一旦您勾选同意、点击"同意并继续"或以其他方式实际使用本应用，即表示您已充分阅读、理解并同意接受本政策的全部内容。如您不同意本政策的任何内容，请您停止使用本应用；您也可以按照本政策第九章的约定撤回同意或注销账号。
- 我们：指超凡守护桌面的开发者及运营者（个人开发者），为本应用个人信息处理的个人信息处理者（个人信息控制者）。
- 您/用户/个人信息主体：指使用本应用的自然人，包括以长辈身份使用长辈端的用户及以家属身份使用守护端的用户。
- 个人信息：指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
- 敏感个人信息：指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括但不限于生物识别信息、行踪轨迹、医疗健康信息等。本应用涉及的敏感个人信息详见第三章相应说明。
- 去标识化：指个人信息经过技术处理后，使其在不借助额外信息的情况下无法识别特定自然人的过程。
- 匿名化：指个人信息经技术处理后无法识别特定自然人且不能复原的过程。匿名化处理后的信息不属于个人信息。
- 删除：指在信息系统内使其不可被检索、访问、使用的过程。
- 账号注销：指您终止使用本应用，我们依法对您的个人信息进行删除或匿名化处理的过程。
- 单独同意：指您就处理敏感个人信息、向第三方提供个人信息等特定事项，通过点击确认等方式作出的单独、明确的同意。
- 绑定关系：指长辈端设备与守护端设备之间基于配对码建立的守护关联关系。
三、我们如何收集和使用您的个人信息
3.1 处理个人信息的合法性基础
我们仅在具有下列情形之一的合法事由时处理您的个人信息：
- 取得您的同意（涉及敏感个人信息的，取得您的单独同意）；
- 为订立、履行您作为一方当事人的合同（即本应用服务）所必需，例如设备登录、建立守护绑定关系；
- 为履行法定义务所必需，例如依据法律法规保存交易记录、日志；
- 为应对突发公共卫生事件，或者紧急情况下为保护您的或他人的生命、健康和财产安全所必需，例如SOS紧急求救、跌倒报警场景；
- 法律、行政法规规定的其他情形。
当处理目的、方式、种类发生变更时，我们将重新取得您的同意。
3.2【核心功能·必要】设备识别与自动登录
- 收集内容：设备型号、操作系统版本、设备唯一标识符（Android ID）、ROM指纹、主板信息、网络连接状态及WiFi信息。
- 使用目的：实现设备自动登录（无需您手动注册账号）、账号安全检测、封禁检查与风控。
- 必要性说明：该等信息为实现设备级登录所必需。如您不提供，您将无法登录及使用本应用。
3.3【核心功能·必要】守护绑定
- 收集内容：长辈端与守护端的绑定配对码及由此建立的绑定关系。
- 使用目的：建立、维持家属与老人之间的守护关系，作为位置守护、用药提醒、远程协助等功能的基础。
- 必要性说明：如您不提供，守护类功能将无法使用。您可随时解绑或注销以删除绑定关系。
3.4【核心功能·涉及敏感个人信息】位置守护
- 收集内容：经您授权"位置权限"后的精确位置信息（经度、纬度、定位时间），包括GPS定位与网络定位，以及在您授予后台位置权限后于后台持续收集的位置信息。
- 使用目的：实时位置查看、历史轨迹、走失防范、SOS定位、跌倒位置定位。
- 敏感个人信息提示：精确位置信息属于行踪轨迹类的敏感个人信息。我们仅会在您通过系统权限弹窗授权后收集；该授权属于您的单独同意，您可在系统设置中随时关闭。
- 拒绝的后果：您将无法使用位置守护相关功能，但不影响其他功能的使用。
3.5【扩展功能·涉及敏感个人信息】SOS紧急求救
- 收集内容：您设置的紧急联系人（姓名、电话号码，经您从通讯录中主动选择或手动输入）、拨打及发送求救短信时使用的电话号码与短信内容（含您的当前位置）。
- 使用目的：在老人遇到危险时一键拨打紧急联系人电话；在无法拨打电话时自动向紧急联系人发送含当前位置的求救短信。
- 使用场景说明：读取联系人权限仅用于您选择紧急联系人及显示来电联系人姓名；我们不会完整导出或上传您的通讯录。SOS功能仅在您或守护端主动触发时拨打电话、发送短信。
- 拒绝的后果：您将无法使用SOS紧急求救功能。
3.6【扩展功能】跌倒检测
- 收集内容：设备传感器数据（用于跌倒判定）、跌倒发生时的位置信息、相机权限（仅用于在跌倒报警时自动打开手电筒照明，不会拍摄您的照片或视频）。
- 使用目的：跌倒判定、跌倒报警及位置定位。
