隐私政策
一分钟摘要
- 本应用没有账号体系，不需要注册、登录，也不收集你的姓名、手机号、身份证号；
- 文字识别全部在手机本机完成，任何图片都不会上传；
- 唯一的例外：你把结果发出去并且发送成功时，应用会把那一帧票面照片留在手机本机（应用私有目录）， 最长 48 小时，之后自动删除，你也能随时手动删除；
- 识别出的文字字段只发送到你自行部署、自行指定的通知服务 —— 那个服务由你部署和控制，不由本应用开发者运营；
- 本应用只申请「相机」与「网络」两项权限，不集成任何广告、统计、推送或崩溃收集组件。
一、个人信息处理者与本政策的适用范围
个人信息处理者：本应用的开发者（个人开发者，应用名「拍照记字」）。 联系方式见第十二节。
本政策适用于「拍照记字」安卓应用（下称「本应用」）本身，以及由本应用发起的网络传输。
不适用于：你自行部署的「通知服务」。该服务的部署、接收、留存、访问与再利用 由你（或其运营者）决定并负责；本应用开发者既不运营它，也无法查阅、复制、更正或删除其中已接收的数据。 如果你不是该服务的部署者，请向实际部署者主张权利。
二、名词说明
- 本机
- 指你运行本应用的那台安卓手机。
- 通知服务
- 由使用者自行部署、用于接收本应用识别结果并把它送出去的程序与服务端。本应用只按你填写的地址与凭据向它发送数据。
- 个人信息 / 敏感个人信息
- 依《中华人民共和国个人信息保护法》的定义。票面照片及其中的文字可能包含姓名、手机号、地址、订单或交易信息， 因此本应用不声称「只处理非敏感信息」，详见第四节。
- 去标识化代号
- 成员名单里每个成员用一个不可逆的加盐哈希串表示身份，名单中不含聊天账号等直接身份标识。
三、本应用如何收集与使用信息（按功能逐项）
1. 相机实时识别（全部在本机完成）
你打开识别界面后，相机画面只在手机本机内存中处理，用于得到文字结果； 不上传、不转发。除下列第 2 项的留档外，画面在处理完成后即释放，不落盘。
2. 订单留档（本机保存照片，最长 48 小时）
当一次发送成功时，本应用会把产生这次读数的那一帧整帧画面压缩成 JPEG （质量 85）保存到本应用的私有目录，并同时记录这次读数的字段。 目的是：万一事后对不上账，你能回看「当时到底拍的是什么」。
- 保存期限：最长 48 小时（自留档生成时起算），到期后由本应用自动删除；
- 你可以随时在留档页逐条删除，或一键清空全部；
- 留档存在应用私有目录，其他应用无法读取；安卓系统的应用备份若开启，可能随系统备份一并带走（见第八节）；
- 留档只在本机，永远不会上传（包括不上传给你自己部署的通知服务）。
3. 发送识别结果（只发往你自己部署的通知服务）
当你触发「发送」时，本应用会把识别出的字段通过加密连接（HTTPS）发送到 你自己配置的通知服务地址。发送内容仅限下列字段，不含图片、不含视频：
- 编号（楼栋）、房间号、标识字；
- 尾号、数据来源 —— 读不出来时不发送该字段（本应用不猜、不填假值）；
- 当你手动选定接收对象时，额外包含该对象的标识串及其归属标识；
- 每个请求还附带设备凭据标识与一次性时间戳、随机数与签名，用于服务端确认请求来自你这台已登记的设备。
你输入的检索词只在本机内存中比对名单，不会发送到通知服务。
4. 成员名单快照（下载到本机）
为了在本机完成「这条记录对应名单里的谁」的匹配，本应用会从你配置的通知服务 下载一份成员名单快照并保存在本机。快照内容为：房号、标识字、昵称与一个加盐哈希代号； 其中不含聊天账号等直接身份标识。该快照只保存在手机本机，直到你更新名单、清除配置或卸载本应用。
5. 设备凭据（保存在手机的安全硬件里）
