时纪流隐私政策
更新日期：2026-10-17
生效日期：2026-10-17
版本：v1.1（本政策自身的版本号，用于记录您同意的是哪一版）
适用应用：时纪流 App V1.1.0（Android）
阅读提示：请您在使用时纪流（以下称「本应用」）前仔细阅读、充分理解本政策全文，
特别是以加粗形式标识的敏感个人信息条款、免除或限制责任的条款。
除非另有说明，不同意本政策或其更新将导致您无法正常使用本应用。
一、导言
1.1 运营主体
本应用由 舟山市时纪云人工智能应用软件有限责任公司（以下简称「我们」）运营并提供服务。 统一社会信用代码：91330901MAK8W0UM38。 注册地址：浙江省舟山市定海区临城街道海大南路 1 号浙江海洋大学新城校区会展中心 231-9 室。 法定代表人：陶伊婷。
该主体名称与注册地址与应用商店后台「基础信息 → 运营者 / 开发者」填写的内容完全一致（规范 §2.2）。
本应用的中文名为 时纪流，英文名为 ChronoFlow（应用商店里两者指向同一个应用）。
本政策适用于我们通过「时纪流（ChronoFlow）」Android 客户端、iOS 客户端及其配套的网页管理后台 （以下统称「本服务」）向您提供的全部功能与服务。
1.2 关联主体
本应用不接入任何关联公司或其他第三方运营的账号体系，也不与关联公司共享您的个人信息； 本政策即本应用适用的唯一隐私政策。如果您后续通过本应用内的入口跳转到第三方服务， 适用的是该第三方的隐私政策，我们会在跳转前另行提示。
1.3 我们收集个人信息的总体原则
我们遵循合法、正当、必要和诚信原则，只收集实现具体功能所必需的个人信息， 不会因为您不提供与当前服务无关的信息而拒绝您使用本服务的基本功能。
1.4 联系方式
- 个人信息保护负责人邮箱：jianghangxi163@163.com
- 客服电话：18006569106
- 在线反馈：本应用「我的 → 意见反馈」（推荐渠道，我们会在 15 个工作日内回复）
二、我们如何收集和使用您的个人信息
我们只会在下列具体场景中收集、使用您的个人信息。未在下列场景中列举的信息，我们不会收集。
2.1 手机号验证码登录（账号注册与登录）
- 使用目的：创建并识别您的个人账号，完成登录、注册与找回。
- 收集的信息：手机号码、短信验证码；如果您主动设置登录密码，还包括登录密码。
- 必要性：手机号是本应用的账号唯一标识，不提供将无法登录，也就无法使用本服务。 登录密码是非必需的：不设置时仍可用短信验证码登录。
- 处理方式：短信验证码由我们的短信服务商在服务端下发，验证码在 5 分钟后失效， 同手机号 60 秒内只能发送一条。登录密码由您在我们加密传输的登录 / 设置页面主动提交， 以不可逆的加盐哈希形式存储，我们不保存也无法查看密码原文； 忘记密码时可通过「手机号 + 短信验证码」重置。修改或重置密码后，其它设备的登录状态会失效。
2.2 昵称与头像
- 使用目的：完善账号资料，在「我的」页面以及组织成员列表中展示您的身份。
- 收集的信息：您填写的昵称、您主动拍摄或从相册选择的头像图片。
- 必要性：非必要信息。不提供时我们使用系统生成的默认名称与默认头像，不影响其他功能。
2.3 日程与待办
- 使用目的：提供日历、日程、待办的新增、编辑、提醒与删除等核心功能。
- 收集的信息：您输入的日程/待办标题、描述、时间、重复规则、提醒设置、 优先级、分类、链接，以及您为这些内容附加的图片。
- 必要性：这是本应用的核心功能所必需的信息；不提供则无法创建日程或待办。
2.4 地点与地图选点
- 使用目的：为日程记录地点、在地图上选点、搜索附近地点、把当前位置回填为日程地点。
- 收集的信息：您输入的地点关键字、您选择的地点名称与详细地址， 以及开启定位后产生的粗略/精确地理位置、设备当前经纬度。