- 拒绝的后果：您将无法使用跌倒检测功能。
功能局限性声明：跌倒检测是基于设备传感器数据的辅助提示功能，不是医疗设备或健康监护仪器，受佩戴方式、跌倒姿态、设备状态等因素影响，可能存在误报或漏报，我们不对检测结果的完整性、及时性作出保证。跌倒报警发出后，请家属及时联系老人本人或周边人员确认实际情况，情况紧急时请立即拨打120等急救电话；本功能不能替代对老人的日常照护与看护。
3.7【扩展功能·涉及敏感个人信息】通话守护
- 通话记录上报：在您开启并授权后，收集来电号码、来电时间、通话时长、联系人姓名，并上传至服务器供守护端家属查看老人通讯情况。通话记录属于敏感个人信息，该功能为可选功能，您可拒绝授权或在系统设置中关闭"通话记录"权限，拒绝后不影响其他功能使用。
- 通话录音同步：在您开启并授权后，读取本机系统通话录音文件（包含通话双方的声音内容）并上传至服务器，供守护端家属在通话记录页查看与播放，用于帮助家属了解长辈通话情况（如排查陌生来电、诈骗电话）。通话录音属于敏感个人信息，本功能为可选功能：开启前我们会以专门页面（"是否开启「通话录音守护」"）向您说明并单独征得您的同意，您拒绝后我们不会上传任何录音，不影响其他功能使用。录音文件在服务器仅保留15天，到期自动删除；读取录音文件需您授予"所有文件访问"权限，您可随时在系统设置中关闭该权限以停止上传。
- 黑名单拦截：通过来电筛选服务（CallScreeningService）实现，当守护端家属将某号码加入黑名单后，长辈端来电时本应用自动拒接。需您在系统设置中将本应用设为"来电筛选应用"。
- 自动接听与来电悬浮卡片：通过通知监听服务（NotificationListenerService）识别微信语音/视频来电通知，触发"自动接听"或"来电悬浮卡片"。本应用仅监听微信来电通知，不会读取或上传其他应用的通知内容。
- 拨打与接听：电话权限用于SOS拨打电话及自动接听微信语音/视频电话（仅白名单联系人来电时）。
3.8【扩展功能】用药提醒
- 收集内容：药品名称、用药时间、剂量（通常由守护端家属设置）。
- 使用目的：按预设时间发出服药提醒、记录服药打卡情况、漏服提示。
- 拒绝的后果：不设置用药计划则不收集该等信息，不影响其他功能使用。
医疗相关免责声明：用药提醒仅为定时提醒工具，用于帮助记忆服药时间，不提供任何医疗服务，不构成医疗诊断、治疗建议、用药建议或健康指导。我们不对您设置的药品名称、剂量、用药频次的科学性、合理性、安全性进行任何审核、评估或判断，不识别药物相互作用、禁忌与不良反应，提醒内容完全来自守护端家属或您自行输入，不能替代执业医师、药师的专业意见。用药方案应由专业医师制定并遵医嘱执行；如出现漏服、误服、过量服用或身体不适等情形，请立即停止使用本功能并咨询医师、药师或及时就医。
3.9【扩展功能·涉及敏感个人信息】远程协助（屏幕共享与语音）
- 收集内容：经长辈端同意后的屏幕画面（MediaProjection捕获）、双向语音流、设备与网络信息。
- 使用目的：供守护端家属远程指导老人操作手机，协助过程中建立双向语音通话。
- 授权与控制：屏幕共享基于系统MediaProjection授权，采用以下二选一的授权方式：(a)每次远程协助时，长辈端用户在系统授权弹窗中主动点击同意；(b)长辈端用户本人预先在"共享屏幕授权自动点击"配置页中，将系统授权弹窗的确认操作绑定给本应用自动完成——该预先配置须由长辈端用户主动开启，配置后每次远程协助仍会在长辈端予以界面提示并显示共享中的显著标识，长辈端可随时关闭该配置恢复逐次确认。协助结束后立即停止捕获。
- 传输与存储：屏幕画面和语音通过WebSocket/WebRTC实时传输至守护端家属，不在服务器存储，会话结束即销毁。
- 拒绝的后果：长辈端拒绝授权的，该次远程协助无法进行，不影响其他功能使用。
3.10【扩展功能·涉及敏感个人信息】语音点读与声音复刻
- 屏幕文字识别：当您主动开启"语音点读"时，截取屏幕并使用Google ML Kit在设备端本地进行OCR文字识别（不上传图片）。
- 方言语音合成：普通话语音在本地合成；当您选择非普通话方言时，将屏幕文本发送至阿里云或火山引擎合成语音后返回播放，不存储文本内容，两引擎互为备份。
- 声音复刻：该功能会录制10-20秒语音并上传至阿里云生成自定义音色，用于方言语音点读。声纹属于敏感个人信息（生物识别特征），该功能为可选功能，我们在您首次使用时会单独向您说明；您可拒绝使用声音复刻功能，不影响其他功能正常使用。
