xnamec is a digital name-card app — a mobile app plus the public card
pages your cards are shared as. It is published by CYT MODEATS
ENTERPRISE, a business registered in Malaysia under SSM
registration number 202603120982 (003849278-P). "We" and "us" below mean
that business.
This English text is the authoritative version of this policy. The 中文
and Bahasa Melayu versions are translations provided for convenience;
where they differ from this one, the English governs.
In short: we show no ads, we do not sell your data, and we use no advertising or cross-app tracking tools. We keep our own counts of card views and of how the app is used, as daily totals, as described further down in section 2. Google's libraries send Google the diagnostics listed in sections 2 and 5.
2. What we collect — the complete list
This list is exhaustive. If something is not on it, we do not collect
it.
Your account email address. You sign in either with a
Google account or with an email address and a password. Either way we
receive your email address and an account identifier. With Google we also
receive your Google display name, used once to seed an editable "Name"
entry. We never see your password to Google, and we never store the
password you set with us — Firebase Authentication holds it in a form we
cannot read.
The card content you enter, and choose to publish.
Everything you type into your profile library and onto a card: name,
occupation, contact details, city, dates, interests, stories, personality
results, whatever you decide to add. This can include your race or ethnicity, and body details such as height, weight and blood type. All of these are optional, and other people see them only if you put them on a card that you publish or send through a one-time link. Name is the only required field;
every other field is optional. You decide what to enter and, separately, whether to
publish each card.
Notes on one-time links. When you create a one-time link you may add a short note (up to 2,000 characters). It is free text that you type; it is stored only on that link — never on your card or in your profile library — and it is shown to whoever opens the link. It is deleted the moment the link is opened or revoked; if nobody opens it, it is deleted within about an hour after the link expires (you choose 1 to 30 days; the default is 7). A record that the link existed, with no note and no card in it, is kept for 7 more days so your list can show whether it was used. We do not ask for government ID numbers and we do not look for them; please do not put sensitive personal details in a note.
Cards you save from other people. When you keep
somebody else's card in your card box, we store what their public card
already showed: its name, its link and its address. Only you can see
your card box. Details you save or copy from another person remain
theirs — treat them the way you would want yours treated.
Card links between accounts. A published card can ask to be linked to another account's published card, and the other person can accept or decline. We store one record per pair: the two account identifiers, the two card identifiers, who asked, and when the link was requested and accepted. Only the two people involved can read that record, and either of them can delete it. While a link is accepted — and only while both cards are published — each card's public page shows the other card's name and address, nothing the other card does not already publish. Deleting your account deletes every link record you are part of.
Reports you send about a card. If you report a card in the app, we store: your account identifier; the account identifier, card identifier and address of the card you reported (or, if you reported a link request, of the card it came from); which screen you reported from; the reason you picked (one of seven); the note you wrote, if any (up to 500 characters, in your own words); and when you sent it. We also keep a frozen copy of what that card was showing to the public at that moment — the same version anyone holding its link could read, never the owner's private fields — so that we can judge the report even if the owner edits the card first; there is no copy if the card was not published. And we keep a count of how many reports your account has sent that day, so that we can apply a daily limit. A report never changes a card by itself: a person on our team reads it and decides. Only we can read reports — not you, and not the person you reported, who is never told who reported them. We keep a report that is still open until we have dealt with it, and then for 90 days; it is then set to expire, and is normally deleted automatically within about a day after that. When a report leads us to suspend a card, we keep the reports behind that suspension for as long as the suspension lasts (they are our only record of why the card was taken down), and then for 90 days. Deleting your account deletes the reports you sent and your daily count. We keep reports to protect people from harmful content, and for no other purpose.
If your card is reported, or suspended. The copy and records described in the previous point are about your card, and are held in our records, not on your card. If we suspend a card we put a marker on it: that it is suspended, and when. The marker holds no reason and no reporter's identity; you can see it, because the app tells you the card is suspended. While it stands, the card's public page, link preview and contact download answer as if the card did not exist, and you cannot switch the card back on yourself. We lift a suspension by deleting the marker. If you delete your account the marker goes with it, and every report about you — open or already closed — loses its copy of your card at once; what remains is the bare record (the reason picked and the dates), which is set to expire at most 90 days later and is normally deleted automatically within about a day after that (section 6).
Accounts you block. If you block an account, we store in your own account: that account's identifier, when you blocked it, and the name and card address you saw on its card when you did (copies of text that was already public), so that your list of blocked accounts can show you whom you blocked. Only you can read this list; the blocked account cannot, and is not told (it may notice if a link request to you is refused). It does one thing: that account can no longer send link requests to your cards. Blocking also deletes any links between you and it, and removes its cards from your card box. A block cannot hide a card you have published: anyone who holds the link, including the blocked account, can still open it (section 4). Unblocking removes the entry but does not bring back anything the block removed. Deleting your account deletes your list.
Reports sent by e-mail. A visitor without an account cannot use the in-app report button, so a card's public page has a “Report this card” link that opens an e-mail to support@cytxolv.com with the card's address in the subject line. If you use it, we receive what your e-mail program sends: your e-mail address, your name if your program adds it, and whatever you write. That message goes to our support mailbox, not to the app's database, and only we read it. We keep it for as long as we need to deal with the report and answer you.
Photos you upload for a card. Avatars, card photos, the pictures on your content pages, and the preview picture of your card's front that the app renders and uploads for link previews. Photos are compressed on your device before upload and their location
metadata (GPS/EXIF) is stripped automatically.
Your token balance and unlocks. How many tokens
your account holds, what you have unlocked with them, how many tokens
your account owes after a refunded purchase (if any), and a record of
each token added to, spent from or taken back from your account. Tokens
are added by us directly, or when you buy them in the Google Play
version of the app (next point).
Token purchases — the Google Play version only.
Tokens can be bought only in the Google Play version of the app, and
Google Play takes the payment. Before Google's purchase screen opens,
the app gives Google an account reference for you: a one-way
scrambled code made from your account identifier, so Google never
receives the identifier itself. We keep a record linking that code to
your account, so that a purchase Google tells us about reaches the right
account even if the app was closed. After you pay, our server asks
Google about the purchase. Google's answer contains which token pack it
was and how many, whether the purchase is completed, pending or
cancelled, the Google order ID, the country or region of the purchase,
the account reference, whether it was a test purchase, and technical
details such as when it completed. It contains no name, no e-mail
address and no payment details. Google's servers also tell ours when a
purchase is completed or cancelled, and when one is refunded or charged
back; if you ask Google for a refund, Google may share some of that
request with us. For each purchase we store: the pack, how many, how
many tokens it added, the Google order ID, the country or region,
whether it was a test, your account identifier, which state it reached
and when, and, after a refund, how many tokens were taken back and how
many became owed. We store a scrambled code of Google's purchase token,
never the token itself. Our servers also log each purchase's outcome
with your account identifier and the pack; those log lines are kept
for 30 days. How long the purchase records themselves are kept is in
section 6.
We never receive your card number, bank details, billing
address or any other details of how you pay — Google holds
those, under its own privacy policy. What happens to purchase records
when you delete your account is in section 6.
Crash data. If the Android app crashes, Firebase
Crashlytics sends us the crash: what the app was doing, the device model
and OS version, and two installation identifiers (explained below). If you are signed in it
also sends your account ID — that identifier and nothing else about you,
so we can tell whether a failure hits everybody or one account. It does not send your card content. The two installation identifiers are random values that Google's libraries create on the device: one that Crashlytics uses to count how many installations a crash affects, and the Firebase installation ID, which Firebase uses to recognise the installation. Neither is made from your name, e-mail or phone number, and we do not use either to find out who you are. Firebase keeps the installation ID until it is deleted through Firebase's API, which xnamec does not call; how long Google keeps it after that is set by Google's own documentation. Crashlytics keeps these reports for 90 days, under Google's own retention, and deleting your account does not erase them (section 6). The same library also sends Google session data: app metadata, the device make and model, and how long the app was in the foreground.
The web version has no Crashlytics, so it sends an error report to our
own server instead. That report describes the failure with five things:
the app version and build number, the word “web”, the error
message, and the technical stack trace (trimmed to 4 KB) — plus your
account ID if you are signed in. Alongside them we keep only bookkeeping:
when that error was first and last seen, how many times it has happened,
and whether it came from our own diagnostic self-test.
No page address, no IP address stored, no
browser identifier, no card content. Before an error message or stack
trace is stored we automatically remove anything that looks like an
e-mail address, a long number (a phone, IC or passport number) or a
login token; that filter is automatic and best-effort, not a promise
that no personal detail can ever appear in an error message. We keep
these reports for 30 days from the last time the error
happened, then they expire and are normally deleted automatically
within about a day. Nobody but us can read
them — not even you, from your own account.
One age answer. The birth year you confirm at first
sign-in, and a flag saying you answered. Not a full birth date.
An anonymous count of card views. We record how many
times a card has been opened, and show that number only to the card's
owner. So that one person is not counted twice, we also store for
30 minutes a one-way fingerprint computed from the
visitor's IP address and browser, under a key we rotate every hour and
never publish. It cannot be turned back into an IP address, it holds
nothing but its own expiry time, it is never joined to anything else,
and after 30 minutes it is deleted. We never learn who a visitor
was.
Anonymous counts of visits and clicks on our own pages.
We count how many people reach our landing page, tap a download, open the app for the first time, and create, publish or share a card — running totals per day and nothing else. There is no cookie, no profile and no third party: the counting
is done by our own server, the numbers are only ever added up, and
nothing records who any one visit was. As with card views, the only per-visit values are the same one-way fingerprint described above and the names of which of these counted events it has fired, kept for up to one hour so that one person cannot run the numbers up, then deleted. The app's own counts are sent with your sign-in token so that our server can tell a real app from a script; the server discards who you are and keeps only the total.
QR-scanner diagnostics (sent by Google's library, not by us). The scanner reads the camera picture on your device and does not send it anywhere. But the Google ML Kit library that does the scanning is documented by Google to send Google diagnostics and usage statistics when it runs — device information, app information, performance measurements, configuration and the kinds of events — and also an installation identifier, a random value the library creates for this installation. We do not receive any of it.
