隐私政策

生效日期：2026 年 5 月 29 日 · 最近更新：2026 年 10 月 10 日

問易（Yi）是一款本地优先的《易经》研读与反思 App。AI 解读默认在您的设备上运行，可选云端模式见第2节；您的问题、笔记与反思默认只保存在本机；可选的跨设备同步采用端到端加密，我们无法读取同步内容。除第2节说明的可选云端处理外，只有当您主动公开内容、向支持同事求助，或确认举报某段设备端解读时，您明确选择发送的内容才会由我们处理。

1. 我们如何处理您的数据

默认保存在设备上的数据

您的问题与卦象、个人笔记、复盘与反思，以及设备端 AI 生成的解读，默认全部保存在您的设备本地。未开启同步或主动选择云端 AI 时，这些内容不会离开设备，也不会发送给我们或任何第三方。

账户数据（仅当您选择登录）

开启云同步时，您可以使用 Apple 或 Google 登录。我们仅保存：

登录服务提供的稳定用户标识符——用于识别登录方式和您的账户；
可选邮箱地址——仅在 Apple 或 Google 提供时保存，用于展示和必要的账户联系；
账户创建与最近活跃时间等基本时间戳；
用于维持登录状态的会话信息、有效期、最近使用时间与设备类型。

邮箱不会被用来自动合并账户。若身份服务在首次登录时返回姓名，我们仅在设备上把它作为显示名候选。我们不会收到您的 Apple 或 Google 密码、通讯录或精确位置。

端到端加密的同步数据

开启同步后，您选择同步的问题与卦例、起卦日志、反思日志、研读笔记、设备端解读、读经与课程进度等记录，会在离开设备之前完成加密。我们的服务只保存无法读懂的密文信封和同步所需的最少信息，例如记录类别、更新时间和删除标记；我们无法读取其中正文。解密密钥不会以可读取的形式上传。您选择跨平台恢复时，我们会保存一份由恢复码保护的加密密钥备份；恢复码只由您持有，我们不能用该备份读取您的记录。同步是可选功能，不登录也可在本机使用主要研读与记录功能。

购买与订阅数据

为校验 App 内购买并提供相应权益，我们会保存 Apple App Store 或 Google Play 的商品与交易标识符、订阅状态与到期时间，以及点数余额与使用记录。银行卡号等支付信息由商店处理，我们不会收到。

投稿、公开内容与作者结算数据

当您申请成为作者或投稿时，我们会处理您主动提交的公开笔名、简介、稿件、修订记录与编辑反馈。公开文章、举报和屏蔽记录与私人加密同步数据分开保存。为计算订阅分成，我们只接收文章与作者标识、阅读时长区间和进度区间，不接收您的问题、私人笔记或文章正文副本。作者资格与结算记录只保存审核状态、国家或地区、付款币种及不可直接识别身份的引用；身份证件、税务和银行资料由受控财务流程另行管理，不存入問易的日常账户资料。

通知注册数据

如果您允许通知，为把您选择的提醒送达，我们会保存用于识别推送目标的信息、App 生成的安装标识符、运行环境、App 版本、语言、会员类别与注册时间。当支持同事回复时，我们会通过 Apple 或 Google 的推送服务发送一条不含回复正文的通用提醒。关闭通知或在「我的 → 删除账户与数据」中完成删除时，我们会删除该推送注册。

您主动发送给支持同事的数据

当您在 App 内联系支持同事时，我们会收到并由支持同事读取您写下的说明、您自愿填写的回信邮箱、您逐张选择的截图，以及页面上向您展示的有限本机信息，例如 App 与系统版本、机型、界面语言、会员类别、所在市场、登录、同步和通知状态。我们不会自动附上您的问题、卦象、笔记、反思、解读或其他日志。支持内容与端到端加密的同步记录分开保存，仅用于回复、排查问题、保障通道安全和改进相关功能。

您主动提交的设备端解读举报

设备端生成解读时不会上传任何内容。无论是否登录，只有当您点按「举报这条解读」并确认提交时，App 才会发送您举报的那一段生成内容、其中的出处引用、界面语言、设备端生成方式，以及您选择填写的补充说明。举报不会附带您的问题、完整卦例、起卦日志、反思日志或其他私密反思；出处引用可能包含相关卦号和经文字段标识。未登录时，App 还会发送随机生成的安装标识符；服务只保存由密钥生成、无法反推出原值的指纹，用于限流和执行当前安装的删除请求，不保存原始标识符。审核同事可以读取举报；举报只用于安全审查和改进设备端解读，并与加密同步记录分开保存。

使用情况数据

为改进产品与定位缺陷，App 可能向我们的服务器发送最小必要的使用情况数据，例如功能的使用次数、页面或功能的类别、App 版本、语言、会员类别、来源渠道，以及 App 生成的安装标识符。登录状态下，这些数据可能与您的账户关联。其中不包含您的问题、笔记、反思或解读正文；可能包含您浏览过的卦号与资料标识符。上一段所述、由您主动提交的设备端解读举报不属于使用情况数据，并按其单独说明处理。

技术日志

为保障服务安全与稳定运行，服务器会临时记录常规请求信息（如 IP 地址、时间、访问的服务路径）。这些日志不用于画像或广告，并会定期清除。

设备权限

通知权限只在您开启提醒时请求。Android 版不申请相机权限；只有当您点按扫描跨设备密钥配对二维码时，才打开 Google Code Scanner 提供的扫码界面，問易只接收解码后的配对内容，不接收或上传照片、视频。选择图片使用系统照片选择器。罗盘不需要位置权限。問易不申请麦克风、通讯录、精确闹钟、后台位置或整库照片权限。

2. 设备端与可选云端 AI

问易默认在设备端生成解读；仅在您主动选择云端、确认本次材料与服务提供方后，才会发送选中的问题、画像摘要、对话及经文材料。云端由 Google 在新加坡处理，不向中国大陆提供。此功能分阶段开放，以 App 中的可用状态为准；订阅不会自动发送您的资料。

出生日期、时间和地点默认不发送到云端。我们的服务仅在本次处理时接触正文，业务日志和计费记录不保存正文。断线恢复只保存由您设备的一次性密钥保护的回复，确认收到即删除，最长保留24小时。最终对话保存在设备，开启同步后继续使用端到端加密。Google 可能按适用的服务与安全条款保留必要数据；我们不承诺未经验证的零保留，启用前会说明适用条款。

多维画像、出生资料和星盘默认保存在设备。分享图片前由您选择公开字段；二维码不包含出生资料、问题或日志。您可删除画像及其派生摘要，或关闭 AI 对它的使用。AI 点数账本只记录购买、用量、成本和退款；删除账号会清除恢复内容、停止在途处理，并解除依法保留的财务记录与账号的关联。

3. 我们不做的事

不投放广告，不进行广告画像或跨 App 跟踪（不使用 IDFA 或 Android 广告标识符）；
不集成第三方分析或广告 SDK；
不出售、不出租您的数据；除您主动选择公开的内容、您明确发送的支持内容或设备端解读举报，以及提供服务所必需的处理外，不与第三方共享您的记录；
不读取、不分析您保存在本机或加密同步中的问题、笔记、反思或解读；工作人员只读取您主动提交的支持内容来处理请求，或读取您主动提交的设备端解读举报进行安全审查。