- 录音权限：用于远程协助语音通话、语音点读与声音复刻，仅在对应功能运行时使用。
3.11【扩展功能】自定义自动化（点击器）
- 功能说明：允许您录制一系列点击/滑动操作步骤并保存为任务，可手动运行或定时触发，主要用于简化老人重复操作（如定时打卡、一键打开常用应用组合）。运行模式包含「悬浮运行」（显示蓝色圆形按钮，可循环执行）和「静默运行」（不显示界面，按预设次数执行后自动结束）。
- 数据存储：您录制的自动化步骤仅保存在本机，不会上传服务器；如您主动将任务分享至"点击器市场"，其他用户可下载该任务（不含任何个人数据）。
- 无障碍服务的使用：该功能通过无障碍服务实现，使用范围严格限定，详见3.13。
- 拟人化说明：为避免被某些应用误判为自动化脚本，本功能在点击时加入随机偏移（5~15像素）和随机时长（50~200毫秒），模拟真人操作行为。
- 使用限制：本功能仅用于辅助老人操作，禁止用于违反第三方应用服务协议或法律法规的场景（如自动化刷单、批量营销、规避风控、批量注册等），您需自行承担因不当使用产生的全部责任；情节严重的，我们有权终止向您提供服务。
- 拒绝的后果：您可拒绝开启该功能或关闭无障碍服务，拒绝后不影响其他功能使用。
3.12【扩展功能】适老输入法（自研）
- 组件说明：本应用内置自主研发的适老输入法（闭源组件），提供拼音、九键、手写、语音输入，并按老年人使用习惯做了改造（大字号、语音键长按、字词联想）。按键输入、拼音候选、词库联想均在设备端本地完成。
- 按键输入：输入法仅在本地处理您的按键输入，不会上传您输入的任何文字内容到服务器，包括密码、聊天内容等。
- 打字行为统计：为改进输入法候选排序与词库，我们会统计打字行为指标（输入模式、候选选择位次、纠错/放弃等事件类型及时长），不含任何按键编码与上屏文字内容；在密码类输入框中完全静默，不产生任何事件。统计事件匿名批量上报，仅关联设备标识。
- 剪贴板："悬浮剪贴板"功能可显示您最近复制的词条供快速粘贴，剪贴板内容仅保存在本机内存中，不会持久化存储或上传。
- 语音输入：通过系统语音识别或第三方语音引擎（阿里云/火山引擎）实现，识别请求仅在您主动使用语音输入时发送。
- 手写输入：当您使用手写输入时，笔迹会渲染为图片（白底黑笔迹PNG）经本项目服务器转发至阿里云（百炼qwen-vl-flash视觉模型）识别并返回候选字，该图片仅在传输与识别过程中瞬时处理，不作持久化存储。您可改用拼音、九键等其他输入方式以避免该上传行为。
- 词库：输入法词库与家人姓名词表默认仅保存在本机；仅当您使用"词库云端备份/恢复"功能时，才会将词库文件上传至本项目服务器（用于换机恢复），您可随时在应用内删除云端备份。
3.13 应用运行与无障碍服务
- 无障碍服务：本应用使用无障碍服务实现以下功能：自动接听微信语音/视频电话、自动点击授权按钮、语音点读屏幕内容、自定义自动化操作。使用范围严格限定于以下场景：(a)长辈端用户本人预先开启"共享屏幕授权自动点击"配置后，守护端远程发起协助请求时自动点击录屏授权按钮（详见3.9）；(b)白名单联系人来电时自动接听；(c)您主动开启"语音点读"功能时朗读屏幕文字；(d)您主动创建并运行的"自定义自动化"任务。
我们郑重承诺：不会通过无障碍服务收集您的密码、支付信息、银行账户等敏感内容，所有操作仅在本应用功能范围内执行，不会读取或上传您在其他应用中输入的敏感信息。
- 远程守护指令：在长辈端开启无障碍服务并完成相应预先配置的前提下，守护端家属可向长辈端远程发送以下指令：远程开启/关闭WiFi、定位等系统开关（"远程开关面板"）；远程解锁屏幕（按预先录制的滑动/点击手势执行）；远程唤起应用卸载界面（配合"自动卸载配置"自动点击确认）。上述自动化执行均以长辈端用户本人预先主动开启并配置为前提，长辈端可随时关闭无障碍服务或解除相应配置以终止该能力。
- 应用更新：本应用通过应用内更新机制检查并下载新版本APK文件，使用
REQUEST_INSTALL_PACKAGES权限调用系统PackageInstaller完成安装。下载使用HttpURLConnection直连服务器，不跳转浏览器或系统下载管理器；支持"后台下载"（关闭更新弹窗后下载继续并在通知栏显示进度）。更新元数据由服务器校验，APK文件由签名校验保障完整性。
- 应用列表：通过
