镜野助手隐私政策

1. 适用范围与账号方式

本政策适用于镜野助手 App、手机 Web 页面及相关服务页面。镜野助手可在应用商店公开展示和被搜索，但仅供获授权的镜野眼镜员工登录使用，不向普通消费者开放注册。

员工账号不在 App 内创建，由老板或获授权管理员在 App 外的网页后台创建、分配、调整和停用。

2. 我们可能处理的信息

• 员工账号与身份信息：姓名、手机号、登录账号、所属门店、岗位、角色权限、账号状态、会话与安全校验信息。
• 门店与业务配置：门店资料、快捷入口、权限配置及相关操作记录。
• 商品、订单与收银报表信息：商品名称和编码、订单号、订单来源、创建人和收银人、状态、时间、金额、支付方式、退款与商品明细快照。
• 顾客配镜与售后资料：员工在提供服务时获授权录入的顾客姓名、联系方式、配镜记录、验光或处方资料、售后记录和业务备注。
• 儿童防控镜质保回访档案：必填的儿童姓名、取镜日期和一张儿童度数单图片；可选的微信名、手机号、售后客服编号和回访备注；以及回访状态、历史和 1–365 天的提醒安排。
• 推送设备与投递信息：App 安装实例标识、平台、登录 Session 有效状态、安装级 Expo Push Token、通用通知文案、不透明内部路由标识和投递结果。儿童回访的系统通知不包含儿童姓名、联系方式、度数或图片。
• 加工验光与智能分析：加工/验光人员和每日统计、日期范围、数量和排名；员工主动输入的问题、代号化统计、回答、最近追问上下文、额度与请求状态。
• 打印任务：商品标签内容、标签尺寸和模板、打印份数、打印机标识后四位、幂等键、任务状态和错误信息。
• 图片、文件与本地数据：员工主动拍摄或选择的商品图片、儿童度数单、业务附件，以及当前浏览器或设备本地保存的商品、订单、库存、验光/处方、备注和图片缓存。
• 设备与日志：设备型号、系统版本、App 版本、网络状态、访问日志、错误日志、安全和审计记录。

3. 使用目的

• 完成员工密码登录、身份识别、会话管理和角色权限校验；阿里云短信如启用，仅用于密码找回/重置，不用于登录。
• 支持商品、销售订单、收银、退款、库存、配镜、售后、标签和小票打印等门店业务。
• 安排儿童防控镜质保回访，在同一门店的获授权人员之间同步待办与回访历史，并提供儿童防控镜质保回访提醒。
• 在员工主动使用时，基于最小化、代号化的加工验光统计提供智能分析。
• 保障服务安全与稳定、处理请求幂等性、定位故障、防止滥用，并履行必要的法律和内部管理义务。

4. App 权限说明

• 相机权限：仅在员工主动扫码、拍摄商品图片或儿童度数单时申请。
• 相册或文件权限：仅在员工主动选择商品图片、儿童度数单或业务附件时使用；不扫描整个相册。
• 蓝牙权限：用于搜索和连接附近的 A4SE 蓝牙打印机。Android 12 及以上按功能申请 BLUETOOTH_SCAN 和 BLUETOOTH_CONNECT；Android 11 及以下会按系统要求申请精确位置权限，但仅用于发现附近的蓝牙打印机，不读取、保存或上传设备位置。
• 推送通知权限：仅用于接收儿童防控镜质保回访提醒；拒绝后可继续使用不依赖通知的功能。
• 网络访问：用于加载服务、访问账号和业务接口、密码找回/重置、私有图片读写、智能分析、推送和云打印。

Android 拍摄儿童度数单时，未采用的临时照片仅保存在 App 专属缓存目录，在离开表单、退出 WebView 或下次启动时清理，不作为业务档案长期保留。

5. 云端与本地存储边界

云端数据：通过 Vercel Functions 和 Neon Postgres 处理或保存员工账号、会话、门店资料、审计记录、销售订单报表、支付/退款明细、打印任务、加工验光统计、儿童防控镜质保回访档案、推送设备/投递状态和加工验光智能分析历史。儿童度数单使用 Vercel Private Blob 作为私有资产存储，读取前需通过登录、门店和权限校验。

