新悟元-智财伙伴隐私政策
版本：v1.2.2
生效日期：2026年8月27日
更新日期：2026年8月27日
新悟元-智财伙伴（以下简称"本产品"或"本软件"）是由新悟元（深圳）科技有限公司（以下简称"我们"或"运营方"）开发并运营的 AI 财税助手桌面软件（Mac/Windows 客户端），主要面向代账公司、企业会计等企业用户提供智能记账、批量开票、税局代办等财税服务。
我们深知个人信息对您的重要性，并会尽全力保护您的个人信息安全可靠。我们致力于维持您对我们的信任，恪守以下原则保护您的个人信息：权责一致原则、目的明确原则、选择同意原则、最小必要原则、确保安全原则、主体参与原则、公开透明原则。
本产品以“数据在本机”为默认存储原则：账套、凭证、发票、AI 对话记录、聊天附件、税局登录身份与税局会话凭证等业务数据默认存储于您的电脑本机。 当您主动使用 AI、IM、托管备份或企业管理员启用安全协同专网等联网功能时，完成该功能所必需的数据会按照本政策和《第三方信息共享清单》发送至相应服务端或服务商处理；我们的云端还会处理登录验证码、授权许可、软件更新分发、假名化使用统计与 AI 用量、协议同意记录、安全协同专网设备与网络安全元数据，以及您主动开启后的加密托管备份。安全协同专网传输的凭证等业务正文不上传至我们的控制面。
在使用本产品前，请您仔细阅读并理解本隐私政策的全部内容，特别是以加粗方式标识的条款。当您勾选同意本政策并开始使用本产品，即表示您已充分理解并同意本政策的全部内容。
一、定义
为本政策之目的：
- 个人信息：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
- 敏感个人信息：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。本产品涉及的敏感个人信息主要是税局登录身份（手机号或18位居民身份证号码）及税局会话凭证。
- 个人信息控制者：在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。
- 受托处理：受托方按照与个人信息控制者的约定处理个人信息的活动，受托方不得超出约定的处理目的、处理方式处理个人信息。
- 企业用户：注册并使用本产品的代账公司、企业等组织客户，以及经企业用户管理员授权使用本产品的员工账号。
- 企业控制数据：企业用户在使用本产品过程中上传、录入或生成的、与其客户（如委托代账的企业）及该企业相关自然人（如客户联系人、员工）有关的个人信息与业务数据。对于企业控制数据，企业用户是个人信息控制者，我们仅为受托处理方。
- 本机数据：存储于您运行本产品的计算机本地的数据，包括本机数据库与本机文件。
- 匿名化：个人信息经过处理无法识别特定自然人且不能复原的过程。
- 安全协同专网：由企业管理员启用、用于同一企业用户已授权桌面设备之间提交审核和回传审核结论的应用专网。该功能不提供通用 VPN、互联网出口、子网路由或任意端口转发。
二、适用范围
- 本政策适用于您通过新悟元-智财伙伴 Mac/Windows 桌面客户端使用我们产品与服务的全部场景。
- 本政策不适用于：
- 由企业管理员主动开启 BYOK（自带密钥）模式时，您与第三方大模型服务商（DeepSeek、月之暗面、智谱 AI）之间直接发生的数据处理活动，该等活动适用对应服务商的隐私政策；
- 您通过本产品跳转或使用的第三方服务（如钉钉、飞书、企业微信、微信平台），该等第三方服务由其运营者独立负责并适用其隐私政策；
- 企业用户作为个人信息控制者对其客户、员工个人信息的处理活动（由企业用户自行承担控制者责任，详见第五章）。
- 本产品面向企业用户（B端），不向未成年人提供注册或 AI 服务，详见第十章。
三、我们如何收集和使用个人信息
我们遵循合法、正当、必要和诚信原则，仅收集实现产品功能所必需的个人信息。按照"基本功能必需"与"附加功能可选"分类说明如下。
（一）基本功能必需的信息
1. 注册与登录
- 当您注册账号时，我们收集您的手机号码或电子邮箱地址，用于账号创建、登录验证与账号安全。验证码由我们的云端服务生成，并经短信通道商或邮件通道商发送至您的手机或邮箱。仅以电子邮箱注册的账号在首次使用生成式 AI 服务前，还需绑定并短信验证手机号，以落实 AI 服务真实身份信息认证。
