炭星火云隐私政策
本政策说明炭星火云如何处理企业账号、业务资料、设备权限及用户主动提供的信息。
一、适用范围与处理角色
本政策适用于 炭星火云 Web、iOS 与 Android App、微信辅助能力及配套 API。iOS Bundle ID 与 Android 应用包名为 com.jiyuanpulian.erpcreat.mobile。
企业客户决定其员工、客户、供应商和经营资料的录入目的、人员范围和权限，通常是这些企业业务资料的管理者；我们按照企业开通配置和授权提供托管、同步、安全及技术处理。对于平台账号安全、设备会话、服务日志和平台自身运营所必需的信息，我们依适用法律承担相应个人信息处理责任。
本服务由杭州星瑾商贸有限公司提供并运营（下称“我们”）。客服、隐私投诉和个人信息权利申请的邮箱见本政策“联系我们”部分。
二、我们处理的信息与目的
| 信息类别 | 具体范围 | 处理目的 |
|---|---|---|
| 账号与企业身份 | 登录名、姓名、所属企业、行业、负责人联系电话、岗位、角色、权限、账号状态；用户或管理员可补充邮箱 | 企业开通、登录验证、企业隔离、权限控制、员工协作、账号安全 |
| 设备与网络信息 | 安装设备标识、IP、User-Agent、操作系统、App 版本、请求时间与结果、登录会话、推送 Token | 单设备/IP 登录限制、会话管理、安全审计、消息推送、故障排查 |
| 企业业务资料 | 客户和供应商联系人、电话、地址，同一客户的多个收货地址、独立收货联系人及选定地图位置，商品、报价、订单、库存、配送、财务、售后、备注和附件 | 完成企业 ERP 业务、协作、查询、打印、分享、审计和同步；按本次选择的收货资料履约 |
| 精确位置与工作轨迹 | 经纬度、精度、速度、方向、时间、定位来源；天气仅使用约两位小数的网格坐标 | 地址选择、附近客户、拜访水印、配送、团队位置、天气和临雨提醒 |
| 照片、签名及文件 | 用户主动拍摄或选择的业务照片、附件、电子签名、水印文字及拍摄时间/位置 | 拜访、配送签收、报销或任务凭证、售后和单据留档 |
| 语音与转写 | 用户主动发起语音录入时的音频及识别文字 | 将待办执行情况转成文字备注；系统默认保存识别后的业务文字，不把麦克风持续用于后台录音 |
| 打印、物流与分享 | 打印机设备信息、所选单据内容、承运商、运单号、分享模板内容 | 本地蓝牙打印、按企业配置云打印、采购物流查询和用户主动分享 |
用户向系统录入其他人的电话、地址、签名或照片前，应确认具有合法业务目的并已履行必要告知。请勿上传与企业工作无关的身份证件、医疗、宗教、生物识别等高敏感资料。
一个客户可以保存多个收货地址。开单时选定的联系人、电话、地址及地图位置会作为该单据的收货资料保存，用于配送和后续核对；之后修改或停用地址簿中的地址，不会自动改写历史单据。未选择地图点时，不会把其他地址的坐标当作本次收货位置。
三、处理方式与依据
- 为履行企业服务协议、完成用户请求的销售、库存、财务、配送、打印和协作功能而处理必要信息。
- 对位置、相机、照片、麦克风、语音、蓝牙和通知等设备能力，在系统弹窗授权及用户主动操作后处理；法律要求单独同意时会另行取得。
- 为保护账号、企业数据和交易安全，记录必要的登录会话、设备、IP、操作日志、幂等标识和异常信息。
- 法律法规、监管要求、争议解决或保护重大合法权益要求处理时，按照适用规则执行。
四、设备权限与关闭方式
| 权限 | 使用场景 | 关闭方式与影响 |
|---|---|---|
| 位置（使用期间） | 天气、附近客户、地址选择、拜访和水印相机 | iOS：设置 → 炭星火云 → 位置；Android：设置 → 应用 → 炭星火云 → 权限 → 位置信息。关闭后相关定位不可用，仍可手动填写地址 |
| 位置（始终允许/后台） | 仅在企业开通且本人开始工作或执行配送任务后持续更新团队位置 | App 内结束工作或结束配送；也可在系统应用权限中关闭后台位置。工作位置原始样本最多保留 30 天 |
| 相机与照片 | 主动拍摄或选择拜访、配送、售后、返程清点凭证、商品图片和单据附件；主动保存图片时写入相册 | 在 iOS 或 Android 系统应用权限中管理相机和照片授权；不主动遍历整个照片库。系统选图器可仅授权所选照片 |
| 麦克风与语音识别 | 用户点击语音输入后，将待办执行内容转为文字 | 在系统应用权限中关闭麦克风，iOS 还可管理语音识别权限；不影响手工文字录入 |
