云祭 APP 隐私政策

本政策旨在向您清晰说明时代华钠（山东）科技有限公司（下称"我方"）收集、使用、存储、共享您个人信息的全部规则，我方始终遵循合法、正当、必要、最小必要收集原则，不会超范围收集、滥用个人信息。您注册、登录前需同时阅读并同意《隐私政策》与《用户服务协议》，两份文件具备同等法律效力；若您不同意任一文件，则无法注册及使用本应用。

一、我们收集的信息、用途及存储位置

（一）注册登录必要信息

• 云祭号（用户名）与密码：云祭号是您在本应用内的核心身份标识，注册登录合一；密码仅以 SHA-256 不可逆哈希方式存储于云端，不会以明文或可解密形式保留；本地登录凭据采用 Android EncryptedSharedPreferences（AES-256 加密）保存，防止本地凭据被非法读取；
• 手机号：用于手机号验证码登录/注册、账号安全找回、异常风控提醒、业务通知推送；账号数据加密存储于我方云端服务器；
• 微信授权信息（头像、昵称、OpenID）：仅用于快捷登录与账号绑定，不会获取微信隐私数据；您可随时在账号设置撤回、解绑微信授权。

（二）实名认证敏感信息（按需授权，非必填）

• 收集内容：姓名、身份证号码；
• 使用目的：身份真实性核验、公开内容发布风控、侵权纠纷申诉、账号权属判定；
• 存储规则：敏感信息加密云端存储，不会出售、出租、未经许可共享给无关第三方；您拒绝提供仅无法使用实名相关功能，基础免费祭扫不受限制；
• 账号注销完成后 15 个工作日内，我方对实名信息完成脱敏删除处理（身份证号码仅保留 SHA-256 哈希用于核验比对，注销后彻底删除哈希值）。

实名认证属于敏感个人信息处理，您提交实名信息时将单独弹窗获取您明示同意，不同意仅无法使用实名相关功能，基础线上缅怀功能不受限制。

（三）设备基础信息与运行日志

为保障应用正常运行与问题排查，我方在与服务器通信过程中会附带传输设备型号、操作系统版本、APP 版本号等基础设备参数，用于兼容性适配与服务端响应优化；当应用发生异常崩溃时，客户端可生成崩溃日志用于技术问题定位与修复。我方郑重声明：本应用未集成任何第三方统计分析 SDK（如友盟、Firebase 等），不会采集、追踪设备唯一标识符（如 IMEI、Android ID、MAC 地址），不会记录用户操作行为日志用于行为分析或商业画像，不会将设备信息用于广告推送或用户画像构建。我方坚持数据最小化原则，仅收集技术服务必要的基础信息。

（四）用户自行创作内容（区分云端存储/本地存储）

• 云端同步内容：账号资料、订单记录、支付流水、库存数据、已同步家谱配置、会员订阅状态，上传服务器加密存储；
• 纯本地内容：未同步场景配置、寄语、祭拜记录、本地家谱数据、纪念墙照片与故事、年报统计数据、语音祈福录音文件、TTS 语音配置、自定义上传供品素材，仅保存在您手机本地 Room 数据库与文件存储，不上传我方服务器，卸载 APP、清除数据即丢失，我方无法主动读取该类本地私有数据。

（五）敏感词与内容风控校验

为维护平台内容合规与文明网络祭扫秩序，您在云祭号输入、生平传记撰写、寄语发布、纪念墙图文编辑、自定义供品素材命名等环节触发时，我方会通过客户端内置敏感词规则库与服务端规则库进行双重校验。校验范围包含违法违规、侮辱英烈、歧视仇恨、淫秽色情、暴力恐怖、邪教迷信、诈骗营销、引流外链等违规词；校验仅判断文本内容是否命中规则，不会上传您的完整原始内容至服务端用于画像或商业分析。详细风控机制见《文明网络祭扫自律规范》。

