隐私政策

一、适用范围与运营者

运营者

沈阳天顶星网络科技有限公司

统一社会信用代码

91210124088957535L

联系邮箱

tdxkefu@foxmail.com

本政策适用于天顶星提词器 Android 应用、官方网站 https://teleprompter.yiroot.com/，以及以后通过该应用或网站明确接入的账号服务。第三方通过自己的产品或服务独立处理信息的，适用该第三方的隐私规则。

本政策所称个人信息不包括匿名化处理后的信息；设备内仅由你控制、我们无法访问的内容，也会在本政策中说明其处理方式。

本应用不会在首次启动时一次性申请权限，只会在你主动使用对应功能时申请。相关权限与访问说明如下：

• 麦克风：用于智能跟读、语音转文稿、遥控麦克风和拍摄录音，仅在你主动使用相关功能时申请。语音识别在本机完成；启用遥控麦克风后，声音会传送给你连接的配对设备。
• 相机：用于拍摄录像及扫描 Windows 登录码、遥控连接码，仅在你主动使用相关功能时申请。扫码画面只在本机识别，不保存、不上传；拍摄的视频按你的操作保存在本机。
• 悬浮窗：用于在相机、直播等其他应用上方显示提词文稿和操作控件。仅在你选择悬浮提词时引导开启，不读取下方应用的页面或输入内容；关闭后仍可使用全屏提词。
• 无障碍服务：用于承载悬浮智能跟读窗口，并支持在其他应用录像时持续进行本机语音跟读。开启前会单独说明并征得同意，不读取其他应用的正文、密码或屏幕截图，也不模拟点击操作。
• 剪贴板：用于你主动粘贴文字或链接，填入文稿编辑、文稿整理、内容风险检测或媒体链接输入框。文本菜单可能先检查内容类型，只有主动粘贴才读取正文，不读取历史或在后台轮询；后续提交和界面分析按本政策对应说明处理。

授权本身不会导致音频、画面或文稿自动上传。拒绝或关闭权限只影响对应功能，其他功能仍可使用。

二、我们如何处理信息

我们遵循合法、正当、必要、诚信、目的明确、公开透明和安全保护原则，仅处理实现你所选功能所需的信息。基础提词服务不会以注册账号或提供非必要个人信息为前提；首次启动时，只有在你点击“同意并继续”后，才会初始化账号、会员、更新检查、Countly 或 Microsoft Clarity 的 SDK 和分析请求。你可以选择“不同意”，继续使用本地文稿、编辑和基础匀速提词；隐私同意页不会被 Clarity 采集。

文稿标题、正文、分组、热词、标注、阅读位置、显示与播放设置保存在应用私有目录；你通过系统照片或文件选择器主动选择的图片、视频、TXT、Markdown 或 DOCX 文件，只在导入、预览、设备端识别或本地视频处理所需期间读取。视频镜像会把新视频保存到系统相册；原始文件和处理结果不会作为源文件自动上传，但你同意后，界面中未被 Clarity 平衡遮罩覆盖的可见文本或图片可能进入重建数据。 保存为文稿后的内容可按文稿同步规则上传。

登录、智能跟读免费体验、会员、购买、邀请、反馈和在线更新只在你主动使用且已同意时按功能必要范围处理。我们主要基于履行服务协议所必需、取得你的同意或履行法定义务处理信息；基于同意的处理可以按本政策撤回，撤回不影响此前处理的效力。

三、本地内容与智能跟读

文稿、分组、热词、标注、显示设置、提词参数和阅读位置保存在应用私有存储空间。应用关闭 Android 系统云备份和设备迁移备份，不会通过系统备份自动同步这些内容。删除文稿、清除应用数据或卸载应用可能导致本地内容无法恢复，请自行保留必要副本。 文稿云同步独立于 Android 系统备份，按本章的文稿同步说明处理。

