炭星火云隐私政策
本政策说明炭星火云如何处理企业账号、业务资料、设备权限及用户主动提供的信息。
一、适用范围与处理角色
本政策适用于 炭星火云 Web、iOS App、微信辅助能力及配套 API。适用 App 的 Bundle ID 为 com.jiyuanpulian.erpcreat.mobile。
企业客户决定其员工、客户、供应商和经营资料的录入目的、人员范围和权限，通常是这些企业业务资料的管理者；我们按照企业开通配置和授权提供托管、同步、安全及技术处理。对于平台账号安全、设备会话、服务日志和平台自身运营所必需的信息，我们依适用法律承担相应个人信息处理责任。
服务提供者的法定主体以企业开通资料、有效服务协议及 App Store 产品页依法披露的信息为准。为避免误导，本页面不会把系统中的演示企业、测试联系人或 Apple 签名名称未经核验直接写成平台法定主体。
二、我们处理的信息与目的
| 信息类别 | 具体范围 | 处理目的 |
|---|---|---|
| 账号与企业身份 | 登录名、姓名、所属企业、岗位、角色、权限、账号状态；用户或管理员可补充手机和邮箱 | 登录验证、企业隔离、权限控制、员工协作、账号安全 |
| 设备与网络信息 | 安装设备标识、IP、User-Agent、操作系统、App 版本、请求时间与结果、登录会话、推送 Token | 单设备/IP 登录限制、会话管理、安全审计、消息推送、故障排查 |
| 企业业务资料 | 客户和供应商联系人、电话、地址，商品、报价、订单、库存、配送、财务、售后、备注和附件 | 完成企业 ERP 业务、协作、查询、打印、分享、审计和同步 |
| 精确位置与工作轨迹 | 经纬度、精度、速度、方向、时间、定位来源；天气仅使用约两位小数的网格坐标 | 地址选择、附近客户、拜访水印、配送、团队位置、天气和临雨提醒 |
| 照片、签名及文件 | 用户主动拍摄或选择的业务照片、附件、电子签名、水印文字及拍摄时间/位置 | 拜访、配送签收、报销或任务凭证、售后和单据留档 |
| 语音与转写 | 用户主动发起语音录入时的音频及识别文字 | 将待办执行情况转成文字备注；系统默认保存识别后的业务文字，不把麦克风持续用于后台录音 |
| 打印、物流与分享 | 打印机设备信息、所选单据内容、承运商、运单号、分享模板内容 | 本地蓝牙打印、按企业配置云打印、采购物流查询和用户主动分享 |
用户向系统录入其他人的电话、地址、签名或照片前，应确认具有合法业务目的并已履行必要告知。请勿上传与企业工作无关的身份证件、医疗、宗教、生物识别等高敏感资料。
三、处理方式与依据
- 为履行企业服务协议、完成用户请求的销售、库存、财务、配送、打印和协作功能而处理必要信息。
- 对位置、相机、照片、麦克风、语音、蓝牙和通知等设备能力，在系统弹窗授权及用户主动操作后处理；法律要求单独同意时会另行取得。
- 为保护账号、企业数据和交易安全，记录必要的登录会话、设备、IP、操作日志、幂等标识和异常信息。
- 法律法规、监管要求、争议解决或保护重大合法权益要求处理时，按照适用规则执行。
四、设备权限与关闭方式
| 权限 | 使用场景 | 关闭方式与影响 |
|---|---|---|
| 位置（使用期间） | 天气、附近客户、地址选择、拜访和水印相机 | iOS 设置 → 炭星火云 → 位置；关闭后对应地图/定位功能不可用 |
| 位置（始终允许/后台） | 仅在企业开通且本人开始工作或执行配送任务后持续更新团队位置 | App 内结束工作或结束配送；也可在 iOS 设置关闭。工作位置原始样本最多保留 30 天 |
| 相机与照片 | 拍摄或选择业务附件、签收凭证、商品图片和水印照片；保存图片时写入相册 | iOS 设置中关闭；不主动遍历整个照片库 |
| 麦克风与语音识别 | 用户点击语音输入后，将待办执行内容转为文字 | iOS 设置中关闭；不影响手工文字录入 |