We do not collect: precise location (the app never asks
for the permission), your contacts, the text messages on your phone, browsing history,
or advertising identifiers. We do not ask for government ID numbers. We have added no advertising SDK and no cross-app tracker to this app. Our own counts are the daily totals described above. The Google libraries that send Google diagnostics are Firebase Crashlytics (crash and session data) and the QR scanner, both described above.
Separately, the Google infrastructure we run on (hosting, database, cloud
functions, sign-in) keeps ordinary server logs — IP address, request
time — for security and operations, under Google's retention
policies.
Requests from the app to our server — the Google Play version and the
direct download alike — may also carry an installation identifier token
issued by Google's Firebase library; we do not use it.
3. What we use it for
Only to run the service: creating, saving, syncing and displaying your
cards; signing you in; keeping your token balance and unlocks; adding the tokens you buy and handling refunds; fixing crashes; counting card views and how the app is used, as daily totals; reviewing reports of harmful content; and keeping the service secure. We do not sell personal data,
serve ads, or build profiles of you.
4. Publishing a card (please read)
A card you publish gets a public web link. Once you share it:
Anyone holding the link can read everything on that card
without signing in — including the photos and
anything sensitive you chose to put on it. What goes on a card is
entirely your decision.
Links can be forwarded and screenshotted. Cards are marked
noindex so search engines should not list them, but that
is a request to a search engine, not a lock.
Card pages are served through a cache: after you edit or delete a card,
a visitor may still see the previous version for up to about
2 minutes.
Pasting the link into a chat app sends a preview with
it. WhatsApp, Telegram, Facebook, Slack and the rest fetch
the page to draw their little card, and what they read is the name,
the tagline and one picture — which may be an image of the
card's own front page, rendered on your device. Those
previews are held in their systems, not ours: once one has been drawn
in somebody's chat, nothing we can switch off takes it back.
You can take a published card offline, and that does
less than deleting it. The home screen has a switch for it
(Take offline). It stops the card's page from showing within
about 2 minutes and deletes the
card's link-preview image, and the card keeps its address, so the
same link works again if you publish it again. It does not delete
the card's photos: anyone who already has a photo's direct link can
still open it, until you delete the card (or the photo). It cannot
recall link previews already sent in chats, or contacts people have
already saved. Deleting the card stops the page and deletes the
photos themselves, which cancels their links too.
A one-time link shows a card once and then dies. It
works even for a card that is not published, and it does not publish it.
But no platform can prevent a screenshot — what is destroyed is the
link, not what someone already saw.
The address in the link is itself public, and it is a
directory entry. Anyone who knows or guesses a
card's address can read that entry without signing in. It does not
contain your name, your email or anything from the card — it
contains an account identifier, which is enough to tell
that two different addresses belong to the same account. Publishing
a card is what puts its contents online; claiming its address is
what puts this entry there, and that happens when the card is
created.
Changing a card's address does not retire the old
one. The old address keeps working and keeps pointing at
the same card, so a link you handed out before the change still
reaches you.
An address, once claimed, is never given to anybody
else. Delete the card, or your whole account, and the
address stops resolving — a visitor sees nothing. But the name
stays taken permanently, and the public record that it was taken
stays too. That record holds the name and nothing else: no account
identifier, no card, nothing that points back at you.
If you put somebody else's information on a card,
make sure you have their consent.
The text of a card that is not published, and your whole profile library, stay private — visible only to you. Photos are the exception: every photo you add to a card, published or not, is kept in a public file area and can be opened without signing in by anyone who has that photo's exact link. The link contains a long random token and the files cannot be listed, so a link cannot realistically be guessed — but it keeps working for anyone who holds it until you delete the card (or the photo). Your card's link-preview image — the picture of the card's front that the app makes while the card is published (from version 1.0.43; older versions of the app make one each time you save the card, published or not) — works the same way: anyone who has its exact link can open it without signing in. Its file cannot be listed and its address cannot realistically be guessed, and it stops working when you delete the card (or your account). A preview left on a card that is not published stays reachable this way until a save of the card with version 1.0.43 or later removes it, or until you delete the card (or your account).
5. Who else touches your data
Google Firebase / Google Cloud provide sign-in, database, file storage,
cloud functions, crash reporting and web hosting. Your data is stored in
Google Cloud's United States regions (database: nam5 multi-region; storage
and functions: us-central1).
Google Play, for token purchases. Tokens can be bought
only in the Google Play version of the app, and Google Play processes
that payment under Google's own terms and privacy policy. Google Play,
not us, receives your payment details. What passes between Google and us
about a purchase is described in section 2. We use no other payment
processor: we do not use a payment gateway, and the direct download and
the website take no payment.
Google's QR-scanner library. The app scans QR codes on your device with Google ML Kit. According to Google's documentation that library sends Google diagnostics and usage statistics (device information, app information, performance measurements, API configuration and event types), and also an installation identifier, when it runs; that data does not pass through us and we do not receive it. What is scanned is decoded on your device, and only the resulting link is opened.
One thing a visitor should know. A public card page
loads Google's sign-in script, because the same app serves both the page
and the sign-in button. So Google receives the IP address of anyone who
opens a card link, even someone who never signs in and has no account. We
hold that script back until the page has drawn, but holding it back is not
removing it. On Safari, and in any browser on a phone or tablet, the
Firebase sign-in library also loads a helper script from apis.google.com
while the page loads, before anyone taps anything; that one is not held
back.
That is the whole list. We share your personal data with nobody else, and
we do not sell it to anyone under any circumstances.
6. Deleting your account — what actually happens
You can delete your account from Settings → Account management → Delete account, or read the account deletion
page. Deletion runs on our servers, immediately, and cannot be undone.
It erases:
every card you have, and everything on it;
your profile library and your card box;
your list of blocked accounts, and the reports you sent;
every photo you uploaded;
your public card links — they stop resolving for
everyone. Anyone who opens a link you shared, however long ago,
gets a "not found" page. This includes links printed on paper, saved in
someone's contacts, or written to an NFC tag: the link still points here,
and there is no longer anything here to show;
any one-time links you still had open, including the frozen card
snapshot and the note attached to them;
your token balance, every unlock you have, and the record of tokens
added, spent and taken back. These are permanently removed and not
refunded, except where the law requires — tokens have no cash value; see
the Terms (section 7) and the
Refund Policy. Before you confirm, the app shows
you the token balance you would lose;
your sign-in record. You cannot sign in again with that identity; a
later sign-up with the same email address is a brand-new, empty
account.
What we keep, and why.Purchase
records. If you bought tokens, each purchase record described in
section 2 stays after your account is deleted, with your account
identifier removed from it: the pack, how many, the tokens it added, the
Google order ID, the country or region, whether it was a test, its state
and its dates. We keep it because it is what stops one purchase from
adding tokens twice and stops a refunded purchase from being claimed
again, and because a refund that reaches us after the deletion has to
find the purchase and change nothing. Each purchase record is deleted
automatically at the end of the 7th calendar year after the
year of the purchase (Malaysia time), normally within about a day after
that. That date is the same whether or not you delete your account:
deleting it removes your account identifier from the record, not the
date. The record linking your account reference to your account
is deleted. Google keeps its own record of the order under its own
policy, and can still connect the order ID to the Google account that
paid. The log lines about your purchases (section 2) carry your account
identifier; deleting your account does not erase them, and Google Cloud
Logging deletes them 30 days after they were written.
Backups. Google Cloud keeps backup copies of our database so that we can recover from a disaster or a mistake. Deletion does not reach into them: data you deleted can still sit in a backup until that backup expires. The longest any backup is kept is 98 days (14 weeks); the others are kept for 7 or 30 days. After that, the deleted data is gone from them too.
Crash reports. Reports already sent to Firebase Crashlytics, which may carry your account ID, are not erased when you delete your account; Crashlytics deletes them itself after 90 days. Web error reports expire after 30 days and are normally deleted automatically within about a day after that (section 2), and the aggregate counts hold no account.
Reports and blocks. The reports you sent, and your daily report count, are deleted with your account. Reports about your cards lose their copy of your card at once — whether they were still open or already closed — together with the reporter's note and your card's address. What remains is the bare record: the reason picked, the dates, and the account identifiers. Reports that were still open are closed, and every one of these records is set to expire at most 90 days after you delete your account and is normally deleted automatically within about a day after that. A block you placed is deleted with your account. A block that somebody else placed on you is held in their account, not yours: it keeps your old account identifier, the time, and the name and address that person saw on your card, readable only by them, and deleting your account does not remove it from theirs.
The address of a deleted card is kept, but only in the
one narrow sense described in section 4: it stops resolving for
everyone, and it is never handed to anybody else. What survives is a
public note that the name is taken — the name itself and nothing
more, with no account identifier attached to it.
Cached copies of a public card page expire within about 2 minutes
of deletion. Google's operational logs follow Google's own retention.
The access log described in section 7 holds account identifiers and IP addresses and is kept for 365 days, including after you delete your account.
You can also delete less than everything, at any time: individual entries,
individual photos, or a whole card. Deleting a card deletes its photos and
kills its public link.
7. Security
All traffic is encrypted with HTTPS. Security rules make your private data readable only by you from any app or browser; the people who run xnamec can also reach it through Google's administrative tools, and do so only to operate the service, to review reports, or when the law requires it. Any access to your stored records through those administrative tools — by us, by our maintenance scripts, or by anyone else with access to the project — is recorded in an access log that says who did it and when. We keep that log for 365 days, it is not erased when you delete your account, and you can ask us at support@cytxolv.com what it shows for your account.
Four things can be read without signing in, and they are the only four: the cards you chose to publish, the addresses of cards that have been claimed (section 4), our price lists (what each unlock costs in tokens, and an older catalogue we no longer use), and the photos on cards — a photo only by someone who has its exact link, because the files cannot be listed (section 4). Your
token balance is server-controlled — nothing on your device can write
to it — and purchase records cannot be read by any app or browser at
all, yours included. No system is perfectly secure, but we keep reasonable technical
measures in place and we keep them tested.