应用不申请读取整个相册或媒体库。只有你选择“图片文稿”并通过 Android 系统照片选择器选取图片时，应用才获得对所选图片的有限读取权限；一次最多读取 10 张，用于文件检查、顺序调整、缩略图和随 APK 提供的设备端 OCR。原始图片不上传，也不作为文稿附件长期保存，只有你确认后的识别文字按本地文稿规则保存。

智能跟读需要账号，登录和开启免费体验时需要联网。进入跟读后，麦克风音频由设备内置 Sherpa-ONNX 模型处理，语音识别、文本匹配、滚动状态和识别结果仍在设备本机完成，当前会话无需持续联网，也不会自动上传文稿或麦克风音频。

为复现跟读问题，应用可在私有目录保存最近最多 3 次跟读会话证据，总量上限 300 MB，可能包含完整文稿、热词、识别文本、算法事件、配置和麦克风音频；通用诊断日志最长保留 14 天且总量不超过 30 MB。达到数量、容量或期限后自动清理，以上内容默认不离开设备。

文稿同步功能可用且你为有效专业版时，首页处于前台会自动同步归属该账号的文稿，并将尚未归属账号的活动文稿纳入。同步内容包括正文、标题、格式、提示标注、热词和分组。文稿及相关文字会上传至账号服务，并由阿里云内容安全服务进行风险内容检测；通过后保存在中国境内的私有云存储，用于同一账号的设备间同步，不作为公开内容发布。你可以暂停本设备同步，本机编辑不受影响；音视频、阅读进度和显示设置不纳入同步。

“标点增强”需按需下载约 163 MB 模型，文字在本机处理，不上传文稿或音视频；不开启不影响普通转写。

四、反馈与诊断分享

应用内有两个彼此独立的反馈入口。普通“意见反馈”用于生成本地诊断包；只有你在 Android 系统分享面板中选择接收应用或联系人并确认发送后，所选材料才会离开设备，我们不会在后台替你上传。

“做任务得会员—提交产品体验反馈”是可选的在线领奖任务。你主动进入任务页、填写真实使用体验并点击提交后，问题描述和你选择的最多 3 张去除原始 EXIF 的图片会上传；只有你另行选择诊断会话、阅读敏感内容提示并确认后，才会生成并上传可能包含文稿、热词、识别文本、算法事件、设备与应用信息、通用日志和麦克风音频的诊断 ZIP。日常智能跟读仍在设备端处理，不会自动上传文稿或音频。

任务材料通过短时、固定对象的上传地址进入中国境内的私有阿里云 OSS，Bucket 禁止公共读取。授权客服和管理员可查看描述和图片；诊断 ZIP 仅在排查需要时生成短时只读下载地址供授权开发人员使用。当前奖励审核由授权人员完成，不使用模型自动决定，也不将材料用于广告、用户画像或无关传播。

未完成的服务器草稿在 24 小时后关闭并清理；要求补充时，补充期限为 7 天。流程形成最终结果 30 天后，服务端删除描述、申诉正文、图片、缩略图和诊断 ZIP；删除失败会进入重试与积压监控。为防止重复领取并保留必要审计，我们继续保存不可逆摘要、材料种类与大小、原因码、审核记录、奖励账本和权益事件。

五、系统权限

仅在你主动拍摄录像或扫描 Windows 登录码、遥控连接码时使用相机，并在访问前取得相机授权。扫码画面在本机识别，不保存、不上传；拍摄功能按你的操作在本机保存录像，只有你主动分享或导出时才交给对应目标。拒绝只影响这些相机功能。 拍摄录像使用相机和麦克风前台服务；音频提取、视频镜像导出使用媒体处理前台服务，以维持你已启动的录制或处理任务。这些前台服务权限不会单独弹出授权框，也不替代相机或麦克风授权；应用不申请通知权限，仍按系统要求为运行中的前台服务提供通知。

无障碍服务仅用于系统相机或兼容第三方应用上方的悬浮智能跟读：承载悬浮提词窗，并让本机识别在其他应用录像时继续获取麦克风声音；它不读取或控制其他应用正文、按键、输入内容、密码或屏幕截图。应用会在进入系统设置前另行显著说明并取得独立明确同意。