| 蓝牙 | 搜索、连接用户选择的兼容 80mm 热敏打印机并本地打印 | iOS 设置中关闭或在 App 解除打印机连接 |
| 通知 | 接收预订、配送、财务、任务、天气和更新提醒 | iOS 设置 → 通知 → 炭星火云 |
App 不申请系统通讯录权限，不会为了营销读取手机联系人。系统蓝点、地图或导航还可能由 iOS/地图应用按其隐私设置处理。
五、后台定位与敏感个人信息
持续定位默认不会仅因安装或登录自动开启。它需要企业为账号开通相应能力、用户授予“始终允许”和“精确位置”，并由用户点击开始工作或明确执行配送任务。位置更新用于团队调度；具备客情权限时也可用于附近客户提醒。结束工作、完成全部相关配送、退出或切换账号后，系统会停止相应定位并清理待上传点。
位置样本包含坐标、精度和时间，可能反映行踪轨迹，属于敏感个人信息。企业管理员只能在权限和业务范围内查看；服务端拒绝跨企业访问，并阻止明显低精度或乱序样本覆盖可信位置。原始工作位置样本最多保留 30 天，超过期限按系统清理机制删除；已经写入经用户提交的拜访或签收凭证的位置事实，按对应业务记录期限保存。
六、本地存储、密码与离线缓存
用户勾选“记住密码”时，iOS 使用 Keychain、Android 使用 Keystore；取消勾选或明确退出会清理安全存储。Web 密码由浏览器标准密码管理器决定是否保存，不写入网页 localStorage。服务端只按安全认证流程校验密码，不在政策或日志中展示明文密码。
App 会在设备本地保存账号隔离的草稿、最近使用数据、预加载列表、更新公告状态和弱网待同步内容，以便断网恢复和减少重复录入。退出、切换企业或相应业务完成时按实现清理或覆盖；设备遗失时应尽快由管理员停用账号并撤销会话。
七、同一企业内使用、共享与披露
业务资料会依据企业设置，在同一企业内向主账号、管理员及获授权员工展示。客户归属、部门、角色、模块权限和数据范围会影响可见内容；页面隐藏不是唯一保护，服务端会再次校验企业、账号、权限和状态。
除企业授权协作、实现服务所必需、保护安全或法律法规要求外，我们不会向无关第三方出售、出租或披露个人信息。发生合并、分立、资产转让等主体变化时，将依法告知并要求承接方继续履行本政策，或重新取得必要同意。
八、第三方服务清单
| 服务方 | 功能 | 可能涉及的信息 | 触发条件 | 隐私规则 |
|---|---|---|---|---|
| 腾讯云 | 云服务器、网络、PostgreSQL 和上传资料托管 | 账号、企业业务资料、附件、日志及服务所需数据 | 持续提供云端 ERP | 查看官方说明 |
| Apple（App Store、APNs、MapKit、WeatherKit、语音识别） | 应用分发、系统推送、地图、天气和用户主动语音转写 | Apple 账号侧分发信息、推送 Token、位置或语音等对应功能必要数据 | 系统功能或用户主动启用时 | 查看官方说明 |
| 高德地图 | 地址关键词搜索、POI、逆地理解析和导航 | 关键词、经纬度、目的地及必要设备/网络信息 | 用户选择地址、地图或导航时 | 查看官方说明 |
| 微信 | 可选的微信登录/绑定、小程序选点与结果回传 | 临时登录凭证、OpenID/UnionID（如可用）、设备校验摘要、选点结果 | 仅在功能已配置且用户主动选择时 | 查看官方说明 |
| Open-Meteo | WeatherKit 不可用时的天气数据备用来源 | 约两位小数的网格化坐标 | 用户查看天气或白天极端天气提醒时 | 查看官方说明 |
| 飞鹅云打印 | 企业选择云小票时发送打印任务 | 企业配置的打印机标识及所选单据、客户、商品、金额和配送信息 | 仅企业配置并由用户发起打印时 | 查看官方说明 |
| 快递100 | 采购包裹物流查询 | 承运商、运单号及查询所需网络信息 | 仅企业录入运单并主动查询时 | 查看官方说明 |
