色卡工坊隐私政策
运营者：周其｜联系邮箱：herry0802@petalmail.com
一、适用范围与核心结论
本政策适用于 HarmonyOS 手机和平板应用“色卡工坊”1.0.0。应用完全离线，不声明运行时权限，不访问互联网，不接入第三方 SDK，不提供账号、广告、推送、统计、支付、云同步或在线内容。应用不会收集、上传、共享、出售、公开披露或跨境传输个人信息。
二、首次启动隐私闸门
应用首帧只创建最小界面并从本机 Preferences 读取已同意的政策版本。读取完成前不显示业务主页。使用协议和隐私政策分别显示并默认不勾选，只有用户同时主动勾选并点击“同意并进入”后才初始化色卡仓库和业务页面；同意前不初始化 PhotoPicker、FilePicker、剪贴板、图片解码器或其他非必要业务对象。用户可以不同意并退出。
三、本机处理的数据
| 本地数据 | 用途 | 保存位置与期限 |
|---|---|---|
| 隐私政策同意版本 | 判断首次启动或政策更新后是否需要重新确认 | 应用沙箱 Preferences；撤回同意、清除应用数据或卸载时删除 |
| 色卡、颜色名称、标签、备注、收藏、历史、草稿和设置 | 提供创建、编辑、搜索、排序、比较、恢复草稿及偏好设置 | 应用沙箱；保留至用户在应用内删除、清除应用数据或卸载 |
| 用户主动选择的图片像素 | 降采样、主要颜色聚类和手动取色 | 仅在设备内存中临时处理；退出图片取色页面后释放 PixelMap 和像素缓存，不长期保存原图 |
| 用户主动选择的导入文件或导出内容 | 导入经校验的 JSON，或导出 JSON、CSS、ArkUI 文本和 PNG | 由系统 FilePicker 按用户选择读取或写入；应用不扫描其他文件 |
四、PhotoPicker 图片取色
只有用户主动进入图片取色并点击选择时，应用才调用系统 PhotoPicker。支持 JPEG、PNG 和静态 WebP，并校验文件类型、大小和解码结果；大图会先降采样以控制内存占用。图片只在本机内存中解码、聚类和手动取色，不上传、不发送给运营者或第三方，也不复制到应用长期存储。用户取消选择不会影响其他功能。
五、FilePicker 导入导出
只有用户主动导入或导出时，应用才调用系统 FilePicker。JSON 导入会校验最大 2 MB、schemaVersion、字段类型、颜色值、数组长度和重复 ID；异常数据不会覆盖现有色卡。发生 ID 冲突时，用户可选择跳过或复制为新的本地色卡。导出文件保存到用户选定位置后，由用户自行管理；应用不在后台读取该位置。
六、权限、网络和第三方共享
应用模块不声明任何权限，不包含网络请求 API 或业务域名，不使用第三方 SDK、统计、崩溃上报、广告、推送、账号或设备标识。PhotoPicker 和 FilePicker 由系统向用户展示选择界面，不等同于授予应用广泛相册、存储或文件访问权限。线上协议页面由用户在系统浏览器中访问时，网页访问由浏览器和网站服务器按各自规则处理；色卡工坊应用本体不会后台打开网页或收集浏览记录。
七、用户权利与删除
用户可在“我的”页面查看本政策、导出全部数据、清空历史、清空全部本地数据、恢复默认设置或撤回隐私同意。撤回同意会删除本机政策版本并返回隐私页；业务色卡可通过独立清空功能删除。用户也可通过系统设置清除应用数据或卸载应用。由于运营者没有服务器副本，无法远程查询、导出、恢复或删除设备内数据。
八、安全、未成年人和行业边界
应用通过沙箱存储、输入长度限制、格式校验、图片降采样和退出时资源释放降低本地处理风险，但不宣传未经验证的绝对安全。应用不面向儿童提供专门服务，不处理健康、金融、精确位置、通讯录、生物识别或其他敏感业务数据。色觉差异模拟仅作设计辅助预览，不构成医疗诊断或治疗建议。
九、政策更新与联系
若未来新增联网、权限、第三方 SDK、账号、云同步、广告、支付或其他个人信息处理能力，将先更新应用、政策、AppGallery 隐私标签和政策版本，并在相应处理发生前重新取得明确同意。本应用运营者为周其；用户可通过 herry0802@petalmail.com 行使适用的数据权利或提出隐私问题。