- 您可以选填昵称、姓名、头像，用于在产品内展示。
- 本产品以验证码登录为主要登录方式；您设置的密码不会以明文形式存储于本机（操作密码经 bcrypt 哈希处理）。
- 当您创建租户（企业/组织）时，我们收集企业名称、统一社会信用代码、是否为代理机构，用于租户创建与授权许可管理。
2. 日志与审计
- 为保障账号与系统安全、满足法律法规要求，我们会记录登录、注销及关键操作的审计日志，内容包括经脱敏处理的标识符、IP 地址、User-Agent（设备与浏览器/客户端标识信息）。
- 依据《网络安全法》等法律法规要求，相关网络日志留存时间不少于六个月。
（二）财税代办功能涉及的敏感个人信息（单独同意）
3. 税局登录身份（敏感个人信息，单独同意）
- 当您使用税局代办功能（如自动登录电子税务局、批量开票提交等）时，需要您提供税局登录身份，即手机号码或18位居民身份证号码。该信息属于敏感个人信息。
- 我们将在您录入该信息时，通过单独弹窗的方式就该等敏感个人信息的处理另行征得您的单独同意；您拒绝提供的，仅无法使用税局代办功能，不影响您使用本产品的其他功能。
- 税局登录身份仅存储于您本机数据库的指定列中，不会上传至我们的云端服务器。 我们对该等信息采取加密、访问控制等严格保护措施。
4. 税局会话凭证
- 为实现代办功能，本产品会在您本机保存税局网站的会话凭证（如 accessToken、sessionCookie 等），该等凭证经 AES-GCM 加密后仅存储于您本机，用于在有效期内代您维持税局登录状态。
- 税局登录保活功能默认按您的设置运行，您可以在设置中随时关闭保活；关闭后相关刷新行为即停止。
（三）附加功能（可选）涉及的信息
5. IM（即时通讯）绑定与消息
- 当您选择将本产品与钉钉、飞书、企业微信或微信绑定时，我们收集相关平台返回的用户 openId/unionId 及手机号，用于身份绑定与消息路由。
- 经您绑定后，外部联系人首次向您发起私聊时，可能被自动注册为本系统用户，以便为您提供消息转发与 AI 应答服务。
- IM 消息内容会进入 AI 处理流程，以便 AI 助手理解并回复您的财税问题。请您勿通过 IM 发送与本服务无关的敏感个人信息。
- 您可以随时在设置中解除 IM 绑定，解除后相关消息路由即停止。
6. AI 对话
- 您与 AI 助手的对话内容及您主动上传的附件，会作为请求内容发送给大模型以生成回复。发送内容仅限您主动输入的对话和主动上传的附件。
- 发送前，产品会识别手机号、身份证号、银行卡号、税号及附件等敏感数据风险，并向您提供取消发送、脱敏后发送或确认原文发送的选择；包含附件时不会声称已经自动修改原文件。
- 桌面客户端会在您的设备上使用轻量规则检查输入和流式输出。命中高风险输入时停止发送；命中高风险输出时停止展示后续内容，并将本次回复替换为安全提醒。本地仅保存风险类别、策略版本、处置结果、异步生成的内容哈希及违规计数，不保存命中正文；这些本地安全记录和计数不会上传至运营方云端。投诉处理中附带回复正文的，以您单独同意为前提并先进行自动脱敏。
- AI 对话模式详见本政策第四章第（三）节"AI 数据流说明"。
- 聊天临时附件自上传之日起120天自动删除；您亦可在对话中主动管理相关附件。
7. 使用统计与 AI 用量（假名化处理）
- 为改进产品体验、进行容量规划与计费管理，我们会收集页面浏览、点击、登录等产品使用事件，以及 AI 对话的 token 用量、请求时长、请求状态。
- 使用事件的标识符经 HMAC 假名化处理后，以约每10分钟一次的频率批量上报至我们的服务器；AI 用量上报不包含任何对话内容。
- 本产品不集成任何崩溃上报 SDK，不集成任何第三方分析 SDK。
8. 托管备份（完全可选）
- 您可以选择将本机业务数据加密后备份至我们的服务器。托管备份功能默认关闭，仅在您主动勾选同意后启用。
- 备份包在您本机加密后上传，备份密码由您自行持有，我们无法解密您的备份内容。请您妥善保管备份密码；密码丢失的，我们无法为您恢复备份数据。
