一、阅读说明
本清单是隐私政策的组成部分，记录 Android、iOS 与 HarmonyOS 应用可能触发的数据处理。某字段是否实际产生，取决于您使用的平台、选择的功能和是否登录或支付。
功能必要用户选择可能含敏感信息
- 功能必要：不提供会导致该项功能无法完成，但不影响无关功能。
- 用户选择：只有您主动操作或填写时处理，可不提供。
- 可能含敏感信息：媒体内容本身可能包含面部、声纹、健康、证件、家庭环境或未成年人信息。
二、本地媒体处理
| 功能/场景 | 字段或数据 | 目的 | 触发方式 | 必要性 | 处理位置与接收方 | 保存规则 |
|---|---|---|---|---|---|---|
| 选择视频或图片 | 您选择的媒体内容；文件名、路径或系统内容地址、格式、MIME类型、大小；视频时长、分辨率、帧率；图片宽高 | 读取、校验并预览待处理素材 | 点击选择媒体并在系统选择器中确认 | 功能必要可能敏感 | 设备本地；由 Android/iOS 系统选择器授予对所选文件的访问 | 系统授权可直接读取时不复制；兼容性需要时复制至应用缓存并按下述缓存规则清理 |
| 格式转换、压缩、变速、裁剪、音频提取、静音 | 所选媒体、输出格式、质量、尺寸、帧率、码率、速度、裁剪区间、是否保留音频等参数 | 在设备上生成您设定的结果 | 设置参数并开始处理 | 功能必要 | 设备本地；使用系统媒体能力及本地媒体组件 | 临时输出超过约24小时后，在后续同类操作触发清理；已保存结果由您管理 |
| Android 生成动图 | 所选视频、截取区间、画面尺寸、帧率、循环与质量参数 | 在设备上生成 GIF | 选择该工具并开始处理 | 功能必要 | Android 设备本地 | 与本地临时输出规则相同；保存后由您管理 |
| Android / HarmonyOS 视频合并 | 主动选择的多段视频及其声音、文件信息、时长、画面尺寸、方向、片段顺序、预览与输出结果 | 在设备上按您选定的顺序合并视频并保存或分享 | 选择视频、调整顺序并开始合并 | 功能必要可能敏感 | 设备本地；不上传素材，不向本地组件提供者发送 | 为处理而复制的导入文件按平台缓存规则管理；合并临时结果超过约24小时后，在后续合并操作触发清理；已保存或分享结果由您管理 |
| iOS 视频加字幕 | 所选视频及其声音、识别语言、字幕文字与出现时间、样式和位置；您选填的识别关键词、手动输入或修改、拆分和合并的字幕内容 | 在本机识别语音、校对与编辑字幕并生成字幕视频或 SRT 文件 | 点击自动识别、编辑或生成字幕视频；关键词为选填，不提供仍可使用 | 媒体与字幕为功能必要关键词由您选择可能敏感 | iOS 设备本地；Apple 系统识别模型可能需要联网下载，不上传媒体、关键词或字幕进行识别 | 临时识别音频在处理结束后删除；临时视频与字幕超过约24小时后由后续同类操作清理；主动保存或分享的结果由您管理 |
| iOS 保存实况媒体 | 所选或生成的视频、系统生成的配对资源 | 创建并保存系统支持的实况媒体 | 选择该导出方式并允许添加到照片 | 用户选择 | iOS 设备与系统照片图库 | 应用临时文件按缓存规则清理；照片图库中的结果由您删除 |
| 保存或分享结果 | 处理结果文件、文件名、格式；系统分享面板中您选择的目标 | 保存到相册/公共媒体目录，或交给您选定的应用 | 点击保存或分享 | 用户选择 | 系统相册、文件目录或您选择的第三方应用；第三方后续处理适用其规则 | 保存后不由本应用自动删除；第三方保存期限由其决定 |
三、云端媒体处理
| 功能/场景 | 字段或数据 | 目的 | 触发方式 | 必要性 | 处理位置与接收方 | 保存规则 |
|---|---|---|---|---|---|---|
| 视频增强类任务 | 原始视频；文件名、MIME类型、大小、时长、分辨率、帧率；文件 MD5；清晰度增强、二倍超分、动漫增强、人像增强、补帧、黑白上色、人像动漫化等模式及参数 | 上传、去重校验、创建任务、算法处理、展示进度和交付结果 | 您选择云端功能、确认提示并提交任务 | 功能必要可能敏感 | 应用、运营方业务服务器及其受托的上传、存储、计算基础设施；主业务接口域名 api.fangame.online | 客户端上传映射最长30天；云端仅为任务与合理下载窗口保留，结果不保证永久可用；具体说明见隐私政策 |
