隐私政策

我们是谁，本政策涵盖什么

本政策说明 TaskForge 如何处理个人数据。“TaskForge”指本应用及 taskforge.md 网站，运营地位于加拿大安大略省。在数据保护法律层面，我们是以下所述有限个人数据的数据控制方。

如果本文有任何不清楚的地方，请通过联系我们部分的邮箱联系我们，我们很乐意解释。

TaskForge 如何处理你的数据

你的任务以 Markdown 文件的形式存储在你选择的仓库文件夹中。TaskForge 直接在你的设备上读写这些文件，不会上传或复制这些文件，也不会出于我们自己的任何目的读取其内容。

如果你在多台设备间同步仓库，这通过你已有的服务完成，例如 iCloud 云盘或 Dropbox。你的文件在你的设备和你的云账号之间传输，中间没有 TaskForge 服务器。

应用设置可以通过你自己的 iCloud 账号在你的 Apple 设备间同步。这同样保留在 Apple 的 iCloud 和你的账号范围内，不经过我们的基础设施。完成设置后，应用可以在离线状态下正常使用。

我们不收集什么

大多数隐私政策篇幅很长，因为应用收集了很多数据。我们的政策简短，因为我们几乎不收集任何数据。TaskForge 不会：

• 跨应用或跨网站追踪你，或把任何关于你的信息用于定向广告。
• 包含任何广告、广告网络或第三方追踪器。
• 要求或创建账号、个人资料或登录信息。
• 为我们自己的目的读取你的任务内容、文件名或仓库。
• 对你进行画像、评分或作出任何自动化决策。
• 向任何人出售、出租或共享你的个人信息用于营销。

我们处理的有限数据

涉及数据的情形有五种，范围很窄。下面逐一用平实的话说明。除完成购买外，这些都不是必需的：不向我们提供任何个人信息，TaskForge 也能完整使用。

购买与订阅

TaskForge 高级版通过 Apple 的 App Store（安卓端通过 Google Play）销售。购买或订阅时，付款由 Apple 或 Google 处理。我们使用订阅管理服务商 RevenueCat 来确认你的购买并在你的设备上解锁高级版。为此，RevenueCat 会处理你的购买记录、匿名标识符、购买国家、购买日期以及你设备和操作系统的基本技术信息，仅用于验证你的权益。我们不会从该流程中收到你的姓名、邮箱或付款详情。Windows 版和直接下载的 Mac 版没有应用商店，因此高级版通过 Paddle 运营的网页结账销售。Paddle 是这笔交易的登记商家（merchant of record），负责处理你在结账页面填写的信息，例如邮箱地址和付款详情。之后 RevenueCat 按上述方式确认购买。

匿名设置信息

从 3.0.2 版本起，应用会把少量设置选项连同上文所述的匿名 RevenueCat ID 一起发送给 RevenueCat。包括：仓库模式或工作区模式，任务文件和内联任务是否开启，内联任务格式，是否存在 TaskNotes 或 Obsidian Tasks 插件，文件夹是通过 iCloud（由 Apple 管理的同步）同步还是仅在本地，任务和空间数量的大致区间，已连接的日历服务商（Apple、Google、Outlook），以及语言和地区设置。我们用它来决定做什么、支持哪些设置。它只与匿名 RevenueCat ID 绑定。我们从不发送任务内容、文件名或文件夹名、路径，或任何能识别你身份的信息。我们不把它用于广告或追踪，也不出售。RevenueCat 作为我们的数据处理方为我们存储这些信息。

