隐私政策 · Android 版

一、我们处理的信息与用途

1. 本机业务数据
你输入或导入的色卡、色号、库存数量、补货及用豆记录、图纸、材料统计、作品图片、创作手帐、备注及时间等，用于展示、编辑、计算、检索、保存和恢复你的创作资料。这些内容写入设备内的应用存储。本机创作档案不会自动全量上传；你主动选择的社区分享、点赞、领取及举报按第十一部分处理。安卓联网授权所用的用户及设备标识只用于权益核验，不是云端创作资料账号。

2. 可选个人资料
你可以设置昵称、头像和简介。这些信息默认用于本机资料展示，可随业务备份或局域网同步传输；你主动登记社区用户名或同步缩略头像后，相应名字与头像还会用于社区作者署名，不用于定位。填写个人资料不是使用库存、图纸、手帐等基础功能的必要条件。头像来自你主动选择的图片，应用不因此取得对整本相册的访问权。

3. 图片、文件与识别结果
只有在你主动选择、导入或分享文件时，应用才处理相应图片、文件内容及操作所需的名称、路径或访问凭证，用于图纸识别、照片转图纸、头像设置、作品记录、备份恢复、导出及分享。图像处理和文字识别使用本机算法或平台能力；文字识别 SDK 的运行指标另见第五部分。我们没有把你的图片自动发送到开发者服务器的功能，也不将你的素材用于模型训练或宣传。

4. 语音输入
你启动语音记录后，系统识别服务会处理麦克风采集的声音，并将文字结果返回应用。识别文字先用于待核对的输入草稿，确认保存后成为本机记录；豆库自身不保存原始录音文件，也不建立声纹识别资料。
应用默认尝试本机识别；本机模型、语言或设备能力不支持时，当前实现会尝试系统识别模式。系统模式可能经网络将音频及识别所需的服务信息交给系统识别提供方，不能理解为始终离线。不同设备、语言、地区和系统设置可能使用不同的服务。你可以停止语音操作、撤回相关权限，或使用文字输入。涉及在线处理的告知和依法需要的同意，应在相应服务启用前完成，本政策本身不替代该流程。

5. 局域网同步
你主动开启配对与同步时，应用处理局域网 IP 地址、端口、临时配对凭证、核对码、本机生成的同步副本标识、变更及冲突处理信息，并向你确认配对的设备传输业务档案及所需图片。档案可能包含个人资料、库存、图纸及手帐。传输在所配对设备之间进行，不通过开发者云端中转；会话使用加密通道保护。临时配对凭证有有效期，二维码或配对文本包含连接凭证，请仅交给你认可的设备使用者。接收设备会保留同步得到的内容，本机删除不等于所有接收设备上的副本立即消失。

6. 反馈、内测报名与权益支持
只有当你主动通过私信、邮件等渠道联系时，我们才会收到你发送的信息，例如联系账号、消息内容、设备型号、系统及应用版本、使用的色卡、复现步骤、截图、录屏或诊断资料。用途是答复问题、安排内测、核实测试完成情况和处理授权事务，不用于广告画像。请只提交解决问题所需的内容，并遮挡与问题无关的个人信息及第三方信息。
如果你申请购买权益核验或跨平台恢复，我们可能需要订单号、购买平台、时间、权益凭证及用于回复的联系方式。不要求提供支付密码、银行卡完整信息或与核验无关的身份证件。当前安卓应用已实现联网授权核验与安卓设备关联管理，未在应用内接入在线支付或自动跨平台权益恢复。授权服务的信息范围见下项；未来新增支付或恢复服务时，将在启用前另行明确相应规则。应用商店或支付渠道自身处理的信息由其对应规则说明。

7. 免费基础功能、安卓会员核验与设备管理
基础功能长期免费，不要求先注册、购买或领取七天试用。会员账号和设备核验独立于本机业务档案，登录不代表库存、图纸、手帐、照片或录音已经上传或云端备份。历史有效永久购买或激活由服务端核实后迁为永久VIP，保留原购买、赠送、退款与恢复关联；试用和未经核实的本地标记不自动转为VIP。会员支持订阅与永久类型，未配置或尚未交付的商品不开放购买。会员权益与当前设备使用资格分别确认，会员到期、账号退出、设备超额或验证失败不会阻止免费基础功能或删除本机资料。

