半卷 Halfleaf 隐私政策
生效日期：2026 年 8 月 19 日
一、适用范围
本政策说明半卷 Halfleaf（以下简称「半卷」）在提供阅读、朗读、离线音频生成、 iCloud 同步及相关支持服务时如何处理信息。
半卷采用离线优先设计。App 不设账号系统，不包含广告、行为分析或遥测功能，也不会将用户导入的书籍、生成的音频、阅读记录或批注上传至开发者运营的业务服务器。
使用部分功能时，设备仍需与 Apple iCloud、语音模型下载服务、电子邮件服务商或本网站的托管服务建立网络连接。相关情况将在下文分别说明。
二、设备本地数据
半卷会在设备本地保存实现功能所必需的数据，包括：
- 用户导入的书籍及其解析缓存；
- 阅读位置、阅读统计、书单、批注和章节调整；
- 生成或下载到本机的离线音频及索引；
- 语音模型、自定义音色及其参考音频；
- 主题、字号、音色偏好等应用设置；
- 设备本地的运行诊断信息。
上述数据存放在 Apple 操作系统提供的应用沙盒或应用专用目录中。除本政策另有说明外，半卷不会将这些数据传送给开发者。
Pro 试用需通过 Apple 的零价 App 内购买项目手动领取。半卷通过 Apple StoreKit 核验领取与购买记录，以交易时间为准计算 14 天试用期，并在本地缓存试用开始时间、撤销状态与买断权益，从而支持离线使用。领取、购买和恢复记录使用 Apple 的服务；同一购买账户可在支持的设备上恢复原记录，不依赖半卷的 iCloud 内容同步，也不传给开发者的服务器。删除 App 不会删除 Apple 保存的交易记录。半卷不会接收用户的银行卡或支付卡信息。早期测试版本可能留下仅限本设备的钥匙串试用记录；当前版本不再读取或新增这种记录。
为防止通过回拨系统时间延长试用，半卷会在本地记录所观察到的时间下界（包括本机时间与已验证 Apple 交易的签名时间）。该记录只增不减，仅用于判断试用是否到期，不会改变领取日期，也不影响永久购买。已排期的到期等待完成时，此记录同样会更新。
该记录不会发送给开发者，也不用于跨应用跟踪。它不是持续的联网校时服务；设备备份中可能包含此本地偏好。如果设备曾错误地设为未来时间并被记录，则之后即使校正日期，该下界也不会降低，可能导致试用提前结束。
三、iCloud 同步
当用户在系统设置中允许半卷使用 iCloud 时，半卷会通过 Apple CloudKit 私有数据库，在登录同一 Apple 账户的设备之间同步下列内容：
| 数据类别 | 可能包含的内容 |
|---|---|
| 书籍信息 | 书名、作者、封面及原始文件名 |
| 阅读数据 | 阅读位置、进度、书单、批注及被标注的原文片段 |
| 听读统计 | 活动时段的开始和结束时间、阅读或听书类型、随机记录标识，以及书籍完成时间与书籍标识 |
| 阅读设置 | 主题、字号、音色偏好及章节调整 |
| 书籍源文件 | 用户导入的 EPUB、TXT 或 Markdown 文件 |
| 离线音频 | 已生成的音频文件及朗读时间轴 |
| 自定义音色 | 名称、声音描述、参考音频及试听音频 |
| 工作台登记 | App 生成的设备标识、工作台或设备名称、可用音色名称及能力、最近在线或离线状态的时间 |
| 工作台任务 | 书名、章节名、内容指纹与字数、所选音色、发起设备名称、所选章节、生成进度、控制请求及状态时间 |
iCloud 私有数据库属于用户自己的 Apple 账户空间，不是开发者运营的服务器。听读统计用于在不同设备间合并时长：重叠时段只计一次，同时阅读和听书计为听书。统计时段不包含书籍正文、录音或设备名称，不发送给开发者，也不用于行为分析或广告。统计按查看设备的时区分日展示；离线记录会在 iCloud 可用后同步。删除一本书不会自动删除累计听读统计；如需删除这些记录，请按第八条清理应用数据。
当你将 Mac 开启为工作台或向工作台派发生成任务时，半卷会通过上述工作台记录协调你自己的设备。工作台的默认名称可能来自 Mac 的主机名，你可以在「设置—数据与存储—工作台」中修改。App 生成的设备标识用于确定由哪台设备担任工作台，不用于广告或跨应用跟踪。最近同步成功和退出的时间用于让其他设备估计工作台是否在线，并非持续连接或正在生成的保证。
任务记录描述所请求的工作及其状态，本身不含完整书籍正文、参考录音或未完成音频。工作台通过上述同一套私人 iCloud 同步取得所需书源与自定义音色资产，在本机生成语音，再通过既有音频同步服务同步已完成音频。这些记录和资产不会发送给开发者或云端语音合成服务。
