English · 한국어 · 日本語 · 中文 · Español · Français · Deutsch · Português

Andante 隐私政策

生效日期：2026年10月5日

本政策适用于由 Velocity Craft（以下称"我们"）发布的 Android 版 Andante 应用。它说明 Andante 存储什么、向谁发送什么，以及保存多久。

简短版本

Andante 无需账号即可使用，您的任务存放在您的手机里。不过，应用会出于五种用途使用互联网：崩溃报告、使用统计、偶尔出现的广告、用于开关这些广告的远程开关，以及 Andante Cloud——一项需要使用 Google 或 Apple 登录、目前仅向部分用户提供的可选同步服务。前四项绝不会收到您在 Andante 中写下的内容。只有在您登录 Andante Cloud 并开启同步时，您的任务才会到达我们这里。此外，如果您使用由 Android 或其他应用（而非我们）处理的功能——Android 自身的备份、语音输入以及您导出的文件——您的任务也可能离开手机，详见下表。下面的全部内容都是这段话的展开。

我们不会声称的事

您在本设备上的任务并未由我们加密。它们存放在应用的专属存储空间中，Android 会把这个空间与其他应用隔离开。如果设备已被 root，或者他人能够解锁该设备，这层隔离可能被突破。
Andante Cloud 不是端到端加密的。同步数据在传往服务器的途中会被加密，存储时由 Amazon Web Services 使用其管理的密钥加密。这意味着作为该存储的运营方，我们在技术上能够读取这些内容。我们只在运营服务所需时——例如应您的请求帮助恢复数据——或法律要求时才会访问。
只存在于您手机上的内容，我们无法为您恢复。除非您使用 Andante Cloud，否则我们不保存您任务的任何副本；而且 Andante Cloud 也并不保存所有内容（见下文）。如果您丢失了手机而又没有备份文件，这些数据就没有了。
我们避免使用绝对化的安全措辞。那样的说法描述不出任何您能够验证的东西，所以我们改为写明条件。

Andante 在您设备上存储的内容

以下内容全部存放在您设备上的应用专属存储空间中：

任务——标题、备注、备注中的图片、日期、提醒、优先级、子任务、完成记录
列表、文件夹、标签和情境
清单、清单文件夹及其条目，以及您添加的封面图片
例程及其完成记录；习惯、习惯分类和日志
每周回顾和时间胶囊，包括您附在胶囊中的图片
设置——主题、每周起始日、标签栏布局、字体选择、提醒默认值
如果您登录了 Andante Cloud：您的登录记录（下文所述的电子邮件地址和标识符，以及一个登录令牌），使用本手机 Android 密钥库中的密钥加密

设备日历中的日程不在这个列表里。日历标签页每次绘制时都直接从 Android 的日历提供程序读取日程，并且不保留副本，所以它们既不在应用的数据库中，也不在应用写出的任何备份里，Andante 也绝不会把它们发送到任何地方。

