优小保CRM 隐私政策（v20260929）
【前言】
本隐私政策旨在以清晰、可读、可执行的方式向您说明"我们"如何收集、使用、存储、共享和保护您的个人信息。我们已遵循《个人信息保护法》《数据安全法》《网络安全法》《App 违法违规收集使用个人信息行为认定方法》等法律法规的强制要求。下文中"您"指本产品的注册用户（保险/财富管理从业人员）；"客户"指您在系统中录入的、需要被您服务的真实自然人。
请您在使用本服务前完整阅读本政策，并在系统提示时勾选"我已阅读并同意"。一旦您开始使用本服务，即视为您已同意本政策所述的信息处理方式。
一、信息处理者与适用范围
1.1 信息处理者与角色划分
我们与您在本系统中扮演不同的法律角色，据此承担不同的义务：
（1）关于您本人的个人信息（您的账号、手机号、登录与使用记录等）：杭州优小保科技有限公司是该类信息的个人信息处理者，依《个人信息保护法》承担处理者义务。
（2）关于您在本系统中录入的客户信息（含客户 KYC 等敏感个人信息）：您（使用本系统的顾问 / 业务人员或其所属机构）是该类信息的个人信息处理者；我们仅作为受托处理者（《个人信息保护法》第 21 条、第 73 条），依照您的指示并在本协议范围内，为您提供存储、检索、备份、传输等技术服务，不自行决定该类信息的处理目的与处理方式，不将其用于本服务以外的任何目的。因此：向客户告知处理事项、并取得客户同意（属敏感个人信息的须取得单独同意）的义务由您承担；您应确保在录入前已依法取得客户的有效授权。若因您未取得授权或超越授权范围引发的争议、投诉或行政处罚，由您自行承担，我们仅在未尽受托处理者安全保障义务的范围内承担相应责任。
（3）本政策中「我们」「处理者」的表述，仅适用于上述第（1）项；涉及第（2）项客户信息的，我们以受托处理者身份行事。
名称：杭州优小保科技有限公司
联系：详见本政策附录"客服与反馈渠道；个人信息保护负责人的联系方式可通过同一渠道获取（依《个人信息保护法》第 52 条）"
1.2 适用范围
本政策适用于优小保CRM 的 H5、移动端（若有）、小程序（若有），不适用于通过本系统跳转或接入的第三方网站、SDK、服务。例如：您录入客户城市后由我们调用 Open-Meteo 公开 API 返回天气数据 —— 该调用不向 Open-Meteo 发送您的账户身份信息，仅传递您主动选择的城市名称。
1.3 信息处理原则
我们遵循"合法、正当、必要、诚信"原则，及"明示、合理、最小必要"的个人信息处理要求。我们不收集与本服务无关的信息；不进行"静默后台上传"；不进行"用户不可关闭"的关联行为分析。
二、信息收集清单（最小必要 + 明示告知）
2.1 您主动提供的信息（注册/登录必填）
(1) 手机号：用于账户身份、登录验证、操作审计、紧急安全通知（如您不提供手机号，将无法完成注册并使用本服务）；
(2) 验证码：用于核实您对手机号的所有权，不留存；
(4) 您主动上传的支付凭证截图（用于对公转账核销，核销完成后我们会定期清理；您也可随时联系我们提前删除）。
2.2 您在使用本服务过程中主动录入的业务数据（即"客户数据"）
(1) 基础字段：客户姓名、手机号、性别、年龄段、城市、职业、来源渠道；
(2) 跟进字段：跟进时间、跟进方式（电话/微信/面访）、跟进内容、跟进结论；
(3) KYC 敏感字段【属敏感个人信息：录入前须勾选"我已获得客户同意"，我们会单独告知处理的必要性与对个人权益的影响；未取得客户单独同意不得录入】：
健康状况（既往病史、慢性病、家族遗传病）、家庭情况（婚姻 / 子女 / 赡养负担）、资产规模与构成、收入来源、保险持有与缺口、产品偏好；
(4) 客户沟通附件：客户授权您录入的通话摘要、录音转写（如启用）。
2.3 设备与技术信息（自动采集，不可关闭，必要基础信息）
(1) 设备标识：浏览器 UA、设备型号、操作系统版本、屏幕分辨率；
(2) 登录凭证：HMAC 签名会话 token保存在您本机 localStorage，并在您调用云端服务时随请求发送用于身份校验（服务端不明文存储 token 原文，登出即失效）；
(3) 操作日志：访问时间、操作类型、操作对象 ID、IP 来源段（用于安全审计）；
(4) 性能指标：接口响应耗时、错误堆栈摘要（仅在您主动开启"调试模式"或系统检测到异常时上报）。