本地数据：根据实际功能，商品、订单、库存、验光或处方、业务备注、部分图片和设备偏好也可能保存在浏览器或设备本地的 localStorage、IndexedDB 或 App 本地存储中。这些数据不一定随账号同步，也无法全部通过服务端远程删除。

A4SE 本机存储：搜索结果中的信号档位、是否记忆和当前可用性仅在本机 bridge 中临时传递，不持久化且不上传。只有成功连接后，原生本机才保存 Bluetooth 设备标识（device ID）、显示名称和 connectedAt；WebView 在当前手机 localStorage 保存设备标识和显示名称，connectedAt 不跨 bridge。这些信息只用于该手机重连同一台打印机。

在门店管理员或技术支持确认备份和处理方案前，请不要自行清空浏览器数据、App 数据或卸载应用，以免未备份的业务记录无法恢复。

6. 第三方服务

我们不出售个人信息。为提供镜野助手功能，我们使用以下第三方服务：

OpenAI 获得的统计不含真实姓名、内部 UUID、顾客身份、联系方式、处方、图片或备注；假名化不等于完全匿名。输入前的敏感格式拦截无法识别所有自然语言内容，员工不得在智能分析问题中输入顾客资料。OpenAI 可能按其政策在其处理区域处理数据，可能涉及跨境处理。

7. 保留、归档与清理边界

• 账号、订单与审计：员工账号、账号状态、销售订单报表、支付/退款、打印任务和审计记录，在账务核对、售后责任、防止滥用、争议处理和适用法律要求所需的期间保留；目的完成且无法定义务后删除或匿名化。
• 儿童售后档案与图片：按门店质保售后、审计和法律要求保留。当前产品对误登记档案仅提供归档；归档后停止新待办和新推送，但保留已有回访历史与私有图片。临时上传失败、过期上传和已替换图片由清理任务异步处理。
• 推送信息：安装令牌与有效登录会话绑定；退出、失效、取消注册或设备不可达后停用。必要的投递状态与错误代码按回访和审计需要保留。
• AI 问答与额度：加工验光智能分析每个 turn 自完成满 180 天后进入自动清理，用户可提前删除可访问的问答正文；账号和门店的每日请求数/token 聚合在满 400 天后进入清理；不含问题和回答正文的幂等、租约和 token 请求元数据在首次终态 + 7 天后进入清理。丢失响应仅可在 24 小时内从尚存历史恢复。
• 备份与异步清理：在线数据的物理删除由清理任务异步执行；任务失败、存在积压或需要重试时可能晚于上述时点。备份中的副本不保证立即逐项物理删除，将随既定恢复窗口到期覆盖；如恢复备份，我们会重新执行已生效的删除、匿名化或到期清理。
• 本地数据：按门店的备份、售后和业务记录管理要求保留。账号停用或删除不会自动清除所有本地数据。

8. 信息更正、删除与账号处理

员工可申请更正账号信息、停用或删除账号，或就获授权录入的业务信息提出查询、信息更正、删除请求或限制处理请求。我们会核验请求人身份与权限，并区分可删除/匿名化的个人账号数据、需依法或为账务/售后/审计继续保留的业务记录，以及无法远程删除的设备本地数据。

详细申请通道、身份核验、处理步骤与保留边界见镜野助手账号删除申请页。

9. 未成年人

镜野助手不面向未成年人注册或使用。门店为未成年顾客提供配镜和售后服务时，只由获授权员工录入必要资料，并按本政策与门店服务责任处理。

10. 安全措施

我们采取传输加密、账号与角色权限控制、同门店隔离、私有图片鉴权、操作审计、敏感输入拦截、最小权限和必要备份等措施。但任何系统都无法保证绝对安全；发现异常时请及时联系我们。

11. 政策更新

当镜野助手的功能、权限、第三方服务或信息处理方式发生变化时，我们会更新本政策，并通过 App 或官网公布新版本和生效日期。

12. 联系我们

公司名称：丹阳市镜野眼镜有限公司

联系地址：江苏省丹阳市中国眼镜城二楼82101、82109

技术支持邮箱：developer@jingyeyanjing.com

联系电话：18705292272

上述邮箱和电话可用于隐私疑问、投诉、账号删除申请，以及信息更正、删除请求。

官网：https://www.jingyeyanjing.com