会离开您手机的内容

途径	会发生什么
崩溃报告（Firebase Crashlytics，Google）	当应用崩溃，或记录一个它已自行恢复的错误时，Crashlytics 会收到该错误的技术细节、设备型号、Android 和应用版本、关于应用状态的几项技术信息（例如 Android 是否在后台限制应用的闹钟），以及一个随机的安装标识符。其中不包含您的任务。Firebase 会将崩溃报告保存 90 天。
使用统计（Google Analytics for Firebase）	打开了哪些界面——只记录界面的类型，绝不记录是哪个任务或列表——以及创建、完成任务等操作的次数、开启了哪些可选功能、开发者模式是否开启。Google Analytics 还会使用一个随机的应用实例标识符，会收集设备的广告 ID（见"广告与同意"），并通过您的 IP 地址推断大致地区。我们不发送任务标题、列表名称、备注、电子邮件地址或用户 ID。它还会自动记录设备型号、Android 版本、语言设置，以及首次打开应用的时间、会话开始和应用使用时长等会话与互动数据。事件级数据最多保存 14 个月。
广告开关（Firebase Remote Config，Google）	Andante 会向 Firebase 询问开屏广告目前是否开启。该请求包含一个 Firebase 安装标识符、应用和 Android 版本、您的国家/地区、语言和时区设置，以及为使用统计记录的功能设置。
广告（Google AdMob）	请参阅下文"广告与同意"。
Andante Cloud——仅在您登录时	请参阅下文"Andante Cloud"。
Android 备份（自动备份与设备间转移）	Android 可能会把这个应用的数据——包括任务数据库——复制到您的 Google 账号备份中，或者复制到新手机上。这是操作系统的功能，而不是向我们传输数据——我们从来看不到它，也无法读取它。您可以在 Android 设置 → Google → 备份中关闭它。有些文件被特意排除在备份之外：开发者模式的解锁状态（这样恢复后的手机绝不会一到手就已处于解锁状态）、您的 Andante Cloud 登录记录（这样您的登录绝不会离开这部手机），以及只在这部手机上才有意义的记录，例如已设定的闹钟和广告展示频率。
您导出的备份文件或 CSV 文件	Andante 会把它写到您在 Android 文件选择器中指定的位置——可以是本机存储，也可以是您选择的云端硬盘。从那一刻起，保护这个文件就是您自己的事了。它是一个未经加密的普通文件，而这是有意为之：它存在的目的就是被恢复、被在别处打开。
使用麦克风按钮口述任务	添加任务处的麦克风按钮会把口述交给您手机上的语音识别服务（通常是 Google 的）。该服务会把您说的话转成文字，为此可能会把音频发送到其服务器，并适用该服务提供方自己的隐私政策。Andante 只接收转换后的文字，从不接收音频；由于使用麦克风的是语音识别服务而不是 Andante，Andante 也不需要麦克风权限。除非您点按该按钮，否则不会进行任何口述。
拖动日历日程以更改时间	Andante 会在 Android 的日历提供程序中更改该日程的开始和结束时间。如果该日历属于 Google、Exchange 或其他已同步的账号，该账号会像同步您在手机上做的任何其他修改一样同步这项更改。这是 Andante 唯一能够执行的日历写入操作——它无法创建或删除日程。
选择可下载字体	可选的字体列表来自 Google Fonts。当您选择其中一种时，Google Play 服务会从 Google 获取该字体文件。这个请求标识的是字体，而不是您，也不涉及任何任务数据。保留默认字体则完全不会发出请求。

广告与同意

Andante 是免费的，在您返回应用时偶尔可能会显示一个全屏的 Google AdMob 广告（"开屏广告"）。在您从头启动应用时、闹钟响铃期间及其前后不久、从通知、小部件或分享进入时，以及您正在输入时，都不会显示广告。我们可以远程关闭这些广告，上文的广告开关就是为此而设。

为了展示和衡量广告，Google 移动广告 SDK 会出于广告、分析和防范欺诈的目的，收集设备的广告 ID、IP 地址（可能被用来估计大致位置）、您与广告的互动以及应用性能信息。在欧洲经济区、英国以及其他有此要求的地区，Andante 会显示 Google 的同意表单，并且只在您作出选择之后才请求广告；之后 Google 会按照您的选择投放广告。您可以随时在设置 → 广告隐私选项（在有此要求的地区显示）中查看或更改您的选择，也可以在 Android 设置中重置或删除您的广告 ID。您在该表单中的选择适用于广告。该表单只在广告开启时出现，因此 Google Analytics 可能会在您没有看到表单的情况下收集广告 ID；在 Android 设置中重置或删除广告 ID 同样适用于此。

Google 依据其自身的隐私权政策使用这些数据：policies.google.com/privacy。Google 如何使用展示其广告的应用中的数据：policies.google.com/technologies/partner-sites。

Andante Cloud（可选同步）

Andante Cloud 会在您的各台设备之间同步任务。它是可选的，在您主动开启之前一直处于关闭状态，目前仅向部分用户提供。如果您从未登录过它，本节内容与您无关。

登录。您可以使用 Google 或 Apple 登录。登录页面会在您手机的浏览器中打开，由我们所使用的 Amazon Web Services（AWS）服务 Amazon Cognito 与 Google 或 Apple 一同处理。Andante 永远看不到您的 Google 或 Apple 密码。我们只向 Google 或 Apple 请求您的电子邮件地址——不请求您的姓名或头像。如果您使用 Apple 的"隐藏邮件地址"，我们收到的是 Apple 生成的中转地址，而不是您的真实地址。

