# Peno 隐私政策

版本：2026-10-24.3  
更新日期：2026-10-24  
生效日期：2026-10-24

## 引言与重要提示

广西南宁玄石灵栈智研科技有限公司（以下简称“我们”）尊重并保护您的个人信息。本政策适用于面向中国大陆用户提供的 Peno Android 应用及配套的账号、软件授权、支付核验和售后服务，也适用于我们运营的 Peno 产品介绍、协议及支持网页的必要访问、安全和联系处理。

注册地址：南宁市高新区振兴路90号3号生产楼B728号“商务秘书企业（广西优托商务秘书有限公司）托管”。

统一社会信用代码：91450100MAKK8A1RXH。

个人信息保护、客服及投诉联系邮箱：support@peno.ink。您可在邮件主题中注明“个人信息保护”或“儿童个人信息保护”，由我们负责相应事务的人员处理。

请在使用相应功能前阅读本政策。**您同意本政策，不代表一次性授权我们处理所有信息。以同意为依据的处理，由您在充分知情后自主选择；依法需要单独同意、监护人同意或书面同意的，我们另行取得。系统权限授权也不替代这些同意。**

**当前开放范围。**本地笔记及公开产品、协议、支持和服务状态页面可用；公众下载、手机号账号、短信验证和支付尚未开放。已满十四周岁用户可按本机选择使用已提供的WebDAV直连和附近设备功能，仍须满足其既有设备身份、资料库及配对条件。我们不会仅因您阅读或接受本政策，就登记新的服务端设备同意证明、请求验证码或发起付款。下文有关账号、短信和支付等未开放业务的内容说明其使用条件及处理规则，只有实际开放并由您主动使用后才按相应场景处理；开放前依法更新需要变化的告知、选择和地域安排。

您需要特别了解：

- **无需注册账号即可使用免费本地笔记功能。**拒绝非必要个人信息处理或可选权限，不影响不依赖这些信息的功能。
- **笔记正文默认保存在本机，账号和会员后端不保存正文。**您主动开启云同步、附近设备同步、导出分享或向客服提交附件时，相关内容会按该项操作涉及的范围传送。当前版本已关闭应用参加 Android 系统自动云备份，并配置排除系统设备迁移中的应用数据；系统及设备厂商差异、历史副本另见第五条。
- **当前 OCR、语音转写和中英翻译在本机完成。**不因使用这些本地功能向我们的账号服务器提交原始笔记、录音或待译文本，也不将其用于我们的模型训练。
- **未来实际开放购买时，支付由支付宝处理，SDK可处理支付安全所需的设备和网络信息。**当前不因安装或本地使用唤起支付，相关规则见附件三。
- **未满十四周岁儿童当前可使用本地功能，不提供儿童账号、联网同步、附近设备传送或购买。**首次只询问是否已满十四周岁；不收取儿童手机号、姓名、精确生日或监护证明来开通本地使用。未成年人保护及误收、权利请求见第七条和第八条。

## 一、本政策的适用范围与处理依据

1.1 个人信息是与已识别或者可识别自然人有关的、以电子或者其他方式记录的信息，不包括依法匿名化后的信息。去标识化、手机号掩码、公钥指纹或随机编号在仍可关联个人时，仍可能属于个人信息。

1.2 我们仅在合法、正当、必要的范围内处理信息，包括收集、存储、使用、加工、传输、提供和删除。具体场景、信息种类、目的、接收范围和拒绝后果集中列于附件一。

1.3 处理依据依具体活动确定：为订立、履行您作为一方的合同所必需，为履行法定义务所必需，或者取得您的有效同意等。法律规定无需同意的情形，不免除我们依法应履行的告知、最小必要、安全保障和权利响应义务。我们不以“改善体验”“合法利益”等笼统表述作为无限扩张处理范围的依据。

1.4 本地编辑、识别等功能可在您的设备中处理含有个人信息的内容；这不表示公司工作人员取得了这些内容。我们将区分设备内处理、向我们的服务器提交，以及直接向第三方或其他设备传送，不将其混为“后台收集”。

1.5 您主动访问的第三方支付、存储、邮件及系统备份服务，就其独立决定的处理活动适用各自规则。我们仍对由我们决定或参与的个人信息处理承担相应责任，不因引用第三方政策而免除法定义务。

## 二、我们如何处理个人信息

### 2.1 本地笔记、文件与辅助功能

您创建或导入的笔记标题、笔迹及压力等输入数据、文字、图片、文档、录音、标签、封面选择和必要编辑记录，用于在本机完成保存、整理、检索、显示和导出。应用设置与派生的索引、预览图也在本机保存。

通过系统文件选择器，Peno 读取您选中的文件，并按导入操作保存应用所需副本；导出时写入您选定的位置。该操作不表示我们取得整个相册、全部文件或文件系统的持续访问权。

麦克风录音、您授权采集的设备内部音频及相应转写在本机处理。屏幕取色通过您按次同意的系统屏幕采集处理所选画面。请注意录音、文档及画面可能包含您或他人的敏感信息；仅按所需范围选取，并取得依法必需的授权。

### 2.2 注册、登录与账号安全

本条账号流程面向已满十四周岁、完成必要告知和选择且相应服务实际开放的用户。选择“已满十四周岁”不代表成年人或实人身份已经核验；当前不为已知未满十四周岁用户提供本条联网账号流程。

当您主动注册或登录时，我们处理手机号、验证码及其验证状态、账号编号、设备公钥、签名证明、设备名称或型号、会话凭证及必要安全记录，以完成身份验证、设备绑定和账号保护。验证码由您主动请求并输入，应用不读取您的短信收件箱。

