隐私政策
这套系统用来记录工作待办、推送提醒、写每日复盘，并为机构管理者生成团队工作分析。它装的是工作内容，也可能间接带到服务对象的信息，所以我们把数据怎么进、怎么用、留多久，逐项写清楚。
一、我们收集哪些信息
- 账号信息：手机号、你设置的显示名。密码经不可逆哈希后存储，我们无法读取你的原始密码。
- 你录入的工作内容：待办标题、优先级、截止时间、受阻原因、完成备注、每日复盘，以及你所属的企业与部门。
- 设备与运行日志：浏览器标识、访问页面路径、前端报错信息、消息推送订阅地址。登录 IP 仅用于登录失败次数限制，不做长期保存。
- 派生内容：由上述工作内容汇总生成的团队分析报告与用量统计。
我们不收集通讯录、精确位置、相册、剪贴板，也不接入任何广告或用户画像 SDK。
二、用来做什么
- 提供待办管理、到期提醒、每日清单推送、每日复盘与历史归档。
- 企业协作：任务派发、成员互见、进度总览。
- 生成团队工作分析（见下一节）。
- 保障安全：登录限流、会话失效、异常告警与故障排查。
我们不会把你的工作内容用于广告投放、对外出售，也不会用于与本服务无关的模型训练。
三、AI 分析怎么处理数据
团队分析报告由和光自有服务器上部署的本地大模型生成，模型与数据都在机构内部网络，不经过任何第三方公有云大模型服务。
- 发送给模型前，姓名先做替换：成员显示名替换为「成员A / 成员B」，你亲手录入的来访者姓名按「姓 + 首字母」处理（如 张三丰 → 张S），原文不进入模型上下文。
- 模型只拿到某段时间内的任务、受阻原因、完成备注与复盘，以及汇总统计，不包含手机号、密码、推送密钥。
- 生成的报告仅该企业管理员可见，普通成员看不到。
脱敏发生在写入数据库之前：你在隐私名单里登记的姓名，保存时就已替换，数据库里本就没有原文。
四、保存多久
工作内容随账号存续保留，注销即删。运维类数据按下表定期清理（系统每日自动执行）：
| 数据 | 保存期限 |
|---|---|
| 待办条目、每日复盘、个人隐私名单 | 账号存续期间；注销后立即删除 |
| 企业分析报告 | 企业存续期间；企业解散或管理员注销时删除 |
| AI 调用用量日志（仅模型名、耗时、字数） | 90 天 |
| 操作审计日志 | 180 天（注销后姓名匿名化） |
| 前端错误日志 | 30 天 |
| 系统告警、脱敏命中日志 | 90 天 |
| 数据库备份 | 日备 7 份 + 周备 8 份，滚动覆盖 |
| 登录会话 | 7 天，可随时「退出所有设备」立即失效 |
五、与谁共享
- 同企业成员：按企业协作模式可见彼此的任务，与你在系统里的角色一致。
- 企业微信：仅当你或管理员绑定提醒机器人时，提醒内容会经企业微信推送到你本人。
- 云服务提供商：服务器位于中国境内，用于承载数据库与接口，不接触业务语义。
除法律法规要求或司法机关依法调取外，我们不向任何第三方提供你的个人信息。
六、你的权利
- 查阅与更正：登录后在页面内直接查看和修改；设置里可改显示名、工作日、推送时间。
- 导出副本：设置 → 我的数据 → 「导出我的全部数据」，下载一份 JSON 文件，包含账号信息、全部待办、复盘、所属企业与隐私名单。
- 删除与注销：设置 → 我的数据 → 「注销账号」。注销后个人数据立即删除，不可恢复。如果你管理着还有其他成员的企业，需要先转让或解散该企业，避免一人注销带走全企业数据。
- 撤回同意：随时停止使用并注销即可；注销后不再产生新的处理。
上述操作都在设置页自助完成，无需发邮件申请。
七、我们怎么保护数据
- 全站 HTTPS；数据库按行级权限隔离，每个人只能读到自己的数据，前端不发送用户标识，由数据库按登录身份判定。
- 登录有效期 7 天，修改密码后其他设备立即失效；同一 IP 连续登录失败会触发限流。
- 每日自动备份并做恢复演练校验，防止误删与损坏。
- 管理员操作（改配置、看审计、管名单）全部留痕，可追溯。
八、未成年人
本系统面向机构工作人员的日常办公，不面向未满 14 周岁的未成年人。若工作中确需记录涉及未成年服务对象的信息，请勿在标题或备注中填写可识别身份的完整信息，使用隐私名单功能处理。
九、政策更新
收集范围、使用目的或保存期限发生变化时，我们会在系统内显著位置提示并更新本页版本号；涉及重大变更的，会再次征求你的同意。
十、联系我们
对隐私处理有疑问、投诉或需要人工协助注销：privacy@hglcxl.com。我们会在 15 个工作日内答复。
运营主体：和光临床心理 · 蜀ICP备16025319号