一、引言
看山贵纸-证件文件柜（以下简称"本小程序"或"看山贵纸-证件文件柜"）是一款以"本地优先、分级加密"为设计原则的个人纸质单据管理工具，由本小程序开发者（以下简称"我们"）提供。我们深知个人信息对您的重要性，并会尽全力保护您的个人信息安全。本政策旨在向您说明看山贵纸-证件文件柜在处理您的信息时遵循的规则，帮助您充分了解我们收集了什么、在哪里处理、如何加密存储、如何使用、如何删除。
请在使用看山贵纸-证件文件柜前仔细阅读本政策。您首次进入小程序并点击"同意"《用户服务协议》与《用户隐私保护政策》时，即视为您已阅读并同意本政策的全部内容。
核心承诺（分级加密，如实说明）：您的单据在设备上加密后才离开手机，密钥明文只存在于您的设备内存。按单据密级分两类，能力边界不同，我们如实向您说明：
- 敏感级 / 机密级单据：采用端到端加密——加密密钥由您的密码与 24 位恢复码分别包裹，我们与云服务提供方均无能力解密这类单据；唯一的例外是您主动发起的 AI 解析（原件图片临时上云、识别完成即删，详见第三节第 4 条）。
- 普通级单据：为支持换手机、忘记密码时帮您找回数据，普通级的密钥信封由服务端托管密钥加密后保存（详见 4.2）。这意味着服务端在技术上具备解开普通级密文的能力；该能力仅用于您主动发起的找回流程，不用于人工查看、内容分析或其他任何目的。
二、我们收集的信息
看山贵纸-证件文件柜的信息处理遵循"最小必要"原则。按照处理位置，信息分为两大类：仅在本机处理、绝不离开设备的信息，与以密文形式上传至云端的信息。下文逐项列明，均与看山贵纸-证件文件柜实际代码逐条对应。
2.1 仅在本机处理、不上传云端的信息
以下信息仅存储于您的设备本地（微信小程序本地缓存 wx.setStorageSync 与本地文件系统 wx.env.USER_DATA_PATH），不会上传至任何服务器：
| 信息类别 | 具体内容 | 用途 | 存储位置 |
|---|---|---|---|
| 密钥派生盐与密钥信封 | 解锁密码经 PBKDF2 派生所需的随机盐（salt）、被主密钥（MK）包裹的数据密钥（DK）密文信封、恢复码包裹的 MK 密文信封、敏感密钥信封及其口令派生盐 | 实现"仅您可知"的分级加密，用于本地解密 | 本地 Storage |
| 会话状态 | 最近解锁时间戳（仅用于界面展示，真正放行以内存密钥为准） | 会话展示，不构成解锁依据 | 本地 Storage |
| 安全计数 | 密码输入失败次数、锁定冷却时间戳（均为数字） | 密码防暴力破解退避 | 本地 Storage |
| 单据本地仓库 | 您主动录入的元数据：分类、标题、"纸在哪儿"位置描述、隐私级别（普通/敏感/机密）、页数、大小、到期日、密文身份标识 | 首页柜格、列表、详情展示与筛选 | 本地 Storage |
| 待入库队列 | 尚未完成加密入库的单据元数据与本地临时路径 | 断点续传、失败重试 | 本地 Storage |
| 上传任务台账 | 已上传文件的分片键、fileID、尺寸、密文包络信息（不含明文、不含密钥） | 上传断点续传的幂等去重 | 本地 Storage |
| 日志与上报缓冲 | 环形缓冲的脱敏运行日志、待上报操作日志（敏感值以 *** 脱敏） | 本地排障与脱敏行为上报 | 本地 Storage |
| 归属标识 | openid 的 SHA256 哈希前 16 位（不存明文 openid） | 标识单据归属，避免明文标识符 | 本地 Storage |
| 诱饵柜记录 | 伪装 PIN 的密文信封（与真实密钥信封严格分离） | 伪装 PIN 解锁本地演戏内容 | 本地 Storage，永不参与任何云端字段 |
| 密文缓存 | 单据原件密文分片（original.*.enc）、密文包络（envelope.json）、缩略图密文（thumb.enc，≤100KB） | 离线浏览加密原件、列表缩略图 | 本地文件系统 |