4. 数据的存储与跨境

账户信息、加密同步数据、购买与订阅数据、投稿与公开内容、作者结算状态、通知注册数据、使用情况数据、支持内容、设备端解读举报，以及您主动公开的评论与学习卡片，均存储在新加坡。作者的证件、税务与收款资料在单独受控的财务流程中处理。无论数据在何处存储，私人同步内容始终是我们无法读懂的加密内容。

5. 数据保留、导出与删除

随时导出：即使在未登录或离线时，您也可以在 App 内把学习记录导出到本机。使用情况数据、公开评论、支持内容与设备端解读举报不包含在此本机导出中；您仍可在「我的支持记录」查看尚在保留期内的往来。
退出登录：仅清除本设备的会话信息，保留本机的学习记录与密钥。
彻底删除（已登录）：在「我的 → 删除账户与数据」中执行删除，会删除本机的学习记录、服务上与您的账户或当前安装关联的加密同步数据、加密密钥备份、账户信息、投稿草稿与申请资料、推送注册、支持内容、设备端解读举报，以及本机的端到端加密密钥；与该账户关联的公开卡片、评论与互动也会一并删除。此操作不可恢复。为履行付款、税务、审计、退款与防欺诈义务而依法需要保留的购买和作者财务记录会解除账户及公开笔名关联后继续保存；这些记录不用于恢复您的账户。您也可以在账号删除页面发起请求，无需重新安装 App。删除账号不会自动取消 Apple App Store 或 Google Play 订阅，您需要在购买所用商店另行取消。
删除完成标记：为在网络或 App 中断后安全确认删除已完成，服务只保留至 App 确认收到结果的一个随机完成标记。它不与账号或安装关联，不包含登录凭证或您的内容，并在 App 确认后立即清除。
支持内容：说明、回信邮箱、有限本机信息和记录元数据自最后一次往来起最多保留 365 天；记录进入「已解决」或「已关闭」后，最迟在 90 天内删除。截图自上传起最多保留 90 天；记录解决或关闭后，最迟在 30 天内删除。到期后自动清除。
设备端解读举报：举报内容、出处引用、选填说明、界面语言和设备端生成方式自提交起最多保留 90 天，之后自动清除；删除账户时会立即删除与账户关联的举报。
使用情况数据：删除后会解除与账户标识符的直接关联，并可能以删除前的安装标识符为单位继续保留。删除完成后，本机会更新安装标识符。
未登录时删除：会删除本机的学习记录，以及当前安装标识下的支持内容与设备端解读举报。若需一并删除服务器上的账户和与账户关联的数据，请先登录。
删除未完成时：若因网络错误未能完成服务器侧删除，我们会保留本机数据与登录凭证；若服务器侧已删除而本机处理未完成，也会保留剩余的本机数据与凭证，并在下次操作时继续本机删除。

6. 使用 Apple 或 Google 登录

您可选择 Apple 或 Google 登录。使用 Apple 登录时，您可以隐藏邮箱并使用私密中转地址。撤销身份服务对問易的访问不会自动删除問易账号；如需清除服务上的数据，请同时执行账号删除。

7. 网页登录、Cookie 与地区

网页登录。 您可以在 oneyi.net 使用与 App 相同的 Apple 或 Google 账号登录。登录时我们只从 Apple 或 Google 收到用于识别您的账号标识，以及您同意提供的邮箱地址（使用 Apple 时可以是私密中转地址）。在登录页面上，Google 登录按钮由 Google 提供并在您的浏览器中加载；您使用它时，Google 会按其隐私政策处理相关信息。

我们使用的 Cookie。 网页登录只使用以下两个必要的 Cookie，不使用分析、广告或跨站跟踪 Cookie：

yi_web_session：让浏览器保持登录，最长 30 天；退出登录或在「已登录的设备」中移除本浏览器后立即失效。页面中的脚本无法读取它。
yi_web_preauth：仅在使用 Apple 登录的过程中临时保存，用于确认是您本人发起的登录，最长 5 分钟，完成后立即清除。

由于这些 Cookie 是提供网页登录所必需的，您无法在保持登录的同时关闭它们；如在浏览器中阻止，网页登录将无法使用，其余公开页面不受影响。

已登录的设备。 账号页面会列出当前登录您账号的浏览器和 App，以及各自的创建与最近使用时间（App 会显示您设备上的名称）。您可以随时移除任何一项。我们不记录浏览器指纹。

关联 Apple ID。 如果您先用 Google 登录，可以在账号页面关联您的 Apple ID，之后在 iPhone 上用 Apple 登录会进入同一个账号。关联不会合并两个已有账号；若该 Apple ID 已用于另一个问易账号，关联不会进行。

地区判定。 为了确定网页付款和可选的云端 AI 辅助能否在您所在的国家或地区提供，我们会在处理请求时，根据您的网络地址判断所在国家或地区。我们只使用判断出的国家或地区结果，不为地区判定保存您的网络地址。用于维护安全的访问日志按本政策的安全日志说明处理。无法判断时，这两项功能会暂不提供；登录、加密同步、读经与日志等其他功能不受影响。我们在中国大陆不提供网页付款与云端 AI 辅助。本服务使用 MaxMind 创建的 GeoLite2 数据，来源为 https://www.maxmind.com。

网页订阅与付款。 在付款页面列出的开放地区，您可以在网页上订阅 Yi Plus 或 Yi Master，权益与 App 内同级订阅相同；中国大陆不提供网页订阅。付款由支付服务商 Stripe 处理：银行卡等付款信息直接提交给 Stripe，我们不接收您的卡号。为核对付款地区和计算税额，我们会临时处理您的姓名、邮箱与账单地址，并交给 Stripe 更新账单资料；问易不保存付款表单中的姓名、邮箱和完整账单地址。我们只保存完成付款和订阅所需的信息：账单所在国家或地区、付款进度、订阅方案、状态与有效期，账单金额、税额与币种，以及 Stripe 为您生成的客户、订阅和付款编号。您可以在账号页面的「管理订阅」中查看账单、更新付款方式与账单资料，或取消续订。当前不提供方案切换。删除问易账号时，我们会解除这些记录与您账号的关联，并尝试取消仍在计费的订阅；为履行税务与会计义务需要保留的交易记录，会按法律要求保存。

8. 年龄要求

問易仅面向 18 岁及以上的成年人。未满 18 岁者不得创建账号或使用本服务。

9. 本政策的变更

如本政策发生重大变更，我们会更新本页面顶部的生效日期，并在适当情况下于 App 内提示。

10. 联系我们

如对本隐私政策或您的数据有任何疑问，请联系：support@oneyi.net。

隱私政策

生效日期：2026 年 5 月 29 日 · 最近更新：2026 年 10 月 10 日

問易（Yi）是一款本地優先的《易經》研讀與反思 App。AI 解讀預設在您的裝置上執行，可選雲端模式見第2節；您的問題、筆記與反思預設只保存在本機；可選擇的跨裝置同步採用端對端加密，我們無法讀取同步內容。除第2節說明的可選雲端處理外，只有在您主動公開內容、向支援人員求助，或確認舉報某段裝置端解讀時，我們才會處理您明確選擇傳送的內容。

