隱私權政策
說明 Luotopia 如何蒐集、使用、儲存與保護您的個人資料，以及您享有的權利。
本繁體中文版本為供您參考而提供的譯本。如與簡體中文原文有所不同，以簡體中文版本為準。
1. 引言
ClosedWHU Team（以下簡稱「我們」）重視使用者隱私。本政策說明在您使用 Luotopia 用戶端及相關服務時，我們如何處理個人資料，以及您如何行使相關權利。
本應用的設計原則是：校園教務與生活類資料以「本機處理、本機快取」為主；僅在您使用帳號、AI、天氣、桌布、開放介面等需要聯網的功能時，才會向相應伺服器傳送實現功能所必需的資料。
請結合《使用者協議》《跨境資料傳輸說明》一併閱讀。若您不同意本政策，請停止使用本應用。
2. 我們處理的資訊類型
2.1 校園身分與工作階段資訊（通常僅存於本機）
當您透過 CAS 登入後，本應用可能在裝置本機儲存：CAS 工作階段 Cookie（可能包含工作階段票據類欄位）、教務等業務 Cookie、登入/校驗時間戳記，以及從校方介面取得的學籍相關顯示資訊（如學號、姓名、學院、系所、班級、年級等，具體以校方回傳為準）。上述資訊用於維持登入狀態並呼叫成績、課表、空閒教室、場館、圖書館、訊息等功能，預設不會上傳至 Luotopia 自有業務伺服器。
2.2 學業與校園業務資料（本機快取為主）
包括但不限於：課程表與課表匯入資料、成績與 GPA 相關資料、學業狀態、空閒教室查詢結果、圖書館座位預約記錄、運動場館預約與訂單資訊、校園訊息、校車路線與位置相關資料、校曆顯示資料等。這些資料來源於武漢大學相關系統，由您的登入狀態授權取得，並主要快取在本機以便離線或加速顯示。
2.3 珞珈E卡 / 付款相關
E卡與付款碼功能可能透過 WebView 或介面鏈路存取智慧珞珈、行動閘道及建設銀行校園卡相關頁面。過程中可能涉及工作階段 Cookie、跳轉參數及銀行端識別碼（如 USERID、SKEY 等，以實際鏈路為準）。付款與資金處理由銀行/校方系統完成，我們不儲存您的銀行卡密碼或付款密碼。
2.4 Luotopia 帳號資訊（若您註冊/登入）
可能包括使用者名稱、密碼（經安全傳輸提交至伺服器端）、選填信箱、權杖、資料欄位（如顯示名稱、簡介、頭像等，以實際開放欄位為準）。用於帳號驗證與可選的社群/開放能力。伺服器端會為每次登入儲存工作階段記錄，其中通常包含登入 IP 位址、用戶端 User-Agent（含 App 版本與平台）、裝置識別碼與執行環境安全結論（詳見 2.9），用於向您顯示「登入裝置」清單並支援您撤銷對應工作階段。
2.5 您主動建立的本機內容
行程、待辦、備忘、課程編輯資料、桌布選擇、主題與語言等偏好。預設儲存在本機；備忘/桌布可能讀取您授權的相簿圖片。
2.6 AI 助手相關
對話內容、工作階段歷史、您設定的 API 金鑰、服務商與模型設定。API 金鑰儲存於系統安全儲存；對話內容可在本機加密儲存。傳送至 AI 服務商的內容見第 4 節與《跨境資料傳輸說明》。
2.7 位置與天氣
在您授權定位權限時，可能使用精確/粗略位置以提供天氣與校車站點相關體驗；若未授權定位，可能使用基於 IP 的大致位置。天氣資料可能來自 Open-Meteo、小米天氣、AccuWeather 等您選擇或預設的資料來源，並在本機快取。
2.8 裝置與權限相關資訊
為實現通知提醒、精確鬧鐘、藍牙手錶配對、相簿讀取等功能，系統可能向您申請相應權限。我們不會在未說明的情況下蒐集與功能無關的通訊錄、簡訊等。
2.9 裝置識別碼、登入裝置與安全檢測
為了便於您在「登入裝置」清單中分辨並管理自己的裝置，用戶端會產生一個隨機安裝識別碼（UUID），其本身不含任何個人資料，也與您的校園身分無關；該識別碼的權威副本儲存於系統安全儲存中（如 Android Keystore、iOS Secure Enclave 或桌面平台金鑰庫）。用戶端同時會回報裝置名稱（Android 為廠商與型號，iOS 為機型行銷名稱，Windows 與 macOS 為電腦名稱，Linux 為發行版名稱）、平台、系統版本與 App 版本。上述欄位隨登入請求提交，並在登入成功後以及冷啟動時同步至目前工作階段；您可隨時撤銷任一裝置的工作階段。