2.4 我们不收集的信息（明示拒绝清单）
(1) 您的通讯录 / 短信 / 相册 / 定位；
(3) 您的银行账户完整信息（仅接收支付回执中的订单号 / 金额）；
(4) 您的广告画像或跨应用追踪标识（OAID / IDFA 等）。
三、信息使用目的与法律依据
3.1 使用目的（与上述收集项一一对应）
(1) 实现 CRM 核心业务：客户建档、跟进记录、KYC 录入、数据导出、提醒设置；
(2) 实现账户安全：手机号验证、Hmac token 颁发、设备异常识别、操作审计回溯；
(3) 实现统计与辅助：客户温度、工作日志、自动洞察、实战演练；
(4) 实现服务通知：服务可用性通知、安全事件通知、协议变更通知。
3.2 法律依据（依《个人信息保护法》第 13 条分项对应）
(1) 客户基础字段 + 跟进字段：履行您与客户之间的服务合同所必需（合同必要）；
(2) KYC 敏感字段：基于您的单独同意（《个人信息保护法》第 29 条）；该同意可随时撤回，撤回不影响撤回前基于同意已进行的处理；
(3) 设备 + 操作日志：履行我们的法定义务（如网络安全等级保护义务）（法定义务）；
(4) 服务通知 + 协议变更：履行我们与您之间的用户服务协议（合同必要）。
3.3 我们不会将您的信息用于以下目的
(2) 对您本人的行为画像、算法推荐与差别定价（如"杀熟")；——系统内的客户温度、自动洞察仅针对您录入的客户数据作统计分析，不构成对您本人的画像或推荐
(3) 出售、交换或以其他方式向第三方提供您的个人信息（《个保法》第 39 条禁止情形）。
四、信息存储与保护
4.1 存储位置
您的全部数据存储在腾讯云开发（CloudBase）（或未来根据业务需要增加的云服务提供商）数据库中，物理主机位于中华人民共和国境内（上海 / 广州等可用区），不进行跨境传输。
4.2 存储期限
(1) 您的账户与配置：账户存续期间持续保留；您提交注销申请后进入 30 个自然日冷静期，期间账号可正常使用且可随时撤销；冷静期届满后我们在 15 个工作日内完成删除（4.4 节法定不删数据除外），删除前留存快照用于误删或申诉恢复；备份快照按 (5) 滚动保留周期届满后清理；
(2) 您的客户基础与跟进业务数据：账户存续期间持续保留；同样适用 30 个自然日冷静期；冷静期内您仍可导出与撤销，冷静期届满并完成删除后不可恢复，请务必在此之前通过"数据导出"完成本地留档；
(3) KYC 敏感字段：在账户存续期间保留；对于已超出业务需要或长期不再维护的该类字段，我们建议您定期自查并自行删除；
(4) 操作审计日志：自产生之日起不少于 6 个月可供安全追溯与异常排查，此后按法律法规要求与安全需要继续保留；其中的手机号等个人信息脱敏展示；
(5) 备份快照：我们会根据系统运行情况定期自动备份（当前为每日执行，可能随系统运行情况调整，加密后多地留存），按滚动窗口保留、届满自动清理；备份文件本身不对外展示，但您可申请导出其中属于您的数据。
4.3 安全措施（对应《个保法》第 51 条要求）
(1) 传输：全站 HTTPS（TLS 1.2 及以上）；云函数调用 HMAC-SHA256 签名；登录 token 不明文存储；
(2) 存储：数据库最小权限与按数据归属的逐条访问控制、备份文件加密存储、数据落盘前后校验；KYC 等敏感字段遵循最小必要收集与最小范围可见；
(3) 访问：基于角色（管理员/顾问/超管）与归属（自有/团队/上级可见）逐条过滤；
(4) 审计：所有读取、修改、删除均落库到 audit_logs 集合，含操作人、操作时间、操作类型；
(5) 备份：根据系统运行情况定期自动备份（当前为每日执行）+ 增量子集校验（与上一份 _id 级比对，发现静默删除告警）；
(6) 应急：72 小时内通知用户 + 主管部门，并启动数据回滚预案。
4.4 法定不删期限（即使您要求删除，下列数据我们也须按法律法规继续保留）
(1) 支付凭证：依《会计档案管理办法》等法律法规规定的期限保存，且不低于法定最低保存年限；
(2) 涉嫌违法违规的记录：依相关部门要求保存至调查终结；
(3) 您已书面同意保留的交易型记录：保存至您另行撤回同意之日。
五、信息共享与披露
5.1 共享原则
(1) 不出售 / 不出租 / 不交换您的个人信息；
(3) 委托处理前进行个人信息保护影响评估（PIPIA），并以书面协议约束受托人。
