隐私政策
最后更新：2026 年 8 月 30 日
一句话
你的照片、妆容方案、录入的化妆品，全部只存在你自己的手机里。
为什么这不只是承诺
多数应用的隐私政策说「我们重视您的隐私」，然后列出一长串收集项。我们的情况不同，而且是可以被验证的：
在安卓系统上，没有这个权限的应用在系统层面就无法访问网络 —— 不是「我们承诺不传」，是「传不了」。任何人下载安装包、解开清单文件就能自己核实这一点。
苹果版没有等价的权限机制，但代码里同样没有任何网络调用。
我们申请的权限，以及为什么
相机
摄像头画面只在你的设备上处理：人脸关键点识别（MediaPipe，本地运行）、妆容渲染（设备 GPU），全程不离开手机。画面不会被录制或保存，除非你自己按下快门。
保存到相册（仅添加）
这是苹果的「仅添加」权限 —— 它只允许写入，不允许读取。我们无法看到你相册里的任何其他照片。
安卓 10 及以上不需要任何权限；安卓 9 及以下因系统限制需要存储权限，我们已在清单中限定它只在那些旧版本上申请（maxSdkVersion="28"）。
我们不申请的权限
| 权限 | 为什么不要 |
|---|---|
| 读取相册 | 导入照片走系统选择器（iOS 的 PHPicker / 安卓的 Photo Picker）—— 它跑在系统进程里，你选中哪张，我们才拿到哪张 |
| 网络 | 见上 |
| 定位、通讯录、麦克风、设备标识 | 与本应用的功能无关 |
数据存在哪里
| 数据 | 存放位置 | 谁能看到 |
|---|---|---|
| 你保存的妆容方案（效果图 + 原始帧） | 设备应用沙盒 | 只有你 |
| 你录入的化妆品（品牌、名称、颜色） | 设备应用沙盒 | 只有你 |
| 界面语言、使用提示是否看过 | 设备本地偏好 | 只有你 |
第三方
应用使用的第三方组件只有：
- MediaPipe（Google 开源）：人脸关键点识别，完全在设备上运行，不联网
- AndroidX / CameraX（Google 官方安卓库）：系统能力封装
这些组件不收集也不上传数据。
付费
购买通过 App Store / Google Play 完成。支付信息由苹果或谷歌处理，
儿童
本应用不面向 13 岁以下儿童，也不收集任何年龄信息。
变更
若未来引入任何联网功能（例如二期的商品库），我们会：
- 在应用内以显著方式告知，并在你同意之前不启用
- 更新本政策并注明修订日期
联系
developer@metaimax.com
附录：本文事实的核实方式
供审核方或任何愿意自己验证的人参考。
# 安卓：解开安装包，查看清单中声明的权限
aapt dump permissions app-release.apk
# 苹果：在源码中搜索网络 API
grep -rn "URLSession\|CFNetwork" ios/Sources/与 ios/Podfile 的依赖列表。