适用于 0.5.0 联网账户版本
旅报通隐私政策
1. 适用范围与处理原则
旅报通用于差旅标准查询、行程和票据整理、本地报销计算及个人权益管理。我们遵循目的明确、最小必要和本地优先原则：账户服务只处理登录、权益和交易核验所需数据，不接收行程、票据、金额、OCR 图片、OCR 文字、备份或导出材料。
差旅标准查询无需登录。建立首单报销、购买或恢复权益时，需要使用中国大陆手机号注册或登录。应用不接入广告、跨应用跟踪或以个人数据训练 OCR/AI 模型。
2. 本机业务数据与端侧识别
用户主动填写或导入的姓名或称呼、单位选择、人员身份、行程、地点、日期、票据原文件、发票字段、付款凭证、报销金额、规则结果、OCR 图片、OCR 文字、人工修正、备份和导出材料，只保存在当前浏览器或应用的本地存储及文件库。
- iOS：使用 Apple 系统 Vision 在设备端提取候选文字。
- 华为 Android：在用户同意本政策并主动识别时，使用安装包内置的华为机器学习服务 Full SDK 中文模型执行端侧 OCR。
- PWA：使用浏览器提供的文件或拍摄入口，用户主动选择内容后才处理。
识别结果是待核对的候选信息，不承诺税务验真。账户注销不会自动删除本机业务数据，因为这些内容从未上传到账户服务。
3. 账户与安全数据
账户服务可能处理下列最小数据：
- 手机号，用于验证码发送、登录和账户找回；
- 可选密码的随机盐、PBKDF2 派生值和参数，不保存明文密码；
- 旅报通账户标识、会话令牌摘要、创建和更新时间；
- 免费次数、单次权益、个人 365 天权益有效期及幂等事件；
- 平台商品 ID、平台交易引用、购买状态、购买时间及退款或撤销状态。
验证码五分钟有效，同手机号最多每分钟 1 次、每小时 5 次、每天 10 次。验证码摘要和发送控制记录最长保存 24 小时；会话最长有效 30 天，到期后由每日维护清理。
为限制同一网络批量切换手机号申请验证码，服务端从函数计算直连请求上下文取得连接源 IP，仅在内存中用独立秘密生成不可逆 HMAC 安全指纹。原始 IP 不入库，指纹不含手机号或账户标识、最长保存 24 小时，仅用于同一来源每小时最多 20 次、滚动 24 小时最多 50 次的安全限制，不用于广告、跟踪、画像或跨业务关联。
4. 支付与权益
iOS 使用 Apple In-App Purchase，华为 Android 使用 Huawei IAP，PWA 使用网页收银台。支付卡号、银行账号、支付密码和收银台凭据由相应平台或金融机构处理，旅报通不读取或保存。
旅报通只接收核验权益、避免重复入账、恢复购买、处理退款或撤销和依法对账所需的商品标识、交易引用、支付状态与时间。个人 365 天权益为一次购买授予 365 天使用期，不自动续费。
5. 服务商、SDK 与处理地域
- 阿里云中国站：账户接口、RDS PostgreSQL 数据库和短信服务部署于中国大陆华东 2（上海），用于账户、权益、验证码和交易核验；账户数据不主动跨境传输。
- Ionic Capacitor：用于原生容器、生命周期、相机或相册选择、键盘和系统分享；旅报通未接入 Capacitor 广告、分析、推送或定位插件。
- 华为机器学习服务 SDK：处理用户主动选择的图片、设备型号和系统版本、网络类型、应用及接口调用信息，以完成端侧文字识别和服务分析。华为合规说明记载相关个人信息处理后立即删除、不涉及存储。旅报通不把图片、识别文字或结果上传到账户服务。
- Huawei IAP 与 AppGallery Connect Core：用于收银台、购买查询、恢复、核验和消耗数字权益。华为隐私声明记载交易信息保存在中国境内北京和河北廊坊，保存 7 年后删除。
- Apple：App Store、StoreKit 2 与系统 Vision 按 Apple 的平台规则处理下载、支付、设备和账户信息。旅报通仅接收完成权益核验所需的商店交易结果。
6. 保存期限
- 验证码与来源 HMAC 安全指纹：最长 24 小时；
- 会话：最长 30 天，注销、退出或到期后失效并清理；
- 手机号、密码派生值、账户和有效权益：账号存续期间保存；
- 旅报通依法对账所需的交易引用和状态：按适用财务、税务和争议处理期限隔离保存；
- Huawei IAP 处理的交易信息：按华为官方声明在中国境内保存 7 年；
- 本机行程、票据和导出材料：由用户控制，直至用户清空、卸载或清除应用数据。
7. 设备能力与权限
- 相机、照片和文件：仅在用户主动拍摄或选择时处理指定内容，不扫描整个照片库或文件系统。
- 网络：用于账户、验证码、购买核验和获取公开政策页面；不上传本机业务数据。
- 系统分享：仅在用户主动分享时打开，接收方由用户选择。
- 文件完整性：使用 SHA-256 生成本机文件校验值，用于查重和证据链，不用于身份识别。
Android 源应用只显式申请网络权限；拍摄、照片或文件通过系统选择器或外部相机完成。iOS 和 PWA 由系统或浏览器在使用时展示相应授权。
8. 查询、更正、注销与删除
用户可在应用“账户与权益”中查看账户和权益、退出登录或注销账户。注销后删除会话，并删除或匿名化手机号和密码凭据；依法必须保留的交易、财务或安全记录按明确期限隔离保存。
本机行程、票据、金额和备份可在应用内清空，也可通过操作系统或浏览器清除应用数据。需要查询、更正账户信息或处理隐私请求时，可联系隐私邮箱；我们可能在最小范围内验证账户归属，但不会索取密码或验证码。
9. 安全、未成年人和政策更新
账户接口使用 HTTPS、短连接、来源限制和最小数据表；密码、令牌和验证码只保存摘要。任何网络或本地存储都无法保证绝对安全，请勿在非信任设备上处理敏感票据。
旅报通面向工作人员处理公务或企业差旅，不以未成年人为目标用户。若功能、服务商、SDK、数据类型、处理地域或保存期限发生实质变化，我们会先更新本政策和商店披露，并在依法需要时重新取得同意。
10. 联系我们
隐私事务：lvbaotong-privacy@goushiyunapp.com
一般支持：lvbaotong-support@goushiyunapp.com
安全问题：lvbaotong-security@goushiyunapp.com
公开电话：132 0840 5098
请勿通过电子邮件或电话提供密码、验证码、完整身份证件、银行卡信息、真实票据原件或涉密材料。