职星记隐私政策

职星记（以下简称"本应用"）深知个人信息对你的重要性，并会尽全力保护你的个人信息安全。本政策将说明我们如何收集、使用、存储和保护你的个人信息，以及你享有的权利。

个人信息处理者：徐炳祥（个人开发者）
联系方式：邮箱 support@zhixj.com（也可通过「我的 → 帮助与反馈 → 意见反馈」联系我们）

一、我们收集的信息

1. 你主动提供的信息

• 账号信息：注册或登录时使用的手机号、密码（密码以加盐哈希形式存储，我们无法还原明文）；
• 个人资料：你自愿填写的昵称、头像、姓名、性别与出生年月。以上均为非必填；姓名仅用于在你导出的加班记录材料上标明归属，便于他人识别；性别与出生年月用于退休年龄测算、生日提醒等个性化功能（性别未填写时按男性口径估算）。不填写不影响功能的正常使用；
• 加班记录：加班日期、起止时间、加班类型、备注、标签、通知人、通知内容；
• 凭证文件：你拍摄或从相册选择的照片、截图、录音、录屏、视频，以及你填写的相关信息；
• 反馈信息：你提交意见反馈时填写的联系方式与反馈内容。

2. 使用功能时自动获取的信息

• 位置信息：仅在为凭证照片添加"拍摄地点"水印时获取一次定位，用于写入水印。定位结果默认只保存在本机的凭证元数据中。位置精度取决于当时的信号环境。
• 设备标识：Android ID（Android 系统为设备分配的标识符，形如 16 位十六进制串）与本机随机标识。我们会将其加盐哈希后生成"设备指纹"，用于云端存证时区分不同设备、以及统计口径的一致性；不会上传 Android ID 原文，也不包含硬件序列号、IMEI、手机号等可直接识别你身份的信息。
• 终端属性：手机机型、厂商、操作系统名称与版本号、本应用的版本号。这些信息用于我们按机型与系统版本定位兼容性问题、改进适配，不包含你的设备名称、IMEI、手机号等可识别你个人身份的信息。
• 运行诊断信息：当本应用发生异常或崩溃时，我们会记录异常类型、异常描述与程序出错位置（堆栈信息），以及崩溃前你最近一次操作的名称。这些信息仅用于定位和修复缺陷，不包含你的加班记录、凭证文件内容、工资数据、聊天内容等业务数据。
• 性能信息：页面渲染耗时、启动耗时、帧率与掉帧次数、本应用运行时的内存占用。这些信息用于定位卡顿与内存占用问题、改进不同机型上的流畅度，不包含你的加班记录、凭证文件内容、工资数据、聊天内容等业务数据。
• 照片拍摄时间：读取照片文件自带的 EXIF 拍摄时间，用于智能匹配加班时段。

3. 权限使用说明

• 相机：拍摄加班凭证照片、扫描邀请二维码；
• 相册 / 存储：选择已有照片作为凭证、导出凭证文件包与凭证报告；
• 定位：为凭证水印写入拍摄地点（可拒绝。拒绝后水印不显示地址，其他功能不受影响）；
• 麦克风：录制语音凭证、语音输入；
• 通知：发送加班结束提醒、凭证补齐提醒；
• 闹钟和提醒（精确闹钟）：让你的「上下班打卡」「加班结束」提醒在设定的时间准点响。此权限不读取任何信息，仅用于定时提醒；不开启时提醒仍然会响，只是可能延迟几分钟；
• 开机自启：仅用于手机重启后恢复你已设定的提醒（否则重启后提醒会失效）。此权限不读取任何信息、不在后台运行、不收集任何数据；
• 生物识别：用于解锁本应用内的敏感数据（生物特征信息由系统保管，我们无法获取）。

以上权限均在你使用对应功能时才会申请（其中「闹钟和提醒」在你打开提醒开关时申请一次），你可以随时在系统设置中关闭。

4. 使用统计与运行诊断（用于改进产品）

为了解哪些功能被使用、哪些环节容易流失，我们会统计页面访问次数、功能使用次数、单次使用时长、功能开关的开启情况，以及上文所述的设备指纹、终端属性、运行诊断信息与性能信息，并将这些数据上报到我们自建的统计服务（不使用第三方统计 SDK）。

• 不包含：你的加班记录内容、凭证文件与照片内容、工资数据、搜索词、AI 对话内容；
• 用途：仅用于产品改进与缺陷定位，不用于向你推送广告，也不与第三方共享；
• 身份标识：用于区分不同设备的标识。能取到系统设备标识时，我们只上报它的哈希值（经加盐单向计算，无法反推原文，也不含硬件序列号、手机号、IMEI 等可直接识别你身份的信息）；取不到时使用本机生成的随机标识。该标识只用于统计去重，不与第三方共享。
• 性能信息只上报汇总后的统计值（例如某段时间内的帧率、内存占用），采集频率很低；只有数值出现明显变化时才会真正上报，不会持续占用你的设备资源，也不包含你的任何业务数据。
• 会员订阅状态：你所处的会员档位（免费 / Pro / Max）、订阅周期与到期时间、本月已使用的免费额度次数。用于统计会员规模、判断续费情况与优化订阅体验；不包含你的支付账号、银行卡号等支付信息。
• 你可以随时关闭：在「我的 → 通用设置」中关闭「使用统计与崩溃诊断」即可，关闭后我们立即停止上报此类数据。该开关不影响你正常使用本应用的任何功能。