Android 系统照片选择器和文件选择器仅授予对你主动选择项目的有限读取能力，不扫描无关目录。网络访问用于同意后的登录、智能跟读免费体验、会员、更新、反馈、支付、Countly 和 Microsoft Clarity；关闭网络后这些在线功能与分析不可用，但本地文稿、编辑和基础匀速提词仍可使用。 文稿同步也需要网络连接。

六、可选账号与交易服务

手机号、微信和 QQ 登录或绑定仅在你主动选择时启用。账号服务可处理经官方接口验证的第三方平台主体、头像和昵称，或手机号码、短信发送与校验记录、脱敏展示信息，用于认证、找回、安全校验和身份绑定；我们不获取第三方账号密码，短信验证码不作为长期凭证保存。

账号服务处理 Tdx 公开账号 ID、登录时间和结果、会话、会员状态、安装标识、设备厂商型号、系统版本、注册时间和最后活跃时间，用于账号认证、设备数量管理、权益、防攻击、争议处理和依法审计。用户日志不保存密码、短信验证码、OAuth 授权码或第三方 access token。

会员、兑换和订单服务处理产品、订单号、金额、币种、订单状态、支付渠道交易标识、支付时间、会员权益和兑换记录。只有你选择支付宝并确认支付后才调用 APP支付客户端SDK；我们向 SDK 提供服务端订单字符串，最终状态由服务端向支付宝核验，我们不会取得银行卡密码或支付密码。

邀请服务处理邀请码、邀请人与受邀人的内部账号标识、绑定时间、规则版本、奖励记录和必要的反滥用摘要。

账号注销有 7 天冷静期，期间可撤销。冷静期结束后，账号主体按规则删除或不可逆匿名化，剩余会员权益失效；本地文稿不会自动删除。依法需要保留的交易、安全和争议记录会在限定目的和期限内隔离保存。

七、共享、委托与第三方

我们不会出售个人信息。只有在提供你主动选择的登录、短信、支付、更新或分享功能所必需时，才按最小范围向相应服务提供方传输信息；对方作为独立处理者时适用其隐私规则，作为受托处理者时应受用途、保密和安全约束。

微信OpenSDK Android、QQ互联sdk（Android版本）、阿里云短信、APP支付客户端SDK、Microsoft Clarity Compose SDK、Google ML Kit、Sherpa-ONNX、ZXing、OkHttp、AndroidX、WorkManager 和系统选择器按对应功能使用。Google ML Kit 中文识别模型随 APK 提供，所选图片和识别结果仅在设备端处理，不发送给 Google 或我们的服务器。

我们使用本公司自托管的 Countly 社区版，不用于广告或跨应用画像。同意后，应用随机生成独立 UUIDv4 安装分析 ID，处理 Session、手动页面 View、固定白名单事件和经脱敏的 Release Java/Kotlin 未捕获致命异常；该 ID 不等同账号，不与账号、手机号、订单、支付标识或设备硬件标识合并。

体验反馈领奖任务使用阿里云对象存储 OSS 作为受托处理服务，仅在中国境内私有存储你主动提交的描述、图片和可选诊断 ZIP，用于材料接收、人工审核、故障排查和奖励争议处理。阿里云不得将材料用于广告或独立画像；我们通过私有 ACL、服务端加密、短时签名地址、最小权限和访问审计限制处理。

你同意后，Microsoft Clarity 作为独立第三方分析服务处理应用布局、平衡遮罩后的可见内容、点击/手势、应用错误和有限设备信息，以重建会话和生成热力图。Clarity 不用于广告定向，我们不向其设置 Tdx 账号、手机号、订单号或自定义用户 ID；具体处理受 Microsoft 隐私声明和 Clarity 条款约束。

八、第三方 SDK 公示

登录和支付 SDK 只在你主动使用相应功能时启用；Countly 与 Microsoft Clarity 只在你同意后启用。具体收集范围以本政策清单和各 SDK 官方隐私规则为准。