特别说明——预览时的明文临时文件：当您查看加密原件时，看山贵纸-证件文件柜会在内存中完成 AES-256-GCM 解密，为满足展示需要写入临时目录的明文文件会在预览关闭或页面退出时立即清理，不在设备上留存明文副本。
2.2 以密文形式上传至云端的信息
看山贵纸-证件文件柜使用微信小程序云开发（CloudBase）提供云函数、云数据库、云存储能力。上传至云端的数据除 AI 解析临时件外均为密文或脱敏数据，不含您的单据明文、不含密钥明文：
| 信息类别 | 具体内容 | 存储位置 | 说明 |
|---|---|---|---|
| 匿名归属标识 | openid_short（openid 的 SHA256 前 16 位）；完整 openid 仅在云函数运行环境中由微信平台注入，用于校验身份后即丢弃，不落库 | 云数据库 | 不包含可关联您真实身份的明文标识 |
| 单据元数据（密文索引） | 分类、标题、"纸在哪儿"、隐私级别、页数、大小、到期日、密文文件索引（分片 fileID、加密算法、密文包络位置）、该单据使用哪把密钥的标记 | 云数据库 docs 集合 | 仅元数据与密文索引，不含任何明文内容与密钥 |
| 单据密文文件 | 加密后的原件分片（AES-256-GCM 密文）、密文包络 envelope.json、加密缩略图 | 云存储 vault/{openid_short}/{docId}/ | 无密钥无法解密 |
| 密钥托管信封 | 被服务端托管密钥（AES-256-GCM）包裹的普通级数据密钥密文，绑定您的账号 | 云数据库 users 集合 | 仅用于您主动发起的跨设备找回 / 忘记密码流程；服务端保有托管密钥，具备解开普通级密文的技术能力（见 4.2） |
| 敏感层恢复信封 | 被您本人 24 位恢复码包裹的敏感密钥密文 | 云数据库 users 集合 | 服务端无法解密（缺少恢复码即不可解），仅作换设备找回的密文中转 |
| 额度档案 | 免费额度使用情况（份数、存储量）、计划档位 | 云数据库 users 集合 | 仅额度计数 |
| 手机号取回凭据 | 手机号经哈希处理后的摘要与尾号（不存明文手机号） | 云数据库 users 集合 | 仅用于您主动发起的手机号取回流程的身份核对 |
| 脱敏操作日志 | 脱敏后的行为日志（如"页面展示""解密预览""删除记录"等动作标识与时间戳，不含文件内容与密钥） | 云数据库 access_logs、op_logs 集合 | 90 天后自动清理（cleanup-logs 云函数） |
AI 解析的临时明文例外：当您主动发起 AI 解析时，单据原件图片会临时上传至服务器进行 OCR 识别与大模型信息提取，解析完成后临时文件立即删除，不落库、不长期留存；平时保存的仍是加密密文。敏感级 / 机密级单据会在每次解析前单独向您提示这一点。
2.3 我们明确不收集的信息
- 不收集您的真实姓名、身份证号、手机号码、通讯录、精确位置、麦克风录音、蓝牙等任何敏感个人信息；
- 不收集您的密码、伪装 PIN、主密钥（MK）、数据密钥（DK）明文——密钥明文只存在于设备内存，任何情况下不上传、不落盘；云端保存的仅是密文形式的密钥信封（见 2.2）；
- 除 AI 解析的临时处理（见 2.2 末段）外，不收集单据内容的明文——所有单据内容在设备端加密后才会传输或存储；
- 看山贵纸-证件文件柜当前未接入任何广告 SDK、统计 SDK 或第三方跟踪服务，不向任何第三方出售或共享您的信息。
2.4 意见反馈时您主动提供的信息
当您通过"我的 → 意见反馈"（或启动页"遇到问题，告诉我"入口）向我们提交反馈时，处理的是您主动提供的以下信息：
| 信息类别 | 具体内容 | 是否必填 | 用途 |
|---|---|---|---|
| 反馈内容 | 您描述的问题、建议或意见文本 | 必填 | 了解并处理您反馈的问题 |
| 反馈类型 | 问题反馈 / 功能建议 / 体验吐槽 / 其它 | 必填 | 分类归档，便于安排处理优先级 |
| 联系方式 | 您填写的微信号、手机号或邮箱 | 选填 | 在需要进一步确认时回复您本人 |
