隐私政策

Milepost 没有账号，也不需要登录。你的信没有服务器 ——你写下的一切只存在于这台手机上，除非你自己开启 iCloud 备份、或自己动手分享与导出；上行的只有匿名计数，发往我们自己的统计端点。

留在这台手机上的东西

你写的一切。信件正文、收信人称呼、信纸选择、开信后写下的那句话、以及明信片收藏，只存在这台设备上本 app 的本地数据库里。它们不会被上传到任何地方 ——除非你自己开启 iCloud 备份，或者自己动手分享、导出。这两件事都由你发起，都写在下面，而且都不会把任何东西送到我们这里。

iCloud 备份（可选，Pro）

备份默认关闭，只有你亲手打开它才会生效。它属于驿站 Pro，不会被我们替你打开；关着的时候，这一节写的事情一件都不会发生 —— app 和从前完全一样。

你打开它之后，Milepost 会把你的信件与收藏做成一份加密快照，写进你自己的 iCloud 云盘 —— 那是本 app 的私有容器，属于你的 Apple 账户（iCloud.com.topxup.milepost），不属于我们。快照在这台手机上就已经加密，密钥存放在你的 iCloud 钥匙串里，只有你自己的设备够得到它。这中间没有任何 Milepost 的服务器。不会有东西发给我们，也不会有东西经过我们；我们打不开那个文件，就算想从里面读出你的信也读不到。

没有你开口，什么都不会回来。只有在你点「恢复」时，备份才会被取回 ——在这台手机上，或者在一台新手机上用同一个 Apple 账户登录之后。

你随时可以把它收回去。把开关关掉即停止继续备份，并删除已经写下的那份快照；那个文件也归你自己处置 —— 在「文件」app 的 iCloud 云盘里就能直接删掉，和你放在那儿的任何东西一样。

分享与导出

有几样东西本来就是要离开 app 的，但每一次都只因为你要它离开：旅程的分享卡、年度足迹海报，以及已开启信件的 PDF 信集。Milepost 不会把它们发往任何地方 ——文件在这台手机上生成，在你按下分享的那一刻交给 iOS 的分享面板；此后它去哪里由你决定，那边发生的事是你和你选的那个 app 之间的事。封缄中的信永远不在其中：一封还在路上的信，不出现在任何导出、任何海报、任何 PDF 里。

步数

在你授权后，Milepost 通过 Apple 的运动传感器（CoreMotion）读取你的每日步数。它只用于一件事：按 1,000 步 = 1 里推动你的信。绝不用于广告、绝不与任何其他数据关联、也绝不离开这台设备。Milepost 不申请健康数据，也不申请位置权限。你拒绝授权时 app 仍然完整可用 —— 改由驿站以更慢的速度替信赶路。

匿名计数

为了知道 Milepost 对正在用它的人是否真的有用，app 会记录匿名的使用计数 —— 有一封信被封缄、有一封信送达、有一封信被开启、驿站页面被看到过。这些计数是 Milepost 唯一会上行的东西。

真正离开这台手机的，是一个事件名和一些数字：像「有一封信被封缄」这样的短标签、它封缄时选的距离档位、用的是哪一款内置信纸与火漆、那一天走了多少里。绝不包含信的内容。绝不包含收信人的名字。绝不包含你敲下的任何一个字符。自由文本根本进不了载荷 —— app 只能发送它自己那张固定清单里的标签，你写的字没有任何一条通往那里的路。

每条计数带一个轮换的会话标识：一串随机字符，无活动满 30 分钟即更换。它不与你的身份关联，不由设备指纹派生，也不跟着你去任何地方。它只有一个用途 ——让同一个晚上的几条计数不被读成好几个人的回访。

匿名计数默认开启。在你走完首次启动的开场引导之前，不会发出任何一条；你也可以随时在设置里把它关掉。

你可以随时在「设置」→「匿名计数」里关掉它。关掉即完全停发：不排队、不攒着，即使以后再打开也不会把当时那些补发出去。

没有第三方

统计端点是我们自己的。这个 app 里没有广告 SDK、没有统计 SDK、没有追踪器、没有数据经纪商、也没有社交登录，关于你的任何东西都不会被出售或共享。

删除你的数据

删除 app 就删除了它保存的一切。别处没有你的信的副本可删，因为从来就没有做过副本。如果你也想让匿名计数一并停下，请在删除 app 之前先把那个开关关掉。

如果你曾经开启过 iCloud 备份，删除 app 并不会删掉那份备份 ——它在你的 iCloud 云盘里，不在我们手上。要么先把备份开关关掉，要么事后到 iCloud 云盘里把那个文件删掉。

Milepost 由谁发布

Milepost 由 WANG WENJIE 编写并发布。关于隐私的疑问写到 Fuuqiu@gmail.com，就是那个人在读。

生效日期：2026 年 9 月 2 日。