Reports cannot be read by anyone but us — no app or browser can read one — and your list of blocked accounts can be read only by you.
8. Children
xnamec is for users aged 18 and above. First sign-in requires confirming
your birth year, and an account below 18 cannot proceed. If we learn we
have collected information from a person under 18, we delete it promptly.
A parent or guardian can reach us at the address below.
9. Your rights
You can view and correct everything about you from inside the app, and
delete any part of it or all of it. If you are in Malaysia, you have rights
of access and correction under the Personal Data Protection Act 2010
(PDPA). Write to us at the address below for any request or question.
10. Changes to this policy
We may update this policy. When we do, the version number and effective
date at the top of this page change, and we will tell you in the app if a
change materially affects you.
The Android app comes in two forms, built from the same code: the version made for Google Play, and the version you can download directly from our website. Their permissions differ in two places, in opposite directions. Only the direct download asks to install packages, because it updates itself, while Google Play delivers the other version's updates. Only the Google Play version asks for Google Play's billing permission, because only that version sells tokens. Everything else they request is the same. This section is the complete list for both, with what each entry is actually for. Three of them we ask for ourselves — the camera, vibration and, in the direct download only, installing our own updates. One more, the billing permission in the Google Play version only, comes with Google's billing library, which we added to that version so that tokens can be bought there. The rest are requested by Google's own libraries that the app is built on, which is why they appear even though no screen in the app uses them directly.
Camera. Scanning a QR code, and taking a photo for a
card. Android asks you the first time you use it and you can refuse.
Vibrate. The short buzz when something responds to a
tap.
Request install packages — direct download only. The
Google Play version does not request this permission and contains no code
that downloads or installs anything; Google Play updates it. The direct
download has no store behind it, so this permission is what lets it fetch
an update itself, check the downloaded bytes against the SHA-256 published
beside them on the download page, and pass the verified file to Android's
own installer. It grants no ability to install anything silently: Android
will not install from us at all until you have switched this app on under
"install unknown apps", and it shows its own confirmation for every
install on top of that. Neither step can be skipped, and the app says so
on screen rather than sending you to a settings page it did not explain.
The only file it ever hands the installer is one it just downloaded from
our own address and hashed; if the hash does not match, the file is
deleted and nothing is installed. You can ignore all of this and keep
downloading updates in your browser — that button is still there.
Internet, and network state. Your cards are stored in
the cloud, so the app needs to reach the network and to know whether it
currently can.
Use biometric, and use fingerprint. This is the pair
people ask about, so plainly: the app has no fingerprint lock,
and it never receives your fingerprint or your face. These are
requested by Google's sign-in library. "Sign in with Google" on Android
now runs through Android's own Credential Manager, and Credential
Manager may ask you to confirm with your fingerprint or face before it
hands a saved account to an app. That prompt is Android's, not ours —
Android tells us only whether it succeeded, never anything about your
biometrics. If you never sign in with Google, nothing here ever
runs.
Google Play billing — Google Play version only
(com.android.vending.BILLING). Lets the app ask Google
Play to show its purchase screen and to report the result, so that
tokens can be bought. It gives the app no access to your payment
details and cannot charge you by itself: every purchase goes through
Google Play's own screen, which you confirm. The direct download does
not request it, and sells nothing.
Read Google services configuration
(READ_GSERVICES). Used by Google's anti-abuse check during
sign-in. Android grants it only to apps signed by Google, so on our
build it does nothing at all.
One permission named after the app itself
(com.xnamec.xnamec.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION).
Added automatically by the Android build tools for their own internal
use, and scoped to this app. It grants nothing to anyone else.
There is nothing else. In particular we request no
location, no contacts, no microphone,
and no access to your photo library — photos come through
Android's own picker, which needs no permission. We also request no
push-notification permissions: the app has no push feature, and it
actively removes the push permissions its libraries would otherwise
add.
If you install from Google Play, Google Play also handles the download, the updates and, if you buy tokens, the payment, under Google's own terms and privacy policy.
简单说：我们不投放广告、不出售你的数据，也不使用任何广告或跨应用追踪工具。我们自己会统计名片浏览量和应用的使用情况，只保存每日总数，详见下文第 2 节。Google 的库会向 Google 发送诊断信息，列在第 2 节和第 5 节。
2. 我们收集什么——完整清单
本清单是穷尽的。没写在上面的，我们就不收集。
你的账号邮箱地址。你可以用 Google 账号登录，也可以用邮箱加密码登录。
无论哪种，我们都会得到你的邮箱地址和一个账号标识符。用 Google 登录时还会得到你的
Google 显示名，仅在首次登录时用于初始化一个可编辑的“姓名”条目。我们看不到你的
Google 密码，也不存储你在我们这里设置的密码——它由 Firebase Authentication
以我们读不出来的形式保管。
你的代币余额与解锁。你的账号有多少代币、你用它们解锁了什么、一笔购买被退款后你的账号欠下多少代币（如有），以及每一笔
代币加入、花出或被扣回的记录。代币由我们直接加入，或在你于 app 的 Google Play 版本内购买时加入（见下一条）。
代币购买——仅限 Google Play 版本。代币只能在 app 的 Google Play 版本内购买，付款由 Google Play 收取。
在 Google 的购买界面打开之前，app 会交给 Google 一个代表你的账号参考码：一个由你的账号标识符单向加密生成的代码，所以 Google 永远收不到标识符本身。
我们保存一条把这个代码和你的账号关联起来的记录，这样即使 app 已经关闭，Google 告诉我们的购买也能到达正确的账号。
你付款之后，我们的服务器会向 Google 查询这笔购买。Google 的答复包括：是哪一个代币包、买了几份，购买是已完成、待处理还是已取消，Google 订单号，购买所在的国家或地区，账号参考码，是否为测试购买，以及诸如完成时间等技术细节。
其中没有姓名、没有电子邮件地址，也没有任何付款信息。购买完成或取消时，以及购买被退款或被拒付时，Google 的服务器也会通知我们的服务器；如果你向 Google 申请退款，Google 可能会把申请的部分内容告诉我们。
每一笔购买，我们保存：代币包、份数、加入了多少代币、Google 订单号、国家或地区、是否为测试、你的账号标识符、它到达了什么状态以及时间，退款后还有扣回了多少代币、欠下了多少代币。
我们保存的是 Google 购买凭证的加密代码，绝不保存凭证本身。我们的服务器还会记录每笔购买的结果，连同你的账号标识符和代币包；这些日志行保留 30 天。购买记录本身保留多久，见第 6 节。
我们永远收不到你的银行卡号、银行账户信息、账单地址或任何其他付款方式的资料——这些由 Google 按其自身的隐私政策保管。删除账号时购买记录会怎样，见第 6 节。
崩溃数据。Android 应用崩溃时，Firebase Crashlytics 会把崩溃信息发给
我们：当时 app 在做什么、设备型号与系统版本，以及两个安装标识符（见下文）。如果你已登录，还会带上
你的账号 ID——只有这一个标识符，不包含关于你的其它任何信息，用来判断一次故障是所有人都
遇到还是只有一个账号遇到。它不会发送你的名片内容。这两个安装标识符是 Google 的库在设备上生成的随机值：一个供 Crashlytics 统计一次崩溃影响了多少个安装，另一个是 Firebase 安装 ID，供 Firebase 识别这次安装。两者都不是由你的姓名、邮箱或手机号生成的，我们也不用它们来判断你是谁。Firebase 会一直保留安装 ID，直到有人通过 Firebase 的 API 删除它，而 xnamec 不会发起这样的调用；之后 Google 保留多久，以 Google 自己的文档为准。Crashlytics 按 Google 自己的保留期保存这些报告（90 天），删除账号并不会抹除它们（见第 6 节）。同一个库还会向 Google 发送会话数据：应用元数据、设备品牌与型号，以及应用在前台运行的时长。
网页版没有 Crashlytics，因此改为向我们自己的服务器发送一条错误报告。这条报告用五样东西
描述那次故障：应用版本号与构建号、“web”这个词、错误信息，以及技术性的调用栈（截断到
4 KB）——如果你已登录，再加上你的账号 ID。除此之外只有记账用的信息：该错误第一次
和最后一次出现的时间、一共出现了多少次，以及它是否来自我们自己的诊断自检。
不含页面地址，不存储 IP 地址，不含浏览器标识，
不含名片内容。在存储之前，我们会自动移除错误信息和调用栈里看起来像电子邮箱、长串数字