二、信息的存储

1. 本地存储：除下文明确说明的云端功能外，你的加班记录、工资数据、凭证文件均仅保存在你的手机本地，我们不会上传、不会收集。2. 云端存储：仅在你主动使用「云端存证」「云备份」功能时，才会将相应数据上传至云端（详见第三条）。3. 保存期限：
· 本地数据（加班记录、凭证、工资）：由你掌握，你不删除就会一直保留在本机；卸载本应用后随之清除；
· 账号信息（手机号、密码哈希）：保留至你注销账号，注销后立即删除（同步清除、没有缓冲期，请谨慎操作）；
· 验证码发送记录（含手机号）：仅用于限制短信发送频次（防刷、防骚扰），保留 30 天后自动删除；
· 注销留痕（手机号 / 邮箱的加盐哈希值，不含明文、无法还原为手机号或邮箱）：仅用于识别「曾经注销过的账号」、避免重复发放新人福利，保留 12 个月后自动删除；
· 云端存证与云备份：保留至你注销账号或主动删除，注销时随账号一并删除；
· 使用统计与运行诊断信息：自采集之日起保留 12 个月，到期自动删除；
· 反馈信息（含你上传的附件）：处理完毕后保留 12 个月，到期自动删除；
· 服务器运行日志：保留 6 个月，到期自动轮转删除。
以上数据均会在期限届满后自动删除（由服务端每日自动执行清理）；法律法规另有规定或者你另行同意的除外。

三、关于「云端存证」与「云备份」的重要说明

【云端存证：不上传原图】云端存证采用"零知识存证"方式。使用该功能时，上传到云端的内容仅为：

• 凭证文件的 SHA-256 哈希值（一段由文件内容计算得出的固定长度字符串，无法反推出文件内容）；
• 存证时间戳；
• 脱敏元数据（城市、文件类型、设备指纹的加盐哈希）。

凭证照片、录音、视频的原始文件与文件内容始终保存在你的手机本地，不会上传到云端。通过哈希值可以验证"文件是否被改动过"，但任何人（包括我们）都无法从哈希值还原出文件内容。

【云备份：需要你主动开启】若你主动使用云备份功能，备份内容会根据你选择的备份范围上传（含凭证文件、各类记录，以及你在 App 内的偏好设置与个人资料 —— 如提醒时间、标签、公司档案、生日、性别）。备份数据与你的账号绑定，仅你能访问。你可以随时在备份管理中删除云端备份数据。
为节约云端空间，结构化的「记录备份」在云端保留最近 30 天的历史版本（最多 60 份、至少 5 份），更早的会被自动删除；照片、截图、录音等媒体文件按增量上传、不重复存储，你删除对应备份时它们也会一并删除。以上自动清理只针对云端备份，你的本地记录不受任何影响。

四、关于「AI 识图」与「AI 对话」的重要说明

【当前版本未开放】App 内的 AI 相关功能（AI 识图、AI 对话、语音播报）暂未向用户开放，本节所述的信息上传行为不会发生。以下内容为后续开放该功能后的处理规则，开放前我们会同步更新本政策。

【AI 识图：识别时会临时上传照片内容】在你使用 AI 加班助手的"照片智能匹配""拍照识别"等功能时，为了判断照片内容（例如照片里的日期时间、是否是一张加班通知截图），我们会将这张照片的内容临时上传给 AI 服务进行处理。

• 上传范围：仅该张照片，不包含你的其他记录；
• 使用目的：仅用于识别照片中的日期、时间与内容类型，以判断应归入哪一条加班记录；
• 留存情况：AI 服务不留存你的照片，识别完成后即不保存；
• 触发时机：仅在需要识别时才会上传，日常的实时拍照记录不会调用识图；
• 你可以不使用该功能：不使用 AI 助手的照片识别，或直接手动指定"挂到哪一条加班记录"，则不会发生照片上传。

【AI 对话】你与 AI 助手对话时，对话文字内容会发送给 AI 服务以生成回复。为便于你连续提问，我们会在本地保存对话记录（可随时删除）。请不要在对话中发送与加班记录无关的敏感个人信息。

【语音播报】语音播报功能将待播报的文字发送给语音合成服务以生成音频，不包含你的照片与文件。

【语音输入】你使用语音输入（AI 助手的语音提问、AI 加班向导的语音填写）时，录制的音频会上传并转写为文字。音频经我方自建服务器转发给语音识别服务，密钥只保存在服务器端，你的设备不接触第三方密钥；音频仅用于当次转写，我们不会将其保存。

