「企业AI操作系统」移动应用隐私政策

一、先说清楚:你的数据在谁手里

本应用采用私有化部署:每家企业客户使用自己的服务器与数据库。你的业务记录存储在你所在企业自己的服务器上,不汇总到我们这里,也不在企业之间共享。启用系统推送时，必要的通知内容和标识还会由对应推送服务处理，见第七节。

因此在法律关系上:你所在的企业是个人信息的处理者,决定收集哪些信息、如何使用、保存多久;上海晨启新创科技有限公司(以下简称「我们」)是软件与技术服务的提供方,按企业的委托提供产品,不主动访问企业的业务数据。

这也意味着:关于你个人数据的具体问题(比如某条记录为什么在、能否删除),最终由你所在企业的管理员答复;我们负责的是软件本身的安全与合规。

二、我们收集哪些信息

本应用只收集为实现功能所必需的信息。逐项如下:

• 手机号 —— 用于登录。这是账号的唯一标识。
• 姓名、员工工号、所属部门 —— 由你所在企业在开通账号时录入,用于在系统内标识你的身份、显示消息署名、匹配审批流程。
• 服务器地址 —— 你在登录页输入的企业服务器域名。仅保存在本机,用于下次自动填写。
• 位置信息(精确) —— 仅在你所在企业启用了「工作时段位置追踪」且你本人打了上班卡之后才会采集,打下班卡即停止。详见第三节。
• 照片与相机内容 —— 仅在你主动选择拍照或从相册选取时,上传你选中的那张图片(例如在对话中发送图片、上传报销凭证)。本应用不会在后台读取你的相册。
• 语音 —— 仅在你按住语音按钮时录音,用于转成文字。详见第四节。
• 设备与运行信息 —— 操作系统版本、设备型号、应用版本、系统内核版本。用于判断兼容性与排查故障(例如内核过旧时给出提示)。
• 通知令牌 —— 用于向你推送待办、审批、消息提醒。

三、关于位置信息的特别说明

位置采集是本应用中最敏感的一项,所以单独说明:

• 何时开始、何时停止:仅在「打上班卡」到「打下班卡」之间采集。未打卡时不采集,下班后不采集,休息日不采集。
• 你一定会知道自己正在被定位:采集期间,安卓端会有一条常驻通知停留在通知栏,iOS 端状态栏会显示定位指示。这是刻意的设计 —— 被定位这件事必须看得见。
• 是否必需:不是。拒绝位置权限不影响你打卡、审批、对话或使用任何其他功能,只会使工作轨迹为空。
• 如何关闭:随时在系统设置中撤销本应用的位置权限,或直接打下班卡。
• 用途:仅用于生成你所在企业的考勤与外勤记录。不用于画像、不用于广告、不与位置数据服务商共享。

四、关于麦克风的特别说明

手机原生听写调用操作系统语音识别服务，音频可能由系统选定的识别服务商处理，是否离线取决于设备与系统设置。本应用取得转写文字；请同时阅读系统语音服务的隐私说明。

若企业另行启用服务器语音转写，用户主动录制的音频会经企业服务器发送到企业配置的语音服务商用于转写；音频不用于广告。内置助理在企业已配置转写模型且设备支持录音时会使用服务器转写，否则使用可用的系统听写。转写文字与手动输入文字一样提交给企业业务服务。

本应用不会在你未按下语音按钮时录音。

五、信息存储在哪里、保存多久

全部业务数据存储在你所在企业指定的服务器上(通常位于中国境内,具体位置由企业决定)。传输过程使用 HTTPS 加密;本应用拒绝任何明文 HTTP 连接。

保存期限由你所在企业的数据管理制度决定。你离职后,账号会被停用而非删除 —— 这是为了保留审批、合同、财务等业务记录的完整性,属于企业经营所必需。

本机保存服务器地址、手机号、记住的密码、登录凭证、多账号列表、政策同意记录及推送绑定标识，用于登录、换号和设备消息。新版安卓使用 Android Keystore 管理的密钥和 AES-GCM 加密密码及登录信息，密钥不导出；禁止备份及设备迁移恢复这些内容。旧数据成功加密并回读后才删除明文，失败会提示。退出登录终止当前会话但仍保留记住的密码；在登录页选择“清除本机登录信息”可解绑当前设备并删除保存的账号、密码和令牌，保留服务器设置及政策同意记录。密钥失效需清除本机登录信息后重新登录，不回退明文。