本应用首次使用时会在手机的系统密钥库（Android Keystore）中生成一把 AES-GCM 密钥， 用来加密保存设备凭据（密钥本体不可导出）。这些凭据不是 IMEI、Android ID、MAC 地址等硬件标识， 也不能用于跨应用追踪你。
6. 本应用不会收集的信息
- 不上传、不保存到服务器任何图片或视频（本机留档见第 2 项，且只在本机）；
- 不读取通讯录、通话记录、短信、相册、剪贴板；
- 不获取地理位置；
- 不读取手机号、IMEI、Android ID、MAC 地址、应用列表等设备或身份标识；
- 没有账号体系，不收集姓名、身份证号、银行卡号；
- 不集成广告、统计、数据分析或崩溃收集 SDK，不做用户画像，不向任何第三方出售或共享数据。
四、关于票面照片与识别字段的特别说明
票面上可能有姓名、手机号、地址、房号、订单号、金额等信息。本应用按「所见即所得」处理这些文字： 识别结果只用于在你本机匹配名单、并按你的操作发送给你自己的服务。
- 处理这些信息的必要性来自功能本身：不读取票面文字，这个工具就没有用途；
- 本应用不做人脸识别、声纹、生物特征处理，也不主动采集身份证号、银行卡号；
- 若票面上恰好印有你或他人的敏感信息，它只会在本机被处理；发送时只发送上表列出的字段， 不会把整段原文或照片发出去；
- 请你自行判断是否适合把某张票面交给本应用处理；不要把你不希望留档的票面用于「发送成功」的流程 （留档只在本机、48 小时自动删除，也可立即手动删除）。
五、权限清单
以发布包的 AndroidManifest 与运行时行为为准，本应用只申请以下两项权限，且都在使用时才请求：
- 相机（
android.permission.CAMERA） - 用途：识别纸面文字。调用时机：你打开识别界面、相机启动时。必需性：必需； 拒绝后：无法识别，但留档浏览、手动补录、设置等功能仍可使用。
- 网络（
android.permission.INTERNET） - 用途：把识别结果发送到你自部署的通知服务、更新成员名单快照。 必需性：仅在使用发送/更新名单时必需；拒绝或断网时，识别与手动检索仍可在本机使用。
本应用不申请、也不调用：定位、麦克风、通讯录、电话、短信、日历、身体活动、无障碍、 后台自启动、读取应用列表，以及读取设备唯一标识等与本功能无关的权限或能力。
六、第三方 SDK 与组件
经对该版本安装包的依赖清单、清单文件、初始化代码、网络请求与运行行为核验： 本应用未集成任何第三方广告、统计、推送、登录、支付、地图、崩溃收集或其他会独立收集个人信息的 SDK， 因此没有第三方 SDK 的名称、包名、版本与规则链接可列。
本应用使用的本地组件（不含独立的数据收集行为，仅在你的手机上运行）：
- 安卓官方支持库与界面组件（AndroidX、Material Components、ConstraintLayout、RecyclerView）；
- 安卓官方相机库（CameraX）与图像元数据读取组件（AndroidX ExifInterface）；
- 本地二维码解析库（ZXing core）—— 仅用于在你扫码取工作令牌时在本机解析二维码；
- 文字识别模型（随安装包内置，在本机推理，不联网、不上传）。
这些组件均随安装包分发、在本机运行，不向各自运营者传输任何信息。
七、信息的共享、转让与公开披露
- 本应用不向任何第三方出售、出租或共享你的信息；
- 唯一的对外传输对象是你自己配置的通知服务地址，传输内容限于第三节第 3 项列出的字段；
- 本应用不含广告、不含统计上报，也就不存在为广告或画像而共享的情形；
