English · 简体中文 · 繁體中文

Record Everything is a local-first journalling app. Without an account, nothing you record ever leaves your device. Cloud sync is optional and only starts once you create an account.

This page covers what information we collect and how it's used. What the app provides and what you agree to is covered in the Terms of Use.

1. What we collect

1.1 Without an account

Nothing. Your stamps, notes, journal titles, paper styles and coins stay on your device. We neither know who you are nor see what you record.

1.2 With an account and sync enabled

This data is stored in a database provided by Supabase with row-level security enabled: at the database level, an account can only read and write its own row. That is enforced by the database, not merely promised.

1.3 Usage analytics

To understand what isn't working, the app records usage and uploads it periodically:

• Which screens were opened, which stamps were used, what was purchased in the shop, current coin balance
• A randomly generated anonymous device identifier, app version, OS version, device model, language
• Once signed in, an account identifier used to recognise that a phone and a tablet belong to the same person. It is salted and hashed before being stored

You can turn this off at any time in Me → Preferences → Usage analytics. Nothing is collected after that, and anything not yet uploaded is deleted. Turning it off does not affect any feature of the app.

Analytics logs are retained for 90 days and then deleted automatically.

On the Android version distributed through app stores in mainland China, the app asks for your consent to this policy on first launch, and records no analytics and reads no device information until you agree.

1.4 Android permissions

The Android app requests no camera, storage, location, contacts, microphone or notification permissions. Choosing an avatar uses the system photo picker, which only hands the app the one picture you select. The app contains no third-party analytics, advertising, push or crash-reporting SDKs.

2. What allows us to process this

Different information rests on different grounds. This is here so you can see where you have a choice:

If you are in the EEA or UK, the grounds above map to Article 6 GDPR (health records additionally to Article 9). If you are in Canada, we process on a consent basis under PIPEDA.

3. Health records

Period, medication, vitamin and exercise stamps — and the cycle estimates derived from them — are health information. Most jurisdictions treat this as a category needing stronger protection (GDPR calls it "special category data"). So, stated separately:

• Without an account it never leaves your device. That is the strongest protection available, and it is the default.
• With sync on, they upload like any other record and are covered by the same row-level security. Turning sync on is how you consent to this processing. If you'd rather not, don't sign in — or delete your account at any time.
• Analytics never carries their names. Placing one of these stamps appears only as a generic "a health-category stamp was used"; which one it was never leaves your device.
• We don't use them for inference, profiling, recommendations or advertising, and we don't share them with anyone.

4. What we don't do

• No advertising tracking. Your data is never combined with third-party data to target ads across apps or websites.
• We don't sell or trade your personal information.
• We don't use your records to train models, generate recommendations, or for anything unrelated to sync.
• We never touch your payment details. Membership subscriptions are billed by the App Store on iPhone and by Google Play on Android. Payment methods and card numbers stay with Apple or Google — we never see them and never receive them. What we do store is the conclusion: which plan is active and when the current period ends, so that your membership follows your account rather than the phone in your hand. That is checked with Apple or Google on our side; the app itself cannot claim to be a member. Theme packs are also billed by the App Store. So that a pack you bought follows your account and can be withdrawn if it is refunded, we store that purchase's transaction ID with your account.

5. Who we share with

We don't share your information with anyone other than the service providers below, who process data solely on our instructions:

We may also disclose information where required by law or where necessary to protect the safety of our users or the public.

6. Where data lives and how long we keep it

• Account and sync data: in a Supabase database in ap-northeast-1, for as long as your account exists.
• After you delete your account: live data goes immediately; our provider's rolling backups may hold it for up to 30 more days before being overwritten in the normal backup rotation. It is not accessed or used for anything during that window.
• Usage analytics: deleted automatically after 90 days. Anything not yet uploaded is deleted the moment you turn analytics off in the app.
• Local data: stays on your device until you delete it or uninstall the app. Uninstalling removes the local copy; the cloud copy remains unless you delete your account.
• Android system backup: if Android's device backup is turned on, the system may include the app's local records in the backup it keeps in your Google account. That is controlled by your Android settings, not by us; your sign-in session is excluded from it.