| 截图 | 您选择随反馈一并上传的图片 | 选填 | 定位界面或显示异常问题 |
| 运行信息 | 小程序版本、手机系统、机型、微信版本、提交时所处页面 | 选填（默认附带） | 复现并定位问题 |
重要说明：
- 上述反馈信息与您的凭证数据完全分离——不参与加密链路，也不包含任何单据标题、分类、内容或密钥；您的凭证数据始终以密文形式存储。
- 运行信息中不包含您的任何单据内容，仅含设备与页面的基础环境信息（已在代码层固化为固定字段，不具备扩展采集能力）。
- 反馈内容存储于中国境内的微信云开发服务器，保存期限为 12 个月，到期后删除；您也可以随时通过本政策第九节的联系方式要求提前删除。
- 反馈内容仅用于改进产品与回复您本人，不会公开显示，也不会提供给任何第三方。您提交的反馈会通过企业微信内部群通道即时送达开发者本人；该通道仅用于反馈通知的送达，不构成对反馈信息的外部共享。
- 您可以选择不填写联系方式提交反馈，我们同样会处理您的意见。
三、我们如何使用信息
- 功能实现：上述信息仅用于实现看山贵纸-证件文件柜的核心功能——单据加密入库、本地列表与详情展示、加密原件离线浏览、额度统计、断网续传、脱敏行为审计。
- 安全防护：密码失败退避与冷却、诱饵柜伪装机制均在本机完成，用于保护您的数据免受暴力破解与胁迫访问。
- 审计与排障：脱敏操作日志用于排查功能异常与审计访问行为，不含文件内容，保留 90 天后自动删除。
- AI 辅助解析：看山贵纸-证件文件柜提供基于 OCR 与 AI 大模型的单据结构化信息提取能力（如识别票据上的金额、日期、证号，以及体检报告中已写明的机构、日期、异常项目等）。该功能已上线，处理过程如下：您发起解析时，单据原件图片临时上传至服务器进行识别与提取，解析完成后临时文件立即删除；敏感级 / 机密级单据会在每次解析前单独提示您这一处理并请您确认。AI 提取结果仅作辅助参考，不构成任何专业意见，涉及健康信息时不构成任何医疗诊断或建议（详见《用户服务协议》第六节 AI 功能免责声明及 6.3 医疗健康类内容特别声明）。
四、信息的存储与加密
4.1 加密架构（分级）
普通级单据：
- 您的 6 位数字密码通过 PBKDF2-SHA256（150,000 次迭代，每用户独立随机盐） 派生主密钥（MK），MK 仅在解锁期间存在于设备内存；
- 每份单据使用随机数据密钥（DK） 经 AES-256-GCM 加密，DK 被 MK 包裹后以密文信封形式存储，任何位置均不存 DK 明文；
- 恢复码（24 位，含校验位）可在您遗忘密码时重设密码并重建密钥；我们只保存由它包裹的密文信封，不保存其明文、不写入日志；
- 普通级 DK 另有一份由服务端托管密钥（AES-256-GCM）包裹的密文信封，保存在云端
users集合，用于换手机与忘记密码时找回数据（见 4.2）。
敏感级 / 机密级单据：
- 首次初始化时您设置一组 6 位数字密码，同一组密码既用于解锁柜子，也用于包裹敏感级数据密钥（DK_secret），无需再记第二个口令；该口令封装在云端保存一份密文副本，用于您换设备或重装后直接输入同一密码取回（服务端无密码即无法解开）；
- 每份敏感级 / 机密级单据使用独立的 DK_secret 经 AES-256-GCM 加密，与普通级密钥严格隔离——主密钥（MK）与普通级密钥均无法解开敏感级密文；
- 您会获得一组 24 位恢复码（约 112 位安全强度），可在忘记密码时重设密码、取回密钥；云端另保存被该恢复码包裹的密文信封（恢复信封），服务端无恢复码即无法解开；
- 敏感单据验证通过后有效期 5 分钟，超时、锁柜或小程序切后台后自动失效，再次查看需重新验证；
- 退出后台锁柜时，内存中的密钥立即清零。
4.2 云端加密与钥匙托管（如实说明能力边界）