| 蓝牙 | 搜索、连接用户选择的兼容 80mm 热敏打印机并本地打印 | 在系统设置中关闭蓝牙或相关权限（Android 可能显示为附近设备），也可在 App 解除打印机连接 |
| 通知 | 接收预订、配送、财务、任务、天气和更新提醒 | 在 iOS 或 Android 的系统设置 → 通知 → 炭星火云中关闭 |
App 不申请系统通讯录权限，不会为了营销读取手机联系人。系统蓝点、地图或导航还可能由设备系统或地图应用按其隐私设置处理。Android 的权限名称和入口可能因系统版本及手机厂商不同而变化。
语音输入使用设备的系统语音识别能力，可能由 Apple 或 Android 设备配置的识别服务处理音频，并非始终仅在本机识别。只有主动点击语音输入才启用；拒绝授权后仍可手动填写备注。
五、后台定位与敏感个人信息
持续定位默认不会仅因安装或登录自动开启。它需要企业为账号开通相应能力、用户授予“始终允许”和“精确位置”，并由用户点击开始工作或明确执行配送任务。位置更新用于团队调度；具备客情权限时也可用于附近客户提醒。结束工作、完成全部相关配送、退出或切换账号后，系统会停止相应定位并清理待上传点。
位置样本包含坐标、精度和时间，可能反映行踪轨迹，属于敏感个人信息。企业管理员只能在权限和业务范围内查看；服务端拒绝跨企业访问，并阻止明显低精度或乱序样本覆盖可信位置。原始工作位置样本最多保留 30 天，超过期限按系统清理机制删除；已经写入经用户提交的拜访或签收凭证的位置事实，按对应业务记录期限保存。
六、本地存储、密码与离线缓存
用户勾选“记住密码”时，iOS 使用 Keychain、Android 使用 Keystore；取消勾选或明确退出会清理安全存储。Web 密码由浏览器标准密码管理器决定是否保存，不写入网页 localStorage。服务端只按安全认证流程校验密码，不在政策或日志中展示明文密码。
App 会在设备本地保存账号隔离的草稿、最近使用数据、预加载列表、更新公告状态和弱网待同步内容，以便断网恢复和减少重复录入。未上传照片和待恢复草稿可能在退出、切换企业或覆盖升级后继续按原账号保留，不会转交给其他账号；退出登录不等于删除全部本地资料。尚未正式提交的工作中，可通过相应照片或草稿入口删除不需要的内容。卸载应用或清除应用数据可能使未同步内容无法恢复；设备遗失时应尽快由管理员停用账号并撤销会话。
七、同一企业内使用、共享与披露
业务资料会依据企业设置，在同一企业内向主账号、管理员及获授权员工展示。客户归属、部门、角色、模块权限和数据范围会影响可见内容；页面隐藏不是唯一保护，服务端会再次校验企业、账号、权限和状态。
微信客户账单功能默认关闭，只有系统开通、企业启用并由用户主动分享时，才按以下流程处理：持有分享卡片或链接的人可查看该次分享的单据。历史未结款及对账反馈须通过客户身份验证；验证使用微信身份摘要及企业单独提供的短期确认码，不要求客户取得员工账号。分享默认30天有效，企业可提前撤销；客户微信授权最长180天，查看会话最长30天。确认账单仅表示核对，不代表付款或签收。撤销查看授权不会删除依法或依企业业务需要保留的原始单据和反馈记录；如需解除授权或查询记录，可联系分享企业或本页支持入口。
除企业授权协作、实现服务所必需、保护安全或法律法规要求外，我们不会向无关第三方出售、出租或披露个人信息。发生合并、分立、资产转让等主体变化时，将依法告知并要求承接方继续履行本政策，或重新取得必要同意。
八、第三方服务清单
| 服务方 | 功能 | 可能涉及的信息 | 触发条件 | 隐私规则 |
|---|---|---|---|---|
| 腾讯云 | 云服务器、网络、PostgreSQL 和上传资料托管 | 账号、企业业务资料、附件、日志及服务所需数据 | 持续提供云端 ERP | 查看官方说明 |
| Apple（App Store、APNs、MapKit、WeatherKit、语音识别） | 应用分发、系统推送、地图、天气和用户主动语音转写 | Apple 账号侧分发信息、推送 Token、位置或语音等对应功能必要数据 | 系统功能或用户主动启用时 | 查看官方说明 |
| 高德地图 | 地址关键词搜索、POI、逆地理解析和导航 | 关键词、经纬度、目的地及必要设备/网络信息 | 用户选择地址、地图或导航时 | 查看官方说明 |
| 微信 | 可选的微信登录/绑定、小程序选点、客户账单分享与身份验证 | 临时登录凭证、OpenID/UnionID（如可用）、设备校验摘要、选点结果；主动分享的账单及客户反馈 | 仅在功能已配置且用户主动选择时 | 查看官方说明 |
