职星记隐私政策

职星记（以下简称"本应用"）深知个人信息对你的重要性，并会尽全力保护你的个人信息安全。本政策将说明我们如何收集、使用、存储和保护你的个人信息，以及你享有的权利。

一、我们收集的信息

1. 你主动提供的信息

• 账号信息：注册或登录时使用的手机号 / 邮箱、密码（密码以加盐哈希形式存储，我们无法还原明文）；
• 加班记录：加班日期、起止时间、加班类型、备注、标签、通知人、通知内容；
• 凭证文件：你拍摄或从相册选择的照片、截图、录音、录屏、视频，以及你填写的相关信息；
• 反馈信息：你提交意见反馈时填写的联系方式与反馈内容。

2. 使用功能时自动获取的信息

• 位置信息：仅在为凭证照片添加"拍摄地点"水印时获取一次定位，用于写入水印。定位结果默认只保存在本机的凭证元数据中。位置精度取决于当时的信号环境。
• 设备信息：设备指纹（由随机标识经过哈希生成，用于云端存证时区分不同设备，不包含硬件序列号等可直接识别你身份的信息）。
• 终端属性：手机机型、厂商、操作系统名称与版本号、本应用的版本号。这些信息用于我们按机型与系统版本定位兼容性问题、改进适配，不包含你的设备名称、IMEI、手机号等可识别你个人身份的信息。
• 运行诊断信息：当本应用发生异常或崩溃时，我们会记录异常类型、异常描述与程序出错位置（堆栈信息），以及崩溃前你最近一次操作的名称。这些信息仅用于定位和修复缺陷，不包含你的加班记录、凭证文件内容、工资数据、聊天内容等业务数据。
• 性能信息：页面渲染耗时、启动耗时、帧率与掉帧次数、本应用运行时的内存占用。这些信息用于定位卡顿与内存占用问题、改进不同机型上的流畅度，不包含你的加班记录、凭证文件内容、工资数据、聊天内容等业务数据。
• 照片拍摄时间：读取照片文件自带的 EXIF 拍摄时间，用于智能匹配加班时段。

3. 权限使用说明

• 相机：拍摄加班凭证照片、扫描邀请二维码；
• 相册 / 存储：选择已有照片作为凭证、导出凭证文件包与凭证报告；
• 定位：为凭证水印写入拍摄地点（可拒绝。拒绝后水印不显示地址，其他功能不受影响）；
• 麦克风：录制语音凭证、语音输入；
• 通知：发送加班结束提醒、凭证补齐提醒；
• 生物识别：用于解锁本应用内的敏感数据（生物特征信息由系统保管，我们无法获取）。

以上权限均在你使用对应功能时才会申请，你可以随时在系统设置中关闭。

4. 使用统计与运行诊断（用于改进产品）

为了解哪些功能被使用、哪些环节容易流失，我们会统计页面访问次数、功能使用次数、单次使用时长、功能开关的开启情况，以及上文所述的设备指纹、终端属性、运行诊断信息与性能信息，并将这些数据上报到我们自建的统计服务（不使用第三方统计 SDK）。

• 不包含：你的加班记录内容、凭证文件与照片内容、工资数据、搜索词、AI 对话内容；
• 用途：仅用于产品改进与缺陷定位，不用于向你推送广告，也不与第三方共享；
• 身份标识：用于区分不同设备的标识。能取到系统设备标识时，我们只上报它的哈希值（经加盐单向计算，无法反推原文，也不含硬件序列号、手机号、IMEI 等可直接识别你身份的信息）；取不到时使用本机生成的随机标识。该标识只用于统计去重，不与第三方共享。
• 性能信息只上报汇总后的统计值（例如某段时间内的帧率、内存占用），采集频率很低；只有数值出现明显变化时才会真正上报，不会持续占用你的设备资源，也不包含你的任何业务数据。
• 会员订阅状态：你所处的会员档位（免费 / Pro / Max）、订阅周期与到期时间、本月已使用的免费额度次数。用于统计会员规模、判断续费情况与优化订阅体验；**不包含你的支付账号、银行卡号等支付信息**。
• 你可以随时关闭：在「我的 → 通用设置」中关闭「使用统计与崩溃诊断」即可，关闭后我们立即停止上报此类数据。该开关不影响你正常使用本应用的任何功能。

二、信息的存储

1. 本地存储：除下文明确说明的云端功能外，你的加班记录、工资数据、凭证文件均仅保存在你的手机本地，我们不会上传、不会收集。2. 云端存储：仅在你主动使用「云端存证」「云备份」功能时，才会将相应数据上传至云端（详见第三条）。