- 必要性：非必要信息。您可以不选地点、不开启定位，也可以只手工输入文字地址， 不影响日程与待办的其他功能。
- 处理方式：定位由系统弹窗单独征求您的授权；地点解析由高德地图服务完成，详见 §4 与 §9.1。
2.5 日历页检索
- 使用目的：在您自己的日程、待办以及您已绑定的组织日程范围内按关键字查找。
- 收集的信息：您输入的搜索关键字。
- 必要性：非必要信息。不检索不影响其他功能。
- 处理方式：检索在服务端即时完成，我们不记录、不存储、不分析您的搜索历史， 也不会基于搜索历史向您推送任何内容。
2.6 组织账号认领与组织日程
- 使用目的：把您认领的组织成员身份与您的个人账号绑定，向您展示下发给您的组织日程。
- 收集的信息：您输入的组织唯一 ID（组织编码）、成员唯一识别 ID（学号 / 工号）， 以及由此得到的组织名称、部门名称、真实姓名、组织角色、最近登录时间。
- 必要性：不提供则无法使用组织日历功能；个人日历与待办不受影响。
- 处理方式：上述信息由您所在组织的管理员导入，我们仅作为受托处理者在组织授权范围内处理。 唯一识别 ID 通常不是秘密，因此这是一次「认领」。如被他人冒领，可联系组织管理员解绑后重新认领。
2.7 图片上传与图片识别（头像、待办图片、反馈图片、日程识别）
- 使用目的：保存您主动选择的头像，以及您为待办、意见反馈添加的图片附件； 以及把会议通知、行程单这类照片在本机识别成日程草稿。
- 收集的信息：您从相册选择或用相机拍摄的图片内容。
- 必要性：非必要信息，仅在您主动使用上述功能时收集。
- 处理方式：作为头像 / 待办图片 / 反馈图片提交的图片会上传到我们自己的对象存储 （
/uploads/**），不会发送给任何第三方。 而「识别日程」用的那张图片只在您的手机本地处理：由手机上的 OCR 完成， 图片本身不上传、我们也不保存它；但 OCR 识别出的文字会上传至我们的服务端， 由模型服务商阿里云百炼（通义千问，阿里云计算有限公司）解析成日程草稿 （见 §4.1 与《与第三方共享个人信息清单》）。识别结果只作草稿， 经您在确认页确认后才会作为日程写入您的账号。
2.8 意见反馈
- 使用目的：受理您的故障反馈与产品建议、与您取得联系并回访。
- 收集的信息：您填写的反馈分类、反馈内容、可选图片，以及提交时的账号与身份标识。
- 必要性：非必要信息，仅在您主动使用该功能时收集。
2.9 设备与日志信息
- 使用目的：保障账号安全（识别登录设备、限制同一身份的活跃设备数量）、 排查故障、满足《网络安全法》要求的日志留存义务。
- 收集的信息：设备标识（App 首次启动时随机生成并保存在本机安全存储中的字符串， 不是 IMEI、不是 Android ID，卸载后即失效）、登录日志（登录时间、登录结果、IP 地址）、 接口调用日志（接口路径、响应码、请求追踪号）。
- 必要性：为账号安全与合规留存所必需。
- 说明：我们不会读取您的通讯录、短信、通话记录、已安装应用列表， 不会读取剪贴板，不会在后台静默自启动或关联启动其他应用。
2.10 我们不会收集的信息
我们不会收集您的身份证件号码、生物识别信息、人脸信息、银行账号与财产信息、 医疗健康信息、行踪轨迹的连续记录、宗教信仰、特定身份、不满十四周岁未成年人的个人信息 （除非您作为监护人主动为我们提供，并另行同意《时纪流儿童个人信息保护声明》）。
2.12 征得授权同意的例外
依据《个人信息保护法》第十三条，以下情形我们可不经您同意处理个人信息： 为订立、履行您作为一方当事人的合同所必需；为履行法定职责或法定义务所必需； 为应对突发公共卫生事件或紧急情况下为保护自然人的生命健康和财产安全所必需； 为公共利益实施新闻报道、舆论监督等在合理范围内处理；依照本法规定在合理的范围内处理 您自行公开或者其他已经合法公开的个人信息；法律、行政法规规定的其他情形。
2.13 改变用途