（电话、身份证或护照号码）或登录令牌的内容；这个过滤是自动的、尽力而为的，并不等于承诺
错误信息里绝不可能出现任何个人信息。这些报告自该错误最后一次发生起保留 30 天，
之后到期，通常在约一天内自动删除。除我们之外没有人能读到它们——你自己的账号也读不到。
一个关于年龄的回答。你在首次登录时确认的出生年份，以及一个“已回答”
的标记。不是完整出生日期。
名片浏览的匿名次数。我们会记录名片被浏览的次数，并且只向名片主人
展示这个数字。为了不把同一个人重复计入，我们还会把访客的 IP 地址与浏览器算成一个
不可逆的指纹，保留 30 分钟；算它用的密钥每小时轮换一次，而且从不对外
发出。它无法还原成 IP 地址，里面除了自己的过期时间什么都没有，也从不与任何别的
东西关联，30 分钟后即被删除。我们始终不知道任何一位访客是谁。
二维码扫描的诊断信息（由 Google 的库发送，不是我们）。扫描时，摄像头画面在你的设备上读取，不会被发到任何地方。但负责扫描的 Google ML Kit 库，按 Google 的文档，运行时会向 Google 发送诊断与使用统计——设备信息、应用信息、性能数据、配置以及事件类型，另外还会发送一个安装标识符（该库为这次安装生成的随机值）。这些我们一概收不到。
我们不收集：精确位置（应用从不请求该权限）、你的通讯录、你的短信、浏览
历史，或广告标识符。我们不索取政府证件号码。我们没有往本应用里加入任何广告 SDK 或跨应用追踪器。我们自己的统计，就是上面说的每日总数。会向 Google 发送诊断信息的 Google 库，是 Firebase Crashlytics（崩溃与会话数据）和二维码扫描库，两者都见上文。
另外，我们所依赖的 Google 基础设施（托管、数据库、云函数、登录）会按行业惯例记录服务器
日志（IP 地址与请求时间），用于安全与运维，遵循 Google 的保留策略。
本应用发往我们服务器的请求（Google Play 版本和直接下载版都一样），还可能附带一个由 Google 的 Firebase 库签发的安装标识符令牌；我们不使用它。
Google Firebase / Google Cloud 提供登录、数据库、文件存储、云函数、崩溃上报与网页托管。
你的数据存储在 Google Cloud 的美国区域（数据库：nam5 多区域；存储与云函数：us-central1）。
Google Play，用于代币购买。代币只能在 app 的 Google Play 版本内购买，这笔付款由 Google Play
按 Google 自己的条款和隐私政策处理。收到你付款资料的是 Google Play，而不是我们。关于一笔购买，Google 与我们之间传递了什么，见第 2 节。
我们不使用其他任何支付处理方：我们不使用支付网关，直接下载版和网站也不收取任何款项。
Google 的二维码扫描库。应用用 Google ML Kit 在你的设备上扫描二维码。按 Google 的说明，该库运行时会向 Google 发送诊断与使用统计（设备信息、应用信息、性能数据、API 配置和事件类型），另外还会发送一个安装标识符；这些数据不经过我们，我们也收不到。扫到的内容在你的设备上解码，只有解出来的链接会被打开。
有一件事访客应该知道。公开名片页会加载 Google 的登录脚本，因为同一个
应用既负责这个页面也负责登录按钮。也就是说，任何打开名片链接的人，即使从不登录、
也没有账号，Google 都会收到他的 IP 地址。我们会把这个脚本推迟到页面画完之后再加载，
但推迟不等于移除。在 Safari 上，以及手机或平板上的任何浏览器里，Firebase 登录库还会在页面加载时、任何人点按之前，从 apis.google.com 加载一个辅助脚本；这个脚本没有被推迟。
Android 版应用有两种形式，出自同一份代码：为 Google Play 制作的版本，以及可以从我们网站直接下载的版本。两者的权限有两处不同，方向相反。只有直接下载版申请安装应用包，因为它自己更新，而另一个版本的更新由 Google Play 负责。只有 Google Play 版申请 Google Play 的结算权限，因为只有这个版本出售代币。除此之外，两者申请的权限相同。这一节是两个版本的完整权限清单，以及每一项真正的用途。其中三项是我们自己申请的——相机、振动，以及（仅限直接下载版）安装我们自己的更新。另有一项，即仅限 Google Play 版的结算权限，来自 Google 的结算库——我们把它加进那个版本，好让代币可以在那里购买。其余来自应用所依赖的 Google 官方库——这也是为什么它们会出现，即使应用里没有任何一个界面直接用到它们。
相机。扫描二维码，以及为名片拍照。首次使用时 Android 会询问你，
你可以拒绝。
振动。点击有回应时那一下轻微震动。
请求安装应用包——仅限直接下载版。Google Play 版不申请这项权限，也不包含任何下载或安装代码；它由 Google Play 更新。直接下载版背后没有应用商店，所以这项权限让它可以自己下载更新，把下载到的字节和下载页上并排公布的 SHA-256
校验值对一遍，再把校验通过的文件交给 Android 自己的安装程序。它不能
让任何东西被静默安装：在你为本应用打开「安装未知应用」之前，Android 根本不会让我们
安装任何东西；在那之上，每一次安装 Android 还会自己弹一次确认。这两步都无法跳过，
而应用会在屏幕上说明这件事，不会把你丢到一个没人解释过的设置页。它交给安装程序的
文件，永远只是刚从我们自己的地址下载并且校验过的那一个；校验对不上就删掉，什么都不
安装。你也可以完全不用它，继续在浏览器里下载更新——那个按钮一直都在。
网络，以及网络状态。你的名片存在云端，应用需要访问网络，也需要知道
此刻能不能访问。
使用生物识别、使用指纹。这一对最常被问到，所以直说：
本应用没有指纹锁，也永远不会拿到你的指纹或人脸。它们是 Google 的
登录库申请的。Android 上的「使用 Google 账号登录」现在走的是 Android 自己的
Credential Manager，而 Credential Manager 在把一个已保存的账号交给应用之前，
可能会要求你用指纹或人脸确认。那个提示属于 Android，不属于我们——Android 只告诉
我们成功与否，绝不会告诉我们关于你生物特征的任何信息。如果你从不使用 Google 登录，
这条路径一次都不会执行。
Google Play 结算——仅限 Google Play 版
（com.android.vending.BILLING）。让 app 可以请 Google Play 显示它的购买界面并报告结果，这样代币才能被购买。
它不让 app 接触你的任何付款资料，也不能自行向你收费：每一笔购买都要经过 Google Play 自己的界面，由你确认。直接下载版不申请这项权限，它什么也不出售。
读取 Google 服务配置（READ_GSERVICES）。用于登录时
Google 的反滥用校验。Android 只把它授予由 Google 签名的应用，所以在我们的构建上它
什么也做不了。
如果你从 Google Play 安装，下载、更新以及（如果你购买代币）付款也由 Google Play 按 Google 自己的条款和隐私政策处理。
Dasar Privasi (Bahasa Melayu)
1. Siapa kami
xnamec ialah aplikasi kad nama digital — sebuah aplikasi mudah alih
berserta halaman kad awam yang menjadi bentuk kad anda apabila dikongsi.
Ia diterbitkan oleh CYT MODEATS ENTERPRISE, sebuah
perniagaan berdaftar di Malaysia, no. pendaftaran SSM 202603120982
(003849278-P). "Kami" di bawah ini merujuk kepada perniagaan tersebut.
Versi Bahasa Inggeris ialah teks yang berkuat kuasa;
versi Bahasa Melayu ini disediakan untuk kemudahan pembacaan. Jika kedua-
duanya berbeza, versi Bahasa Inggeris yang digunakan.
Ringkasnya: kami tidak memaparkan iklan, tidak menjual data anda, dan tidak menggunakan sebarang alat pengiklanan atau penjejakan merentas aplikasi. Kami menyimpan kiraan kami sendiri tentang paparan kad dan cara aplikasi digunakan, sebagai jumlah harian, seperti yang diterangkan lebih lanjut dalam seksyen 2. Pustaka Google menghantar kepada Google diagnostik yang disenaraikan dalam seksyen 2 dan 5.
2. Apa yang kami kumpul — senarai lengkap
Senarai ini lengkap. Kalau sesuatu tiada di dalamnya, kami tidak
mengumpulnya.
Alamat e-mel akaun anda. Anda log masuk sama ada
dengan akaun Google atau dengan alamat e-mel dan kata laluan. Kedua-dua
cara memberi kami alamat e-mel anda dan satu pengenal akaun. Dengan
Google, kami turut menerima nama paparan Google anda, yang digunakan
sekali sahaja untuk mengisi entri "Nama" yang kemudiannya boleh anda
sunting. Kami tidak pernah melihat kata laluan Google anda, dan kami
tidak menyimpan kata laluan yang anda tetapkan dengan kami — Firebase
Authentication menyimpannya dalam bentuk yang kami sendiri tidak boleh
baca.
Kandungan kad yang anda masukkan, dan pilih untuk
diterbitkan. Segala yang anda taip ke dalam pustaka profil dan
ke atas kad: nama, pekerjaan, butiran hubungan, bandar, tarikh, minat,
cerita, keputusan ujian personaliti — apa sahaja yang anda putuskan
untuk tambah. Ini boleh termasuk bangsa atau etnik anda, dan butiran fizikal seperti ketinggian, berat dan jenis darah. Semuanya adalah pilihan, dan orang lain hanya melihatnya jika anda meletakkannya pada kad yang anda terbitkan atau hantar melalui pautan sekali guna. Nama ialah satu-satunya medan yang wajib; setiap medan lain adalah pilihan. Anda yang
menentukan apa yang dimasukkan dan, secara berasingan, sama ada setiap
kad diterbitkan.
Nota pada pautan sekali guna. Apabila anda mencipta pautan sekali guna, anda boleh menambah satu nota ringkas (sehingga 2,000 aksara). Ia teks bebas yang anda taip; ia disimpan pada pautan itu sahaja — tidak pernah pada kad atau pustaka profil anda — dan dipaparkan kepada sesiapa yang membuka pautan itu. Ia dipadam sebaik sahaja pautan dibuka atau dibatalkan; jika tiada sesiapa membukanya, ia dipadam dalam kira-kira satu jam selepas pautan tamat tempoh (anda pilih 1 hingga 30 hari; lalai 7). Satu rekod bahawa pautan itu pernah wujud, tanpa nota dan tanpa kad, disimpan 7 hari lagi supaya senarai anda dapat menunjukkan sama ada ia telah digunakan. Kami tidak meminta nombor pengenalan diri kerajaan dan kami tidak mencarinya; sila jangan letakkan butiran peribadi yang sensitif dalam nota.
Kad orang lain yang anda simpan. Apabila anda
menyimpan kad orang lain di dalam kotak kad anda, kami menyimpan apa
yang kad awam mereka sudah pun tunjukkan: namanya, pautannya dan
alamatnya. Hanya anda boleh melihat kotak kad anda. Butiran orang lain
yang anda simpan atau salin tetap milik orang itu — perlakukannya
seperti anda mahu butiran anda sendiri diperlakukan.
Pautan kad antara akaun. Sesebuah kad yang diterbitkan boleh meminta untuk dipautkan kepada kad yang diterbitkan milik akaun lain, dan orang itu boleh menerima atau menolaknya. Kami menyimpan satu rekod bagi setiap pasangan: dua pengenal akaun, dua pengenal kad, siapa yang meminta, serta bila pautan itu diminta dan diterima. Hanya dua orang yang terlibat boleh membaca rekod itu, dan salah seorang daripada mereka boleh memadamnya. Selagi pautan diterima — dan hanya selagi kedua-dua kad diterbitkan — halaman awam setiap kad menunjukkan nama dan alamat kad yang satu lagi, tidak lebih daripada apa yang kad itu sudah pun terbitkan. Memadam akaun anda memadam setiap rekod pautan yang anda terlibat.
