应记录标识与密钥。因此，这种安排不属于服务方无法解密的端到端加密。共同家配置、求助事件及你主动开启的求助最新位置继续通过家庭服务按本文方式保存、授权访问和清理，不进入 CloudKit 日常内容模式；已有日常状态和头像可在本人的新内容成功保存后逐步迁移。

设备本地保存设置、受保护的登录凭据和家庭缓存；Widget 读取受限的本地 App Group 快照。个人设置按你的选择通过 Apple CloudKit 的私人数据库同步，设置内容写入加密字段。该同步与家庭服务中的共同家配置及日常状态共享分开。

提供商说明：Apple 隐私政策与 Supabase 隐私政策。只有你选择链接后才会打开外部页面。

发送至境外家庭服务的信息包括账号与设备验证记录、自选资料、家庭关系、购买核验记录、当前语义状态、共同家配置，以及你选择提供的求助位置。Apple 系统服务、私人 iCloud 数据及上述 CloudKit 日常内容依 Apple 的服务安排处理；前述美国西部数据库部署说明指 Supabase 家庭服务，不表示 CloudKit 数据也存放于同一区域。各提供商的隐私政策列有联系方式与权利申请渠道；涉及这些提供商的数据请求，你也可通过我们的联系邮箱寻求协助。

小组件仅获取称呼、缩略头像、状态及更新时间等本机精简快照，不包含精确求助位置、Wi-Fi 标识或位置历史。旧版 CloudKit 家庭分享有独立的授权与删除入口。

信息保留与清理

日常状态的离线阈值最长两小时，具体为 30 分钟、60 分钟或两小时，不代表数据库在该期限内物理删除。达到相应阈值后仍保留末次已确认状态及其原更新时间，并标为离线；首次没有可靠记录时显示等待状态。已实际观测到设备持续静置达到同一阈值时，即使定位继续更新也可显示离线。服务可能保留最近一条记录，直至被替换或随相关资料清理；保留记录不延长访问权限。家庭资料与配置在提供相应家庭服务所需期间保存。

在 CloudKit 日常内容模式下，旧的公共密文会在被替换或相关共享记录被删除后进入清理流程。网络中断、离线设备、iCloud 账户切换及服务重试可能延迟清理。对于上传成功但未完成家庭服务登记的密文，服务端清理功能启用后会在至少 24 小时的保护期后检查是否仍被使用，再安排清理；这不是 24 小时内删除完毕的保证。状态有效期、访问权限撤销和密文的物理删除是不同事项。

退出或被移除不会删除你本人在私人 iCloud 中的状态和头像档案。删除家庭服务账号时，App 会在撤销家庭服务访问后尝试清理当前 iCloud 账户中对应的个人档案与已知公共记录；其他 iCloud 账户中的副本、离线副本及备份可能需要额外处理和时间。你可以通过 Apple 提供的 iCloud 存储管理入口或联系本政策所列邮箱寻求协助。我们不保证立即物理删除所有副本。

关闭私人规则同步只停止规则同步，不会抹除已经保存到私人 iCloud 的副本；删除家庭服务账号也不等于删除私人 iCloud 设置。请通过 Apple 提供的 iCloud 存储管理入口管理，或联系我们协助处理。云服务备份按提供商配置的生命周期保留与清理，不承诺全部备份即时删除。

管理权限与信息

你可在设置中修改资料、选择自动方式、关闭本机更新、管理成员关系并申请删除账号。关闭日常更新与结束已主动发起的求助是两项独立操作。无需付费即可取消待处理的加入申请，普通成员也可退出家庭。如果家庭管理员还有其他成员，删除账号前须先通过移除成员或解散家庭等现有操作处理家庭。

退出或被移除后，服务会阻止继续获取该家庭的新共享内容；启用 CloudKit 日常内容模式时，也会停止向已失去权限的成员提供相应的解密密钥。撤销权限不能收回此前已下载的明文、密钥、截图或其他副本，也不能撤回在撤销前已获授权并正在传输的响应。删除账号或退出家庭不会取消 Apple 订阅，请另外在 Apple 订阅设置中管理。如需访问、更正或删除信息方面的协助，请联系 contact@etron.net.cn，不要通过邮件发送密码或支付资料。

你可申请查阅或复制个人信息、更正、删除、在适用情形下限制或拒绝处理、请求转移，或要求解释本政策。可选授权可通过 App 或系统设置撤回；撤回影响后续处理，可能导致相关功能不可用，但不影响撤回前已依法完成的处理。处理请求时，我们仅核验保护账户所必需的信息，在适用法律要求的期限内答复，并在无法满足请求时说明理由。你也可向有权主管部门投诉。

敏感个人信息与未成年人

精确位置和保存的家地址可能暴露你或家人的居住地及当前所在位置。这些信息仅用于前述地点配置或本人确认的求助共享。即使是简明状态与时间，也可能向家人反映你的日常活动。请只与信任的家庭成员共享。家人可能保存或转发已看到的信息，撤销访问无法收回这些副本。

未成年人应在父母或其他监护人知情参与下使用。依中国法律，不满十四周岁未成年人的个人信息受到特别保护；提供或共享这些信息前，须取得依法所需的监护人同意。未取得必要同意时，请勿提供儿童信息。监护人可联系我们申请查阅、更正或删除；如发现未取得必要同意的处理，我们将依法采取停止相关处理、删除等措施。

敏感信息处理或向境外提供信息依法需要单独同意或其他法定程序时，本政策及系统权限提示不能替代相应程序。阅读本页不表示同意共享或境外处理。

访问公开网页时

etron.net.cn/familyclock/ 下的公开法律页面无需登录即可阅读。页面不含脚本、广告、统计标签或表单，不设置应用 Cookie。网站服务器及 Cloudflare 内容分发和安全服务可能处理 IP 地址、请求网址、访问时间、浏览器信息与技术错误记录，用于提供网页及保障网站安全；这些记录与 App 家庭记录分开。其处理方式与联系渠道见 Cloudflare 隐私政策。阅读 App 内离线副本本身不会连接该网站。

文档更新

本文件随 App 保存，支持离线阅读；更新日期用于标识当前版本。数据处理方式变化时，我们会公布更新日期与政策；涉及重大变化时，依法提供必要的告知及同意流程。阅读本页不会授予新权限或开始共享。