如需将您的个人信息用于本政策未载明的其他用途，或基于特定目的收集的信息用于其他目的， 我们会再次征得您的明示同意。
三、我们如何使用 Cookie 和同类技术
3.1 客户端本地存储
本应用的移动客户端不使用 Cookie、不使用 Web 信标、不使用 Flash Cookie， 也不接入任何广告或统计分析 SDK。为了保持登录状态与您的偏好，我们在本机保存以下数据：
| 名称 | 内容 | 位置 | 用途 |
|---|---|---|---|
chronoflow.session | 访问令牌、刷新令牌、身份标识 | 系统安全存储（iOS Keychain / Android Keystore） | 免去每次启动重新登录 |
chronoflow.device-id | 随机生成的设备标识 | 系统安全存储 | 账号安全中的设备管理 |
chronoflow.org-accounts | 各组织的登录记录与令牌 | 系统安全存储 | 组织日历的隔离访问 |
chronoflow.theme | 深色 / 浅色偏好 | 系统安全存储 | 界面偏好 |
chronoflow.privacy-consent | 本政策的同意版本与时间 | 设备本地存储 | 记录您已同意本政策的版本 |
3.2 管理方式
卸载本应用即会清除上述全部本地数据；您也可以在系统设置中清除本应用的全部数据。
3.3 网页管理后台
我们的网页管理后台不面向普通用户开放，仅供平台与组织管理员使用，且同样不使用 广告、统计类 Cookie 或同类追踪技术。
四、我们如何共享、转让、公开披露您的个人信息
4.1 共享
我们不会向任何第三方出售您的个人信息。仅在以下情形共享，且共享范围限于实现功能所必需：
- 高德地图：当您使用地图选点、地点搜索或逆地理编码时，把您输入的 地点关键字或当前经纬度发送给高德地图服务，用于返回地点名称、地址与坐标。
- 短信服务商（阿里云）：当您请求短信验证码时，把您的手机号码与验证码内容 交给短信服务商完成下发。
- 您所在组织：当您认领组织账号后，您的真实姓名、部门、组织角色、 工作邮箱/工号在组织内部可见；您收到的组织日程也会显示给同一条日程的其他收件人。 这部分数据由组织管理者控制，我们仅提供功能。
- 阿里云百炼（通义千问）：当您使用「图片识别日程」时，把手机本地 OCR 出的 文字（不含图片，图片只在手机本地处理）发送给阿里云百炼解析成日程草稿。 我们不会把您的日程内容用于训练、广告或个性化推荐。
- 法定情形：根据法律法规、诉讼争议解决需要，或按行政、司法机关依法提出的要求， 对外共享您的个人信息。
详细的第三方信息、使用目的、处理方式、信息类型与其隐私政策链接，见《与第三方共享个人信息清单》 （/api/v1/legal/shared-info-with-third-parties，App 内路径：我的 → 隐私与合规 → 与第三方共享个人信息清单）。
4.2 转让
我们不会转让您的个人信息给任何公司、组织和个人，但以下情形除外： 在涉及合并、收购、破产清算等情形时，如涉及个人信息转让，我们会要求新的持有方继续受本政策约束， 否则我们将要求该持有方重新向您征求授权同意。
4.3 公开披露
我们仅会在获得您明确同意，或基于法律法规、强制性行政或司法要求的情况下， 公开披露您的个人信息。本应用没有任何公开的个人主页、社区、评论或分享到第三方的功能。
4.4 例外
以下情形共享、转让、公开披露您的个人信息无需事先征得您的授权同意： 与国家安全、国防安全直接相关的；与公共安全、公共卫生、重大公共利益直接相关的； 与犯罪侦查、起诉、审判和判决执行等直接相关的；出于维护您或其他个人的生命、财产等重大合法 权益但很难得到本人同意的；您自行向社会公众公开的个人信息；从合法公开披露的信息中收集的。
五、我们如何保护您的个人信息
5.1 技术措施
