隐私政策

1. 我们是谁

儿孙福（下称「本服务」）是一套面向家庭的儿童手机管控平台，由家长端网页、 孩子端 Android 应用（「儿孙福桌面」）与服务端组成。运营者（下称「我们」）的主体名称与联系方式见第 11 节。

本政策说明我们在提供本服务时如何处理个人信息。使用本服务前，请先阅读本政策；如果你不同意， 请不要注册或绑定设备。

2. 我们收集哪些信息

2.1 家长端（你注册与使用时）

• 账号信息：邮箱、昵称。密码只保存 bcrypt 哈希，不保存明文。
• 家庭与设备归属：你创建的家庭空间、你绑定的设备列表、设备别名。
• 你创建的管控内容：时间策略、应用放行与额度、就寝时间、锁屏提示语、你上传的 APK 文件。
• 操作审计：关键操作（如绑定、解绑、删除、锁定、安装）会记录操作者、动作与时间，用于事后追溯。
• 登录方式：如果你使用邮箱验证码登录，我们会临时保存验证码（只存哈希、10 分钟过期、 用后即失效）；如果你使用微信扫码登录或绑定微信，我们会保存该微信小程序的 openid（一串与本服务绑定的标识），仅用于「把微信与你的家长账号关联起来」。 我们不会索取或保存你的微信昵称、头像、手机号，也不会读取你的聊天记录或通讯录。

关于支付与订阅信息：本服务目前不支持线上支付，开通走人工方式 （你在家长端「订阅」页看到联系方式，付款与开通在站外完成），因此 我们不接触、也不保存你的银行卡号、支付账号、支付密码或任何支付凭据。 为了给你开通与对账，我们会保存以下几项：

• 订阅状态：所属家庭、套餐、试用与付费期的起止时间。
• 开通与退款记录：动作类型（试用起算 / 开通 / 续期 / 退款）、天数、金额、 收款渠道（如线下转账）、你方提供的对账号或流水号、备注与操作时间。

你在家长端「订阅」页可以看到这些记录（金额、天数、渠道与时间）。 运营方内部的备注与操作人标识仅用于内部核对，不会展示在家长端。 将来开放线上支付时，支付凭据由相应支付渠道处理，我们只保存渠道回传的订单号与开通状态， 并会在本政策中提前补充说明。

2.2 孩子端（被管控的设备上报）

• 设备信息：设备短码与标识、你设置的设备别名、厂商与型号、Android 版本、 孩子端 App 版本、电量、在线状态与心跳时间。
• 应用清单：能在桌面显示图标的应用（名称、包名，以及设备端渲染的 32×32 图标）。 系统服务与组件不上报；每台手机通常约一百个条目。
• 使用情况：各应用的今日与历史使用时长、使用次数，以及当前前台应用名称。
• 位置信息：GPS、WiFi、网络与蜂窝基站四种来源上报的坐标、定位方式与精度， 以及由此形成的轨迹。是否上报取决于设备端定位权限与系统设置。
• 消息内容：孩子与家长之间的文字留言，以及孩子按住说出的语音留言。 这些内容在你和孩子的设备之间加密后才上传，服务器上保存的是密文 （我们拿不到解密的钥匙，见第 6.2 节）；我们能看到的只有「谁在什么时候发了几条」这类信息。
• 实时画面与环境音：仅在你主动发起「屏幕与语音」时，孩子手机上会弹出系统授权提示， 孩子同意后画面与声音只在你和孩子的两台设备之间加密传输——我们既不中转内容， 也不保存它（网络受限时由我们的中继转发，但中继转发的同样是我们解不开的密文）。
• 上网记录（默认关闭，由你逐个应用开启）：你在家长端把某个应用标为 「是浏览器」之后，孩子在这几个应用里打开的网址会被记下来——记录的是 浏览器地址栏里显示的那段地址（域名与路径）、所属应用与访问时间， 用于你在家长端「上网记录」页回看。 只有你标过的应用会被读取：其它应用（聊天、相册、短信……） 的界面内容我们一概不读；我们也不保存网页正文、不做网址拦截。 这项功能需要孩子手机上开启「无障碍服务」（服务关闭时不会产生任何记录， 家长端会如实提示「未生效」）。保留期默认 7 天，你也可以随时关掉某个应用的开关， 或在「上网记录」页一键清空已记录的内容；删除设备时这些记录一并清除。
• 执行回执与事件：指令执行结果（例如安装进度与失败原因）、管控权限是否就绪等状态事件。

