应用隐私政策

这是哪个应用，我们是谁

这是 Android 版 Fair Assistant 应用的隐私政策。此处所述数据的控制者是 Tehnokan d.o.o. Smederevo，Karadjordjeva 40, 11300 Smederevo, 塞尔维亚。本网站另有单独的隐私政策，服务规则载于条款。下文要分清各项内容在哪里：您的手机，应用在其中生成并保存您的工作；我们的服务器，它知道您是否有权使用本应用，并且在同步开启时只以我们无法读取的加密形式保存您的记录；以及 Google，它在您的云端硬盘中保存加密密钥，并且仅在您开启套餐内含的 AI 功能时，才经由我们的服务器收到您选择的内容（见“AI 功能（可选）”）。

留在您手机上的内容，以及我们加密保存的内容

扫描的名片、照片、备注、评分和提醒都是在您的手机上生成的。文字识别在设备本地完成，因此名片绝不会被发送到任何地方去读取。

您可以在登录后的界面上开启同步（应用会提示），也可以稍后在设置中开启，并可随时关闭。同步开启期间，您的联系人、展会备注和“我的名片”会在您的手机上先加密（AES-256-GCM）再发送，因此到达我们服务器的只有加密记录。密钥在您的手机上生成，保存在您的 Google 云端硬盘中，位于只有本应用能看到的隐藏空间里。Tehnokan 没有这把密钥，无法读取记录中的内容。我们在服务器上只保存密钥的指纹，新手机据此核对自己找到的是正确的密钥（无法由指纹推出密钥）；如果您创建了恢复短语，还会保存用该短语锁定的密钥，没有这个短语我们无法打开它。Google 有密钥但没有记录，因此任何一方都无法单独打开它们。名片照片目前不同步，只保存在手机上。

服务器从您这里只能看到您的账号 ID、您的团队 ID（如果有）、记录的类型（联系人或备注）、数量和大小，以及每条记录最后修改的时间。它看不到姓名、公司、电话号码、电子邮件地址、备注和评分。

任何人在本应用中登录您的 Google 账号，也会得到您的联系人，就像拿着您已解锁的手机一样。请保护好您的 Google 账号。

例外是您自己发起的 AI 操作（见“AI 功能（可选）”）：该操作的内容会以可读形式经由服务器发送给 Google，我们不会保存。

不登录使用应用

您可以不用账号试用本应用。为使免费试用每台手机仅一次，应用会把 Android 设备标识发送给服务器；服务器在收到的那一刻就把它变成单向散列，只保存散列，绝不保存标识本身。在该散列旁，服务器保存已用掉多少个试用联系人——最多五个——应用为每一个生成的随机标识、供技术支持使用的应用版本号，以及该手机第一次和最后一次与我们联系的时间。名片上的内容一概不发送：随机标识的存在只是为了同一个联系人不被计算两次。如果一台手机一年没有与我们联系，该记录会自动删除。

使用 Google 账号登录

您登录时，应用会向服务器发送一个 Google 登录令牌。该令牌确实包含您的电子邮件地址、您的姓名和头像；服务器在内存中校验它，从中取出账号标识，不保留其他任何内容——令牌绝不会写入日志。该标识以单向散列的形式保存，因此连它也不会以可读的形式留存。数据库中任何地方都没有电子邮件地址、姓名或头像的字段。在散列旁边，我们保存一个内部账号编号、账号创建的时间、最后一次使用的时间，以及——如果您已请求删除——提出请求的那一天。每台已登录的手机都会得到一条会话记录：其刷新令牌的散列（每次刷新都会更换）、创建和最后使用的时间，以及一个可选的简短设备标签。作为该标签，应用只发送手机的制造商和型号——绝不发送您自己给设备起的名称，我们既不索取也不保存它。会话记录会一直保留到账号被删除，即使您已在该手机上退出登录。

