隐私政策

更新日期：2026 年 7 月 29 日 · 生效日期：2026 年 7 月 29 日

一、适用范围与运营者

本政策适用于幽云轩公网版网站及 Android、Windows、HarmonyOS 客户端。企业私有部署版本由部署单位决定具体的数据处理方式，并应向其用户提供相应的个人信息处理规则。

运营者：幽云轩（鲁ICP备2026033628号备案主体）
联系邮箱：oyud@163.com
联系电话：17611495961

我们遵循合法、正当、必要和诚信原则，按功能所需处理信息，并采取措施保护所处理的数据。端到端加密保护的是消息正文；账号信息、通信元数据、推送信息和必要安全日志不属于消息正文，处理方式见下文。

二、我们处理的信息

1. 账号与资料信息

注册和使用账号时，我们处理用户名、用户编号、账号 UUID、密码哈希、账号状态和创建时间。你主动设置时，我们还会处理显示名称、头像、公开身份密钥及二级恢复密码的哈希值。我们不保存你的明文登录密码或明文二级恢复密码。

2. 设备与登录安全信息

为实现单设备登录、设备审批、会话失效和异常登录防护，我们处理设备标识、设备类型、你提交的设备描述、登录 IP 地址、登录与审批时间、审批状态及会话版本信息。

3. 好友、群组与功能配置

为提供好友、群聊、聊天室、免打扰和备份控制等功能，我们处理好友关系与邀请记录、群组名称和成员关系、聊天室参与状态、消息保留设置、免打扰设置及必要的群组操作记录。

4. 消息密文与通信元数据

消息正文在支持的客户端上默认采用端到端加密。服务端处理和短期保存的是消息密文及加密媒体文件，同时需要处理送达所需的通信元数据，例如发送方与接收方编号、群组编号、消息编号、消息类型、文件大小、发送时间和送达状态。服务端不持有解密消息正文所需的私钥，但通信元数据仍可能反映联系时间和对象关系。

5. 推送信息

离线推送是可选功能。在你于客户端明确开启前，我们不会初始化厂商推送 SDK，也不会向厂商申请或上传推送令牌。开启后，我们根据设备品牌仅使用下列一种推送服务，处理设备推送令牌、设备标识和推送平台类型。为完成通知与点击路由，推送服务商可能接收推送令牌、消息编号、发送方编号以及通知展示所需的发送方昵称或群组名称；推送载荷不包含消息正文。你可以在客户端“隐私与离线推送”中随时关闭。

6. 运行与网络安全日志

为保障服务稳定、排查故障、防范滥用和履行网络安全义务，我们处理请求时间、IP 地址、请求方法、接口路由模板、响应状态、响应字节数、处理时长、随机请求编号、限流记录、安全告警和经过脱敏的故障信息。这里的“接口路由模板”例如 /api/v1/users/:id，不是包含查询参数或具体对象编号的原始网址。客户端不记录 HTTP 请求/响应正文或鉴权凭据；服务端六个月安全日志不记录原始网址、查询参数、请求与响应正文、Cookie、密码、访问令牌、推送令牌、通知载荷、具体聊天对象编号或设备编号。短期故障日志按独立运维期限和访问权限处理，不作为六个月安全访问日志保存。

7. 仅保存在设备上的信息

本地聊天记录、端到端身份私钥、棘轮会话状态、本地设置和安全箱内容主要保存在你的设备上。安全箱内容不经服务端转发。你主动生成加密备份时，备份文件及备份口令由你保管；请妥善保存口令，遗失后可能无法恢复备份内容。

三、处理目的与依据

• 创建和管理账号，提供消息、通话、好友、群组、备份及多端功能；
• 完成消息路由、离线推送、设备审批和账号安全验证；
• 维护服务稳定，识别攻击、欺诈、垃圾消息和其他滥用行为；
• 处理投诉、故障、安全事件及用户权利请求；
• 履行适用法律法规规定的网络安全、信息内容治理和依法协助义务。

我们根据与你订立和履行服务协议所必需、取得你的同意、履行法定义务或法律法规允许的其他依据处理信息。处理目的或方式发生实质变化时，我们会依法更新告知并在需要时重新取得同意。

四、设备权限

相关功能可能申请以下系统权限：通知权限在你主动开启离线推送时申请，用于显示消息提醒；麦克风权限在你发送语音或发起、接听通话时申请；摄像头权限在视频通话、拍摄或扫描二维码时申请；照片、媒体或文件访问权限在你选择头像、图片、视频、PDF 或备份文件时申请。除提供相应功能所需外，我们不会使用这些权限。你可以在系统设置中关闭权限，但对应功能可能无法继续使用。

五、委托处理、共享与依法提供

我们不会出售个人信息，也不会基于消息正文进行广告画像。仅在以下范围内提供或委托处理必要信息：

• 设备推送服务商：按照本政策第二条第 5 项所述，为完成离线通知处理必要的推送和路由信息；
• 基础设施服务商：为服务器、网络和安全运维提供必要基础设施，并通过权限控制和合同要求限制其处理范围；
• 有权机关依法要求：在法律法规规定及法定程序范围内，提供我们实际持有且依法需要提供的信息；
• 合并、分立或业务转让：如发生主体变更，我们会依法告知接收方信息，并要求其继续履行本政策或重新取得必要授权。

各端推送服务清单

下列推送服务仅在你开启离线推送后初始化。Android 客户端按设备品牌选择其中一个；HarmonyOS 客户端仅使用 HarmonyOS Push Kit。共同使用场景为应用退至后台或离线时展示消息提醒；共同处理方式为服务在本机读取必要的应用、设备和网络基本信息，生成推送标识，并通过加密网络传输至对应服务商服务器。实际字段会随设备系统和 SDK 版本有所差异，请同时查看对应处理规则。

