更新日期：2026 年 11 月 7 日
1. 本地存储
iTodo 的任务、计划、备注、日期和完成记录保存在这台 Mac 的本地数据库中；显示偏好保存在本机。应用不需要注册账号，没有内置广告、统计分析或第三方追踪 SDK，也不会主动将这些内容上传至开发者服务器。
2. 导入与导出
只有你主动选择文件并确认操作时，应用才会读取备份或将备份写入所选位置。备份包含任务和备注，不做额外加密，请妥善保存。如果你选择了 iCloud Drive 或其他同步文件夹，该服务可能会按照其自身设置与隐私政策同步备份。
3. AI 与 MCP
MCP 是可选的本机集成，不是 iTodo 提供的云端 AI 服务。商店版本默认关闭连接，你在「设置 → AI 与数据」明确授权后，应用才会开启仅绑定 127.0.0.1 的本机 HTTP 入口；不接受局域网或公网连接。连接使用本机生成的随机凭据，保存在钥匙串服务 com.wonderyuan.itodo.mcp、账户 loopback-token-v1 中。复制连接配置需要你主动点击，配置包含凭据，请勿公开分享。直接分发预览版本仍使用你自行配置的 stdio 客户端，不监听网络端口。
接入并持有凭据的客户端能够读取全部任务和备注，并修改任务与计划；客户端可能将这些内容发送给它使用的模型服务。请只接入可信客户端，并保留工具调用确认。相关数据处理适用该客户端及模型服务提供方的隐私政策，iTodo 不控制它们的数据保留方式。
商店版本在设置中关闭连接，或退出应用，就会停止此入口；直接分发版需移除 AI 客户端中的 MCP 配置并关闭已启动的 MCP 进程。停止连接不会撤回客户端此前已经读取或保存的内容。凭据不包含任务、姓名、Apple 账户或设备标识；关闭连接不主动删除钥匙串记录，以便下次使用同一配置。若需删除，可先关闭连接，移除上述钥匙串项目及客户端配置，再重新开启并复制新凭据。
4. 系统权限
登录时启动由你主动开启，并受 macOS 登录项设置控制。备份使用系统文件选择器。iTodo 不需要摄像头、麦克风、通讯录、定位、屏幕录制或辅助功能权限；灵动岛显示器适配只读取系统提供的屏幕几何信息。
5. 保存与删除
数据保留在本机，直至你删除记录或本地数据。删除任务后，该记录不再出现在应用中；你自己导出的备份及文件同步服务保留的副本不会自动删除。卸载应用可能仍会保留本地数据库和偏好设置。如需彻底清除，请先退出应用及 MCP 客户端，在「设置 → AI 与数据」查看数据位置后，通过访达删除该目录，并另行处理导出的备份。删除操作不可撤销，建议先确认是否需要备份。
6. Pro 购买与试用
iTodo Pro 通过 Apple 的 App Store 内购处理付款与恢复购买。应用只在本机使用 StoreKit 验证购买凭证和功能使用权，不接触银行卡资料，也不将交易或任务内容上传到开发者服务器。购买受 Apple 的账户、隐私及交易条款约束；本地预览构建尚不能进行正式购买。
灵动岛试用由你主动开启。商店版本通过 Apple 的零价非消耗型商品确认免费体验，以验证通过的原始购买时间计算 72 小时，恢复购买不会重新计时；直接分发预览版本仅使用本机试用记录。开始时间及最近校验时间保存在本机钥匙串，用于判断试用及较大时钟倒退，不包含任务、姓名、Apple 账户或设备标识。卸载应用、清除偏好不会主动删除这条记录。若需移除，可在系统「钥匙串访问」查找服务 com.wonderyuan.itodo.pro、账户 island-trial-v1 并自行删除；这不会删除任务、撤销 Apple 管理的已购使用权或重置 Apple 的试用起点。试用结束仅影响顶部灵动岛，不删除数据、不自动扣费。
7. 外部链接与反馈
若发行版本提供在线政策或帮助入口，打开链接时会由系统浏览器访问对应网站，适用该网站的隐私政策。反馈时请不要公开包含私人任务、内部工作内容或数据库的截图与附件；版本与系统信息不包含任务数据。应用内提供离线隐私政策。公开帮助页为 https://itodo.yuanundo.top/zh/support/ ，客服邮箱为 yuanundo@163.com。联系支持时，邮件服务商会处理你的邮件地址及你主动提供的内容，仅用于回复和处理问题。我们不会要求你提供 Apple 账户密码、支付卡资料或完整任务数据库。
支持网站仅提供静态页面，不使用广告、分析追踪、第三方字体或 Cookie。托管服务可能为交付页面、安全和故障诊断处理 IP 地址、浏览器信息及访问时间等常规请求信息；这些信息不会与应用内任务数据库关联。
8. 政策变更
如果后续版本的数据处理方式发生变化，会同步更新本政策及应用内说明。商店发行准备不代表已经上架；正式提交前将按实际发行包与第三方集成重新核对本政策及商店隐私声明。