《何扰》隐私政策（国际版）
最近更新：2026 年 8 月 15 日
本政策适用于通过 Google Play 分发的何扰（HeRao Reader，以下简称“何扰”或“本应用”）国际版。数据控制者及应用运营者为何扰软件工作室（HeRao Software Studio，以下简称“我们”）。当前计划提供下载的地区为香港、台湾和美国，主要面向使用中文阅读的用户。
要点摘要：何扰是一款以本地处理为核心的电子书阅读器，不提供广告或内置书城。账户、云端阅读档案、WebDAV、云端语音、购买验证和诊断提交均属于联网功能。您可以不注册账户并选择离线使用。
书籍内容例外：我们不会把您的书籍文件、书名或正文上传到开发者服务器；但当您主动选择系统或云端语音服务时，待朗读的文本片段会直接交给相应语音引擎或您配置的服务端处理。使用自定义云端音色时，您选择的参考音频及对应文本也会发送到该服务端。
一、我们处理哪些信息
1. 本地阅读与本地文件
您导入或打开的 TXT、EPUB、字体及其他文件，以及书架、阅读位置、目录、搜索记录、书签、笔记、阅读偏好、本地语音模型和本地音色资料，主要保存在您的设备或您指定的存储位置，并在本地处理。何扰不主动把这些数据上传到开发者服务器。
根据您的 Android 系统和 Google 账户备份设置，未被应用备份规则排除的应用数据库和文件可能由 Android 系统备份或迁移；该处理由操作系统及账户提供商控制。应用已把专用账户会话与授权偏好文件、WebDAV 口令文件、云端语音密钥文件及崩溃诊断包列入备份排除规则，但其他未排除的本地数据仍可能进入系统备份。您可以在 Android 或 Google 账户设置中管理系统备份。
2. 可选账户与账户安全
当您注册、登录或管理账户时，我们会处理：用户名、昵称、密码的加盐哈希值、密保问题、密保答案的哈希值、会话令牌、经哈希截短的 Android 设备标识、设备名称和型号、注册及登录/同步时间、设备绑定和账户状态。服务器还会接收网络请求通常附带的 IP 地址；注册、安装/试用校验及诊断提交场景会记录 IP 地址。
我们不要求您提供真实姓名、电话号码或电子邮箱。账户不是本地阅读的必要条件。
3. 安装、试用、授权和服务请求
为防止重复领取试用、校验档位码/授权、提供远程目录规则及维护服务安全，本应用可能向开发者服务器发送：经哈希截短的设备标识、系统版本、应用版本、分发版本、规则包版本/哈希、首次联网时间及请求 IP 地址。此类请求不包含书籍正文、书名或文件路径。
4. 云端“阅读档案”（可选账户功能）
当前国际版上传的是轻量汇总数据，包括累计阅读时长、累计阅读字数、连续阅读天数、最后阅读日期、累计消化字数、读完书籍数量及接触书籍数量，并附带设备标识用于设备授权校验。当前上传快照不包含书籍文件、书名、书籍标识、正文、章节内容、书签、笔记、逐书进度或阅读足迹区间。
5. Google Play 购买与订阅
当您购买或恢复 Pro 权益时，Google Play 处理付款账户和支付方式。本应用会从 Google Play Billing 获取并向开发者服务器发送产品 ID、购买令牌、购买类型以及设备标识，用于向 Google 验证购买、确认交易、防止令牌重复使用并同步权益。服务器可能保存 Google 订单标识、购买/到期时间、交易状态及与账户关联的权益信息。我们不会取得您的完整银行卡号。
6. 崩溃诊断（由您决定是否提交）
应用异常退出后，会在本机生成一个精简诊断包并提示您选择“提交”或“忽略”。只有您点击提交后，诊断包才会上传；提交失败且您已经表达提交意图时，应用可能在 Wi-Fi 下自动重试。
国际版诊断包可包含：崩溃类型和堆栈帧（不含异常消息原文）、设备型号/制造商/系统版本/CPU 架构、应用版本和分发版本、章节/页码等阅读状态数字摘要、近期工程事件类型和时间、解析模式摘要。上传服务器同时记录接收时间、IP 地址、包名、版本、文件大小及校验值。诊断包不包含书籍正文、原始书名、原始文件名、文件路径、账户密码或原生崩溃原始转储。
7. 云端语音、系统语音和自定义音色（由您主动启用）
- 系统 TTS：待朗读文本会交给您设备上选定的 Android 语音引擎。该引擎可能本地处理，也可能按其自身政策联网处理。