| 图片修复类任务 | 原始图片；文件名、MIME类型、大小、宽高；文件 MD5；修复、上色、动漫化或绘画等所选模式及参数 | 上传、任务处理和返回结果 | 您选择云端图片功能并提交 | 功能必要可能敏感 | 同上 | 同上 |
| 上传与断点状态 | 上传地址、分片/进度、上传响应、文件特征值、任务关联标识、失败原因 | 完成传输、避免重复上传、恢复或排查任务 | 云端任务传输过程中产生 | 功能必要 | 客户端与业务服务器；上传目标可由服务器动态指定 | 上传地址与特征值映射最长30天；Android 上传响应受30天及256条/64MiB上限约束；iOS 临时传输工件按7至8天及约2GiB上限清理 |
| 任务与结果 | 任务编号、用户/访客编号、业务设备标识（deviceId）、任务类型、创建时间、状态、进度、错误信息、结果地址、预览与下载状态 | 展示任务列表、恢复进度、下载或分享结果、处理售后 | 创建任务后产生 | 功能必要 | 客户端与业务服务器 | 本地索引直至退出、注销、清除数据或不再需要；服务端在目的实现后删除或匿名化，法定留存除外 |
| HTTP兼容媒体地址 | 上传或下载的媒体内容、网络地址与传输状态 | 兼容特定媒体传输节点 | 服务器为任务指定非 HTTPS 媒体地址时 | 该任务传输必要无TLS保护 | 服务端指定的媒体节点；HTTP 传输不具备 HTTPS 的加密保护 | 遵循对应任务与媒体规则；升级为 HTTPS 前请勿提交敏感素材 |
四、访客、账户与反馈
| 功能/场景 | 字段或数据 | 目的 | 触发方式 | 必要性 | 处理位置与接收方 | 保存规则 |
|---|---|---|---|---|---|---|
| 创建访客身份 | 业务设备标识（deviceId）、设备品牌/制造商、设备型号、系统平台、应用版本、访客编号 | 关联任务、账户和权益，支持未登录使用与故障排查 | 首次进入需要访客身份的联网场景时 | 联网任务必要 | 客户端与业务服务器 | Android 的 ANDROID_ID 与 iOS 钥匙串业务标识通常不因普通卸载重装立即变化；HarmonyOS 业务标识保存在应用私有空间及系统关键资产存储中，关键资产设置为普通卸载后保留、不跨设备同步。上述标识仍可能因系统重置、配置变化或安全存储丢失而变化；服务端记录保存至账户或任务目的实现并满足法定留存要求 |
| iOS Apple 登录 | Apple 身份令牌（可能包含 Apple 用户标识及您授权提供的真实或隐藏邮箱）、授权状态、登录结果、用户编号，以及您授权提供的姓名（如有） | 完成 Apple 账号登录、建立账户会话、同步账户和任务 | 在 iOS 主动选择 Apple 登录并确认授权 | 用户选择 | Apple 登录服务、客户端与业务服务器 | 身份令牌用于完成登录；账户信息保存至注销或依法不再需要，Apple 侧按其规则处理 |
| iOS 与 Android 微信登录 | 微信授权码、授权状态、登录结果、用户编号，以及您授权提供的昵称、头像等账号基本信息 | 完成微信授权登录、建立账户会话、同步账户和任务 | 在 iOS 或 Android 主动选择微信登录并确认授权 | 用户选择 | 微信开放平台、客户端与业务服务器 | 授权码仅用于完成登录；账户信息保存至注销或依法不再需要，微信侧按其规则处理 |
| HarmonyOS 微信登录 | 微信授权码、授权状态、登录结果、用户编号，以及您授权提供的昵称、头像等账号基本信息 | 完成微信授权登录、建立账户会话、同步账户和任务 | 在 HarmonyOS 主动选择微信登录并确认授权 | 用户选择 | 微信开放平台、客户端与业务服务器 | 授权码仅用于完成登录；账户信息保存至注销或依法不再需要，微信侧按其规则处理 |
