隐私政策

01处理哪些信息

Tokii 在设备本地保存和处理你主动输入或选择的内容，用于制作、展示、整理和再次编辑票根，包括：

票根内容

例如乘客姓名、证件号码、车次或航班、出发地与目的地、日期与时间、座位、票价、电影名称、演出名称及场地，以及你填写的其他票面文字。

补充记录

你创建的分类、填写的同行人和记忆文字，用于整理和补充票根。

常用身份

你主动保存的姓名、证件号码及默认身份选择，用于在制作票根时快速填写。常用身份不用于注册、实名认证或查询真实出行记录。

图片

你为电影或演出票根选择的图片，以及用于再次调整图片的图像数据和裁剪、旋转等编辑参数。

应用设置

深色模式等显示偏好，以及票根模板选择、创建时间和本地记录标识，用于恢复显示和组织数据。

使用智能识别时，Tokii 会处理你为本次识别选择或拍摄的票据图片，并接收识别出的票面字段。图片可能包含姓名、证件号码、行程等信息。识别结果仅回填当前编辑中的票根，由你核对并决定是否保存；识别图片不会自动成为票根的保存图片。

为提供识别额度与次数包，Tokii 还会处理以下服务信息：

额度账号与验证

Apple 提供的 App 下载交易标识、签名下载凭证和设备验证信息，以及 Tokii 生成的内部账号标识与购买关联标识，用于确认额度归属、读取余额和防止重复领取。Tokii 不读取你的 Apple 账号密码、邮箱或银行卡信息，也不使用票根里的姓名、证件号码或 iCloud 账号作为额度身份。

识别额度与状态

免费额度的月份与使用情况、购买次数余额、识别请求编号、票种、图片摘要和处理状态，用于计次、避免重复扣次及查询中断请求的最终状态。图片摘要用于核对请求是否相同，不是原始图片；服务器不保存可供找回的历史识别结果。

购买与退款

Apple 签名购买凭证中的交易标识、商品、交易环境、购买关联标识，以及到账、使用和退款状态，用于核验购买、交付次数、防止重复到账和处理退款。付款由 Apple 处理。

证件号码和行程等内容可能涉及敏感个人信息。请按纪念记录的实际需要决定填写哪些内容，避免输入不必要的真实证件信息。显示时的遮挡不代表保存的数据已被匿名化。

如果你记录其他人的姓名、证件号码、同行信息或照片，请确保有权使用这些信息，并尊重其意愿。

02图片选择与系统权限

添加票根展示图片或从相册选择识别图片时，Tokii 使用 Apple 系统照片选择器，只接收你选中的图片，不扫描或读取整个照片图库。你可以取消选择；这不会影响手动填写和保存票根。

为电影或演出票根添加的展示图片会在本地处理并随票根保存；开启 iCloud 同步后，保存的图片和编辑参数也会同步。用于智能识别的图片则按下文所述发送和处理。若所选图片仅保存在 iCloud 照片中，系统可能需要通过 Apple 服务下载它；该过程受你的系统设置和 Apple 的隐私政策约束。

选择拍照识别时，Tokii 会请求相机权限；相机仅用于你主动拍摄本次识别图片。当前版本不请求通讯录、定位或麦克风权限，不读取通讯录来填充同行人，也不自动获取你的实际位置或行程。

03保存位置与保存期限

已保存的票根、分类、常用身份及票根展示图片保存在设备上的 App 本地存储中。iCloud 同步默认关闭；你可以在“设置 → 数据管理 → iCloud 同步”主动开启，确认后完全退出并重新打开 Tokii，选择才会生效。

开启后，Tokii 使用 Apple CloudKit 将已保存的火车、航班、电影和演出票根，以及分类、常用身份、同行人、记忆、票根原图和裁剪／旋转参数，同步到你自己的 iCloud 账户私有数据库。这包括票根和常用身份中你填写的姓名、证件号码或行程等内容。数据用于在登录同一 iCloud 账户且开启同步的设备之间保存和更新记录，不会通过 Tokii 识别服务器中转，也不会作为公开票根发布。开发者无法通过 CloudKit 开发者控制台查看你的私有记录。深色模式、智能识别授权和同步开关等本机设置不参与票根同步。

