应用说明更新于 2026 年十月 30 日。本政策介绍适用于 macOS、iOS、iPadOS 的 Blizn，以及适用于 watchOS 10 及更高版本的首个 Apple Watch 版本。访问 blizn.de 时的数据处理，另见网站隐私政策。应用目前通过 TestFlight 提供，正在准备 App Store 公开发行。内部 TestFlight 版本包含 Watch 应用，尚不包含小组件。
数据控制者与联系方式
Martin Bergmann，以 Wallet-X 名义经营的独资企业，地址：Alte Brauerei 8, 46509 Xanten, 德国。
电子邮件：info@wallet-x.de。电话：+49 2801 9879472。您也可以通过此地址提出数据保护请求。
邮件账户与消息
通过 Google 登录的 Gmail 账户使用 Gmail API。其他按相应方式配置的账户使用 IMAP 和 SMTP。Mac、iPhone 和 iPad 直接连接相应服务商。Watch 的可选连接方式见“Apple Watch 与可选连接方式”部分。在此过程中，会处理账户标识、电子邮件地址、登录凭据，以及相应操作所需的消息、发件人、收件人、文件夹信息和附件。服务还会在技术上获得您的 IP 地址和连接数据。收件人会收到您发送的消息。
Wallet-X 不运行额外邮件服务器，也不会通过这些连接获得对您邮箱的独立访问。邮件服务商的数据处理受其合同和隐私说明约束。发送、移动或删除等服务器操作会改变您的真实邮箱。
在 Wallet-X 为提供您请求的邮件功能而处理个人数据的范围内，法律依据为 GDPR 第 6 条第 1 款 b 项。没有必要的账户数据及服务器连接，就无法收发邮件。其余本地功能和示例数据可以在不连接邮件账户的情况下使用。
Gmail 可以直接通过 Google 登录。面向 Outlook/Microsoft 365 的 Microsoft 登录已做好准备，但当前测试构建尚未启用。以下对 Microsoft 登录流程的描述针对将来启用后的情况。为此，Blizn 会将账户地址、应用标识及所需邮件权限发送至相应登录服务。Blizn 获得邮件访问和发送授权，以及可以续期的访问凭据；应用将这些令牌保存在相应设备的本地钥匙串中。令牌不会通过 Blizn 的 iCloud 功能或密码同步传输。其他 Mac、iPhone 和 iPad 需要单独登录。另一个明确的例外，是按后文说明，主动配置将 Gmail 访问从 iPhone 转移到配对 Watch。从构建 96 起的已准备版本中，新的 iCloud 账户同步既不包含本地 OAuth 访问引用，也不包含内部 OAuth 用户标识或 Tenant-ID。启用后，账户地址、服务商及服务器设置仍可同步。账户设置可能包含服务商公开身份信息及本地访问的引用。在此设备上移除账户时，Blizn 也会移除相应本地 OAuth 访问。您还可以在服务商的账户设置中撤销授权。
Gmail 的 Google 访问权限
对于通过 Google 连接的 Gmail 账户，Blizn 使用 openid、电子邮件地址及 https://www.googleapis.com/auth/gmail.modify 权限。登录信息将 Google 授权与配置的邮箱对应起来。Blizn 通过 Gmail API 阅读和发送消息、更改标记和文件夹归属，并可将消息移入垃圾箱或从中恢复。此 scope 不允许绕过垃圾箱立即永久删除。经您单独启用后，也会用它保存和读取下文所述的草稿版本。Blizn 为您选择的邮件功能处理这些数据。在 Blizn 中移除账户不会删除 Gmail 消息。
您可以在 Google 账户的第三方关联中撤销授权。这将阻止后续授权访问；已下载的本地数据或您已传至其他服务的数据，不会自动删除。本地数据的删除适用下文说明。可选 AI 辅助仅用于其他服务商账户中符合条件的内容。
Blizn 按 Google Workspace API 用户数据政策，包括其中的 Limited Use 限制，使用通过 Google Workspace 权限获得的信息。Wallet-X 不出售这些信息，不将其用于广告，也不用于训练通用 AI 模型。共享及人工访问仅限于这些规则允许的目的。