7. Your rights

• Opt out entirely: use the app without an account; no cloud data is created.
• Access and export: Me → Export data packages everything on this device.
• Correction: edit or delete any record in the app; the cloud copy updates on the next sync.
• Delete your account: Me → Account → Delete account (same on iPhone and Android). If you no longer have the app installed, email the address below from your account's email and we'll delete it for you. Both the cloud copy and the records on this device are permanently deleted. If you only want to switch accounts, use Sign out instead.
• Portability: Export data produces structured, machine-readable files you can keep or move elsewhere.
• Object and restrict: you can object to processing based on legitimate interest — mainly usage analytics, which you can switch off right in the app — and ask us to restrict processing while a dispute is resolved.
• Withdraw consent: at any time, by turning analytics off, signing out, or deleting your account. Withdrawal doesn't affect the lawfulness of processing already carried out.
• Other requests: to ask what we hold about you, or to request correction, deletion or restriction, email us at the address below. We'll respond within 30 days.

If you think we've got it wrong, tell me first and I'll take it seriously. You also have the right to complain directly: in Canada to the Office of the Privacy Commissioner of Canada; in the EEA or UK to your national data protection authority.

8. Security

Data is encrypted in transit with HTTPS. Access to account data is constrained by database row-level security. Passwords are stored irreversibly by the authentication service; we cannot see your plaintext password. No method of transmission or storage is completely secure.

9. Children

Record Everything is not directed at children under 13, and we do not knowingly collect their personal information. If you believe we have, please contact us and we will delete it promptly.

10. Changes to this policy

If this policy changes, we'll update the date at the top of this page. For material changes to what we collect or why, we'll say so prominently in the app.

11. Contact

The controller of the personal information described in this policy is:

• Zimo Wu, Burnaby, British Columbia, Canada
• Email: zimo_2000@icloud.com

Any question about privacy, or to exercise any of the rights above, just email me. There is no separate data protection officer — this is a one-person app, and the mail comes straight to me.

戳戳！是一个本地优先的记录应用。不登录账号的话，你记的任何东西都不会离开这台设备。云端同步是可选的，只有你自己开了账号才会启用。

这一份讲「我们拿了你哪些信息、怎么用」。「这个应用给你什么、你不能做什么」是另一份，见用户协议。

一、我们收集什么

1. 不登录的情况

不收集任何个人信息。印记、备注、日记名字、纸样、鸥币，全部只存在你的设备上。这种情况下我们既不知道你是谁，也看不到你记了什么。

2. 注册账号并开启同步之后

这些数据存放在 Supabase 提供的数据库中，并启用了行级安全策略：每个账号在数据库层面只能读写属于自己的那一行。这不是一句承诺，是数据库强制执行的规则。

3. 使用情况统计

为了判断产品哪里做得不好，应用会记录使用行为并定期回传：

• 打开了哪些页面、使用了哪些图章、在商店里买了什么、当前鸥币余额
• 一个随机生成的匿名设备编号、应用版本、系统版本、设备型号、语言
• 登录后附带一个账号编号，用于识别"同一个人的手机和平板"。该编号在写入存储前会经过加盐哈希处理

你可以随时关掉它：「我的 → 偏好 → 使用情况统计」。关掉之后不再收集，还没上传的记录也会一并删除。关掉不影响应用的任何功能。

统计日志保留 90 天，到期自动删除。

在中国大陆应用商店分发的安卓版本，首次启动时会先请你阅读并同意本政策；你同意之前，应用不记录任何使用情况，也不读取任何设备信息。

4. 安卓版申请的权限

安卓版不申请相机、存储、位置、通讯录、麦克风、通知等权限。设置头像使用系统照片选择器，应用只拿到你选中的那一张图片。应用内没有接入任何第三方统计、广告、推送或崩溃上报 SDK。

二、我们凭什么处理这些信息

不同的信息，处理它的依据不一样。写在这里是为了让你知道自己在哪些地方有选择权：

如果你在欧洲经济区或英国，上表中的「依据」对应 GDPR 第 6 条（健康类记录另适用第 9 条）；如果你在加拿大，我们按《个人信息保护和电子文件法》（PIPEDA）以同意为基础处理。

三、健康类记录

生理期、吃药、维生素、运动这些图章，以及据此算出的周期与预测，属于健康信息。多数国家和地区把它归为需要更高保护的类别（GDPR 称「特殊类别数据」，PIPL 称「敏感个人信息」）。所以单独说清楚：

• 不登录就完全不出设备。这是最强的一种保护，也是我们的默认状态。
• 开启同步之后，它们和其它记录一样上传，受同一套行级安全策略保护。你开启同步，即视为你同意我们为此目的处理这部分信息；不想同步就不要登录，或者随时删除账号。
• 使用情况统计里不出现它们的具体名称。盖下这类图章时，统计里只有一个笼统标签表示「使用了一枚健康类图章」，是哪一枚不会离开你的设备。
• 我们不用它们做任何推断、画像、推荐或广告，也不会分享给任何人。