匿名使用信息（自 3.1.0 版起）

从 3.1.0 版起，应用还会向 RevenueCat 发送一些关于设置和使用情况的粗略信息，绑定同一个匿名 RevenueCat ID。商店版和直接下载版都会发送。每一项都只是一个区间、一个开或关的状态，或固定列表中的一个选项：新手引导如何结束、你是否保留了建议的模式；如果你回答了那个可选问题，还有你从哪里得知 TaskForge；启动次数、活跃天数、已完成任务数和笔记数的大致区间；安装了多久；你添加了哪几类小组件；是否允许通知；你用的是手机、平板还是电脑；命令行、MCP 服务器、小组件、共享表单或 Siri 是否改过任务；高级版页面出现过多少次、在哪里出现；以及你看到过多少次评分提示。随附的还有应用版本和构建号、操作系统版本、分发渠道，以及你第一次打开应用的日期。

App Store 和 Google Play 版还会多发送三项。在 Apple 设备上，发送 Apple 的 AdServices 归因令牌，用来告诉我们某次安装是否来自 Apple Search Ads 广告活动；这是我们自己广告的归因，不是追踪。所有商店版在每次显示高级版页面时会记录一次。在安卓上，发送 Google Play 安装引荐来源中的来源和广告活动，说明是哪个网站链接带来了这次安装。

这些信息都不包含任务文字、笔记文字、文件或文件夹名称，也不包含路径。它们都不会被用来在其他公司的应用或网站上追踪你，我们也不会出售这些信息。

当你发邮件给我们时

如果你联系我们寻求支持或反馈，我们会收到你的邮箱地址及你写的内容。我们仅用它来回复并处理你的请求，不会将你加入邮件列表，也不会用于营销。

网站

taskforge.md 网站使用 Plausible Analytics 了解页面访问情况。Plausible 注重隐私：无 Cookie、不显示同意横幅、不跨网站追踪你、也不收集个人信息。我们看到的是汇总的页面浏览量和来源数据，而非个人信息。我们的网络主机也会保存用于安全和可靠性的标准服务器日志。

日历和联系人

从 3.1.0 版起，TaskForge 可以显示和编辑你的日历：包括设备上已有的日历，以及你连接的 Google 或 Microsoft 账号。它还可以显示受邀参加你日程的人的姓名和照片。这些功能都是可选的。除非你选择通过邮件把诊断报告发给我们，这些数据都不会到达我们这里，诊断报告的说明见下文。应用直接与你的设备，或与 Google、Microsoft 通信。没有任何 TaskForge 服务器转发、存储或看到你的日历和联系人。

设备上的日历和联系人

如果你允许访问日历，TaskForge 会读取你手机或电脑上已有的日历（在 Apple 设备上通过 Apple 日历，在安卓上通过系统日历），并在你要求时修改其中的日程。如果你还允许访问通讯录，它会用你保存的联系人来显示受邀者的姓名和照片、在你添加嘉宾时推荐人选，以及打开已保存联系人的名片。设备会在授予每项权限前先询问你。应用不会从设备的日历或通讯录上传任何内容。

Google 和 Microsoft 账号

当你在设置中连接 Google 或 Microsoft 账号时，你会在 Google 或 Microsoft 自己的页面上登录，该页面会在你同意前列出 TaskForge 请求的内容。TaskForge 请求：

• Google. 你的日历日程，用于读取、创建、修改和删除。你的日历列表。你的姓名和电子邮件地址，用于显示已连接的账号。为显示嘉宾的姓名和照片，以只读方式访问你的联系人、你发过邮件或见过但未保存的人，以及在你使用 Google Workspace 时你所在组织的目录。Google 将这些权限称为 https://www.googleapis.com/auth/calendar.events, https://www.googleapis.com/auth/calendar.calendarlist.readonly, openid, email, profile, https://www.googleapis.com/auth/contacts.readonly, https://www.googleapis.com/auth/contacts.other.readonly, https://www.googleapis.com/auth/directory.readonly。
• Microsoft. 你的日历和日程，用于读取、创建、修改和删除。你的姓名和电子邮件地址，用于显示已连接的账号。为显示嘉宾的姓名和照片，以只读方式访问你的 Outlook 联系人，以及在工作或学校账号中你所在组织成员的姓名和照片。Microsoft 将这些权限称为 openid, email, profile, offline_access, Calendars.ReadWrite, User.Read, Contacts.Read, User.ReadBasic.All。