QUERY_ALL_PACKAGES权限获取已安装应用列表，用于在老人桌面显示"全部应用"列表。该列表仅在本机显示，不会上传您的应用安装列表到服务器。
- 其他系统权限：悬浮窗（SOS悬浮按钮、桌面入口悬浮球、来电接听悬浮卡片、用药提醒灵动岛卡片、自动化操作台）；通知（用药提醒、跌倒报警、SOS求救、应用更新进度、自动化运行状态）；电池优化白名单（防止系统杀死后台服务，确保位置上报和跌倒检测正常运行）；开机自启动（重启后自动恢复守护服务）；精确闹钟（用药提醒准时响铃）；结束后台进程（仅在编辑自动化步骤时重置目标APP界面使用，不会无故结束其他应用）；修改系统设置（仅用于高德定位SDK的问题排查和缓存写入，不修改您的个人设置）；电话状态（防诈骗来电监测、白名单自动接听、SIM卡状态守护上报）；身体活动（读取硬件计步传感器统计当日步数，随设备状态上报守护端查看）；全屏通知（紧急提醒响铃时全屏展示提醒界面）；锁屏控制（失联自愈流程中临时解除锁屏）；卸载应用（配合封禁名单自动卸载应用）。
3.14【可选功能】反馈与客户支持
- 收集内容：您主动提交的问题描述、联系方式及截图。
- 使用目的：问题排查和用户支持。
- 必要性说明：该等信息由您主动提供，不提供不影响其他功能使用。
3.15 我们不收集的信息
郑重声明：本应用不会收集您的密码、支付信息、银行账户等敏感信息；不会上传您的应用安装列表；不会上传您通过适老输入法输入的任何文字内容；不会读取或上传微信来电通知以外的任何通知内容；不会进行个性化广告推送、用户画像及自动化决策（详见第五章）。除本政策明确披露的情形外，我们不会收集与实现上述功能无关的任何个人信息。
四、我们如何调用您的设备权限
本应用在向您提供相应功能时，会通过系统权限弹窗向您申请以下权限。您可以在系统"设置-应用管理-权限管理"中随时开启或关闭上述权限。以下为本应用的权限调用清单：
4.1 Android权限清单
| 权限名称 |
使用目的 |
调用时机 |
拒绝后果 |
| 位置（精确）/后台位置 |
位置守护、历史轨迹、SOS定位、跌倒定位 |
开启位置守护功能时；守护端查看位置时 |
无法使用位置守护功能 |
| 电话（拨打） |
SOS拨打、自动接听白名单来电 |
SOS触发时、白名单联系人来电时 |
无法使用SOS拨号、自动接听 |
| 电话（读取通话记录） |
通话记录上报守护端、黑名单拦截、白名单匹配 |
来电时、守护端查看时 |
无法使用通话守护功能 |
| 电话状态（READ_PHONE_STATE） |
识别来电状态（响铃/接听/空闲），用于防诈骗来电监测、白名单自动接听；检测SIM卡状态用于守护上报 |
来电时、守护端触发SIM状态检测时 |
防诈骗来电监测、SIM状态守护不可用 |
| 短信（发送/读取） |
SOS发送含位置的求救短信 |
SOS触发且无法拨通电话时 |
无法使用SOS短信求救 |
| 通讯录（读取联系人） |
选择紧急联系人、显示来电联系人姓名 |
您主动添加联系人时、来电时 |
无法选择紧急联系人 |
| 所有文件访问（MANAGE_EXTERNAL_STORAGE） |
读取本机系统通话录音目录，实现通话录音同步（经您单独同意后，详见3.7） |
开启"通话录音守护"并授权后，每小时后台检查新录音时 |
无法使用通话录音同步功能，不影响其他功能 |
| 相机 |
跌倒报警时自动打开手电筒（不拍摄照片/视频） |
跌倒报警触发时 |
报警时无照明 |
| 麦克风（录音） |
远程协助语音、语音点读、声音复刻 |
远程协助中、您主动开启点读或复刻时 |
无法使用语音相关功能 |
| 悬浮窗 |
SOS按钮、悬浮球、来电卡片、灵动岛、自动化操作台 |
对应功能开启时 |
对应悬浮界面不显示 |
| 通知 |
用药提醒、跌倒报警、SOS、更新进度、自动化状态 |
对应事件触发时 |
无法收到提醒通知 |
| 全屏通知（USE_FULL_SCREEN_INTENT） |
用药提醒、跌倒报警、SOS等紧急提醒响铃时全屏展示提醒界面 |
对应提醒触发且设备锁屏时 |
提醒以普通通知展示，锁屏时可能不易察觉 |
| 锁屏控制（DISABLE_KEYGUARD） |
失联自愈流程中临时解除锁屏以执行恢复操作（如误开飞行模式时恢复网络） |
仅守护端远程触发失联自愈时 |
失联自愈需人工处理 |
| 开机自启动 |
重启后恢复守护服务 |
设备开机时 |