安卓沿用本应用现有激活身份，未新增手机号、密码或短信注册。确认本政策后，应用可连接豆库会员服务（正式发行配置：https://doucoo.cn），用于登记现有激活身份、核验历史购买和会员、取得或刷新签名凭据，以及你主动发起的设备关联、查看、移除或重命名。该服务不接收库存、图纸、手帐、照片或原始录音。
应用通过 Android Keystore 在本机生成设备密钥；私钥保留在本机，不发送到服务端。核验涉及设备公钥、由公钥计算的设备指纹、默认或你设置的设备名称、制造商与硬件型号、服务生成的用户标识与设备标识、随机挑战及签名证明、授权权益及设备关联状态；关联或移除时还处理目标用户标识、设备关联请求标识或被移除设备标识。设备名称可由你修改；制造商与硬件型号单独读取并上传，仅用于在管理员设备列表和授权操作记录中识别设备，不用于广告画像或作为授权身份校验依据。管理员操作记录保留操作发生时的设备名称、型号与设备标识快照，以便核对关联、解绑及权益变更；后续改名不改写历史快照。服务连接所需的网络 IP 地址也会被服务端接收。本机保存签名凭证及校验所需的时间锚点和安全状态，用于防止凭证冒用和判断是否需要联网刷新；系统计时信息不作为本机创作资料上传。
本项授权功能不读取 IMEI、OAID、设备序列号、MAC 地址、联系人、位置或其他已安装应用列表。授权相关必要记录用于支持权益核验、设备管理、安全防护及恢复；设备信息及授权操作记录由本服务后端保存，仅供经认证的管理员用于上述用途；在权益存续期间保留支持核验和恢复所需的必要记录，其他记录按必要性及法定义务处理。你可以在安卓授权设备管理中移除已关联设备，或联系上述邮箱行使访问、更正、删除和其他权利；移除设备不表示订单或法定留存记录立即全部删除。

会员设备名额为同一会员主体一部手机与一台平板。核验会处理设备公钥或应用专用密钥标识、一次性挑战与签名、必要的设备类别信息、绑定与撤销版本、会员类型及有效期；设备名称或当前窗口宽度不单独作为可信类别证明。仅在实际启用且明确说明的情况下处理平台验证凭据；证据不足时可以通过必要的受控人工核实确认类别，不以设备自报字符串直接授予平板名额。审核仅要求判断设备类别及授权所必需的信息，不索取支付密码、整份相册或无关身份资料；审核证据和操作记录限于核验、安全、申诉和恢复所需的必要期限保留。换机由你明确选择旧设备，绑定变更联网后确认；已签出的离线凭据可能在其到期或设备再次联网后失效。凭据刷新期限不等于永久会员到期或要求再次付款。

新版本不再开始七天试用，也不再为领取试用新采集去重标识。旧版本已经形成的试用与安全记录只在兼容、安全、权利请求或法定保存所需的必要范围和期限内保留，不因关闭试用而扩大用途，不用于广告画像。你可以联系上述邮箱提出访问、更正、删除或异议。

二、权限和设备能力

相册与文件选择：用于读取你选择的图片或备份，保存你确认导出的文件。优先使用系统选择器及其授予的文件范围。拒绝或取消后，相应导入、保存或分享操作无法完成，不影响手动管理库存等其他功能。

相机或系统扫码：仅在你主动扫描局域网配对二维码或安卓授权设备关联码时使用。应用可请求相机权限，具体授权由系统管理。不用于后台拍摄。

麦克风及系统语音识别：用于你启动的语音输入。拒绝后可继续手动输入；结束或取消语音操作后停止相应会话。系统语音服务的数据处理范围见第一及第五部分。

局域网及网络能力：用于安卓授权核验、设备配对和同步，以及识别服务或 SDK 自身所需的联网行为。拒绝局域网权限会影响局域网同步。设备联网权限不等于同意收集与功能无关的信息。

通知及振动：支持的平台上，用于你开启的库存提醒或操作反馈。库存通知由本机触发，当前未接入开发者远程消息推送。拒绝相关权限不影响基础资料管理。

应用不因上述功能要求通讯录、精确位置、短信或通话记录权限，不为广告投放主动读取 IMEI、IDFA 或 OAID。本机业务和同步标识用于区分本地资料及副本，不作为广告标识。第三方 SDK 自身处理的标识见第五部分。

你可以通过系统的应用权限设置查看和撤回授权。撤回仅影响依赖该权限的操作，不影响撤回前依法进行的处理。不同系统的权限名称、入口及可用能力可能不同。

三、剪贴板、分享与外部渠道

在你点击复制配对信息时，应用将配对文本写入剪贴板；点击反馈入口时，应用将开发者公开的小红书账号 6251150464 写入剪贴板，并尝试打开小红书搜索页面。这些复制与反馈操作不读取你的剪贴板内容，也不会自动附带你的业务档案、日志、截图或私信内容。安卓授权设备管理中，只有你点击粘贴授权 ID 或关联码时，应用才读取当时的文本剪贴板，用于填写和校验对应内容；点击复制授权 ID 或设备关联码时，将相应文字写入剪贴板。不会在启动或后台自动读取剪贴板。设备关联码含授权关联信息，请仅交给你认可的设备使用者。