九、邀请奖励

你主动使用邀请奖励时，我们处理邀请码、邀请双方内部账号标识、绑定时间、规则版本和奖励发放记录。扫描邀请海报只会打开官网下载地址；受邀用户登录、主动填写邀请码并通过服务端校验后才建立关系。

符合规则的渠道可发放邀请会员时长。

为防止重复奖励、自邀或批量注册，我们使用安装标识和第三方主体的不可逆 HMAC 摘要进行一致性检查。原始第三方标识和具体风控规则不会在 App 或客服页面展示，异常关系或奖励可能被限制并人工复核。

十、保存、安全与跨境

本地文稿和设置保存在你的设备上，通常直到你主动删除、清除应用数据或卸载；跟读会话证据、通用日志、普通意见反馈图片草稿和系统分享缓存按本政策第三、四章的数量、容量和期限自动清理。体验反馈领奖任务的在线材料按本章约定另行保存和删除。

同意后，应用随机生成独立的 UUIDv4 安装分析 ID，并使用本公司自托管的 Countly 社区版处理 Session、手动页面 View、固定白名单事件和经脱敏的 Release Java/Kotlin 未捕获致命异常。该 ID 不等同账号，不与账号、手机号、订单、支付标识或设备硬件标识合并。

Countly 可处理应用版本和构建号、分发渠道、Android 主版本、归一化手机品牌、具体设备型号、手机或平板设备类型、屏幕像素分辨率、应用语言、登录状态、会员状态以及受控业务枚举，用于设备分布分析、兼容性定位和产品质量改进。Release Java/Kotlin 发生未捕获致命异常时，记录异常类型、类名、方法名、源文件行号及有限设备维度；异常原文、Breadcrumb、其他线程栈、任意自定义字段、已处理异常和 Native dump 均不采集。设备和行为信息可与随机安装 ID 关联，但不与账号、手机号、订单或硬件标识合并。Countly 不接收 IMEI、Android ID、MAC、广告标识、屏幕密度、运营商、位置、文稿或跟读/语音内容；IP 不作为 Countly 分析字段并在接入层清除转发和访问日志。内部管理员可以查看受控行为轨迹；Crash 后台只展示分组、次数、受影响安装数、版本、时间、脱敏调用栈及最近报告的受控现场，不展示安装 ID 或个人轨迹。为定位包括新异常类型在内的故障，还会记录构建号、渠道、最近功能页的固定代号、是否有处于可交互状态的应用页面、进程运行时长分档、主线程或工作线程类别，以及最近一个受控技术阶段及其距崩溃的时长分档；已识别的平台错误仅提取固定原因码和组件代号。仅保留最近现场，不记录历史操作序列、线程名称或任意业务参数；后台展示该分组最近一次报告的现场。 文稿编辑诊断还会记录保存类型（新建、修改、另存）、触发方式（自动、手动、离开页面或保存后操作）、处理结果、预检/恢复读取/本地事务阶段，以及固定的额度、校验、冲突、账号状态、存储或内部异常原因码。导入文件解析与图片文字识别失败单独记录固定原因码。这些 Countly 事件不包含文稿 ID、正文、标题、热词内容、文件路径、账号 ID、异常原文或随机关联操作 ID。保存失败的低敏日志也会保留在本机通用诊断日志和有界内存摘要中，只有你主动提交反馈或分享时才随诊断包发送。

可关联安装记录、最小唯一计数标记、逐条 Crash 和带脱敏调用栈的 Crash 分组最长保留 180 天；页面、事件和不含安装 ID/调用栈的 Crash 纯计数聚合最长保留 24 个月。撤回会立即停止 Countly、清除本地身份和队列并发起匿名删除，删除任务最多重试 30 天；已形成且无法回扣到个人的匿名聚合不会追溯扣减。账号、登录审计、邀请、订单和退款记录按提供服务、解决争议、防止重复权益以及法律规定所需期限保存。