在相应服务实际开放并由您设置或使用密码登录时，我们为校验处理您提交的密码，并在服务端保存密码的不可逆校验摘要；不持久化明文密码，不向客服提供查看密码的功能。传输加密和密码摘要属于不同保护措施。

换绑手机号时处理旧、新手机号及相应用途的验证码。设备管理处理设备编号、登记时间、最近活动时间、会话和激活状态。我们使用应用生成的设备密钥完成绑定，不将设备公钥描述为匿名信息。

### 2.3 购买、授权与售后

购买 Peno Pro 时，我们处理账号编号、订单号、商品、金额、交易时间、支付渠道、支付机构交易号、支付与退款状态，以及与账号和设备绑定的授权记录，用于交付权益、避免重复发放、核账和售后。

向支付宝提交完成支付所必需的订单信息，并接收经过核验的交易结果。**支付宝直接处理支付账号、支付验证及其支付安全信息；Peno 不收集支付密码或完整银行卡号。**支付宝 SDK 的直接收集见附件三。当前普通购买流程不要求收据邮箱。

您申请发票或联系客服时，我们按具体请求处理订单信息、您主动提供的联系邮箱、问题描述，以及必要的发票抬头、税号或截图。请先遮挡无关资料；处理一般问题不要求提供整本笔记、完整支付账单、验证码或密码。确需查验特定内容时，我们会说明范围和用途，由您自行决定是否提交。

### 2.4 您主动启用的第三方存储同步

连接 WebDAV 时，服务器地址、用户名、密码或应用专用密码在本机连接存储中加密保存，用于应用直连您选定的服务。账号后端不保存这些云凭据，不转发笔记或同步请求。

启用同步后，笔记内容、附件、资料库和对象编号、修订及删除记录、同步路由和迁移所需信息传至您指定的服务。必要的账号资料库标识及设备来源名称也可能成为同步记录的一部分。连接地址和 IP 地址由相应网络服务为建立连接而处理。

**WebDAV 是连接方式，不是固定的存储运营者。实际接收方由您填写的服务地址确定。**该服务可能由您自行部署，也可能由第三方提供。选择前应核对运营者、存储地域、隐私政策和访问控制。我们不会仅因该服务支持 WebDAV 就宣称其已通过 Peno 的安全认证。

暂停同步与退出连接的后果不同：暂停同步停止继续调度并保留本机连接；退出连接清除相应本机连接凭据。两者均不自动删除第三方云端已经保存的笔记、历史和备份，也不自动撤销其他设备的连接。

### 2.5 您主动启用的附近设备同步

当您开启局域网加速及相关附近设备权限时，应用处理发现服务标识、局域网 IP 和端口、必要的账号资料库范围标识、设备身份公钥和认证凭证，以发现并验证同账号设备。通过认证后，笔记内容及同步所需记录经加密连接在设备间直接传送。

蓝牙用于附近发现、在线提示和争取系统后台执行机会，不用于通过蓝牙广播笔记正文。使用已有同账号设备身份条件时，应用核对相应本机身份、资料库及必要认证凭据；隐私功能选择不代替认证，也不要求为了新增本机同意先向账号接口上传公钥。未来需要账号服务器签发或刷新身份凭据时，仅按实际开放的账号流程处理；账号服务器不保存设备发现清单或附近传输事件作为同步控制记录。功能关闭、权限拒绝或系统限制时，相应发现和传输能力受限，不影响不依赖它的本地笔记功能。

### 2.6 网络安全与故障处理

联网请求涉及网络地址、请求时间、操作类型、必要业务标识、错误状态及身份验证结果，用于请求处理、防止攻击和短信滥用、排查故障及履行网络安全义务。代理部署可能影响服务器直接看到的来源地址。

访问产品、协议及支持网页时，托管和网络服务为完成页面传送及安全防护，处理来源网络地址、所请求页面、必要浏览器和连接信息、时间及响应状态。网页代码不部署广告、访问统计或第三方追踪脚本；普通浏览不视为接受 App 协议或开启联网账号。点击邮件入口仅由您选用的邮件工具准备发送内容，最终是否发送及附件由您决定；实际寄送后按客服和邮件处理规则办理。

我们不会借安全日志收集笔记正文、明文密码、验证码或云存储密码，也不以安全目的为由无限期留存全部行为。您主动发送的诊断材料按客服请求所必需范围处理，发送前应查看并移除无关个人信息。

### 2.7 系统能力、剪贴板与后台运行

应用启动时会在本机读取网络连接状态，以管理功能可用性和任务；读取状态本身不代表已经向远程站点发送业务请求。首次尚未作出相应选择时，不自动发起普通账号、同步或支付业务；已有记录的权利状态核对、退出和撤回另按其必要范围处理。

用户复制 PDF 文字或译文时，内容可写入系统剪贴板；在输入框主动粘贴时，系统按您的操作交付相应内容。Peno 不以提供本地笔记为由持续扫描系统剪贴板。其他应用及系统对剪贴板的访问，受操作系统规则影响。

同步启用后，系统任务、开机后的任务恢复、蓝牙状态变化及必要前台服务可继续处理待同步内容或录音。应用是否获得执行机会由系统控制；后台任务不会因此获得新的个人信息用途。权限和系统能力的详细说明见附件二。

### 2.8 目的变更与当前未开展的处理

当前服务不以广告画像、跨应用营销追踪、个性化商业推荐或对用户产生重大影响的自动化决策为功能目的，不出售您的个人信息。不会将笔记、录音、识别或翻译内容用于我们的模型训练。

如以后提供新的联网人工智能、广告或其他涉及新增处理的服务，将在提供前另行说明信息类型、目的、方式、接收方和保存安排，并依法履行重新同意、单独同意及其他必要程序。不能用本政策预先授权尚未说明的处理活动。