第三方名称、接口或隐私规则发生实质变化时，我们会更新本清单。Sentry 当前仅有未接入外部服务的代码占位，不作为已启用的数据接收方列入。
九、存储地点与跨境
截至本版本，炭星火云核心 Web、API、PostgreSQL 和上传资料运行在中国大陆境内的腾讯云服务器。我们不会为了广告或数据交易主动把企业业务资料传往境外。
Apple App Store、APNs、系统语音/天气，以及用户主动调用的其他第三方服务可能依据其全球基础设施和隐私规则处理必要信息。涉及法律意义上的跨境提供时，我们将按照适用法律履行评估、告知、单独同意或其他法定程序。
十、保存期限
- 工作定位原始样本：最多 30 天；业务凭证中确认保存的位置按相应单据期限处理。
- 登录会话、设备和推送 Token：在会话有效、账号启用或设备订阅期间保存，撤销会话、停用账号、退出登录或关闭推送后按安全和清理周期处理。
- 企业订单、库存、财务、审批、拜访、签收、审计及关联附件：在企业使用服务期间及满足财税、审计、争议处理和合同义务所需期限内保存。
- 本地草稿和缓存：在对应账号、设备和业务需要期间保存，完成、覆盖、退出、切换账号或用户清理后按功能规则删除。
超过必要期限后，我们会根据数据性质和技术条件删除、匿名化或限制处理。备份中的删除可能随安全轮换周期完成，在此期间不再用于日常业务。
十一、安全保护与事件处置
我们采用 HTTPS、账号会话、企业隔离、服务端权限、数据库约束、事务、幂等、操作审计、备份和最小开放端口等措施。任何网络和存储都无法保证绝对安全；发生可能影响个人权益的事件时，我们会及时控制风险，并按照法律要求通知企业、用户或主管部门。
十二、查阅、更正、复制、导出、撤回与删除
用户可在 App“我的 → 个人资料”查看或更正姓名、电话和邮箱，并可在系统设置撤回设备权限。业务资料的更正、导出或删除通常应由所属企业管理员依据权限和审计要求处理。
需要行使查阅、复制、限制处理、注销或删除等权利时，请按支持与数据请求流程提交账号、所属企业、请求范围和可验证身份信息。我们会在核验身份与企业授权后及时处理，并在适用法律要求的期限内反馈；复杂请求会说明原因和预计时间。
撤回授权不影响撤回前处理的合法性。涉及已完成销售、库存、收付款、财税凭证、审计、争议或他人合法权益的记录，可能不能立即物理删除；我们会在法定或必要期限内限制用途，到期后删除或匿名化。
十三、账号注销与员工离职
本 App 不向公众开放自行注册，账号由企业主账号或管理员创建。员工离职时，管理员通过“员工与权限”归档账号、撤销会话、停用推送和工作定位，并在需要时把客户职责转移给同企业人员；历史单据保留原员工稳定归属，避免财务和库存事实失真。
个人可以申请停止使用和删除可删除的账号资料；企业整体终止服务可申请数据导出和删除。具体步骤、身份核验材料及不能删除的记录范围见账号注销说明。
十四、未成年人
炭星火云面向企业及其获授权工作人员，不以未满十四周岁的未成年人为目标用户。企业不得为不符合用工和合规要求的未成年人开通账号；如发现误收集未成年人信息，请由监护人或企业管理员通过支持页面联系处理。
十五、政策更新
功能、第三方服务或法律要求变化时，我们会更新版本号和日期。涉及处理目的、敏感个人信息或用户权利的重大变化，会通过登录提示、应用内公告或企业通知重新告知，并在法律要求时重新取得同意；不会仅以“继续使用”替代必要同意。
十六、联系我们
账号和企业业务资料问题请优先联系所属企业管理员。平台技术支持、隐私投诉和数据请求请访问https://starcraet.com/support。
企业客户还可以使用开通服务时已经建立的服务对接渠道；通过 App Store 下载的用户可以使用产品页公开的开发者联系入口。服务提供者的法定主体和送达信息以企业有效服务协议、开通资料及 App Store 产品页依法披露的信息为准。