| Open-Meteo | WeatherKit 不可用时的天气数据备用来源 | 约两位小数的网格化坐标 | 用户查看天气或白天极端天气提醒时 | 查看官方说明 |
| 飞鹅云打印 | 企业选择云小票时发送打印任务 | 企业配置的打印机标识及所选单据、客户、商品、金额和配送信息 | 仅企业配置并由用户发起打印时 | 查看官方说明 |
| 快递100 | 采购包裹物流查询 | 承运商、运单号及查询所需网络信息 | 仅企业录入运单并主动查询时 | 查看官方说明 |
第三方名称、接口或隐私规则发生实质变化时，我们会更新本清单。Sentry 当前仅有未接入外部服务的代码占位，不作为已启用的数据接收方列入。
九、存储地点与跨境
截至本版本，炭星火云核心 Web、API、PostgreSQL 和上传资料运行在中国大陆境内的腾讯云服务器。我们不会为了广告或数据交易主动把企业业务资料传往境外。
Apple App Store、APNs、系统语音/天气，以及用户主动调用的其他第三方服务可能依据其全球基础设施和隐私规则处理必要信息。涉及法律意义上的跨境提供时，我们将按照适用法律履行评估、告知、单独同意或其他法定程序。
十、保存期限
- 工作定位原始样本：最多 30 天；业务凭证中确认保存的位置按相应单据期限处理。
- 登录会话、设备和推送 Token：在会话有效、账号启用或设备订阅期间保存，撤销会话、停用账号、退出登录或关闭推送后按安全和清理周期处理。
- 企业订单、库存、财务、审批、拜访、签收、审计及关联附件：在企业使用服务期间及满足财税、审计、争议处理和合同义务所需期限内保存。
- 本地草稿和缓存：按对应账号、设备和业务恢复需要保存；未同步照片或请求在退出、切换账号后可能继续隔离保留，直至用户主动清理或对应流程完成后按功能规则处理。
超过必要期限后，我们会根据数据性质和技术条件删除、匿名化或限制处理。备份中的删除可能随安全轮换周期完成，在此期间不再用于日常业务。
十一、安全保护与事件处置
我们采用 HTTPS、账号会话、企业隔离、服务端权限、数据库约束、事务、幂等、操作审计、备份和最小开放端口等措施。任何网络和存储都无法保证绝对安全；发生可能影响个人权益的事件时，我们会及时控制风险，并按照法律要求通知企业、用户或主管部门。
十二、查阅、更正、复制、导出、撤回与删除
用户可在 App“我的 → 个人资料”查看或更正姓名、电话和邮箱，并可在系统设置撤回设备权限。业务资料的更正、导出或删除通常应由所属企业管理员依据权限和审计要求处理。
需要行使查阅、复制、限制处理、注销或删除等权利时，请按支持与数据请求流程提交账号、所属企业、请求范围和可验证身份信息。我们会在核验身份与企业授权后及时处理，并在适用法律要求的期限内反馈；复杂请求会说明原因和预计时间。
撤回授权不影响撤回前处理的合法性。涉及已完成销售、库存、收付款、财税凭证、审计、争议或他人合法权益的记录，可能不能立即物理删除；我们会在法定或必要期限内限制用途，到期后删除或匿名化。
十三、账号注销与员工离职
企业负责人可以自行开通主账号，员工账号由所属企业主账号或管理员创建。员工离职时，管理员通过“员工与权限”归档账号、撤销会话、停用推送和工作定位，并在需要时把客户职责转移给同企业人员；历史单据保留原员工稳定归属，避免财务和库存事实失真。
个人可以申请停止使用和删除可删除的账号资料；企业整体终止服务可申请数据导出和删除。具体步骤、身份核验材料及不能删除的记录范围见账号注销说明。
十四、未成年人
炭星火云面向企业及其获授权工作人员，不以未满十四周岁的未成年人为目标用户。企业不得为不符合用工和合规要求的未成年人开通账号；如发现误收集未成年人信息，请由监护人或企业管理员通过支持页面联系处理。
十五、政策更新
功能、第三方服务或法律要求变化时，我们会更新版本号和日期。涉及处理目的、敏感个人信息或用户权利的重大变化，会通过登录提示、应用内公告或企业通知重新告知，并在法律要求时重新取得同意；不会仅以“继续使用”替代必要同意。
十六、联系我们
- 运营主体
- 杭州星瑾商贸有限公司
- 客服与隐私联系邮箱
- starrorangee@163.com
账号和企业业务资料问题请优先联系所属企业管理员。平台技术支持、隐私投诉和数据请求请访问https://starcraet.com/support。
你可以通过上述邮箱提交技术支持、隐私投诉和个人信息权利申请。企业客户也可使用开通服务时已经建立的服务对接渠道。