Gmail 账户及其内容在 Blizn 中衍生的回复草稿和转发，均禁止使用 AI 辅助。这包括直接请求 OpenAI 或 Anthropic、通过 ChatGPT 登录，以及复制到 ChatGPT 或 Claude 的方式。切换发件账户或重新打开已保存草稿后，限制仍然有效。对于无法可靠判断来源的旧引用，AI 也保持禁用。请勿手动将 Gmail 内容插入其他服务商账户的 AI 请求。
Google 的公开使用审批尚未完成。新的 Gmail 登录目前仅使用获准的测试账户进行检查。允许测试不等于获得生产使用批准。
撤销授权、重新登录及移除本地数据的操作指南，请见管理 Gmail 访问权限与已保存数据。
Apple Watch 与可选连接方式
首个 Watch 版本显示收件、消息正文和附件名称，并支持在预览及明确确认发送后作出简短回复。附件尚不能在 Watch 上打开，也尚不包含撰写新邮件、推送服务和表盘复杂功能。Watch 应用不提供 AI 写作辅助。连接 Watch 也不会解除对 Gmail 内容进行 AI 处理的限制。
通过配对 iPhone 使用时，您需要在 iPhone 上单独允许 Watch 访问。Watch 获得有限的收件副本，包括正文、地址信息和附件名称。确认后的回复通过 iPhone 及其现有发件箱处理；实际发送时，Blizn 必须在 iPhone 上处于活动状态。等待状态不等于发送确认。
使用“Gmail direct”时，您在 iPhone 上单独授权该账户，并主动在 Watch 上设置访问。随后 Blizn 会通过配对设备连接，将包括 access token 和 refresh token 在内的 Gmail 访问凭据传至 Watch。Watch 将其保存在自身不参与同步的钥匙串中，并直接向 Google 续期。收取和回复直接使用 Gmail API。此传输不经过 Blizn 的 iCloud 同步。
对于受支持的 IMAP/SMTP 账户，可以按需单独运行自有 HTTPS 邮件服务。Watch 会向其发送账户标识、消息标识、阅读操作和已确认的回复文本。服务从邮件服务商收取消息并发送回复，同时处理消息内容、发件人、收件人及附件名称。所需服务商凭据在服务器上单独配置；Blizn 不会自动将 iPhone 的邮件密码传至服务器。服务地址和访问密钥保存在 iPhone 上，并通过主动操作转移至 Watch。服务可以持久保存操作状态及 OAuth 状态等信息。运行、存储位置、服务器日志和保留期限还取决于服务配置及其运营者。本版本中 Wallet-X 不提供集中运营的邮件服务。
Watch 保存有限的收件本地副本、回复草稿和发送状态。已完整加载的正文可以离线保留。各连接方式使用独立存储。在 iPhone 上移除账户，不会删除所有 Watch 副本，也不会彻底移除已配置的独立访问。请另外在 Watch 设置中移除 Gmail 或邮件服务访问。移除访问后，Watch 上已保存的正文仍然存在。如运行自有邮件服务，也需要单独管理该服务上的访问及已保存数据。撤销 Google 授权不会删除已保存的正文。
搜索您的消息
搜索可以限定为已保存在此设备上的邮件。对于已连接的账户，应用可能从邮件服务商加载更多消息或搜索结果，并在本地检查匹配情况。在已连接的 IMAP 邮箱中搜索时，Blizn 会将必要的搜索条件发送给您的邮件服务商。“仅已保存的邮件”将搜索限定为现有消息；离线时也只能使用这些消息。可以搜索附件名称，但不搜索附件文件内容。
设备上的数据
应用将已加载的邮件内容和附件、账户设置，以及标签、搜索历史、模板、签名和提醒等本地整理信息，保存在设备的应用数据区域。Blizn 使用操作系统的加密和保护功能。从版本 0.40.0（98）起，Mac 应用在加载和写入邮件数据前，会检查实际使用的数据卷。邮件存储、恢复副本、已下载附件、临时预览及本地同步状态，都需要加密存储位置。在 Mac 上保存收到的附件时，Blizn 也会检查目标卷。如无法确认加密，相应访问会暂停；现有数据不会被删除，系统设置也不会改变。必要时，您需要启用 FileVault 并重新打开 Blizn。较早测试版本尚未强制执行此 Mac 检查。在 iOS 和 iPadOS 上，应用使用操作系统的文件保护，直到重新启动后的首次解锁。Blizn 不另行提供自身的文件加密。