### 2.9 年龄选择、规则版本与联网授权记录

首次只询问是否已满十四周岁，在本机保存相应年龄段、已查看规则的版本及校验值、接受或撤回选择、功能范围和本机时间，以确定当前可用范围。当前普通同意和可选功能选择保存在本机，不为这些选择向账号接口上传设备标识或建立服务端同意记录；不询问姓名、学校、身份证或精确生日。“已满十四周岁”为年龄声明，不是成年人或实人身份核验。未满十四周岁的本地选择不作为监护人同意，不为此建立在线儿童记录。

将来手机号账号服务实际开放、已满十四周岁用户主动使用并完成相应选择时，为向您展示准确规则、保存账号相关选择及响应撤回，我们处理与账号或设备绑定的规则版本、正文与清单校验值、所选范围、接受或撤回事件、服务器时间及修订号。设备公钥及其摘要、原始签名和规范化请求用于验证选择的来源与完整性；不上传设备私钥，不在此记录中保存原始IP、笔记正文、手机号原文或身份证明。短时授权凭据只在相应流程有效期内使用，不把仅浏览协议或安装软件视为同意。当前尚未开放的在线登记不因文档生效提前收取这些信息。

账号必要处理与可选的云同步、附近传送范围分别选择；当前云和附近选择在本机执行，不要求为此新注册Peno账号或向账号接口提前登记。已有功能本身所需的设备身份、资料库和配对条件仍适用；拒绝可选范围不影响不依赖该处理的功能。**在当前设备撤回云同步或附近传送授权后，停止本机依赖该授权的后续请求和任务；撤回前已经发出的操作可能完成。**这些功能不以账号后端持续在线为运行条件，其他设备只有在实际取得可信的新状态后才能按该状态更新，不保证远程即时停止仍离线的设备。您可在各设备暂停或断开相应连接。撤回账号必要处理时，服务器撤销相应会话并拒绝后续依赖该授权的账号请求，保留本机资料。凭据或同意快照尚未到期，不作为忽略已知撤回的理由；撤回也不自动删除已由第三方保存的历史副本。

## 三、敏感个人信息与授权选择

3.1 **敏感个人信息包括不满十四周岁未成年人的个人信息，以及一旦泄露或非法使用容易导致人格尊严受到侵害或人身、财产安全受到危害的特定信息。**您的笔记、录音、截图或支付证明可能含有医疗健康、金融账户、行踪轨迹等敏感内容；并非所有录音都等同于用于身份识别的声纹信息。

3.2 我们仅在具有特定目的、充分必要性并采取严格保护措施的情况下处理敏感个人信息，依法专门告知必要性及对个人权益的影响，并取得所需的单独同意。适用法律明确规定其他处理依据的，从其规定。儿童个人信息同时按第七条保护。

3.3 本政策不是敏感信息上传的概括同意。您不愿将敏感笔记传送给第三方存储或其他设备的，可以不启用相应同步；已开启后可暂停、退出并按实际存储位置处理已存在副本。本机功能不因此被不合理限制。

3.4 您可以通过对应功能开关、系统权限设置、退出云连接或联系我们撤回以同意为基础的授权。撤回不影响撤回前合法处理的效力；对履约或履行法定义务仍必需的最小处理，我们将说明依据、范围和期限。

## 四、委托处理、向其他处理者提供及公开披露

4.1 **委托处理。**为发送您请求的验证码、承载账号服务或开展必要运维，我们可能委托附件三所列服务商按指令处理最小必要信息。我们依法约定目的、期限、处理方式、信息种类、保护措施和双方义务，监督处理活动；未经允许不得超范围处理或转委托。合作终止后按约返还或删除，依法需保留的除外。

4.2 **独立处理。**支付宝等机构对其依法独立决定的支付处理活动承担责任。向其他个人信息处理者提供您的信息时，我们依法告知其名称或姓名、联系方式、目的、方式及信息种类，并取得依法所需的单独同意。接收方改变原有目的或方式的，应依法重新取得相应同意。

4.3 用户自行配置的 WebDAV 接收方及系统备份服务并非当然受我们委托。我们会按您选用服务的实际链路说明传输，不通过“用户自行选择”规避我们依法应履行的告知、必要性审查及安全保护义务。

4.4 因合并、分立、解散、破产等原因需要转移个人信息的，我们依法告知接收方名称或姓名及联系方式，并要求其继续履行保护义务。接收方变更原处理目的、方式的，应依法重新取得同意。

4.5 我们不公开披露您的个人信息；确需披露时，将依法告知具体内容、目的和影响，并履行单独同意等必要程序。依法履行行政、司法等法定义务的，审查依据、权限和范围，仅提供依法必需的信息。

4.6 去标识化信息仍可能属于个人信息，不因去标识化免除上述义务。只有达到法律规定的不可识别、不能复原的匿名化标准的信息，才不再属于个人信息。

## 五、信息存储、期限与删除

### 5.1 存储位置

本地笔记、录音、离线模型和应用连接配置保存在您的设备。您导出的文件保存在您选定的位置，接收者按您的分享操作取得相应内容。

我们控制的账号和交易数据库部署在阿里云华南3（广州）ECS，运营加密备份存储于同一中国大陆地域的私有OSS。该位置说明针对源站数据库和运营备份，不代表所有网络接入节点、邮件或您自行选择的服务均位于同一地点。

客服邮件使用阿里云计算有限公司提供的阿里邮箱。其邮箱专用政策说明，中国境内运营中收集和产生的个人信息存储在中国境内；邮箱平台未在该政策中指定具体城市。您自行选用的寄件邮箱和实际收发链路也会参与邮件传送，可能涉及其它地域，相关境外提供按第六条及具体活动判断。