2.3 我们不收集的信息

我们不持有你和孩子留言的解密钥匙，也没有任何能解开它们的后台通道—— 需要看留言的人，只能由你授权成「某个具体的人」（见第 6.4 节）。

本服务不读取也不上传：通讯录、短信与通话记录内容、相册与文件、剪贴板、键盘输入内容、 其他应用的账号密码；不做常驻录音（麦克风只在投屏 / 对讲被主动发起且孩子同意后启用）； 不收集广告标识符，也不接入第三方统计、广告或崩溃上报 SDK。

关于上网记录，边界写清楚：它是你自己逐个应用开启的， 采集范围只有你标为「是浏览器」的那几个应用的地址栏地址—— 它不是浏览器历史数据库（我们读不到、也不去读它）， 不包含网页正文与搜索结果，也不会记录孩子在其它的应用里的任何输入。 没被标记的应用、以及没开这项功能的家庭，一个字节都不采集。

关于网络管控，边界同样写清楚：它是在孩子手机本地完成的一次转发。 为了让「按应用限速」成立，我们要看一眼每个连接的包头（源端口与目标地址）， 用来判断这条连接属于哪个应用——流量不经过我们的服务器， 我们不解开、不解析、不保存任何内容，也不做任何基于内容的分析或画像； 关闭这一项之后，一个字节都不过它的手。

3. 用来做什么

• 执行你设置的时间与应用管控策略，并把执行结果回执给你；
• 展示使用报告、定位轨迹与设备状态；
• 在你与孩子之间传递留言（文字与语音）；
• 在你主动发起时建立屏幕与语音的直连会话；
• 排查故障、防止滥用（例如异常的绑定请求），以及在你请求时提供技术支持。

我们不会把这些信息用于上述目的之外的用途，也不会用于向孩子推送广告。

4. 我们不做的事

• 不向任何第三方出售、出租或交换个人信息；
• 不建立广告画像，不进行跨应用的兴趣推荐；
• 不把一个家庭的数据用于另一个家庭，也不做跨家庭的数据分析；
• 不把定位与留言内容用于风控、信贷、保险等无关场景；
• 不在服务端保存投屏的画面与环境音内容；不保存任何能解开你和孩子留言的钥匙，也没有后台解密通道。
• 不在你的授权之外，把你的留言交给任何人（包括我们自己）：要看，只能由你授权成指定的人。

5. 保存多久

• 聊天记录（文字与语音）：默认保留 7 天，家长可选 1 / 3 / 7 / 14 / 30 天；到期自动清理。
• 位置与轨迹：按你查看轨迹所需的时间范围保留，用于展示历史轨迹；删除设备时一并清除。
• 使用情况与事件日志：用于生成使用报告与排查问题，删除设备时一并清除。
• 上网记录（你标为浏览器的应用里打开的网址）：默认只保留 7 天，到期自动清理；你也可以在家长端「上网记录」页随时一键清空， 或关掉某个应用的「是浏览器」开关（此后不再记录该应用）；删除设备时一并清除。
• 设备记录：点「解绑」后仍保留在「已解绑的设备」中，方便你重新绑定；点「删除」后清除。
• 账号信息：在你注销账号并完成清理前保留。

6. 加密与数据安全

6.1 传输与账号

• 所有请求都走 HTTPS 加密传输（实时通道走加密的 WebSocket）；家长端用登录令牌鉴权，孩子端用设备令牌。
• 密码只保存不可逆的指纹（bcrypt 哈希），不保存明文；家长端接口按家庭隔离，一个家庭看不到另一个家庭的数据。

6.2 你和孩子的留言是端到端加密的

「端到端」的意思是：加密和解密只发生在你和孩子的设备上，中间经过我们服务器的那一段， 存的是一串我们解不开的密文（文字是一段加密封装，语音文件同样整段加密）。 解开它需要一把钥匙，而钥匙只存在于三个地方：孩子的手机上、你打开过家长端的浏览器里， 以及你主动授权过的人自己的设备上。