我们采取应用私有存储、关闭系统云备份、HTTPS 传输、Android Keystore 凭证保护、手机号字段加密、访问控制、日志脱敏、权限最小化和安全审计等措施。账号、订单和会员业务记录存储在中国；第三方服务在其运营区域独立处理的信息受其规则约束。

体验反馈任务的未完成服务器草稿在 24 小时后关闭并清理；最终结果形成 30 天后删除描述、申诉正文、图片、缩略图和诊断 ZIP。阿里云 OSS 中的任务材料存储在中国境内，删除失败会持续重试并纳入积压监控；不可逆防重复摘要、审核决定、奖励账本、权益事件和必要安全审计可在实现奖励、防止重复领取、解决争议或履行法律义务所需期限内保留。

Microsoft Clarity 的普通会话回放数据通常保留 30 天；收藏或随机抽样会话以及点击/热力图数据最长保留 9 个月。撤回同意会在本机立即通知 Clarity 拒绝分析并暂停后续采集，但 Microsoft 目前不提供按单个 App 用户自助删除既有 Clarity 数据的接口；如需提出删除或其他权利请求，请通过本政策联系方式联系我们。

文稿云端回收站保留 30 天；会员到期后云端文稿保留 90 天，之后按规则清理。账号注销冷静期内停止同步并保留云稿，注销生效后异步清理云稿。云端清理不会远程擦除设备上应保留的本机文稿。

普通行为数据采用有数量和容量限制的本地待传队列，服务器接受发生于过去7天内的离线补传；崩溃报告仍仅接受过去72小时内的数据。超过时间或容量限制的记录可能被丢弃，不保证所有记录都能补回。Android匿名删除后的安装标识摘要保留14天，仅用于阻止迟到旧请求重新建立已删除的统计记录。以上处理不增加采集字段、统计身份关联或服务器可关联数据的最长保存期限。

十一、你的权利

在适用法律范围内，你有权知情、决定、限制或拒绝处理，并可请求访问、复制、更正、补充、删除个人信息、撤回同意、解释处理规则或注销账号。我们在核验身份后通常于 15 个工作日内答复。

你可以在 App 内编辑或删除本地文稿，在 Android 系统设置中关闭麦克风、悬浮窗或无障碍权限，在“我的—隐私与个人信息”撤回隐私同意，并在账号与安全页管理绑定、设备、退出登录或申请注销。撤回同意不会删除本地文稿，也不等同注销账号。

你可以在分享前取消诊断包、取消选择跟读会话或清理缓存。无法进入 App 时可通过官网账号删除页面或邮箱 tdxkefu@foxmail.com 联系我们；为保护账号和信息，我们可能要求核验身份。

在任务提交完成前，你可以取消上传或移除可选诊断 ZIP；审核结果页可按规则补充或申诉。对于已提交材料的访问、更正、删除或处理规则解释请求，可以通过本政策列明的联系方式提出，我们在核验身份后依法处理；为解决正在进行的奖励争议或履行法定义务，删除时间可能受适用法律限制。

你可以在首页同步入口暂停或恢复本设备同步，并在文稿回收站中按规则恢复或永久删除文稿。退出或切换账号不会强制上传未同步修改。

十二、未成年人保护

本服务不是专门面向不满 14 周岁未成年人的产品。未成年人应在父母或其他监护人阅读并同意本政策后使用，避免在文稿、图片或诊断包中提供不必要的个人信息。

基础离线功能不会要求未成年人注册账号。使用需要上传个人信息的账号或交易功能时，应由监护人指导并取得适用法律要求的同意；无法取得有效同意时，不应使用对应在线功能。监护人发现我们可能不当处理未成年人信息时，可通过本政策邮箱联系。