在网站上登录

在我们网站的“你的账户”页面，你可以用同一个 Google 账户登录，查看并删除你的账户。服务器把这次登录当作一部手机来处理：保存一个网站会话——其令牌的哈希值、创建时间和最后使用时间——最多 30 天，最迟随账户一起删除。登录进行期间，它会在几分钟内保存保护值和一次性代码的哈希值以及要把你送回的网站地址；这些在使用后一小时删除。它不会保存来自 Google 的任何内容：没有标识符、邮箱、姓名或头像——Google 令牌只在内存中读取，用于找到你现有的账户。网站自身的 Cookie 见网站隐私政策。

免费试用

免费试用为期 14 天，覆盖一个展会。对于已登录的账号，我们保存试用何时开始、何时结束。为使试用不能简单地重新开始，有一个标记即使在账号被删除后也会保留，而且不设时限：Google 标识的同一个单向散列、试用的两个日期，以及删除的那一个日历日。其中没有账号编号，也没有关于您的其他任何内容。如果账号在试用尚未开始之前就被删除，则不会写入任何标记。我们还使用同一种针对手机标识的单向散列，使免费试用在每部手机上只适用一次；我们自该手机上最后一次试用起保留 365 天，且与您的账号没有任何关联。

购买

付款通过 Google Play 进行。购买是一次性付款，而不是订阅：不会自动续费。这适用于 Fair Pass、Enterprise Fair Pass 和团队额外席位。我们绝不会看到您的银行卡，Google 也不会把付款资料交给我们。在 Play 窗口打开之前，服务器会写下一条意向：内部账号编号、商品、所涉及的展会或届次、其状态，以及创建和失效的时间。即使您关闭窗口、没有付任何款，该记录也会保留。对于已完成的购买，我们保存 Google 订单号、商品、Play 报告的各种状态和时间——已付款、已核验、已确认、已使用、已退款——Play 报告时的价格和币种、出问题时我们自己的简短代码，以及 Play 购买令牌：加密保存，旁边还有它的单向散列，我们据此再次辨认同一个令牌。为使 Play 能把付款关联到正确的账号，我们有两个自己的标识会发往 Google：内部账号编号和该意向的标识。二者都不带您的姓名或电子邮件地址。当在另一台手机上用应用已持有的许可恢复某项权利时，服务器会写入标记为恢复的替代记录，使被恢复的权利也像其他权利一样有记录。

购买带来的权利与手机上的许可

在账号旁我们保存权利：一项权利覆盖哪个展会、哪一届次，或您自己添加的哪个展会，权利的种类和状态、有效期，以及来自哪一笔购买。为了能够统计一次试用或一份 Fair Pass 覆盖多少个展会，我们还为其所用于的每个展会保存一个标记：它在我们目录中的名称，或者对于目录之外的展会，您自己输入的名称，以及添加的时间。如果您用一个展会替换另一个，先前的那个仍保留在这份记录中。这一切都会随账号一并删除。许可本身——应用校验的那个已签名文件——绝不保存。它在被请求的那一刻生成并签名，直接送到手机上。数据库中只有签名密钥的公开部分，以及存放私钥的环境变量的名称，绝无密钥本身。由于应用在设备上校验许可，它在没有互联网连接时也能工作；同样的原因，已经在手机上的许可在到期前无法撤回。退款或删除账号会阻止签发新的许可。

团队

团队由一个人——管理员——购买。其他人通过邀请（管理员自己分享的代码或 QR 码）加入，无需支付任何费用。

管理员可以在团队中开启联系人共享。届时，管理员的手机会生成团队密钥，密钥通过 QR 邀请送达成员，并且也保存在管理员和每位成员的 Google 云端硬盘中，位于应用的隐藏空间里。邀请中携带密钥的部分不会发送到我们的服务器。团队的记录用该密钥加密，因此服务器会保存它们，但无法读取。应用还会把团队密钥保存为一条用每位成员个人密钥加密的记录，因此服务器同样无法读取它。