密码、API 密钥和登录令牌保存在系统钥匙串中。Blizn 钥匙串项目默认仅在本地保存。邮件密码和应用专用密码可以单独启用下文介绍的 iCloud 钥匙串同步。AI 访问凭据和浏览器登录不包含在内。凭据用于登录各自选定的服务。Wallet-X 不会通过自身后端收到这些凭据。
未启用 iCloud 功能时，设置不会通过该 iCloud 同步传到其他设备。单独设置的 Watch 连接不受此影响。操作系统备份及邮件、日历服务商处的数据，取决于您的设置。本地数据会保留，直到您使用应用或系统提供的功能移除。卸载应用不一定会删除钥匙串项目、备份或其他服务商处的数据。
在此设备上移除账户时，应用会移除其活动账户及消息记录、相关附件缓存和本地凭据。邮件存储先前的本地恢复点会被清理后的当前状态替换；旧迁移状态及不再需要的本地存储对象也会移除。其他账户及其当前消息会保留。如果钥匙串或文件系统错误妨碍完整清理，Blizn 会显示提示，在重启后仍记录待完成的清理，并在 Settings → Accounts 中提供重试。
此清理不会移除操作系统备份、文件系统快照、已导出的文件或其他服务中的副本。这些副本还适用相应系统或服务商的删除和保存选项。
可选 iCloud 同步
在“iCloud & devices”中，可以通过同一 Apple 账户，在 Mac、iPhone 和 iPad 之间同步设置。通过 Apple CloudKit，以下内容保存在私有 iCloud 数据库中：账户设置，包括服务器名称、用户名、电子邮件地址、账户颜色和默认签名；带内嵌图片的签名、模板、标签、本地和智能文件夹，以及一般显示和阅读设置。Apple 提供存储和传输，Wallet-X 不为此运行自有服务器。该功能初始为关闭状态。
邮件内容、邮件附件、草稿、搜索历史、AI 访问凭据、字号、消息缩放、收取间隔和账户的本地暂停状态，不通过此功能同步。应用在活动使用期间同步设置；没有连接时，更改在本地等待。私有 CloudKit 区域的小型记录使用加密数据字段，大型记录使用加密保存的资源。Apple 的保护功能还取决于您的 iCloud 设置。
邮件密码及应用专用密码可以通过独立开关，存储和同步到 iCloud 钥匙串。根据 Apple 的说明，钥匙串采用端到端加密。前提是设备已启用“密码与钥匙串”。已使用的凭据仍可用于本地登录。更多信息请见 Apple 的 iCloud 与隐私说明及 Apple 的 iCloud 钥匙串安全说明。
关闭会停止相应设备上的同步，但不会删除已有的本地和 iCloud 数据。其他已启用的设备仍可继续同步。已删除项目通过删除标记同步。本地恢复历史最多保留 50 个先前项目版本。“从所有设备移除”将账户从共享设置中移除，并在已连接设备上暂停；本地邮件、钥匙串项目和邮件服务商处的消息会保留。重置 iCloud 连接会移除本地同步状态及本地恢复历史，但不删除 iCloud 中的数据。切换 Apple 账户时，Blizn 会暂停同步，直到您主动重置连接，或重新使用原账户。
自行创建的模板、签名、发件人规则和搜索文件夹，可能包含您选择的电子邮件地址、服务器文件夹、搜索词或插入的消息正文。同步这些设置时，上述信息也会传至 Apple。不自动同步邮件存储，并不意味着会移除您主动加入设置的这些内容。
通过邮箱进行的可选草稿同步
草稿同步初始为关闭状态，需在各设备的 Settings → Accounts 中，按账户单独启用。启用前，确认对话框会说明：该账户已有的本地草稿也会传至邮件服务商。只有您愿意让服务商保存这些内容时，才应使用此功能。
启用后，Blizn 将在 Blizn 中创建的完整草稿版本直接传至邮件服务商，包括收件人、CC 和 BCC 字段、主题、文本和 HTML、签名、引用的原始文本、附件，以及继续编辑所需的技术信息。因此，尚未准备好发送的收件地址和从未发送的文本，可能已经保存在服务商处。编辑器完整状态保存在服务器版本专用的 Blizn 数据附件中，继续编辑该状态需在 Blizn 中进行。其他来源、在网页邮箱创建的草稿不会自动导入。访问令牌和密码不是草稿数据的一部分。同步在 Google 使用 Gmail API，在受支持的 IMAP 账户使用服务商的草稿区域。它不会将邮件内容传至 Apple CloudKit 或 Wallet-X 服务器。
