PythonDeck 隐私政策

1. 概述

PythonDeck 是一款运行在 iPhone 与 iPad 上的本地 Python 开发环境：内置 CPython 解释器、代码编辑器、终端、Notebook、包管理、Git 客户端、调试器，以及可选的 AI 编程助手。我们遵循"最小化数据收集"原则：应用没有账号体系，不需要注册，也没有我们自己搭建的后端服务器。你的项目、代码、Notebook、设置和运行历史默认只保存在设备上本应用的沙盒存储中，离线也能编辑和运行代码。

1.1 购买与订阅验证（StoreKit）

PythonDeck 提供两种开通 PythonDeck Pro 的方式：年度会员（自动续费订阅）与 终身会员（非消耗型一次性购买）。Pro 解锁的是远程开发能力：连接你自己添加的服务器使用 SSH 远程终端、通过 SFTP 打开与回传远程文件、以及通过 SSH 的 Git clone/push/pull。这些能力连的都是你自行拥有与配置的服务器（详见 1.5），我们不中继、不留存其中的内容。 购买与权益验证全部通过 Apple 的 StoreKit 在你的设备上完成，我们只接收：

• 当前权益状态（哪个会员有效、订阅的续费/到期时间）
• StoreKit 在本机交给 App 的交易信息，仅用于判定 Pro 功能是否已解锁

我们不运营接收这些信息的服务器，也不会把交易标识符、小票或购买记录写入你的项目文件、导出包或任何统计上报（应用内未嵌入统计 SDK）。付款、账单与退款由 Apple 处理，我们无法看到你的支付方式或 Apple ID。恢复购买使用 StoreKit 自带的同步机制，由 Apple 根据当前登录的 App Store 账户返回交易信息；取消订阅与订阅管理均在 Apple 的订阅设置中完成。

1.2 保存在你设备本地的数据

• 项目、源代码文件、Notebook 文件以及你导入的图片等素材
• 编辑器与应用偏好设置、运行历史、你主动创建的代码快照
• 你安装到项目里的 Python 依赖包

为了让 iOS 桌面小组件能显示并快速打开项目，应用会通过 Apple App Group 容器向小组件同步一份很小的摘要（你收藏或最近打开的项目名称、最近一次运行的状态）。小组件不会在后台运行 Python 代码。

1.3 密钥与凭据

如果你选择保存敏感信息，它们只会写入设备上 iOS 系统钥匙串（Keychain），不会出现在导出文件、日志或任何统计上报中，包括：

• AI 模型服务的 API Key（你配置的 OpenAI、Anthropic 或兼容服务）
• Git HTTPS 远端使用的令牌或密码
• SSH 主机密码与私钥
• 你在工具库/Mini App 里定义的机密环境变量

这些信息不会同步给我们，也不会上传到任何服务器。你可以随时在 设置 → 密钥（Keychain）中查看并删除。

1.4 由你授权的设备权限

应用可以把系统能力开放给你编写的 Python 脚本使用（ios.camera 相机、ios.photos 相册、ios.location 位置、ios.bluetooth 蓝牙，以及剪贴板、分享、触感反馈、通知）。每一项都会触发 iOS 标准授权弹窗，仅在你或你的脚本明确调用时才使用，并可随时在 系统设置 → PythonDeck 中关闭。通过这些权限读取的数据默认留在设备本地，除非你自己的代码把它发送出去。本版本应用未开启健康数据（HealthKit）访问。

1.5 由你自行连接的服务

联网功能只在你主动使用时，把必要数据发往你自己配置的地址：例如提交给 AI 服务的提问与选中代码、安装依赖时访问 PyPI 的请求、执行 git push 时发往远端仓库的内容，以及远程开发时连往你自己服务器的 SSH/SFTP 会话内容。这些地址与凭据都由你提供 —— AI 功能使用的是你自己的 API Key 与服务商账户，额度、账单与用量由你与服务商直接结算，我们不参与计费，也无法访问对方账号后台。

使用这些功能意味着你需要遵守对应服务商的使用条款与服务协议（包括其对自动化调用、内容使用与再分发的规定），并自行承担相应费用；这类流量适用对方的隐私政策，我们不会在自己的服务器上留存副本。你也要对自己接入的服务器以及在上面执行的命令负责。

2. 我们不会收集的信息

• 姓名、邮箱、手机号，也不要求注册账号
• 广告标识符、通讯录与日历数据
• 应用内未嵌入任何第三方统计或埋点 SDK
• 支付卡号与账单信息（会员由 Apple 计费，仅在本机验证，详见 1.1）
• 不会向我们上传位置、相册、相机或麦克风数据
• 不会出售或共享你的数据

