隐私政策

一、我们不收集什么

先说不做的事，因为这部分更重要。班助没有账号体系，不需要注册或登录，不收集手机号、 身份证号、位置、通讯录、设备标识符，也不会读取你手机里其他应用的数据。

应用不含广告、统计、埋点、推送、崩溃上报等任何数据类第三方 SDK。 我们不知道有多少人在用班助，也不知道你用它做了什么。这是设计选择，不是尚未实现的功能。

二、我们用到的开源组件

为了不重复造轮子，应用里链接了少量开源库。它们全部在设备本地运行， 既不采集也不传输任何数据，更不会与我们或第三方通信：

• iOS：GRDB（本地数据库）、OpenSSL（提供国密 SM4-GCM 算法实现）、 CoreXLSX（读取 Excel 成绩表）。
• Android：AndroidX、Jetpack Compose 与 Material（系统官方界面框架）、 zxing-core（生成与识别换机二维码）、CameraX（相机取景）。
• HarmonyOS：零第三方依赖，全部能力来自系统自带的框架与安全服务。

这些库都不属于数据类 SDK，不含任何网络上报逻辑。除此之外，应用不集成其他第三方组件。

三、你录入的信息保存在哪里

你在班助里录入的全部内容，包括学生姓名、学号、监护人姓名与电话、请假事由、积分记录、 谈话与家访留痕、成绩、照片、录音、视频，都保存在你设备上应用自己的沙盒目录里。

其中的敏感字段在写入前经国密 SM4-GCM 算法加密。附件按块流式加密， 每一块使用独立的随机数，读取时按需解密，完整明文不会落到磁盘上。

加密主密钥交由各端的系统安全能力保管，三端的方式略有不同：

• iOS：主密钥存放在 Keychain，访问级别限定为「仅本设备、首次解锁后可用」， 不随 iCloud 或加密备份迁移到其他设备。
• HarmonyOS：采用信封加密方案。数据密钥只驻留在内存里， 由 HUKS 可信执行环境内的包裹密钥加密后落盘，主密钥自始至终不出安全硬件。
• Android：数据密钥由 Keystore 中不可导出的硬件密钥包裹， 并绑定设备的解锁状态，设备未解锁时无法完成解密。

你导出的备份文件另行加密：用你设置的备份口令经 PBKDF2 十万次迭代派生密钥， 再用 SM4-GCM 加密整个备份。口令只有你知道，忘记了我们也无法解开。

我们没有服务器，也没有任何接收这些数据的地方。应用代码里不存在指向外部服务器的路径。

四、应用密码

班助默认要求输入应用密码才能进入，你也可以开启面容或指纹快捷解锁。 需要说明的是：应用密码不参与数据加密，本机只保存由 PBKDF2 派生出的校验值， 不保存密码本身。它是一道访问门槛，用来挡住临时拿到你手机的人，而不是加密强度的来源； 数据的加密强度由上一节所说的系统密钥体系提供。

五、权限用途

• 麦克风：仅在你主动录制谈话或家访音频时使用。音频加密保存在本机，不上传。
• 语音识别（iOS、HarmonyOS）：仅在你主动把某段录音转写为文字时使用， 调用系统的本机离线语音识别能力，音频与转写文本都不离开设备。Android 版不含转写引擎，也不申请该权限，转写文字由你手动填写。
• 相机（iOS、Android）：用于拍摄工作留痕照片、拍摄纸质《监护人知情同意书》归档， 以及换机迁移时扫描旧设备屏幕上的二维码。照片加密保存在本机，不上传。 HarmonyOS 版不申请相机权限，拍照与扫码分别交给系统相机选择器和系统扫码页完成， 班助只拿到最终结果。
• 相册：三端均不申请相册权限。从相册选图通过系统图片选择器完成， 你选中哪张，应用才拿到哪张，应用无法浏览你的其他照片。
• 本地网络：仅在你手动开启「电脑工作台」或「换机局域网直传」时使用， 用于在同一个局域网内提供一个加密服务。它不访问任何外部服务器，应用切到后台即停止。
• 生物识别：默认关闭。你开启后，可用面容或指纹快捷解锁应用。 识别过程由系统完成，班助不接触你的生物特征数据。
• 通知与提醒：待办到期提醒。提醒文案经过脱敏，不含学生姓名等敏感信息。 Android 版另申请精确闹钟与开机自启权限，用于在你设定的时刻准时提醒， 并在设备重启后重建已有提醒，两者都只服务于本机待办，不涉及任何后台联网。
• 防截屏（HarmonyOS）：用于在应用切到后台时遮盖任务列表中的预览画面。 该权限只作用于班助自己的窗口，不能读取或影响其他应用。 iOS 与 Android 用系统等价能力实现同一效果，无需单独申请权限。

六、涉及网络的两个功能

班助只有两处会用到网络，都限定在局域网内，都需要你手动开启：

• 电脑工作台：开启后班助会在手机上启动一个局域网 HTTPS 服务， 证书在本机生成，电脑浏览器凭一次性验证码登录后可以查看与修改本机数据。 数据全程在你的手机与电脑之间直连。
• 换机局域网直传：换新设备时，两台设备在同一局域网内点对点传输加密数据， 扫码配对，传完即断。

两者都不经过任何服务器，也不存在中转节点。每次访问都会记录日志，你可以在应用内逐条查看并清空。 应用切到后台会自动停止服务。请只在可信网络（例如家庭或办公室 Wi-Fi）下使用，不要在公共网络开启。

七、你的权利

因为数据都在你的设备上，行使权利不需要联系我们。查阅与更正在应用内直接完成； 删除提供三级粒度：

• 删除单个学生，连同该生的全部记录一并清除；
• 删除整个班级，级联清除该班的全部记录；
• 重置全部本地数据，把应用恢复到初装状态。

附件按引用计数删除：一份附件在最后一条引用它的记录被删除时才真正从磁盘抹除， 既不会误删仍在使用的文件，也不会留下无人引用的残余。

卸载应用会一并删除沙盒内的全部数据与密钥。由于密钥由系统安全硬件保管， 卸载后即使有残留数据，在技术上也无法再被解密。

八、未成年人信息

班助处理的绝大部分是未成年人信息，我们为此单独制定了处理规则，包括教师应尽的义务、 禁止记录的内容类型、以及监护人的权利，请一并阅读《未成年人个人信息处理规则》。

录入学生信息前，应当取得监护人的知情同意。应用内置可打印的同意书模板， 也支持监护人在手机上手写签署并加密归档。

九、政策更新

如果本政策发生实质性变更，我们会在应用内和本页面提示。持续使用即表示接受更新后的政策。 本页面（classbench.zhe.ltd/privacy/）始终展示当前生效的版本，更新日期见页首。

十、适用范围

本政策适用于 班助（ClassBench）在 iOS、HarmonyOS 与 Android 平台发行的全部版本，由 龙岩新罗柘家科技有限公司 负责解释。 各应用商店要求单独提供的平台版本说明，与本政策内容一致。 相关的使用约定见《服务条款》。