具体来说：文字留言在设备上加好密才上传，语音留言在手机里录完就先加密再上传； 你在家长端看到的内容，是在你自己的浏览器里当场解开的。 我们服务器上有的只是密文、密文的长度，以及「谁在什么时候发了几条」这类信息。 连未读消息的预览我们也不做——因为那需要先读懂内容。

孩子端需要 0.3.0 及以上版本才支持加密：更老的版本不认识密文， 所以家长端在开启加密前会先要求升级（没升级时我们会明确标注「暂未加密」，不会假装已经加密）。 开启加密之前产生的那部分老留言是明文保存的，会按保留期自然过期。

6.3 我们仍然能看到的东西

为了不给你造成误解，这里如实列出加密保护不到的部分： 谁在什么时候发了多少条、密文有多长、你这台设备上报的状态与位置、你设置的策略、你的账号与设备记录。 这些是服务运行本身必需的元数据，我们不加密它们，也不会把它们用于第 3 节之外的目的。

6.4 你授权给谁，谁才能读

我们没有「后台查看留言」的功能，任何人（包括我们的运维）都拿不到那把钥匙。 要让某个人看到你和孩子的对话，只能由你在家长端主动授权：

• 授权给谁：家庭里的另一位家长（用他的账号），或家庭外的人（给他一条一次性链接，他打开就能看，不需要注册账号）；
• 授权范围：默认只从现在开始——授权之前的留言他解不开；想连历史一起给，需要你在授权时显式勾选；
• 授权期限：1 小时 / 24 小时 / 7 天，到期自动失效；你也可以随时手动收回；
• 留痕：家长端的「授权记录」里能看到给过谁、什么范围、什么时候到期、他拉取过几次。 需要说明的是，我们记录的是访问行为（拉取次数与时间），不是他读了哪几条——因为内容我们看不到；
• 收回的边界：收回只对以后生效。他在授权期间已经解开看过的内容，我们无法收回， 这一点在授权界面上也会再提醒你一次。

6.5 钥匙在谁手里，什么情况下会读不到旧留言

钥匙不上传、不托管，所以它跟着设备走。下面这些情况需要「另一台还在的设备」帮你重新分发一次钥匙： 你换了浏览器或清了浏览器数据、孩子手机重装或恢复出厂、你换了新手机。 家长端在这些情况下会给出明确提示与一个「重新分发钥匙」的动作。

如果所有持有钥匙的设备都不可用了（例如孩子手机重装、而你也清空了所有浏览器数据）， 那部分历史留言就再也读不回来了。我们没有做「恢复码」这类兜底，也不打算把钥匙交给我们自己保管—— 这是端到端加密的代价，我们选择如实告诉你，而不是留一个只有我们能开的门。 好在聊天记录默认只保留 7 天，实际影响通常有限。

最后一句实话：家长端是网页应用，页面由我们的服务器下发。所以严格说，我们不愿意把话说满—— 我们做的是：服务器上只有密文、钥匙留在你和你授权的人手里、授权随时可查可撤。 这是我们能给的，也是最接近「只有你和孩子」的做法。

请注意：任何系统都无法保证绝对安全。请保管好你的账号密码，以及绑定二维码与链接—— 任何拿到它们的人都能完成绑定或查看你家庭的管控数据（但拿不到留言的内容：那需要设备上的钥匙）。

7. 儿童个人信息

• 孩子端不注册独立账号、不填写任何资料，仅上报管控所必需的信息（见第 2.2 节）。
• 你是孩子个人信息处理的同意主体：请确保你是该孩子的监护人，或以监护人身份获得授权后再绑定其设备。
• 孩子在自己的手机上能感知到管控：桌面被替换、提醒页出现、投屏前需要点「允许」，以及桌面上的「家人」聊天入口。
• 我们不向孩子推送广告，也不在孩子的手机上做任何与管控无关的采集。

8. 你的权利

• 查看与更正：家长端可以直接查看设备信息、策略、用量、定位与留言，设备别名可随时修改。
• 删除：点「删除设备」会清除该设备的策略、用量、定位与聊天（含语音）；解绑则只解除管控关系。
• 注销账号：如需注销账号并清空全部数据，请通过第 11 节的联系方式提出，我们核实身份后处理。
• 撤回同意：解绑并删除设备即停止后续采集。已经下发的策略快照会在孩子手机侧被清空。