为避免意外覆盖，Blizn 分开保存新版本，并在服务商处保留旧版本。同时发生更改时，可能会出现多个版本供选择。旧版本可能在网页邮箱或其他邮件程序中显示为额外草稿，占用邮箱空间。存储还受现有邮件账户条款和容量限制约束。Blizn 不会为此委托额外服务；您与现有服务商合同可能产生的费用不受影响。
同步在应用活动使用期间进行。没有连接时，更改保留在本地，稍后同步。含计划发送或投递结果不明消息的发件箱，不会作为发送任务传到其他设备。关闭功能会停止此设备后续同步，但不会删除服务商已保存的版本。移除本地账户也不会清除这些服务器副本。必要时，请另外在邮件账户中管理和删除已保存版本。对于能够识别为来自 Gmail 的内容，包括其衍生草稿，Gmail 的 AI 限制保持有效。
在 Wallet-X 对此承担责任的范围内，该处理根据您的明确请求，用于跨设备继续编辑，法律依据为 GDPR 第 6 条第 1 款 b 项。您可以保持此功能关闭，而不影响其他邮件功能。
HTML 邮件与外部图片
收到的 HTML 邮件默认阻止外部图片。您可以为某条消息放行，或在设置中启用自动加载。加载时，设备会连接相应图片服务器。服务器会收到 IP 地址、请求时间和所请求地址等信息。专用图片地址可能让发件人识别出消息已打开。只有您选择后，外部链接才会在浏览器打开。
网页视图不使用持久的网站数据存储；收到的消息中禁用 JavaScript。Blizn 自身不包含广告或分析 SDK，也不使用广告标识符。但这并不排除您允许的外部内容或服务进行处理。
可选 AI 写作辅助
AI 辅助默认关闭，并按前文所述对 Gmail 内容禁用。对于其他账户中符合条件的内容：若您启用并允许处理某段文本，Blizn 会将获准文本和您的指令直接发送到所选的 OpenAI 或 Anthropic 服务。文本可能包含姓名、电子邮件地址、消息内容及您选择的其他信息。服务还会获得身份验证所需信息和技术连接数据。通过 ChatGPT 登录时，也会交换登录及权限检查所需的账户信息。
对于自愿传输至 AI 辅助的内容，在 Wallet-X 承担责任的范围内，依据为您按 GDPR 第 6 条第 1 款 a 项作出的同意。您可以随时关闭功能，阻止进一步传输。撤回对未来生效，不会自动删除服务商已经处理的数据。邮件功能无需 AI 也可使用。
Wallet-X 不运行自有 AI 代理。OpenAI 请求目前设置 store: false。这不意味着承诺服务商不保存安全日志或连接日志。保存期限、输入内容可能的用途及删除方式，取决于服务、访问方式及您在服务中的设置。更多信息请见 OpenAI 和 Anthropic。
在外部模式下，Blizn 会将您允许的文本复制到系统剪贴板。由您在外部服务中粘贴并提交。跨设备剪贴板取决于系统设置。请只传输您有权允许处理的内容。您的许可不能替代处理他人个人数据所需的法律依据。
日历、文件与通知
使用 Blizn 的电子邮件链接、Siri 或快捷指令时，应用会接收您为所选操作提供的收件人、主题和正文字段、账户名称或搜索词。新消息会打开供您检查，不会自动发送。这些操作不会将已保存邮件内容或搜索结果返回给 Siri。使用 Apple 系统功能还适用 Apple 的隐私说明和您的系统设置。在 Wallet-X 对此承担责任的范围内，本地处理用于执行您请求的操作，依据为 GDPR 第 6 条第 1 款 b 项。
已读回执暂时禁用：Blizn 不请求新回执，也不发送回执回复。已保存的草稿、决定、回执数据和暂停的发件箱记录仍保留在设备上。历史回执仍可能显示；缺少回执并不能证明邮件未读。Blizn 不使用跟踪像素或自有回执服务器。
对于您明确确认的日程，Blizn 使用系统日历功能。是否将邮件正文加入日程由您选择。使用同步日历时，这些信息可能传给日历服务商。原生日历界面可能在选择参与者时使用由操作系统管理的通讯录访问。Blizn 不会将联系人列表导入营销数据库。
所选文件用于附件、签名图片或导出。发送时，附件会传至您的邮件服务及指定收件人。本地提醒在取得系统授权后可以显示通知；锁屏可见性取决于您的设置。日历和通知权限可在系统设置中管理。在 Wallet-X 对此承担责任的范围内，该处理用于提供您请求的功能，依据为 GDPR 第 6 条第 1 款 b 项。
试用期与一次性购买