（六）系统权限申请（动态按需申请，不会一次性批量索要）

• 图片读取权限（READ_MEDIA_IMAGES / READ_EXTERNAL_STORAGE）：用于选择相册图片创建纪念馆、上传自定义供品素材、导出备份数据；仅读取您主动选择的图片，不会扫描或读取设备其他无关文件；
• 音频读取权限（READ_MEDIA_AUDIO）：用于 TTS 语音朗读功能选择本地音频文件；仅读取您主动选择的音频，不会扫描设备全部音频库；
• 视频读取权限（READ_MEDIA_VIDEO）：用于选择本地视频文件作为纪念墙素材；仅读取您主动选择的视频，不会扫描设备全部视频库；
• 录音权限（RECORD_AUDIO）：用于语音消息录制、语音祈福功能；
• 通知权限（POST_NOTIFICATIONS）：用于推送祭日提醒、诞辰纪念等日历提醒通知；
• 震动权限（VIBRATE）：用于提醒通知伴随震动提示；
• 前台保持运行权限（WAKE_LOCK）：用于 TTS 语音朗读时保持屏幕关闭状态下持续运行，避免朗读中断；
• 祭日提醒恢复机制：本应用不会在设备重启时自行启动，不会在后台静默自启或关联启动其他应用；祭日提醒闹钟仅在您主动打开应用时自动恢复注册，确保提醒不遗漏；提醒采用系统非精确闹钟调度，低耗电、无需额外系统权限，送达时间可能存在分钟级系统调度误差；
• 网络状态权限（ACCESS_NETWORK_STATE / ACCESS_WIFI_STATE）：用于检测网络连接状态，仅在发送网络请求前检查网络可用性，不会在后台持续监听网络变化；
• 网络权限（INTERNET）：用于与服务端 API 通信、数据同步、应用版本更新检测；
• 安装权限（REQUEST_INSTALL_PACKAGES）：用于应用内版本更新安装新版 APK；您可以拒绝该权限，拒绝后仅无法使用 APP 内更新功能，仍可通过应用商店正常更新版本；
• 存储写入权限（WRITE_EXTERNAL_STORAGE）：仅用于 Android 9 及以下系统版本保存导出数据文件；
• 粗略定位权限（ACCESS_COARSE_LOCATION）：可选授权，仅用于桌面天气小组件自动识别您所在城市并显示当地天气（不开启时可在小组件设置中手动输入城市）；我方仅获取城市级位置信息用于天气查询，不存储、不上传位置轨迹，您可随时在小组件设置中关闭自动定位或删除城市；
• 您可随时在手机系统设置关闭对应权限，关闭后相关功能无法使用，基础浏览与本地祭扫不受影响。

（七）个人信息存储期限

依据《个人信息保护法》第十七条，我方现将各类个人信息的保存期限告知如下：

• 账号身份信息（云祭号、手机号、微信绑定关系、账号资料等）：保存至账号存续期结束，即您注销账号之日止，注销后按注销条款删除；
• 实名认证敏感信息（姓名、身份证号码哈希）：保存至账号注销之日止，注销后 15 个工作日内完成脱敏删除处理；
• 订单与交易信息（订单记录、支付流水等）：自交易完成之日起依法留存 5 年（满足财税、消费者权益保护等合规要求），到期后自动删除或匿名化处理；
• 您主动创建的内容（云祭记录、寄语、生平传记、纪念墙素材等）：保存至您主动删除或账号注销之日止；
• 设备基础信息与运行日志：仅用于技术服务与问题排查，保留时间不超过 30 天，到期自动删除；
• 法律法规另有强制性保存期限要求的，从其规定。

（八）桌面小组件信息（可选功能）

桌面小组件为本应用的可选辅助功能，由您在系统桌面手动添加，用于快捷查看时间与天气。小组件相关数据处理规则如下：

• 时钟、日期、农历、节日/纪念日、七日日历：全部由 APP 在本地依据系统时间、本地数据库与本地农历算法计算后展示于您的桌面，不传输、不上传任何个人信息，卸载小组件即停止展示；
• 天气信息：仅当您启用天气显示时才联网获取。客户端仅向本应用服务器传输您手动设置或自动定位得到的城市名（城市级位置，不含精确坐标），由我方服务器调用第三方天气服务商获取天气数据后回传展示；不传输您的手机号、账号等身份信息，天气缓存仅保存于您手机本地；您可随时在小组件设置中删除城市、关闭自动定位或移除小组件以停止该信息处理；
• 自动定位频率：仅在您点击小组件天气块触发“自动更新城市”时按需定位（设有 10 分钟节流），不会在后台持续监听位置，定位结果仅用于天气城市识别。

二、个人信息共享、转让、公开披露规则

1. 我方不会向无关第三方出售、交易、出租您的任何个人信息；
2. 仅在以下合规场景有限必要共享：
   • 微信登录：向腾讯传输必要授权信息，遵循微信开放平台隐私规则；
   • 支付场景：向微信支付、支付宝传递订单必要信息，完成收付款履约；
   • 司法机关、行政主管部门依法出具法定文书调取，我方仅在法律要求范围内提供与调取事由相关的对应信息，不做无边界提供。
3. 未经您单独明示同意，不会对外公开您的个人身份信息。