您自行配置的第三方云服务及设备系统备份，存储地点由其服务配置和规则确定，不能仅因使用中文界面推定在中国大陆。网页托管与联网入口的接收方、处理范围及区域安排见附件三。

### 5.2 保存期限与确定方式

我们仅在目的所必需的最短期限内保存信息。以下规则按信息类别分别适用，不能据其中一项延长全部数据的保存时间。

| 信息类别 | 保存期限或确定方式 | 到期、撤回或注销后的处理 |
| --- | --- | --- |
| 本机笔记、附件、录音及索引 | 由您的保存、删除、回收站、备份和恢复操作决定；同步历史和系统备份另按下文说明 | 按应用实际删除范围处理；本机删除不保证清除所有外部副本 |
| 账号手机号、密码校验摘要、有效会话及设备登记 | 提供账号、安全验证及有效授权所需期间；注销完成后，非依法应留存部分不再保存 | 清除密码及会话，解除手机号关联，删除或依法匿名化非必要信息；不能将保留的随机编号当然视为匿名化 |
| 验证码及临时验证凭证 | 验证有效期由请求页面或凭证到期时间确定；已使用或过期后不再用于验证，完成相应用途后及时清理原始内容 | 必要安全审计可保留发送结果、时间和用途，不应继续保留可用验证码或明文验证码 |
| 相关网络安全日志 | 依法属于网络运营安全监测和事件处置的相关网络日志，保存不少于六个月；达到期限且无持续安全调查或其他法定理由后删除或匿名化 | 安全事件需延长时，仅限与事件直接相关记录，并按事件处理及法定期限确定；不据此保留全部笔记或全部行为 |
| 订单、付款、退款、发票及买断权益证明 | 以交易履行、权益存续、必要售后及适用的财税、会计和其他法定记录义务确定；证明持续有效买断权益的最小记录可在权益存续期间保留 | 注销不免除法定记录义务；依法须留存的部分隔离、限权，仅作相应用途；不附带保存与交易无关的笔记、录音和完整设备日志 |
| 客服问题及必要附件 | 完成请求、争议处理所必需期间；售后争议结束后，结合适用法定保存义务、请求权保护和材料必要性逐项评估；无继续必要的附件先行删除 | 不因保留处理结论而保留全部原始截图或笔记附件；可向我们询问具体材料的适用期限及依据 |
| 未来实际开放账号后的联网同意及撤回最小证明记录 | 在相应处理关系存续期间及全部相关处理目的终止后三年，用于证明已告知的版本和授权范围、响应权利请求及依法处理争议；仅保留必要事件、版本、范围和关联。短时授权及挑战按各自有效期使用，到期一小时后分批清理 | 不将全部原始业务数据随证明记录保留，不用于营销或画像；期限届满且无其它合法保留依据时删除或匿名化。此期限不表示所有同意记录均有法定三年最低要求 |
| 个人信息保护影响评估报告及依法须保存的处理情况记录 | 对法律要求开展的评估及相应记录，依法至少保存三年 | 限必要合规、安全及权利响应用途，适用对象与普通业务资料分别判断 |
| 本机年龄、普通同意状态及儿童具体保护请求 | 当前不开放儿童账号、联网同步、附近传送或购买，本机年龄、普通同意及可选范围不为此上传；自愿保护请求仅按具体事项限定信息及期限 | 不建立儿童在线账号或监护认证档案；误收、请求材料及删除协助按第七条和第八条处理 |
| 我们控制的运营备份 | 运营数据库及恢复所需安全配置通常每小时生成一份加密备份；云端按文件最后修改时间设置14天到期清理，本地保留最近两份已验证归档。清理由系统异步执行，实际清除可能晚于到期阈值；故障排查所需的待上传副本限权保存并及时处理 | 无法立即逐项删除时仅限存储和安全保护，按轮换及到期规则清除；恢复前核对并落实已生效的删除、注销及停止处理要求，证据不足时保持业务冻结，不因恢复重新启用相关信息 |

具体保存期限不能在收集前确定的，我们将按照本表所列的目的是否完成、权益是否存续、法律规定、争议是否终结及必要性逐项确定，并向您说明适用规则。诉讼时效不当然等于必须保存全部个人信息的期限，也不以一般平台交易记录规则推定所有自营订单均适用同一法定期限。

### 5.3 删除范围的特别说明

**第三方云同步当前会保留修订历史，删除可表现为删除标记，不等于立即擦除云端全部历史对象。**暂停、退出连接或注销 Peno 账号不能代您登录第三方云端清除全部历史和备份。需要完整删除时，请先停止相关设备继续同步，再在该服务管理您授权的 Peno 资料目录、历史与备份；需要协助识别数据范围时，可联系我们。删除云端目录前应确认不会误删您仍需保留的内容。

当前版本已关闭应用参加 Android 系统自动云备份，并在应用规则中排除云备份和设备间迁移的应用数据，包括笔记、缩略图、账号及连接凭据。不同系统版本及设备厂商的执行可能有差异；我们会结合实际设备核查，不将应用配置等同于已验证所有厂商的实现，也不以此免除自身应承担的保护义务。旧版本可能曾允许备份缩略图，**缩略图可能显示笔记预览内容**；已存在的系统副本不会因本版本关闭备份而自动删除，可在相应系统服务中管理，需要协助时请联系我们。请使用主动导出并核验的独立备份，不依赖系统自动备份恢复完整笔记。

存在应删除情形时，我们主动删除；法律、行政法规规定的保存期限未届满，或者删除从技术上难以实现的，停止除存储及采取必要安全保护措施之外的处理，并限制访问，不再用于营销或其他新用途。安全删除与真实匿名化按适用技术条件完成，不以简单隐藏或注销标记冒充已删除。