1. 我們如何處理您的資料

預設保存在裝置上的資料

您的問題與卦象、個人筆記、回顧與反思，以及裝置端 AI 生成的解讀，預設全部保存在您的裝置本機。未啟用同步或主動選擇雲端 AI 時，這些內容不會離開裝置，也不會傳送給我們或任何第三方。

帳戶資料（只有在您選擇登入時）

啟用雲端同步時，您可以使用 Apple 或 Google 登入。我們只保存：

登入服務提供的穩定使用者識別碼——用來識別登入方式和您的帳戶；
可選電郵地址——只有 Apple 或 Google 提供時才保存，用於顯示和必要的帳戶聯絡；
帳戶建立與最近活躍時間等基本時間戳；
用於維持登入狀態的工作階段資訊、有效期、最近使用時間與裝置類型。

電郵不會用來自動合併帳戶。若身分服務在首次登入時回傳姓名，我們只在裝置上把它當作顯示名稱候選。我們不會收到您的 Apple 或 Google 密碼、通訊錄或精確位置。

端對端加密的同步資料

啟用同步後，您選擇同步的問題與卦例、起卦日誌、反思日誌、研讀筆記、裝置端解讀、讀經與課程進度等記錄，會在離開裝置之前完成加密。我們的服務只保存無法讀懂的密文信封，以及同步所需的最少資訊，例如記錄類別、更新時間和刪除標記；我們無法讀取其中正文。解密鑰匙不會以可讀取的形式上傳。您選擇跨平台恢復時，我們會保存一份由恢復碼保護的加密鑰匙備份；恢復碼只由您持有，我們不能用該備份讀取您的記錄。同步是選用功能，不登入也可在本機使用主要研讀與記錄功能。

購買與訂閱資料

為驗證 App 內購買並提供對應權益，我們會保存 Apple App Store 或 Google Play 的商品與交易識別碼、訂閱狀態與到期時間，以及點數餘額與使用記錄。信用卡號等支付資訊由商店處理，我們不會收到。

投稿、公開內容與作者結算資料

當您申請成為作者或投稿時，我們會處理您主動提交的公開筆名、簡介、稿件、修訂記錄與編輯意見。公開文章、檢舉和封鎖記錄與私人加密同步資料分開保存。為計算訂閱分成，我們只接收文章與作者識別碼、閱讀時長區間和進度區間，不接收您的問題、私人筆記或文章正文副本。作者資格與結算記錄只保存審核狀態、國家或地區、付款幣別及不可直接識別身分的引用；身分證件、稅務和銀行資料由受控財務流程另行管理，不存入問易的日常帳戶資料。

通知註冊資料

若您允許通知，為把您選擇的提醒送達，我們會保存用於識別推播目標的資訊、App 產生的安裝識別碼、執行環境、App 版本、語言、會員類別與註冊時間。支援人員回覆時，我們會透過 Apple 或 Google 的推播服務傳送不含回覆正文的一般提醒。關閉通知或在「我的 → 刪除帳戶與資料」完成刪除時，我們會刪除該推播註冊。

您主動傳送給支援人員的資料

當您在 App 內聯絡支援人員時，我們會收到並由支援人員讀取您寫下的說明、您自願填寫的回覆電郵、您逐張選擇的螢幕截圖，以及頁面上向您展示的有限裝置資訊，例如 App 與系統版本、機型、介面語言、會員類別、所在市場、登入、同步與通知狀態。我們不會自動附上您的問題、卦象、筆記、反思、解讀或其他記錄。支援內容與端對端加密的同步記錄分開保存，只用於回覆、排查問題、保障通道安全與改善相關功能。

您主動提交的裝置端解讀舉報

裝置端生成解讀時不會上傳任何內容。無論是否登入，只有在您點按「舉報這條解讀」並確認提交時，App 才會傳送您舉報的那一段生成內容、其中的出處引用、介面語言、裝置端生成方式，以及您選擇填寫的補充說明。舉報不會附上您的問題、完整卦例、起卦日誌、反思日誌或其他私密反思；出處引用可能包含相關卦號和經文字段標識。未登入時，App 也會傳送隨機產生的安裝識別碼；服務只保存由密鑰產生、無法反推出原值的指紋，用於限流和執行目前安裝的刪除要求，不保存原始識別碼。審核人員可以閱讀舉報；舉報只用於安全審查與改善裝置端解讀，並與加密同步記錄分開保存。

使用狀況資料

為改進產品與定位問題，App 可能向我們的伺服器傳送最小必要的使用狀況資料，例如功能的使用次數、頁面或功能的類別、App 版本、語言、會員類別、來源管道，以及 App 產生的安裝識別碼。登入狀態下，這些資料可能與您的帳戶關聯。其中不包含您的問題、筆記、反思或解讀正文；可能包含您瀏覽過的卦號與資料識別碼。上一段所述、由您主動提交的裝置端解讀舉報不屬於使用狀況資料，並按其獨立說明處理。

技術記錄

為保障服務安全與穩定運作，伺服器會暫時記錄一般請求資訊，例如 IP 位址、時間、使用的服務路徑。這些記錄不會用於用戶畫像或廣告，並會定期清除。

裝置權限

通知權限只在您開啟提醒時要求。Android 版不要求相機權限；只有當您點按掃描跨裝置鑰匙配對二維碼時，才開啟 Google Code Scanner 提供的掃碼介面，問易只接收解碼後的配對內容，不接收或上傳相片、影片。選擇圖片使用系統相片選擇器。羅盤不需要位置權限。問易不要求麥克風、通訊錄、精確鬧鐘、背景位置或整個相片庫權限。

2. 裝置端與可選雲端 AI

問易預設在裝置端生成解讀；僅在您主動選擇雲端、確認本次材料與服務提供者後，才會傳送選取的問題、畫像摘要、對話及經文材料。雲端由 Google 在新加坡處理，不向中國大陸提供。此功能分階段開放，以 App 中的可用狀態為準；訂閱不會自動傳送您的資料。

出生日期、時間和地點預設不傳送至雲端。服務僅在本次處理時接觸正文，使用紀錄和計費紀錄不保存正文。斷線恢復只保存由裝置一次性金鑰保護的回覆，確認收到即刪除，最長保留24小時。最終對話保存在裝置，開啟同步後繼續端對端加密。Google 可能按適用的服務與安全條款保留必要資料；我們不承諾未經驗證的零保留，啟用前會說明適用條款。

多維畫像、出生資料和星盤預設保存在裝置。分享圖片前由您選擇公開欄位；QR 碼不包含出生資料、問題或日誌。您可刪除畫像及衍生摘要，或關閉 AI 對它的使用。AI 點數帳本僅記錄購買、用量、成本和退款；刪除帳號會清除恢復內容、停止處理中的請求，並解除依法保留的財務紀錄與帳號的關聯。

3. 我們不做的事

不投放廣告，不建立用戶畫像，也不做跨 App 追蹤（不使用 IDFA 或 Android 廣告識別碼）；
不整合第三方分析或廣告 SDK；
不出售、不出租您的資料；除您主動選擇公開的內容、您明確傳送的支援內容或裝置端解讀舉報，以及提供服務所需的處理外，不與第三方分享您的記錄；
不讀取、不分析您保存在本機或加密同步中的問題、筆記、反思或解讀；工作人員只會讀取您主動提交的支援內容來處理請求，或讀取您主動提交的裝置端解讀舉報進行安全審查。