Laporan yang anda hantar tentang sesebuah kad. Jika anda melaporkan sesebuah kad dalam aplikasi, kami menyimpan: pengenal akaun anda; pengenal akaun, pengenal kad dan alamat kad yang anda laporkan (atau, jika anda melaporkan permintaan pautan, kad tempat ia datang); dari skrin mana anda melapor; sebab yang anda pilih (satu daripada tujuh); nota yang anda tulis, jika ada (sehingga 500 aksara, dengan kata-kata anda sendiri); dan bila anda menghantarnya. Kami juga menyimpan salinan beku apa yang dipaparkan kad itu kepada orang ramai pada ketika itu — versi yang sama yang boleh dibaca oleh sesiapa yang memegang pautannya, tidak sekali-kali medan peribadi pemiliknya — supaya kami dapat menilai laporan itu walaupun pemilik mengedit kad terlebih dahulu; tiada salinan jika kad itu tidak diterbitkan. Kami juga menyimpan kiraan berapa laporan yang akaun anda hantar pada hari itu, supaya kami boleh menguatkuasakan had harian. Laporan tidak mengubah kad dengan sendirinya: seorang anggota pasukan kami membacanya dan memutuskan. Hanya kami boleh membaca laporan — bukan anda, dan bukan orang yang anda laporkan, yang tidak sekali-kali diberitahu siapa yang melaporkannya. Laporan yang masih terbuka disimpan sehingga kami selesai menanganinya, dan kemudian selama 90 hari; selepas itu ia ditetapkan untuk tamat tempoh, dan biasanya dipadam secara automatik dalam masa kira-kira sehari selepas itu. Apabila sesuatu laporan menyebabkan kami menggantung sesebuah kad, kami menyimpan laporan di sebalik penggantungan itu selagi penggantungan itu berkuat kuasa (ia satu-satunya rekod kami tentang sebab kad itu diturunkan), dan kemudian selama 90 hari. Memadam akaun anda memadam laporan yang anda hantar dan kiraan harian anda. Kami menyimpan laporan untuk melindungi orang daripada kandungan berbahaya, dan bukan untuk tujuan lain.
Jika kad anda dilaporkan, atau digantung. Salinan dan rekod yang diterangkan pada perkara sebelum ini adalah tentang kad anda, dan disimpan dalam rekod kami, bukan pada kad anda. Jika kami menggantung sesebuah kad, kami meletakkan satu penanda padanya: bahawa ia digantung, dan bila. Penanda itu tidak mengandungi sebab dan tiada identiti pelapor; anda boleh melihatnya, kerana aplikasi memberitahu anda bahawa kad itu digantung. Selagi ia ada, halaman awam kad itu, pratonton pautannya dan muat turun kenalannya menjawab seolah-olah kad itu tidak wujud, dan anda tidak boleh menghidupkannya semula sendiri. Kami menarik balik penggantungan dengan memadam penanda itu. Jika anda memadam akaun anda, penanda itu turut dipadam, dan setiap laporan tentang anda — sama ada masih terbuka atau sudah ditutup — kehilangan salinan kad anda serta-merta; yang tinggal hanyalah rekod asas (sebab yang dipilih dan tarikh-tarikhnya), yang ditetapkan untuk tamat tempoh selewat-lewatnya 90 hari kemudian dan biasanya dipadam secara automatik dalam masa kira-kira sehari selepas itu (seksyen 6).
Akaun yang anda sekat. Jika anda menyekat sesebuah akaun, kami menyimpan dalam akaun anda sendiri: pengenal akaun itu, bila anda menyekatnya, dan nama serta alamat kad yang anda lihat pada kadnya ketika itu (salinan teks yang memang sudah awam), supaya senarai sekatan anda dapat menunjukkan siapa yang anda sekat. Hanya anda boleh membaca senarai ini; akaun yang disekat tidak boleh, dan tidak diberitahu (ia mungkin perasan jika permintaan pautan kepada anda ditolak). Ia hanya melakukan satu perkara: akaun itu tidak lagi boleh menghantar permintaan pautan ke kad anda. Menyekat juga memadam sebarang pautan antara anda dengannya, dan mengeluarkan kadnya daripada kotak kad anda. Sekatan tidak dapat menyembunyikan kad yang telah anda terbitkan: sesiapa yang memegang pautannya, termasuk akaun yang disekat, masih boleh membukanya (seksyen 4). Menyahsekat memadam entri itu tetapi tidak mengembalikan apa-apa yang telah dibuang oleh sekatan. Memadam akaun anda memadam senarai anda.
Laporan yang dihantar melalui e-mel. Pelawat tanpa akaun tidak boleh menggunakan butang lapor dalam aplikasi, jadi halaman awam sesebuah kad mempunyai pautan “Laporkan kad ini” yang membuka e-mel kepada support@cytxolv.com dengan alamat kad dalam baris subjek. Jika anda menggunakannya, kami menerima apa yang dihantar oleh program e-mel anda: alamat e-mel anda, nama anda jika program anda menambahnya, dan apa sahaja yang anda tulis. Mesej itu pergi ke peti mel sokongan kami, bukan ke pangkalan data aplikasi, dan hanya kami yang membacanya. Kami menyimpannya selama yang kami perlukan untuk menangani laporan itu dan membalas anda.
Foto yang anda muat naik untuk sesebuah kad. Avatar, foto kad, gambar pada halaman kandungan, dan gambar pratonton muka depan kad anda yang dirender dan dimuat naik oleh aplikasi untuk pratonton pautan. Foto dimampatkan pada peranti anda sebelum dimuat naik, dan
metadata lokasinya (GPS/EXIF) dibuang secara automatik.
Baki token dan buka kunci anda. Berapa banyak token
yang ada dalam akaun anda, apa yang telah anda buka dengannya, berapa
banyak token yang terhutang oleh akaun anda selepas sesuatu pembelian
dibayar balik (jika ada), dan rekod setiap token yang ditambah ke,
dibelanjakan daripada atau diambil balik daripada akaun anda. Token
ditambah oleh kami secara terus, atau apabila anda membelinya dalam
versi Google Play aplikasi ini (perkara seterusnya).
Pembelian token — versi Google Play sahaja. Token
hanya boleh dibeli dalam versi Google Play aplikasi ini, dan Google Play
yang menerima bayarannya. Sebelum skrin pembelian Google dibuka,
aplikasi memberikan Google satu rujukan akaun bagi anda: kod
sehala yang diacak daripada pengenal akaun anda, jadi Google tidak
pernah menerima pengenal itu sendiri. Kami menyimpan rekod yang
mengaitkan kod itu dengan akaun anda, supaya pembelian yang dimaklumkan
oleh Google sampai ke akaun yang betul walaupun aplikasi telah ditutup.
Selepas anda membayar, pelayan kami bertanya kepada Google tentang
pembelian itu. Jawapan Google mengandungi pek token yang mana dan berapa
banyak, sama ada pembelian itu selesai, belum selesai atau dibatalkan,
ID pesanan Google, negara atau rantau pembelian, rujukan akaun itu, sama
ada ia pembelian ujian, dan butiran teknikal seperti bila ia selesai. Ia
tidak mengandungi nama, alamat e-mel atau butiran pembayaran. Pelayan
Google juga memaklumkan pelayan kami apabila sesuatu pembelian selesai
atau dibatalkan, dan apabila ia dibayar balik atau dicaj balik; jika anda
meminta bayaran balik daripada Google, Google mungkin berkongsi sebahagian
permintaan itu dengan kami. Bagi setiap pembelian kami menyimpan: pek
itu, berapa banyak, berapa token yang ditambahnya, ID pesanan Google,
negara atau rantau, sama ada ia ujian, pengenal akaun anda, keadaan yang
dicapainya dan bila, dan, selepas bayaran balik, berapa token yang
diambil balik dan berapa yang menjadi terhutang. Kami menyimpan kod
teracak bagi token pembelian Google, tidak sekali-kali token itu
sendiri. Pelayan kami juga merekodkan hasil setiap pembelian bersama
pengenal akaun anda dan pek itu; baris log ini disimpan selama 30 hari.
Berapa lama rekod pembelian itu sendiri disimpan diterangkan dalam
seksyen 6.
Kami tidak pernah menerima nombor kad, butiran bank, alamat
pengebilan atau apa-apa butiran lain tentang cara anda membayar
— Google yang menyimpannya, di bawah dasar privasinya sendiri. Apa yang
berlaku kepada rekod pembelian apabila anda memadam akaun anda
diterangkan dalam seksyen 6.
Data ranap. Jika aplikasi Android ranap, Firebase
Crashlytics menghantar maklumat ranap itu kepada kami: apa yang sedang
dilakukan aplikasi, model peranti dan versi sistem, serta dua pengenal pemasangan (diterangkan di bawah). Jika anda telah log masuk, ia turut menghantar ID akaun anda
— pengenal itu sahaja dan tiada apa-apa lagi tentang anda, supaya kami
tahu sama ada sesuatu kegagalan itu menimpa semua orang atau satu akaun
sahaja. Ia tidak menghantar kandungan kad anda. Dua pengenal pemasangan itu ialah nilai rawak yang dicipta oleh pustaka Google pada peranti: satu yang digunakan Crashlytics untuk mengira berapa banyak pemasangan terjejas oleh sesuatu ranap, dan ID pemasangan Firebase, yang digunakan Firebase untuk mengenali pemasangan itu. Kedua-duanya tidak dibuat daripada nama, e-mel atau nombor telefon anda, dan kami tidak menggunakannya untuk mengetahui siapa anda. Firebase menyimpan ID pemasangan itu sehingga ia dipadam melalui API Firebase, yang tidak dipanggil oleh xnamec; berapa lama Google menyimpannya selepas itu ditetapkan oleh dokumentasi Google sendiri. Crashlytics menyimpan laporan ini selama 90 hari mengikut dasar penyimpanan Google sendiri, dan memadam akaun anda tidak memadamkannya (seksyen 6). Pustaka yang sama juga menghantar data sesi kepada Google: metadata aplikasi, jenama dan model peranti, dan berapa lama aplikasi berada di latar depan.