## 六、个人信息跨境提供

6.1 **现有api.peno.ink公开接口使用EdgeOne全球加速区域，访问可能经过中国大陆以外节点。**为响应服务状态等公开请求，相关节点处理必要IP、连接信息、URL、时间及响应状态；返回公开内容不表示这些访问信息已经匿名化。当前不通过该链路开放手机号账号、验证码、个人设备同意登记或交易业务，不向其提交本机笔记正文。协议静态网页使用Makers中国大陆可用区，与此全球API入口分别说明。

6.2 浏览本政策或使用本地功能不构成对新增出境业务的概括授权。今后涉及我们组织的个人业务信息出境、允许境外访问或新增境外接收方时，在相关业务开放和处理发生前依法评估，明确接收方名称或姓名、联系方式、目的、方式、信息种类及权利行使途径；不能完成适用程序的，相应业务不予开放。

6.3 对依法需要取得个人信息出境单独同意的活动，我们在处理前另行取得；涉及儿童时依法落实监护人同意及必要保护；当前不开放儿童对应联网业务。按实际活动履行必要影响评估、合同及安全措施，分别判断安全评估、标准合同、认证或豁免条件，不将免于其中某项程序理解为免除其他保护义务。公开网页及接口的必要传送、安全处理限于所请求服务和法定义务所需范围，不扩展为个人账号或营销授权。

6.4 **相应服务实际开放后，您自行填写的 WebDAV 地址可能位于境外。**如果该选择涉及我们组织或实施的个人信息出境，应在履行适用的上述程序后启用；您单独输入服务器地址或点击“连接”不代替出境的专门告知与同意。不能依法完成必要程序的，我们不向该目标传送相应个人信息，您仍可使用本地功能或选择其他适用服务。

## 七、未成年人和儿童保护

7.1 未满十八周岁的用户请与监护人共同阅读本政策，在监护人的指导下使用。我们根据未成年人的年龄、理解能力和实际功能需要，以清晰易懂的方式告知。

7.2 **不满十四周岁的用户为本政策所称儿童，其个人信息按照敏感个人信息规则保护。**当前儿童可在监护人指导下使用本地笔记及适用的离线工具，不提供儿童手机号账号、联网同步、附近设备传送或购买。儿童或监护人可通过support@peno.ink提出误收、更正、删除或投诉请求，只需提供该事项必要线索，不要求先注册账号或提交整份证件。

7.3 首次年龄选择不要求姓名、身份证、学校、精确生日或监护关系证明，“已满十四周岁”不被认定为成年；更正年龄选择不作为删除本机内容或任意撤销有效本地授权的依据。

7.4 儿童的年龄选择、手机号验证或支付工具已登录，不构成监护人同意。将来如提供儿童联网能力，先落实专门告知、同意与拒绝选择、适用的监护程序及必要保护，不以预留代码、协议更新或收费替代。

7.5 发现未经必要同意收集儿童个人信息的，我们将及时停止相关处理，联系监护人核实并依法删除或采取保护措施。监护人可通过 support@peno.ink 提出请求。

## 八、您如何行使个人信息权利

8.1 **知情、查阅和复制。**您可在应用查看本地笔记、账号资料、登录设备和购买权益，使用导出或备份功能复制本地内容。需要查阅或复制由我们控制的其他个人信息、了解具体处理规则的，可通过 support@peno.ink 申请。

8.2 **更正和补充。**您可在账号中心按验证流程换绑手机号、修改密码、管理设备；其他不准确、不完整的信息可联系我们核验更正。不支持在界面直接修改的，不影响通过联系渠道提出请求。

8.3 **删除。**您可删除本地内容、处理回收站并按存储位置管理同步副本，也可就我们控制的信息申请删除。目的已实现、无法实现或不再必要，停止服务，保存期届满，有效撤回同意，或者处理违法、违约等依法应删除情形，我们主动或依请求处理；法定保留例外按第五条执行。

8.4 **撤回、限制或拒绝处理。**您可关闭相应功能或系统权限、退出云连接，或通过邮箱表达撤回。我们将说明对所用功能的实际影响，并继续提供不依赖该项处理的服务。撤回一般隐私同意不应被机械要求以注销全部账号代替。

8.5 **注销账号。**入口为“设置—账号中心—注销账号”。当前流程设七个自然日的撤销期，按服务端受理后连续七乘二十四小时计算，可在同页取消。未结支付、退款等事项须说明具体处理安排，不设置无关障碍。注销核查和处理不超过承诺及适用监管时限；需要依法继续保存的最小记录，不作为无限期阻止注销的理由。

**注销完成后原账号不可恢复；同号重新注册不恢复原身份及本机旧资料归属。注销不会自动擦除本机笔记、第三方云端和其他设备副本。**请在注销前完成资料导出和备份；账号权利终止及已购权益影响按用户协议明确说明。

8.6 **转移、解释及其他法定权利。**您可要求解释处理规则；请求将个人信息转移至指定处理者且符合国家网信部门规定条件的，我们提供转移途径。您去世后，近亲属为其合法、正当利益可以依法行使相应查阅、复制、更正、删除等权利，您生前另有安排的除外。

8.7 **受理和时限。**您可通过 support@peno.ink 提交请求，说明所涉账号或数据范围，不必提供密码、验证码等秘密。我们仅在必要范围核验身份，避免将信息交给他人。**对更正、删除、注销及投诉举报等请求，我们将在十五个工作日内完成核查和处理，并告知结果。**依法不能全部完成所请求操作的，说明具体依据、已采取措施和进一步救济方式，不以自动回复代替处理。