同步由系统异步处理，受网络、iCloud 账户、可用空间和系统调度影响；本机保存成功不代表已经上传。关闭同步并重新打开 Tokii 后，本机后续修改暂停同步，但不会自动删除已在 iCloud 中保存的数据或本机数据。再次开启后，未同步的新增、修改和删除可能继续同步。

智能识别图片和识别结果用于完成本次请求。按照当前服务端设计，Tokii 识别服务器不持久化原始图片或模型输入输出；运行日志可能记录请求 ID、票种、状态码和耗时等信息，不记录图片或完整票面内容。阿里云百炼说明，Tokii 当前使用的按量付费 API不会将数据用于模型训练，但会存储模型调用产生的数据。如需咨询相关信息，请通过文末邮箱联系我们。

额度账号关联、月度使用情况、购买订单、扣次、退款及必要的服务验证记录保存在 Tokii 服务端，与本机票根和 iCloud 私有记录分开保存。为持续提供余额、订单补发、退款核对和防止重复处理，这些记录不会随每月免费额度重置、删除票根、关闭 iCloud 同步或删除 App 自动清除。当前服务未设置统一的自动到期删除期限；如需申请访问、更正或删除相关个人信息，请通过文末邮箱联系。我们会核实请求，并根据仍需提供的服务、交易处理及适用法律要求评估处理；不能立即删除的必要记录会说明原因。

上述在设备本地保存的记录会保留至你主动删除相应记录，或通过系统删除 App 及其数据。仅使用 iOS 的“卸载 App”功能可能保留文稿与数据。

根据你的设备设置，系统级 iCloud 备份或电脑备份可能包含 App 数据。这与 Tokii 的 App 内云同步不同，由 Apple 或你使用的备份工具管理。删除 App 内记录不会自动删除已有的系统备份；你可以在相应备份管理功能中处理这些副本。

04共享与第三方服务

你可以在设置中管理智能识别授权；新建票根时选择智能识别且尚未允许时，Tokii 也会弹出说明并征求你的同意，告知图片将发往 Tokii 识别服务器和阿里云百炼的千问 Qwen3.7-Flash 模型服务。只有你点击“允许”，随后完成拍摄或选图，Tokii 才会通过加密连接发送该图片，提取票面信息。授权状态会保存在本机，已允许时以后使用智能识别不会重复询问；1.3.0 及以上版本可在设置页的“智能识别”分区中点击“智能识别”，选择“允许”或“拒绝”（较早版本位于“隐私”分区）；拒绝后若再次使用智能识别，Tokii 会重新询问。你也可以不使用智能识别，继续手动填写。Tokii 不会因此上传设备上已保存的其他票根、常用身份、分类、同行人或记忆。

图片上传授权与额度和订单处理分别管理。拒绝图片上传不会阻止查询余额、购买次数包或处理已付款订单；这些操作仍需通过加密连接将必要的下载凭证、设备验证信息或购买凭证发送至 Tokii 服务器进行核验，但不会因此上传票据图片。

为保护智能识别、额度及购买服务，Tokii 使用 Apple App Attest 验证请求是否来自真实的 App 实例。首次验证时，设备会生成验证密钥，并由 Apple 对密钥进行证明；Tokii 在本机保存密钥标识，并向服务器发送密钥标识、证明数据及一次性验证信息。后续受保护请求会向服务器发送密钥标识、一次性验证信息和请求签名，用于验证请求、防止服务被伪造或滥用。私钥不会上传至 Tokii 服务器；这些验证信息不用于广告或跨 App 跟踪。Apple 对证明过程中的信息按其隐私政策处理。

额度关联使用 Apple 提供的签名下载凭证；购买由 Apple StoreKit 发起，并携带 Tokii 生成的购买关联标识。Tokii 服务器通过 Apple 的交易查询与服务器通知核对购买及退款状态，处理相应的额度到账或撤回。阿里云百炼用于处理本次识别图片，不接收 Tokii 为额度和内购核验而处理的下载凭证、购买凭证或额度账本。