十三、政策更新

我们可能因功能、处理目的、信息种类、第三方服务或法律要求变化更新本政策，并在 App 和官网标明新的发布日期；新版自该日期起生效。

如果变更会显著影响你的个人信息权益，我们会通过应用内提示、弹窗或其他显著方式通知，并在法律要求时重新取得同意。未经明确同意，不会以政策更新为由减损你的法定权利。

十四、联系我们

运营者

沈阳天顶星网络科技有限公司

统一社会信用代码

91210124088957535L

联系邮箱

tdxkefu@foxmail.com

官网

https://teleprompter.yiroot.com/

如对本政策、个人信息处理或权利请求有疑问、意见或投诉，请通过该邮箱联系。

附录一、已收集个人信息清单

1.1 设备与应用信息

账号和更新等在线功能可按必要范围处理应用版本、渠道、网络和故障诊断信息。第一方账号与本机诊断不会读取 IMEI、IMSI、MAC 地址、广告标识或通讯录；这些第一方功能的 Android ID 仅在本机读取，用于派生不可逆加盐哈希形式的安装标识，原始值不存储、不上送。同意隐私政策后初始化本机诊断时会读取并派生该标识，同一身份对象内复用缓存，进程重启后可能重新读取；派生标识用于诊断关联及账号认证、设备管理和防重复奖励，这些第一方功能不上传原始 Android ID。 友盟+SDK（移动统计 U-App 和应用性能监控 U-APM） 仅在你同意当前隐私政策后初始化。U-App 用于统计启动、活跃、渠道、版本和使用时长；U-APM 仅启用 Java/Native 崩溃、应用无响应、卡顿和启动监控。友盟 SDK 按功能处理设备标识（Android ID/OAID/GUID/GAID，取决于设备与可用能力）、设备和系统信息、应用版本及渠道、网络状态与 IP、当前应用进程，以及异常堆栈和性能数据。本应用另外向友盟传入固定业务事件和页面代码、工具与提词场景、操作阶段、结果与失败原因代码、使用时长或时长桶、应用语言、是否登录及免费或会员状态、事件来源版本，用于分析功能使用、完成率和流失位置；这些维度均来自预定义列表。不会传入文稿内容或标题、文件名或路径、麦克风音频、照片、账号标识、手机号、订单号、支付流水、任务标识或其他自由文本。撤回同意后停止应用侧新增业务事件，不强制退出本次使用；当前进程中已经初始化的 SDK 不保证立即完整停止采集，下一次进程启动未重新同意就不初始化友盟。未开启内存、网络请求、页面、电量、代码日志、内存泄漏、H5 和 Flutter 专项监控。友盟的数据处理和用户权益机制参见其隐私政策：https://www.umeng.com/page/policy。 国内版另接入友盟高级运营分析组件（uyumao），在同意当前国内版隐私政策后，使用默认采集配置处理应用列表、已连接 Wi-Fi 路由器信息、Wi-Fi 列表、基站及可获得的位置相关信息，用于安装/卸载、流失召回分析及设备识别与校准。可取得的信息受 Android 版本、已有系统权限与系统限制影响；本应用不会为此新增或申请定位、电话、通知或查询全部应用权限，不保证上述字段均可取得。IMEI、IMSI、ICCID 和 Wi-Fi MAC 采集开关继续关闭。Google Play 版不接入该组件，应用列表采集保持关闭。

Countly 使用独立随机 UUIDv4 安装分析 ID；它不是账号 ID、手机号、订单号或硬件设备 ID。IP 不作为分析字段且在接入层清除转发和访问日志。可传输应用版本/构建号、渠道、Android 主版本、归一化手机品牌、具体设备型号、手机或平板设备类型、屏幕像素分辨率、应用语言、登录和会员状态。发生 Release Java/Kotlin 未捕获致命异常时，还可传输异常类型、含类名/方法名/源文件行号和固定技术诊断码的脱敏调用栈和上述有限设备维度；不传输异常原文、Breadcrumb、其他线程栈、任意自定义字段、Native dump、屏幕密度或硬件/广告标识。为定位包括新异常类型在内的故障，还会记录构建号、渠道、最近功能页的固定代号、是否有处于可交互状态的应用页面、进程运行时长分档、主线程或工作线程类别，以及最近一个受控技术阶段及其距崩溃的时长分档；已识别的平台错误仅提取固定原因码和组件代号。仅保留最近现场，不记录历史操作序列、线程名称或任意业务参数；后台展示该分组最近一次报告的现场。