8.8 对合法、合理的请求原则上不收费。依法不予处理或只能部分处理时，我们将给出理由并提供申诉渠道；涉及未成年人的相应拒绝决定，依法书面告知理由。不使用“请求过多”作为一概拒绝的理由。您可以向网信、通信管理、市场监管等有权部门投诉、举报，或依法提起诉讼，无需先放弃其他权利。

## 九、安全保护与事件响应

9.1 我们根据处理风险采取与之相适应的保护措施，包括网络传输保护、凭据加密和校验、身份认证、访问权限限制、记录审计、必要备份及内部人员管理。我们持续审查处理风险并改进与之相适应的保护措施。

9.2 设备私钥由系统密钥机制保管，密码保存为校验摘要，云连接凭据在本机加密保存。**本地资料库并不因账号隔离而当然成为端到端加密或全库加密的资料库。**请同时使用设备锁屏，避免在不可信设备上登录，不将验证码和密钥交给他人。

9.3 处理敏感个人信息、向其他处理者提供信息、出境及其他依法需要评估的活动，我们事前开展个人信息保护影响评估，保存必要报告与记录；依法开展个人信息保护合规审计。未成年人个人信息处理每年开展合规审计，并依法及时将审计情况报告网信等有关部门。涉及儿童时落实专人负责、严格访问审批和受托方管理。

9.4 发生或可能发生个人信息泄露、篡改、丢失时，我们立即采取补救措施，依法向有关部门报告，并及时告知受影响个人事件所涉种类、原因、可能危害、已采取和可自行采取的措施、联系方式。采取措施能够有效避免危害、依法可不通知个人的情形按法律执行；有关部门要求通知的，仍履行通知义务。难以逐一告知时依法采用公告等合理方式。

## 十、政策更新与联系我们

10.1 我们在相应协议页面公布最新版本、更新及生效日期。处理目的、方式、种类、接收方或权利行使安排发生重大变化时，将通过显著提示等方式通知，并依法重新取得同意或单独同意；涉及儿童新增处理时依法另行向监护人告知。不会将继续使用一概视为接受所有新增处理。

10.2 您不同意某项新增处理，可以不启用依赖它的功能；我们继续提供不依赖该处理的服务。法律要求另行履行程序的，不因政策文本已更新而视为程序已经完成。

10.3 如有个人信息保护疑问、请求、投诉，或需要本政策及历史适用版本的副本，请联系：

运营者：广西南宁玄石灵栈智研科技有限公司。  
邮箱：support@peno.ink。  
注册地址：南宁市高新区振兴路90号3号生产楼B728号“商务秘书企业（广西优托商务秘书有限公司）托管”。

我们按第八条约定受理与处理。对处理结果有异议，您可以继续向我们申诉或依法寻求行政、司法救济。

## 附件一：个人信息处理清单

下表是本政策的组成部分，保存规则统一见第五条；未成年人情形同时按第七条处理。

| 场景与触发 | 信息种类 | 目的、处理方式与接收范围 | 是否必要及拒绝影响 |
| --- | --- | --- | --- |
| 本地创建、编辑、整理笔记 | 标题、笔迹输入点及压力、文字、图像、页面、标签和编辑设置 | 在设备内保存、显示、检索和导出；未启用其他传送功能时不提交账号后端 | 为相应本地功能必要；不提供则不能生成对应内容，不要求注册 |
| 主动选择文件导入、导出、分享 | 所选文件内容、名称、格式、文件选择器授予的访问标识及导出位置 | 按所选范围在本机处理，或交给您选择的接收应用、位置 | 仅为该次操作必要；拒绝不影响其他笔记 |
| 开启录音、内部音频采集及转写 | 所录音频、选定音源、转写文字、时间关联 | 本机录制、播放及离线转写；开启同步后按同步范围传送 | 录音或对应音源必要；拒绝麦克风、系统音频授权不影响普通书写 |
| OCR、手写搜索与翻译 | 选定页面或图像、待识别文字、待译文本及结果 | 本机模型推理、索引及结果展示；不为此上传内容或用于训练 | 对相应辅助功能必要；可不使用 |
| 屏幕取色 | 您授权采集的屏幕画面及选定色值 | 设备内取色；系统按次授权屏幕采集，可随时停止 | 取色必要；拒绝不影响普通颜色选择 |
| 注册、短信登录、换绑、密码设置及重置 | 手机号、验证码与用途、挑战及结果；设置密码时提交密码、保存校验摘要 | 设备与账号服务器完成验证；短信服务商及电信传输环节接收发送必需信息 | 对相应联网账号流程必要；拒绝仍可使用游客本地功能 |
| 设备与会话管理 | 账号和设备编号、公钥及指纹、签名证明、设备名称或型号、会话凭证、登记和活动时间 | 本机与账号服务器验证设备、管理会话及设备名额 | 对设备绑定账号服务必要；不将其用于广告标识 |
| 购买、退款及 Pro 授权 | 账号、订单号、商品、金额、支付与退款状态、交易号、授权及设备关联 | 账号服务器、支付宝处理交易及发权；SDK 另见附件三 | 对该笔交易和发权必要；拒绝不购买，不影响已有免费本地功能 |
| 主动连接 WebDAV | 服务器地址、用户名、密码或应用密码；笔记、附件、修订、删除及资料库标识 | 凭据在本机加密保存；内容由客户端直传您指定的服务；后端不转发正文 | 该同步服务必要；拒绝可保留本地使用 |
| 开启附近设备同步 | 发现标识、IP、端口、身份公钥及凭证、资料库范围和同步内容 | 认证后在同账号设备间经加密连接交换；蓝牙辅助发现 | 该功能必要；拒绝不影响本地笔记，云同步另依其连接条件 |
| 联网安全、网页访问和故障排查 | 来源网络地址、时间、请求类型、必要业务编号、错误与验证状态、发送及投递结果；访问网页所需的页面、浏览器与连接信息 | 必要联网节点、账号服务器及受托基础设施处理，限安全和服务保障 | 不依赖联网的本地操作无需因此上传正文；日志只限必要范围 |
| 主动申请客服、退款或发票 | 联系方式、问题描述、必要订单、截图、发票抬头及税号 | 公司和完成请求必需的受托服务按具体请求处理 | 具体事项必要；无关附件可不提交，税号仅依法必要时提供 |
| 系统备份、设备迁移 | 当前版本配置排除应用数据，包括笔记、缩略图和账号凭据；旧版本系统副本可能含缩略图预览 | 当前版本不主动通过该机制提交应用数据，厂商执行差异须结合实际设备核查；历史副本由相应系统服务管理 | 不参加系统自动备份不影响应用基本编辑；请主动导出并核验独立备份 |
| 年龄选择及普通联网授权记录 | 当前在本机保存两档年龄、规则校验、功能范围及本机选择时间；将来实际开放账号后，处理必要账号/设备关联、公钥及摘要、签名与规范化请求、规则清单、接受或撤回范围、服务器时间及修订号 | 当前年龄及普通、可选功能选择留在本机，不为此向账号接口提前登记；将来开放账号时，必要事件用于提供准确规则、证明授权及响应撤回 | 不要求儿童身份或监护证明；拒绝联网处理仍可使用本地功能，可选范围分别选择 |
| 权利请求及儿童保护求助 | 具体请求必要的联系渠道、账号或订单线索、范围、必要权限核验及处理结论 | 公司响应请求、处理误收并履行法定义务；不借此建立儿童在线账号或监护认证档案 | 不提供无关证明不影响受理；确需进一步核验时先说明原因、范围与替代方式 |