5.2 法定披露情形（无需您再次同意）
(2) 为维护国家安全、公共安全、您的账户安全或他人合法权益；
(3) 为应对您与他人的民事纠纷，按生效法律文书提供。
5.3 第三方服务清单（依《个保法》第 21 条 / 第 52 条 / 第 59 条透明公开）
┌───────────────┬───────────────┬────────────────┬─────────────┐
│ 第三方 │ 用途 │ 涉及数据 │ 处理方式 │
├───────────────┼───────────────┼────────────────┼─────────────┤
│ 腾讯云开发 │ 数据存储与 │ 全部业务数据 │ 加密存储； │
│ (CloudBase) │ 计算托管 │ │ 最小权限 │
│ │ │ │ 访问；境内 │
├───────────────┼───────────────┼────────────────┼─────────────┤
│ 微信支付 │ 订单收款 │ 订单号 + 金额 │ 不留存支付 │
│ │ │ │ 凭证；回执 │
│ │ │ │ 仅做开通 │
├───────────────┼───────────────┼────────────────┼─────────────┤
│ 腾讯云 ASR │ 语音转文字 │ 您主动录制的 │ 转写完成后 │
│ │ │ 音频 + 转写文本 │ 即时删除原 │
│ │ │ │ 音频，仅保 │
│ │ │ │ 留文本 │
└───────────────┴───────────────┴────────────────┴─────────────┘
说明：
- Open-Meteo 公开天气 API 不在本清单，因其不接收任何用户身份信息，仅接收您主动选择的城市名称作为查询参数，不构成"个人信息处理者共享"。
- 企业微信客服（腾讯）：用于您与我们的在线沟通，沟通内容留存于企业微信会话记录，仅用于服务支持与争议处理，不用于其他目的。
- 上述任何变更将通过包括不限于官网、公众号、系统内公告或单独通知告知您；不同意时您可停止使用相关功能或申请账户注销。
5.4 邀请功能对其他用户的可见性
您在使用"邀请"功能时，您的邀请码与邀请统计信息对您邀请的新用户可见；您的手机号将以"前 3 位 + **** + 后 4 位"脱敏方式展示。我们不会将您客户的手机号展示给邀请关系中的任何一方。
六、数据安全事件应急响应
6.1 我们已制定数据安全事件应急响应预案。如发生或可能发生个人信息泄露、篡改、丢失（以下称"数据安全事件"），我们将：
(1) 发现后会采取技术措施控制影响范围，防止损失扩大；
(2) 评估事件影响程度，确定受影响的用户范围与数据类型；
(3) 依《个人信息保护法》第 57 条 / 《数据安全法》第 29 条 / 《网络安全法》第 42 条第二款要求，在 72 小时内：
a. 通知受影响的您；
b. 通知所在省级以上行业主管部门；
c. 通知国家网信部门认定的重要数据处理者报告机制（必要时）；
(4) 采取补救措施消除影响，并记录事件处理全过程；
(5) 通知您的内容将包括：事件原因、涉及信息类型、可能影响、已采取的补救措施、您可采取的自我保护建议、我们的联系渠道。
6.2 如事件涉及您录入的客户信息，我们将同时向您推送"待办"通知，以便您采取必要的客户沟通措施。
6.3 我们将在事件处理完成后进行复盘，更新《数据安全事件应急响应预案》并完善安全措施，防止类似事件再次发生。
七、您的权利清单与行使方式
7.1 您对您自身信息享有以下权利（依《个人信息保护法》第 44–50 条）：
(2) 访问权：系统"我的" → "账户信息"；或通过附录渠道申请；
(3) 更正权：账户信息 / 客户信息均支持编辑；
(4) 删除权：客户数据可直接删除（删除后进入回收站，您可彻底删除或恢复；彻底删除后不可恢复）；账户可通过"设置 → 账号注销"整体删除；
(6) 注销权：您可随时在"设置 → 账号注销"自助申请注销，不设任何前置条件；提交后进入 30 个自然日冷静期，期间账号可正常使用且可随时撤销；冷静期届满后我们在 15 个工作日内完成删除（4.4 节法定保留数据除外）；