4. 資料的儲存與跨境

帳戶資訊、加密同步資料、購買與訂閱資料、投稿與公開內容、作者結算狀態、通知註冊資料、使用狀況資料、支援內容、裝置端解讀舉報，以及您主動公開的留言與學習卡片，均儲存在新加坡。作者的身分證件、稅務與收款資料在獨立受控的財務流程中處理。無論資料儲存在何處，私人同步內容始終是我們無法讀懂的加密內容。

5. 資料保留、匯出與刪除

隨時匯出：即使未登入或離線，您也可以在 App 內把學習記錄匯出到本機。使用狀況資料、公開留言、支援內容與裝置端解讀舉報不包含在此本機匯出中；您仍可在「我的支援記錄」查看仍在保留期內的往來。
登出：只清除此裝置的工作階段資訊，保留本機的學習記錄與鑰匙。
徹底刪除（已登入）：在「我的 → 刪除帳戶與資料」中執行刪除，會刪除本機的學習記錄、服務上與您的帳戶或目前安裝相關的加密同步資料、加密鑰匙備份、帳戶資訊、投稿草稿與申請資料、推播註冊、支援內容、裝置端解讀舉報，以及本機的端到端加密鑰匙；與該帳戶關聯的公開卡片、留言與互動也會一併刪除。此操作無法復原。為履行付款、稅務、稽核、退款與防詐義務而依法需要保留的購買和作者財務記錄，會解除帳戶及公開筆名關聯後繼續保存；這些記錄不會用於恢復您的帳戶。您也可以在帳戶刪除頁面提出要求，無需重新安裝 App。刪除帳戶不會自動取消 Apple App Store 或 Google Play 訂閱，您需要在購買所用商店另行取消。
刪除完成標記：為在網路或 App 中斷後安全確認刪除已完成，服務只保留至 App 確認收到結果的一個隨機完成標記。它不與帳戶或安裝關聯，不包含登入憑證或您的內容，並在 App 確認後立即清除。
支援內容：說明、回覆電郵、有限裝置資訊與記錄資料自最後一次往來起最多保留 365 天；記錄進入「已解決」或「已關閉」後，最遲於 90 天內刪除。螢幕截圖自上傳起最多保留 90 天；記錄解決或關閉後，最遲於 30 天內刪除。到期後自動清除。
裝置端解讀舉報：舉報內容、出處引用、選填說明、介面語言與裝置端生成方式自提交起最多保留 90 天，之後自動清除；刪除帳戶時會立即刪除與帳戶關聯的舉報。
使用狀況資料：刪除後會解除與帳戶識別碼的直接關聯，並可能以刪除前的安裝識別碼為單位繼續保留。刪除完成後，本機會更新安裝識別碼。
未登入時刪除：會刪除本機的學習記錄，以及目前安裝識別碼下的支援內容與裝置端解讀舉報。若需一併刪除伺服器上的帳戶和與帳戶關聯的資料，請先登入。
刪除未完成時：若因網路錯誤未能完成伺服器端刪除，我們會保留本機資料與登入憑證；若伺服器端已刪除而本機處理未完成，也會保留剩餘的本機資料與憑證，並在下次操作時繼續本機刪除。

6. 使用 Apple 或 Google 登入

您可選擇 Apple 或 Google 登入。使用 Apple 登入時，您可以隱藏電郵並使用私密轉寄地址。撤銷身分服務對問易的存取權不會自動刪除問易帳戶；如需清除服務上的資料，請同時執行帳戶刪除。

7. 網頁登入、Cookie 與地區

網頁登入。 您可以在 oneyi.net 使用與 App 相同的 Apple 或 Google 帳號登入。登入時我們只從 Apple 或 Google 收到用於識別您的帳號識別碼，以及您同意提供的電子郵件地址（使用 Apple 時可以是私密轉寄地址）。在登入頁面上，Google 登入按鈕由 Google 提供並在您的瀏覽器中載入；您使用它時，Google 會依其隱私權政策處理相關資訊。

我們使用的 Cookie。 網頁登入只使用以下兩個必要的 Cookie，不使用分析、廣告或跨網站追蹤 Cookie：

yi_web_session：讓瀏覽器保持登入，最長 30 天；登出或在「已登入的裝置」中移除本瀏覽器後立即失效。頁面中的指令碼無法讀取它。
yi_web_preauth：僅在使用 Apple 登入的過程中暫時保存，用於確認是您本人發起的登入，最長 5 分鐘，完成後立即清除。

由於這些 Cookie 是提供網頁登入所必需的，您無法在保持登入的同時關閉它們；如在瀏覽器中封鎖，網頁登入將無法使用，其餘公開頁面不受影響。

已登入的裝置。 帳號頁面會列出目前登入您帳號的瀏覽器和 App，以及各自的建立與最近使用時間（App 會顯示您裝置上的名稱）。您可以隨時移除任何一項。我們不記錄瀏覽器指紋。

連結 Apple ID。 如果您先用 Google 登入，可以在帳號頁面連結您的 Apple ID，之後在 iPhone 上用 Apple 登入會進入同一個帳號。連結不會合併兩個已有帳號；若該 Apple ID 已用於另一個問易帳號，連結不會進行。

地區判定。 為了確定網頁付款和可選的雲端 AI 輔助能否在您所在的國家或地區提供，我們會在處理請求時，根據您的網路位址判斷所在國家或地區。我們只使用判斷出的國家或地區結果，不為地區判定保存您的網路位址。用於維護安全的存取日誌依本政策的安全日誌說明處理。無法判斷時，這兩項功能會暫不提供；登入、加密同步、讀經與日誌等其他功能不受影響。我們在中國大陸不提供網頁付款與雲端 AI 輔助。本服務使用 MaxMind 建立的 GeoLite2 資料，來源為 https://www.maxmind.com。

網頁訂閱與付款。 在付款頁面列出的開放地區，您可以在網頁上訂閱 Yi Plus 或 Yi Master，權益與 App 內同級訂閱相同；中國大陸不提供網頁訂閱。付款由支付服務商 Stripe 處理：信用卡等付款資料直接提交給 Stripe，我們不會收到您的卡號。為核對付款地區和計算稅額，我們會暫時處理您的姓名、電子郵件與帳單地址，並交給 Stripe 更新帳單資料；問易不保存付款表單中的姓名、電子郵件和完整帳單地址。我們只保存完成付款和訂閱所需的資料：帳單所在國家或地區、付款進度、訂閱方案、狀態與有效期，帳單金額、稅額與幣別，以及 Stripe 為您產生的客戶、訂閱和付款編號。您可以在帳號頁面的「管理訂閱」中查看帳單、更新付款方式與帳單資料，或取消續訂。目前不提供方案切換。刪除問易帳號時，我們會解除這些紀錄與您帳號的關聯，並嘗試取消仍在計費的訂閱；為履行稅務與會計義務需要保留的交易紀錄，會依法律要求保存。

8. 年齡要求

問易只供 18 歲或以上的成年人使用。未滿 18 歲者不得建立帳戶或使用本服務。

9. 本政策的變更

如本政策發生重大變更，我們會更新本頁面頂部的生效日期，並在適當情況下於 App 內提示。

10. 聯絡我們

如對本隱私政策或您的資料有任何疑問，請聯絡：support@oneyi.net。

Privacy Policy

Effective: May 29, 2026 · Last updated: October 10, 2026

Yi (問易) is a local-first I Ching study and reflection app. AI interpretation runs on your device by default (see section 2 for optional cloud AI); your questions, notes, and reflections stay on your phone by default; and optional cross-device sync is end-to-end encrypted, so we cannot read synced content. Outside the optional cloud processing in section 2, we process readable content only when you choose to publish it, explicitly send it to support, or confirm a report about a specific on-device interpretation passage.