两家服务都会给应用一个保持连接的登录令牌，这样应用每次刷新日历时你都不必重新登录。

应用如何使用这些数据

TaskForge 只把日历和联系人数据用于你能看到、并由你自己发起的功能：

• 显示你的日程，并创建、编辑、移动和删除你选择的日程。
• 在你点按时发送你对邀请的回复（接受、待定或拒绝）。
• 就邀请、更改或取消给嘉宾发送邮件。使用 Google 时，应用会询问是否发送邮件。Outlook 总是会给嘉宾发邮件，应用会在你保存前告诉你。
• 显示受邀参加日程的人的姓名和照片，并在你搜索要邀请的嘉宾时找到对应的人。
• 只在你创建会议笔记时，把日程的详细信息复制到你仓库中的这条笔记里。

我们从不把这些数据用于广告，从不出售，也从不用它训练 AI 模型。TaskForge 没有人会阅读这些数据。

数据存放在哪里

登录令牌保存在设备的安全存储中：Apple 设备上的钥匙串、安卓上受 Android Keystore 保护的加密存储，以及 Windows 上的 Windows 数据保护（DPAPI）。应用会在你的设备上保留一份日程以及嘉宾姓名和照片的副本，以便快速打开并离线使用。记住的姓名或照片最多保留七天。日程详情只有在你自己创建会议笔记时才会进入你的仓库，这条笔记和其他文件一样，是属于你的 Markdown 文件。

断开连接和撤销访问

你可以随时在设置的“日历日程”中断开账号。断开后，应用会从设备删除该账号的登录令牌，并从应用中移除它的日程以及记住的嘉宾姓名和照片。对于 Google 账号，应用还会请求 Google 撤销应用的访问权限。Microsoft 没有为应用提供这种方式，所以对于 Microsoft 账号，请同时在下方链接的 Microsoft 页面中移除 TaskForge。

你可以在 Google 账号权限 中移除 TaskForge；个人账号可在 Microsoft 账号的应用权限 中移除，工作或学校账号可在 我的应用 中移除。你可以随时在设备的系统设置中关闭 TaskForge 对日历和通讯录的访问。

如果你的高级版订阅到期，已连接的账号会暂停。应用会停止读取这些账号，但保持连接，你再次订阅后会恢复。如果你希望删除令牌，请断开该账号。

前面介绍的匿名设置信息只记录连接了哪些日历服务，从不包含日程、日历名称、嘉宾或联系人。如果你选择从应用通过邮件把诊断报告发给我们，应用会从中删除标题、文件路径和电子邮件地址，而且这份报告本身就不是为包含你的日程或联系人而设计的。

Google 用户数据

本节说明 TaskForge 能访问你在设置的“日历日程”中所连接的 Google 账号里的哪些数据。连接是可选的。如果你从未连接 Google 账号，应用就不会接触你的 Google 数据。

应用可以访问什么

Google 自己的登录页面会在你同意前列出每一项权限。TaskForge 请求下面这些权限，并且每项只用于旁边写明的用途。

• https://www.googleapis.com/auth/calendar.events 允许应用查看、创建、修改和删除你日历上的日程。应用用它来显示你的日程、执行你要求的更改，并在你接受、拒绝或回复“待定”时发送你对邀请的答复。
• https://www.googleapis.com/auth/calendar.calendarlist.readonly 是对你的日历列表的只读访问，包括日历名称和颜色。应用用它让你选择要显示哪些日历，以及新日程要放进哪一个。
• https://www.googleapis.com/auth/contacts.readonly 是对你在 Google 中保存的联系人的只读访问。应用使用他们的姓名、电子邮件地址和照片，来显示受邀参加日程的人，并在你添加嘉宾时推荐人选。
• https://www.googleapis.com/auth/contacts.other.readonly 是对“其他联系人”的只读访问，也就是 Google 因为你给对方发过邮件或见过面而记下的人。应用以同样的方式使用它，用于你没有保存的嘉宾。
• https://www.googleapis.com/auth/directory.readonly 是在 Google Workspace 账号上对你所在组织目录的只读访问。应用用它显示受邀参加日程的同事的姓名和照片。个人 Google 账号没有目录，所以这项权限在那里什么也读不到。
• openid, email, profile 向应用提供你的姓名、电子邮件地址和 Google 账号 ID。应用用它们显示当前连接的是哪个账号，并区分两个已连接的账号。

