适用于 0.5.0 联网账户版本
旅报通隐私政策
1. 适用范围与处理原则
旅报通用于差旅标准查询、行程和票据整理、本地报销计算及个人权益管理。我们遵循目的明确、最小必要和本地优先原则：账户服务只处理登录、权益和交易核验所需数据，不接收行程、票据、金额、OCR 图片、OCR 文字、备份或导出材料。
差旅标准查询无需登录。建立首单报销、购买或恢复权益时，需要使用中国大陆手机号注册或登录。应用不接入广告、跨应用跟踪或以个人数据训练 OCR/AI 模型。
2. 本机业务数据与端侧识别
用户主动填写或导入的姓名或称呼、单位选择、人员身份、行程、地点、日期、票据原文件、发票字段、付款凭证、报销金额、规则结果、OCR 图片、OCR 文字、人工修正、备份和导出材料，只保存在当前浏览器或应用的本地存储及文件库。保存、打印或分享 PDF 时，应用会在当前设备生成文件；原生应用可能把该 PDF 临时写入本机应用缓存，供系统文件、打印或分享界面读取。保存 PDF、TXT、复核记录或备份时，原生应用将材料临时写入本机应用缓存，保存位置由用户在系统文件窗口中选择；保存结束、取消保存或系统打印结束读取后清理本次临时副本，清理未完成时在页面提示。明确取消分享时也清理本次副本；分享完成或结果不明时，为供接收方延后读取，副本继续保留在系统可回收的应用缓存中。
- iOS：使用 Apple 系统 Vision 在设备端提取候选文字。
- PWA：用户主动选择或拍摄图片后，使用随网页候选提供的本地文字识别模型在当前设备处理。
- 华为 Android：在用户同意本政策并主动识别时，使用安装包内置的华为机器学习服务 Full SDK 中文模型执行端侧 OCR。
识别结果是待核对的候选信息，不承诺税务验真。账户注销不会自动删除本机业务数据，因为这些内容从未上传到账户服务。
3. 账户与安全数据
账户服务可能处理下列最小数据：
- 手机号，用于验证码发送、登录和账户找回；
- 可选密码的随机盐、PBKDF2 派生值和参数，不保存明文密码；
- 旅报通账户标识、会话令牌摘要、创建和更新时间；
- 免费次数、单次权益、个人 365 天权益有效期及幂等事件；
- 平台商品 ID、平台交易引用、购买状态、购买时间及退款或撤销状态。
验证码五分钟有效，同手机号最多每分钟 1 次、每小时 5 次、每天 10 次。验证码摘要和发送控制记录最长保存 24 小时；会话最长有效 30 天，到期后由每日维护清理。
为保持登录，本机保存登录令牌、账户标识、脱敏手机号及权益信息，不保存登录密码或短信验证码。iOS 将这些信息保存在系统钥匙串中；华为 Android 使用系统密钥加密后保存在应用私有目录中，均不随应用备份迁移。原生应用重新打开时会恢复登录并校验账户；网页版仅使用当前浏览器会话存储。退出登录、注销或校验发现登录失效时，应用会清除本机登录信息；清除失败会提示。本机行程、票据和导出材料另行保存，退出登录不会删除这些资料。
为限制同一网络批量切换手机号申请验证码，服务端从函数计算直连请求上下文取得连接源 IP，仅在内存中用独立秘密生成不可逆 HMAC 安全指纹。原始 IP 不入库，指纹不含手机号或账户标识、最长保存 24 小时，仅用于同一来源每小时最多 20 次、滚动 24 小时最多 50 次的安全限制，不用于广告、跟踪、画像或跨业务关联。
4. 支付与权益
iOS 使用 Apple In-App Purchase，华为 Android 使用 Huawei IAP，PWA 使用网页收银台。支付卡号、银行账号、支付密码和收银台凭据由相应平台或金融机构处理，旅报通不读取或保存。
旅报通只接收核验权益、避免重复入账、恢复购买、处理退款或撤销和依法对账所需的商品标识、交易引用、支付状态与时间。个人 365 天权益为一次购买授予 365 天使用期，不自动续费。
5. 服务商、SDK 与处理地域
- 阿里云中国站：账户接口、RDS PostgreSQL 数据库和短信服务部署于中国大陆华东 2（上海），用于账户、权益、验证码和交易核验；账户数据不主动跨境传输。
- Ionic Capacitor：用于原生容器、生命周期、相机或相册选择、键盘、本机文件缓存和系统分享；旅报通未接入 Capacitor 广告、分析、推送或定位插件。
- 华为机器学习服务 SDK：当前接口在本机处理用户主动选择的图片，图片和识别结果不上旅报通账户服务。SDK 另处理设备型号和系统版本、网络类型、运营商标识及服务国家码、应用信息和接口信息；官方隐私声明记载运营统计数据会上传华为服务器，保留 2 年后删除。 华为 ML SDK 隐私声明