- 除依法配合有权机关的要求外，本应用开发者不会向任何第三方提供你的信息；且开发者手上没有你的票面照片与识别结果。
八、信息的存储地点与保存期限
- 相机画面：本机内存，处理完即释放，不留存；
- 留档照片与留档索引：本机应用私有目录，最长 48 小时后自动删除，可随时手动删除；
- 成员名单快照：本机应用私有目录，直到你更新名单、清除配置或卸载应用；
- 设备凭据、服务地址与令牌：本机应用私有目录（凭据经系统密钥库加密），直到你清除配置或卸载应用；
- 发送出去的字段：本应用发送后不在本机另行留存业务副本；到达通知服务之后的保存期限与删除方式， 由该服务的部署者决定，本应用开发者无法控制。
关于存储地点：本应用开发者不运营任何服务器，也不接收、不留存你的数据。 数据实际存放在你自行部署的通知服务所在的位置 —— 可能是你自己的电脑，也可能是你购买的云主机。 请你自行确认该服务部署在何处；如果你把它部署在境外，或经由第三方组网/中转工具连接， 相关数据可能被传输至境外，请自行评估并按适用规定处理。
关于系统备份：若你的手机开启了系统级应用备份，本应用的私有数据（可能包含留档照片） 可能随系统备份被复制到你的云备份空间。这是安卓系统行为，可在系统设置中关闭。
九、本应用如何保护信息安全
- 本机数据存放在应用私有目录，其他应用无法直接读取；
- 与通知服务之间的通信使用 HTTPS，并校验服务器证书；
- 设备凭据由系统密钥库中的不可导出密钥加密保护；
- 成员名单快照中不含聊天账号等直接身份标识；
- 留档自动过期清理，并会清理「照片写了、索引没写成」的残留文件。
十、你的权利与行使方式
在法律规定范围内，你有权查阅、复制、更正、补充、删除你的个人信息， 撤回同意，并要求本应用开发者解释处理规则。行使方式：
- 删除留档照片与识别记录
- 在留档页逐条删除，或「清空」全部；也可等 48 小时自动过期。
- 删除成员名单快照
- 卸载本应用即可删除本机保存的名单快照；也可以用「更新名单」拉取你自己服务端的最新名单， 把它整体覆盖掉。
- 停止后续发送
- 本应用只在你点「发送」时才对外发送。卸载本应用会清除本机保存的服务端地址与凭据， 之后它不会再向任何地址发送任何内容；撤回不影响撤回前已经完成的发送。
- 撤回相机权限
- 在系统设置中撤销后，本应用无法再进行识别；其余本机功能不受影响。
- 删除全部本机数据
- 卸载本应用即可清除应用私有目录中的全部数据。
- 本应用不设账号
- 因此不存在账号注册、登录或注销事项，也不需要「注销账号」这一步骤。
- 向开发者提出请求
- 可通过第十二节的联系方式提出查阅、复制、更正、删除、解释规则或投诉。 开发者手上没有你的票面照片与识别结果，能处理的是本应用自身的行为与规则；对通知服务已接收的数据， 请向该服务的实际部署者提出。
收到请求后，开发者会在核实请求与必要的设备控制权后及时处理；需要人工处理的， 承诺在 15 个工作日内答复；确实无法满足的，会说明理由。
十一、未成年人
本应用是面向成年使用者的个人自用工具，不面向未成年人提供服务，也不收集年龄信息。 若未成年人确需使用，请在监护人知情并同意后使用，并由监护人负责其票面信息的处理。
十二、本政策的更新与联系方式
政策更新：当处理目的、信息种类、保存期限、对外提供对象或方式发生变化时， 我们会更新本政策，修改页首的「更新日期」，并在本页公布；重大变更会在应用内以显著方式提示。 历史版本可按日期向开发者索取。
联系方式：本应用不设账号、不设客服电话。个人信息保护相关的请求、投诉与举报， 请在应用内打开「设置 → 联系开发者」查看联系邮箱后来信。 本页不直接展示该邮箱，以免被自动化程序采集。