后信 · Afterword 隐私政策 / Privacy Policy
最后更新：2026-04-27 · Last updated: 2026-04-27
中文版
一、概述
后信（"本应用"）由 深圳市黑白科技有限公司（下称"我们"）开发并运营。我们尊重并保护你的隐私。本政策说明我们如何处理你的数据。
二、我们收集什么
只有在你创建账号或主动同步信件时，我们才会收到对应的数据：
- 邮箱地址——你登录用的邮箱。我们用它发送 6 位验证码、发件人身份标识，以及当你设定"无人值守送达"时作为发件人显示。
- 收件人信息——你为某封信添加的收件人姓名和邮箱。仅用于在你设定的送达条件触发时投递这封信。
- 信件内容——你撰写的信件标题、正文、附件（图片、语音）。当你启用"定时送达""未活跃触发"或"定期确认"模式时，正文与附件会在 HTTPS 加密通道中上传到我们的服务器，并以 AES-256-GCM 在服务器存储设备上加密保存。
- 设备名——
iPhone of XX 之类，用于在"我的会话/设备"列表中区分你的多台设备。
- 登录会话——会话 ID、IP 地址（仅记录最近一次活跃所用的 IP 用于审计）、最后活跃时间。
我们不收集：你的真实姓名、身份证、地址、电话、IDFA / 广告标识、定位、健康数据、联系人列表、键盘输入。
三、我们能不能看你的内容
技术上：是的。 信件正文以 AES-256-GCM 加密"在数据库静止时存储"（at-rest encryption）。这种方案能防止数据库被偷走后立刻可读，但密钥由我们的服务持有；我们的运维人员在登录服务器后理论上能解密任何信件。
我们承诺：
- 不主动浏览用户信件内容
- 不用作训练任何模型
- 不向第三方出售或共享任何用户信件
- 在用户去世或长期失联场景下，仅按用户预先设定的送达规则做投递，不做"代为决定"
如果你对这个信任模型不满意，请使用"仅手动发送"模式——这种模式下信件不上传服务器，只在你的设备本机加密保存。
未来版本我们计划上线"端到端加密"（仅你的密码能解密的模式），届时 even our staff 都无法解密。
四、我们不收集的
- IDFA / 广告标识
- 跨应用追踪数据（NSPrivacyTracking = false）
- 第三方分析 SDK（无 Firebase / Google Analytics / Bugsnag / Sentry 等）
- 第三方广告 SDK（无）
五、设备权限
本应用会在你主动操作时请求以下权限：
| 权限 | 何时请求 | 用途 |
|---|---|---|
| Face ID / Touch ID | 引导阶段 / 设置启用 | 解锁 App，生物模板永不离开设备 |
| 麦克风 | 你点击"录制语音"时 | 仅录制语音附件，本机 AES-GCM 加密保存 |
| 相册 | 你点击"添加照片"时 | 仅读取你选中的照片，本机加密保存 |
| 本地通知 | 创建定时/未活跃/定期确认信件时 | 到期提醒、check-in 提醒 |
六、邮件发送
当一封信达到送达条件时：
- 邮件由我们通过 Cloudflare Email Sending 第三方服务投递
- 邮件内容会经过 Cloudflare 服务器，遵循 Cloudflare 隐私政策
- 我们的发件域名为
oxiao.com
七、数据存储位置
- 服务器位于美国（IP 45.78.200.74，由 Linode/Akamai 提供）
- Cloudflare 全球网络中转
- 数据库：PostgreSQL，每日自动 cron 备份至同一服务器，保留 7 天
- 我们目前没有备案，因此不在中国大陆 App Store 上架；中国大陆用户的数据出境时遵循 PIPL（《个人信息保护法》）跨境传输规则
八、你的权利
随时可以：
- 导出加密备份：设置 → 加密备份 → 导出（生成本机
.afterword 文件）
- 退出登录：设置 → 退出登录（仅清除本机 token，服务器保留账号）
- 删除账号：设置 → 删除账号（永久删除服务器上你的所有数据，本机也同步清空，无法恢复）
- 清除所有数据：设置 → 清除所有数据（仅本机；服务器账号继续存在）
如需协助，邮件 [email protected] 或访问 https://houxin-api.oxiao.com/support。
九、儿童
本应用不面向 13 岁以下儿童。如发现未成年使用者，请家长联系 [email protected]。
十、政策变更
本政策更新会在应用内显著位置提示。重大变更需要你重新同意。
十一、联系
English
1. Overview
Afterword ("the App") is operated by Linkin Black Or White Technology Co., Ltd. ("we"). This policy explains how we handle your data.
2. What We Collect
Only when you create an account or sync letters do we receive corresponding data:
- Email address — used for the 6-digit OTP login and as the sender identity for letters you schedule.
- Recipient info — names and emails you add to a letter, used solely to deliver that letter when its trigger fires.
- Letter content — title, body, and attachments (photos, voice). When you choose Scheduled, Inactivity, or Recurring delivery modes, content uploads via HTTPS and is stored at-rest encrypted with AES-256-GCM on our servers.
- Device name — to distinguish your devices in your sessions list.
- Sessions — session ID, last-active IP (for audit), and last-active timestamp.
We do not collect: real name, ID/passport, address, phone, IDFA, location, health data, contacts, keyboard input.
3. Can We Read Your Letters?
Technically: yes. Bodies are encrypted at rest, but the key is held by our service; an operations engineer with shell access could decrypt any letter.
We commit to:
- Never proactively browse user content
- Never train any model on user content
- Never share or sell user content to third parties
- For death-or-prolonged-inactivity scenarios, only deliver per the rules you pre-set
If this trust model isn't enough, use Manual delivery mode — in that mode the letter never uploads to the server.
A future version will add true end-to-end encryption.
4. What We Don't Collect
- IDFA / advertising identifiers
- Cross-app tracking data (NSPrivacyTracking = false)
- Third-party analytics SDKs (no Firebase / GA / Bugsnag / Sentry)
- Third-party advertising SDKs (none)
5. Permissions
| Permission | When asked | Why |
|---|---|---|
| Face ID / Touch ID | Onboarding / Settings | Unlock the App; biometrics never leave your device |
| Microphone | When you tap "Record voice" | Voice attachment, encrypted locally |
| Photos | When you tap "Add photo" | Only photos you pick; encrypted locally |
| Local Notifications | When you create a scheduled/checkin letter | Reminders only |
6. Email Delivery
When a letter is due:
- Sent via Cloudflare Email Sending
- Content transits Cloudflare under their privacy policy
- Our sending domain is
oxiao.com
7. Data Location
- US-based server (45.78.200.74, hosted by Linode/Akamai)
- Cloudflare global network in front
- PostgreSQL with daily on-server backup, 7-day retention
- We're not currently launched in mainland China App Store
8. Your Rights
- Encrypted backup: Settings → Encrypted backup → Export
- Sign out: Settings → Sign out (clears local tokens; server account remains)
- Delete account: Settings → Delete account (permanently deletes all your server data + local data)
- Erase local data: Settings → Erase all data (local only)
Contact: [email protected] or https://houxin-api.oxiao.com/support.
9. Children
Not directed at children under 13. Parents/guardians: email us if you discover underage use.
10. Changes
Material changes are highlighted in-app and may require re-consent.
11. Contact