- 您可以随时停止托管备份，并可通过本政策第十三章的联系方式申请删除云端已存备份。
9. 设备与软件更新
- 为向您提供软件自动更新服务，更新检查时我们会向我们的分发服务器发送操作系统平台（Mac/Windows）及软件版本号，以匹配适用的安装包。除此之外，更新过程不收集其他个人信息。
10. 安全协同专网（由企业管理员启用）
- 为完成设备注册、同租户设备发现、访问控制、在线状态展示、故障诊断与设备吊销，我们会在境内控制面处理：设备名称与主机名、操作系统与架构、产品及专网组件版本、随机设备/安装实例标识、专网节点标识与专网 IP、在线状态与最近在线时间、直连或境内中继路径状态，以及注册、心跳、改名、吊销和鉴权失败等安全审计元数据。服务器还可能按安全日志规则记录连接来源 IP。
- 设备的 WireGuard 私钥和加密专网状态仅保存在您的设备本机；一次性入网密钥只在注册阶段短时加密暂存，入网后删除；云端设备令牌仅保存不可逆哈希。
- 您主动向团队设备提交的凭证快照和审核结论，仅发送给您选择的同一企业用户已授权设备，不上传 Portal 或 Headscale 控制面。设备可直连时以 WireGuard 端到端加密传输；直连失败时由我们在中国境内自建的 DERP 中继转发端到端密文，中继服务不能读取业务正文。
- 安全协同专网只允许固定的产品协同端口和接口，不接管系统网络。企业管理员可在“设置 → 安全协同专网”中查看、改名或吊销本企业设备；设备被吊销后将不能继续加入专网或收发新的协同消息。
（四）征得同意的例外
依据法律法规，在以下情形中我们收集、使用您的个人信息无需征得您的同意：为订立、履行您作为一方当事人的合同所必需；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；在合理范围内处理您自行公开或其他已经合法公开的个人信息；法律、行政法规规定的其他情形。
四、个人信息的委托处理、共享、转让、公开披露
（一）委托处理
我们可能会委托第三方服务商处理部分个人信息，包括：短信/邮件通道商（发送登录验证码，处理您的手机号或邮箱地址）、云服务提供商（承载我们的云端服务）。我们仅会出于合法、正当、必要、特定的目的委托其处理，并通过合同约定其保护义务，要求其不得超范围处理，并对其处理活动进行监督。
（二）共享
我们不会与任何公司、组织和个人共享您的个人信息，但以下情形除外：
- 在获取您单独同意后共享；
- 与我们的受托服务商共享为实现服务所必需的最少信息（见上节）；
- 依据法律法规、诉讼、政府主管部门强制性要求。
具体的第三方信息共享情况，请参阅与本政策配套的**《第三方信息共享清单》**。
（三）AI 数据流说明
本产品提供两种 AI 对话模式：
- 内置模式：您的对话请求经我们的 LLM 网关转发至产品内展示的 DeepSeek、月之暗面或智谱 AI 模型服务。网关仅承担请求路由和用量计量，不对输入或输出进行语义检查、记录或持久化；内容仅在完成转发所必需的瞬时内存中处理。高风险内容检查及其事件记录在您的桌面客户端本地完成，不上传运营方云端。
- BYOK（自带密钥）模式：由企业管理员主动开启，仅支持 DeepSeek（api.deepseek.com）、月之暗面（api.moonshot.cn）、智谱 AI（open.bigmodel.cn）官方接口及产品目录内已核验备案模型，不支持自定义 OpenAI-compatible 地址。智谱 AI 仅开放
GLM-5.3 与 GLM-5.3-Flash；后者可处理文本和用户主动上传的图片等多模态内容。您自行配置 API 密钥后，对话请求由您的设备直连对应服务商，不经过我们的网关，相关数据处理适用对应服务商的隐私政策。
发送给大模型的内容包括您的对话内容及您主动上传的附件。我们建议您勿在对话中输入与财税服务无关的敏感个人信息。
（四）转让
我们不会将您的个人信息转让给任何公司、组织和个人，但因合并、分立、解散、被宣告破产等原因需要转移个人信息的，我们将向您告知接收方的名称和联系方式，并要求接收方继续履行本政策项下的保护义务；接收方变更处理目的、方式的，将重新征得您的同意。
（五）公开披露