开发者不通过自有服务接收上述内容。相关数据的传输、存储和安全措施由 Apple 提供，并受 Apple 的服务条款及隐私政策约束。
半卷目前不提供按数据类别分别开关同步的选项。用户可在系统的 iCloud 设置中关闭半卷，以停止后续同步。关闭同步不会自动删除设备或 iCloud 中已经存在的数据。
如果你从较早的测试版本升级，设备或 iCloud 中可能仍保留当时创建的读音修正记录。当前版本已不再提供创建或编辑入口，但仍可能读取这些兼容性数据。你可以按第八条所述方式删除对应的本机或 iCloud 数据。
四、语音模型下载
本地神经语音模型为可选下载内容，由用户自行决定是否下载；试听样音随 App 提供。使用此功能时，半卷会连接以下公开模型仓库或镜像：
- Hugging Face（
huggingface.co）； - Hugging Face 镜像（
hf-mirror.com）； - 魔搭 ModelScope（
modelscope.cn）。
下载请求用于取得模型文件，不包含书籍内容、阅读记录、批注、iCloud 账户信息或设备唯一标识符。为完成网络连接，模型仓库及其网络服务提供商可能处理 IP 地址、请求时间、所请求的文件和常规 HTTP 请求信息。相关处理受各服务提供商自己的隐私政策约束。
用户无需下载语音模型即可使用 Apple 系统音色；已经生成的离线音频也不依赖原模型继续播放。
五、本网站
半卷的官网与隐私政策页面托管于腾讯云，提供使用帮助、同源音频试听和下述自愿上架通知登记；不设账号，不使用广告、Cookie、外部字体或第三方 CDN。
页面如提供音频试听，试听文件由本网站提供。播放试听无需上传书籍或录音，也不需要麦克风权限；音频文件请求同样适用下述必要技术信息处理说明。
为了建立网络连接、提供页面并防范滥用，托管及网络服务提供商可能处理 IP 地址、访问时间、请求路径、浏览器类型等必要的技术信息。开发者不会利用这些信息进行用户画像、广告投放，也不会将其与半卷 App 中的数据关联。技术日志的保存遵循实际服务器配置及服务提供商规则。
六、反馈与联系
用户可通过 App 内的「邮件反馈」功能，或直接发送电子邮件至 halfleaf@qqfly.net 与开发者联系。
App 内的反馈功能会调用系统邮件应用，并自动预填以下设备环境信息：
- App 版本和构建号；
- 操作系统及版本；
- 设备型号代码；
- App 界面语言。
预填内容不包含书名、作者、书籍正文、阅读进度、批注、日志、文件路径、iCloud 账户、设备名称或设备唯一标识符。用户可在发送前检查、修改或删除邮件中的任何内容。
只有在用户主动发送邮件后，开发者才会收到发件地址、邮件正文、附件及上述未被删除的环境信息。相关信息仅用于回复咨询、处理反馈、排查故障及维护必要的沟通记录，并在实现这些目的或履行法定义务所需的期限内保存。电子邮件的传输和存储同时受双方邮件服务提供商的规则约束。
App 还提供由用户主动发起的诊断包导出。诊断包与上述邮件预填内容不同，可能包含 App 和设备环境、后台任务状态、结构化运行事件，以及 Apple MetricKit 提供的性能与崩溃报告。诊断包不会由半卷自动上传；用户决定是否通过系统分享面板发送，以及发送给谁。建议在分享前查看包内内容；如发送给开发者，将仅用于故障排查及必要的支持记录。
七、麦克风与自定义音色
仅当用户主动创建自定义音色并选择录制参考音时，半卷才会请求麦克风权限。
- 录制由用户自行开始和停止；
- 创建前，用户须确认录音来自本人，或已获得声音权利人的明确授权；
- 录音保存在设备的应用沙盒中，不会发送给开发者或在线语音服务；
- 如果用户启用了 iCloud，录音会作为自定义音色的一部分同步到用户自己的 iCloud 私有空间。
除上述用途外，半卷不会使用麦克风录音。
八、数据删除与保留
| 用户希望删除的内容 | 操作方式 | 结果 |
|---|---|---|
| 本机离线音频 | 在「设置—离线音频」中选择「移除下载」 | 只删除本机音频；如 iCloud 中仍有副本，可再次下载 |
| 本机书籍源文件及派生缓存 | 当云端已有源文件时，长按书库中的书籍并选择「移除下载」 | 保留书籍记录及云端副本；再次打开时可从 iCloud 取回 |
| iCloud 中的离线音频 | 在「离线音频」中选择「删除」 | 同时删除相应的本机和 iCloud 音频；同步完成后，其他设备也会更新 |
| 自定义音色 | 在「设置—我的音色」中删除 | 删除参考音和试听音；已经生成的书籍音频仍会保留 |