Versi web tiada Crashlytics, jadi ia menghantar laporan ralat ke pelayan
kami sendiri. Laporan itu menerangkan kegagalan itu dengan lima perkara:
versi dan nombor binaan aplikasi, perkataan “web”, mesej
ralat, dan jejak tindanan teknikal (dipangkas kepada 4 KB) — serta
ID akaun anda jika anda telah log masuk. Selain itu kami menyimpan hanya
perkara perekodan: bila ralat itu mula-mula dan kali terakhir dilihat,
berapa kali ia berlaku, dan sama ada ia datang daripada ujian-diri
diagnostik kami sendiri. Tiada alamat halaman, tiada alamat IP
disimpan, tiada pengenal pelayar, tiada kandungan kad. Sebelum sesuatu
mesej ralat atau jejak tindanan disimpan, kami membuang secara automatik
apa-apa yang kelihatan seperti alamat e-mel, nombor panjang (nombor
telefon, IC atau pasport) atau token log masuk; penapis itu automatik
dan sedaya upaya, bukan janji bahawa tiada butiran peribadi boleh muncul
dalam mesej ralat. Kami menyimpan laporan ini selama
30 hari dari kali terakhir ralat itu berlaku, kemudian
ia tamat tempoh dan biasanya dipadam secara automatik dalam masa
kira-kira sehari. Tiada sesiapa selain kami boleh membacanya
— termasuk anda sendiri, dari akaun anda.
Satu jawapan tentang umur. Tahun kelahiran yang anda
sahkan pada log masuk pertama, dan satu penanda bahawa anda telah
menjawab. Bukan tarikh lahir penuh.
Kiraan tanpa nama bagi paparan kad. Kami merekod
berapa kali sesebuah kad telah dibuka, dan menunjukkan nombor itu hanya
kepada pemilik kad. Supaya orang yang sama tidak dikira dua kali, kami
turut menyimpan selama 30 minit satu cap sehala yang
dikira daripada alamat IP dan pelayar pelawat, di bawah kunci yang kami
putar setiap jam dan tidak pernah kami terbitkan. Ia tidak boleh
dikembalikan menjadi alamat IP, ia tidak memegang apa-apa selain masa
luputnya sendiri, ia tidak pernah dicantum dengan apa-apa yang lain,
dan selepas 30 minit ia dipadam. Kami tidak pernah tahu siapa
pelawat itu.
Kiraan tanpa nama bagi lawatan dan klik pada halaman kami
sendiri. Kami mengira berapa ramai yang sampai ke halaman
pendaratan kami, menekan muat turun, membuka aplikasi buat kali pertama, serta mencipta, menerbitkan atau berkongsi kad — jumlah harian sahaja, tiada yang lain. Tiada kuki,
tiada profil, dan tiada pihak ketiga: pengiraan dilakukan oleh pelayan
kami sendiri, nombor itu hanya dijumlahkan, dan tiada apa-apa yang
merekod siapa di sebalik mana-mana lawatan. Seperti paparan kad,
nilai bagi setiap lawatan ialah cap sehala yang sama seperti di atas, serta nama peristiwa terkira yang telah dicetuskannya, disimpan sehingga satu jam supaya seorang sahaja tidak boleh menaikkan nombor itu, kemudian dipadam. Kiraan dalam aplikasi dihantar bersama token log masuk anda supaya pelayan kami dapat membezakan aplikasi sebenar daripada skrip; pelayan membuang siapa anda dan hanya menyimpan jumlahnya.
Diagnostik pengimbas QR (dihantar oleh pustaka Google, bukan kami). Pengimbas membaca gambar kamera pada peranti anda dan tidak menghantarnya ke mana-mana. Tetapi pustaka Google ML Kit yang melakukan pengimbasan itu, menurut dokumentasi Google, menghantar diagnostik dan statistik penggunaan kepada Google apabila ia berjalan — maklumat peranti, maklumat aplikasi, pengukuran prestasi, konfigurasi dan jenis peristiwa — dan juga satu pengenal pemasangan, iaitu nilai rawak yang dicipta pustaka itu untuk pemasangan ini. Kami tidak menerima mana-mana daripadanya.
Kami tidak mengumpul: lokasi tepat (aplikasi tidak
pernah meminta kebenaran itu), senarai kenalan anda, mesej teks pada telefon anda, sejarah
pelayaran, atau pengenal pengiklanan. Kami tidak meminta nombor pengenalan diri kerajaan. Kami tidak menambah SDK pengiklanan atau penjejak merentas aplikasi ke dalam aplikasi ini. Kiraan kami sendiri ialah jumlah harian yang diterangkan di atas. Pustaka Google yang menghantar diagnostik kepada Google ialah Firebase Crashlytics (data ranap dan sesi) dan pengimbas QR, kedua-duanya diterangkan di atas.
Secara berasingan, infrastruktur Google yang kami gunakan (hosting,
pangkalan data, fungsi awan, log masuk) menyimpan log pelayan biasa —
alamat IP dan masa permintaan — untuk keselamatan dan operasi, mengikut
dasar penyimpanan Google.
Permintaan daripada aplikasi ini kepada pelayan kami — sama ada versi
Google Play atau versi muat turun terus — juga mungkin membawa token
pengenal pemasangan yang dikeluarkan oleh pustaka Firebase Google; kami
tidak menggunakannya.
3. Untuk apa ia digunakan
Hanya untuk menjalankan perkhidmatan ini: mencipta, menyimpan,
menyegerak dan memaparkan kad anda; membolehkan anda log masuk; menyimpan
baki token dan buka kunci anda; menambah token yang anda beli dan mengendalikan bayaran balik; membaiki ranap; mengira paparan kad dan cara aplikasi digunakan, sebagai jumlah harian; menyemak laporan tentang kandungan berbahaya; dan memastikan perkhidmatan selamat. Kami tidak menjual data peribadi, tidak memaparkan
iklan, dan tidak membina profil pengiklanan tentang anda.
4. Menerbitkan kad (sila baca)
Kad yang anda terbitkan akan mendapat satu pautan web awam. Setelah
anda berkongsinya:
Sesiapa yang memegang pautan itu boleh membaca segala yang ada pada
kad tersebut tanpa log masuk — termasuk foto dan apa
jua perkara sensitif yang anda pilih untuk letakkan di atasnya. Apa
yang naik ke atas kad sepenuhnya keputusan anda.
Pautan boleh dimajukan dan ditangkap layar. Kad ditanda
noindex supaya enjin carian tidak sepatutnya
menyenaraikannya, tetapi itu satu permintaan kepada enjin carian,
bukan satu kunci.
Halaman kad dihidangkan melalui cache: selepas anda menyunting atau
memadam kad, seorang pelawat mungkin masih melihat versi
terdahulu sehingga kira-kira 2 minit.
Menampal pautan itu ke dalam aplikasi sembang turut
menghantar satu pratonton. WhatsApp, Telegram, Facebook,
Slack dan yang lain mengambil halaman itu untuk melukis kad kecil
mereka, dan apa yang mereka baca ialah nama, tagline dan satu gambar
— yang mungkin merupakan imej muka depan kad itu
sendiri, dirender pada peranti anda. Pratonton itu tersimpan
dalam sistem mereka, bukan sistem kami: setelah satu daripadanya
terlukis dalam sembang seseorang, tiada suis pada kami yang menariknya
balik.
Anda boleh menjadikan kad yang sudah diterbitkan tidak
awam, dan itu melakukan lebih sedikit daripada memadamnya.
Skrin utama mempunyai suis untuknya (Jadikan tidak awam).
Ia menghentikan halaman kad daripada dipaparkan dalam masa kira-kira
2 minit dan memadam gambar
pratonton pautan kad itu, dan kad itu mengekalkan alamatnya, jadi
pautan yang sama berfungsi semula jika anda menerbitkannya semula. Ia
tidak memadam foto kad itu: sesiapa yang sudah memegang pautan terus
sesebuah foto masih boleh membukanya, sehingga anda memadam kad itu
(atau foto itu). Ia tidak dapat menarik balik pratonton pautan yang
sudah dihantar dalam sembang, atau kenalan yang sudah disimpan oleh
orang lain. Memadam kad itu menghentikan halaman itu dan memadamkan
foto itu sendiri, yang turut membatalkan pautannya.
Pautan sekali guna menunjukkan kad sekali sahaja
kemudian mati. Ia berfungsi walaupun untuk kad yang belum
diterbitkan, dan ia tidak menerbitkan kad itu. Tetapi tiada platform
boleh menghalang tangkapan layar — apa yang dimusnahkan ialah pautan
itu, bukan apa yang sudah dilihat orang.
Alamat di dalam pautan itu sendiri adalah awam, dan ia merupakan
satu entri direktori. Sesiapa yang tahu atau meneka
alamat sesebuah kad boleh membaca entri itu tanpa log masuk. Ia tidak
mengandungi nama anda, e-mel anda, atau apa-apa daripada kad itu —
ia mengandungi satu pengenal akaun, yang cukup untuk
memberitahu bahawa dua alamat berbeza milik akaun yang sama.
Menerbitkan kad ialah apa yang meletakkan kandungannya dalam talian;
menuntut alamatnya ialah apa yang meletakkan entri ini di sana, dan
itu berlaku ketika kad dicipta.
Menukar alamat sesebuah kad tidak menarik balik alamat
lama. Alamat lama terus berfungsi dan terus menunjuk kepada
kad yang sama, jadi pautan yang anda berikan sebelum pertukaran itu
masih sampai kepada anda.