## 附件二：系统权限与能力用途清单

系统版本和设备厂商可能采用不同的权限名称。您可在系统“设置—应用—Peno—权限”或相关特殊权限页面管理；应用中不具备的权限并不因本清单而被视为已申请。

| 权限或系统能力 | 对应用途与触发 | 拒绝、关闭的影响 |
| --- | --- | --- |
| 网络访问、网络状态 | 主动使用账号、支付、WebDAV 同步、必要在线核验时建立请求；系统普通权限 | 相应联网功能受限；本地功能可用 |
| Wi-Fi 组播状态 | 开启局域网加速后发现同网受信设备 | 附近自动发现受限 |
| 附近设备、蓝牙扫描、连接及广播 | 主动开启附近设备同步，进行发现、连接及后台提示 | 附近同步或唤醒能力受限；普通笔记可用 |
| 位置权限（仅 Android 11 及以下适用场景） | 旧系统进行蓝牙发现可能要求位置授权；不用于建立地理位置画像或保存轨迹 | 旧系统对应发现能力受限；不要求新系统为此额外开定位权限 |
| 麦克风 | 主动选择麦克风或混合音源录音 | 无法录制该音源；书写和其他音源按实际条件可用 |
| 屏幕采集、设备音频捕获（MediaProjection 系统逐次授权） | 主动屏幕取色或选择可采集的内部音频 | 对应采集无法进行；不授权持续录屏，不将画面上传账号后端 |
| 悬浮窗特殊权限 | 主动使用屏幕取色等需要覆盖显示的工具 | 相关浮层能力受限；基本编辑不受影响 |
| 前台服务及其录音、屏幕采集、连接设备类型 | 您启用的录音、采集或附近传输需要按系统要求持续执行时使用，并显示系统要求的提示 | 系统限制可能中止任务；不会因此增加处理用途 |
| 开机完成接收、系统后台任务及蓝牙状态通知 | 在您已经启用同步的前提下恢复待处理任务、响应设备状态 | 自动补传或发现可能延迟，不自动开启您未启用的功能 |
| 应用任务重排能力 | 按您的导航操作切换、返回应用任务 | 不据此读取其他应用私有内容 |
| 系统文件或照片选择器、分享面板 | 您选择具体文件、图片、导出位置或接收应用时取得单次或所选范围访问 | 对应导入导出或分享无法完成；不等于授予全盘或整个相册权限 |
| 系统剪贴板 | 您主动复制或在输入框粘贴时传递相应文本 | 对应复制粘贴受限；不进行与功能无关的后台扫描 |
| 系统备份与设备迁移 | 当前版本关闭自动云备份，并配置排除设备间迁移的应用数据 | 历史缩略图副本及厂商独立功能需在系统中另行管理；不能代替独立笔记备份 |

Peno 当前业务功能不要求通讯录、读取短信、相机或全量相册读取权限。第三方 SDK 可能引入的权限及系统接口访问，应按其实际接入和附件三说明单独核对，不据此作出整个安装包绝无其他权限的保证。