| HarmonyOS 华为账号登录 | 华为账号授权码、授权状态、登录结果、用户编号，以及您授权提供的账号基本信息 | 完成华为账号授权登录、建立账户会话、同步账户和任务 | 在 HarmonyOS 主动选择华为账号登录并确认授权 | 用户选择 | 华为账号服务、客户端与业务服务器 | 授权码仅用于完成登录；账户信息保存至注销或依法不再需要，华为侧按其规则处理 |
| 退出登录 | 用户编号、登录令牌、业务设备标识（deviceId）及设备会话 | 终止当前会话并清理本地状态 | 在账户安全页主动退出 | 用户选择 | 客户端与业务服务器 | 本地令牌随退出清除；必要安全日志依法保留 |
| 注销账户 | 用户编号、登录令牌、注销请求、核验状态、与账户关联的任务及订单索引 | 核验并执行注销、处理未结事项 | 在“我的 → 账户管理”按步骤申请 | 用户选择 | 客户端与业务服务器 | 注销完成后删除或匿名化非必要信息；交易、争议和安全记录按法定期限隔离保存 |
| 白鸟客服与消息提醒 | 用户编号、已有业务设备标识、昵称、账号头像地址、应用标识与名称、包名、应用/系统版本、平台、设备型号、网络请求信息、用户发送的文字与所选图片、访客凭证、未读及已读状态、活动展示记录 | 识别本应用与账号、恢复会话、回复咨询、消息提醒和后台开启时的活动触达 | 同意隐私政策且用户编号就绪后连接；图片经用户选择并确认发送后上传 | 用户同意 | 运营方自营白鸟客服（helpdesk.bainiao.chat）；凭证与展示记录位于 Android Keystore 加密存储、iOS Keychain 或 HarmonyOS Asset；外部图片 CDN 和所打开网页会接收对应请求 | 撤回授权清除本机客服数据；服务端历史按服务目的处理，可通过意见反馈申请删除 |
| 意见反馈 | 反馈文字、您自愿填写的电话或邮箱、应用标识、应用版本、用户编号、业务设备标识（deviceId） | 接收问题、与您联系、排查故障和改进服务 | 填写并提交反馈 | 用户选择 | 客户端与业务服务器；反馈入口不要求提交视频或图片 | 处理完成及合理争议期后删除或匿名化，法定留存除外 |
五、商品、订单与支付
| 功能/场景 | 字段或数据 | 目的 | 触发方式 | 必要性 | 处理位置与接收方 | 保存规则 |
|---|---|---|---|---|---|---|
| 查询商品与权益 | 用户/访客编号、会员状态、修复币余额；方案编号、名称、说明、价格、原价、币数量、赠送量、处理次数、有效期 | 展示当前可购商品和已有权益 | 打开购买或账户权益页面 | 展示商品必要 | 客户端与业务服务器 | 本地短期展示；服务端按账户与商品配置管理 |
| 微信支付（Android / HarmonyOS） | 用户编号、业务设备标识（deviceId）、商品方案、金额、支付渠道、订单编号、微信支付参数与支付结果；SDK运行所需的设备、系统、应用与网络信息 | 创建订单、调起微信支付并核验结果 | 在 Android 或 HarmonyOS 原生端选择微信支付并确认购买后 | 用户选择 | 客户端、业务服务器、微信Open SDK及其支付服务 | 按交易履行、售后和法定要求保存；微信侧按其隐私规则处理 |
| 创建支付宝订单 | 用户编号、业务设备标识（deviceId）、商品方案、金额、支付渠道、订单编号 | 生成订单并获取支付参数 | 在 Android 或 HarmonyOS 原生端选择商品并确认支付宝支付 | 用户选择 | 业务服务器及支付宝支付服务 | 按交易履行、售后、会计、反洗钱和安全要求保存 |
| 调起支付宝 | 订单与支付参数；SDK可能处理设备与系统信息、IP、网络状态及支付安全信息；Android SDK 还可能处理 Android ID、OAID、Wi‑Fi参数、传感器列表或屏幕信息 | 完成支付、风险控制、反欺诈和网络优化 | 在 Android 或 HarmonyOS 原生端选择支付宝后 | 用户选择 | 支付宝客户端SDK：Android 15.8.42、HarmonyOS 15.8.44，及其支付服务 | 由支付宝按照其隐私规则和法定义务保存 |