我们不会公开披露您的个人信息；依法确需披露的，我们将在采取符合法律法规要求的安全保护措施的前提下进行。
（六）共享、转让、公开披露的法定例外
依据法律法规，在第三章第（四）节所列情形以及国家机关依法调取等法定情形下，我们共享、转让、公开披露个人信息无需事先征得您的授权同意。
五、企业控制数据的特别约定（双层架构）
- 角色划分：本产品的典型使用场景为代账公司、企业等组织为其客户或员工提供财税服务。在此场景下：
- 企业用户（组织及其管理员）就其上传、录入的客户与员工个人信息（企业控制数据），是个人信息控制者；
- 我们仅按照企业用户管理员的指令，作为受托方处理企业控制数据，不会将企业控制数据用于本产品服务之外的任何目的。
- 企业用户的义务：企业用户作为个人信息控制者，应当确保已就其向本产品录入相关自然人（客户联系人、员工等）个人信息的行为，依法向相关自然人履行告知义务并取得其同意（或具备其他合法性基础），并负责响应相关自然人的个人信息权利请求。
- 对管理员/员工个人的角色：对于企业用户的管理员及员工个人在使用本产品过程中产生的注册信息、登录行为等个人信息，我们是个人信息控制者，依据本政策处理。
- 数据位置：企业控制数据作为业务数据的一部分，全部存储于企业用户设备本机；除非企业用户主动启用托管备份，我们不会接触或存储企业控制数据的内容。
- 服务终止：双方合作终止或企业用户注销后，我们将按照约定及法律法规要求处理企业控制数据（删除或返还），法律法规另有要求的除外。
六、您的个人信息权利
依据《个人信息保护法》等法律法规，您对自己的个人信息享有以下权利。我们为您提供了以下真实可用的行使路径：
（一）查询与更正
您可以在本产品的**「设置」页面**查询、更正您的账号信息（昵称、姓名、头像、手机号/邮箱等）及租户信息。
（二）删除
在以下情形中，您可以向我们提出删除个人信息的请求：处理目的已实现、无法实现或不再必要；我们停止提供产品或服务，或保存期限已届满；您撤回同意；我们违反法律法规或约定处理个人信息；法律法规规定的其他情形。删除路径见第（四）节注销流程，或通过第十三章联系方式向我们提出。法律法规要求留存的信息（如审计日志、税务合规要求留存的信息），我们将在留存期限届满后删除或匿名化。
（三）撤回同意
您可以通过以下方式随时撤回相应授权，不影响撤回前基于同意已开展的处理活动的效力：
- 解除 IM 绑定：设置中关闭对应平台的绑定；
- 停止税局代办功能：停止使用相关功能，并可删除本机存储的税局身份与凭证；
- 关闭税局登录保活：设置中关闭保活开关；
- 停止托管备份：设置中关闭备份并申请删除云端备份。
- 停止安全协同专网：企业管理员可在“设置 → 安全协同专网”中吊销相应设备；普通成员可停止使用协同功能或联系企业管理员处理。
（四）注销账号
您可以通过本产品内的注销入口或联系本政策第十三章所列邮箱申请注销账号。账号注销设有60天冷静期：冷静期内您可以撤销注销申请；冷静期届满且您未撤销的，账号正式注销，我们将依法对您的个人信息进行删除或匿名化处理；基于税务合规等法律法规要求必须留存的信息除外，该等信息将在法定留存期限届满后删除或匿名化。
（五）获取个人信息副本（导出）
企业用户管理员可通过本产品的加密备份导出功能获取业务数据副本；您也可以通过第十三章所列联系方式向我们申请获取您的个人信息副本，我们将在验证您的身份后予以提供。
（六）响应时限
为保障安全，我们可能需要先验证您的身份。我们将在验证身份后15个工作日内响应您的请求。对无端重复、需要过多技术手段、给他人合法权益带来风险或非常不切实际的请求，我们可能予以拒绝，并向您说明理由。
七、Cookie 和同类技术
- 本产品仅使用会话保持所必需的 Cookie（HttpOnly JWT 会话 Cookie，有效期7天），用于维持您的登录状态。该类 Cookie 无法被第三方脚本读取。
- 我们不使用任何第三方追踪 Cookie，不通过 Cookie 进行广告追踪或跨站行为分析。
- 您清除 Cookie 后需要重新登录，但不影响本产品的其他功能。
八、个人信息安全保护措施
我们采取符合业界标准的安全防护措施保护您的个人信息，防止其遭到未经授权的访问、披露、使用、篡改、损坏或丢失，具体包括：