| 某本书及其关联数据 | 在书库中删除该书 | 删除该书、阅读进度、批注、书籍源文件及关联的离线音频；同步完成后其他设备也会更新 |
| 已结束的工作台任务 | 待任务显示为已结束且待处理变更已确认后，在工作台任务列表中删除记录 | 同步后删除 iCloud 中的该条任务记录；已经生成的音频仍会保留 |
| 当前工作台登记 | 在已登记的 Mac「设置—数据与存储—工作台」中关闭「作为工作台」 | 同步后清空登记中的设备标识、名称、音色目录及在线状态时间；已有任务记录和生成音频另行保留 |
| 本机应用沙盒数据 | 删除 App | 删除该设备上的应用沙盒数据；不会自动删除 iCloud 副本或 Apple 交易记录。早期测试版可能在钥匙串中留有记录，但当前版本已不再使用。 |
| 全部 iCloud 数据 | 在系统「设置—Apple 账户—iCloud—管理账户存储」中删除半卷数据 | 删除用户 iCloud 中的半卷数据 |
半卷目前不提供「一键删除全部云端数据」的功能。若要彻底移除本机和 iCloud 中的数据，需要分别删除 App 及其 iCloud 数据。
已结束且变更已确认的工作台任务，在最后状态更新时间七天后从列表隐藏，并在后续成功同步时符合从 iCloud 删除的条件。设备离线或同步失败可能延后实际删除。仍在执行、已暂停、待确认或仍有未发送变更的任务会保留。关闭工作台或删除书籍本身不会删除任务历史，历史中可能仍有书名、章节名和设备名称；你可以按上表手动删除已结束任务。清除全部半卷 iCloud 数据也会删除其中的工作台记录。清空内容的登记记录本身可能继续保留，用于表示当前没有已登记设备。
设备本地及 iCloud 数据的保留时间由用户决定。用户主动发送的反馈邮件和本网站可能产生的必要安全日志，按本政策第六条和第五条所述目的及期限处理。
九、儿童隐私
半卷并非专门面向儿童设计，也不要求用户提交年龄信息。App 不包含广告、行为分析或账号注册功能。如果监护人认为儿童通过反馈邮件向开发者提供了不适当的信息，可通过本政策所列邮箱联系我们处理。
十、用户权利
用户可以直接在设备和 iCloud 设置中访问、修改或删除半卷保存的数据。如需查询、更正或删除通过反馈邮件提供的信息，或对本政策有任何疑问，可发送邮件至 halfleaf@qqfly.net。开发者将在核实请求后于合理期限内处理。
十一、安全措施
半卷依赖 Apple 提供的应用沙盒、设备加密以及 iCloud 传输与存储保护机制。本网站通过 HTTPS 提供访问。开发者会采取与产品规模和数据处理方式相适应的安全措施，但任何存储或传输方式均无法保证绝对安全。
十二、政策更新
如半卷的功能、数据处理方式或适用规则发生变化，开发者可能更新本政策。更新后的政策将在本页面公布，并标明新的生效日期。涉及用户权益的重要变更，还会通过 App 内提示或版本更新说明予以告知。
十三、联系方式
开发者：qqfly
电子邮箱：halfleaf@qqfly.net
官网与使用帮助：半卷官网
官网上架通知：与 App 数据分开处理
本说明仅适用于 Halfleaf 官网的自愿上架通知登记，更新于 2026 年 9 月 22 日，不改变 App 内的数据处理。
仅当你主动点击上架通知入口时，服务器才保存随机事件标识、随机浏览器标识、服务器时间、按钮位置和页面语言，用于最近 180 天的点击数与按浏览器近似去重的兴趣数。同一请求重试不会重复计数。服务器确认成功后才将浏览器标识存入本站 localStorage，有效期 180 天。清除存储、换浏览器或共享设备会影响近似去重，不能将其视为独立用户数或购买意愿。
邮箱完全可选，仅用于本 App 上架通知，不用于广告。登记保存邮箱、登记时间、语言、按钮位置和说明版本。相同邮箱只计一份，重复提交不延长有效期。邮箱未验证所有权，登记本身不发送邮件。
兴趣明细 180 天到期；邮箱保留至登记后一年或通知后 30 天，以较早者为准。可联系 halfleaf@qqfly.net 要求删除；核实后删除活动库与现存私有备份中的对应登记。备份滚动保留 30 天，已到期数据可能仍在旧快照中留至轮换，恢复时会重新清理到期数据。
数据保存在开发者控制的腾讯云服务器，各 App 分库存储；不接第三方统计或表单，不用设备指纹或 Cookie，不跨站关联身份，也不关联 App 内容。管理数据不公开。技术访问日志可能包含 IP、路径等信息；接口防滥用使用网络地址摘要，仅在内存中最多保留一小时。单纯浏览网页不会创建兴趣标识。