9. 第三方与外部请求

• 本服务不接入第三方统计、广告、推送与崩溃上报 SDK。
• 地图：家长端「定位」页默认使用高德地图（高德软件有限公司） 的网页版地图脚本与矢量瓦片（webapi.amap.com、*.amap.com / *.autonavi.com）渲染，浏览器请求时会带上你正在查看的坐标范围 与你所在网络的 IP。如果服务端没有配置高德地图密钥、或高德暂时不可用， 页面会退回 OpenStreetMap 的公共瓦片服务 （tile.openstreetmap.org），请求内容与上面相同。 这两种请求都只包含「地图视野范围」，不包含孩子设备的标识、 账号、聊天或任何其它家庭数据。 服务端管理员可以在配置里彻底关闭地图（map.enabled: false）， 此时定位页不产生任何地图外部请求，只显示定位明细。 如果你不希望产生该请求，也可以不打开定位页。
• 孩子端定位（高德定位 SDK）：孩子端在采集位置时会使用 高德的定位 SDK（com.amap.api:location）做一次室内外定位，这时会向 高德的服务器发起请求。按高德开放平台的要求，我们把这项第三方 SDK 如实列出：
  • SDK 名称：高德定位 SDK（Android 版，com.amap.api:location）。
  • SDK 提供者：北京高德图强科技有限公司（高德开放平台， https://lbs.amap.com）。
  • 收集的个人信息类型：位置信息（经纬度、定位精度、定位来源）、 周边的 WiFi 信息（SSID / BSSID / 信号强度）与基站信息 （运营商、小区标识）、以及完成鉴权与定位所需的设备信息 （设备型号与系统版本、应用包名与签名、设备标识符）。
  • 使用目的：把设备所在位置算出来（含室内——只靠卫星在屋里 通常定位不到），供家长端查看孩子的位置与轨迹。用途仅此一项，不用于广告或用户画像。
  • 使用场景与频率：家长端点击「立即定位」时、以及设备每 10 分钟 （或位移超过 200 米）自动上报一次位置时。
  • 能否关闭：能。服务端管理员把配置里的 map.amap_android_key 留空（并重启服务端），孩子端就不会初始化该 SDK、 也不再产生任何高德定位请求——此时孩子端只用系统定位能力，室内通常定位不到， 家长端会如实显示「室内多半收不到卫星信号」。设备侧也可以随时撤销定位权限。
  • 高德的隐私政策：https://lbs.amap.com/pages/privacy/ （该 SDK 对信息的处理以高德的政策为准）。
• 验证码邮件：使用邮箱验证码登录时，我们的服务器会通过腾讯企业邮 （smtp.exmail.qq.com）把验证码发到你的邮箱。这条请求只包含 你的邮箱地址与那封验证码邮件本身，不包含任何家庭、设备或孩子相关的数据。 不使用邮箱验证码就完全不产生这个请求。
• 微信扫码登录：使用微信扫码登录时，我们的服务器会与微信接口 （api.weixin.qq.com）通信，用途只有两个：把小程序传来的临时凭证换成 openid、生成那张小程序码。请求中不包含任何家庭、设备或孩子相关的数据； 整个过程也不会获取你的微信昵称、头像或手机号。不使用微信扫码就完全不产生这些请求。
• 本官网页面的所有资源（样式、脚本、图标、截图）均由本站同源提供，不使用任何 CDN 或外部字体。
• 除法律要求或你明确同意外，我们不会向第三方提供你的数据。

10. 政策变更

如果本政策发生实质性变更（例如增加新的采集类型），我们会在官网页面上更新并标注新的更新日期； 涉及新增采集时，我们会在家长端内提示，并在你确认后生效。

2026-10-02 的变更：新增「上网记录」这一采集类型的说明（见 2.2 与 2.3）。 它是默认关闭的：只有在家长端把某个应用标为「是浏览器」时才会采集， 开启前家长端会弹一次说明并要求你确认；保留 7 天、可随时关闭与清空。 没有开启这项功能的家庭，本轮更新不改变任何采集行为。

11. 联系我们

对本政策有疑问，或需要行使第 8 节的权利，请通过以下方式联系我们：