- 云端 TTS：当您选择通义/DashScope、腾讯云、火山引擎、阿里云 NLS、Microsoft Azure 或自定义 AngeVoice 服务时，应用会把待朗读文本片段、音色/模型/语速等合成参数及所需认证凭据直接发送给该服务。音频结果返回设备并可能按您的设置缓存在本地。开发者服务器不转发或保存这些正文片段及用户提供的云服务密钥。
- 自定义云端音色：当您明确执行创建操作时，应用会把您录制或导入的参考音频、参考文本、音色名称和音色 ID 上传至您配置的 AngeVoice 服务；其保存和删除规则由该服务的运营者决定。
- Sherpa/ZipVoice 本地语音：模型推理、麦克风录制的参考音频、参考文本及本地音色资料在设备本地处理。下载模型时，模型托管方会接收常规网络信息（例如 IP 地址和请求时间），但不会收到您的书籍正文。
云端语音 API Key、Secret、Token 和服务地址保存在应用私有存储中，并优先使用 Android 加密存储；个别设备无法使用系统加密存储时，部分凭据可能回退到应用私有存储。AngeVoice 密钥在加密存储不可用时不会保存。
8. WebDAV 与 Wi-Fi 传书（由您主动启用）
WebDAV 的服务器地址、用户名、目录及口令保存在设备上；口令优先使用 Android 加密存储。您选择导入、备份或迁移时，书籍、阅读档案或迁移包会由设备直接传输到您指定的 WebDAV 服务，开发者服务器不经手。公网 WebDAV 要求 HTTPS；HTTP 仅允许局域网私有地址。
Wi-Fi 传书会在您启动功能后，在同一局域网内临时开启 HTTP 文件服务。浏览器会向设备发送所选文件及文件名；数据不经过开发者服务器。请仅在可信局域网中使用并在完成后关闭。
二、我们为何处理这些信息
- 应您的请求提供本地阅读、账户登录、数据同步、语音、备份、购买和客户支持功能；
- 验证试用及付费权益，防止欺诈、滥用和购买令牌重复使用；
- 在您选择提交诊断时定位故障，维护应用稳定性与安全；
- 履行适用的会计、交易、消费者保护和法律义务。
在适用法律要求下，我们根据履行服务合同、您的同意、我们的正当安全与运维利益或法定义务处理信息。可选功能的相关处理在您启用、配置或提交该功能时发生；您可以不使用这些功能。
三、权限说明
- 文件访问：通过 Android 系统文件选择器读取您明确选择的书籍、字体、模型、备份或音频文件，并写入您选择的目录。
- 麦克风：仅在您主动录制本地或自定义音色的参考音频时请求。拒绝不会影响普通阅读。
- 网络及 Wi-Fi 状态：用于联网功能、WebDAV、模型下载和局域网传书。
- 通知、前台服务和唤醒：用于听书播放、传输/同步进度、悬浮或通知栏控制及息屏连续播放。
四、信息共享与第三方
我们不出售个人信息，不提供广告，也不为跨应用行为广告目的共享个人信息。在功能需要时，信息可能由以下接收方处理：
- 开发者服务器及其托管/网络服务商：账户、授权、阅读档案、购买验证和您提交的诊断。核心服务器当前部署在中国大陆。
- Google Play / Google：应用分发、更新、Billing、订阅管理和购买验证；验单请求在部分网络情况下可能经部署于中国香港的验证中继后访问 Google。
- 您选择的语音服务：Microsoft Azure、阿里云及 DashScope、腾讯云、火山引擎、设备系统 TTS 提供商，或您配置的 AngeVoice 服务。
- 您选择的存储和模型托管服务：WebDAV 服务商、GitHub、ModelScope 或应用显示的模型下载源。
- 依法披露：仅在法律程序、安全保护或权利维护确有必要时披露。
第三方直接处理的数据受其自身条款和隐私政策约束。请特别确认您选择的云端语音、系统 TTS、WebDAV 和自托管服务是否适合处理您书籍中的内容。
五、跨境传输与安全
如果您位于中国大陆以外，账户、购买验证、诊断或其他开发者联网服务会产生跨境传输。Google、云端语音、WebDAV 和模型托管服务也可能在您所在国家/地区以外处理数据，具体地点取决于您选择的服务区域和服务商。
为便于您判断跨境处理，主要传输安排如下：