四、我们不做什么

• 不做广告追踪。你的数据不会与任何第三方的数据合并，用于跨应用、跨网站的广告定向。
• 不出售、不交易你的个人信息。
• 不将你的记录用于训练模型、生成推荐或任何与同步无关的用途。
• 不接触你的支付信息。会员订阅在 iPhone 上由 App Store 收款，在安卓上由 Google Play 收款，付款方式和卡号始终在 Apple 或 Google 手里，我们看不到也收不到。我们存的只是一个结论：现在生效的是哪一档、这一期什么时候到期——这样会员才能跟着账号走，而不是跟着某一台手机。这个结论由我们的服务器向 Apple 或 Google 核实后写入，应用自己说了不算。主题礼包同样由 App Store 收款。为了让买过的礼包跟着账号走、退款后能收回，我们会把这笔购买的交易编号跟你的账号存在一起。

五、我们与谁共享

除下列为我们提供基础服务的供应商外，不向任何第三方共享你的信息。他们仅按我们的委托处理数据，不得用于自身目的：

跨境传输：上述供应商的服务器可能位于加拿大境外（包括美国和欧盟）。当你的信息离开你所在的国家或地区时，我们通过与供应商签订的数据处理协议（对欧洲经济区用户，包含欧盟标准合同条款）来提供保护。无论数据存放在哪里，本政策对你的承诺都同样适用。

另外，在法律要求或为保护用户与公众安全所必需的情况下，我们可能依法披露相关信息。

六、数据存放在哪里，保留多久

• 账号与同步数据：存放在 Supabase 位于 ap-northeast-1 的数据库中，在你的账号存续期间一直保留。
• 删除账号之后：线上数据立即删除；供应商的滚动备份中最长可能再保留 30 天，之后随备份轮转一并覆盖。这段时间里数据不会被访问或用于任何用途。
• 使用情况统计：保留 90 天后自动删除。你在应用内关掉统计时，还没上传的那部分立即删除。
• 本地数据：一直在你的设备上，直到你自己删除或卸载应用。卸载会连同本地记录一起删掉，云端那份仍在（除非你删了账号）。
• 安卓系统备份：如果你在安卓设置里开启了设备备份，系统可能会把应用的本地记录一并备份到你的 Google 账号。这由你的系统设置决定，不由我们控制；登录凭据不在备份范围内。

七、你的权利

• 随时不参与：不登录即可完整使用应用的记录功能，此时不产生任何云端数据。
• 访问与导出：应用内「我的 → 导出数据」可将本机全部记录打包导出。
• 更正：你的记录随时可以在应用内修改或删除，同步后云端随之更新。
• 删除账号：应用内「我的 → 账号 → 删除账号」（iPhone 和安卓相同）。如果已经没有安装应用，用注册账号的邮箱给文末地址发邮件，我们会替你删除。云端数据和这台设备上的记录会一起被彻底删除，不可恢复。只是想换个账号的话，用「退出登录」。
• 可携带：「导出数据」给出的是结构化、机器可读的文件，你可以自己保存或转移到别处。
• 反对与限制：你可以反对我们基于合理利益进行的处理（主要是使用情况统计——应用内直接就能关掉），也可以要求我们在争议解决期间限制处理。
• 撤回同意：随时可以撤回，方式包括关掉统计、退出登录、删除账号。撤回不影响撤回之前已经进行的处理的合法性。
• 其他请求：如需了解我们持有你的哪些信息，或提出更正、删除、限制处理等请求，可通过文末邮箱联系我们。我们会在收到后 30 天内答复。

如果你觉得我们没处理好，先联系我，我会认真对待。你也有权直接投诉：加拿大用户可向加拿大隐私专员公署（OPC）投诉；欧洲经济区或英国用户可向你所在国的数据保护监管机构投诉。

八、安全

数据在传输过程中使用 HTTPS 加密；账号数据的访问由数据库的行级安全策略限制；密码由认证服务以不可逆的方式存储，我们无法看到你的原始密码。请注意，没有任何一种传输或存储方式是绝对安全的。

