隐私政策

一、我们收集哪些信息

为了提供登录、练习与会员服务，我们会收集以下信息：

• 手机号：用于登录与账号识别。它在我们的日志、错误信息与接口响应中一律以脱敏形式出现（如 138****8000）。
• 微信授权标识：你使用微信登录时，微信会向我们提供一个用户标识（openid）。我们只用它识别账号，不会把它返回给客户端，也不用于跨应用画像。
• 设备标识：一串随机字符串，保存在你的浏览器本地。它只在你请求发送短信验证码时上报，用于限制验证码的发送频率，不用于识别你的身份。
• 网络地址（IP）：由服务端在请求到达时读取，仅用于验证码发送的频率限制，不写入数据库。
• 作答记录：你做了哪道题、选了什么、用了多久、改过几次答案、是否在作答前查看过解析。这些是自适应出题与学情统计的依据。
• 订单与支付流水：你购买会员时产生的订单号、金额、支付渠道与渠道流水号。我们不接触也不保存你的银行卡号或支付密码。
• 分享标识：一串以 sh_ 开头的随机字符（形如 sh_3k9m2x7q4v），在你第一次使用战绩卡分享功能时生成，之后保持不变。它只有一个用途：被印在战绩卡上、指向对应的分享落地页。它不含你的手机号、微信标识或昵称，也无法从它推算出你的邀请码——分享标识不用于建立任何邀请关系。你注销后，它不再解析出任何数据，对应的落地页转为不含个人数据的通用引导页。
• 邀请码：一串以 IV 开头的随机字符（形如 IV8QM2K4），在你第一次查看邀请页时生成，之后保持不变。它用于把「这条邀请是谁发出的」记在你名下，不含任何身份信息，与上面的分享标识是两个互不相通的标识。
• 披露同意：你对「向他人展示我的学习数据」这件事作出的同意记录，按三个范围分别保存——战绩卡与分享落地页、组队打卡、邀请。每条记录含同意时刻、同意范围与同意版本。战绩卡上的昵称与头像是其中可以单独勾选的两项，默认都不勾选。没有对应的同意记录时，我们按「未同意」处理。
• 队伍成员关系与打卡状态：你加入了哪支队伍、加入与退出的时刻，以及队伍每个日历日的达成情况。加入队伍前我们会明确告知并请你确认：同队成员能看到你的当日是否达成、当日完成题量与门槛还差多少、以及连续达成天数。他们看不到你的昵称、头像、手机号，也看不到你的具体作答内容、错题、掌握度、百分位、答题时刻与答题耗时；队伍以外的任何人看不到成员列表。
• 邀请关系与来源地址哈希：一条邀请关系记录「谁邀请了谁」、用的哪个邀请码、建立与生效的时刻、每次判定的结果与当时的门槛值。其中来源网络地址（IP）以哈希形式记录（形如 sha256: 加一串十六进制字符），我们不保存地址原文；它只用于「同一来源一天内建立了几条邀请」这一项计数，用来识别批量注册。邀请人只能看到某条邀请是否生效与生效时刻，看不到被邀请人的手机号、微信标识、作答记录或学习内容。

二、我们用这些信息做什么

我们不会把你的个人信息用于广告投放，也不会出售或交换给第三方。除法律法规要求或你明确同意外，我们不向第三方提供你的个人信息。

• 识别你的账号，让你在不同设备上看到同一份记录。
• 按你的薄弱考点与复习到期时间出题，并生成掌握度与学情统计。
• 限制验证码的发送频率，防止你的手机号被他人用来接收骚扰短信。
• 发放与校验会员权益，处理订单与对账。
• 生成战绩卡与分享落地页、判定队伍的每日打卡与连续天数、判定一条邀请是否生效，并按规则发放对应的会员时长。
• 按每日与每月的上限识别异常的批量邀请（这是来源地址哈希的唯一用途）。相关判定会留痕，含判定时刻、结果与当时的门槛值，用于事后能答得上「这条邀请为什么没生效」。
• 排查故障。日志中会包含请求编号与脱敏后的标识，不含明文手机号与验证码。

三、未登录时的记录

你在未登录时练习，我们会为这台设备创建一个临时身份（形如 anon_ 加一串随机字符）并把作答记录记在它名下。这个临时身份不与你的手机号、微信或任何真实身份关联。