三、您享有的个人信息主体权利

• 查阅、更正：在个人账号中心查看、修改本人基础资料；
• 删除、注销：可主动申请账号注销，清理云端全部个人数据；本地数据由您自行删除；
• 撤回授权：解绑微信登录、关闭系统权限、主动取消实名认证；
• 投诉异议：可通过公示客服渠道提交隐私相关疑问、投诉，我方将限时处理回复。

四、账号注销规则与流程

根据《个人信息保护法》第 47 条，您有权依法注销您的账号并要求删除个人信息。我方提供以下账号注销方式，确保您可便捷、完整地行使注销权：

（一）注销方式

• APP 内注销：进入「我的」→「账号注销」，按页面指引完成注销申请；
• 客服电话注销：拨打客服电话（请通过 APP「我的」→「关于应用」页面查看公示联系方式），向客服人员提出注销申请；
• 邮箱注销：发送注销申请邮件至 sdhnyunji@163.com，邮件内容需包含您的注册手机号或云祭号，并注明"申请账号注销"；
• 在线注销：访问官方网站 https://www.shidai-huana.cn ，通过在线客服渠道提交注销申请。

（二）注销流程与时间节点

1. 提交注销申请后，账号立即进入 7 天冷静期；
2. 冷静期内，您可随时登录账号取消注销申请，恢复正常使用；冷静期内，账号对外公开的纪念馆、生平传记、纪念墙等展示内容将做隐藏处理，仅您本人登录可见，取消注销后自动恢复展示；
3. 冷静期结束后（第 8 天起），我方将启动账号及关联数据的永久删除流程；
4. 注销完成后 15 个工作日内，我方完成以下数据处理：
   • 删除云端存储的全部个人信息（账号资料、订单记录、支付流水、家谱配置、实名认证信息等）；
   • 对实名认证等敏感信息进行脱敏删除处理（身份证号码仅存储 SHA-256 哈希，注销后彻底删除哈希值）；
   • 解除微信 OpenID 绑定关系、手机号绑定关系；
   • 本地存储数据（祭拜记录、寄语、生平传记、TTS 配置等）由您在注销前自行清理，或随 APP 卸载自动清除，我方无法远程获取该类本地私有数据。

（三）注销注意事项

• 注销前请确保已处理完毕所有未完成的订单、退款请求；
• 注销前请自行导出或备份您需要保留的本地数据（祭拜记录、寄语、生平传记内容等），注销后该类数据不可恢复；
• 账号注销为不可逆操作，冷静期结束后无法恢复任何已删除数据；
• 注销完成后，原账号手机号、微信授权信息将永久解除绑定，同一手机号/微信可重新注册新账号，但新账号不继承原账号任何数据。

五、数据安全保护措施

我方采取以下技术手段保护您的数据安全：

• 传输加密：客户端与服务端之间全部通信采用 HTTPS 加密传输，应用网络安全配置（network_security_config）强制要求 TLS 连接，拒绝明文 HTTP 请求；
• 本地加密存储：用户登录 Token 采用 Android EncryptedSharedPreferences（AES-256 加密）存储，防止本地凭据被非法读取；
• 密码保护：用户密码仅存储 SHA-256 不可逆哈希值，服务端与客户端均不保留密码原文；
• 实名信息脱敏：身份证号码仅存储 SHA-256 哈希用于核验比对，不可逆向还原为原始号码，账号注销后 15 个工作日内完成实名信息脱敏删除；
• 服务端安全：JWT 密钥、数据库密码、会话密钥等核心配置无硬编码默认值，微信/支付宝支付密钥仅存于服务端，客户端不保留任何支付密钥；
• 日志安全：生产环境 OkHttp 日志级别设置为 NONE，不记录请求体与认证 Token，防止敏感信息泄露；
• 数据隔离：手机本地数据受 Android 操作系统沙箱隔离保护，我方无法远程获取您未主动同步的本地私有内容；
• 无第三方数据共享：本应用未集成任何第三方统计分析、广告追踪、推送 SDK，不存在通过第三方 SDK 间接共享用户数据的情况。