需手动打开应用恢复守护 |
| 电池优化白名单 |
防止后台服务被杀，保障位置上报与跌倒检测 |
您按引导开启时 |
后台守护可能不稳定 |
| 精确闹钟 |
用药提醒准时响铃 |
到达设定用药时间时 |
提醒可能延迟 |
| 身体活动（ACTIVITY_RECOGNITION） |
读取硬件计步传感器统计当日步数，随设备状态上报供守护端查看 |
设备状态周期上报时 |
步数统计与守护端步数显示不可用，不影响其他功能 |
| 安装应用（REQUEST_INSTALL_PACKAGES） |
应用内更新安装新版本 |
您确认更新时 |
无法应用内更新 |
| 查询已安装应用（QUERY_ALL_PACKAGES） |
桌面"全部应用"列表（仅本机显示，不上传） |
您查看全部应用时 |
无法显示全部应用列表 |
| 卸载应用（REQUEST_DELETE_PACKAGES） |
守护端将应用加入封禁名单后自动卸载该应用（仅限封禁名单内的应用，详见3.13远程守护指令） |
守护端拉黑应用后 |
封禁应用自动卸载功能不可用 |
| 结束后台进程 |
编辑自动化步骤时重置目标APP界面 |
仅编辑自动化步骤时 |
编辑自动化时需手动清理 |
| 修改系统设置 |
高德定位SDK问题排查与缓存写入 |
定位异常时 |
定位问题排查能力受限 |
4.2 系统特殊服务
| 服务名称 |
使用目的 |
启用方式与退出方式 |
| 无障碍服务 |
自动接听微信来电、远程协助自动点击授权按钮、语音点读朗读、自定义自动化 |
需您在系统设置中手动开启；可随时在系统设置中关闭 |
| 通知监听（NotificationListenerService） |
仅识别微信来电通知，触发自动接听或来电悬浮卡片 |
需您在系统设置中授权；可随时关闭 |
| 来电筛选（CallScreeningService） |
黑名单号码自动拒接 |
需您将本应用设为系统"来电筛选应用"；可随时取消 |
| 输入法服务 |
适老输入法（Trime）拼音、九键、手写、语音输入 |
需您在系统设置中启用并切换；可随时切换回其他输入法 |
| 屏幕捕获（MediaProjection） |
远程协助时共享屏幕画面 |
每次均需长辈端在系统弹窗中确认；会话结束即停止 |
五、关于自动化决策的特别说明
本应用不进行自动化决策，不会通过计算机程序自动分析、评估您的个人行为习惯、经济状况、健康状况等，也不会用于定向推送商业广告或作出可能影响您个人权益的决策。所有功能触发均基于您的明确操作（如点击、设置定时任务等）或守护端家属的主动发起。
六、我们如何使用本地存储技术
本应用不使用Cookie及同类技术进行个人信息收集。为保障功能正常实现，本应用会在您的设备本地使用以下存储技术：
- SharedPreferences / EncryptedSharedPreferences：保存功能配置、绑定关系缓存等；敏感数据（如家属联系人、SOS号码、TTS API密钥）使用EncryptedSharedPreferences（AES-256-GCM）加密存储。
- 本地数据库与文件：保存自动化步骤、输入法词库、用药计划缓存等。
- 内存缓存：如悬浮剪贴板词条，仅保存在内存中，不持久化。
您可以随时通过系统"设置-应用管理-清除数据"清除本应用存储在本机的全部数据（该操作同时删除本机配置，请谨慎操作）；存储在服务器端的数据，您可通过注销账号或联系我们删除（详见第九章）。
七、我们如何共享、委托处理、转让、公开披露您的个人信息
7.1 共享
我们不会向第三方共享您的个人信息，但以下情形除外：
- 取得您的明确同意或单独同意；
- 为实现本政策第三章所述功能，向列明的第三方SDK提供方提供实现该功能所必需的信息（见7.1.1）；
- 您使用SOS求救功能时，我们将您的位置信息发送给您设置的紧急联系人（该行为系为实现您的求救目的所必需）；
- 根据法律法规、法律程序的要求或政府主管部门的强制性要求。
7.1.1 第三方SDK清单
为向您提供完整功能，本应用集成了以下第三方SDK。我们仅向SDK提供方共享为实现其功能所必需的信息；各SDK对所收集信息的独立处理行为，受其各自隐私政策约束：
| SDK名称/提供方 |
使用目的与场景 |
共享信息类型 |
处理说明与隐私政策 |
高德定位SDK、高德地图SDK、高德Web服务API
（高德软件有限公司） |