- 传输加密：客户端与服务器之间的通信采用 HTTPS 加密传输；安全协同专网的设备间业务通信另采用 WireGuard 端到端加密，境内 DERP 仅转发密文；
- 存储加密：税局会话凭证等敏感信息采用 AES-GCM 加密存储于本机；托管备份包在您本机加密后上传，密码由您自持；
- 密码保护：操作密码采用 bcrypt 哈希存储，不保存明文；
- 访问控制：遵循最小权限原则实施内部访问控制，仅授权人员可在必要范围内访问相关个人信息；
- 审计日志：对登录与关键操作留存审计日志，以便追溯安全事件；
- 安全事件处置：如发生个人信息安全事件，我们将按照法律法规要求，及时告知您事件的基本情况、可能的影响、我们已采取或将采取的处置措施、您可自主防范和降低风险的建议等；难以逐一告知时，我们将采取合理、有效的方式发布公告，并按要求上报监管部门。
需要提示的是，互联网环境并非百分之百安全，我们将尽力确保您提供的信息的安全性，也请您妥善保管账号、验证码与备份密码。
九、存储地点与存储期限
（一）存储地点
- 本机存储：您的业务数据（账套、凭证、发票、AI 对话记录、聊天附件、税局登录身份与税局会话凭证）全部存储于您自己的计算机本机，不上传至我们的云端。
- 云端存储：我们在云端仅处理并存储：登录验证码（短期）、授权许可信息、软件更新分发记录、假名化使用统计与 AI 用量数据、协议同意记录（您同意各协议版本的时间与版本号，用于合规存证）、安全协同专网的设备与网络安全元数据，以及（经您同意的）加密托管备份。安全协同专网传输的财税业务正文不在控制面或中继服务持久化。云端数据存储于中华人民共和国境内。
- 出境：您的个人信息不会出境，我们不会向境外提供您的个人信息。
（二）存储期限
我们仅在实现处理目的所必要的最短期限内保存您的个人信息，法律法规另有规定的除外，主要包括：
- 网络与审计日志：依据《网络安全法》等要求留存不少于六个月；
- 聊天临时附件：自上传之日起120天自动删除；
- 过期验证码请求与会话归属记录：到期后由系统自动清理；
- 安全协同专网设备元数据：在设备有效期间保存；设备吊销后，仅在账号安全、审计追溯和履行法定义务所必需的期限内保留吊销状态及最小审计记录，期限届满后删除或匿名化；
- 托管备份：保存至您删除备份、关闭功能或注销账号为止；
- 注销后：账号注销后依法删除或匿名化，法律法规要求留存的信息在法定留存期限届满后删除或匿名化。
（三）服务终止
如我们决定停止运营本产品，我们将至少提前30日以公告、站内通知或其他合理方式通知您，并在停止运营后对您的个人信息进行删除或匿名化处理。
十、未成年人特别约定
本产品面向企业用户（代账公司、企业会计等组织及其员工）提供财税专业服务，不面向16周岁以下的未成年人，也不会主动收集不满16周岁未成年人的个人信息。如果我们发现在未事先获得可证实的监护人同意的情况下收集了未成年人的个人信息，将设法尽快删除相关信息。若您是未成年人的监护人并发现此类情况，请通过第十三章联系方式与我们联系。
十一、隐私政策的更新
- 我们可能适时修订本政策。未经您明确同意，我们不会削减您依据本政策所享有的权利。
- 本政策更新后，我们将在产品内发布更新版本并更新文首的"更新日期"。
- 发生重大变更时，我们将以弹窗等显著方式通知您，并在适用法律法规要求时重新征得您的同意。 重大变更包括但不限于：
- 我们的服务模式发生重大变化，如处理个人信息的目的、类型、方式发生重大改变；
- 个人信息控制者发生变化，如公司股权结构、并购重组等引起的所有者变更；
- 个人信息共享、转让或公开披露的主要对象发生变化；
- 您参与个人信息处理方面的权利及其行使方式发生重大变化；
- 我们负责个人信息安全的责任部门、联络方式及投诉渠道发生变化；
- 个人信息安全影响评估表明存在高风险。
十二、投诉与举报
如果您认为我们的个人信息处理行为损害了您的合法权益，可以通过本政策第十三章所列联系方式向我们投诉或举报。我们将在15个工作日内给予答复。
如果您对我们的答复不满意，您还可以向网信、电信、公安及市场监督管理等监管部门进行投诉或举报，或依据适用法律向有管辖权的人民法院提起诉讼。
十三、联系方式