任何存储方式均无法做到绝对安全，建议您自行定期备份重要个人内容，妥善保管账号登录信息。

六、未成年人个人信息保护

我方非常重视未成年人个人信息保护，明确以下规则：

• 注册限制：未满 18 周岁用户须在监护人陪同阅读并同意本政策及《用户服务协议》后方可使用，未成年人不得独立进行付费购买虚拟祭品操作；
• 发现未成年人注册的处置：如我方发现存在未经监护人同意注册的未成年人账号，将立即限制该账号付费能力并停止对应服务，同时通过站内信、短信等途径联系监护人核实处理；
• 监护人权利：监护人可通过本章公示的联系方式（电话、邮箱、联系地址）行使对未成年人个人信息的查阅、更正、删除权利，或申请撤销未成年人账号；
• 处理时效：监护人提交完整权属证明材料后，我方将在 7 个工作日内完成核查处置并反馈结果。

七、第三方 SDK 信息公示

根据监管要求，现将本应用接入的第三方 SDK 及其涉及个人信息情况公示如下：

• 微信 Open SDK（版本 6.8.0，提供方：腾讯）：用于微信授权登录与微信支付功能；收集信息：设备型号、操作系统版本、微信 OpenID、微信昵称、微信头像 URL；用途：账号快捷登录绑定、支付订单履约；数据仅在您主动发起微信登录或微信支付时传输至腾讯，遵循微信开放平台隐私规则；
• 支付宝 SDK（版本 15.8.17，提供方：支付宝（中国）网络技术有限公司）：用于支付宝支付功能；收集信息：订单编号、订单金额、设备基础标识等支付风控必要信息；用途：完成增值服务购买支付履约、保障支付资金安全；数据仅在您主动选择支付宝支付时传输至支付宝，您可查阅支付宝官方隐私政策：https://opendocs.alipay.com/common/09e78k。
• sherpa-onnx 离线语音引擎（版本 1.13.3，提供方：k2-fsa）：用于本地 TTS 语音朗读功能；运行方式：纯本地离线运算，不联网、不上传任何数据，无需网络即可运行。
• 心知天气（第三方天气服务）（服务商：上海心知科技有限公司）：仅用于桌面天气小组件展示实时天气。传输机制：我方服务器在您启用天气显示后，携带城市名（可由您手动输入或按需粗略定位获得）向天气服务商请求天气数据，回传后由我方服务器转发至客户端展示；客户端不与天气服务商直连。您不提供、不识别手机号等个人身份信息。服务商隐私政策：https://www.seniverse.com/privacy。

我方郑重声明：除上述 SDK 外，本应用未接入任何第三方统计分析 SDK（如友盟、Firebase Analytics 等）、推送 SDK（如极光推送等）、广告 SDK，不存在通过第三方 SDK 间接收集用户行为数据的情况。

SDK 责任边界：上述第三方 SDK 仅在您主动触发对应功能（点击微信登录、选择微信/支付宝支付、发起语音朗读）时才被调用并传输必要信息，不会在应用后台静默启动、静默收集个人信息；sherpa-onnx 离线语音引擎为纯本地离线运算，全程不联网、不上传任何数据。

八、Cookie 说明、政策更新、联系我们与服务终止

Cookie 与本地存储说明：您通过浏览器或 APP 内 WebView 访问本政策网页时，网站可能使用必要的 Cookie 或本地存储（localStorage）记录会话状态，以保障页面正常加载与功能可用；我方不会通过 Cookie 收集您的身份识别信息，不投放第三方广告 Cookie；您可在浏览器设置中随时清除 Cookie 或选择无痕模式访问。

政策更新：我方修改本隐私政策后，将通过 APP 内公告、弹窗形式告知；您继续使用应用即视为接受新版本。

联系我们：隐私咨询、异议申诉可通过以下渠道联系我们：运营主体：时代华钠（山东）科技有限公司；联系地址：山东省东营市东营区太行山路25号；客服邮箱：sdhnyunji@163.com；联系电话：0546-7779321。隐私相关咨询、异议、投诉提交后，我方将在 7 个工作日内完成核查并向您反馈处理结果。

服务终止：如我方停止运营本应用或停止提供服务，将提前 30 日通过 APP 公告、站内信、短信等途径发布停运通知，并告知您行使个人信息导出、删除等权利；停运后，我方将依据相关法律法规对保存的个人信息进行删除或匿名化处理，法律法规另有规定必须保留的除外。

运营主体：时代华钠（山东）科技有限公司
鲁ICP备2026014553号-2A 工信部备案查询
鲁公网安备37050202371595号