隐私政策

一、我们不收集什么

先说不做的事，因为这部分更重要。班助没有账号体系，不需要注册或登录，不收集手机号、 身份证号、位置、通讯录、设备标识符，也不会读取你手机里其他应用的数据。

应用不含广告、统计、埋点、推送、崩溃上报等任何数据类第三方 SDK。 我们不知道有多少人在用班助，也不知道你用它做了什么。这是设计选择，不是尚未实现的功能。

唯一需要单独说明的是 Android 版的图片文字识别，它用到 Google ML Kit， 可能由 Google 收取少量诊断信息，详见下一节。这部分信息不经过我们，我们也拿不到。

二、我们用到的开源组件

为了不重复造轮子，应用里链接了少量开源库。它们全部在设备本地运行， 既不采集也不传输任何数据，更不会与我们或第三方通信：

• iOS：GRDB（本地数据库）、OpenSSL（提供国密 SM4-GCM 算法实现）、 CoreXLSX（读取 Excel 成绩表）。
• Android：AndroidX、Jetpack Compose 与 Material（系统官方界面框架）、 zxing-core（生成与识别换机二维码）、CameraX（相机取景）； 以及 Google ML Kit 中文文字识别，用于识别成绩表截图、名单照片里的文字，见下文。
• HarmonyOS：零第三方依赖，全部能力来自系统自带的框架与安全服务。

除 ML Kit 外，这些库都不属于数据类 SDK，不含任何网络上报逻辑。除此之外，应用不集成其他第三方组件。

关于 Android 版的 Google ML Kit：识别模型随应用打包，识别在本机完成， 图片与识别出的文字都不离开设备。它只在你第一次识别图片文字时才初始化， 不用这个功能就不会启动。按 Google 的说明，ML Kit 可能向 Google 发送诊断信息： 设备型号与系统版本、应用包名与版本、按安装生成的标识符、接口性能与配置， 不含图片与文字内容。详见 Google 的ML Kit 数据披露说明。

三、你录入的信息保存在哪里

你在班助里录入的全部内容，包括学生姓名、学号、监护人姓名与电话、请假事由、积分记录、 谈话与家访留痕、成绩、照片、录音、视频，都保存在你设备上应用自己的沙盒目录里。

其中的敏感字段在写入前经国密 SM4-GCM 算法加密。附件按块流式加密， 每一块使用独立的随机数，读取时按需解密，完整明文不会落到磁盘上。

加密主密钥交由各端的系统安全能力保管，三端的方式略有不同：

• iOS：主密钥存放在 Keychain，访问级别限定为「仅本设备、首次解锁后可用」， 不随 iCloud 或加密备份迁移到其他设备。
• HarmonyOS：采用信封加密方案。数据密钥只驻留在内存里， 由 HUKS 可信执行环境内的包裹密钥加密后落盘，主密钥自始至终不出安全硬件。
• Android：数据密钥由 Keystore 中不可导出的硬件密钥包裹， 并绑定设备的解锁状态，设备未解锁时无法完成解密。

你导出的备份文件另行加密：用你设置的备份口令经 PBKDF2 十万次迭代派生密钥， 再用 SM4-GCM 加密整个备份。口令只有你知道，忘记了我们也无法解开。

我们没有服务器，也没有任何接收这些数据的地方。班助自己的代码里不存在指向外部服务器的路径； 唯一的第三方网络行为是上文 Android 版 ML Kit 的诊断信息，不含你录入的任何内容。

四、应用密码

班助默认要求输入应用密码才能进入，你也可以开启面容或指纹快捷解锁。 需要说明的是：应用密码不参与数据加密，本机只保存由 PBKDF2 派生出的校验值， 不保存密码本身。它是一道访问门槛，用来挡住临时拿到你手机的人，而不是加密强度的来源； 数据的加密强度由上一节所说的系统密钥体系提供。