• 华为 Push Kit（6.11.0.300）
  提供方：华为软件技术有限公司。目的：在华为设备提供离线通知。信息类型：应用包名、AppID、应用版本，设备/系统与网络基本信息、AAID、PushToken，以及通知投递和点击路由信息。处理规则：华为 Push Kit 官方说明。
• HarmonyOS Push Kit（系统能力）
  提供方：华为软件技术有限公司。目的：在 HarmonyOS 客户端提供离线通知。信息类型：应用包名、Client ID、应用版本、设备/系统与网络基本信息、PushToken，以及通知投递和点击路由信息。处理规则：华为 Push Kit 官方说明。
• 荣耀推送 SDK（10.0.13.305）
  提供方：深圳荣耀软件技术有限公司。目的：在荣耀设备提供离线通知。信息类型：设备信息、应用信息，包括 AAID、PushToken、AppID、应用包名，以及通知投递和点击路由信息。处理规则：荣耀推送 SDK 隐私声明。
• 小米推送 SDK（7.9.2）
  提供方：北京小米移动软件有限公司。目的：在小米、Redmi 等支持设备提供离线通知。信息类型：应用包名、应用版本、设备/系统与网络基本信息、推送注册标识，以及通知投递和点击路由信息。处理规则：小米推送 SDK 官方处理规则。
• OPPO/HeyTap 推送 SDK（3.7.1）
  提供方：广东欢太科技有限公司。目的：在 OPPO、OnePlus、realme 等支持设备提供离线通知。信息类型：应用包名、AppKey、设备/系统与网络基本信息、Registration ID，以及通知投递和点击路由信息。处理规则：OPPO 推送 SDK 隐私合规说明。
• vivo 推送 SDK（4.1.0.0）
  提供方：广东天宸网络科技有限公司。目的：在 vivo、iQOO 等支持设备提供离线通知。信息类型：应用包名、AppID、设备/系统与网络基本信息、RegId，以及通知投递和点击路由信息。处理规则：vivo 推送 SDK 隐私合规说明。

关闭离线推送后，Android 客户端会请求厂商注销本机推送注册、清除本地令牌，并删除服务端当前账号与设备的推送令牌；HarmonyOS 客户端会停止获取新的 PushToken，并删除服务端当前账号与设备的推送注册。因网络异常暂时未能完成服务端删除时，客户端会记录待删除状态并在后续登录态重试；关闭期间不会主动初始化推送 SDK 或重新上传令牌。你也可以卸载应用或通过本政策联系方式请求进一步协助。

六、保存地点与期限

• 账号资料、好友及群组关系：在账号存续期间保存；账号注销后删除或匿名化，但法律法规另有保存要求的除外。
• 一对一消息密文：送达后通常在约 10 分钟内由清理任务处理；未送达消息为完成投递会暂时保存。
• 群消息密文：按照群组创建者设置并在客户端显示的保留时长处理。
• 加密媒体文件：按下载状态和有效期处理，最长有效期通常不超过 7 天；演示等需重复访问的临时资源可能保留至有效期届满。
• 推送令牌：保存至令牌失效、被新令牌替换、相关功能不再需要或账号注销。
• 网络安全日志：生产环境按 190 天配置滚动保存，以覆盖不少于 6 个月的要求；安全事件调查、诉讼或依法协助期间需要保全的相关记录，可能在必要范围内延长保存，保全结束后依法处理。
• 本地数据：保存至你在客户端清理、注销时选择删除、卸载应用，或由操作系统按其规则清理。

公网版服务端数据目前存储在中国大陆境内。如未来发生依法需要的个人信息出境，我们会在实施前履行相应程序并另行告知。

七、你的权利

你可以通过客户端功能或本政策列明的联系方式，依法请求查询、复制、更正、补充或删除个人信息，撤回基于同意的授权，解释处理规则，或注销账号。Android 和 HarmonyOS 客户端提供账号注销入口；其他平台可通过本政策列明的联系方式提出注销请求。注销会清理服务端账号及关联数据，但依法需要继续保存的安全记录将在法定期限内仅用于合规目的。

你也可以在 Android 或 HarmonyOS 客户端“隐私与离线推送”中关闭离线推送，或在系统设置中关闭通知、相机、麦克风和文件访问权限，并在客户端管理本地记录、备份和安全箱入口。撤回权限或同意不会影响撤回前基于有效授权进行的处理。

八、未成年人保护

未成年人应在监护人指导下使用本服务。不满 14 周岁的未成年人应在监护人同意后使用；如监护人发现相关信息未经适当授权被处理，可通过本政策联系方式与我们联系，我们会依法核实并处理。

九、安全措施与事件处理

我们采用传输加密、端到端加密、公钥固定、访问控制、限流、凭据脱敏和安全更新等措施降低数据泄露、篡改或丢失风险。任何安全措施都不能消除全部风险；如发生或可能发生个人信息安全事件，我们会及时采取补救措施，并依照适用法律履行告知和报告义务。

十、政策更新

功能、数据处理方式或法律要求发生变化时，我们可能更新本政策。重大变化将通过网站、客户端提示或其他显著方式告知；更新日期和生效日期会在页面顶部标明。

十一、联系我们

如对本政策、个人信息处理或账号注销有疑问、投诉或权利请求，请发送邮件至 oyud@163.com，或致电 17611495961。为保护账号安全，我们可能在处理请求前核验必要的账号信息。