使用系统分享、导出或保存到相册时，你选择的接收应用、设备或保存位置会获得相应文件。整份备份可能包含个人资料和全部业务记录，请检查分享对象及文件内容。你在小红书、邮件或其他外部渠道提交的信息，还受该渠道的隐私规则约束；渠道的规则不能免除我们对实际收到的信息应承担的责任。

四、存储、保留与删除

本机业务档案在应用存储中保留，供你继续使用。保存时，应用可能保留上一份业务档案作为恢复副本；因此，删除当前界面中的某项内容，不代表该项内容已立即从上一份恢复副本、同步历史或你自行导出的备份中清除。本机业务存储并非由豆库另行提供的全量加密保险库。

图片处理、导入、导出和分享可能生成临时文件，其保留取决于操作流程和系统清理机制。导出的文件、相册内容、接收设备副本，以及系统或用户自行建立的备份，需要在相应位置单独管理。

你可以删除业务条目、修改或移除可选个人资料，并在系统支持时清除应用数据或卸载应用。请先保存需要保留的资料；系统备份、外部导出文件及其他设备上的副本不一定随清除或卸载而删除。账号与授权服务不存储云端创作档案；安卓授权记录及设备关联的访问、删除或恢复请求，可按前述方式或联系邮箱提出。若需要协助判断本机内容及备份的处理范围，可以联系我们。

对于我们实际收到的报名与反馈资料：未入选或主动撤回的报名资料，原则上在结果确定或收到撤回请求后30日内删除；普通问题反馈在问题处理结束后原则上保留不超过6个月；内测完成证明在答谢权益发放完成后原则上保留不超过6个月。用于证明永久权益的最少必要授权记录可在该权益存续期间保留，以支持核验和恢复。存在法定保存义务或具体争议时，可仅将必要资料保留至相应期限或争议处理结束，之后删除或匿名化。权利请求可能要求更早删除的，我们依法处理。

第五部分所列服务提供方处理的数据，保留期限及删除渠道还需参照相应服务规则。我们不会将其服务端保留情况表述为已由豆库全部控制。

五、第三方组件与系统服务

1. Google ML Kit Text Recognition（Android）
提供方：Google LLC。用途：在设备上识别图纸或材料表中的文字。集成方式：随应用集成文字识别组件及模型；声明依赖为 com.google.mlkit:text-recognition:16.0.1。
依 Google 的官方说明，输入的图片和识别内容在设备上处理，不作为识别输入或结果发送给 Google；SDK 仍可能与 Google 通信，并发送设备及应用信息、每次安装的标识、耗时、调用配置、输入输出规模、功能事件及错误码等运行指标，用于诊断、维护和改进。这些运行指标与上传你的原始图纸属于不同的数据流。Google 的数据说明页面针对最新 SDK，实际发行版本和设备环境中的行为须结合对应版本确认。
官方说明：https://developers.google.com/ml-kit/terms
数据说明：https://developers.google.com/ml-kit/android-data-disclosure
隐私政策：https://policies.google.com/privacy

2. Android 系统语音识别
提供方：你设备上实际承担识别的系统或已选语音服务，可能由设备厂商、Google 等提供。豆库通过系统接口调用；某些实现会向远程服务器传输音频。相关提供方、模式及隐私说明以设备的语音服务设置和提示为准。
系统接口说明：https://developer.android.com/reference/android/speech/SpeechRecognizer

应用还使用 Flutter、文件选择、偏好存储、二维码解析和加密等软件组件来实现界面、文件操作和设备间传输；不能将本地软件组件等同于开发者云端收集服务。当前我们未接入开发者自有的广告、行为画像或自动崩溃上报服务。上述系统及 SDK 自身的处理不因此被排除。

六、对外提供与跨境处理

我们不出售你的个人信息，不将本机创作档案提供给广告商。向配对设备传输、向你选择的应用分享，以及向你主动联系的反馈渠道发送信息，按前述范围执行。若以后需要向新的独立第三方提供个人信息，会先明确接收方、目的、方式及信息范围，并依法取得所需的单独同意；委托处理、业务承接或法律要求的提供，也应履行适用的义务，不以本政策作无限制授权。

本机业务档案未通过开发者运营的云服务主动存储到境外。但境外提供方的 SDK、在线语音识别，以及你自行选择的外部服务，可能涉及境外处理，不能据此承诺全部数据始终留在中国境内。如构成依法需要履行的数据出境行为，我们应在发生前完成适用的合法性评估、告知、同意及其他程序；无法满足条件的，不应启用该项传输。本政策不表示这些程序已经完成。

七、安全保护

我们采用系统应用存储隔离、权限控制、配对核验、局域网会话加密等措施保护资料，并限制收到的支持资料的访问和使用。传输加密不等于本机档案、导出文件及所有接收端存储都已经加密。请保持设备安全，妥善保管备份和配对凭证。