公开版本计划提供 14 天免费试用，随后一次性购买。试用通过 Apple 免费的非消耗型应用内购买激活。永久解锁为单独的非消耗型应用内购买。没有 Blizn 订阅，也不会在试用后自动扣款。不购买时，期满后应用功能保持锁定，但已保存的账户和数据不会删除。技术集成已为测试版准备就绪，公开发布前仍须在 Apple 测试环境中验收。
Apple 按自身条款处理购买流程及所需 Apple 账户和支付数据。Blizn 通过 StoreKit 获得检查解锁所需的签名购买凭证，尤其包括产品标识、最初购买时间和可能的撤销状态。Blizn 在本地验证这些信息，不会传至自有 Wallet-X 许可服务器。为可靠地预览价格，Blizn 还会考虑 Apple 签名的安装环境及当前商店地区。在测试环境中，或无法可靠确认价格对应时，只有 Apple 购买对话框才显示当前一次性购买价格。此额外检查不授予解锁，也不读取支付数据。您无需在 Blizn 输入信用卡或银行数据。恢复购买时，可能需要在 Apple 登录或确认。
应用还会在本地设置中保存最近观察到的时间，防止将设备时钟调回而延长已结束的试用期。此记录本身不代表购买权限；解锁必须有经验证的 Apple 购买凭证。对于请求的购买和解锁功能，在 Wallet-X 处理个人数据的范围内，适用 GDPR 第 6 条第 1 款 b 项。Apple 处理方式的补充说明见 App Store 与隐私。
TestFlight 与错误报告
测试版通过 Apple TestFlight 分发。Apple 自动收集崩溃及使用信息，并提供给开发团队。例如包括应用及操作系统版本、设备类型、安装、会话和崩溃日志；视邀请方式，还可能包含姓名和电子邮件地址。无法在 TestFlight 内拒绝这种自动收集。
您自愿提交反馈时，开发团队还会收到评论及可能附带的截图。请事先移除保密的邮件内容和凭据。Wallet-X 依据 GDPR 第 6 条第 1 款 f 项，使用这些信息修复错误、改进 Blizn。合法利益在于提供可靠且安全的应用。数据不用于广告，Wallet-X 也不向第三方转交。
Wallet-X 只在处理和跟踪相应错误所需期间保留自己的副本，之后删除或匿名化，除非存在法定保存义务。根据 Apple 的说明，测试反馈保存一年，崩溃及使用信息可能保留到错误修复为止。Apple 的处理和管理选项见 TestFlight 与隐私。
联系与支持
通过电子邮件联系 Wallet-X 时，您的地址、消息中的信息和自愿提供的附件会被处理，以回应请求。支持邮箱 info@wallet-x.de 由 IONOS SE 提供，地址为 Elgendorfer Straße 57, 56410 Montabaur, 德国。在 Wallet-X 内部，只有 Martin Bergmann 可以访问支持邮件。IONOS 提供技术传输和存储。一般支持请求不需要访问您的邮箱，也不需要完整邮件内容。
应用使用相关咨询的法律依据为 GDPR 第 6 条第 1 款 b 项；其他来信处理的依据为 GDPR 第 6 条第 1 款 f 项。如存在法定保存义务，适用 GDPR 第 6 条第 1 款 c 项。普通支持请求及其附件原则上在最终处理完成六个月后删除。存在法定保存义务，或个别材料仍为提出、行使或抗辩法律请求所需时，仅保留必要材料，并仅保留所需期限。六个月期限针对 Wallet-X 保存的支持请求；Apple 处的数据适用其自身保存期限。
在欧洲经济区以外处理
您选择的邮件、日历和 AI 服务，以及 Apple，也可能在欧洲经济区以外处理数据。涉及的国家、公司和保护措施取决于服务及您的账户。以其隐私说明和合同文件为准。对于 Wallet-X 自身负责的传输，必须遵守 GDPR 第 44 条及后续条款，例如适用的充分性决定，或标准合同条款等适当保障。您可以通过上述联系方式，了解涉及 Wallet-X 的接收方和保障措施。
您的权利
在符合法定条件时，您享有访问、更正、删除、限制处理和数据可携权。您可以基于自身特殊情况，反对基于合法利益的处理。您可以随时撤回已作出的同意，对未来生效。
您可以向数据保护监管机构投诉，尤其是您居住地或涉嫌违规发生地的机构。负责 Wallet-X 所在地的机构是北莱茵—威斯特法伦州数据保护与信息自由专员。对于其他服务保存的数据，也请使用其联系渠道和删除选项。
Wallet-X 不会将收到的测试及支持数据用于产生法律效力或类似重大影响的自动化决策，也不会据此建立此类个人画像。本文所述数据流的变更，会在实施前反映到本政策中。