所有成员都能看到团队的联系人并可以编辑。成员只能删除自己添加的联系人，管理员可以删除团队的所有记录。来自团队所覆盖展会的联系人会自动进入团队空间；您可以用“与团队共享”开关把任何联系人移回您的个人空间。

离开团队或被移出团队的人会立即失去对服务器上团队记录的访问权限，应用会从其手机上删除他本人未添加的团队联系人。本版本中团队密钥不会更换，因此成员已经导出或在应用之外抄录的内容不在我们的控制范围内。

对于团队，服务器知道每位成员的内部账号编号（不是姓名，也不是电子邮件）、谁是管理员、每个人何时加入和离开、团队有多少个席位以及已占用多少、已使用多少次更换、团队覆盖哪些展会以及有效至何时、团队来自哪一笔购买，以及谁添加了哪条记录。我们只以单向散列的形式保存邀请，并附有失效时间和使用次数。成员身份不会让管理员获得访问您手机或您个人联系人的权限。您可以随时离开团队；如果您有个人 Fair Pass，加入团队不会让您失去它。

您自己添加的展会

我们目录中没有的展会，您可以在应用中添加。我们保存您输入的名称和城市、您从列表中选择的两个字母的国家代码、您给出的日期、应用生成的一个标识，以及该记录创建的时间和——如果发生过——转交的时间。您添加的展会可能作为建议被转交给本网站的公开展会目录；该副本存在于应用数据库之外，删除您的账号不会影响它。这样的展会绝不会附加任何联系人。账号被删除时，您添加的展会会随之删除；如果有购买或权利引用它，记录会保留，但名称和城市会被覆盖，使您输入的内容一点也不剩。

AI 功能（可选）

套餐内含的 AI 功能是可选的，默认处于关闭状态。您在应用中阅读开启前显示的说明后自行开启，并可随时关闭——关闭立即生效。关闭期间不会为 AI 发送任何内容，应用像以前一样工作。这些功能面向年满 18 岁的人士。

开启后，AI 仅用于您发起的操作：(1) 读取名片——发送手机已从名片中读取的文字、读取到的 QR 码以及我们的草稿字段；如果这些不够，还会发送该张名片的照片；(2) 起草跟进邮件——发送对方的姓名、公司、职位、国家和语言，来自“我的名片”的仅有您的姓名、公司和职位（不包括您的电话号码或电子邮件地址），以及展会名称；(3) 总结笔记——发送您所选联系人或展会的笔记、评分（例如“4/5”）和跟进状态。笔记只有在发送时经您明确确认后才会发送。

不会发送：其他联系人、整个数据库、笔记摘要之外的评分、提醒、除该张名片之外的照片、您的账号编号、您的电子邮件地址或 Google 账号名称，以及手机的标识。对 Google 的请求由我们的服务器发出，而不是由您的手机发出。

我们不保存内容：服务器在处理期间将其保存在内存中，把结果返回给您，然后将其遗忘。它不会被写入数据库、工作日志、备份或重复请求的 24 小时记录。我们只保存一个计数器——您一天内使用了多少次 AI 操作、属于哪一类以及消耗了多少——它与您的账号关联，最长保存 90 天，用于执行每日限额和跟踪成本。如果没有网络或 AI 没有响应，应用会使用自己在手机上的识别功能或邮件模板；不会有任何内容排队等待稍后发送。

内容由 Google（Gemini API，付费服务）根据 Google 针对该服务的条款进行处理：根据这些条款，Google 不会使用这些内容来改进其产品或训练模型，并且仅为发现滥用和履行法定义务，在有限时间内记录请求和回答。更多信息见“还有谁参与”。

您总能看到结果，并可在任何内容被保存或发送之前对其进行编辑：名片以草稿形式打开，邮件以编辑器中的文本形式打开，只有当您自己通过自己的邮件程序发送时才会发出。没有任何操作是自动完成的。AI 可能出错，因此请核对姓名、号码和地址。