1. How we handle your data

Data stored on your device by default

Your questions and hexagrams, personal notes, reviews and reflections, and the AI interpretations generated on-device are all stored locally on your device by default. Unless you turn on sync or actively select cloud AI, none of this leaves your device or reaches us or any third party.

Account data (only if you choose to sign in)

When you enable cloud sync, you can sign in with Apple or Google. We store only:

the stable user identifier the sign-in provider supplies, to identify the sign-in method and your account;
an optional email address, kept only if Apple or Google shares one with us, for display and essential account contact;
basic timestamps such as account creation and last-active time;
session information used to keep you signed in, along with its expiry, last-used time, and device type.

We never merge accounts automatically based on matching email addresses. If the identity provider returns your name at first sign-in, we use it only on-device as a suggested display name. We do not receive your Apple or Google password, contacts, or precise location.

End-to-end encrypted sync data

With sync on, the questions and cast examples, casting logs, reflection journals, study notes, on-device interpretations, scripture progress, and course progress you choose to sync are encrypted before they leave your device. Our service stores only unreadable ciphertext envelopes and the minimum information needed to sync, such as record category, update time, and deletion flag; we cannot read the text inside. The decryption key is never uploaded in readable form. If you choose cross-platform recovery, we store an encrypted key backup protected by your recovery code. Only you hold that code, so we cannot use the backup to read your records. Sync is optional, and the main study and journaling features work locally without signing in.

Purchase and subscription data

To validate in-app purchases and deliver the benefits you paid for, we store Apple App Store or Google Play product and transaction identifiers, subscription status and expiry, and the balance and usage history of points purchased or granted. The store handles card details and other payment information; they never reach us.

Submissions, published content, and creator settlement data

If you apply to become an author or submit a draft, we process the public pen name, biography, draft, revisions, and editorial feedback you choose to provide. Published articles, reports, and author blocks are stored separately from private encrypted sync. To calculate subscription sharing, we receive only article and creator identifiers, reading-duration buckets, and progress buckets—not your questions, private notes, or a copy of the article body. Creator eligibility and settlement records contain only review status, country or region, payment currency, and a reference that does not directly identify the person. Identity, tax, and bank documents are handled separately through a controlled finance process and are not stored with ordinary Yi account data.

Notification registration data

If you allow notifications, we store what we need to deliver the reminders you asked for: the identifier of the notification target, the app-generated install identifier, the environment, app version, language, membership tier, and registration time. When support replies, we send a generic alert through Apple or Google's push service without the reply text. We delete the registration when you turn notifications off in the app's settings, or when you complete “My → Delete account and data”.

Data you choose to send to support

When you contact support in the app, our support team receives and can read the description you write, an optional reply email, screenshots you select one by one, and the limited device details shown to you on the form. These details may include app and system versions, model, interface language, membership tier, storefront, and sign-in, sync, and notification status. We do not automatically attach your questions, hexagrams, notes, reflections, interpretations, or other logs. Support data is kept separately from end-to-end encrypted sync records and is used only to reply, diagnose the issue, protect the support channel, and improve the related feature.

On-device interpretation reports you choose to submit

Nothing is uploaded while an interpretation is generated, whether you are signed in or not. Only after you tap “Report this interpretation” and confirm does the app send the specific generated passage you reported, its source references, the interface language, the on-device generation mode, and any optional note you write. The report does not include your question, complete cast record, casting log, journal, or other private reflections; source references can include the related hexagram number and source-field identifier. For a signed-out report, the app also sends its random installation identifier; the service retains only a secret-keyed fingerprint that cannot be reversed to the original value, for rate limiting and deletion requests from that installation. Our review team can read the report. We keep it separately from encrypted sync records and use it only for safety review and to improve on-device interpretation.

Usage data

To improve the product and diagnose defects, the app may send our servers the minimum usage data needed: how often features are used, the screen or feature category, app version, language, membership tier, acquisition source, and the app-generated install identifier. While you are signed in, this data may be associated with your account. It never includes the text of your questions, notes, reflections, or interpretations; it may include the hexagram numbers and material identifiers you viewed. A report you actively submit under the preceding section is not usage data and is handled under that separate description.

Technical logs

To keep the service secure and reliable, the server temporarily logs ordinary request information, such as IP address, time, and the service path used. These logs are not used for profiling or advertising and are purged routinely.

Device permissions

We ask for notification permission only when you enable reminders. The Android app does not request camera permission. Only after you tap to scan a cross-device key-pairing QR code does it open the scanning interface supplied by Google Code Scanner; Yi receives only the decoded pairing content and does not receive or upload a photo or video. Image selection uses the system photo picker. The compass does not need location permission. Yi does not request microphone, contacts, exact alarm, background location, or full photo-library permission.

2. On-device and optional cloud AI

Yi generates interpretations on your device by default. Only when you choose cloud AI and confirm the selected material and provider do we send your selected question, profile summary, conversation and source passages. Google processes cloud requests in Singapore. Cloud AI is unavailable in mainland China and opens in stages; availability is shown in the app. A subscription never sends your material automatically.

Birth date, time and place are excluded by default. Our gateway accesses selected text only while processing your request; operational logs and billing records do not store it. A reply kept for connection recovery is encrypted to a one-time key held by your device and deleted after receipt, or within 24 hours. Final conversations stay on your device and use end-to-end encryption if synced. Google may retain necessary data under applicable service and safety terms. We do not promise unverified zero retention; the applicable terms are disclosed before enabling cloud AI.

Profiles, birth information and charts stay on your device by default. You choose public fields before sharing an image; its QR code excludes birth information, questions and journals. You may delete profiles and derived summaries or stop AI from using them. The separate AI point ledger records purchases, usage, costs and refunds only. Account deletion removes recovery content, cancels work in progress and detaches financial records that must legally be retained.

3. What we do not do

No advertising, no advertising profiles, no cross-app tracking (we use neither IDFA nor the Android advertising ID);
No third-party analytics or ad SDKs;
We do not sell or rent your data. Apart from content you choose to publish, support content or an on-device interpretation report you explicitly submit, and processing required to provide the service, we do not share your records with third parties;
We do not read or analyze questions, notes, reflections, or interpretations kept on-device or in encrypted sync. Staff read only support content you submit to handle your request, or an on-device interpretation report you submit for safety review.

4. Where data is stored

Account information, encrypted sync data, purchase and subscription data, submissions and published content, creator settlement status, notification registration data, usage data, support data, on-device interpretation reports, and the comments and study cards you choose to publish are stored in Singapore. Creator identity, tax, and payment documents are handled in a separate controlled finance process. Wherever data is stored, your private synced content always remains unreadable encrypted content.