从你的日程中，应用会读取标题、开始和结束时间及时区、地点、描述、邀请对象的姓名、电子邮件地址和回复、组织者、重复规则、提醒、视频会议链接、颜色、忙碌或空闲状态以及可见性。从你的日历列表中，它会读取每个日历的名称、颜色、时区，以及你能否编辑它。从联系人和目录中，它只读取姓名、电子邮件地址和照片。

应用不会请求其他任何权限。它无法读取你的 Gmail、Google Drive 或 Google Photos，也从不修改你的联系人。

应用如何使用这些数据

只用于你在应用中能看到的日历功能，并且只在你使用时才用。你的日程会显示在日历和议程视图里，也会显示在同一设备上 TaskForge 自己的小组件、菜单栏和日程提醒中。当你创建会议笔记时，应用会把那个日程的详细信息复制到你仓库里新的 Markdown 笔记中。你的日历选择，比如要显示哪些日历，会和 TaskForge 设置一起保存。

数据存放在哪里，如何保护

TaskForge 没有接收或存储 Google 数据的服务器。应用通过加密的 HTTPS 直接与 Google 通信，登录使用 Google 的 OAuth 流程并配合 PKCE，所以应用永远看不到你的 Google 密码。让账号保持连接的令牌保存在设备的安全存储中：Apple 设备上的钥匙串、安卓上受 Android Keystore 保护的加密存储，以及 Windows 上的 Windows 数据保护（DPAPI）。应用会在设备上保留一份你的日程副本，这样日历打开得快、能离线使用，并且会把记住的嘉宾姓名和照片在七天后视为过期。

与谁共享

没有任何人。除了上文所述 Google 账号已连接这一匿名事实之外，没有任何 Google 用户数据会到达我们这里，所以我们没有可出售、转让或披露的数据。数据只会在你更改日程或答复邀请时回到 Google，而 Google 只有在你选择时才会给嘉宾发邮件。

保留多久，以及如何删除

在你断开账号之前，应用会一直保留令牌和它保存的日程副本。在设置的“日历日程”中断开账号，会把它们从设备删除，并请求 Google 撤销 TaskForge 的访问权限。在 iPhone、iPad 和安卓上，删除应用也会删除它保存的日程副本。在 Mac 或 Windows 电脑上，删除应用后可能仍会留下一些应用数据，所以请先断开账号。如果你已经删除了应用，可以按下文所述到 Google 移除访问权限。

我们不保存任何 Google 用户数据，所以我们这边没有可删除的内容。如果你曾通过邮件把诊断报告或其他内容发给我们，并希望删除，请写信到 azhar@taskforge.md，我们会删除。

撤销访问权限

你可以随时在 Google 账号权限 页面移除 TaskForge 的访问权限，任何设备都可以，删除应用之后也可以。此后应用无法再访问你的 Google 账号，下次尝试时会请你重新连接。

有限使用（Limited Use）

TaskForge 对从 Google API 获取的信息的使用以及向任何其他应用的传输，将遵守 Google API 服务用户数据政策，包括其中的有限使用（Limited Use）要求。