- 传输加密：客户端与服务端之间使用 HTTPS / TLS 通道传输，防止数据被窃听与篡改。
- 权限隔离：个人身份与每个组织身份各自持有一套独立令牌，实现组织间数据隔离； 组织管理端只能操作本组织的数据，成员只能看到下发给自己的组织日程。
- 访问控制：服务端所有业务接口均要求携带有效令牌；组织管理端的写操作全部记入审计日志 （仅可追加、不可修改或删除）。
- 密码与凭据：账号密码使用 BCrypt（cost ≥ 10）单向哈希存储，我们无法还原您的明文密码； 刷新令牌保存在服务端且可吊销；登录凭据保存在移动设备的系统安全存储中。
- 图片存储：上传的图片按内容哈希命名，存储于我们自己的存储介质中，不投递给第三方。
- 最小化接口：接口按「当前身份是否需要」返回字段，不返回与场景无关的个人信息。
5.2 管理措施
我们建立了数据安全管理制度与操作规程：对员工按最小必要原则授权并定期复核； 与可接触个人信息的人员签署保密协议；定期开展安全培训与应急演练。
5.3 安全事件处置
若不幸发生个人信息安全事件，我们将立即启动应急预案、采取补救措施， 并以推送通知、站内信、短信或电话等方式及时告知您：事件的基本情况和可能的影响、 我们已采取的处置措施、您可自主防范和降低风险的建议、对您的补救措施等。 按照法律法规要求，我们还将向监管部门报告事件处置情况。
5.4 安全风险提示
请您使用复杂密码并妥善保管账号信息；我们通过上述措施尽力保障安全， 但互联网环境并非绝对安全，请理解可能出现因不可抗力或第三方恶意攻击导致的风险。
六、信息的存储
6.1 存储地点
我们在中华人民共和国境内收集和产生的个人信息，全部存储在中华人民共和国境内的服务器上； 目前不存在向境外传输个人信息的情形。如未来确需跨境传输，我们将依法进行安全评估、 单独征得您的同意，并履行法律法规规定的其他义务。
6.2 存储期限
我们按照下列期限保留您的个人信息，超出期限后予以删除或匿名化处理：
| 信息类型 | 保存期限 |
|---|---|
| 账号信息（手机号、昵称、头像、登录密码哈希） | 自账号注册之日起，至您注销账号为止 |
| 日程、待办、提醒、图片 | 自创建之日起，至您删除该内容或注销账号为止 |
| 组织成员关系与组织日程 | 由您所在组织的管理员管理，至组织管理员移除或组织解散为止 |
| 意见反馈 | 自提交之日起 2 年（用于回访与产品改进） |
| 登录日志与接口调用日志 | 自产生之日起不少于 6 个月（履行《网络安全法》第二十一条日志留存义务） |
| 安全审计日志 | 自产生之日起 3 年 |
6.3 停止运营
如本应用停止运营，我们将及时停止收集您的个人信息，以公告、推送等方式通知您， 并对已持有的个人信息进行删除或匿名化处理。
七、您如何管理您的个人信息
依据《个人信息保护法》，您对自己的个人信息享有下列权利。您可以通过本应用内对应入口自助行使， 也可以通过 §1.4 的联系方式向我们提出，我们将在收到请求并核验身份后 15 个工作日内回复。
| 权利 | App 内操作路径 |
|---|---|
| 查阅 / 复制 | 我的 → 已收集个人信息清单；日历 / 待办列表 |
| 更正、补充 | 我的 → 点击头像更换头像；点击昵称修改；日程 / 待办 → 编辑 |
| 删除 | 日程 / 待办详情 → 删除；我的 → 更换头像（替换即为删除原头像） |
| 撤回同意 | 系统设置 → 应用 → 时纪流 → 权限，关闭相应权限；或在「权限说明」中查看逐项指引 |
| 注销账号 | 我的 → 隐私与合规 → 账号注销（详见 §7.4） |
| 投诉举报 | 我的 → 意见反馈，或拨打 §1.4 的客服电话 |
7.1 查阅与复制
您可以在「我的 → 已收集个人信息清单」查看我们收集的全部个人信息种类与使用场景， 也可以在日历、待办、组织页面查看具体的日程与待办内容。