用戶端內建執行環境安全檢測：在 Android 與 iOS 上使用第三方 SDK freeRASP（Talsec / AHEAD），在桌面平台使用本機探針。檢測結論（正常、存在風險、應用資料被複製、該平台不支援檢測）與風險類型標籤（如 root 或越獄、注入框架、偵錯工具附加、模擬器、應用簽章被篡改、以管理員或 root 權限執行等）會回報至我們的伺服器端，並顯示在您自己的「登入裝置」清單中。該 SDK 為完成惡意應用與隱藏應用檢測，可能讀取裝置上部分已安裝應用的資訊。
請注意：上述結論屬於裝置自行回報的參考資訊，僅用於協助您識別異常登入與異常裝置，我們不會僅憑該資訊對您作出封鎖等處置。對於不支援檢測的平台，清單中將顯示「無資料」或「不支援」，而不會被記為「安全」。
當安全 SDK 判定應用資料已被複製到其他裝置時，用戶端會清除本機安全儲存中的憑證並重新產生安裝識別碼，您會因此被登出。該措施在本機執行，用於保護您的帳號安全。
桌面平台探針擷取的原始明細（如系統使用者名稱、使用者群組等）僅在裝置本機的開發者頁面顯示，不會回報至我們的伺服器端。
2.10 日誌與偵錯資訊
開發/偵錯組建中可能輸出網路狀態、錯誤資訊等日誌（例如 debugPrint）。應用還會在本機維護滾動的診斷日誌檔案，其中通常包含時間戳記、功能模組、網路狀態與錯誤摘要等資訊；該日誌僅儲存在您的裝置上，只有在您主動匯出或分享時才會離開裝置。
我們整合了 Google Firebase 提供的 Analytics、Crashlytics 與 Performance 三個可選通道。設定中的對應開關預設關閉；首次啟動的引導頁會向您顯示一個診斷與分析的同意選項，該選項預設處於勾選狀態，您可以在完成引導前取消勾選，此後也可隨時在「設定 → 隱私」中開啟或關閉。只有在您開啟後才會開始蒐集，可能蒐集的內容包括：當機與異常記錄（含呼叫堆疊與失敗原因），以及您選擇開啟的使用分析資料與效能資料。在不具備 Google Play 服務的 Android 裝置上，Firebase 整體不會初始化。關閉後我們將停止新的蒐集；此前已提交資料的處理適用 Google 的相關規則。
伺服器端若啟用稽核日誌、限流或人機驗證（如 Altcha），僅用於安全與維運，不用於出售使用者輪廓。
3. 資訊儲存位置與方式
本機安全儲存（如 Android Keystore / iOS Keychain 等系統能力封裝）：Luotopia 登入權杖與使用者資料、AI API 金鑰、校園認證快照（Cookie 等）、本機加密主金鑰等。
本機加密儲存：如 AI 工作階段等敏感本機資料，可使用應用層加密後寫入偏好儲存。
本機一般偏好與檔案：設定項、課表、行程、天氣/校車等快取、成績匯入快取、桌布檔案與中繼資料、引導完成狀態等。
WebView Cookie：用於維持 CAS 與各校園業務站點的登入狀態。
雲端：僅當您使用 Luotopia 帳號或未來啟用的雲端社群/評價等功能時，相關資料才會儲存在我們或受託方伺服器（用戶端預設連線 api-whu-sb.tsinbei.cn，歷史上也曾使用過 api.whu.sb）。校園教務類資料預設不以「同步到我們雲端」為目的進行上傳。伺服器端儲存的工作階段記錄通常包含登入 IP 位址、用戶端 User-Agent、裝置識別碼與裝置名稱、平台與版本資訊、執行環境安全結論，以及您自行填寫的裝置備註。
4. 我們如何使用資訊
提供與維護您選擇使用的功能（登入、查詢、預約入口、顯示、提醒、AI 對話等）；
在本機快取資料以減少重複請求、改善效能與弱網體驗；
保障帳號與工作階段安全，防範濫用與攻擊；
改進產品體驗（基於整體功能需求，而非出售個人資料）；
履行法律法規規定的義務。
我們不會出售您的個人資料。
5. 委託處理、共享與第三方
校園系統營運方：當您使用 CAS 登入及各類校園功能時，武漢大學及相關系統（例如 cas.whu.edu.cn、jwgl.whu.edu.cn、zyfzzd.whu.edu.cn、zhlj.whu.edu.cn、zsgx.whu.edu.cn、gym.whu.edu.cn、seat.lib.whu.edu.cn、bus.whu.edu.cn、msgp.whu.edu.cn、pay.whu.edu.cn 等）將按照其規則處理您的身分與業務資料。我們無法控制校方系統的隱私實務，建議您同時閱讀校方公示。
銀行與付款相關方：E卡付款碼等情境可能涉及建設銀行校園卡相關服務（如 app.xiaoyuan.ccb.com），適用銀行端規則。