九、儿童

本应用不面向 13 周岁以下的儿童，我们不会有意收集其个人信息。如你认为我们无意中收集了此类信息，请联系我们，我们会尽快删除。

十、政策变更

本政策如有修改，我们会更新本页顶部的日期。若涉及收集范围或用途的实质性变化，我们会在应用内以显著方式告知。

十一、联系我们

本政策所述个人信息的处理者（GDPR 意义上的「数据控制者」）是：

• Zimo Wu，本拿比，不列颠哥伦比亚省，加拿大
• 邮箱：zimo_2000@icloud.com

有任何关于隐私的问题，或者要行使上面那些权利，发邮件给我就行。我没有设专职的数据保护官——这是一个人做的应用，邮件直接到我这里。

戳戳！是一個本地優先的記錄應用。不登入帳號的話，你記的任何東西都不會離開這臺裝置。雲端同步是可選的，只有你自己開了帳號才會啟用。

這一份講「我們拿了你哪些資訊、怎麼用」。「這個應用給你什麼、你不能做什麼」是另一份，見使用條款。

一、我們收集什麼

1. 不登入的情況

不收集任何個人資訊。印記、備註、日記名字、紙樣、鷗幣，全部只存在你的裝置上。這種情況下我們既不知道你是誰，也看不到你記了什麼。

2. 註冊帳號並開啟同步之後

這些資料存放在 Supabase 提供的資料庫中，並啟用了行級安全策略：每個帳號在資料庫層面只能讀寫屬於自己的那一行。這不是一句承諾，是資料庫強制執行的規則。

3. 使用情況統計

為了判斷產品哪裡做得不好，應用會記錄使用行為並定期回傳：

• 開啟了哪些頁面、使用了哪些圖章、在商店裡買了什麼、當前鷗幣餘額
• 一個隨機生成的匿名裝置編號、應用版本、系統版本、裝置型號、語言
• 登入後附帶一個帳號編號，用於識別"同一個人的手機和平板"。該編號在寫入儲存前會經過加鹽雜湊處理

你可以隨時關掉它：「我的 → 偏好 → 使用情況統計」。關掉之後不再收集，還沒上傳的記錄也會一併刪除。關掉不影響應用的任何功能。

統計日誌保留 90 天，到期自動刪除。

在中國大陸應用商店發佈的安卓版本，首次啟動時會先請你閱讀並同意本政策；你同意之前，應用不記錄任何使用情況，也不讀取任何裝置資訊。

4. 安卓版申請的權限

安卓版不申請相機、儲存空間、位置、通訊錄、麥克風、通知等權限。設定頭像使用系統相片挑選器，應用只拿到你選中的那一張圖片。應用內沒有接入任何第三方統計、廣告、推播或當機回報 SDK。

二、我們憑什麼處理這些資訊

不同的資訊，處理它的依據不一樣。寫在這裡是為了讓你知道自己在哪些地方有選擇權：

如果你在歐洲經濟區或英國，上表中的「依據」對應 GDPR 第 6 條（健康類記錄另適用第 9 條）；如果你在加拿大，我們按《個人資訊保護和電子檔案法》（PIPEDA）以同意為基礎處理。

三、健康類記錄

生理期、吃藥、維生素、運動這些圖章，以及據此算出的週期與預測，屬於健康資訊。多數國家和地區把它歸為需要更高保護的類別（GDPR 稱「特殊類別資料」，PIPL 稱「敏感個人資訊」）。所以單獨說清楚：

• 不登入就完全不出裝置。這是最強的一種保護，也是我們的預設狀態。
• 開啟同步之後，它們和其它記錄一樣上傳，受同一套行級安全策略保護。你開啟同步，即視為你同意我們為此目的處理這部分資訊；不想同步就不要登入，或者隨時刪除帳號。
• 使用情況統計裡不出現它們的具體名稱。蓋下這類圖章時，統計裡只有一個籠統標籤表示「使用了一枚健康類圖章」，是哪一枚不會離開你的裝置。
• 我們不用它們做任何推斷、畫像、推薦或廣告，也不會分享給任何人。

四、我們不做什麼

• 不做廣告追蹤。你的資料不會與任何第三方的資料合併，用於跨應用、跨網站的廣告定向。
• 不出售、不交易你的個人資訊。
• 不將你的記錄用於訓練模型、生成推薦或任何與同步無關的用途。
• 不接觸你的支付資訊。會員訂閱在 iPhone 上由 App Store 收款，在安卓上由 Google Play 收款，付款方式和卡號始終在 Apple 或 Google 手裡，我們看不到也收不到。我們存的只是一個結論：現在生效的是哪一檔、這一期什麼時候到期——這樣會員才能跟著帳號走，而不是跟著某一台手機。這個結論由我們的伺服器向 Apple 或 Google 核實後寫入，應用自己說了不算。主題禮包同樣由 App Store 收款。為了讓買過的禮包跟著帳號走、退款後能收回，我們會把這筆購買的交易編號跟你的帳號存在一起。