(7) 获取数据副本：系统内"数据导出"功能可获取 Excel（.xlsx）/ CSV（.csv）/ PDF（.pdf）/ Word（.docx）/ JSON 五种格式；账户"设置"中的"导出 JSON 备份"用于本地完整快照；
(8) 解释权：系统内的客户温度、自动洞察等属对您录入数据的统计分析辅助，不会仅凭自动化结论对您作出不利决定；您可要求我们予以说明，并有权拒绝仅凭自动化决策作出的决定（《个人信息保护法》第 24 条）。
(9) 投诉与举报：如您认为我们的个人信息处理行为损害了您的合法权益，且与我们通过附录渠道协商未果，您可以向网信、电信、公安等有权监管部门投诉举报，或依法向人民法院提起诉讼。
7.2 响应时限
我们将在收到您行使权利的请求后一般不超过 15 个工作日予以核实并首次回复；如涉及复杂场景（如跨表关联、备份一致性核对）可延长至 30 个工作日，并在此之前向您说明延长理由。
八、Cookie 与本地存储（localStorage）告知
8.1 本服务使用 localStorage（浏览器本地存储），不使用跟踪型 Cookie、广告 Cookie 或第三方行为分析 Cookie。我们仅设置一个名为 crm_ph 的功能性 Cookie，用于记住您的登录手机号以便免重复输入（加密后存储，最长 180 天，登出时清除）。
8.2 我们在 localStorage 中存放的字段（含用途与保留期）：
- crm_token：会话凭证，仅您本机留存，登出后清除；
- userPhone：您的登录手机号缓存，用于免重复输入与界面兜底，清除浏览器缓存即可删除；
- theme / lang：UI 偏好；
- onBoarded：是否完成新手引导的标志位。
8.3 清除浏览器缓存可能导致您需要重新登录，但不会影响云端业务数据；云端业务数据保存遵循 4.2 节。
8.4 我们不使用 Google Analytics、百度统计、神策数据等第三方行为分析 SDK；不接入任何第三方广告或推荐 SDK。
九、未成年人保护
9.1 本服务面向养老、金融保险/财富管理、其他行业的客户管理、销售从业人员，不面向未成年人（不满 18 周岁的自然人）。
9.2 如发现未成年人使用本服务，我们将立即停止其使用并删除相关信息（依《个人信息保护法》第 31 条）；该情形属依法强制处理，不适用 7.1(6) 的 30 个自然日冷静期。
9.3 监护人如发现未成年人未经同意使用本服务，请通过附录渠道反馈，我们将尽快核实并处理，一般不超过 24 小时。
9.4 本服务不针对未成年人开展任何形式的营销；我们亦不会基于本服务主动收集未成年人信息。
十、政策的更新与通知
10.1 我们可能根据法律法规变化或业务调整更新本政策。
10.2 一般变更：自发布之日起 15 个自然日后生效（系统内公告）。
10.3 重大变更（如信息收集范围扩大、数据用途变更、第三方共享调整、定向推送开启、用户权利变更等）：我们将通过系统内消息 + 服务公告单独推送通知，您有权在生效前选择：
(2) 停止使用并申请账户注销（按《用户服务协议》第十章退还对应未履行费用）。
附录：客服与反馈渠道
A1 我们建议的反馈顺序
(1) 系统内反馈：系统"设置"中"联系客服"入口提交在线咨询（推荐，所有沟通均会记录在我们的客服会话中，您可凭企业微信会话随时回溯）；
(2) 企业微信客服（在线会话）：https://work.weixin.qq.com/kfid/kfc239d8b6c6143e5e9（微信内打开链接或扫码，直接进入客服会话，无需添加好友）；
A2 服务运营主体
名称：杭州优小保科技有限公司
住所：浙江省杭州市余杭区仓前街道工业区龙潭路8-1号1号楼2楼235室
A3 响应时限
- 常规反馈：一般不超过 15 个工作日首次回复；
- 紧急安全问题 / 数据安全事件：我们将尽快响应，一般不超过 24 小时；
- 涉及账户注销 / 数据删除等操作：实施前向您二次确认（注销需输入本人手机号后四位）；注销申请在 30 个自然日冷静期内可撤销。
A4 我们不接受的联系方式
为防止您被冒充客服诈骗，**我们不会**通过个人手机号、个人微信、个人 QQ 与您联系。任何声称能"内部退费""解除风控""快速注销"且要求您扫码、付费、转账、透露验证码的均为诈骗。所有官方沟通均通过上述 A1 (1)–(3) 渠道进行。