隐私政策

本政策适用于由 Himhuu 提供的“无纸化试题” iOS / iPadOS App、规范官网页面与相关支持服务。

无纸化试题使用 Apple 登录，并为 App Review 提供由 Himhuu 预置的账号密码登录；Cloudflare 服务用于账号、私人班级、PDF 收发、截止时间、作答同步与人工批注返回。原 PDF、作答层和批注层会上传至私有 Cloudflare R2；关系和状态存入 Cloudflare D1。App 不包含广告或第三方分析追踪 SDK。

Himhuu 不使用上述数据投放广告、建立广告画像、跨 App 追踪，也不向用户提供公开题库或教学内容。

为实现身份识别、私人班级、PDF 收发、作答恢复、提交截止和人工批注返回，会处理以下信息：

• 作答编辑会先在设备 App 容器中保存本地工作副本、图层归档、未完成同步状态与截止时快照，用于离线继续和异常恢复。
• 使用 Apple 登录时，App 会处理 Apple 提供的稳定用户标识和你可选共享的显示名，用于创建、显示和识别账号。App 不请求 Apple 邮箱权限，Himhuu 不获取 Apple ID 密码。
• 账号密码入口只接受由 Himhuu 预置的 App Review 审核账号，不开放公众注册。审核账号名由 Himhuu 生成；密码经 TLS 发送到 api.himhuu.com 后仅用于即时校验，明文不落库、不写日志。D1 只保存每个审核账号的独立随机盐、PBKDF2 派生结果和迭代数，额外 pepper 保存为 Worker Secret。
• 账号标识、可选显示名、班级名称与说明、成员关系、邀请状态、Assignment 标题与说明、截止时间与规则、提交状态、上传时间、得分和文字反馈会存入 Cloudflare D1。
• 批改用户上传的原 PDF、测试用户的手写与文字作答层、批改用户的批注层及为截止提交保留的不可变版本会存入私有 Cloudflare R2。原 PDF 只保存一份，每位测试用户的内容与批注分层存储。
• 登录会话原始令牌保存在设备 Keychain；服务端保存令牌的不可逆哈希。班级邀请链接的原始邀请码只在生成时返回，D1 只保存邀请码哈希。

班级空间默认私有，不提供公开搜索、课程广场、题库或公开分享页。

• 测试用户只能查看自己的提交、作答层和已返回批注；这里的“测试用户”指接收 PDF、完成作答并提交的班级成员，不是 Beta 测试人员；
• 批改用户只能查看和批注自己管理班级内的提交；
• Himhuu 的授权运维人员只在安全、故障处理、备份恢复或依法履行义务所必需的最小范围内处理数据。

对资源的权限校验在服务端完成，不仅依赖客户端页面隐藏。

• AuthenticationServices 用于 Apple 登录；Himhuu Cloudflare Worker 会使用 Apple 公钥验证身份令牌、受众和一次性随机数，不保存 Apple 密码。预置审核账号的密码校验使用 Workers Web Crypto、独立盐、PBKDF2-HMAC-SHA256 与 Worker Secret HMAC pepper。
• 相机权限仅在你主动扫描班级二维码时使用。二维码画面不录制、不上传，也不会由 Himhuu 保存。
• Cloudflare Workers 通过 api.himhuu.com 处理身份、权限与同步请求；D1 存储关系和状态，私有 R2 存储 PDF 与图层对象。R2 对象不通过公开目录或公共搜索暴露，访问由 Worker 根据账号和班级关系校验。
• R2 存储桶使用 Asia-Pacific 位置提示以优化访问；该提示不是数据驻留保证。D1、R2、Workers 与必要运行日志可能由 Cloudflare 全球基础设施处理，因此中国大陆用户的数据可能在境外处理或存储。
• Cloudflare 还可能为网络安全、可用性和故障调查处理 IP 地址、请求时间、响应状态与必要技术日志。App 不使用这些信息做广告定向或跨 App 追踪。

无纸化试题当前使用 Cloudflare Workers、D1 和 R2，不使用中国大陆云服务器或大陆 CDN 源站。因此，中国大陆用户的账号标识、私人 PDF、作答层、批注层和关系状态可能在境外传输、处理或存储。

R2 存储桶使用 Asia-Pacific 位置提示；按 Cloudflare 公开说明，位置提示用于性能优化，不构成数据驻留保证。如基础设施或法律要求变化，Himhuu 会更新本政策。

登录会话默认最长有效 14 天，班级邀请默认 7 天有效，批改用户重新生成邀请后旧邀请立即停用。已发布任务的原 PDF、作答层、截止快照、批注层、分数、反馈和关联任务记录保留至最晚提交时间后 14 天；未发布草稿及其 PDF 自最后更新后保留 14 天。到期后任务立即停止云端访问，D1 关联记录会删除，相关 R2 对象进入后台删除队列；如遇短时故障会持续重试。用户主动删除账号、班级或任务时不等待 14 天，立即进入删除流程。账号和仍在使用的班级关系不会仅因经过 14 天被删除。设备上的本地工作副本可通过 App 内管理或卸载 App 清除。必要安全日志和支持邮件仅在排障、防止滥用或履行法定义务所需的合理期限内保留。

• 可在 App 内更新可选显示名、退出登录、删除自己创建的 Assignment 或班级；
• 可在“我的”中发起删除账号，或通过隐私邮箱请求查询、更正或删除相关数据；
• 可拒绝相机权限并改用粘贴邀请链接；
• 可停止使用云端服务，但账号、班级收发和同步是核心功能，关闭网络会限制这些功能。

为防止删除他人数据，我们可能要求先验证当前账号。隐私请求可发送至 [email protected]。

Himhuu 官网不设置用户账号、广告或分析 Cookie。Cloudflare 可能为安全、网络和静态托管处理必要访问日志。

你主动发送邮件时，我们会收到邮箱地址、正文和你选择的附件，仅用于处理问题。请勿发送密码、验证码、令牌、未脱敏 PDF 或未脱敏截图。

本 App 不专门面向不满 14 周岁的儿童。不满 14 周岁的用户应在监护人同意和指导下使用；班级批改用户不应上传与 PDF 收发无关的儿童个人信息。监护人认为我们不当处理了儿童信息时，可通过隐私邮箱请求处理。

功能、权限、第三方服务或法律要求变化时，我们会更新本政策及页首日期。隐私问题请联系 [email protected]；产品支持请联系 [email protected]。