具体来说：

• 我们使用 Google 用户数据，只是为了提供上述日历功能，这些功能你在应用中都能看到和使用。
• 我们不会把这些数据转移给任何人，除非是为提供这些功能所必需、为遵守适用法律，或作为合并、收购或资产出售的一部分（届时会先告知你）。
• 我们从不把它用于广告，包括个性化广告、再营销广告或基于兴趣的广告。
• TaskForge 没有人会阅读这些数据。仅有的例外是：你同意时（例如你为获得支持而发给我们一张截图）、出于安全需要时（例如调查滥用行为），以及法律要求时。
• TaskForge 不会使用 Google Workspace API 或任何 Google 用户数据来开发、改进或训练通用的 AI 或机器学习模型，应用也不会把其中任何内容发送给任何 AI 服务。
• 我们从不出售这些数据，也从不用它判断信用状况或用于放贷。

如果我们改变 TaskForge 使用 Google 用户数据的方式，会先更新这一部分，并在变更生效前通过应用的更新说明告知你。任何新的 Google 权限都必须在 Google 登录页面上重新获得你的同意。

Microsoft 用户数据

本节说明你在设置的“日历日程”中连接的 Microsoft 账号，个人账号或工作、学校账号都适用。连接是可选的。

应用可以访问什么

Microsoft 的登录页面会在你同意前列出这些权限。TaskForge 把每一项只用于旁边写明的用途。

• Calendars.ReadWrite 允许应用读取、创建、修改和删除你日历上的日程，并查看你的日历列表，这样应用才能显示你的日程、执行你要求的更改，并发送你对邀请的答复。
• Contacts.Read 是对你的 Outlook 联系人的只读访问，用来显示受邀参加日程的人的姓名和照片，并推荐嘉宾。
• User.ReadBasic.All 读取你所在组织中成员的基本资料，包括姓名、电子邮件地址和照片，用于受邀参加日程的同事。它只适用于工作或学校账号。
• openid, email, profile, User.Read 让应用为你登录，并用你的姓名和电子邮件地址显示当前连接的是哪个账号。
• offline_access 让应用保持连接，这样每次刷新日历时你都不必重新登录。

应用不会请求其他任何权限。它无法读取你的 Outlook 邮件或 OneDrive 文件，也从不修改你的联系人。

数据如何使用、存放和共享

处理方式与 Google 数据相同，见上文。应用只把它用于你能看到并会用到的日历功能，通过 HTTPS 直接与 Microsoft 通信，把登录令牌保存在设备的安全存储中，并把你的日程保留在设备上。没有任何 TaskForge 服务器会收到这些数据，我们也绝不出售、分享它们，不把它们用于广告，也不用它们训练 AI 模型。每当你保存对有嘉宾的日程的更改，Outlook 都会给嘉宾发邮件，应用会在你保存前告诉你。

断开连接和撤销访问

在设置的“日历日程”中断开账号，会从设备删除它的令牌和日程。上文关于在 Mac 或 Windows 电脑上删除应用的说明在这里同样适用。Microsoft 不允许应用自行撤销自己的访问权限，所以要在 Microsoft 一侧移除 TaskForge，个人账号请使用 Microsoft 账号的应用权限，工作或学校账号请使用 我的应用。

TaskForge 对 Microsoft 账号数据的使用遵循 Microsoft API 使用条款。

我们会共享你的数据吗？

我们不出售、出租或交易你的个人信息，也永远不会这样做。涉及的唯一第三方是让上述场景得以运行的服务商：

• Apple 和 Google 在你购买高级版时处理付款，依据各自的隐私政策。
• Paddle 负责 Windows 版和直接下载的 Mac 版的网页结账。它是这些购买的登记商家，按其自身的隐私政策处理你在结账时填写的信息。
• RevenueCat 如上所述，代表我们验证购买并存储匿名设置和使用信息。RevenueCat 是我们的数据处理方。
• Plausible Analytics 提供无 Cookie 的匿名网站分析。
• Google 和 Microsoft 在你连接它们的日历后，会收到你对日程的修改和对邀请的回复，并发送你选择发出的嘉宾邮件。这些数据直接从你的设备发送到你自己的账号，适用它们各自的隐私政策。