名片包含他人的个人信息。您发送它的目的应与您扫描该名片的目的相同；请只对您有权处理的名片使用 AI。

技术记录

为使服务能够运行、问题能够被查看，服务器保留一份技术事件记录：只有标识、预先设定的状态值、数字和时间。其中没有自由文本——例如您添加的展会名称，是有意不写入其中的。这些事件我们保留到不再为技术支持和安全所需为止；当您删除账号时，它们会失去与账号的关联。应用每做一次写入，都会保留一条 24 小时的简短记录，以免同一请求被执行两次：内部账号编号、应用发送的键、是哪一项操作、请求的单向散列，以及给出的回应。它在一天后消失，账号被删除时立即消失。服务器自身的日志记下请求——方法、路径、回应和时间——以及请求来自的网络地址（IP 地址）；请求的内容绝不记入日志，登录令牌、刷新令牌、许可和购买令牌在任何可能出现的地方都会被涂黑。该日志最长保留 14 天，用于安全和防止滥用，我们不会用该地址来推断您所在的位置。网络地址还会短暂保存在内存中，以限制同一地址可以多频繁地访问我们。数据库中不保存任何一个网络地址，其中也没有任何广告或分析记录。

还有谁参与

参与这项运作的有三家公司，没有其他。Google 以三种身份出现：登录和付款、保存密钥，以及——仅在您开启套餐内含的 AI 功能时——处理 AI 请求。

Google（登录和付款）：校验您的登录令牌，并通过 Google Play 的计费系统收取付款、确认购买并告知我们其状态——为此它会收到上文所述的两个内部标识。

Google（云端硬盘，保存密钥）：同步开启期间，您 Google 云端硬盘中应用的隐藏空间里会写入一个含有加密密钥的小文件。联系人和备注不会进入云端硬盘。应用只请求访问自己隐藏空间的权限（drive.appdata），看不到您的其他文件；您在 Google 的界面上授予该权限，并可在 Google 账号设置中撤回。为此 Google 得到的是密钥文件，而不是记录。

Google（AI，Gemini API）——仅在您开启 套餐内含的 AI 功能时。目的：在您发起时，将名片读入各个字段、起草邮件或总结笔记。数据：名片的文字或照片、读取到的 QR 码、我们已提取的草稿字段；对于邮件，还包括对方的姓名、公司、职位和语言，来自“我的名片”的仅有您的姓名、公司和职位，以及展会名称；对于摘要，包括笔记、评分和跟进状态，仅在您明确确认后。我们不发送您的账号编号、电子邮件地址、Google 账号名称或手机标识。我们使用该服务的付费版本；根据 Google 针对该版本的条款，Google 不会使用您的内容来改进其产品或训练模型，并且仅为发现滥用和履行法定义务，在有限时间内记录请求和回答。地点：Google 在其自有设施中处理数据，这些设施可能位于欧盟和塞尔维亚以外。您可以随时关闭 套餐内含的 AI 功能来停止这一处理。

Hostinger：运行这一切的服务器是位于欧盟、由 Hostinger 提供的一台虚拟机。加密的同步记录也保存在那里。

Cloudflare：借助它，我们在欧盟境内保存数据库的加密备份。备份中也包含我们无法读取的加密同步记录；备份中绝不包含 AI 操作的内容，因为这些内容不会被写入数据库。

我们不出售数据，也不把数据交给广告商，应用中没有任何广告和分析软件。

删除账号，以及删除后留下的内容

您可以在应用中请求删除，也可以按照页面 如何删除您的账号 所述通过电子邮件请求。删除不会立刻执行：账号在提出请求 7 天后被永久删除，在此之前您可以在应用中选择“保留我的账户”来改变主意，应用会向您显示它成为最终结果的确切日期。到那一天，账号、您所有手机上的会话、您的试用或 Fair Pass 所覆盖展会的标记（包括您输入的任何名称）、您的团队成员身份、AI 使用次数的计数器，以及您与您的购买之间的关联都会被删除，24 小时的记录也一并删除。您个人已同步的记录和密钥数据也在那一天一并删除。