⚠️ 请注意区分以下两件完全不同的事：

• 云端存证：只上传哈希值，不上传照片内容；
• AI 识图：会临时上传照片内容用于识别，识别后不留存。

请根据你的需要分别决定是否使用。

五、信息共享与第三方服务

我们不会出售你的个人信息。本应用集成了以下第三方 SDK 与服务，在你使用对应功能时可能与之交互；对于会涉及个人信息的 SDK，我们已在其条目下逐项说明用途与处理的数据：

我方自建服务器（部署于腾讯云）＋ 腾讯云对象存储 SDK

• 用途：提供账号注册与登录、云端存证、云备份与媒体文件存储服务；
• 处理的数据：账号信息（手机号、密码哈希）、云端存证记录（文件指纹、时间戳、脱敏元数据），以及你主动选择上传的备份内容（各类记录、凭证与媒体文件，以及 App 内的偏好设置与个人资料）。

语音合成 SDK（阿里云 AOQ，com.alibaba.aoq.clientsdk）

• 用途：将文字合成为语音，用于朗读 AI 回复；
• 处理的数据：待朗读的文本内容。调用凭证由我方服务器临时下发，密钥只保存在服务器端；合成音频由 SDK 播放，不在本地留存；
• 说明：该 SDK 仅内置于 Android 版（iOS 版不含该 SDK，因此 iOS 上不提供 AI 朗读）；且在未开启 AI 功能的版本中不会被调用。

地图地理编码服务（手机系统地理编码，必要时回退 OpenStreetMap Nominatim）

• 用途：把拍摄地点的经纬度转换为可读地址，写入凭证照片水印；
• 处理的数据：经纬度坐标。

天气服务（Open-Meteo）

• 用途：根据你所在位置提供当日天气与下班天气提醒；
• 处理的数据：经纬度坐标、请求 IP；
• 说明：只在你查看天气时请求一次，不用于其他用途（服务说明见 open-meteo.com）。

时间校准（worldtimeapi.org / timeapi.io）

• 用途：校准本机时间，避免系统时间被手动调整导致凭证时间戳失真；
• 处理的数据：请求 IP（不上传任何本机内容）。

短信服务（阿里云短信）

• 用途：向你的手机号下发注册、登录与安全验证码；
• 处理的数据：手机号。

AI 大模型服务 / 语音识别服务

• 用途：提供 AI 对话、照片识别与语音转文字能力（均经由我方服务器代理调用，密钥只保存在服务器端）；
• 处理的数据：你主动提交的对话内容、照片内容、语音内容；
• 说明：在未开启 AI 功能的版本中，这些功能不会出现、也不会被调用。

系统相册与系统分享

• 用途：选择本地照片、将凭证文件包分享给你指定的应用；
• 处理的数据：你选择的文件，仅在系统层面传递，不经过我方服务器。

应用更新（本应用未内置任何应用商店 SDK）

• 检查更新：向我方服务器请求最新版本信息；请求中携带上文所述的设备标识与渠道标识（用于灰度分桶与按渠道下发）；
• 立即更新：会关联启动你手机上的应用商店（华为应用市场 / 荣耀应用市场 / 小米应用商店 / OPPO 软件商店 / vivo 应用商店 等），并在其中打开本应用的详情页，由应用商店完成下载与安装；
• iOS 版：通过 App Store 更新，行为同上 —— 不内置任何商店 SDK、不自行下载安装；
• 收集的信息：本过程不收集你的个人信息（不读取你的加班记录、凭证、工资等内容）；
• 说明：本应用未内置任何应用商店的 SDK，也不会自行下载或安装安装包；是否更新由你决定，不更新不影响继续使用。

上述服务仅接收完成对应功能所必需的数据。

六、你的权利

• 查阅与更正：你可以在「考勤」「凭证」「我的」等页面随时查看和修改你的记录；
• 删除：你可以删除单条记录与凭证，或通过「我的 → 数据管理 → 删除全部数据」一次性清除本机全部数据与云端存证（该操作不可恢复，且会退出登录）；
• 撤回同意：你可以随时在系统设置中关闭相机、相册、定位、麦克风、通知、「闹钟和提醒」等权限；
• 注销账号：你可以通过「我的 → 账号安全」申请注销账号，我们将删除你的账号及云端数据；
• 导出：你可以随时导出凭证报告与原始凭证文件包。

七、信息安全

• 本地数据：登录密码以加盐哈希存储，不保存明文；
• 传输安全：与云端的通信使用 HTTPS 加密；
• 云端权限：云端数据库启用行级访问控制，其他用户无法访问你的数据。

八、未成年人保护

本应用主要面向在职成年用户。若你为未成年人，请在监护人指导下使用，并由监护人阅读并同意本政策。

九、政策更新

本政策如有更新，我们会在应用内公示。若涉及重大变更，会以更显著的方式通知你。

十、个人信息处理者与联系我们

本应用的个人信息处理者：徐炳祥（个人开发者）。

联系方式：邮箱 support@zhixj.com；也可通过「我的 → 帮助与反馈 → 意见反馈」与我们联系。

如你对本政策有任何疑问、意见或投诉，或需要行使本政策第六条所述的权利，欢迎通过以上方式联系我们。我们会在收到你的请求后及时处理（通常不超过 15 个工作日）。

本政策自公布之日起生效。