5. Retention, export and deletion

Export anytime: you can export your study records to your device from within the app, even while signed out or offline. Usage data, published comments, support content, and on-device interpretation reports are not included in this local export. You can still read support conversations that remain within their retention period under “My support messages”.
Sign out: clears only this device's session information, keeping your local study records and key.
Delete everything (while signed in): deleting from “My → Delete account and data” removes your study records on the device; encrypted sync data, encrypted key backup, account information, creator applications and draft submissions, notification registration, support content, and on-device interpretation reports tied to your account or current installation on the service; and the on-device end-to-end encryption key. Published cards, comments, and reactions tied to that account are deleted as well. This action is irreversible. Purchase and creator-finance records that must be retained for payment, tax, audit, refund, or fraud-prevention obligations are detached from the account and public pen name before retention; they cannot restore your account. You can also request deletion from our account deletion page without reinstalling the app. Deleting your account does not cancel an Apple App Store or Google Play subscription; cancel it separately in the store where you bought it.
Deletion completion marker: to safely confirm completion after a network or app interruption, the service keeps one random completion marker only until the app acknowledges the result. It is not linked to an account or installation, contains no sign-in credential or your content, and is removed immediately after acknowledgement.
Support content: descriptions, reply email, limited device details, and ticket metadata are retained for no more than 365 days after the last activity. Once a ticket is resolved or closed, they are deleted within 90 days. Screenshots are retained for no more than 90 days after upload and, once resolved or closed, within 30 days. Expired data is removed automatically.
On-device interpretation reports: the reported passage, source references, optional note, interface language, and on-device generation mode are retained for no more than 90 days after submission and then removed automatically. Reports tied to your account are deleted immediately when the account is deleted.
Usage data: after deletion it is detached from your account identifier, and may be retained as pre-deletion usage attributed to the install identifier alone. Your device generates a new install identifier once deletion completes.
Deleting while signed out: removes the study records on this device, plus support content and on-device interpretation reports tied to the current installation identifier. To delete a server-side account and data tied to that account as well, sign in first.
If deletion does not complete: if a network error prevents server-side deletion, we keep your on-device data and credentials. If the server side is deleted but the on-device step does not finish, we keep the remaining on-device data and credentials and resume the on-device deletion on your next attempt.

6. Sign in with Apple or Google

You may choose Apple or Google sign-in. With Apple, you can hide your email and use a private relay address. Revoking Yi's access at the identity provider does not delete your Yi account. Use account deletion as well if you want data on our service removed.

7. Web sign-in, cookies and region

Web sign-in. You can sign in on oneyi.net with the same Apple or Google account you use in the app. When you sign in, we receive from Apple or Google only an identifier for your account and the email address you agree to share (with Apple, this can be a private relay address). On the sign-in page, the Google sign-in button is provided by Google and loads in your browser; when you use it, Google handles the related information under its own privacy policy.

Cookies we use. Web sign-in uses only these two necessary cookies. We do not use analytics, advertising, or cross-site tracking cookies.

yi_web_session: keeps your browser signed in for up to 30 days. It stops working as soon as you sign out or remove this browser under “Signed-in devices”. Scripts on the page cannot read it.
yi_web_preauth: kept only while you sign in with Apple, to confirm that you started the sign-in. It lasts at most 5 minutes and is cleared as soon as sign-in finishes.

Because these cookies are needed for web sign-in, they cannot be turned off while you stay signed in. If you block them in your browser, web sign-in will not work; other public pages are unaffected.

Signed-in devices. Your account page lists the browsers and apps currently signed in to your account, with when each was added and last used (apps show your device's name). You can remove any of them at any time. We do not fingerprint your browser.

Linking your Apple ID. If you first signed in with Google, you can link your Apple ID on your account page; signing in with Apple on iPhone then opens the same account. Linking never merges two existing accounts; if that Apple ID already belongs to another Yi account, the link is not made.

Region. To decide whether web payment and optional cloud AI assistance are available where you are, we determine your country or region from your network address while handling a request. We use only the resulting country or region and do not store your network address for region checks. Security access logs are handled as described in this policy’s security logging section. If it cannot be determined, those two features are not offered for now; sign-in, encrypted sync, reading, your journal and everything else keep working. Web payment and cloud AI assistance are not offered in mainland China. This product includes GeoLite2 data created by MaxMind, available from https://www.maxmind.com.

Web subscriptions and payment. You can subscribe to Yi Plus or Yi Master on the website in the supported regions listed on the payment page, with the same benefits as the corresponding in-app subscription. Web subscriptions are not offered in mainland China. Payments are handled by our payment provider, Stripe: your card details go directly to Stripe, and we never receive your card number. To verify the billing region and calculate tax, we temporarily process your name, email and billing address and send them to Stripe to update your billing details. Yi does not retain the name, email or full billing address submitted with this payment form. We keep only what payment and subscription processing need: the billing country or region, payment progress, the plan, its status and period, billing amounts, tax and currency, and the customer, subscription and payment references Stripe creates for you. From “Manage subscription” on your account page, you can view invoices, update payment methods and billing details, or cancel renewal. Plan changes are not currently available. If you delete your Yi account, we detach these records from your account and try to cancel any subscription that is still billing; transaction records we must keep for tax and accounting are retained as the law requires.

8. Age requirement

Yi is for adults aged 18 and over only. Anyone under 18 must not create an account or use the service.

9. Changes to this policy

If we make material changes, we will update the effective date at the top of this page and, where appropriate, notify you in the app.

10. Contact us

For any questions about this policy or your data, contact support@oneyi.net.

プライバシーポリシー

施行日：2026年5月29日・最終更新：2026年10月10日

問易 Yi は、『易経』の研読と振り返りを端末中心で支える App です。解説は既定で端末上で行われ（任意のクラウドについては第2節）、問い、メモ、振り返りは既定で端末内に保存されます。同期を利用する場合、非公開の記録は端末上で暗号化されるため、私たちは同期内容を読むことができません。第2節の任意のクラウド処理を除き、利用者が公開を選んだ内容、サポートへ明示的に送信した内容、または端末上の特定の解説について確認の上で送信した報告だけを、目的に応じて取り扱います。

1. データの取り扱い

既定で端末内に保存されるデータ

問いと卦、個人メモ、振り返り、端末上で作成された解説は、既定では端末内に保存されます。利用者が同期、公開、またはクラウド AI を明示的に選ばない限り、これらの内容が端末の外へ送られることはありません。

アカウントデータ

同期を有効にするときは、Apple または Google でサインインできます。私たちは次のアカウント情報だけを保存します。

サインイン方法とアカウントを識別するために、認証元が提供する利用者識別子
Apple または Google が提供した場合に限り、表示と必要な連絡に使用するメールアドレス
アカウント作成日時や最終利用日時などの基本的な時刻情報
サインイン状態を維持するためのセッション情報、利用期限、最終利用日時、端末の種類

同じメールアドレスだけを理由にアカウントを自動で統合することはありません。認証元が初回認証時に氏名を返した場合は、端末上で表示名の候補として扱います。Apple または Google のパスワード、連絡先、正確な位置情報は受け取りません。