3. 数据使用目的

• 提供核心功能：在设备本地编辑、运行、调试代码并做版本管理
• 在设备本地验证 PythonDeck Pro 会员状态，使已购权益生效
• 安全保存你的密钥，以便 AI、Git、SSH 功能能按你的授权完成认证
• 为桌面小组件与快捷指令（Run Python Script）提供它们所展示的本地数据
• 回应你通过邮件提交的技术支持请求

4. 使用的第三方服务

下表中的服务均由你的设备直接访问，只在你对应功能的操作中产生，不用于广告投放或跨应用追踪。

本地开源组件（ZIPFoundation、Citadel/SwiftNIO）全部在你的设备上运行，不会向组件作者发送数据。

5. 数据保留与删除

• 你可以随时在应用内删除项目、文件、运行历史与快照，或通过 iOS「文件」App 导出后自行处理。
• 你可以随时在系统设置中撤销相机、相册、位置、蓝牙等权限。
• 会员状态不由我们保存：应用每次校验权益时直接从 StoreKit 读取，因此我们这一侧不存在需要删除的购买记录。取消订阅或退款由 Apple 处理，下次校验时在设备上生效。
• 卸载应用即会移除其沙盒内的项目数据。
• 受 iOS 系统机制影响，钥匙串条目可能在卸载重装后仍保留。若要彻底清除，请先在设置 → 密钥（Keychain）中删除已保存的密钥，并清理 AI Key、Git 凭据与 SSH 主机，再卸载应用。

由于我们不运营任何服务器，你设备上的数据在我们这一侧不存在需要保留或对外提供的副本。若你通过邮件联系我们，来信仅在处理问题所需的期限内保留，你也可以要求我们删除。

6. 数据安全

• 用户内容全部留在设备本地的应用沙盒内，我们不维护存放这些数据的服务器
• 会员验证由 StoreKit 在本机完成，我们不保存小票、交易日志或购买历史
• 密钥只存入 iOS 钥匙串，不会同步，也不会被写入项目文件、导出包或日志
• 安装包、Git HTTPS、AI 接口等网络请求均走 HTTPS 并校验证书（内置 CA 根证书）。应用使用的所有加密技术均处于美国《出口管理条例》（EAR）定义的豁免类别内，因此 Info.plist 中 ITSAppUsesNonExemptEncryption 声明为 false。具体描述见下方第 7 节（出口合规）。
• SSH 主机密钥采用"首次信任"机制并保存 SHA256 指纹，指纹变更时默认拒绝连接，需要你重新确认
• AI 助手按能力分类授权（读取 / 写入 / 执行 / 联网 / 安装 / Git），改动文件必须经你在差异视图里点击接受才会落盘
• 若你在系统中开启"与 App 开发者共享分析数据"，Apple 可能向我们提供匿名崩溃与性能诊断信息；我们在此之外不额外采集任何数据

7. 出口合规

PythonDeck 预先捆绑了标准开源密码学库，以便用户脚本可以直接实现自己的安全相关流程。具体包含：

• 传输加密：对 PyPI、Git 仓库、AI 服务与 MCP 服务器的 HTTPS / WSS 请求使用iOS 自带的 URLSession / Security.framework（Apple 供给的 TLS 实现）。Git over SSH 使用 swift-crypto，它封装了 Apple 的 CryptoKit。
• 预装第三方密码学库：cryptography Python 包（当前版本 47.0.0，基于 OpenSSL 3.x，通过 Rust/cffi 绑定）预装在 App 里，供用户脚本离线导入。对称加密至高支持至 AES-256；非对称加密支持 RSA-4096 与 Ed25519。
• 本地存储：仅使用 iOS 钥匙串（Apple 硬件支持的安全存储）保存 API Key 与凭据。我们自行实现任何专有密码算法。

本应用的分发属于美国《出口管理条例》(EAR) §740.17(b)(1) 定义的“面向大众市场（mass market）”商品类别，允许将标准加密软件 通过 Apple App Store 等消费者向全球公开发布。美国商务部工业与安全局（BIS）无需对 PythonDeck 的分发射范国另行颁发单独的出口许可。

用户告知（EAR §740.17(e)(2)）：加密软件与技术的出口与再出口受美国及其他司法管辖区法规约束。PythonDeck 及其捆绑的密码学组件不得向美国财政部“特别指认人名与拒绝实体名单（SDN）”上所列的国家、实体或个人，或受美国全面禁运的国家出口、再出口或使用。下载或使用本应用即表示您同意遵守适用的出口管制法律，不将本应用于适用法律禁止的用途。

8. 儿童隐私

本应用是面向开发者的编程工具，不面向 13 岁以下儿童，也不会主动收集此类信息。

9. 政策更新

当功能或系统权限发生变化时，我们可能会更新本隐私政策，更新时间显示在页面顶部，以本页最新发布的版本为准。

10. 联系方式

如有隐私相关问题请联系：
lucky202408@gmail.com