天氣與地理服務：Open-Meteo、小米天氣、AccuWeather、OpenStreetMap Nominatim、IP 定位服務（如 api.ip.sb、ip-api.com）等，僅在功能需要時傳送位置或查詢參數。
桌布服務：Bing 每日桌布可能請求 Bing 相關介面並快取圖片至本機。
AI 服務商：由您選擇的大型模型 API 接收對話與行程摘要上下文。
安全檢測 SDK：freeRASP（Talsec / AHEAD），用於執行環境完整性與裝置綁定檢測。該 SDK 會向其服務商後端回報安全事件；我們另行將用戶端產生的隨機安裝識別碼（見 2.9）作為 external id 提供給該服務商，以便將安全事件與我們側的同一台裝置對應起來。回報內容不含您的校園憑證、帳號密碼或聊天內容；安全告警郵件接收位址為 security@whu.sb。該服務商的伺服器可能位於境外。
推送服務：Google Firebase Cloud Messaging（fcm.googleapis.com），以及在無 Google Play 服務裝置上的華為 Push Kit。我們的伺服器端會儲存推送權杖與安裝識別碼，用於向您投遞通知。推送預設開啟，您可在設定中關閉；關閉後用戶端會刪除推送權杖並停止註冊。
IP 歸屬地查詢：用戶端在您開啟「登入裝置」清單時，會直接向 ip9.com.cn 查詢清單中 IP 位址的歸屬地與電信業者，用於顯示「地區/電信業者」。該請求由您的裝置發出，不經過我們的伺服器端，除 IP 位址與一般請求標頭外不含其他資訊；該服務位於境內。
基礎設施與內容分發：官網、靜態資源、友情連結設定等可能經 Cloudflare 等平台分發；伺服器端可能使用 Altcha 等人機驗證。
開放原始碼與協作連結：存取 GitHub、Weblate 等由您主動觸發，適用對應平台政策。
除實現功能所必要、取得您的同意或法律要求外，我們不會與無關第三方共享可用於識別您身分的個人資料。
6. 權限說明
網路：存取校園系統、天氣、AI、官網設定等；
位置：天氣與校車等相關體驗（可拒絕，部分功能降級）；
通知與精確鬧鐘：課程/行程提醒；
相簿/媒體讀取：桌布與備忘圖片；
生物辨識：可選的成績隱私鎖；
藍牙：可選的手錶配對通訊。
您可在系統設定中管理權限；拒絕非必要權限通常不影響其他無關功能。
7. 資訊安全與保留期限
我們採取合理的技術措施保護本機敏感資料（如系統安全儲存、應用層加密）與傳輸安全（HTTPS 等，個別校方/相容鏈路可能存在歷史相容設定）。
本機快取的保留期限取決於您是否登出、清除快取或解除安裝應用。雲端帳號資料在您註銷或依法需要刪除前，依業務必要性保留。
雲端權杖與工作階段的有效期限以伺服器端設定為準，通常為：存取權杖有效期限 15 分鐘；重新整理權杖與工作階段有效期限均為 720 小時（30 天），期間每次使用會滑動續期。若超過 30 天未活動，對應工作階段與重新整理權杖均會失效，您需要重新登入。
請注意：任何安全措施都無法保證絕對安全，請加強裝置防護。
8. 您的權利
查閱、複製：您可在應用內檢視課表、成績、行程等已快取內容；
更正、刪除：您可編輯本機行程/課表，登出校園帳號以停止使用對應 Cookie，或解除安裝應用以清除本機資料；
撤回同意：您可關閉定位、通知、相簿等權限，或停止使用 AI/天氣等可選功能；
工作階段管理：您可在「登入裝置」頁面檢視目前帳號下各裝置的工作階段，並可撤銷單一裝置的工作階段，或一次撤銷全部工作階段；若您修改密碼或修改信箱，該帳號下的全部工作階段將被自動撤銷，您需要在各裝置重新登入；
帳號相關：若使用 Luotopia 帳號，可透過公示管道聯絡我們處理註銷或更正請求（在核實身分與法律允許範圍內）。
成績隱私鎖、防劇透等顯示控制為本機體驗功能，不改變資料來源方的處理規則。
9. 未成年人
本應用主要面向高等學校師生。若您為未成年人，請在監護人指導下閱讀本政策並使用本應用。
10. 政策更新
我們可能適時更新本政策，並以本頁「最後更新」日期為準。重大變更時，我們將盡量透過網站、應用內提示等合理方式告知。
11. 聯絡我們
如對本政策或個人資料處理有疑問、投訴或請求，請透過 ClosedWHU 社群管道（如 GitHub 組織 ClosedWHU 或網站公示入口）與我們聯絡。