- 敏感级 / 机密级：加密密钥被您的密码与 24 位恢复码分别包裹，云端只保存两份密文信封（口令封装 / 恢复信封），我们与云服务提供方均无能力解密这类单据；唯一例外是您主动发起的 AI 解析（原件临时上云、完成即删，见 2.2 末段）。需要如实说明的是：云端的口令封装理论上可被离线尝试猜测，其安全强度取决于您设置的密码——我们以 PBKDF2-SHA256（150,000 次迭代、每用户独立随机盐）抬高单次尝试成本，并对本机连续错误做冷却限制；但 6 位数字的组合有限，请勿使用生日、手机号后六位、连续或重复数字。恢复码（约 112 位安全强度）则是穷举不可行的最终兜底。
- 普通级：为支持换手机与忘记密码找回，普通级密钥信封由服务端托管密钥加密保存。我们如实告知：服务端因此具备解开普通级密文的技术能力；该能力仅用于您主动发起的找回流程（手机号取回 / 忘记密码重设），不用于人工查看、内容分析、模型训练或其他任何目的，密钥托管信封也不向任何第三方提供。
- 恢复码与密码均不保存明文。密码可凭绑定手机号重设（普通级单据随之恢复）；敏感级 / 机密级另需 24 位恢复码——若您遗忘密码且遗失恢复码，该部分密文将永久无法解密；若绑定手机号亦不可用，则全部加密数据均无法恢复。
4.3 诱饵柜
看山贵纸-证件文件柜提供的"伪装 PIN"（诱饵柜）功能完全在本机实现：伪装 PIN 的密钥信封仅存于设备本地 Storage，不参与任何云端字段、永不云同步。在伪装态下，敏感级（level 2）与机密级（level 3）单据对所有界面完全隐藏，仅展示普通级（level 1）内容，且伪装态禁止任何真实写操作（新增、编辑、删除、上传均被拦截）。
五、信息的共享、转让与公开披露
- 共享：我们不会向任何第三方共享您的信息，法律法规另有规定或取得您明确同意的除外。
- 转让：我们不会将您的信息转让给任何公司、组织或个人。
- 公开披露：我们不会公开披露您的信息，法律法规另有规定或取得您明确同意的除外。
- 未来共享功能的重要声明（不可撤回）：看山贵纸-证件文件柜规划的家庭共享能力（P3-7）尚在设计中。如未来上线共享功能，基于端到端加密的特性，已向共享成员下发的解密密钥将无法单方面收回——您共享出去的密文在密钥未被对方主动销毁前，理论上始终可被该成员解密。请您在上线共享功能后谨慎评估共享对象与范围。
六、您的权利：访问、更正与删除
- 访问与更正：您可在小程序内查看和修改您录入的单据元数据（分类、标题、位置、隐私级别、到期日）。
- 删除：您可随时删除任何一份单据数据。详情页"删除"操作会将单据移入回收站并保留 30 天，期间您可在回收站中随时恢复；30 天保留期届满后，系统将自动清除该单据：① 本机元数据记录与本地密文缓存（
gz-vault-cache）；② 云端docs集合中的该单据记录；③ 云存储vault/{openid_short}/{docId}/目录下的密文文件（原件分片、密文包络与加密缩略图）；④ 该单据的到期提醒规则（本机与云端）。回收站保留期届满后的清除不可恢复——请在移入回收站前确认该单据的纸质原件信息已不再需要，并注意在 30 天保留期内及时恢复仍需保留的单据。若因网络异常或云服务故障导致部分云端数据未能清除（界面会提示），您可在网络恢复后重试，或通过第九节联系方式联系我们协助处理。 - 撤回同意：您可通过删除小程序或联系开发者撤回对本政策的同意。撤回不影响撤回前基于您的同意已进行的信息处理。
七、未成年人保护
看山贵纸-证件文件柜面向一般大众用户。若您为未成年人，请在监护人陪同下阅读本政策，并在监护人同意后使用本小程序。我们不会在明知情况下收集未成年人的个人信息。
八、政策的更新
我们可能适时修订本政策。政策更新后，我们将在小程序内以显著方式（如更新版本号、弹窗提示）通知您；重大变更将重新取得您的同意。若您不同意更新后的政策，请停止使用看山贵纸-证件文件柜。
九、联系我们
如您对本政策或您的个人信息处理有任何疑问、意见或请求（包括查询、更正、删除），可通过以下方式联系我们：
- 联系邮箱：contact@guizhi-cike.com
我们将在 15 个工作日内回复您的请求。
十、争议解决与法律适用
本政策的订立、执行、解释及争议解决均适用中华人民共和国法律。因本政策产生的或与本政策有关的争议，双方应友好协商解决；协商不成的，任何一方均有权将争议提交至陕西省咸阳市杨陵区人民法院诉讼解决。