暗号化された同期データ

同期を選んだ問いと卦例、立卦ログ、振り返り日誌、学習メモ、端末上の解説、典籍と講座の進捗は、端末を離れる前に暗号化されます。サービス側には読み取れない暗号文の封筒と、記録の種類、更新日時、削除状態など、同期に必要な最小限の情報だけを保存し、本文を読むことはできません。復号鍵を読める状態でアップロードすることはありません。利用者が異なる端末間の復旧を選んだ場合は、利用者だけが持つ復旧コードで保護した暗号鍵のバックアップを保存します。当社はそのバックアップから記録を読むことができません。同期は任意で、サインインしなくても主要な学習と記録を端末内で利用できます。

購入とサブスクリプションのデータ

App 内課金の確認と特典の提供のため、Apple App Store または Google Play の商品・取引の識別子、サブスクリプションの状態と有効期限、購入・付与された点数の残高と利用履歴を保存します。カード番号などの支払い情報はストアが管理し、当社は受け取りません。

投稿、公開内容、作者精算のデータ

作者への応募または原稿の提出を行う場合、利用者が送信した公開ペンネーム、紹介文、原稿、改訂履歴、編集者からのフィードバックを取り扱います。公開記事、通報、作者のブロック記録は、非公開の暗号化同期データと分けて保存します。サブスクリプション分配の計算では、記事と作者の識別子、閲覧時間の区分、進捗の区分だけを受け取り、問い、非公開メモ、記事本文の複製は受け取りません。作者資格と精算の記録には、審査状態、国または地域、支払通貨、本人を直接特定できない参照情報だけを保存します。身元、税務、銀行の書類は、通常の問易アカウント情報とは分けた管理された財務手続で取り扱います。

通知の登録データ

通知を許可した場合、希望したお知らせを届けるため、通知先を識別する情報、App が生成するインストール識別子、利用環境、App のバージョン、言語、会員区分、登録日時などを保存します。サポートから返信がある場合は、返信本文を含まない一般的な通知を Apple または Google のプッシュ通知サービス経由で送ります。App の通知設定で停止したとき、または「マイ → アカウントとデータを削除」から削除したときは、通知先の登録を削除します。

利用者がサポートへ送信するデータ

App 内でサポートへ連絡すると、入力した説明、任意の返信先メールアドレス、利用者が一枚ずつ選んだ画面の画像、フォーム上で確認できる限定的な端末情報を、担当者が受け取り、内容を読んで対応します。端末情報には、App とシステムのバージョン、機種、表示言語、会員区分、ストアの地域、サインイン、同期、通知の状態などが含まれる場合があります。問い、卦、メモ、振り返り、解説、その他の記録を自動で添付することはありません。サポートデータは暗号化同期の記録とは分けて保存し、返信、不具合の確認、窓口の安全確保、関連機能の改善だけに使用します。

利用者が送信する端末上の解説の報告

解説を生成するときに内容をアップロードすることはありません。サインインの有無にかかわらず、「この解釈を報告」を選び、送信を確認した場合だけ、報告対象の生成文、その出典、表示言語、端末内での生成方法、任意で入力した補足を送信します。問い、卦の全記録、立卦ログ、日誌、その他の非公開の振り返りは含みません。出典情報には、関連する卦番号と原典の項目識別子が含まれる場合があります。サインアウト中の報告では、App が生成したランダムなインストール識別子も送信します。サービスは、回数制限とこのインストールからの削除依頼に使う、元の値へ戻せない秘密鍵付きの指紋だけを保存し、元の識別子は保存しません。確認担当者は報告内容を読むことができます。暗号化同期の記録とは分けて保存し、安全確認と端末上の解説の改善だけに使用します。

利用状況データ

製品の改善と不具合の把握のため、機能の利用回数、画面や機能の区分、App のバージョン、言語、会員区分、流入元、App が生成するインストール識別子など、必要最小限の利用状況データを当社のサービスへ送信する場合があります。サインイン中は、これらのデータがアカウントに関連付けられる場合があります。問い、メモ、振り返り、解説の本文は含めません。閲覧した卦の番号や資料の識別子を含む場合があります。前項の報告は利用状況データではなく、独立した説明に従って取り扱います。

技術ログ

安全で安定した運用のため、IP アドレス、アクセス日時、利用した機能や通信経路など、通常の通信記録を保存する場合があります。広告配信や利用者ごとの広告プロフィール作成には使用しません。

端末の権限

通知の権限は、利用者がお知らせを有効にした場合だけ求めます。Android 版はカメラ権限を要求しません。異なる端末間で暗号鍵を引き継ぐ QR コードの読み取りを利用者が選んだ場合だけ Google Code Scanner の画面を開き、問易 Yi が受け取るのは復号されたペアリング内容だけで、写真や動画は受け取らずアップロードもしません。画像は端末の選択画面から指定します。方位の表示に位置情報は不要です。マイク、連絡先、正確なアラーム、バックグラウンド位置情報、写真ライブラリ全体への権限は求めません。

2. 端末上の AI と任意のクラウド AI

問易 Yi は既定で端末上で解説します。クラウドを選び、今回の資料と提供者を確認した場合だけ、選択した問い、プロフィール要約、会話、原文を送信します。Google がシンガポールで処理し、中国本土では提供しません。段階的に提供し、利用可否は App に表示します。購読だけで資料が自動送信されることはありません。

生年月日、出生時刻と場所は既定で送信しません。サービスは処理中のみ本文を扱い、運用ログと請求記録には本文を保存しません。切断時の復旧用回答は端末の一度限りの鍵で暗号化し、受信確認後または24時間以内に削除します。最終会話は端末に保存し、同期時も端末間暗号化を維持します。Google は適用されるサービス・安全上の規約に従い必要なデータを保持する場合があります。未確認の無保存を約束せず、利用前に適用規約を説明します。

プロフィール、出生情報と出生図は既定で端末に保存します。共有前に公開項目を選び、QR コードには出生情報、問い、日誌を含めません。プロフィールと派生要約の削除、AI での利用停止が可能です。AI ポイントの台帳には購入、利用量、費用、返金のみを記録します。アカウント削除時は復旧内容を消去し、処理を停止し、法令上保持が必要な財務記録との紐付けを解除します。

3. 行わないこと

広告を表示せず、App をまたぐ追跡や広告用プロフィールの作成を行いません。Apple と Android の広告識別子も使用しません。
第三者の広告・分析サービスを使用しません。
データを販売または貸与しません。第2節の任意のクラウド処理を除き、利用者が公開を選んだ内容、明示的に送信したサポート内容または端末上の解説の報告、サービス提供に必要な処理を除き、記録を第三者と共有しません。
端末内または暗号化同期に保存された問い、メモ、振り返り、解説を読み取ったり分析したりしません。担当者が読むのは、依頼に対応するために利用者が送信したサポート内容、または安全確認のために利用者が送信した端末上の解説の報告だけです。

4. 保存場所

アカウント情報、暗号化された同期データ、購入とサブスクリプションのデータ、投稿と公開内容、作者精算の状態、通知の登録データ、利用状況データ、サポートデータ、端末上の解説の報告、利用者が公開したコメントや学習カードはシンガポールに保存されます。作者の身元、税務、受取に関する書類は、独立した管理下の財務手続で取り扱います。非公開の同期内容は、保存場所にかかわらず暗号化されたままです。