- Huawei IAP 与 AppGallery Connect Core：购买请求向 Huawei IAP SDK 传入商品信息和旅报通账户标识，用于购买与恢复权益对应；SDK 还处理接口调用信息和交易记录。官方 SDK 声明记载交易信息保存在中国境内北京和河北廊坊，保存 7 年后删除。AppGallery Connect Core 用于应用配置初始化。 Huawei IAP SDK 隐私声明
- 华为收银台服务：华为还会按您使用的功能和支付方式处理华为账号、设备和网络、交易及支付验证等信息，并可能关联华为钱包。华为的第三方清单按微信、支付宝、华为支付、银行卡或 Worldpay 等方式列明不同接收方；使用 Worldpay 绑定或付款的特定支付场景涉及英国处理，具体以实际选择的服务及华为告知为准。旅报通不读取或保存收银台密码、银行卡号等支付凭据。 华为应用内支付服务隐私声明
- 关联启动：使用 ML 或 IAP 服务时可能启动 HMS Core，具体受设备及 SDK/能力插件版本影响。HMS Core 官方说明还列有设备标识、错误日志、接口调用时间、应用及设备和网络信息，用于稳定运行、安全和结算等目的。AGConnect Core 仅在同意当前隐私政策并使用识别或支付功能时初始化。 HMS Core 隐私说明
- Apple：App Store、StoreKit 2 与系统 Vision 按 Apple 的平台规则处理下载、支付、设备和账户信息。旅报通仅接收完成权益核验所需的商店交易结果。
6. 保存期限
- 验证码与短期安全指纹：最长 24 小时；
- 会话：最长 30 天，注销、退出或到期后失效并清理；
- 手机号、密码派生值、账户和有效权益：账号存续期间保存；
- 旅报通依法对账所需的交易引用和状态：按适用财务、税务和争议处理期限隔离保存；
- 华为 ML SDK 的运营统计数据：上传华为服务器并保留 2 年后删除；当前端侧识别图片不适用该运营数据保留期。
- Huawei IAP SDK 交易信息：官方 SDK 声明记载保存 7 年；华为收银台服务按用途另行规定，购买相关信息最长 7 年，部分信息在华为账号销户后 1 小时内删除；运营与维护最长 5 年、风险控制最长 3 年、帮助与客服最长 2 年；
- HMS Core 其他运行与安全信息：按所用能力和处理目的所必需的期限保存，超期删除或匿名化；
- 本机行程、票据和原文件：由用户控制，直至主动清空、卸载或清除应用数据；用于系统保存、打印或分享的 PDF 缓存也可能由系统回收。已另存或分享的副本由用户及所选接收方管理。
7. 设备能力与权限
- 相机、照片和文件：仅在用户主动拍摄或选择时处理指定内容，不扫描整个照片库或文件系统。
- 网络：用于账户、验证码、购买核验、获取公开政策页面，以及已告知的 SDK 运营与安全服务；不上传本机行程、票据原件和识别正文。
- PDF、打印和系统分享：仅在用户主动操作时生成或打开；原生应用把待处理 PDF 写入本机应用缓存，打印目标、保存位置和分享接收方均由用户在系统界面选择。
- 文件完整性：使用 SHA-256 生成本机文件校验值，用于查重和证据链，不用于身份识别。
Android 源应用只显式申请网络权限；拍摄、照片或文件通过系统选择器或外部相机完成。iOS 和 PWA 由系统或浏览器在使用时展示相应授权。
8. 查询、更正、注销与删除
用户可在应用“账户与权益”中查看账户和权益、退出登录或注销账户。注销后删除会话，并删除或匿名化手机号和密码凭据；依法必须保留的交易、财务或安全记录按明确期限隔离保存。
本机行程、票据、金额和备份可在应用内清空，也可通过操作系统或浏览器清除应用数据。需要查询、更正账户信息或处理隐私请求时，可联系隐私邮箱；我们可能在最小范围内验证账户归属，但不会索取密码或验证码。
9. 安全、未成年人和政策更新
账户接口使用 HTTPS、短连接、来源限制和最小数据表；服务端不保存明文密码、登录令牌或验证码，分别保存密码派生值及令牌、验证码摘要。本机为保持登录而保存的信息及保护方式见第 3 节。任何网络或本地存储都无法保证绝对安全，请勿在非信任设备上处理敏感票据。
旅报通面向工作人员处理公务或企业差旅，不以未成年人为目标用户。若功能、服务商、数据类型、处理地域或保存期限发生实质变化，我们会先更新本政策和商店披露，并在依法需要时重新取得同意。
10. 联系我们
服务邮箱：lvbaotong-privacy@goushiyunapp.com
隐私请求及投诉举报将在收到后 15 个工作日内受理并处理；必要时会先核验身份。
请勿通过电子邮件提供密码、验证码、完整身份证件、银行卡信息、真实票据原件或涉密材料。