1.2 账号、免费体验、交易与本地内容

手机号、第三方登录主体、登录令牌、智能跟读免费体验资格、订单、会员、邀请和反馈只在你主动使用对应功能时按必要范围处理。免费体验规则以 App 页面展示为准。

文稿、图片和文件的源文件、麦克风音频、识别结果、文本匹配和滚动状态默认只在设备内处理，不会作为源文件自动上传。你同意 Clarity 分析后，当前界面中未被平衡遮罩覆盖的可见文本或图片可能作为界面重建数据发送给 Microsoft；麦克风音频和本地文件本身不发送给 Clarity。工具页的内容风险检测使用随应用提供的离线规则；该本机工具不会向天顶星或第三方检测服务器上传文稿和检测内容。文稿同步中的上传检测另按下述说明处理。 剪贴板：在你使用文本选择或粘贴菜单时，文本组件可能读取剪贴板描述信息（如内容类型），用于判断是否可以粘贴，该检查不读取正文。只有你主动选择粘贴时，应用才读取当前剪贴板中的文本或链接，填入文稿编辑、文稿整理、内容风险检测或媒体链接输入框；不会为此在启动或后台轮询剪贴板，也不读取剪贴板历史。粘贴本身不触发上传；之后主动提交链接解析、分享或其他在线操作时，按对应功能说明处理。粘贴后显示在页面上的内容仍受本政策所述 Clarity 界面重建及遮罩规则约束。

文稿同步功能可用且你为有效专业版时，首页处于前台会自动同步归属该账号的文稿，并将尚未归属账号的活动文稿纳入。同步内容包括正文、标题、格式、提示标注、热词和分组。文稿及相关文字会上传至账号服务，并由阿里云内容安全服务进行风险内容检测；通过后保存在中国境内的私有云存储，用于同一账号的设备间同步，不作为公开内容发布。你可以暂停本设备同步，本机编辑不受影响；音视频、阅读进度和显示设置不纳入同步。

1.3 Countly 分析数据

同意后发送 Session、手动页面 View、活跃/新增、固定时长桶、退出原因、六类固定阶段事件，以及经脱敏的 Release Java/Kotlin 未捕获致命异常。登录、会员、购买和邀请事件只携带受控枚举；Crash 保留异常类型、代码位置和受控技术现场，不携带异常原文、账号、订单、支付流水或原始内容。为定位包括新异常类型在内的故障，还会记录构建号、渠道、最近功能页的固定代号、是否有处于可交互状态的应用页面、进程运行时长分档、主线程或工作线程类别，以及最近一个受控技术阶段及其距崩溃的时长分档；已识别的平台错误仅提取固定原因码和组件代号。仅保留最近现场，不记录历史操作序列、线程名称或任意业务参数；后台展示该分组最近一次报告的现场。 文稿编辑诊断还会记录保存类型（新建、修改、另存）、触发方式（自动、手动、离开页面或保存后操作）、处理结果、预检/恢复读取/本地事务阶段，以及固定的额度、校验、冲突、账号状态、存储或内部异常原因码。导入文件解析与图片文字识别失败单独记录固定原因码。这些 Countly 事件不包含文稿 ID、正文、标题、热词内容、文件路径、账号 ID、异常原文或随机关联操作 ID。保存失败的低敏日志也会保留在本机通用诊断日志和有界内存摘要中，只有你主动提交反馈或分享时才随诊断包发送。

内部管理员可能按随机安装 ID 查看受控事件轨迹。撤回后客户端删除身份并通过匿名删除接口清除可关联记录；服务端删除链路不接收账号 ID。

1.4 体验反馈领奖任务

你主动提交体验反馈领奖任务时，我们处理 Tdx 账号与设备的内部标识、反馈类型、问题描述、去除原始 EXIF 的图片、材料大小与 SHA-256、提交和审核状态、原因码、奖励记录，以及用于防止重复领取的设备防滥用 HMAC 摘要。