Apple、Google 和 Paddle 作为独立公司处理付款，适用各自的隐私政策。RevenueCat 和 Plausible 依据数据处理协议代表我们处理数据，并须按照与本政策一致的标准保护这些数据。

如果合法的法律程序要求我们披露所掌握的少量数据（如购买记录或支持邮件），或在保护我们的权利或他人安全时有必要这样做，我们可能会进行披露。鉴于我们掌握的数据极少，这种情况几乎不会发生。由于我们不出售或共享你的个人信息，无需提供“Do Not Sell or Share My Personal Information”（请勿出售或共享我的个人信息）链接，我们也会自动遵守浏览器的 Global Privacy Control 信号。

处理的法律依据（GDPR）

如果你位于欧洲经济区或英国，我们基于以下法律依据处理上述有限数据：

• 合同履行：验证你的高级版购买，以便提供你所付费的服务。
• 正当利益：回复你的支持邮件，通过匿名设置和使用信息了解该支持哪些设置、应用是如何被使用的，以及从汇总数据了解网站流量，并已权衡这些处理对你隐私的影响。
• 法律义务：保存税务和消费者法律要求的记录。
• 同意：在法律要求征得同意时，我们会征求你的同意，你可以随时撤回。

你的权利

根据 GDPR、CCPA 等法律，你对个人数据享有相应权利。由于几乎所有内容都留在你自己的设备上，你已经直接控制着大部分数据。对于我们或我们的服务商持有的有限数据，你可以要求：

• 访问我们持有的关于你的个人数据。
• 纠正其中的错误。
• 删除它。
• 以可携带格式获取副本。
• 对我们的使用方式提出异议或加以限制。
• 在基于同意的处理中撤回同意。
• 向当地数据保护机构提出投诉。

如需行使上述任何权利，请通过下方联系我们部分发送邮件。你的任务文件随时可以自行编辑或删除；删除应用及仓库即可完全移除相关数据。对于购买记录，你也可以直接联系 Apple、Google、Paddle 或 RevenueCat。我们不会因为你行使任何权利而区别对待你。如需停止日历或联系人访问，请按“日历和联系人”部分的说明断开账号或关闭权限。

国际数据传输

我们的服务商（RevenueCat、Paddle、Plausible 及我们的网络主机）可能在你所在国家以外的服务器上处理数据，包括在美国和欧盟。当个人数据进行国际传输时，我们依赖这些服务商的保障措施（如标准合同条款）来确保数据受到保护。

数据保留时长

我们不存储你的任务数据，因此没有什么需要保留的。购买记录由 Apple、Google、Paddle 和 RevenueCat 保存，保留时长以管理你的订阅及履行法律和税务义务所需为准。支持邮件仅在处理你的请求及后续跟进所需时间内保留。网站分析数据为汇总数据，与你个人无关。匿名设置和使用信息会与购买记录一同保留在 RevenueCat，并在你提出请求时随之删除。日历日程、嘉宾姓名和照片以及登录令牌只保存在你的设备上，断开账号即会将它们从应用中移除。

安全性

你的任务文件受你自己的设备及你选择用于同步的云服务保护。我们的服务商在购买和网站流量传输中使用加密。没有任何存储或传输方式是百分之百安全的，但由于我们持有的个人数据极少，任何人能获取到关于你的信息也极为有限。

儿童隐私

TaskForge 不面向 13 岁以下儿童，我们不会有意收集儿童的个人数据。如果你认为某位儿童向我们提供了个人数据，请联系我们，我们会将其删除。

外部链接

我们的网站和应用可能链接到非我们运营的网站，例如 Obsidian 或应用商店页面。我们不对其内容或隐私实践负责，建议你在访问任何网站时查阅其隐私政策。

本政策的变更

如果我们改变了数据处理方式，我们会更新本页面及顶部日期。如果变更重大，我们会以显著方式说明。在变更后继续使用 TaskForge，即表示你接受更新后的政策。

联系我们

对本政策或你的数据有疑问？每封来信我们都会看：

• 通过邮件： azhar@taskforge.md