我们永久保存已同步的联系人、备注和“我的名片”，直到您自己删除它们。丢失或更换手机、删除应用后重新安装，都不会删除任何内容：用同一个 Google 账号登录后，一切都会恢复。个人同步在试用或 Fair Pass 结束后仍然可用。您可以通过两种方式删除记录。使用应用中的“从服务器删除”按钮，记录会被立即删除，手机上的联系人保留。通过删除账号，记录会在提出请求 7 天后删除，且无法再恢复。当您在应用中请求删除时，应用也会删除您 Google 云端硬盘中的密钥文件。您也可以自行删除 Google 云端硬盘中的密钥文件（Google 云端硬盘、设置、管理应用、删除应用的隐藏数据）。没有服务器上的记录，这个文件什么也打不开。

在团队中，成员删除自己添加的记录，管理员删除团队的所有记录。成员删除账号后，其添加的记录仍留在团队中，与该账号不再有任何关联。当团队不复存在时（到期未续订、购买被退款或管理员的账号被删除），其记录会再保留 90 天，然后删除。

删除之后，加密记录最多还可能在数据库备份中保留 8 周，然后消失。

有四样内容是有意保留的。购买记录——Google 订单号、商品、金额、币种、日期和加密的购买令牌——保留期限为会计法律所要求的时间；具体期限我们仍在与会计师确定，在此之前这些记录不会被自动删除；在我们这里它们不再与任何个人关联。您 Google 标识的单向散列与试用日期不设时限保留，仅仅是为了使免费试用不会重新开始。试用最初开始所在手机的标识的单向散列，自该手机上最后一次试用起保留 365 天，因为它与账号没有关联。数据库备份以加密形式保存在 Cloudflare（欧盟），最长 8 周，因此已删除的账号最迟在删除后 8 周内就会从备份中消失。技术事件会保留，但不再与您关联。已经在手机上的许可会一直工作到它到期，因为它无法被撤回。

AI 操作的内容不在此列，因为我们从未保存过它；Google 只在“还有谁参与”中所述的期限内保留它。

您的权利

您可以询问我们持有您的哪些信息，要求更正或删除，要求获得副本，反对某种使用方式，并撤回同意。请使用您登录应用所用的 Google 地址写信至 hello@fairassistant.com，或在登录状态下从应用中发出请求。控制者为 Tehnokan d.o.o. Smederevo，Karadjordjeva 40, 11300 Smederevo, 塞尔维亚。如果您对我们的答复不满意，可以向您所在国家的数据保护机构提出。

问与答

我的联系人保存在哪里？

保存在您的手机上。如果您开启同步（在登录后的界面上，应用会在那里提示，或稍后在设置中开启；可随时关闭），欧盟境内我们的服务器上也会有一份加密副本。打开它的密钥保存在您的 Google 云端硬盘中应用的隐藏空间里。名片照片只保存在手机上。

手机丢了怎么办？

在新手机上安装应用，并用同一个 Google 账号登录。应用会从云端硬盘取回密钥，下载记录，并恢复您的联系人和备注。如果您无法访问该 Google 账号，只能使用恢复短语（如果您创建过）或手动备份（ZIP）来恢复。名片照片目前不会恢复。

Tehnokan 能看到我的联系人吗？

不能。我们的服务器只保存没有密钥的加密记录（只保存密钥的指纹，以及——如果您创建了恢复短语——用该短语锁定的密钥），只能看到您的账号 ID、记录的数量和大小以及修改时间。例外是您自己发起的 AI 操作：此时内容会经由服务器发送给 Google，我们不会保存。您可以随时从服务器删除这些记录。