只有你主动选择并再次确认时，才处理诊断 ZIP；其中可能含完整文稿、热词、识别文本、算法事件、设备与应用基本信息、通用日志和麦克风音频。材料用于人工审核、问题排查、发放 3 天会员和争议处理，不用于广告、画像或当前版本的模型审核。

下载标点模型时，我们和下载源会接收 IP、文件请求及必要网络信息，用于文件交付。

附录二、第三方共享个人信息清单

附录三、SDK 与开源组件清单

3.1 业务 SDK

3.2 基础组件

附录四、系统权限使用清单

4.1 网络访问（无需单独系统授权）

网络访问用于你同意后的登录、智能跟读免费体验、会员与支付、更新、反馈、Countly 分析和 Microsoft Clarity 会话重建；未同意时不会初始化 Countly 或 Clarity 的 SDK 和分析请求。关闭网络只影响在线功能，本地文稿、编辑和基础匀速提词仍可使用。 文稿同步也需要网络连接。 可选模型下载也需联网，并使用数据同步前台服务显示下载通知。 同意后，友盟 U-App / U-APM 使用联网、网络状态和 Wi-Fi 状态权限完成统计与基础性能数据上报；Wi-Fi 状态用于检测网络和重连。包内保留广告标识 AD_ID 与厂商标识权限 freemme.permission.msa；设备标识的处理范围见友盟说明。未同意当前隐私政策时不初始化友盟 SDK。 国内版卸载分析组件不新增系统权限，仅在同意后使用本应用已有权限下可取得的信息；不会为此申请定位、电话、通知或查询全部应用权限。

4.2 相机

仅在你主动拍摄录像或扫描 Windows 登录码、遥控连接码时使用相机，并在访问前取得相机授权。扫码画面在本机识别，不保存、不上传；拍摄功能按你的操作在本机保存录像，只有你主动分享或导出时才交给对应目标。拒绝只影响这些相机功能。 拍摄录像使用相机和麦克风前台服务；音频提取、视频镜像导出使用媒体处理前台服务，以维持你已启动的录制或处理任务。这些前台服务权限不会单独弹出授权框，也不替代相机或麦克风授权；应用不申请通知权限，仍按系统要求为运行中的前台服务提供通知。

4.3 麦克风

仅在你主动开启智能跟读、语音转文稿、遥控麦克风或有声拍摄时申请麦克风权限，用于本机语音识别、向配对设备传送声音或录制视频声音。日常跟读不会自动上传声音，也不会把声音用于分析；为排查问题，最近最多 3 次会话证据可能在应用私有目录保存音频，只有你之后另行选择诊断会话、阅读提示并确认后，相应诊断材料才会分享或上传。拒绝后仍可使用匀速提词。

4.4 悬浮窗

仅在你主动选择悬浮提词时引导开启“显示在其他应用上层”，用于把提词内容显示在相机、直播等应用上方，不读取这些应用的内容。拒绝只影响悬浮提词，全屏提词和其他功能仍可使用。

4.5 无障碍服务

仅在你主动选择悬浮智能跟读时使用。进入系统设置前会显示独立显著说明并取得明确同意；无障碍服务承载悬浮提词窗，并让本机识别在其他应用录像时继续获取麦克风声音，不读取或控制其他应用正文、按键、输入内容、密码或屏幕截图，也不模拟点击或手势。授权本身不会自动上传文稿或声音，你可以随时在系统无障碍设置中关闭。拒绝后仍可使用匀速提词。

4.6 系统照片和文件选择器

应用不申请读取整个相册或媒体库。系统选择器仅授予对你主动选择项目的有限读取能力；取消选择不会影响其他功能。图片文稿一次最多选择 10 张，仅用于本机文件检查、排序、缩略图和设备端 OCR；视频镜像只读取你主动选择的单个视频，在本机预览和转码，并把新视频保存到系统相册。原始图片、原视频和处理结果不会自动上传。