地图显示、定位、位置搜索、轨迹记录；逆地理编码（经纬度转中文地址）；按定位地查询天气 |
位置信息（经纬度）、设备标识信息（IMEI/OAID/Android ID/MAC地址）、网络信息 |
逆地理编码与天气查询由高德Web服务接口在中国境内完成，相关信息不会出境
lbs.amap.com/pages/privacy |
阿里云百炼CosyVoice语音合成 / qwen-vl-flash视觉识别
（阿里云计算有限公司） |
9种方言语音合成（普通话、四川话、广东话、河南话、湖南话、山东话、安徽话等），用于"语音点读"朗读屏幕文字；输入法手写识别（笔迹图片识别为候选字） |
待合成的文本内容、手写笔迹图片、设备标识信息、网络信息 |
语音点读仅当您主动开启并选择非普通话方言时发送文本，不存储文本内容；手写识别的笔迹图片仅瞬时处理、不持久化存储
help.aliyun.com/document_detail/42967 |
火山引擎豆包语音2.0
（北京火山引擎科技有限公司） |
7种方言语音合成，用于"语音点读"（与阿里云互为备份，任一引擎失败时自动回退） |
待合成的文本内容、设备标识信息、网络信息 |
通过WebSocket连接发送文本合成语音，不存储文本内容
volcengine.com/docs/6349/127456 |
适老输入法
（本应用自研组件，闭源） |
老年人优化的大字号输入法（拼音、九键、手写、语音） |
按键输入本地处理，不收集；语音/手写识别见上表对应云端服务行 |
按键输入与联想在本地完成，不上传文字内容；手写/语音仅在使用对应输入方式时经服务器中转至云端识别 |
LiveKit Android SDK
（LiveKit Inc.） |
远程协助屏幕共享与语音通话 |
设备信息、网络信息、音视频流（远程协助时） |
仅当长辈端同意远程协助后，通过WebRTC实时传输，不存储在服务器
livekit.io/privacy |
OkHttp
（Square Inc.） |
HTTP网络通信与WebSocket连接 |
不主动收集个人信息（网络请求库） |
作为网络通信库传输应用业务数据，不独立收集个人信息 |
ML Kit Text Recognition（Chinese）
（Google LLC） |
语音点读模式下识别屏幕文字用于朗读 |
屏幕截图（端侧处理） |
OCR识别在设备端完成，不上传图片到服务器
policies.google.com/privacy |
ZXing
（开源项目，Apache-2.0） |
生成绑定码二维码、扫码绑定家属 |
不收集个人信息 |
二维码生成与识别均在本地完成，不上传任何数据 |
7.2 委托处理
以下服务由受我们委托的处理者以我们的名义处理您的部分个人信息，我们通过服务协议等方式约束其按照本政策、法律法规及国家标准的要求处理个人信息，并采取必要的安全保障措施：
- 短信宝（api.smsbao.com）：当您使用手机号登录时，由本项目服务器调用该短信通道下发验证码。除下发验证码所必需的手机号码与验证码内容外，不向该服务商提供您的其他个人信息。
7.3 转让
我们不会将您的个人信息转让给任何第三方。如发生合并、收购、资产转让等交易，我们将要求新的持有方继续受本政策约束；如变更后的处理目的、方式发生变化的，我们将要求其重新向您取得同意。
7.4 公开披露
我们不会公开披露您的个人信息，但取得您单独同意的除外，或依据法律法规、法律程序的要求或政府主管部门的强制性要求所必需的。
7.5 依法豁免情形
依据法律法规及国家标准，以下情形中处理个人信息无需取得您的同意：
- 为订立、履行您作为一方当事人的合同（即本应用服务）所必需；
- 为履行法定义务所必需；
- 为应对突发公共卫生事件，或者紧急情况下为保护您的或他人的生命、健康和财产安全所必需（如SOS紧急求救、跌倒报警）；
- 在合理范围内处理您自行向社会公众公开的或者其他已经合法公开的个人信息；
- 法律法规规定的其他情形。
八、我们如何存储和保护您的个人信息
8.1 存储地域
您的个人信息存储于中华人民共和国境内的服务器（阿里云华北节点），不会跨境传输，不存在向境外提供个人信息的情形。本应用的地址解析（逆地理编码）与天气查询均通过境内服务商（高德）在中国境内完成。
8.2 存储期限
- 功能存续期间：为实现本政策所述目的所必需的期间内，我们持续保存您的相关信息（如绑定关系、位置历史、用药计划）。