Alamat yang sudah dituntut tidak akan diberikan kepada
sesiapa pun yang lain. Padamkan kad itu, atau keseluruhan
akaun anda, dan alamat itu berhenti membuka apa-apa — pelawat tidak
melihat apa-apa. Tetapi nama itu kekal diambil selama-lamanya, dan
rekod awam bahawa ia telah diambil turut kekal. Rekod itu memegang
nama itu sahaja: tiada pengenal akaun, tiada kad, tiada apa-apa yang
menunjuk kembali kepada anda.
Jika anda meletakkan maklumat orang lain di atas
sesebuah kad, pastikan anda mendapat keizinan mereka.
Teks pada kad yang belum diterbitkan, dan keseluruhan pustaka profil anda, kekal peribadi — hanya anda yang boleh melihatnya. Foto ialah pengecualian: setiap foto yang anda letakkan pada kad, diterbitkan atau tidak, disimpan dalam kawasan fail awam dan boleh dibuka tanpa log masuk oleh sesiapa yang memegang pautan tepat foto itu. Pautan itu mengandungi token rawak yang panjang dan fail tidak boleh disenaraikan, jadi pautan tidak boleh diteka secara munasabah — tetapi ia terus berfungsi untuk sesiapa yang memegangnya, sehingga anda memadam kad itu (atau foto itu). Gambar pratonton pautan kad anda — gambar muka depan kad yang dihasilkan oleh aplikasi semasa kad itu diterbitkan (mulai versi 1.0.43; versi aplikasi yang lebih lama menghasilkannya setiap kali anda menyimpan kad itu, diterbitkan atau tidak) — juga begitu: sesiapa yang memegang pautan tepatnya boleh membukanya tanpa log masuk. Fail itu tidak boleh disenaraikan dan alamatnya tidak boleh diteka secara munasabah, dan ia berhenti berfungsi apabila anda memadam kad itu (atau akaun anda). Pratonton yang tertinggal pada kad yang tidak diterbitkan kekal boleh dibuka dengan cara ini sehingga kad itu disimpan dengan versi 1.0.43 atau lebih baharu dan pratonton itu dipadam, atau sehingga anda memadam kad itu (atau akaun anda).
5. Siapa lagi yang menyentuh data anda
Google Firebase / Google Cloud menyediakan log masuk, pangkalan data,
simpanan fail, fungsi awan, pelaporan ranap dan hosting web. Data anda
disimpan di rantau Amerika Syarikat milik Google Cloud (pangkalan data:
berbilang rantau nam5; simpanan dan fungsi: us-central1).
Google Play, untuk pembelian token. Token hanya boleh
dibeli dalam versi Google Play aplikasi ini, dan Google Play memproses
bayaran itu di bawah terma dan dasar privasi Google sendiri. Google Play,
bukan kami, yang menerima butiran pembayaran anda. Apa yang berlalu
antara Google dan kami tentang sesuatu pembelian diterangkan dalam
seksyen 2. Kami tidak menggunakan pemproses pembayaran lain: kami tidak
menggunakan gerbang pembayaran, dan versi muat turun terus serta laman
web tidak menerima bayaran.
Pustaka pengimbas QR Google. Aplikasi mengimbas kod QR pada peranti anda menggunakan Google ML Kit. Menurut dokumentasi Google, pustaka itu menghantar diagnostik dan statistik penggunaan (maklumat peranti, maklumat aplikasi, prestasi, konfigurasi API dan jenis peristiwa), dan juga satu pengenal pemasangan, kepada Google apabila ia berjalan; data itu tidak melalui kami dan kami tidak menerimanya. Kandungan yang diimbas dinyahkod pada peranti anda, dan hanya pautan yang terhasil dibuka.
Satu perkara yang patut diketahui oleh pelawat. Halaman
kad awam memuatkan skrip log masuk Google, kerana aplikasi yang sama
menghidangkan halaman itu dan butang log masuk. Jadi Google menerima
alamat IP sesiapa yang membuka pautan kad, termasuk orang yang tidak
pernah log masuk dan tiada akaun. Kami menahan skrip itu sehingga halaman
selesai dilukis, tetapi menahan bukan bermakna membuang. Pada Safari, dan
dalam mana-mana pelayar pada telefon atau tablet, pustaka log masuk
Firebase juga memuatkan skrip pembantu daripada apis.google.com semasa
halaman dimuatkan, sebelum sesiapa menekan apa-apa; skrip itu tidak
ditahan.
Itulah keseluruhan senarainya. Kami tidak berkongsi data peribadi anda
dengan sesiapa pun selain itu, dan kami tidak menjualnya kepada sesiapa
dalam apa jua keadaan.
6. Memadam akaun anda — apa yang sebenarnya berlaku
Anda boleh memadam akaun anda daripada Tetapan → Pengurusan akaun → Padam akaun, atau membaca halaman pemadaman
akaun. Pemadaman berjalan pada pelayan kami, serta-merta, dan tidak
boleh dibatalkan. Ia memadamkan:
setiap kad yang anda ada, dan segala yang ada di atasnya;
pustaka profil anda dan kotak kad anda;
senarai sekatan anda, dan laporan yang anda hantar;
setiap foto yang anda muat naik;
pautan kad awam anda — ia berhenti berfungsi untuk
semua orang. Sesiapa yang membuka pautan yang pernah anda
kongsi, tidak kira berapa lama dahulu, akan mendapat halaman "tidak
dijumpai". Ini termasuk pautan yang dicetak di atas kertas, disimpan
dalam senarai kenalan orang lain, atau ditulis ke dalam tag NFC: pautan
itu masih menunjuk ke sini, cuma tiada lagi apa-apa di sini untuk
ditunjukkan;
sebarang pautan sekali guna yang masih terbuka, termasuk syot kad
yang dibekukan padanya dan nota yang dilampirkan;
baki token anda, setiap buka kunci yang anda ada, dan rekod token yang
ditambah, dibelanjakan dan diambil balik. Semua ini dikeluarkan secara
kekal dan tidak dibayar balik, kecuali jika dikehendaki oleh
undang-undang — token tiada nilai tunai; lihat
Terma (seksyen 7) dan
Dasar Bayaran Balik. Sebelum anda mengesahkan,
aplikasi menunjukkan baki token yang akan anda hilang;
rekod log masuk anda. Anda tidak boleh log masuk semula dengan
identiti itu; pendaftaran kemudian dengan alamat e-mel yang sama ialah
akaun baharu yang kosong.
Apa yang kami simpan, dan mengapa.Rekod
pembelian. Jika anda pernah membeli token, setiap rekod
pembelian yang diterangkan dalam seksyen 2 kekal selepas akaun anda
dipadam, dengan pengenal akaun anda dibuang daripadanya: pek itu, berapa
banyak, token yang ditambahnya, ID pesanan Google, negara atau rantau,
sama ada ia ujian, keadaannya dan tarikh-tarikhnya. Kami menyimpannya
kerana rekod inilah yang menghalang satu pembelian daripada menambah
token dua kali dan menghalang pembelian yang telah dibayar balik daripada
dituntut semula, dan kerana bayaran balik yang sampai kepada kami selepas
pemadaman perlu menemui pembelian itu tanpa mengubah apa-apa. Setiap rekod
pembelian dipadam secara automatik pada akhir tahun kalendar
ke-7 selepas tahun pembelian itu (waktu Malaysia), biasanya
dalam masa kira-kira sehari selepas itu. Tarikh itu sama sama ada anda
memadam akaun anda atau tidak: pemadaman akaun membuang pengenal akaun
anda daripada rekod, bukan tarikhnya. Rekod yang mengaitkan rujukan
akaun anda dengan akaun anda dipadam. Google menyimpan rekod pesanannya
sendiri di bawah dasarnya sendiri, dan masih boleh mengaitkan ID pesanan
itu dengan akaun Google yang membayar. Baris log tentang pembelian anda
(seksyen 2) membawa pengenal akaun anda; memadam akaun anda tidak
memadamnya, dan Google Cloud Logging memadamnya 30 hari selepas ia
ditulis.
Sandaran. Google Cloud menyimpan salinan sandaran pangkalan data kami supaya kami boleh pulih daripada bencana atau kesilapan. Pemadaman tidak sampai ke dalamnya: data yang telah anda padam masih boleh berada dalam sandaran sehingga sandaran itu luput. Tempoh terpanjang sesuatu sandaran disimpan ialah 98 hari (14 minggu); yang lain disimpan 7 atau 30 hari. Selepas itu data yang dipadam turut hilang daripadanya.
Laporan ranap. Laporan yang sudah dihantar kepada Firebase Crashlytics, yang mungkin membawa ID akaun anda, tidak dipadam apabila anda memadam akaun anda; Crashlytics memadamnya sendiri selepas 90 hari. Laporan ralat web tamat tempoh selepas 30 hari dan biasanya dipadam secara automatik dalam masa kira-kira sehari selepas itu (seksyen 2), dan kiraan agregat tidak mengandungi sebarang akaun.
Laporan dan sekatan. Laporan yang anda hantar dan kiraan laporan harian anda dipadam bersama akaun anda. Laporan tentang kad anda kehilangan salinan kad anda serta-merta — sama ada masih terbuka atau sudah ditutup — bersama nota pelapor dan alamat kad anda. Yang tinggal hanyalah rekod asas: sebab yang dipilih, tarikh-tarikhnya dan pengenal akaun. Laporan yang masih terbuka ditutup, dan setiap rekod ini ditetapkan untuk tamat tempoh selewat-lewatnya 90 hari selepas anda memadam akaun anda, dan biasanya dipadam secara automatik dalam masa kira-kira sehari selepas itu. Sekatan yang anda letakkan dipadam bersama akaun anda. Sekatan yang orang lain letakkan ke atas anda disimpan dalam akaun mereka, bukan akaun anda: ia menyimpan pengenal akaun lama anda, masanya, serta nama dan alamat yang orang itu lihat pada kad anda, hanya boleh dibaca oleh mereka; memadam akaun anda tidak membuangnya daripada akaun mereka.