| iOS 应用内购买与恢复 | 商品标识、交易编号、原始交易编号、Apple 签名交易凭证、购买/到期/撤销状态、用于关联交易的标识及用户/访客编号 | 通过 App Store 完成购买、恢复有效订阅或核验已有未完成交易，向业务服务器核验并发放或同步权益 | 您主动确认 Apple 购买或恢复订阅；同意隐私政策后同步已有交易 | 用户选择 | Apple App Store、客户端与业务服务器 | 交易记录按 Apple 规则及交易履行、售后和法定义务保存 |
| 支付结果与售后 | 订单编号、支付状态、支付时间、渠道、金额、服务端核验结果、权益发放记录 | 核验支付、发放权益、查询记录、处理重复扣费或未到账 | 支付返回及主动刷新账户时 | 履行订单必要 | 客户端、业务服务器、支付服务 | 按交易履行和法定期限保存 |
iOS 首版仅使用 Apple App Store 应用内购买；Android 与 HarmonyOS 原生端使用微信支付或支付宝。详情见会员与付费服务协议。
六、设备、网络与安全日志
| 数据类别 | 字段或数据 | 目的 | 触发方式 | 必要性 | 接收方 | 保存规则 |
|---|---|---|---|---|---|---|
| 业务设备标识（deviceId） | Android：系统 ANDROID_ID；读取不到时使用应用私有存储中的随机 UUID。iOS：随机 UUID 写入系统钥匙串（Keychain），并迁移旧版偏好设置中的值。HarmonyOS：新安装时生成随机标识，旧版升级时可能沿用原有标识，并保存于应用私有空间及系统关键资产存储；关键资产设置为普通卸载后保留、不跨设备同步。 | 关联访客身份、登录状态、账户、任务和订单，排查问题 | Android：仅在您同意隐私政策并使用联网服务时读取 Android ID，读取不到时才生成或读取降级 UUID；同意前及撤回后均不读取。iOS 与 HarmonyOS：按端侧规则在本地生成或读取随机业务标识；仅在同意隐私政策并使用相关联网功能时发送至业务服务器 | 联网业务必要 | 客户端与业务服务器 | Android 与 iOS 标识通常可在普通卸载重装后保持，但可能因系统重置、签名或安全存储变化而改变；HarmonyOS 重装后仍可能使用系统关键资产中的同一标识，但不会跨设备同步。上述标识均不是硬件序列号或广告标识符，也不单独作为账号登录凭据。 |
| 设备与应用信息 | 设备品牌/制造商、型号、操作系统类型与版本、应用标识与版本 | 兼容性判断、任务关联和故障定位 | 创建访客、提交任务、订单或反馈时 | 对应功能必要 | 客户端与业务服务器 | 随关联业务记录按其期限保存 |
| 网络日志 | IP地址、网络类型、请求时间、接口地址与状态码、耗时、错误类型 | 提供网络服务、保障安全、诊断故障与防止滥用 | 访问联网功能时由系统和服务器产生 | 联网服务必要 | 业务服务器及受托基础设施 | 在安全审计和故障排查所需最短期限内保存，法律另有规定的除外 |
| 支付宝SDK安全信息 | 以第三方SDK与信息共享清单列明字段为准 | 支付安全、风控、反欺诈和设备环境判断 | 仅在 Android 或 HarmonyOS 原生端主动调起支付宝时 | 用户选择支付 | 支付宝支付服务主体 | 按第三方隐私规则与法定要求 |
七、系统权限与设备能力清单
| 平台 | 权限/能力 | 声明或调用目的 | 触发时机 | 是否可拒绝 | 拒绝后的影响 |
|---|---|---|---|---|---|
| Android | 网络访问 | 登录、云端任务、上传下载、支付、反馈 | 使用联网功能 | 系统通常不单独弹窗 | 联网功能不可用；本地工具不受影响 |
| Android | 访问网络状态、Wi‑Fi状态 | 判断连接条件、调度传输和支付网络安全 | 联网或SDK运行时 | 系统通常不单独弹窗 | 网络调度与支付可能异常 |
| Android | 前台服务、前台数据同步 | 在后台持续上传或下载并由系统显示运行状态 | 启动长时间传输 | 由系统规则控制 | 离开应用后传输可能中断 |