Tokii 不出售或出租你的记录，也不将其提供给广告商或数据经纪商。当前版本没有接入第三方广告、行为分析或崩溃收集 SDK，不使用广告标识符进行跟踪。

你开启 iCloud 同步后，Apple 提供上述私有数据库的存储与同步服务。Apple 也可能按其自身政策和你的设置处理 App 下载、系统诊断、照片下载或设备备份等信息。相关处理请参阅 Apple 隐私政策。

如果你自行截图并将票根发送到其他平台，接收方会按其规则处理你分享的内容。请在分享前检查票面及图片是否包含不希望公开的信息。

05管理与删除你的数据

• 查看与修改：从回忆时间线打开票根详情，并通过编辑功能修改票面、分类、同行人、记忆或图片。
• 删除单张票根：在票根详情中使用删除功能，移除该票根及随票根保存的同行人、记忆、图片和裁剪参数；独立保存的常用身份和分类不会因此删除。
• 管理常用身份与分类：前往“设置 → 常用身份”或“设置 → 分类管理”进行修改或删除。删除常用身份不会自动清除已经填写到票根中的姓名或证件号码；请另行编辑或删除相关票根。
• 管理同步：在“设置 → 数据管理 → iCloud 同步”开启或关闭，完全退出并重新打开 Tokii 后生效。关闭只暂停后续同步，不会清除云端数据。
• 删除已同步的记录：在开启同步的 Tokii 中删除票根、常用身份或分类，删除操作完成同步后也会作用于 iCloud 和同一账户的其他同步设备。Tokii 不提供已删除记录的回收站；删除前请确认是否仍需保留。
• 清除设备上的 App 数据：通过 iOS 删除 Tokii App 及其数据；仅使用“卸载 App”可能保留文稿与数据。删除 App 不会自动清除已同步的 iCloud 数据，已有的系统备份也需在相应备份管理功能中处理。

删除 Tokii 内保存的图片不会删除系统照片图库中的原始照片。不选择智能识别，或在相册和相机中取消，不会发出本次识别图片的上传请求；你仍可手动填写。撤回智能识别授权会停止沿用此前的同意，但无法撤回已发出的识别请求，也不会关闭你另外开启的 iCloud 同步。若需咨询识别请求的数据处理，请通过文末邮箱联系我们。

重新安装 Tokii 后，你可以登录原来的 iCloud 账户、开启同步并重新打开 App，以接收仍保存在云端的记录；未完成上传的数据无法通过这种方式恢复。开发者无法替你恢复本地或 iCloud 私有记录。

识别额度属于下载 Tokii 时使用的 App Store 账号，与 iCloud 账号无关。在同一下载账号验证通过后，可从服务端重新读取原余额；更换 iCloud 账号不会转移额度，更换下载账号也不会把原账号的订单或余额转给新账号。已付款但次数未到账时，可在“设置 → 识别额度”点击“刷新额度与订单”。

Tokii 无需另行注册 App 账号，但会为识别服务关联额度账号。删除本机数据不会删除该关联或服务端记录；如需访问、更正或删除这些信息，可通过下方邮箱申请。请勿发送 Apple 密码、完整证件号码或不必要的票据图片。

06信息安全与未成年人

Tokii 通过 iOS 应用沙盒及系统提供的存储机制保存本地数据。请妥善保护设备及备份，启用设备锁屏，避免向他人提供包含个人信息的截图或备份。任何存储或保护措施都无法保证绝对安全。

未成年人应在监护人的指导下使用 Tokii，并谨慎填写身份和行程信息。请勿为智能识别选择包含不必要的儿童个人信息的图片。监护人可在设备上查看、修改或删除本地记录，或通过下方联系方式提出隐私问题。

07本政策网页

本页面本身不使用 Cookie、访问统计脚本、广告或第三方字体，也不读取 Tokii App 中的本地记录。

通过浏览器访问本页面时，网页托管服务器或网络服务提供方可能处理 IP 地址、访问时间、请求地址、浏览器类型及响应状态等连接信息，用于提供页面和保障运行安全。具体日志记录与保留情况取决于托管服务配置；这些访问记录不包含你在 Tokii 中保存的票根内容。

08政策更新

当功能或信息处理方式发生变化时，我们会更新本政策及页面顶部的日期。若新增服务或功能会改变个人信息处理方式，我们会在启用相关处理前说明变化，并在需要时征求你的同意。