5. 保持、書き出し、削除

書き出し：サインインしていない場合やオフラインでも、App 内の学習記録を端末上で書き出せます。利用状況データ、公開コメント、サポート内容、端末上の解説の報告は、この端末内の書き出しには含まれません。保持期間内のやり取りは「サポート履歴」で確認できます。
サインアウト：この端末のセッション情報だけを削除し、端末内の学習記録と暗号鍵は保持します。
すべて削除（サインイン中）：「マイ → アカウントとデータを削除」から削除すると、端末内の学習記録、アカウントまたは現在のインストールに関連する暗号化同期データ、復旧用の暗号化データ、アカウント情報、作者への応募と原稿の下書き、通知先の登録、サポート内容、端末上の解説の報告、端末内の暗号鍵を削除します。アカウントに関連付けられた公開カード、コメント、リアクションも削除されます。この操作は取り消せません。支払い、税務、監査、返金、不正防止のため法令上保持が必要な購入・作者財務記録は、アカウントおよび公開ペンネームとの関連を外して保持します。これらの記録からアカウントを復元することはできません。App を再インストールしなくても、アカウント削除ページから依頼できます。アカウントを削除しても Apple App Store または Google Play のサブスクリプションは自動的に解約されないため、購入したストアで別途解約してください。
削除完了マーカー：通信や App の中断後も削除完了を安全に確認できるよう、サービスは App が結果を確認するまで、ランダムな完了マーカーを1件だけ保持します。このマーカーはアカウントやインストールに関連付けられず、サインイン情報や利用者の内容を含みません。App の確認後、直ちに削除します。
サポート内容：説明、返信先メールアドレス、限定的な端末情報、受付記録は、最後のやり取りから最長365日間保持します。「解決済み」または「終了」になった後は90日以内に削除します。画面の画像はアップロードから最長90日間、解決または終了後は30日以内に削除します。期限を過ぎたデータは自動で消去します。
端末上の解説の報告：報告した生成文、出典、任意の補足、表示言語、端末内での生成方法は、送信から最長90日間保持した後、自動で削除します。アカウントを削除した場合、そのアカウントに関連する報告は直ちに削除します。
利用状況データ：アカウント識別子との直接の関連を外し、削除前のインストール識別子単位の利用状況として保持される場合があります。削除後は端末のインストール識別子を更新します。
サインアウト中：この端末内の学習記録と、現在のインストール識別子に関連するサポート内容および端末上の解説の報告を削除します。サービス側のアカウントと、そのアカウントに関連するデータも削除するには、先にサインインしてください。
削除が完了しない場合：通信エラーでサービス側の削除を完了できなかった場合は、端末内のデータと認証情報を保持します。サービス側の削除後に端末内の処理が完了しなかった場合も、残った端末データと認証情報を保持し、次の操作で端末内の削除を再開します。

6. Apple または Google でサインイン

Apple または Google でサインインできます。Apple ではメールアドレスを非公開にし、中継アドレスを使うことができます。認証元の設定で問易 Yi へのアクセスを取り消しても、問易 Yi のアカウントは削除されません。サービス側のデータも消す場合は、アカウント削除を実行してください。

7. ウェブでのサインイン、Cookie、地域

ウェブでのサインイン。 oneyi.net では、App と同じ Apple または Google のアカウントでサインインできます。サインイン時に Apple または Google から受け取るのは、アカウントを識別するための ID と、お客様が提供に同意したメールアドレス（Apple の場合は非公開の転送用アドレスも可）のみです。サインインページの Google サインインボタンは Google が提供し、お使いのブラウザで読み込まれます。ご利用の際、関連する情報は Google のプライバシーポリシーに従って取り扱われます。

使用する Cookie。 ウェブでのサインインには、次の 2 つの必要な Cookie のみを使用します。分析、広告、サイトをまたぐ追跡のための Cookie は使用しません。

yi_web_session：ブラウザのサインイン状態を最長 30 日間保ちます。サインアウトするか、「サインイン中のデバイス」でこのブラウザを削除すると、すぐに無効になります。ページ上のスクリプトからは読み取れません。
yi_web_preauth：Apple でサインインする間だけ一時的に保存し、お客様ご本人が開始したサインインであることを確認します。最長 5 分で、サインインが終わるとすぐに消去します。

これらの Cookie はウェブでのサインインに必要なため、サインインしたまま無効にすることはできません。ブラウザでブロックするとウェブでのサインインは利用できませんが、その他の公開ページには影響しません。

サインイン中のデバイス。 アカウントページには、現在お客様のアカウントにサインインしているブラウザと App、それぞれの追加日時と最終利用日時が表示されます（App はお使いのデバイス名を表示します）。いつでも個別に削除できます。ブラウザのフィンガープリントは取得しません。

Apple ID の連携。 最初に Google でサインインした場合、アカウントページで Apple ID を連携できます。その後 iPhone で Apple を使ってサインインすると、同じアカウントが開きます。連携によって既存の 2 つのアカウントが統合されることはありません。その Apple ID が別の Yi アカウントで使われている場合、連携は行われません。

地域の判定。 ウェブでのお支払いと任意のクラウド AI 支援をお客様の国または地域で提供できるかを判断するため、リクエストを処理する際に、ネットワークアドレスから国または地域を判定します。利用するのは判定結果の国または地域のみで、地域判定のためにネットワークアドレスを保存することはありません。安全維持のためのアクセスログは、本ポリシーのセキュリティログに関する説明に従って取り扱います。判定できない場合、この 2 つの機能は一時的に提供されません。サインイン、暗号化同期、読書、日記などその他の機能はそのままご利用いただけます。中国本土では、ウェブでのお支払いとクラウド AI 支援は提供していません。本サービスは MaxMind が作成した GeoLite2 データを使用しています（https://www.maxmind.com）。

ウェブでの購読とお支払い。 お支払い画面に表示される対象地域では、ウェブで Yi Plus または Yi Master を購読でき、特典はアプリ内の同じプランと共通です。中国本土ではウェブ購読を提供していません。お支払いは決済サービス Stripe が処理します。カード情報は Stripe に直接送られ、当社がカード番号を受け取ることはありません。請求先の地域を確認し税額を計算するため、お名前、メールアドレス、請求先住所を一時的に処理し、Stripe に渡して請求先情報を更新します。問易は、お支払いフォームに入力されたお名前、メールアドレス、請求先の完全な住所を保存しません。当社が保存するのは、支払いと購読の処理に必要な情報（請求先の国または地域、支払いの進行状況、プラン、状態と期間、請求額・税額・通貨、Stripe が発行する顧客・購読・支払いの番号）だけです。アカウントページの「購読を管理」から、請求書の確認、お支払い方法と請求先情報の更新、自動更新の停止ができます。現在、プランの切り替えには対応していません。問易のアカウントを削除すると、これらの記録とアカウントの関連付けを解除し、課金中の購読の解約を試みます。税務・会計上の義務により保存が必要な取引記録は、法令に従って保存します。

8. 年齢要件

問易 Yi は18歳以上の成人だけを対象とします。18歳未満の方はアカウントを作成したり、本サービスを利用したりできません。

9. ポリシーの変更

重要な変更を行う場合は、このページ上部の更新日を変更し、必要に応じて App 内でお知らせします。

10. お問い合わせ

本ポリシーまたはデータについては、support@oneyi.net までお問い合わせください。