五、我們與誰共享

除下列為我們提供基礎服務的供應商外，不向任何第三方共享你的資訊。他們僅按我們的委託處理資料，不得用於自身目的：

跨境傳輸：上述供應商的伺服器可能位於加拿大境外（包括美國和歐盟）。當你的資訊離開你所在的國家或地區時，我們透過與供應商簽訂的資料處理協議（對歐洲經濟區使用者，包含歐盟標準合同條款）來提供保護。無論資料存放在哪裡，本政策對你的承諾都同樣適用。

另外，在法律要求或為保護使用者與公眾安全所必需的情況下，我們可能依法披露相關資訊。

六、資料存放在哪裡，保留多久

• 帳號與同步資料：存放在 Supabase 位於 ap-northeast-1 的資料庫中，在你的帳號存續期間一直保留。
• 刪除帳號之後：線上資料立即刪除；供應商的滾動備份中最長可能再保留 30 天，之後隨備份輪轉一併覆蓋。這段時間裡資料不會被訪問或用於任何用途。
• 使用情況統計：保留 90 天後自動刪除。你在應用內關掉統計時，還沒上傳的那部分立即刪除。
• 本地資料：一直在你的裝置上，直到你自己刪除或解除安裝應用。解除安裝會連同本地記錄一起刪掉，雲端那份仍在（除非你刪了帳號）。
• 安卓系統備份：如果你在安卓設定裡開啟了裝置備份，系統可能會把應用的本地記錄一併備份到你的 Google 帳號。這由你的系統設定決定，不由我們控制；登入憑據不在備份範圍內。

七、你的權利

• 隨時不參與：不登入即可完整使用應用的記錄功能，此時不產生任何雲端資料。
• 訪問與匯出：應用內「我的 → 匯出資料」可將本機全部記錄打包匯出。
• 更正：你的記錄隨時可以在應用內修改或刪除，同步後雲端隨之更新。
• 刪除帳號：應用內「我的 → 帳號 → 刪除帳號」（iPhone 和安卓相同）。如果已經沒有安裝應用，用註冊帳號的郵箱寄信到文末地址，我們會替你刪除。雲端資料和這臺裝置上的記錄會一起被徹底刪除，不可恢復。只是想換個帳號的話，用「退出登入」。
• 可攜帶：「匯出資料」給出的是結構化、機器可讀的檔案，你可以自己儲存或轉移到別處。
• 反對與限制：你可以反對我們基於合理利益進行的處理（主要是使用情況統計——應用內直接就能關掉），也可以要求我們在爭議解決期間限制處理。
• 撤回同意：隨時可以撤回，方式包括關掉統計、退出登入、刪除帳號。撤回不影響撤回之前已經進行的處理的合法性。
• 其他請求：如需瞭解我們持有你的哪些資訊，或提出更正、刪除、限制處理等請求，可透過文末郵箱聯絡我們。我們會在收到後 30 天內答覆。

如果你覺得我們沒處理好，先聯絡我，我會認真對待。你也有權直接投訴：加拿大使用者可向加拿大隱私專員公署（OPC）投訴；歐洲經濟區或英國使用者可向你所在國的資料保護監管機構投訴。

八、安全

資料在傳輸過程中使用 HTTPS 加密；帳號資料的訪問由資料庫的行級安全策略限制；密碼由認證服務以不可逆的方式儲存，我們無法看到你的原始密碼。請注意，沒有任何一種傳輸或儲存方式是絕對安全的。

九、兒童

本應用不面向 13 週歲以下的兒童，我們不會有意收集其個人資訊。如你認為我們無意中收集了此類資訊，請聯絡我們，我們會盡快刪除。

十、政策變更

本政策如有修改，我們會更新本頁頂部的日期。若涉及收集範圍或用途的實質性變化，我們會在應用內以顯著方式告知。

十一、聯絡我們

本政策所述個人資訊的處理者（GDPR 意義上的「資料控制者」）是：

• Zimo Wu，本拿比，不列顛哥倫比亞省，加拿大
• 郵箱：zimo_2000@icloud.com

有任何關於隱私的問題，或者要行使上面那些權利，發郵件給我就行。我沒有設專職的資料保護官——這是一個人做的應用，郵件直接到我這裡。