睿到隐私政策
引言
广州行达科技有限责任公司是睿到 Android、iOS 应用及相关服务的运营者和个人信息处理者。我们重视您的个人信息和隐私权，并按照合法、正当、必要、诚信和目的明确的原则处理个人信息。
请您在注册前完整阅读本政策。注册页只有一个默认未勾选的《用户协议》《隐私政策》确认框；未勾选时，我们不会发送注册验证码或创建业务账号。选填资料可以留空或随时清除。若您不同意本政策，请不要勾选或注册。
本政策适用于睿到当前中国大陆首发版本，不适用于您通过操作系统分享面板主动选择的第三方应用、您主动使用的邮件服务或应用商店等独立第三方服务。第三方将依据其自身规则处理信息，请您在使用前查看其隐私说明。
一、我们处理个人信息的原则
1. 我们仅处理实现手机号账号、资料展示、好友关系、关系图谱、账号安全、投诉举报、账号注销和服务稳定所需的信息。
2. 我们不以同意非必要个人信息处理作为使用基本功能的条件。一句话简介、微信、联系邮箱、联系电话、私人备注和备忘均可不填写。
3. 我们不出售个人信息，不把个人信息用于广告定向、个性化推荐、隐藏 AI 画像或与当前功能无关的用途。
4. 处理目的、方式、种类或保存期限发生实质变化时，我们会依法告知，并在需要时重新取得您的同意。
二、我们如何收集和使用个人信息
（一）手机号注册、登录和账号安全
1. 中国大陆手机号：用于发送短信验证码、创建或登录账号、验证当前账号、变更绑定手机号和确认账号注销。手机号不会公开，不作为好友代码，不用于年龄证明。数据库以带密钥摘要进行等值定位，并以认证加密密文保存必要的可恢复值。
2. 短信验证码和验证状态：验证码为六位数字，有效期五分钟，只能成功使用一次。服务端不保存验证码明文，只保存校验摘要、挑战标识、投递状态、剩余尝试次数、到期和消费时间等短期安全状态。注册、登录、手机号变更和注销分别使用相应的用途与限流范围。
3. 同意记录：我们保存您同意的用户协议版本、隐私政策版本、同意时间、来源、语言、平台和 App 版本，用于证明注册流程和向您提供相应版本的服务。
4. 账号和会话信息：包括内部随机用户标识、会话和令牌摘要、安装实例随机标识摘要、平台、App 版本、创建时间、最近使用时间、到期和撤销状态，用于保持登录、实施手机端单设备在线、撤销异常会话、防止令牌重放、拒绝已退役客户端并保护账号。新设备完成手机号验证登录后，旧设备会话被撤销；refresh 凭据采用九十天滚动有效期，持续正常使用可在安全校验通过后延长。临时网络失败本身不会撤销会话或要求我们清除本地登录状态。原始令牌保存在设备系统安全存储中，不写入普通日志。
5. 网络和设备侧最小信息：当您的设备访问 API 时，服务器会处理 IP 地址、请求时间、请求标识、操作系统类型、App 版本、网络请求结果和必要错误分类，用于连接服务、限流、防攻击和排查故障。我们不收集 IMEI、MAC 地址、广告标识符、通讯录标识或设备指纹 SDK 数据。
（二）好友代码和首次使用
1. 好友代码候选与确认：手机号验证后，系统从已经取得灾备批次回执的预烧池中提供三个六位候选。我们处理候选集标识、候选代码的安全摘要和短期密文、展示时间、过期时间、确认或退役状态，用于三选一、换组、精确查找和防止代码重复分配。
2. 三个候选一经展示均永久消耗。未选择、过期、换组、取消或网络中断不会使其重新可分配。确认后，您可以查看、复制和分享当前代码。灾难恢复烧毁旧命名空间后失效的代码永久退役，不跳转到新代码，也不会再次分配。
3. 好友代码批次的独立灾备记录只包含批次元数据和排序后的不可逆代码摘要，不包含手机号、内部用户标识、昵称或代码与用户之间的映射。其用途仅是避免灾后再次分配历史代码。
4. 好友代码在 Onboarding 中确认后永久固定，当前版本不提供任何自助更换入口。代码存在不良含义、已经泄露或被用于骚扰时，您可以通过 support@ruidao.site 联系我们；我们只处理必要的安全限制和账号保护。只有灾难恢复需要烧毁旧命名空间时，仍然有效的用户才可能被要求重新三选一。
（三）个人资料和固定关系可见规则