7.2 更正与删除
您可以在日程、待办详情页编辑或删除内容；在「我的」页面长按（或点击）头像与昵称进行修改。 如果您发现我们收集、使用的信息有误，或希望删除某些信息，也可以通过 §1.4 联系我们。
7.3 撤回同意与权限管理
您可以在系统设置中关闭相册、定位、通知等权限，撤回对相应个人信息收集的同意。 关闭这些权限不影响您使用本应用的其他功能：不开启定位仍可手工输入地点， 不开启相册仍可手工新建日程与待办，不开启通知只是到点不再提醒。
7.4 账号注销
注销是您的权利，我们不设置任何不合理条件。 注销路径如下：
App 内：我的 → 隐私与合规 → 账号注销 → 阅读注销须知 → 勾选「我已了解上述后果」 → 确认注销
提交后立即生效，无需人工审核，也不超过 15 个工作日。注销后我们将：
- 立即吊销您账号的全部登录凭据与设备会话，所有已登录设备同时退出；
- 删除您的个人日历、日程、待办、提醒与图片，以及您提交的意见反馈；
- 匿名化您的账号信息：手机号变为不可逆的注销标识、密码与第三方绑定信息被清空， 使该条记录无法再与您本人关联；
- 把您的组织成员身份与本账号解除绑定（组织侧的成员记录保留，您可以用原学号 / 工号 重新认领，或由组织管理员另行处理）；
- 依法保留登录日志等法律法规要求留存的最小记录（见 §6.2）。
注销完成后，同一手机号可以重新注册，但那将是一个全新的账号，原数据无法恢复。
如果您无法通过 App 自助完成注销，也可以通过 §1.4 的客服电话、邮箱提出， 我们将在核验身份后于 15 个工作日内完成，并同样受本条款约束。
7.5 对回复不满意
如您认为我们的个人信息处理行为损害了您的合法权益，您还可以向网信、电信、公安及市场监管等 主管部门投诉举报，或向有管辖权的人民法院提起诉讼。
八、未成年人保护
我们非常重视对未成年人个人信息的保护。
- 本应用的主要面向人群为 18 周岁以上的高校在校生与在职人员，应用商店年龄分级为 18+。
- 若您是不满 18 周岁的未成年人，请在您的父母或其他监护人的陪同下阅读本政策， 并在取得监护人同意后使用本服务、向我们提供信息。
- 若您不满 14 周岁，只有在取得监护人对《时纪流儿童个人信息保护声明》的同意后， 我们才会处理您的个人信息。监护人可在本应用 「我的 → 隐私与合规 → 儿童个人信息保护声明」查看完整声明。
- 若我们发现在未事先取得监护人同意的情况下收集了儿童个人信息，会设法尽快删除相关数据。
- 监护人如对您所监护的未成年人的个人信息有任何疑问，可通过 §1.4 与我们联系。
九、其他
9.1 第三方 SDK 目录
为实现定位、地点搜索、短信下发与组织日程通知推送，本应用接入了下列第三方服务。超链接名称即为其官方 隐私政策 / 说明文档：
| 第三方名称 | 使用目的 | 收集的个人信息类型 | 处理方式 | 官方隐私政策 |
|---|---|---|---|---|
| 高德软件有限公司（高德地图 SDK / JS API） | 地图选点、地点搜索、逆地理编码、设备定位 | 位置信息、设备信息（设备标识、操作系统版本） | 经加密通道传输，由高德在服务端处理，我们只接收地点与坐标结果 | 《高德地图开放平台隐私政策》 https://lbs.amap.com/pages/privacy/ |
| 深圳市和讯华谷信息技术有限公司（极光推送 SDK） | 向您的设备下发组织日程通知 | 设备标识（如 Registration ID、Android ID）、设备型号、操作系统版本、网络状态、应用包名 | 由极光 SDK 在设备本地初始化并上报，我们的服务端只保存 Registration ID 用于下发通知 | 《极光隐私政策》 https://www.jiguang.cn/license/privacy |