你登录后，这些记录会转入你的正式账号。若你一直不登录，这些记录会随临时身份的凭证过期而无人可访问。

四、保存多久

• 账号信息：账号存续期间保存。你注销后按下一节处理。
• 作答记录：按月保存，较早的月份会被归档到备份存储，仍可用于恢复。
• 登录凭证：刷新凭证最长保存 30 天，过期自动清理。你退出登录时对应的凭证立即作废。
• 短信验证码：只保存 5 分钟，且我们保存的是它的哈希值，不保存验证码本身。
• 订单与支付流水：按财务与税务法规的要求保存，通常不少于 5 年。
• 分享标识与邀请码：账号存续期间保存。你注销后它们仍留在一份已经抹去身份信息的记录上，这样做是为了让这两个值不被将来的新账号复用——否则别人手上那条旧链接会突然指向一个陌生人的数据。
• 队伍记录与邀请关系：长期保存，用于奖励发放的对账与事后审计。它们不含手机号、微信标识与作答内容。
• 访客带邀请码进站时的登记（含来源地址哈希）：只保存到该邀请的验证时限结束（默认 30 天），到期由数据库自动清理。

五、注销与删除

你可以随时申请注销账号。注销后我们会删除或匿名化你的手机号、微信标识、昵称、头像与备考计划，并作废你在所有设备上的登录凭证。

你的作答记录会保留一份去除个人身份关联的统计副本。它用于题目难度与区分度的统计，无法再关联到你，也无法恢复成你的个人记录。

注销是不可撤销的。注销后已购买的会员权益一并终止。

与分享、组队、邀请相关的数据按下面的规则处置。它们是一次注销里各自独立的几步：其中一步失败不会让其余几步不做。

• 披露同意记录被删除，你的分享落地页转为不含任何个人数据的通用引导页，战绩卡不再能生成、此前发出的链接也不再展示你的任何数据。已经由你发到群里的图片文件我们无法收回，这一点在撤回同意与注销的确认提示中都会如实说明。
• 你参与的进行中队伍按「成员退出」处理。队伍其余成员已经攒下的连续天数不受影响；如果队伍因为少了你而低于最少人数，其余成员会收到一条说明原因的通知，而不是只看到「队伍失败了」。
• 你作为邀请人的邀请关系：被邀请人那一侧的记录保留，但其中的邀请人标识被匿名化，之后不再向你发放任何奖励。
• 你作为被邀请人的邀请关系置为失效。
• 已经发放给你的会员时长不会被追回，但随账号一并失效——注销后账号无法再登录，那些权益也就无法再被使用。发放记录本身我们不删除，它是订单对账的凭据。
• 队伍的打卡记录与奖励的发放留痕保留下来，用于经营统计与事后审计。其中只剩一个随机的账号编号，而你的手机号、微信标识、昵称与头像在注销时已被抹去，因此这个编号不再指向任何人。

六、你的权利

• 查阅与更正：你可以在「我的」页面查看账号信息并修改昵称、头像与备考计划。
• 撤回同意：你可以停止使用本服务并申请注销账号，以此撤回你对本政策的同意。
• 撤回披露同意：战绩卡与分享落地页那一项，可以在生成战绩卡的页面上随时改（撤回后落地页立即不再展示你的数据）。组队与邀请那两项，目前可以通过应用内的反馈入口要求撤回，也会随账号注销一并撤回。三项互不影响，撤回其中任何一项都不影响你继续使用练习功能——分享与邀请都不是任何功能的前置条件。
• 获取副本：如你需要一份自己的作答记录副本，可以通过应用内的反馈入口提出。
• 投诉：如你认为我们对个人信息的处理不当，可以先联系我们；也可以向监管部门投诉。

七、我们如何保护这些信息

即便如此，互联网上没有绝对安全的传输与存储。如果发生个人信息泄露，我们会按法规要求及时告知你可能受到的影响与你可以采取的措施。

• 登录凭证短时有效，刷新凭证一次性使用；一旦发现同一凭证被重复使用，我们会立即作废该账号在所有设备上的会话。
• 短信验证码以哈希形式保存，且校验次数有限；超过次数后该条验证码立即作废。
• 密钥通过环境变量或密钥管理服务注入，不写入代码仓库与数据库。
• 数据库定期备份，备份文件受访问控制保护。

八、未成年人

本服务面向准备职业资格考试的成年人。如果你未满十四周岁，请在监护人陪同下阅读本政策并在监护人同意后使用本服务。

九、本政策的更新

如果我们收集的信息、使用方式或保存期限发生变化，我们会更新本政策并在页面上更新生效日期，涉及重要变化时会在应用内提示。