1. 首次使用必填：昵称，以及由您自行创建的三至五个标签。每个标签规范化后为一至十五个用户感知字符。昵称不要求是法定姓名。请勿在标签等公开资料中填写身份证号、详细住址、验证码或其他与社交展示无关的敏感信息。
2. 进入首页后选填：一句话简介，以及微信、联系邮箱、联系电话各最多一项。您可以不填写或随时清除。简介最多一百个用户感知字符；三种联系方式分别加密存储、不可用于搜索，并始终只向已经接受的一度好友显示。联系电话是您主动填写且未经我们验证的展示资料，不是账号登录手机号，也不能用于登录或身份验证。
3. 账号默认头像由昵称首个用户感知字符和账号内稳定背景样式生成，只向一度好友展示。对二度好友，服务端不提供真实昵称或账号头像，客户端统一显示“二度好友”并在当前视图随机分配与账号身份无关的水晶渐变匿名头像；颜色不使用手机号、好友代码、内部用户标识或昵称作种子。我们不接收用户头像图片、图片 URL、相机或相册内容。
4. 昵称、账号默认头像、微信、联系邮箱和联系电话固定只向您本人及已经接受的一度好友展示；简介和标签向您本人、已经接受的一度好友，以及仍存在有效好友路径且不存在拉黑等限制的二度好友展示。二度投影不包含真实昵称、账号头像或三类联系方式。完全陌生的用户不可见。当前版本不提供用户可选择的资料可见范围。
5. 在已经认证的登录会话内，您可以按昵称或标签搜索一度好友，并按标签搜索自己当前有权查看的二度好友。服务器仅在请求处理期间，将查询词与相应关系范围内允许检索的规范化字段匹配，并返回您原本有权查看的最小资料；二度结果只含固定“二度好友”、与身份无关的随机水晶匿名头像、简介和标签。查询词通过请求正文传输，不写入 URL、普通运行日志或分析事件。该功能不允许搜索完全陌生的用户，也不是公开搜索。
（四）好友申请、关系、拉黑和私人记录
1. 我们处理好友申请双方的内部标识、来源授权、规范化后零至一百个用户感知字符的可选打招呼内容、状态和服务端时间，用于发送、接受、拒绝、由拉黑等系统动作取消、七天过期和防止重复骚扰。双方成为一度好友前，确认卡和待处理申请只显示固定“待添加好友”与随机、不可由身份推导的水晶匿名头像，不披露真实昵称或账号头像。当前版本不提供发件人主动取消申请。
2. 收件人可以私有忽略来件。我们保存仅收件人可见的忽略标记，用于从其来件列表和未处理角标隐藏该申请；该标记不向发件人提供，发件人仍看到待通过，直至申请被接受、拒绝、由系统取消或过期。拒绝后保持已拒绝。
3. 好友关系包括双方内部标识、来源申请、关系状态和时间。二度关系不保存为长期权威表，而是根据当前一度关系和拉黑状态即时计算。
4. 您可以为某一好友关系填写仅自己可见的备注和备忘。该内容使用访问控制保护，不向对方或其他用户展示；关系结束或任一方拉黑时物理删除。
5. 拉黑信息包括双方内部标识、拉黑状态和必要时间，用于双向停止查找、申请、资料和图谱互动。解除拉黑不会自动恢复旧关系或私人记录。
6. 好友代码查询确认卡在一度关系建立前只展示固定“待添加好友”和随机、不可由身份推导的水晶匿名头像，不展示真实昵称、账号头像、目标手机号、内部用户标识、微信、联系邮箱、联系电话、完整关系链或其他无关信息。
（五）投诉举报和支持
1. 当前版本的“联系我们”和相关投诉举报入口仅显示 support@ruidao.site 及复制按钮，不会自动打开邮件应用，也不提供应用内案件提交、附件上传、案件状态跟踪或企业微信客服。
2. 当您主动使用自己的邮件服务联系我们时，邮件服务会处理您的发件地址、邮件正文和您自行提供的信息；我们会为回答支持请求、核实投诉举报、维护用户权益和履行法定义务而处理必要的邮件及处置记录。可举报事项包括冒充他人、骚扰、不当资料、虚假资料、疑似未成年人和其他问题。
3. 请不要在邮件中发送身份证、人脸、验证码、登录令牌或与问题无关的敏感信息。我们不会要求您通过邮件提供验证码或登录令牌。
4. 我们可能为防止风险扩大而先暂停被可信举报账号的资料展示和关系互动，但不会仅因系统自动判断直接作出未成年人身份结论。
（六）服务里程碑与运行安全
1. 服务端只记录五个不含业务正文的最小里程碑：账号已创建、首次使用已完成、首次好友请求已发送、首位好友已接受、已达到三位好友。其用途是了解基本功能是否可用，不用于广告、跨应用跟踪、个性化推荐或 A/B 实验。