本产品及本政策的运营主体为：
您对本政策或个人信息保护有任何疑问、意见、建议，或需要行使本政策项下的任何权利，均可通过以上方式与我们联系。一般情况下，我们将在15个工作日内回复。
附录一：信息收集明细表
| 业务功能 | 收集的信息 | 目的与场景 | 存储位置（本机/云端） |
|---|
| 账号注册与登录 | 手机号码或电子邮箱地址 | 账号创建、验证码登录、账号安全 | 云端（运营方账号服务）+ 本机 |
| 账号资料（可选） | 昵称、姓名、头像 | 产品内身份展示 | 本机 |
| 租户创建 | 企业名称、统一社会信用代码、是否为代理机构 | 租户创建与授权许可管理 | 本机（授权许可信息同步云端） |
| 登录验证 | 短信/邮件验证码（经短信/邮件通道商发送） | 验证登录身份 | 云端（短期） |
| 操作密码 | 操作密码（bcrypt 哈希，不存明文） | 敏感操作二次校验 | 本机（哈希值） |
| 日志与审计 | 登录/注销/关键操作审计日志（含脱敏标识符、IP 地址、User-Agent） | 账号与系统安全、满足法定留存要求（不少于六个月） | 本机 |
| 税局代办（敏感个人信息，单独弹窗同意） | 税局登录身份：手机号或18位身份证号 | 代登录电子税务局、代办办税事项 | 仅本机（数据库指定列，不上传云端） |
| 税局代办会话 | 税局会话凭证（accessToken、sessionCookie 等，AES-GCM 加密） | 在有效期内维持税局登录状态 | 仅本机（加密） |
| 税局登录保活 | 税局会话刷新行为（可随时在设置中关闭） | 保持税局会话有效，减少重复登录 | 仅本机 |
| IM 绑定（钉钉/飞书/企业微信/微信） | 平台用户 openId/unionId、手机号 | 身份绑定与消息路由 | 本机 |
| IM 消息 | IM 消息内容（外部联系人首次私聊可能被自动注册为系统用户） | 消息转发与 AI 应答 | 本机（对话记录）+ AI 处理链路 |
| AI 对话 | 用户输入的对话内容、主动上传的附件 | 生成 AI 回复（内置模式经 LLM 网关转发至产品内展示的 DeepSeek/月之暗面/智谱 AI 模型；BYOK 模式由设备直连；桌面端在本地执行高风险内容检查） | 本机保存对话记录和不含正文的本地安全记录；主动发送的内容经网关及大模型处理，网关不进行语义检查或持久化正文 |
| AI 用量统计 | token 用量、请求时长、请求状态（不含对话内容） | 容量规划与用量管理 | 云端 |
| 使用统计 | 页面浏览、点击、登录等事件（标识符经 HMAC 假名化，约每10分钟批量上报；无崩溃上报 SDK、无第三方分析 SDK） | 产品改进与体验优化 | 云端 |
| 协议同意记录 | 用户标识、同意的协议类型与版本、同意时间 | 协议合规存证（证明您已阅读并同意相应协议版本） | 云端 + 本机 |
| 聊天附件 | 用户上传的附件文件（临时附件120天自动删除） | 对话上下文与凭证留存 | 本机 |
| 托管备份（可选，主动勾选同意） | 加密备份包（备份密码用户自持，运营方无法解密） | 数据容灾与迁移 | 云端（加密包）+ 本机 |
| 软件自动更新 | 操作系统平台（Mac/Windows）、软件版本号 | 匹配并分发适用的更新包 | 云端 |
| 安全协同专网（管理员启用） | 设备名称/主机名、系统与架构、产品及组件版本、随机设备与实例标识、专网节点标识与专网 IP、在线时间、连接路径状态、来源 IP 及设备安全审计事件 | 同租户设备注册与发现、访问控制、在线状态、故障诊断、吊销和安全审计；业务正文仅在获授权设备间端到端加密传输 | 设备密钥和业务正文仅本机/设备间；设备与网络安全元数据存储于境内云端 |
| 授权许可 | 租户授权状态与版本信息 | 许可校验与功能开通 | 云端 |
| 业务数据（账套、凭证、发票） | 企业用户录入的财税业务数据（企业控制数据） | 记账、开票、报税等核心财税功能 | 仅本机（启用托管备份时另有云端加密副本） |
如您对本政策有任何疑问，欢迎随时通过第十三章所列方式与我们联系。