五、权限用途

• 麦克风：仅在你主动录制谈话或家访音频时使用。音频加密保存在本机，不上传。
• 语音识别（iOS、HarmonyOS）：仅在你主动把某段录音转写为文字时使用， 调用系统的本机离线语音识别能力，音频与转写文本都不离开设备。Android 版不含转写引擎，也不申请该权限，转写文字由你手动填写。
• 相机（iOS、Android）：用于拍摄工作留痕照片、拍摄纸质《监护人知情同意书》归档， 以及换机迁移时扫描旧设备屏幕上的二维码。照片加密保存在本机，不上传。 HarmonyOS 版不申请相机权限，拍照与扫码分别交给系统相机选择器和系统扫码页完成， 班助只拿到最终结果。
• 相册：三端均不申请相册权限。从相册选图通过系统图片选择器完成， 你选中哪张，应用才拿到哪张，应用无法浏览你的其他照片。
• 本地网络：仅在你手动开启「电脑工作台」或「换机局域网直传」时使用， 用于在同一个局域网内提供一个加密服务。它不访问任何外部服务器，应用切到后台即停止。
• 生物识别：默认关闭。你开启后，可用面容或指纹快捷解锁应用。 识别过程由系统完成，班助不接触你的生物特征数据。
• 通知与提醒：待办到期提醒。提醒文案经过脱敏，不含学生姓名等敏感信息。 Android 版另申请精确闹钟权限，用于在你设定的时刻准时提醒，只服务于本机待办，不涉及任何后台联网。
• 自启动（仅 Android）：Android 版会监听系统的「开机完成」广播 （BOOT_COMPLETED）和「应用更新完成」广播（MY_PACKAGE_REPLACED）。手机重启或应用升级后， 系统会据此短暂唤起班助，只用于重新登记你已设定的待办、考勤与安全教育提醒—— 重启和升级会清空应用此前登记的闹钟，不重新登记，这些提醒就不会响。 唤起期间不显示界面、不联网、不解密也不读取学生数据，登记完即结束；不会关联启动任何其他应用。 你可以在系统设置里关闭班助的自启动，关闭后重启前设定的提醒可能不响，下次打开班助时会自动补登，其他功能不受影响。
• 防截屏（HarmonyOS）：用于在应用切到后台时遮盖任务列表中的预览画面。 该权限只作用于班助自己的窗口，不能读取或影响其他应用。 iOS 与 Android 用系统等价能力实现同一效果，无需单独申请权限。

六、涉及网络的两个功能

班助自己的功能只有两处会用到网络，都限定在局域网内，都需要你手动开启（Android 版 ML Kit 的诊断信息见第二节）：

• 电脑工作台：开启后班助会在手机上启动一个局域网 HTTPS 服务， 证书在本机生成，电脑浏览器凭一次性验证码登录后可以查看与修改本机数据。 数据全程在你的手机与电脑之间直连。
• 换机局域网直传：换新设备时，两台设备在同一局域网内点对点传输加密数据， 扫码配对，传完即断。

两者都不经过任何服务器，也不存在中转节点。每次访问都会记录日志，你可以在应用内逐条查看并清空。 应用切到后台会自动停止服务。请只在可信网络（例如家庭或办公室 Wi-Fi）下使用，不要在公共网络开启。

对外共享、转让与公开披露：我们没有服务器，不向任何第三方共享、转让或公开披露你的个人信息。 数据只在你主动导出、备份、分享或开启电脑工作台时离开应用，去向由你决定。 唯一的例外是第二节所述 Android 版 ML Kit 的诊断信息，它不含你录入的任何内容。

七、你的权利

因为数据都在你的设备上，行使权利不需要联系我们。查阅与更正在应用内直接完成； 删除提供三级粒度：

• 删除单个学生，连同该生的全部记录一并清除；
• 删除整个班级，级联清除该班的全部记录；
• 重置全部本地数据，把应用恢复到初装状态。

附件按引用计数删除：一份附件在最后一条引用它的记录被删除时才真正从磁盘抹除， 既不会误删仍在使用的文件，也不会留下无人引用的残余。

卸载应用会一并删除沙盒内的全部数据与密钥。由于密钥由系统安全硬件保管， 卸载后即使有残留数据，在技术上也无法再被解密。

八、未成年人信息

班助处理的绝大部分是未成年人信息，我们为此单独制定了处理规则，包括教师应尽的义务、 禁止记录的内容类型、以及监护人的权利，请一并阅读《未成年人个人信息处理规则》。

录入学生信息前，应当取得监护人的知情同意。应用内置可打印的同意书模板， 也支持监护人在手机上手写签署并加密归档。

九、政策更新

本政策发生实质性变更时，我们会更新本页的更新日期，并在应用内提示。Android 版会在你下次打开时 重新征得你的同意，不同意可以直接退出，已保存在本机的数据不受影响。 本页面（classbench.zhe.ltd/privacy/）始终展示当前生效的版本，更新日期见页首。

十、适用范围

本政策适用于 班助（ClassBench）在 iOS、HarmonyOS 与 Android 平台发行的全部版本，由 龙岩新罗柘家科技有限公司 负责解释。 各应用商店要求单独提供的平台版本说明，与本政策内容一致。 Android 版在国内应用商店（荣耀、小米、OPPO、vivo）的应用名称为「班主任的离线工作台」， 与软件著作权登记名称一致，指的是同一款应用，适用本政策。 相关的使用约定见《服务条款》。