隐私政策
说明 Luotopia 如何收集、使用、存储与保护您的个人信息，以及您享有的权利。
1. 引言
ClosedWHU Team（以下简称「我们」）重视用户隐私。本政策说明在您使用 Luotopia 客户端及相关服务时，我们如何处理个人信息，以及您如何行使相关权利。
本应用的设计原则是：校园教务与生活类数据以「本机处理、本机缓存」为主；仅在您使用账号、AI、天气、壁纸、开放接口等需要联网的功能时，才会向相应服务器发送实现功能所必需的数据。
请结合《用户协议》《跨境数据传输说明》一并阅读。若您不同意本政策，请停止使用本应用。
2. 我们处理的信息类型
2.1 校园身份与会话信息（通常仅存于本机）
当您通过 CAS 登录后，本应用可能在设备本地保存：CAS 会话 Cookie（可能包含会话票据类字段）、教务等业务 Cookie、登录/校验时间戳，以及从校方接口获取的学籍相关展示信息（如学号、姓名、学院、专业、班级、年级等，具体以校方返回为准）。上述信息用于维持登录态并调用成绩、课表、空闲教室、场馆、图书馆、消息等功能，默认不会上传至 Luotopia 自有业务服务器。
2.2 学业与校园业务数据（本机缓存为主）
包括但不限于：课程表与课表导入数据、成绩与学分绩相关数据、学业状态、空闲教室查询结果、图书馆座位预约记录、运动场馆预约与订单信息、校园消息、校车线路与位置相关数据、校历展示数据等。这些数据来源于武汉大学相关系统，由您的登录态授权获取，并主要缓存在本机以便离线或加速展示。
2.3 珞珈E卡 / 付款相关
E卡与付款码功能可能通过 WebView 或接口链路访问智慧珞珈、移动网关及建设银行校园卡相关页面。过程中可能涉及会话 Cookie、跳转参数及银行侧标识（如 USERID、SKEY 等，以实际链路为准）。支付与资金处理由银行/校方系统完成，我们不存储您的银行卡密码或支付口令。
2.4 Luotopia 账号信息（若您注册/登录）
可能包括用户名、密码（经安全传输提交至服务端）、可选邮箱、令牌、资料字段（如显示名、简介、头像等，以实际开放字段为准）。用于账号鉴权与可选的社区/开放能力。服务端会为每次登录保存会话记录，其中通常包含登录 IP 地址、客户端 User-Agent（含 App 版本与平台）、设备标识与运行环境安全结论（详见 2.9），用于向您展示「登录设备」列表并支持您吊销相应会话。
2.5 您主动创建的本地内容
日程、待办、备忘、课程编辑数据、壁纸选择、主题与语言等偏好。默认保存在本机；备忘/壁纸可能读取您授权的相册图片。
2.6 AI 助手相关
对话内容、会话历史、您配置的 API Key、服务商与模型设置。API Key 保存在系统安全存储；会话内容可在本机加密存储。向 AI 服务商发送的内容见第 4 节与《跨境数据传输说明》。
2.7 位置与天气
在您授权定位权限时，可能使用精确/粗略位置以提供天气与校车站点相关体验；若未授权定位，可能使用基于 IP 的大致位置。天气数据可能来自 Open-Meteo、小米天气、AccuWeather 等您选择或默认的数据源，并在本机缓存。
2.8 设备与权限相关信息
为实现通知提醒、精确闹钟、蓝牙手表配套、相册读取等功能，系统可能向您申请相应权限。我们不会在未说明的情况下收集与功能无关的通讯录、短信等。
2.9 设备标识、登录设备与安全检测
为了便于您在「登录设备」列表中分辨并管理自己的设备，客户端会生成一个随机安装标识（UUID），其本身不含任何个人信息，也与您的校园身份无关；该标识的权威副本保存在系统安全存储中（如 Android Keystore、iOS Secure Enclave 或桌面平台密钥库）。客户端同时会上报设备名称（Android 为厂商与型号，iOS 为机型市场名称，Windows 与 macOS 为计算机名，Linux 为发行版名称）、平台、系统版本与 App 版本。上述字段随登录请求提交，并在登录成功后以及冷启动时同步至当前会话；您可随时吊销任一设备的会话。