- 开发者在线服务——中国大陆：接收方为何扰软件工作室及其服务器托管/网络服务商。您注册、登录、同步阅读档案、校验试用或权益、验证购买或提交诊断时，相关账户与安全信息、哈希设备标识、IP 地址、汇总阅读数据、购买验证数据或诊断数据通过 HTTPS 发送；目的和保存期限分别见第二节和第六节。
- Google Play 购买验证——香港及 Google 处理地区：购买或恢复权益时，产品 ID、购买令牌、购买类型和设备标识可能先经香港验证中继，再发送给 Google 验单；订单和权益记录按第六节保存。
- 由您选择的外部服务——所选服务地区：启用系统/云端语音、WebDAV、模型下载或自定义 AngeVoice 时，第一节所列数据由设备直接发送给您选择或配置的提供商。接收方、国家/地区及保存期限取决于您在应用中选择的提供商、节点和该提供商政策；您可以不启用这些功能。
国际版对公网开发者服务及内置云服务使用 HTTPS；WebDAV 公网连接和国际版 AngeVoice 地址也要求 HTTPS。局域网 Wi-Fi 传书使用本地 HTTP。我们采取访问控制、哈希凭据、应用私有/加密存储、最小化诊断字段及备份排除等措施，但任何存储或网络传输都无法保证绝对安全。
六、保存期限与删除
- 本地数据：通常保存到您在应用内删除、清除应用数据或卸载应用。您自行保存到外部目录、WebDAV 或系统备份中的副本需在相应位置另行删除。
- 账户和阅读档案：通常在账户存续期间保存。账户注销校验成功后，当前服务器逻辑会删除账户主记录、账户设备绑定及关联的云端阅读档案。
- 安装/试用、防滥用和交易记录：设备首次联网/试用记录、购买验证及订单状态可能独立于账户保存，以完成权益核对、防欺诈、争议处理及法律义务；在实现相关目的所需期间保存。
- 诊断：未提交的本机诊断包最多保留 7 天，或在您选择忽略时立即删除；已上传诊断及其 IP/元数据仅在分析故障和保障安全所需期间保存，并可由运维删除。
- 第三方数据：Google、语音服务、WebDAV、系统备份和模型托管方按照其自身政策保存；应用内账户注销不会自动删除这些副本。
您可以在应用内依次进入“设置 → 账号与安全 → 注销当前账户”，或查看账户注销说明。注销何扰账户不会自动取消 Google Play 订阅，请同时在 Google Play 订阅中心管理订阅。
七、您的选择与权利
首次启动时，您可以同意本政策以启用联网功能，也可以选择离线使用。您可以随时停止使用云端语音、WebDAV、Wi-Fi 传书或账户同步，撤销麦克风权限，清除相应配置和本地数据。
您可以在应用内查看或修改昵称、密码及密保信息，并可注销账户。若您希望访问、更正、删除或取得我们持有的其他个人信息，或反对/限制处理、撤回同意，请通过下方邮箱联系我们。我们可能需要核实账户或请求身份。撤回同意不影响撤回前处理的合法性。
八、目标地区补充说明
- 美国：我们不出售或“共享”（用于跨情境行为广告）个人信息，也不进行第三方广告跟踪。由于本应用不进行此类跟踪，浏览器“Do Not Track”或 Global Privacy Control 信号不会改变本应用的处理方式。若美国州隐私法适用于我们，您可通过第七节方式提出访问、更正、删除、取得副本或退出适用处理的请求；我们不会因您行使权利而歧视您。
- 香港：提供账户、设备标识、诊断或其他联网数据属于自愿；不提供的结果仅是对应联网功能不可用，不影响离线阅读。收集目的、数据类别、可能接收方及访问/更正方式分别见第一、二、四和七节。
- 台湾：我们的名称、收集目的、个人资料类别、利用期间、地区、对象和方式及不提供资料的影响均载于本政策。您可依第七节请求查询或阅览、制作副本、补充或更正、停止收集/处理/利用及删除，但法律或履行服务所需的例外除外。
九、未成年人
何扰面向普通阅读用户，并非专门面向 13 岁以下儿童。13 岁以下用户不得自行创建账户或使用会向外部服务传输数据的功能；如适用法律要求更高年龄，应遵守当地标准。监护人如认为儿童向我们提供了个人信息，请联系我们删除。
十、政策变更
功能、数据处理方式或法律要求发生变化时，我们会更新本政策和顶部日期。若变更对您的权利有重大影响，我们会通过应用内提示或其他适当方式通知，并在必要时重新取得同意。