Doodle 的隐私与数据说明——无广告无统计的技术依据

结论先行

Doodle 的隐私立场可以一句话概括：无广告、无统计埋点、数据不出设备。这不是口头承诺——它由三个可验证的技术事实支撑。

三个可验证的事实

1. 没有网络权限

应用不申请网络访问权限。安卓权限模型下，无网络权限 = 物理上无法联网 = 不存在「偷偷上传」的可能。这比「隐私政策保证不上传」强一个等级：前者是系统级约束，后者只是意愿声明。

2. 权限清单极短

全部权限只有设置壁纸与控制振动两项（见权限说明），没有存储、位置、通讯录等任何敏感权限——它想收集也无从收集。

3. 开源可审计

GPL-3.0 全量开源，渲染、存储、交互的全部代码可被任何人检查；F-Droid 渠道还提供从源码到安装包的独立构建验证。统计 SDK 若存在，根本藏不住——而仓库里没有。

官方隐私政策

项目随应用提供了隐私政策页面（关于页内可查看，说明数据如何处理），内容与其技术事实一致：不收集、不共享用户数据。应用内的「关于」区还提供反馈邮件与 GitHub 入口，任何隐私疑虑可以直接向开发者提问，渠道见参与翻译与反馈。

壁纸引擎本身「看得到什么」

坦诚说明动态壁纸的天然边界：壁纸引擎运行在系统渲染层，理论上能感知桌面翻页等系统事件。但「感知事件」与「外传数据」是两回事——没有网络权限，任何感知都只存在于本机内存里，随进程结束消失。这正是开源动态壁纸比闭源同类更让安心的地方：边界全部摆在明面上。

给重视隐私的用户的建议

• 从 Play、F-Droid 或 GitHub 发布页等官方渠道获取安装包，避免第三方改包（改包可能引入闭源未知的额外行为）；
• 渠道对比与签名注意事项见安装渠道怎么选；
• 关注项目发布页的更新公告，安全修复随版本发布，见版本历史。

一个题外对照

「动态壁纸应用会耗电/偷跑流量」是常见顾虑。Doodle 的耗电模型已在省电原理拆解过——按需渲染、无 3D 引擎；而「偷跑流量」在无网络权限的前提下不成立。这类应用层面的确定性，正是挑壁纸应用时优先看开源与权限清单的理由。