隐私与能力接入

默认策略

模板默认采用本地优先策略：无账号、无后端、无分析、无广告、无跟踪、无推送通知、无后台模式，也不申请额外 entitlement。

docs/privacy-review-checklist.md 是代理流程依赖的底层检查文件。新增会改变隐私、系统权限、审核风险或分发方式的能力前，先更新该文件，再实现代码。

Wiki 托管说明

部署到 Keli Apps 的项目 Wiki 按平台要求加载 Google Analytics，Measurement ID 为 G-WJEFXV72R3。该标签只存在于 Wiki 静态页面，不会进入 iOS/macOS App，也不改变派生 App 默认无分析 SDK、无网络跟踪的产品基线。

接入前必须记录

• 为什么产品必须具备该能力。
• 会访问哪些用户数据。
• 数据是否离开设备，发往哪些端点或第三方。
• 不登录账号时功能能否工作。
• 用户看到的用途说明与授权前解释。
• 需要增加的 Info.plist Usage Description。
• 需要增加的 entitlement 或 Background Mode。
• App Store 审核风险与缓解方式。
• 拒绝授权、离线和失败状态下的产品行为。
• 自动化与手动验证步骤。

常见能力

通知

默认优先本地通知。在触发系统授权弹窗前解释明确用途，避免把营销提醒包装为必要通知。

网络

列出每个端点及其请求、响应数据，定义超时、离线、重试和错误展示行为。不要因为接入网络而破坏本地已有数据。

分析与第三方 SDK

默认不接入。确需使用时记录事件名、载荷字段、数据保留期、供应商、隐私清单和用户退出机制。

文件与媒体权限

文件优先使用用户主动发起的导入导出。位置、通讯录、照片、麦克风和相机等敏感权限，需要产品负责人明确批准并提供清晰的应用内理由。

完成标准

能力实现、隐私说明、系统声明、拒绝路径和手动测试必须一起完成。只让正常授权路径可用，不算完成接入。