- 删除时限：当处理目的已实现、您注销账号或申请删除后，我们将在15个工作日内删除或匿名化处理您的个人信息。
- 法定留存例外：法律法规另有规定的除外（如审计日志保留期不少于6个月）。超出法定留存期限后，我们将删除或匿名化处理相关数据。
8.3 安全保护措施
我们采用业界通行的安全技术和管理措施保护您的个人信息，包括：
- 传输加密：数据全程通过HTTPS加密传输；远程协助音视频通过WebRTC/WebSocket安全通道实时传输。
- 存储加密：客户端敏感数据（如家属联系人、SOS号码、TTS API密钥）使用EncryptedSharedPreferences（AES-256-GCM）加密存储在设备本地。
- 访问控制：服务器端严格控制数据访问权限，仅授权运维人员可在审计日志下访问。
- 审计日志：所有管理端对用户数据的访问均记录审计日志，保留期不少于6个月。
- 备份关闭：我们已关闭Android应用备份功能（android:allowBackup="false"），防止通过adb备份泄露您的数据。
- 最小必要：我们仅收集实现功能所必需的最少信息，并在达到目的后及时删除。
8.4 安全事件处置
我们制定了网络安全事件应急预案。如不幸发生个人信息安全事件（如泄露、篡改、丢失），我们将按照法律法规及国家标准的要求，及时启动应急预案、采取补救措施，告知您事件的基本情况和可能的影响、我们已采取或将要采取的处置措施，并按规定向履行个人信息保护职责的部门报告。我们将以站内通知、弹窗等方式告知您；难以逐一告知的，我们将采取合理、有效的方式发布公告。
风险提示：互联网环境并非百分之百安全，任何安全措施都无法保证绝对无风险。请您妥善保管您的设备，不要将设备交由不信任的人使用，并保持操作系统为最新版本。如发现您的个人信息被泄露，请及时联系我们。
九、您的权利
在您使用本应用期间，您对自己的个人信息依法享有以下权利。行使以下权利时，为保障您的信息安全，我们可能会要求您提供必要的身份核验信息：
- 知情权与决定权：您有权知悉、限制或拒绝我们处理非必要信息；有权拒绝我们处理您的个人信息（撤回同意后我们将停止相应处理，但不影响撤回前基于您的同意已进行的处理）。
- 查阅、复制权：您有权向我们申请查阅、复制您的个人信息。经身份核验后，我们将在15个工作日内向您提供。
- 更正、补充权：您发现我们处理的个人信息有误或不完整的，有权要求我们更正、补充。
- 删除权：在下列情形下，您有权要求我们删除您的个人信息：(a)处理目的已实现、无法实现或者为实现处理目的不再必要；(b)您撤回同意；(c)您注销账号；(d)我们违反法律法规或违反约定处理个人信息。法律法规规定的留存情形除外。
- 权限管理：您可以随时在系统"设置-应用管理-权限管理"中开启或关闭位置、相机、麦克风、联系人、通话记录等权限；关闭后相应功能将无法使用，但不影响其他功能。
- 撤回同意：您可以在应用设置中撤回隐私政策同意；撤回后我们将停止收集您的信息，但您可能无法继续使用本应用。
- 账号注销：您可以通过应用内"我的"-"问题反馈"或联系客服申请注销账号。注销后我们将停止为您提供服务，并在15个工作日内删除您的个人信息（法律法规要求留存的除外）。注销操作不可逆，请您谨慎操作。
- 可携带权：符合法律法规规定条件时，您有权要求我们将您的个人信息转移至您指定的其他个人信息处理者。
- 解释说明权：您有权要求我们对本政策及个人信息处理规则进行解释说明。
响应时限：我们将在收到您的请求并核验身份后15个工作日内予以响应。如您的请求超出上述时限，我们将向您说明理由。
投诉与救济：如您对我们的响应不满意，特别是您认为我们处理个人信息的行为损害了您的合法权益，您还可以向网信部门等履行个人信息保护职责的部门进行投诉、举报或寻求行政救济、司法救济。
十、我们如何保护未成年人信息
本应用面向老年用户设计，不针对未成年人提供服务，亦不会主动收集未成年人的个人信息。
- 不满十四周岁的未成年人：我们不会收集其个人信息。监护人如发现在未事先取得监护人同意的情况下收集了未成年人个人信息的，请立即通过第十一章的联系方式联系我们，我们将尽快删除相关信息。
- 已满十四周岁不满十八周岁的未成年人：应在监护人陪同下阅读本政策，并在取得监护人同意后使用本应用。
十一、本隐私政策如何更新
我们可能会适时对本政策进行修订。当发生下列情形之一的重大变更时，我们将通过应用内弹窗等方式向您告知，并在本页面公示修订内容：
