隐私政策

纳渊护学（以下简称"本应用"）由纳渊（以下简称"我们"）开发并运营。 本政策说明本应用收集哪些信息、为什么收集、如何使用与保存，以及你可以如何控制这些信息。 本应用面向家庭场景，实际使用者通常为未成年人，因此我们对数据最小化采取了比一般应用更严格的标准。

一、我们收集哪些信息

1. 前台应用包名（本地处理，不上传）

为实现"使用满 N 分钟弹出一道题"的核心功能，本应用需要知道当前哪个应用在前台。 我们通过安卓系统的无障碍服务（AccessibilityService）监听窗口切换事件， 仅读取该事件的应用包名（例如 com.tencent.tmgp.sgame）与切换时间戳。

• 不读取窗口标题、界面文字、输入框内容、剪贴板；
• 不截屏、不录屏，不申请任何屏幕采集相关权限；
• 不记录你在应用内做了什么，只记录"某应用自某时刻起在前台"；
• 该数据仅保存在设备本地的数据库与配置文件中，不随账号同步，不上传服务器。

2. 题库、课程与答题记录（本地保存）

内置题库、你导入的题库、课程内容、每道题的作答结果与对错统计，均保存在设备本地的 SQLite 数据库与 SharedPreferences 中。这些数据用于本地出题、难度调整与进度展示。 只有在你主动点击"上传题库"并完成登录后，被你选中的那一份题库才会发送到我们的服务器； 我们不会在后台自动同步这些内容。

3. 家长密码（不可逆哈希）

家长密码为 4–8 位数字。我们不保存明文，仅保存"随机盐 + SHA-256 摘要"， 并采用恒定时间比较，防止通过响应时间推测密码。 该哈希值保存在设备本地的独立配置文件中，不会上传。 若你忘记密码，我们无法为你找回——但应用内提供了"答错 3 次露出家长入口"和"硬超时自动放行"两条兜底路径。

4. 账号信息（可选）

不注册账号即可使用全部本地功能。若你选择注册以同步题库与课程进度，我们会收集：

• 账号标识：你设置的用户名，或注册时使用的邮箱/手机号；
• 登录凭证：密码经加盐哈希后存储，我们不持有明文；
• 同步内容：你主动上传的题库 JSON、课程进度、答题统计；
• 必要的技术日志：请求时间、接口路径、返回码、IP 地址（用于限流与故障排查，保留 30 天）。

5. 我们不收集的信息

• 不收集通讯录、短信、通话记录、位置、相册、麦克风录音文件；
• 不收集 IMEI / IMSI / MAC / Android ID / 序列号 / OAID 等硬件标识，也不做广告画像；
• 不收集你在其他应用内的任何内容；
• 不收集未成年人的真实姓名、身份证号、学校、住址。

6. 匿名使用统计（可关闭）

因为本应用不注册也能用，我们需要一个办法知道"到底有没有人在用、用得怎么样"， 否则没法判断该继续投入还是该修 bug。为此我们只统计下面这一组数据：

• 随机设备号：由 App 在首次启动时用随机数生成的一串 32 位字符， 不是 IMEI / Android ID / MAC / 序列号，也不由任何硬件信息推导而来， 我们无法用它反查到具体是谁；卸载重装后会变成新的一串。
• 计数：启动次数、答题次数、答对次数；
• 版本：App 版本号、Android 系统版本号（用于判断兼容性问题）。

这组数据不带手机号、不带账号、不带位置、不带答题内容， 也无法与其他信息组合识别到具体个人，因此不属于个人信息。 你可以在「设置 → 隐私」中关闭"匿名使用统计"，关闭后 App 不再上报任何数据，功能不受影响。

二、麦克风与语音识别

朗读题需要判断孩子是否读对了。点击"开始朗读"后，本应用调用系统自带的语音识别服务 （Android SpeechRecognizer，通常由手机厂商或 Google 提供）。

• 录音仅在朗读题作答期间开启，最长 10 秒自动结束，界面有明确的红点与文字提示；
• 本应用不保存录音文件，也不把音频写入存储；
• 识别返回的文本在本地完成拼音层对齐判分，随后立即丢弃；
• 若系统语音识别服务由第三方提供（如 Google 语音服务），其数据处理遵循该第三方的隐私政策； 你也可以在系统设置中关闭语音服务，此时本应用会自动禁用朗读题并改用打字题，不影响其他功能。

三、AI 出题与第三方服务

当你在题库页选择"AI 现生成"时，本应用会把年级、学科、题型、难度这几项参数 发送到我们的后端，由后端调用 DeepSeek 大模型生成题目。

• 发送的内容不包含任何个人信息、设备信息或孩子的答题记录；
• 生成的题目会经过模板校验、答案唯一性校验与重复检测后才进入本地题库；
• 该功能需要联网，你可以完全不使用它——内置题库与离线导入均不联网。