六、我们不做的事

以下承诺适用于本应用的全部版本:

• 不出售、不出租、不以任何形式交易你的个人信息。
• 不将你的信息用于广告投放或商业推广。
• 不做跨应用追踪,不采集广告标识符(IDFA / OAID 等)。
• 不集成独立广告或营销分析 SDK；推送 SDK 为保障服务运行所需的统计见第七节。
• 不在你未授权的情况下读取通讯录、短信、通话记录、相册或剪贴板。

七、第三方组件清单

本应用使用以下组件访问设备能力。推送会经过对应厂商的服务，不能将其理解为全部数据处理都在本机。安卓仅接华为、小米、OPPO、vivo、荣耀五品牌；同意本版政策且允许通知、完成登录与应用配置后，只初始化当前品牌推送。拒绝系统通知不影响登录、站内消息或审批。业务通知只含必要的提醒和原单定位标识，不含完整报销正文、发票或审批意见。可在系统设置关闭通知，退出或切换身份会发起设备解绑；断网时解绑结果可能未知，已被平台接收的消息不能保证撤回。

• Capacitor(应用容器与设备能力桥接)
• Capacitor Geolocation（位置；安卓包含 Google Play services Location，由 Google LLC 提供，仅在调用定位且设备支持对应服务时使用，处理位置信息，详见Google隐私政策。工作轨迹使用安卓系统定位）
• Capacitor Preferences(本机偏好存储)
• Capacitor Push Notifications（仅现有非安卓实现；安卓不包含 FCM/Firebase）
• 小米推送SDK 7.12.4（北京小米移动软件有限公司）—— 用于待办及审批结果通知，处理推送标识、应用/设备信息、通知内容和送达/点击记录。通知不含完整报销正文、发票或审批意见。处理范围及保存规则见小米推送隐私政策。可在系统设置关闭通知，退出或切换账号时本应用注销当前设备绑定。
• 华为HMS Push SDK 6.13.0.301（华为）—— 用于系统消息提醒，处理AAID、推送token、通知数据，按启用功能处理令牌申请与送达记录；不启用Analytics Kit或华为账号核验。详见华为Push Kit隐私声明。
• 荣耀推送SDK 10.0.31.302（深圳荣耀软件技术有限公司）—— 用于系统消息提醒，处理AAID、PushToken、APPID及应用包名。详见荣耀SDK隐私声明。
• OPPO PUSH SDK 3.7.1（广东欢太科技有限公司）—— 用于消息推送，处理应用/MCS包名、应用与SDK版本、RegisterID及应用凭据。详见OPPO PUSH个人信息保护政策。客户端凭据与服务端MasterSecret分开。
• vivo推送SDK 4.1.7.0_517（维沃移动通信有限公司及其关联公司）—— 用于消息推送及接口成功率统计，处理regid、AppId/AppKey、应用与SDK版本、设备类型和系统类型/版本。详见vivo推送SDK隐私政策。
• Capacitor Camera / 系统文件选择器(拍照与图片上传)
• Capacitor Speech Recognition(调用系统语音识别)

八、你的权利

你可以在应用内「个人设置」中查看和更正自己的资料、更换头像、修改密码。

查询、更正、删除个人信息,以及注销账号:由于账号由你所在企业开设、数据也由企业掌管,这些请求需要通过你所在企业的管理员或人事部门发起,由其按企业流程处理。我们无权代为删除企业服务器上的数据。

如果你认为你所在企业未能妥善处理你的请求,或对本应用本身的数据处理方式有疑问,可以直接联系我们(见第十一节)。

九、未成年人

本应用是面向在职员工的办公工具,不面向未成年人提供服务。我们不会主动收集未成年人的个人信息。

十、政策更新

本政策发生实质性变更时,我们会更新本页顶部的生效日期,并在应用内显著提示。涉及新增信息收集类型的变更,会在你同意之后才生效。

十一、联系我们

对本政策有任何疑问、意见或投诉,请联系:上海晨启新创科技有限公司。反馈邮箱：sales@sixamtech.ai。我们会在收到后十五个工作日内答复。