三、关于「云端存证」与「云备份」的重要说明

【云端存证：不上传原图】云端存证采用"零知识存证"方式。使用该功能时，上传到云端的内容仅为：

• 凭证文件的 SHA-256 哈希值（一段由文件内容计算得出的固定长度字符串，无法反推出文件内容）；
• 存证时间戳；
• 脱敏元数据（城市、文件类型、设备指纹的加盐哈希）。

凭证照片、录音、视频的原始文件与文件内容始终保存在你的手机本地，不会上传到云端。通过哈希值可以验证"文件是否被改动过"，但任何人（包括我们）都无法从哈希值还原出文件内容。

【云备份：需要你主动开启】若你主动使用云备份功能，备份内容会根据你选择的备份范围上传（含凭证文件）。备份数据与你的账号绑定，仅你能访问。你可以随时在备份管理中删除云端备份数据。

四、关于「AI 识图」与「AI 对话」的重要说明

【内测期间暂未开放】当前版本为内测版本，App 内的 AI 相关功能（AI 识图、AI 对话、语音播报）暂未向用户开放，本节所述的信息上传行为不会发生。以下内容为后续开放该功能后的处理规则，开放前我们会同步更新本政策。

【AI 识图：识别时会临时上传照片内容】在你使用 AI 加班助手的"照片智能匹配""拍照识别"等功能时，为了判断照片内容（例如照片里的日期时间、是否是一张加班通知截图），我们会将这张照片的内容临时上传给 AI 服务进行处理。

• 上传范围：仅该张照片，不包含你的其他记录；
• 使用目的：仅用于识别照片中的日期、时间与内容类型，以判断应归入哪一条加班记录；
• 留存情况：AI 服务不留存你的照片，识别完成后即不保存；
• 触发时机：仅在需要识别时才会上传，日常的实时拍照记录不会调用识图；
• 你可以不使用该功能：不使用 AI 助手的照片识别，或直接手动指定"挂到哪一条加班记录"，则不会发生照片上传。

【AI 对话】你与 AI 助手对话时，对话文字内容会发送给 AI 服务以生成回复。为便于你连续提问，我们会在本地保存对话记录（可随时删除）。请不要在对话中发送与加班记录无关的敏感个人信息。

【语音播报】语音播报功能将待播报的文字发送给语音合成服务以生成音频，不包含你的照片与文件。

【语音输入】你使用语音输入（AI 助手的语音提问、AI 加班向导的语音填写）时，录制的音频会上传并转写为文字。音频经我方自建服务器转发给语音识别服务，密钥只保存在服务器端，你的设备不接触第三方密钥；音频仅用于当次转写，我们不会将其保存。

⚠️ 请注意区分以下两件完全不同的事：

• 云端存证：只上传哈希值，不上传照片内容；
• AI 识图：会临时上传照片内容用于识别，识别后不留存。

请根据你的需要分别决定是否使用。

五、信息共享与第三方服务

我们不会出售你的个人信息。在你使用对应功能时，可能会与以下第三方服务交互：

• 腾讯云开发（CloudBase）：提供云端存证、云备份与账号服务；
• AI 大模型服务：提供 AI 对话与照片识别能力（经由我方服务器代理调用，密钥只保存在服务器端，你的设备不接触第三方密钥）；
• 语音识别服务：将你录制的语音转写为文字（音频经我方服务器转发，不落盘、不留存）；
• 语音合成服务：将待播报文字合成为音频；
• 地图定位服务：提供拍摄地点定位；
• 系统相册与系统分享：选择本地照片、将凭证文件包分享给你指定的应用。

上述服务仅接收完成对应功能所必需的数据。

六、你的权利

• 查阅与更正：你可以在「考勤」「凭证」「我的」等页面随时查看和修改你的记录；
• 删除：你可以删除单条记录与凭证，或通过「我的 → 数据管理 → 删除全部数据」一次性清除本机全部数据**与云端存证**（该操作不可恢复，且会退出登录）；
• 撤回同意：你可以随时在系统设置中关闭相机、相册、定位、麦克风、通知等权限；
• 注销账号：你可以通过「我的 → 账号安全」申请注销账号，我们将删除你的账号及云端数据；
• 导出：你可以随时导出凭证报告与原始凭证文件包。

七、信息安全

• 本地数据：登录密码以加盐哈希存储，不保存明文；
• 传输安全：与云端的通信使用 HTTPS 加密；
• 云端权限：云端数据库启用行级访问控制，其他用户无法访问你的数据。

八、未成年人保护

本应用主要面向在职成年用户。若你为未成年人，请在监护人指导下使用，并由监护人阅读并同意本政策。

九、政策更新

本政策如有更新，我们会在应用内公示。若涉及重大变更，会以更显著的方式通知你。

十、联系我们

如你对本政策有任何疑问、意见或投诉，可通过「我的 → 帮助与反馈 → 意见反馈」或邮箱 support@banji.app 与我们联系。

本政策自公布之日起生效。