- 处理目的、处理方式、个人信息种类发生重大变化；
- 向第三方共享个人信息的对象、方式、种类发生重大变化（含第三方SDK的重大变更）；
- 您参与个人信息处理的权利及其行使方式发生重大变化；
- 开发者主体、联系方式发生变更；
- 发生重大安全事件。
如您不同意修订后的内容，您可以停止使用本应用或申请注销账号；您继续使用本应用的，视为您已充分阅读、理解并同意接受修订后的隐私政策。
历史版本：您可以通过第十二章的联系方式向我们索取本隐私政策的历史版本。
十三、附则
- 政策关系：本政策为用户协议的重要组成部分及补充，与用户协议具有同等法律效力。就个人信息处理事项，本政策与用户协议或其他公示文件不一致的，以本政策为准。
- 通知送达：我们通过应用内弹窗、通知或官方网站公示等方式向您发出的通知，自发布或弹出之时视为送达。
- 可分割性：本政策任何条款若被认定为无效或不可执行，不影响其余条款的效力。
- 条款标题：本政策的章节标题仅为阅读方便而设，不影响条款的解释。
- 权利保留：任何情况下，我们未主张或迟延主张本政策项下的任何权利，不构成对该权利的放弃。
- 法律适用：本政策的订立、效力、解释、履行及争议解决均适用中华人民共和国法律（不含港澳台地区法律）。
- 争议解决：您与我们之间因本政策或本应用产生的任何争议，双方应首先友好协商解决；协商不成的，任何一方均有权向有管辖权的人民法院提起诉讼。
- 生效：本政策自文首载明的生效日期起施行，并取代此前版本。
附录：个人信息收集清单
以下为本应用收集的全部个人信息清单，依据《个人信息保护法》和《App违法违规收集使用个人信息行为认定方法》要求公示：
| 个人信息类型 |
具体字段 |
使用目的 |
使用场景 |
是否必要 |
| 设备标识 |
Android ID、设备型号、系统版本、ROM指纹、主板信息 |
设备自动登录、封禁检查、安全风控 |
APP启动时 |
必要 |
位置信息
（敏感） |
经度、纬度、定位时间 |
位置守护、实时位置查看、历史轨迹、SOS定位 |
守护端发起查看或SOS触发 |
必要（位置守护功能），可拒绝授权 |
| 通讯录信息 |
联系人姓名、电话号码（您主动选择的紧急联系人） |
设置紧急联系人、SOS拨打/发短信 |
用户主动添加联系人时 |
必要（SOS功能） |
通话记录
（敏感） |
来电号码、来电时间、通话时长、联系人姓名 |
上报服务器供守护端家属查看老人通讯情况、黑名单拦截、自动接听白名单匹配 |
来电时、守护端查看时 |
非必要（可选功能） |
| 用药信息 |
药品名称、用药时间、剂量 |
定时服药提醒（仅为提醒工具，不构成医疗建议）、服药打卡记录、漏服提示 |
守护端设置用药计划时 |
非必要（可选功能） |
活动信息（步数）
（敏感） |
当日步数（数值） |
统计长辈当日活动量，供守护端查看 |
设备状态上报时 |
非必要（可选功能，可拒绝授权） |
| 绑定关系 |
长辈端与守护端绑定配对码 |
建立家属与老人的守护关系 |
扫码/输入绑定码时 |
必要（核心功能） |
| 文本内容（瞬时） |
屏幕文本片段 |
语音点读时合成方言语音 |
用户主动开启点读时 |
非必要（可选功能） |
| 手写笔迹图片（瞬时） |
手写输入面板渲染的笔迹PNG图片 |
手写识别：经服务器转发至阿里云视觉模型识别为候选字 |
用户主动使用手写输入时 |
非必要（可选，可改用拼音/九键） |
| 屏幕画面（瞬时） |
屏幕图像帧、音频流 |
远程协助时实时共享给守护端 |
长辈端同意协助后 |
非必要（可选功能） |
声纹
（敏感） |
10-20秒语音录音 |
声音复刻，生成自定义音色用于方言语音点读 |
用户主动使用声音复刻功能时 |
非必要（可选功能），需单独同意 |
| 反馈内容 |
问题描述、截图（用户主动上传） |
问题排查和用户支持 |
用户主动提交反馈时 |
非必要（可选功能） |
说明："必要"是指不收集则对应核心功能无法使用的信息；"非必要"是指您可拒绝提供或拒绝授权，且不影响其他功能使用的信息。本应用不会收集您的密码、支付信息、银行账户等敏感信息。声音复刻功能涉及声纹（敏感个人信息），该功能为可选功能并需您单独同意，您可拒绝使用，不影响其他功能。用药提醒仅为定时提醒工具、跌倒检测仅为辅助提示手段，均不构成医疗建议，不能替代专业医护人员的判断与处置（详见3.6、3.8条）。