Alamat bagi kad yang dipadam disimpan, tetapi hanya dalam satu
erti sempit yang diterangkan dalam seksyen 4: ia berhenti membuka apa-apa
untuk semua orang, dan ia tidak akan diserahkan kepada sesiapa pun yang
lain. Apa yang kekal ialah satu catatan awam bahawa nama itu telah
diambil — nama itu sahaja dan tiada apa-apa lagi, tanpa sebarang pengenal
akaun yang dilekatkan padanya.
Salinan cache halaman kad awam luput dalam kira-kira 2 minit
selepas pemadaman. Log operasi Google mengikut dasar penyimpanan Google sendiri.
Log capaian yang diterangkan dalam seksyen 7 mengandungi pengecam akaun dan alamat IP, disimpan selama 365 hari, termasuk selepas anda memadam akaun anda.
Anda juga boleh memadam kurang daripada segala-galanya, pada bila-bila
masa: entri tertentu, foto tertentu, atau satu kad penuh. Memadam sesebuah
kad akan memadamkan fotonya dan mematikan pautan awamnya.
7. Keselamatan
Semua trafik disulitkan dengan HTTPS. Peraturan keselamatan menjadikan data peribadi anda hanya boleh dibaca oleh anda daripada mana-mana aplikasi atau pelayar; mereka yang mengendalikan xnamec juga boleh mencapainya melalui alat pentadbiran Google, dan berbuat demikian hanya untuk mengendalikan perkhidmatan, menyemak laporan, atau apabila undang-undang menghendakinya. Sebarang capaian kepada rekod tersimpan anda melalui alat pentadbiran itu — oleh kami, oleh skrip penyelenggaraan kami, atau oleh sesiapa sahaja yang mempunyai akses kepada projek — direkodkan dalam log capaian yang menyatakan siapa yang melakukannya dan bila. Kami menyimpan log itu selama 365 hari, ia tidak dipadam apabila anda memadam akaun anda, dan anda boleh bertanya kami di support@cytxolv.com apa yang ditunjukkannya untuk akaun anda. Empat perkara boleh dibaca tanpa log masuk, dan hanya empat itu: kad yang anda pilih untuk terbitkan, alamat kad yang telah dituntut (seksyen 4), senarai harga kami (kos token bagi setiap buka kunci, dan satu katalog lama yang tidak lagi kami gunakan), dan foto pada kad — foto hanya kepada orang yang memegang pautan tepatnya, kerana fail tidak boleh disenaraikan (seksyen 4). Baki token anda dikawal oleh
pelayan
— tiada apa-apa pada peranti anda yang boleh menulis kepadanya — dan
rekod pembelian tidak boleh dibaca oleh mana-mana aplikasi atau pelayar
langsung, termasuk anda. Tiada sistem yang sempurna selamat, tetapi kami mengekalkan langkah teknikal
yang munasabah dan kami terus mengujinya.
Laporan tidak boleh dibaca oleh sesiapa selain kami (tiada aplikasi atau pelayar boleh membacanya), dan senarai akaun yang anda sekat hanya boleh dibaca oleh anda.
8. Kanak-kanak
xnamec adalah untuk pengguna berumur 18 tahun ke atas. Log masuk pertama
memerlukan pengesahan tahun kelahiran, dan sesiapa yang di bawah 18 tahun
tidak boleh meneruskan. Jika kami mendapati kami telah tersilap mengumpul
maklumat daripada seseorang yang berumur di bawah 18 tahun, kami akan
memadamnya secepat mungkin. Ibu bapa atau penjaga boleh menghubungi kami di
alamat di bawah.
9. Hak anda
Anda boleh melihat dan membetulkan segala yang kami ada tentang anda di
dalam aplikasi, dan memadam mana-mana bahagian atau kesemuanya. Jika anda
berada di Malaysia, anda mempunyai hak di bawah Akta Perlindungan Data
Peribadi 2010 (PDPA), termasuk hak untuk mengakses dan membetulkan. Untuk
sebarang permintaan atau pertanyaan, tulis kepada alamat di bawah.
10. Perubahan pada dasar ini
Kami mungkin mengemas kini dasar ini. Apabila kami berbuat demikian,
nombor versi dan tarikh kuat kuasa di bahagian atas halaman ini akan
berubah; jika perubahan itu memberi kesan besar kepada anda, kami akan
memberitahu anda di dalam aplikasi.
Aplikasi Android datang dalam dua bentuk, dibina daripada kod yang sama: versi yang dibuat untuk Google Play, dan versi yang boleh anda muat turun terus dari laman web kami. Kebenaran kedua-duanya berbeza di dua tempat, dalam arah yang bertentangan. Hanya versi muat turun terus yang meminta untuk memasang pakej, kerana ia mengemas kini dirinya sendiri, manakala kemas kini versi yang satu lagi dihantar oleh Google Play. Hanya versi Google Play yang meminta kebenaran pengebilan Google Play, kerana hanya versi itu yang menjual token. Selain itu, kebenaran yang diminta oleh kedua-duanya adalah sama. Seksyen ini ialah senarai penuh bagi kedua-duanya, berserta kegunaan sebenar setiap satu. Tiga daripadanya kami minta sendiri — kamera, getaran dan, dalam versi muat turun terus sahaja, memasang kemas kini kami sendiri. Satu lagi, kebenaran pengebilan dalam versi Google Play sahaja, datang bersama pustaka pengebilan Google, yang kami tambah pada versi itu supaya token boleh dibeli di sana. Selebihnya datang daripada pustaka rasmi Google yang digunakan oleh aplikasi ini — itulah sebabnya ia muncul walaupun tiada skrin di dalam aplikasi yang menggunakannya secara langsung.
Kamera. Mengimbas kod QR, dan mengambil foto untuk
kad. Android akan bertanya kepada anda pada kali pertama, dan anda boleh
menolak.
Getaran. Getaran halus apabila sesuatu ketikan
memberi maklum balas.
Meminta pemasangan pakej — versi muat turun terus sahaja.
Versi Google Play tidak meminta kebenaran ini dan tidak mengandungi sebarang
kod yang memuat turun atau memasang apa-apa; ia dikemas kini oleh Google
Play. Versi muat turun terus tiada gedung di belakangnya, jadi kebenaran ini
membolehkannya mengambil kemas kini itu sendiri, menyemak bait yang dimuat
turun terhadap SHA-256 yang diterbitkan di sebelahnya pada halaman muat
turun, dan menyerahkan fail yang telah disahkan itu kepada pemasang Android
sendiri. Ia tidak membenarkan apa-apa dipasang secara
senyap: Android tidak akan memasang daripada kami sama sekali sehingga anda
menghidupkan aplikasi ini di bawah "pasang aplikasi tidak dikenali", dan di
atas itu ia memaparkan pengesahannya sendiri bagi setiap pemasangan.
Kedua-dua langkah itu tidak boleh dilangkau, dan aplikasi menyatakannya
pada skrin dan bukannya menghantar anda ke halaman tetapan yang tidak
dijelaskan. Satu-satunya fail yang diserahkannya kepada pemasang ialah fail
yang baru sahaja dimuat turun daripada alamat kami sendiri dan dicincang;
jika cincangan tidak sepadan, fail itu dipadamkan dan tiada apa-apa
dipasang. Anda boleh mengabaikan semua ini dan terus memuat turun kemas
kini dalam pelayar anda — butang itu masih ada.
Internet, dan keadaan rangkaian. Kad anda disimpan di
awan, jadi aplikasi memerlukan capaian rangkaian, dan perlu tahu sama
ada ia ada pada masa itu.
Guna biometrik, guna cap jari. Pasangan ini paling
kerap ditanya, jadi kami nyatakan terus:
aplikasi ini tiada kunci cap jari, dan tidak akan sesekali
menerima cap jari atau wajah anda. Ia diminta oleh pustaka log
masuk Google. "Log masuk dengan Google" pada Android kini melalui
Credential Manager Android sendiri, dan Credential Manager mungkin
meminta anda mengesahkan dengan cap jari atau wajah sebelum menyerahkan
akaun yang tersimpan kepada sesebuah aplikasi. Gesaan itu milik Android,
bukan milik kami — Android hanya memberitahu kami sama ada ia berjaya,
dan tidak sekali-kali memberitahu kami apa-apa tentang biometrik
anda. Jika anda tidak pernah menggunakan log masuk Google, laluan ini
tidak pernah dijalankan.
Pengebilan Google Play — versi Google Play sahaja
(com.android.vending.BILLING). Membolehkan aplikasi meminta
Google Play memaparkan skrin pembeliannya dan melaporkan hasilnya,
supaya token boleh dibeli. Ia tidak memberi aplikasi capaian kepada
butiran pembayaran anda dan tidak boleh mengecaj anda dengan sendirinya:
setiap pembelian melalui skrin Google Play sendiri, yang anda sahkan.
Versi muat turun terus tidak memintanya, dan tidak menjual apa-apa.
Membaca konfigurasi perkhidmatan Google
(READ_GSERVICES). Digunakan untuk pemeriksaan anti-salah
guna Google semasa log masuk. Android hanya memberikannya kepada
aplikasi yang ditandatangani oleh Google, jadi ia tidak melakukan apa-apa
pada binaan kami.
Satu kebenaran yang dinamakan sempena aplikasi ini sendiri
(com.xnamec.xnamec.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION).
Ditambah secara automatik oleh alat binaan Android untuk kegunaan
dalamannya sendiri, dan terhad kepada aplikasi ini sahaja. Ia tidak
memberikan apa-apa kepada sesiapa pun yang lain.
Tiada yang lain. Khususnya, kami tidak meminta lokasi,
tidak meminta senarai kenalan, tidak
meminta mikrofon, dan tidak meminta capaian ke galeri
foto anda — foto melalui pemilih Android sendiri, yang tidak memerlukan
sebarang kebenaran. Kami juga tidak meminta kebenaran pemberitahuan
tolak: aplikasi ini tiada ciri pemberitahuan tolak, dan ia secara aktif
membuang kebenaran tolak yang sepatutnya ditambah oleh pustaka yang digunakannya.
Jika anda memasang dari Google Play, muat turun, kemas kini dan, jika anda membeli token, bayarannya juga dikendalikan oleh Google Play di bawah terma dan dasar privasi Google sendiri.