CullBench 隐私政策

1. 本地照片处理

CullBench 当前 macOS App 可能仍显示内部名称 FramePick。App 直接打开你选择的文件夹，AI 分析在本机完成；我们不会为了聚类、预览、评分、Pick 或导出而上传照片。

• 原始照片、RAW、HEIC、预览图和缩略图。
• 文件名、本机路径、目录位置、security-scoped bookmark 和导出目录。
• EXIF、GPS、相机序列号、精确拍摄时间、人物或人脸信息。
• DINO embedding、聚类输入、模型缓存、analysis.json、review-state.json 和 helper 输出。

2. 官网与购买

Cloudflare 托管官网、许可证 API 和数据库，并可能处理完成 HTTPS 请求所需的 IP、时间、User-Agent 和安全日志。Paddle 作为 Merchant of Record 处理邮箱、账单地址、付款工具、税费、收据和退款；CullBench 不接触或保存完整银行卡号、CVV 或 PayPal 密码。

CullBench 的商业服务只保留运营永久许可证所需的交易 ID、商品/价格、币种与金额、交易状态、时间和事件摘要。购买页的随机领取令牌原文仅保留在当前浏览器标签页和领取请求中；Paddle 与 D1 只接收其 SHA-256 摘要。

3. 许可证与激活

激活或恢复时，服务会接收许可证密钥、随机生成的安装 UUID 和必要的版本信息。D1 保存密钥的 keyed digest、安装 UUID、激活状态和时间，不保存原始许可证密钥，也不读取 Mac 序列号、Apple ID 或照片身份。

用于匿名限流的网络地址会先与独立服务端密钥做 HMAC，再写入短期速率窗口；数据库不保存明文 IP。停用释放一个设备席位，但保留必要的审计状态。

4. 许可证恢复邮件

购买成功页只在当前标签页临时保留 Paddle 返回的购买邮箱，并把邮箱与短期领取凭据发送给许可证服务。服务重新验证交易后，请求 Resend 发送一封纯文本恢复邮件。邮件不包含永久许可证，只包含 7 天有效的恢复链接；邮箱、邮件 ID 和恢复 URL 不写入 D1。

Resend 会按照其服务规则处理收件地址和邮件内容。恢复令牌位于 URL fragment，打开页面时不会发送给网站服务器，并会在读取后立即从地址栏移除。

5. 可选诊断

新安装默认开启崩溃报告和匿名使用统计，并在首次启动时说明。你可以在“设置 > 隐私与诊断”中分别关闭；继续之前 Sentry 和 TelemetryDeck 不会启动。

• 可能发送 App/build、macOS 主版本、CPU 架构、脱敏崩溃堆栈、固定事件名、区间化照片数量和耗时。
• 绝不发送照片、截图、文件名、路径、EXIF/GPS、人物信息、embedding、helper 原文、许可证密钥、邮箱或自由文本。

6. 使用、保留与共享

我们只为交付永久许可证、阻止欺诈、提供支持、改进可靠性和履行适用法律义务而处理数据。交易、许可证和审计状态会在运营许可证及处理争议所需期间保留；短期领取凭据在 7 天后失效。服务商可按各自政策保留必要记录。

我们不出售个人数据，不用于定向广告，也不跟踪你在其他 App 或网站中的活动。除上述服务商、法律要求或保护用户与服务安全外，我们不会共享这些数据。

7. 你的选择与权利

你可以关闭两项诊断、删除本地分析数据、停用当前 Mac，并请求查询、更正或删除适用法律允许处理的个人数据。部分交易和反欺诈记录可能因法定义务或持续许可证所需而无法立即删除。

隐私请求请发送到 support@cullbench.com。请提供足以定位购买的 Paddle transaction ID；不要发送照片、银行卡信息或许可证密钥。

8. 变更与联系

重大变更会在生效前通过官网、App 或购买邮箱说明。问题可通过支持页面或下方邮箱联系我们。