我们保存的账号信息：您的电子邮件地址；Google 或 Apple 为您的账号使用的标识符，以及您是用其中哪一种登录的；Amazon Cognito 分配的账号标识符和存储标识符；账号的创建时间和最后修改时间。此外，出于安全和运维目的，AWS 会保存发往登录服务的请求记录（包括请求来源的 IP 地址），最长 90 天。

同步开启时上传的内容：您的任务（标题、备注、描述、日期和时间、提醒设置、优先级、状态、重复规则、子任务以及您正在等待的人）、任务笔记、列表、文件夹、标签、情境及其与任务的关联、清单、清单文件夹及条目，以及例程的副本——外加应用生成的一个随机设备标识符（Android 备份或设备迁移可能会把它原样带到新手机上）。Andante 会在您打开应用时、您做出更改几分钟后，以及在后台定期进行同步。

不会上传的内容：图片（封面图片、备注图片和时间胶囊照片——备注中只保留对图片的引用）、习惯和习惯日志、例程打卡、任务完成记录、每周回顾、时间胶囊以及设置。

存储位置与保护措施。存储在位于印度的 AWS 亚太地区（孟买）区域。每个账号都有自己的文件夹，只有该账号的登录才能访问；对存储的公开访问已被阻止；连接必须使用 HTTPS；数据在存储时加密。只有经我们启用的账号才能存储数据：如果您使用尚未启用的账号登录，则不会上传任何任务数据，只存在登录记录和一个不含个人信息的随机存储标识符。

保存期限：

使用期间：当前版本会一直保存，直到您在应用中或通过电子邮件将其删除。每次同步都会替换它，被替换的副本会作为旧版本保存，以便误删的数据仍可恢复，并在约 30 天后被自动删除（自动删除可能会多花几天）。
退出登录会停止该设备上的同步，并从该设备上删除您的登录记录。云端的数据会保留。
在应用中删除账号（设置 → 云同步 → 删除云端数据和账户）会让您所有设备停止同步，并删除包括您电子邮件地址在内的账号记录。从那一刻起，任何设备都无法再访问您的同步数据；被删除的副本和旧版本只会作为旧版本留在存储中，并在约 30 天内被自动永久删除（自动删除可能会多花几天）。您设备上的数据会保留。会留下两条不含个人信息的记录，且没有设定删除期限：一个只包含删除时间、用来告知您其他设备该账号已被删除的标记，以及一个再也无法用于登录的随机存储标识符。
不使用应用时，您可以通过电子邮件要求我们删除您的账号和数据：velocitycraft.app/andante/delete-account。我们会在核实请求后的 30 天内完成删除。您也可以只要求删除同步数据而保留账号。
未启用的账号：对于未启用 Andante Cloud 且创建已超过 30 天的账号，我们可能会删除其登录记录；登录时创建的、不含个人信息的随机存储标识符会保留，且没有设定删除期限。如果该账号仍留有启用期间的同步数据，我们会先删除这些数据。
如果您的账号已不再处于启用状态，应用将无法再访问其同步数据，因此在应用中删除只会删除账号记录。这种情况下，请发送电子邮件告诉我们（如有可能，请在应用中删除之前发送），我们会同时删除数据和账号。

谁会处理您的数据

我们不会出售您的个人信息。我们只会把它提供给代我们运营 Andante 部分功能的服务提供商、按下文所述为广告目的提供给 Google，以及在法律要求时提供：

Google——Firebase Crashlytics、Google Analytics for Firebase、Firebase Remote Config、Google AdMob、Google 登录以及 Google Fonts。Google 还会依据上文链接的其自身政策使用广告数据。
Amazon Web Services——Andante Cloud 的登录（Amazon Cognito）和存储（Amazon S3），位于亚太地区（孟买）区域。
Apple——如果您选择通过 Apple 登录。

Andante Cloud 的数据存储在印度。Google 会在多个国家/地区的服务器上处理崩溃报告、使用统计和广告数据。因此，无论您身在何处，您的数据都可能在您所在国家/地区之外被处理。

不会收集的内容

Andante 不会询问您的姓名，也不会请求位置、通讯录、麦克风或相册权限（语音输入如上所述经由您手机的语音识别服务）。没有任何需要购买的东西——没有订阅，也没有付费等级——因此应用中没有计费库，也不存在任何付款信息。您的任务内容绝不会被发送给 Crashlytics、Analytics、Remote Config 或 AdMob，我们也不会在分析中设置用户 ID。