| Android | 通知 | 显示上传、下载或前台服务进度 | Android 13及以上首次需要通知时 | 可以 | 看不到通知；传输界面内进度仍可能可见 |
| Android | 唤醒、接收开机完成 | 系统工作调度组件维护或恢复受约束的后台任务 | 由系统调度 | 系统通常不单独弹窗 | 后台任务可能延迟或不能恢复 |
| Android | 写入外部存储（仅 Android 9 及以下） | 保存结果到公共媒体目录 | 旧系统上保存结果 | 可以 | 不能保存到公共目录 |
| Android | 系统照片选择器/文件选择器 | 访问您主动选中的视频或图片 | 点击选择媒体 | 可以取消 | 不能处理未选择的文件；不要求整个相册读取权限 |
| iOS | 照片添加权限 | 把处理结果保存到照片图库 | 首次保存到照片 | 可以 | 不能保存到照片图库 |
| iOS | 语音识别权限（旧版引擎） | 在本机识别所选视频中的说话声并生成字幕；不使用麦克风 | 使用旧版引擎首次点击自动识别字幕 | 可以 | 依赖此权限的自动识别不可用；手动添加字幕仍可使用 |
| iOS | 照片选择器/文档选择器 | 访问您通过系统界面选择的媒体 | 点击选择媒体 | 可以取消 | 不能处理未选择的文件；不申请广泛读取相册 |
| HarmonyOS | 网络访问 | 登录、云端任务、上传下载、反馈 | 使用联网功能 | 系统通常不单独弹窗 | 联网功能不可用；本地工具不受影响 |
| HarmonyOS | 持久化数据能力 | 保存用于关联访客身份、登录状态和云端任务的随机业务设备标识 | 应用启动时读取；首次安装或未找到原有标识时创建 | 由系统规则控制 | 无法保存或读取时，相关身份与任务关联功能可能不可用 |
当前未申请：定位、通讯录、麦克风、相机权限。支付SDK可能在您调起支付时处理其规则列明的设备和网络信息，但不因此获得上述未申请的系统危险权限。
八、客户端保存规则摘要
| 项目 | Android | iOS | HarmonyOS | 用户可采取的措施 |
|---|---|---|---|---|
| 业务设备标识（deviceId） | 系统 ANDROID_ID（降级 UUID 位于应用私有存储）；普通卸载重装通常保持 | 系统钥匙串；普通卸载重装通常保持 | 应用私有空间及系统关键资产存储；关键资产普通卸载后保留且不跨设备同步，重装后仍可能保持 | 仅卸载应用不一定删除上述标识；已同步到业务服务器的记录可通过“我的 → 意见反馈”申请删除 |
| 媒体导入缓存 | 兼容性复制文件超过24小时后，在后续导入清理时删除 | 新建选择会话时清理此前导入缓存 | 应用私有缓存，按功能和系统存储规则清理 | 清除应用缓存或卸载；重要文件先自行备份 |
| 上传映射 | 文件特征值与上传地址映射最长30天 | 清除应用数据 | ||
| 传输工件 | 上传响应与下载索引最长30天，且受256条/64MiB限制 | 进行中约8天、已结束约7天，整体约2GiB上限；状态结束时按规则清理源临时副本 | 按任务状态和系统存储规则保存在应用私有空间 | 在系统设置清理应用数据或卸载 |
| 本地处理临时文件 | 超过约24小时后，在后续同类操作触发清理 | 清除缓存；已保存到相册/公共目录的结果由您自行删除 | ||
| 登录与任务索引 | 退出、注销、清除应用数据或不再需要时清理；服务端记录按业务与法定义务处理 | “我的 → 账户管理”退出或注销；其他请求通过“我的 → 意见反馈”提出 | ||
九、控制与联系
您可在系统设置管理权限，在“我的 → 账户管理”退出或注销，在“我的 → 关于 → 撤回隐私授权”撤回同意，在“我的 → 意见反馈”提出查阅、复制、更正、删除或投诉请求。撤回后停止账户同步、任务查询及当前上传下载；Android 在重新同意前不读取 Android ID、不调用第三方登录或支付SDK。已提交的云端任务、账户和服务器记录不因撤回自动删除。
联系主体：苏州凡游科技有限公司。请不要在反馈中提交验证码、银行卡、身份证件或原始私密媒体。