2. 为保障网络安全和稳定，我们记录经过最小化和脱敏处理的网络运行、安全、错误、限流、备份和部署事件。日志不得包含验证码、完整或掩码手机号、访问令牌、微信、联系邮箱、联系电话、关系内搜索查询词、好友代码、关系图、邮件或投诉举报正文以及完整请求正文。
3. 当前 Android 和 iOS 版本均不集成 Bugly、友盟 U-APM、Sentry 或其他移动崩溃与 APM SDK，也不集成客户端分析 SDK、广告 SDK、推送 SDK、微信登录 SDK、Apple 登录桥或运营商一键登录 SDK。开发和故障排查仅使用平台原生诊断、受控符号文件及最小服务端日志。
（七）账号注销和灾难恢复
1. 您可以在 App 内通过当前手机号短信验证发起注销，不设冷静期且受理后不可取消。受理成功返回 202 / EXECUTING 时，普通会话立即撤销，资料、好友代码、好友关系、申请和图谱立即停止对外展示；手机号在完成前保持锁定。
2. 202 / EXECUTING 仅表示注销已受理。系统必须先把不含手机号、昵称、资料、关系、好友代码明文和内部用户标识的最小删除意图写入独立版本化对象存储并取得非空版本回执，才能删除在线核心数据。
3. 只有权威状态成为 200 / COMPLETED 后，手机号才可以通过新验证码创建全新账号。新账号不会继承旧资料、关系、好友代码、同意记录或会话。网络、对象存储或执行任务故障时，注销保持执行中并重试，不会提前恢复普通访问或释放手机号。
4. 数据库备份恢复前必须重放仍在覆盖窗口内的删除意图，避免已注销账号因恢复较早备份而重新出现。好友代码旧批次和旧命名空间会整体作废，仍然有效的用户可能需要重新三选一，但好友关系不会仅因此删除。
三、我们不会收集的个人信息和系统权限
1. 当前版本不设置或收集城市、学校、当前阶段、专业方向、完整出生日期、身份证、人脸、学生证、学校邮箱、通讯录、精准位置、相册、相机、麦克风、推送令牌、广告标识符或隐藏 AI 用户画像。
2. 当前版本不提供用户头像上传、图片或文件附件、陌生人姓名或标签搜索、公开用户搜索、通讯录匹配、附近的人或个性化推荐，也不提供用户可选择的资料可见范围。已经认证的一度好友和二度好友关系内搜索不会扩大现有资料查看范围，不属于陌生人或公开搜索。
3. Android 仅使用联网和查看网络状态所需能力；iOS 不申请相机、相册、定位、通讯录、麦克风或通知权限。以后新增相关功能前，我们会先更新产品规则和隐私说明，并依法请求必要权限或同意。
四、我们如何委托处理、对外提供、转移和公开披露个人信息
（一）委托处理
为运行服务，我们使用腾讯云计算（北京）有限责任公司提供的中国大陆云服务，并通过合同、权限和技术措施限制其按照我们的指示处理数据：
1. 云计算和网络：承载 API、数据库、缓存和反向代理，可能处理您访问服务时产生的业务数据和最小网络信息；
2. 对象存储 COS：保存加密数据库备份、最小删除意图和好友代码批次灾备记录；
3. 日志服务 CLS：保存经过最小化和脱敏处理的运行及安全日志；
4. 腾讯云短信：为登录、注册、手机号变更和注销确认处理收件手机号、验证码、有效分钟数、签名和模板标识，并由基础电信运营商完成短信投递。
腾讯云服务的运营者和规则可在 腾讯云隐私保护声明 查看。我们不在移动客户端内嵌腾讯云短信 SDK，云端长期主账号密钥不会进入 App。
（二）操作系统分享和邮件服务
只有在您主动点击系统分享时，睿到才把当前已确认的好友代码和普通邀请文本交给 iOS 或 Android 系统分享面板。您选择的接收应用属于独立第三方，其后续处理受该第三方规则约束。
“联系我们”和投诉举报入口只复制支持邮箱；只有您主动使用独立邮件服务发信后，相应邮件服务才会按照其规则处理发件地址、正文及附件。睿到不控制您选择的邮件服务。
（三）对外提供和公开披露
1. 除取得您的单独同意、履行与您订立的合同所必需、履行法定义务、应对紧急情况或法律规定的其他情形外，我们不会向其他个人信息处理者提供您的个人信息。