涉及的主要第三方服务：

• DeepSeek 开放平台（AI 题目生成）：仅接收年级/学科/题型参数；
• 短信或邮件服务商（若你选择手机号/邮箱注册）：仅接收用于发送验证码的号码/地址；
• 云服务器与对象存储（题库与课程托管）：存储你主动上传的内容。

四、广告

当前版本的设置页中保留了若干广告位，但尚未接入任何广告 SDK， 这些位置显示的是我们自己的产品推荐卡片，不采集任何数据。

若未来接入第三方广告，我们会在应用内以显著方式再次征求你的同意，并同步更新本政策。 在此之前，你可以放心：本应用不含任何广告追踪代码， 不向任何广告平台共享设备标识或使用行为。

五、信息的存储与保护

• 存储位置：本地数据保存在应用私有目录（非 root 设备上其他应用无法读取）； 上传的数据存储在中国境内的云服务器。
• 保存期限：账号数据在账号存续期间保存；技术日志保留 30 天； 你注销账号后，我们会在 15 个工作日内删除或匿名化处理相关数据。
• 安全措施：传输全程 HTTPS；密码加盐哈希；管理后台使用独立签名令牌， 与普通用户令牌完全隔离；数据库定期备份。
• 数据出境：我们不向境外传输你的个人信息。

六、你的权利

无论是否注册账号，你都可以：

• 查看与导出：在"题库"页导出任意题库为 JSON 文件；
• 删除本地数据：设置页"清除缓存"可清空临时数据； 卸载应用会删除全部本地数据（含题库、答题记录、家长密码）；
• 撤回授权：随时在系统设置中关闭无障碍服务或悬浮窗权限，本应用会立即停止拦截；
• 注销账号：在设置页"关于我们 → 注销账号"，或发邮件至 hi@nayuan.top 申请，我们将在 15 个工作日内完成。

七、未成年人保护

本应用的使用者通常为未成年人，账号应由监护人注册与管理。 我们严格遵守《中华人民共和国个人信息保护法》《儿童个人信息网络保护规定》：

• 不采集不满十四周岁儿童的个人身份信息（姓名、生日、住址、学校等）；
• 不基于儿童数据进行任何形式的用户画像或精准推送；
• 不含任何付费内购、虚拟货币、抽奖或社交功能；
• 监护人可随时通过上述方式删除儿童的全部数据。

八、权限清单

本应用申请的权限及用途，与上文一一对应：

• BIND_ACCESSIBILITY_SERVICE（无障碍）：读取前台应用包名与窗口切换事件；
• SYSTEM_ALERT_WINDOW（悬浮窗）：在应用之上绘制锁屏答题卡片；
• FOREGROUND_SERVICE（前台服务）：保证计时不被系统回收；
• RECEIVE_BOOT_COMPLETED（开机自启）：重启后恢复未完成的锁屏进度；
• INTERNET / ACCESS_NETWORK_STATE：下载在线题库与课程、AI 出题、匿名使用统计；
• RECORD_AUDIO（麦克风）：仅朗读题作答期间使用，不保存录音；
• BIND_DEVICE_ADMIN（设备管理）：仅在你主动开启"防卸载保护"后才生效，用途见下。

本应用不申请：读取短信、读取通讯录、读取通话记录、访问精确位置、读取外部存储全部文件、查询已安装应用列表（仅在系统允许范围内按包名判断单个应用是否安装）。

关于「防卸载保护」——可选功能，默认关闭

这个功能解决的是一个很具体的问题：孩子自己把 App 卸掉，锁屏就形同虚设。 但它不是默认开启的，也不强加给任何人：

• 默认关闭：安装后应用不会申请任何设备管理权限，就是一个普通 App，可以随时正常卸载；
• 家长手动开启：需要在「设置 → 防卸载保护」里由家长输入密码后主动打开， 并在系统弹出的授权页上二次确认，两步都做完才会生效；
• 随时可关：家长在同一页面输入密码即可关闭，关闭后立即恢复为普通应用； 也可在系统「设置 → 安全 → 设备管理应用」中取消激活；
• 不碰你的数据：该权限只用于阻止"卸载本应用"这一个动作， 我们不会远程锁定设备、不会擦除数据、不会修改锁屏密码、不会读取任何文件；
• 不需要 root，也不修改系统分区。

九、政策更新

本政策如有实质性变更，我们会在应用内弹窗提示并在本页更新生效日期。 继续使用即视为接受更新后的政策；若你不同意，可停止使用并卸载应用。

十、联系我们

对本政策有任何疑问、意见或投诉，或希望行使上述任何权利，请联系：
邮箱：hi@nayuan.top
我们会在收到请求后 15 个工作日内答复。