反复点按版本号一行并输入一个电子邮件地址，即可解锁隐藏的开发者模式。我们只存储该地址的 SHA-256 哈希值，绝不存储地址本身。这个哈希值留在设备上，被排除在 Android 备份之外，也不会被发送到任何地方；使用统计只记录开发者模式是否开启。

权限

互联网与网络状态——用于崩溃报告、使用统计、广告、广告开关和 Andante Cloud。Android 会在安装时授予这些权限；除非您使用 Andante Cloud，否则 Andante 本身不会发送任何任务数据。
广告 ID——允许 Google AdMob 和 Google Analytics 读取设备的广告 ID。您可以在 Android 设置中重置或删除该 ID。
通知——用于提醒、闹钟和每日摘要。不授予该权限，应用照样能用，只是没法告诉您任何事。[可选，但提醒正是这个应用的意义所在]
闹钟和提醒（精确闹钟）——让提醒在您选定的那一分钟准时触发，而不是在 Android 觉得方便的时候。缺少这项权限时，Andante 会告诉您，而不是假装提醒已经设好。[闹钟必需]
开机时运行——在重启、时钟或时区变更、应用更新之后重新设定您的闹钟。[闹钟必需]
全屏通知、唤醒锁、振动、前台服务——让闹钟显示在锁屏上，并一直响到您作出回应为止。[闹钟必需]
日历（读取）——在您的任务旁边显示已有的日程。在您第一次打开日历标签页时才询问，绝不在启动时询问。拒绝后，应用的其他部分不受任何影响。[可选]
日历（写入）——在您第一次把某个日程拖到新时间时才询问，此前不会询问。请注意，Android 把日历的读取和写入视为同一个权限组，因此一旦您授予了读取权限，系统可能会在不显示第二个对话框的情况下授予写入权限。[可选]
照片——不请求任何权限。封面图片和备注图片使用 Android 的照片选择器，它只会把您选中的那张图片交给应用，图库里的其他内容一概不交。
文件——不请求任何权限。备份、导出和导入使用 Android 的文件选择器，应用只能访问您选中的那一个文件。

通知会显示您的任务标题

提醒或闹钟通知会显示任务的标题，这意味着它可能出现在您的锁屏上。这是有意为之——只显示"Andante"的提醒算不上提醒。在写下一个您不愿被人从肩后看到的标题之前，最好先知道这一点。没有标题的任务会改为显示应用名称。

从其他应用导入

从 TickTick、Todoist、Google Tasks 和 Apple 提醒事项导入，是读取您从这些服务导出并交给 Andante 的文件。Andante 不会连接这些服务，从不索要密码，也不持有其中任何一项服务的访问令牌。

儿童

Andante 并非面向 13 岁以下的儿童，我们也不会在知情的情况下收集儿童的个人信息。如果您认为有儿童登录了 Andante Cloud，请联系我们，我们会删除该账号。

您的权利

在您的设备上，查阅、更正和删除都由您亲自完成：在应用中编辑或删除任何条目，通过备份或 CSV 导出把一切带走，卸载应用即可删除其余内容。如果 Android 已把应用备份到您的 Google 账号中，那份副本需要在 Google 的备份设置中删除，而不是在 Andante 中删除。
Andante Cloud：我们保存的同步数据就是您在应用中看到的内容，您可以随时在应用中或通过电子邮件删除它。您也可以写信到下方地址，要求获取我们所持有的您的个人信息副本、要求更正或删除这些信息，或反对其使用方式。
广告与分析：您可以在设置 → 广告隐私选项（如显示）中更改广告选择，并在 Android 设置中重置或删除广告 ID。崩溃报告和使用统计不会与您的姓名、电子邮件地址或 Andante Cloud 账号关联，因此我们通常无法单独找出某一个人的记录。
根据您所在的地区，您也可能有权向数据保护机构投诉。

变更

当 Andante 的某个版本改变它所收集的内容或发送的去向时，我们会在该版本发布之前更新本政策，并修改顶部的生效日期。

联系方式

Velocity Craft
velocitycraft.app+support+andante@gmail.com