2. 我们不会公开披露您的手机号、微信、联系邮箱、联系电话、备注、备忘、投诉举报说明或账号安全信息。昵称和账号默认头像只向一度好友展示；简介和标签按一度好友及符合条件的二度好友关系边界展示。二度图谱、列表和搜索只显示固定“二度好友”及与身份无关的随机水晶匿名头像，不披露真实昵称或账号头像；完全陌生的用户不可见。关系内搜索只返回查询者在该边界内原本有权查看的最小资料。
3. 根据有权机关依法提出的要求，我们可能在核验权限、范围和程序后提供必要信息，并记录最小处理情况。
4. 发生合并、分立、解散、破产或其他涉及个人信息转移的情形时，我们会依法告知接收方名称和联系方式，并要求接收方继续受本政策约束；接收方改变原处理目的或方式的，应依法重新取得您的同意。
（四）跨境处理
当前中国大陆首发版本的服务端业务数据、备份和日志部署在中国大陆广州地域，我们不主动向中国大陆境外提供中国大陆用户个人信息。未来如确需跨境处理，我们会在实施前履行适用的告知、同意、安全评估、认证或标准合同等要求。您通过系统分享或邮件主动把信息发送至境外服务，不属于我们主动选择的服务端跨境提供。
五、信息存储地点和保存期限
我们在实现各项明确目的所需的最短期限内保存个人信息；法律法规有明确期限的，按其要求执行。主要规则如下：
1. 账号、手机号、同意记录、资料、当前好友代码映射、好友申请、关系、拉黑、私人记录和里程碑：账号存续期间按功能所需保存；账号进入注销执行状态后立即停止普通使用和展示，并在取得删除意图外部回执后从在线核心数据中删除。私人备注和备忘还会在对应关系结束或拉黑时提前删除。
2. 短信验证码和身份确认：验证码及相应授权有效五分钟；原始验证码不持久化。用于防重放的短期挑战和幂等状态按数据库时钟在到期后有界清理，最长使用窗口为二十四小时。我们自己的腾讯云短信投递账本只保存不含手机号和验证码的摘要及状态三十一天。腾讯云和基础电信运营商依法形成的记录按其适用规则保存。
3. 好友代码候选：每组有效三十分钟，但一经展示即永久不可重新分配。账号注销后，代码与用户之间的映射删除；为防止重复分配而保留的不可逆代码摘要和批次元数据不包含手机号或内部用户标识，按当前设计不能通过该记录反查具体用户。
4. 好友申请和关系：待处理好友申请自服务端创建时间起最长有效七天；账号存续期间保留接受、拒绝、系统取消、过期和收件人私有忽略等必要状态，以防止重复申请、维持关系并正确向双方展示。删除好友或拉黑后停止当前关系使用，备注和备忘立即删除；账号注销完成后相关在线核心记录删除。
5. 投诉举报和支持邮件：处理期间保存。案件完成后，我们根据问题类型、争议状态、主管机关要求和维护用户权益所需的最短期限进行周期复核；处理目的已经实现、争议结束且不存在法定保存要求时删除或匿名化。与案件无关的账号资料不会为此长期保留。
6. 网络运行和安全日志：只保存最小、脱敏日志，并按照《中华人民共和国网络安全法》关于相关网络日志的要求保存不少于六个月；超过法定期限后，仅在仍存在具体安全事件、调查或其他明确必要目的时继续隔离保存，并定期复核，目的终止后删除。
7. 数据库备份：生产环境加密备份的当前版本和历史版本最长保存三十天，仅用于灾难恢复，不用于日常查询。恢复时必须先应用注销删除意图。
8. 注销状态与删除意图：只读注销状态凭证和注销请求窗口不少于四十五天，以覆盖完整备份恢复窗口；不含直接身份信息的删除意图对象当前和历史版本保存四十五天，到期后由对象存储生命周期清理。只有完成状态才释放手机号。
9. 好友代码批次灾备记录：不设置自动到期，仅保存批次元数据和不可逆代码摘要，用于确保曾展示代码不被再次分配，不保存代码与用户的映射。
10. 法律例外：法律、行政法规规定的保存期限尚未届满，或者删除、匿名化在技术上暂时难以实现时，我们会停止除存储和必要安全保护以外的处理；保存条件消失后删除或匿名化。依法冻结的记录与普通产品数据隔离，不恢复账号展示、登录或关系功能。
六、我们如何保护个人信息
1. 我们采取 HTTPS 传输、认证加密、带密钥摘要、访问控制、用途隔离的数据库账号、最小云权限、版本化备份、日志脱敏、限流和安全审计等措施。手机号以及微信、联系邮箱、联系电话分别加密保存，不会作为普通明文日志字段；验证码、令牌和幂等键仅保存不可逆校验值。
2. staging 和 production 使用不同的数据、卷、密钥、短信配置、域名和权限。开发与自动化测试使用合成数据，不使用 production 用户数据。