| 阿里云计算有限公司（短信服务） | 下发登录 / 注册短信验证码 | 手机号码、短信内容 | 由我们的服务端调用，用户设备不直连 | 《阿里云隐私政策》 https://www.aliyun.com/privacy |
| 阿里云计算有限公司（百炼 / 通义千问，模型服务） | 「图片识别日程」：把手机 OCR 出的文字解析成日程草稿 | OCR 识别出的文字（标题 / 时间 / 地点等）；图片本身不上传，图片只在手机本地处理 | 由我们的服务端经加密通道调用；解析结果只作草稿，经您确认后才写入；不用于训练、广告或个性化推荐 | 《阿里云百炼服务协议与隐私政策》 https://www.aliyun.com/privacy |
除上述极光推送 SDK 外，本应用未接入任何广告 SDK、统计分析 SDK、崩溃上报 SDK 或社交分享 SDK。 如后续新增，我们会在本政策与《与第三方共享个人信息清单》中同步更新，并另行征得您的同意。
9.2 系统权限清单
| 权限 | 使用场景 | 拒绝后的影响 |
|---|---|---|
| 相册 / 照片（READ_MEDIA_IMAGES） | 选择头像、为待办或反馈添加图片 | 无法选图，其他功能不受影响 |
| 相机（CAMERA） | 拍一张会议通知 / 行程单，在手机本地识别成日程草稿（图片不上传） | 无法拍照识别，仍可从相册选图或手工新建日程 |
| 定位（ACCESS_COARSE_LOCATION / ACCESS_FINE_LOCATION） | 地图选点、把当前位置填为日程地点 | 无法自动定位，仍可搜索地点或手工输入地址 |
| 通知（POST_NOTIFICATIONS） | 在您自己设置的日程 / 待办提醒时刻，由手机本地发出提醒（不经服务端推送） | 到点不会有提醒，日程与待办照常使用 |
| 安装应用（REQUEST_INSTALL_PACKAGES） | 应用内更新：把新版本安装包下载到手机，交给系统安装器由您确认安装 | 无法在应用内升级，仍可到官网手动下载新版 |
| 互联网访问（INTERNET / 网络状态） | 与服务器同步数据 | 无法使用需联网的功能 |
我们不会申请通讯录、短信、通话记录、已安装应用列表、后台自启动等 与服务无关的权限；也不会在您拒绝授权后强制退出或频繁弹窗反复申请。
应用内更新只把您当前的版本号发给我们的服务器用于比对，不含任何个人信息； 安装包从我们自己的服务器下载（配置了校验值时 App 会核对文件大小）， 下载完成后由系统的安装界面确认安装——我们不会静默安装任何东西。
9.3 个性化推荐说明
本应用不提供个性化推荐、定向推送或广告服务。 我们不会收集您的搜索记录、浏览记录， 也不会基于用户画像向您推送内容；因此本应用内没有、也不需要「个性化推荐」开关。 若未来我们上线此类功能，会在上线前更新本政策，并在 App 内提供名称显著区分 （如「个性化推荐」）的关闭开关，且默认关闭。
9.4 解释权
本政策的解释与争议解决适用中华人民共和国法律。本政策中的标题仅为阅读方便，不影响条款含义。
十、本政策的变更
- 我们可能适时修订本政策。未经您明确同意，我们不会削减您依据本政策所应享有的权利。
- 对于重大变更（例如：服务模式发生重大变化导致个人信息处理目的、类型、使用方式改变； 个人信息共享、转让或公开披露的主要对象发生变化；您参与个人信息处理方面的权利及其行使方式 发生重大变化；个人信息安全影响评估报告表明存在高风险等），我们会以弹窗、站内信或推送 等显著方式通知您，并在您重新确认同意后才会按新政策处理您的个人信息。
- 对于非重大变更，我们会在本政策开头更新「更新日期」与版本号，并在 App 内提供常驻入口供您随时查阅。
- 您可以在「我的 → 隐私与合规 → 隐私政策」随时查看本政策的最新版本； 历史版本可通过 §1.4 的联系方式索取。
再次感谢您阅读并信任时纪流。