发生个人信息安全事件时，我们将依法采取补救措施，并按适用要求向你告知及向主管部门报告。任何技术措施都不能保证零风险，但不能因此免除我们依法承担的安全保护责任。

八、你的权利与联系我们的方式

你可以依法要求了解处理规则，访问、复制、更正、补充或删除有关个人信息，限制或拒绝某些处理，撤回同意，以及在符合法定条件时要求转移信息。对于只存储在你设备上的资料，我们不能远程读取或替你删除，可协助你使用本机编辑、导出和清除方式；对于我们收到的反馈和授权资料，可通过上述邮箱提交请求。

我们将在收到请求后15个工作日内答复或说明所需补充信息及处理进度。为避免资料被误交给他人，只进行与请求相称的身份核验；一般可以使用原联系渠道或权益凭证，不要求无关信息。不能满足某项请求时，会说明依据及可采取的途径，不以账号不存在为由拒绝处理我们实际持有的信息。你也可以依法向有权机关投诉或通过法定途径维护权利。

九、未成年人

未成年人应在监护人的指导下使用豆库。我们不以收集未成年人资料作为基础创作功能的条件。涉及我们实际处理不满14周岁未成年人的个人信息时，将依法取得监护人同意、采用适用的专门保护规则，并仅在必要范围内处理。需要额外保护措施而尚未具备时，不开展该类收集；不以本政策或普通权限授权代替监护人同意。监护人可以联系我们请求更正或删除已收到的相关资料。

十、政策更新

变更处理目的、方式、信息种类、接收方或其他可能对你产生实质影响的内容时，我们会在适用前以清晰方式提示，并依法重新取得所需的同意。新政策不将此前未取得授权的处理追认为合法。你可以在首次确认页及“我的 → 关于”中离线阅读本平台隐私政策和用户协议，或在豆库官网查看、下载对应全文，通过邮箱查询适用版本及提出问题。

首次使用或适用文本版本变更时，应用先展示确认页。阅读正文或点击“暂不同意”不会写入同意记录，也不会开始应用业务初始化、平台账号登录或会员购买联网核验；暂不同意后可以继续阅读。点击“同意隐私政策及用户协议并继续”后，应用在本机偏好存储中记录平台、政策版本、协议版本和确认时间，保存成功后才进入启动流程。该记录不包含业务资料，不随豆库业务备份或局域网同步传输；恢复备份不代替当前设备的确认。清除应用数据后会重新提示，系统级备份与恢复行为以设备设置为准。本次确认不替代可选权限授权、在线语音等依法需要单独同意的流程。

十一、你主动使用的社区服务

社区属于可选的联网服务，库存、工坊和手帐资料不会因此被全量或自动上传。只有你主动登记社区身份、同步缩略头像、提交图纸、点赞、领取作品或举报时，我们才向豆库服务端发送相应内容。社区身份复用经验证的平台账号会话或持钥设备证明，不以用户名或本地标记替代认证，不因此授予会员。

登记的唯一用户名首次确认后不可自行修改，与稳定创作者编号及你主动同步的缩略头像一同展示，便于识别来源。头像只保存一份不超过96像素、24KB的重新编码缩略图，不保留原始头像文件。原作者来源、作品分类、版权声明、压缩图纸矩阵、带水印小预览、保护范围、分享协议版本及签订时间用于审核、发布、领取、追溯与争议处理；按北京时间记录每日上传和领取次数，用于执行每天各2张的额度与防止重复扣次。点赞关联社区身份及作品，展示作品赞数和作者累计获赞，不提供评论。

侵权举报必须填写联系邮箱、说明和证据链接。该邮箱及举证内容仅供经授权的管理员核查、联系和处理异议，不对社区公开；不会因填写链接自动抓取外部文件。审核决定、处罚原因和必要审计记录用于核实侵权和防止重复处理；首次核实违规停用社区7天，再犯永久停用社区，不能因此删除本机资料或阻挡其他免费基础功能。

你可以从“我的社区分享”查看状态并撤回自己的作品；撤回后停止新的展示与领取，已经领取的离线副本无法承诺即时删除。已撤回内容和必要的版权协议、举报及审核记录按争议处理和适用法律所需的最短期限保留，期满后删除或匿名化；可通过本政策所列邮箱提出访问、复制、更正、删除或处理异议请求。用户名不可自行改名不限制依法申请更正个人信息的权利。不得仅以“不可改名”拒绝依法应处理的更正。

发布前另行阅读并主动签订《社区作品分享协议》（community-sharing-v1），逐次确认版权来源。受保护图纸仅在系统保护能力成功启用后显示；iOS当前仅展示带水印小预览。本机私有档案和App内加密同步保留来源及制作进度，外部备份不导出受保护矩阵，只保留来源引用与进度。