3. 我们限制能够接触个人信息的人员范围，并通过云账号多因素认证、短期凭据和受控维护流程降低未经授权访问风险。
4. 尽管我们采取合理措施，互联网服务不存在绝对安全。发生可能危害您权益的数据安全事件时，我们会及时采取补救措施，并依法通过短信、邮件、App 页面或公告等可行方式告知事件情况、可能影响和已采取的措施；依法可以不通知的情形除外。
七、您的权利
1. 查阅和复制：您可以在 App 内查看自己的资料、好友代码、好友关系和部分账号状态。需要获取依法可提供的其他个人信息副本时，可以通过 support@ruidao.site 联系我们。
2. 更正和补充：您可以在 App 内修改昵称、标签、简介、微信、联系邮箱和联系电话；账号登录手机号需要通过相应短信验证流程变更。
3. 删除：您可以清除选填资料、结束好友关系、删除私人备注和备忘、拉黑用户，或者发起账号注销。对无法在 App 内自行删除的信息，可以通过 support@ruidao.site 提出请求。
4. 固定关系可见规则：昵称、账号默认头像、微信、联系邮箱和联系电话固定仅对已经接受的一度好友可见；简介和标签按照一度好友及符合条件的二度好友关系边界展示。二度只看到固定“二度好友”和与身份无关的随机水晶匿名头像。当前版本不提供用户自行缩小或扩大该范围的开关；您可以通过删除具体资料、结束好友关系、拉黑或注销账号停止相应展示。
5. 撤回同意：对于基于同意处理的选填信息，您可以通过清空字段或联系我们撤回同意。撤回不影响撤回前基于同意已经进行的处理。手机号账号和关系服务所必需的信息无法在保留账号的同时全部撤回；您可以选择注销账号。
6. 注销账号：注销入口位于 App 内，需要当前手机号短信确认。受理后账号立即停用、手机号锁定；只有状态显示完成后，同一手机号才可注册全新账号。具体过程见本政策第二条第七项。
7. 限制或拒绝处理：在法律规定的情形下，您可以要求限制或拒绝特定处理。对于履行合同、法定义务或保护安全所必需的处理，我们会向您说明无法停止的原因。
8. 转移：符合法定条件且技术可行时，您可以请求将您本人同意提供或基于合同收集的个人信息转移给您指定的个人信息处理者。
9. 投诉和解释：您可以通过 support@ruidao.site 请求解释本政策、投诉处理活动或对权利请求结果提出异议。为保护账号和他人权益，我们可能先核验您的身份和请求范围，并在法律规定期限内处理。明显重复、超出合理范围或会损害他人合法权益的请求，我们会依法处理并说明理由。
10. 近亲属权利：自然人死亡后，其近亲属为合法、正当利益，可以依法对相关个人信息行使查阅、复制、更正、删除等权利，但逝者生前另有安排的除外。我们会核验申请人的身份、亲属关系和请求依据。
八、未成年人保护
1. 当前版本暂不向未成年人提供账号服务。手机号或用户自行填写的资料不作为可靠年龄证明。
2. 若监护人发现未成年人正在使用睿到，请通过 support@ruidao.site 联系我们。经核实不符合当前服务资格的，我们会停止账号展示和互动，并按照本政策和适用法律处理相关信息。
3. 如我们发现实际处理了不满十四周岁未成年人的个人信息且未取得有效监护人同意，我们会依法删除、匿名化或采取其他必要保护措施，并优先处理相关投诉举报。
九、本政策的更新
1. 我们可能因功能、技术、法律法规或安全措施变化更新本政策。更新后的版本会在 App 内集中展示版本号和生效日期。
2. 涉及处理目的、方式、种类、保存期限或您的重大权益发生变化时，我们会通过显著提示说明主要变化；依法需要重新取得同意的，在取得同意前不按新规则处理。
3. 旧版本同意记录仅用于证明历史处理规则，不会用来扩张新版本的处理范围。
十、如何联系我们
如您对本政策、个人信息处理、账号注销、未成年人保护或权利请求有疑问、意见或投诉，请在 App 的“联系我们”中复制以下邮箱：
support@ruidao.site
请说明请求类型和必要的账号核验信息，不要发送验证码、登录令牌、身份证照片、人脸照片或与请求无关的敏感信息。我们会在核验身份后于法律规定期限内处理。个人信息处理者为广州行达科技有限责任公司。