客户端内置运行环境安全检测：在 Android 与 iOS 上使用第三方 SDK freeRASP（Talsec / AHEAD），在桌面平台使用本地探针。检测结论（正常、存在风险、应用数据被克隆、该平台不支持检测）与风险类型标签（如 root 或越狱、注入框架、调试器附加、模拟器、应用签名被篡改、以管理员或 root 权限运行等）会上报至我们的服务端，并显示在您自己的「登录设备」列表中。该 SDK 为完成恶意应用与隐藏应用检测，可能读取设备上部分已安装应用的信息。
请注意：上述结论属于设备自行上报的参考信息，仅用于帮助您识别异常登录与异常设备，我们不会仅凭该信息对您作出封禁等处置。对于不支持检测的平台，列表中将显示「无数据」或「不支持」，而不会被记为「安全」。
当安全 SDK 判定应用数据已被复制到其它设备时，客户端会清除本机安全存储中的凭证并重新生成安装标识，您会因此被退出登录。该措施在本地执行，用于保护您的账号安全。
桌面平台探针采集的原始明细（如系统用户名、用户组等）仅在设备本地的开发者页面展示，不会上报至我们的服务端。
2.10 日志与调试信息
开发/调试构建中可能输出网络状态、错误信息等日志（例如 debugPrint）。应用还会在本机维护滚动的诊断日志文件，其中通常包含时间戳、功能模块、网络状态与错误摘要等信息；该日志仅保存在您的设备上，只有在您主动导出或分享时才会离开设备。
我们集成了 Google Firebase 提供的 Analytics、Crashlytics 与 Performance 三个可选通道。设置中的对应开关默认关闭；首次启动的引导页会向您展示一个诊断与分析的同意选项，该选项默认处于勾选状态，您可以在完成引导前取消勾选，此后也可随时在「设置 → 隐私」中开启或关闭。只有在您开启后才会开始收集，可能收集的内容包括：崩溃与异常记录（含调用堆栈与失败原因），以及您选择开启的使用分析数据与性能数据。在不具备 Google Play 服务的 Android 设备上，Firebase 整体不会初始化。关闭后我们将停止新的收集；此前已提交数据的处理适用 Google 的相关规则。
服务端若启用审计日志、限流或人机验证（如 Altcha），仅用于安全与运维，不用于出售用户画像。
3. 信息存储位置与方式
本机安全存储（如 Android Keystore / iOS Keychain 等系统能力封装）：Luotopia 登录令牌与用户资料、AI API Key、校园认证快照（Cookie 等）、本地加密主密钥等。
本机加密存储：如 AI 会话等敏感本地数据，可使用应用层加密后写入偏好存储。
本机普通偏好与文件：设置项、课表、日程、天气/校车等缓存、成绩导入缓存、壁纸文件与元数据、引导完成状态等。
WebView Cookie：用于维持 CAS 与各校园业务站点的登录态。
云端：仅当您使用 Luotopia 账号或未来启用的云端社区/评价等功能时，相关数据才会保存在我们或受托方服务器（客户端默认连接 api-whu-sb.tsinbei.cn，历史上亦使用过 api.whu.sb）。校园教务类数据默认不以「同步到我们云端」为目的进行上传。服务端保存的会话记录通常包含登录 IP 地址、客户端 User-Agent、设备标识与设备名称、平台与版本信息、运行环境安全结论，以及您自行填写的设备备注。
4. 我们如何使用信息
提供与维护您选择使用的功能（登录、查询、预约入口、展示、提醒、AI 对话等）；
在本机缓存数据以减少重复请求、改善性能与弱网体验；
保障账号与会话安全，防范滥用与攻击；
改进产品体验（基于总体功能需要，而非出售个人数据）；
履行法律法规规定的义务。
我们不会出售您的个人信息。
5. 委托处理、共享与第三方
校园系统运营方：当您使用 CAS 登录及各类校园功能时，武汉大学及相关系统（例如 cas.whu.edu.cn、jwgl.whu.edu.cn、zyfzzd.whu.edu.cn、zhlj.whu.edu.cn、zsgx.whu.edu.cn、gym.whu.edu.cn、seat.lib.whu.edu.cn、bus.whu.edu.cn、msgp.whu.edu.cn、pay.whu.edu.cn 等）将按照其规则处理您的身份与业务数据。我们无法控制校方系统的隐私实践，建议您同时阅读校方公示。
银行与支付相关方：E卡付款码等场景可能涉及建设银行校园卡相关服务（如 app.xiaoyuan.ccb.com），适用银行侧规则。
天气与地理服务：Open-Meteo、小米天气、AccuWeather、OpenStreetMap Nominatim、IP 定位服务（如 api.ip.sb、ip-api.com）等，仅在功能需要时发送位置或查询参数。
壁纸服务：必应每日壁纸可能请求 Bing 相关接口并缓存图片至本机。
AI 服务商：由您选择的大模型 API 接收对话与日程摘要上下文。
安全检测 SDK：freeRASP（Talsec / AHEAD），用于运行环境完整性与设备绑定检测。该 SDK 会向其服务商后台上报安全事件；我们另行将客户端生成的随机安装标识（见 2.9）作为 external id 提供给该服务商，以便将安全事件与我们侧的同一台设备对应起来。上报内容不含您的校园凭证、账号密码或聊天内容；安全告警邮件接收地址为 security@whu.sb。该服务商的服务器可能位于境外。
推送服务：Google Firebase Cloud Messaging（fcm.googleapis.com），以及在无 Google Play 服务设备上的华为 Push Kit。我们的服务端会保存推送令牌与安装标识，用于向您投递通知。推送默认开启，您可在设置中关闭；关闭后客户端会删除推送令牌并停止注册。
IP 归属地查询：客户端在您打开「登录设备」列表时，会直接向 ip9.com.cn 查询列表中 IP 地址的归属地与运营商，用于显示「地区/运营商」。该请求由您的设备发出，不经过我们的服务端，除 IP 地址与常规请求头外不含其它信息；该服务位于境内。
基础设施与内容分发：官网、静态资源、友情链接配置等可能经 Cloudflare 等平台分发；服务端可能使用 Altcha 等人机验证。
开源与协作链接：访问 GitHub、Weblate 等由您主动触发，适用对应平台政策。
除实现功能所必要、获得您的同意或法律要求外，我们不会与无关第三方共享可用于识别您身份的个人信息。
6. 权限说明
网络：访问校园系统、天气、AI、官网配置等；
位置：天气与校车等相关体验（可拒绝，部分功能降级）；
通知与精确闹钟：课程/日程提醒；
相册/媒体读取：壁纸与备忘图片；
生物识别：可选的成绩隐私锁；
蓝牙：可选的手表配套通信。
您可在系统设置中管理权限；拒绝非必要权限通常不影响其他无关功能。
7. 信息安全与保留期限
我们采取合理的技术措施保护本地敏感数据（如系统安全存储、应用层加密）与传输安全（HTTPS 等，个别校方/兼容链路可能存在历史兼容配置）。
本地缓存的保留期限取决于您是否退出登录、清理缓存或卸载应用。云端账号数据在您注销或依法需要删除前，按业务必要性保留。
云端令牌与会话的有效期以服务端配置为准，通常为：访问令牌有效期 15 分钟；刷新令牌与会话有效期均为 720 小时（30 天），期间每次使用会滑动续期。若超过 30 天未活动，相应会话与刷新令牌均会失效，您需要重新登录。
请注意：任何安全措施都无法保证绝对安全，请加强设备防护。
8. 您的权利
查阅、复制：您可在应用内查看课表、成绩、日程等已缓存内容；
更正、删除：您可编辑本地日程/课表，退出校园登录以停止使用对应 Cookie，或卸载应用清除本机数据；
撤回同意：您可关闭定位、通知、相册等权限，或停止使用 AI/天气等可选功能；
会话管理：您可在「登录设备」页面查看当前账号下各设备的会话，并可吊销单个设备的会话，或一次性吊销全部会话；若您修改密码或修改邮箱，该账号下的全部会话将被自动吊销，您需要在各设备重新登录；
账号相关：若使用 Luotopia 账号，可通过公示渠道联系我们处理注销或更正请求（在核实身份与法律允许范围内）。
成绩隐私锁、防剧透等展示控制为本地体验功能，不改变数据来源方的处理规则。
9. 未成年人
本应用主要面向高等学校师生。若您为未成年人，请在监护人指导下阅读本政策并使用本应用。
10. 政策更新
我们可能适时更新本政策，并以本页「最后更新」日期为准。重大变更时，我们将尽量通过网站、应用内提示等合理方式告知。
11. 联系我们
如对本政策或个人信息处理有疑问、投诉或请求，请通过 ClosedWHU 社区渠道（如 GitHub 组织 ClosedWHU 或网站公示入口）与我们联系。