## 附件三：第三方 SDK、服务与接收方清单

### A. 支付宝 App 支付

| 项目 | 说明 |
| --- | --- |
| SDK 名称及版本 | App 支付宝客户端 SDK；当前接入版本 15.8.42，包名前缀 com.alipay.sdk |
| 提供方 | 支付宝支付科技有限公司 |
| 联系方式 | 用户服务电话 95188；个人信息保护负责人邮箱 privacy-protection-officer@service.alipay.com |
| 使用目的与场景 | 当前尚未开放公众购买；实际开放并由您主动购买时才唤起支付宝完成付款；保障交易及账户安全，履行支付机构适用义务，保障网络连接稳定 |
| Peno 向其提交或接收 | 订单号、商品及金额等支付必需信息；接收交易号、支付结果及退款等必要状态 |
| SDK 直接处理范围 | 依设备、系统和接入情况，涉及可变更设备标识（Android ID、OAID 等）、基本设备信息（系统设置及属性、设备型号、品牌、操作系统）、传感器列表、屏幕密度、IP 地址、网络类型、运营商及 Wi-Fi 相关参数。各字段按功能必要性和系统可得性处理，不将其他平台专有字段列为 Peno Android 必然采集项 |
| 处理方式 | 客户端 SDK 通过系统接口及网络直接处理，支付服务端参与核验；其独立处理部分适用支付宝规则 |
| 权限说明 | 官方说明涉及设备状态和网络连接能力；实际适用权限与系统接口取决于该版本合并配置、系统授权及所用支付流程，Peno 不因本政策向 SDK 授予无关权限 |
| 政策入口 | [App 支付宝客户端 SDK 隐私说明](https://opendocs.alipay.com/open/54/01g6qm)；[支付宝支付隐私权政策](https://render.alipay.com/p/yuyan/180020010001196791/preview.html?agreementId=AG00000132) |

SDK 自身说明不代替 Peno 对当前接入的必要性审查、告知、同意和检测义务。拒绝支付所必需的处理可选择不发起付款，继续使用不依赖支付的功能。

### B. 其他服务与传输接收方

| 服务、提供方及联系方式 | 场景和目的 | 涉及信息与方式 | 服务规则及选择 |
| --- | --- | --- | --- |
| 阿里云短信服务；阿里巴巴云计算（北京）有限公司提供通信技术服务，阿里云计算有限公司提供相关咨询；通过阿里云官网客服、工单联系 | 当前未开放短信账号；相应服务实际开放、符合年龄及服务条件的用户主动请求验证码时，受托发送并核对投递 | 后端接口提交目标手机号、验证码模板参数、短信签名、模板编号和业务请求编号，取得投递状态；境内电信运营商参与送达。不在 Peno 客户端集成一键登录或读取短信 SDK | [短信服务说明](https://help.aliyun.com/zh/sms)、[通信能力技术服务协议](https://terms.alicdn.com/legal-agreement/terms/suit_bu1_alibaba_communication/suit_bu1_alibaba_communication201802011702_87839.html)、[隐私权政策](https://terms.aliyun.com/legal-agreement/terms/suit_bu1_ali_cloud/suit_bu1_ali_cloud202107091605_49213.html)。当前不为儿童发送账号验证码；不用联网账号可不触发发送 |
| 账号后端及运营备份基础设施：阿里云ECS、OSS；阿里云计算有限公司；通过阿里云官网客服、工单或400-801-3260联系 | 受托提供账号、交易、安全及必要备份所需云基础设施 | 服务端及运维接口按职责处理最小必要的账号、订单、日志及加密备份数据；不因承载账号系统取得本地笔记正文，不在Peno客户端集成OSS SDK | ECS及自建PostgreSQL数据库位于华南3／广州，运营备份存储于同一中国大陆地域的私有OSS；[云服务器服务协议](https://terms.aliyun.com/legal-agreement/terms/suit_bu1_ali_cloud/suit_bu1_ali_cloud201802111644_54047.html)、[存储服务协议](https://terms.aliyun.com/legal-agreement/terms/suit_bu1_ali_cloud/suit_bu1_ali_cloud201802111644_32057.html)、[隐私权政策](https://terms.aliyun.com/legal-agreement/terms/suit_bu1_ali_cloud/suit_bu1_ali_cloud202107091605_49213.html) |
| 客服邮件及必要运维通知：阿里邮箱；阿里云计算有限公司；官网工单、95187，个人信息保护专职部门fankui@alibaba-inc.com（注明阿里邮箱） | 接收和回复您主动提交的支持、权利及售后请求；投递不含无关客户材料的必要运维提醒 | 通过企业邮箱及受保护连接处理寄收件邮箱、必要邮件正文和附件、收发时间、投递及安全记录；不在Peno客户端集成阿里邮箱SDK或因此读取您的通讯录 | [阿里邮箱专用隐私政策](https://terms.aliyun.com/legal-agreement/terms/suit_bu1_ali_cloud/suit_bu1_ali_cloud202001092018_32009.html)、[企业邮箱服务条款](https://terms.alicdn.com/legal-agreement/terms/b_end_product_protocol/20231121171207894/20231121171207894.html)。其专用政策说明境内运营中收集和产生的个人信息存储在中国境内；未指定具体城市，可能出境活动按第六条及实际邮件链路判断。您可不提交无关附件 |
| 公开协议网页托管：EdgeOne Makers／Pages；腾讯云计算（北京）有限责任公司；[在线客服](https://cloud.tencent.com/online-service)，个人信息联系Dataprivacy@tencent.com | 提供公开协议原文、版本及下载，完成页面传送与必要安全防护 | 网页内容、来源IP、所请求URL、必要浏览器及连接信息、时间和响应状态；平台按服务需要形成必要日志及衍生运行数据，不通过本站设置广告或第三方访问追踪 | 本协议站采用Makers中国大陆可用区，不将其区域扩张为所有API均在境内；[腾讯云服务协议及用户业务数据条款](https://cloud.tencent.com/document/product/301/1967)、[联系及隐私说明](https://cloud.tencent.com/document/product/301/11470)。普通浏览不视为接受App规则 |
| 公开API的加速及网络安全：EdgeOne；腾讯云计算（北京）有限责任公司；上述在线客服及个人信息联系 | 当前用于公开服务状态等接口响应和必要网络安全；手机号账号、短信、设备同意登记及支付未开放 | 全球节点可处理来源IP、连接及请求头、所请求URL、时间、响应和安全记录；全站不缓存不等于节点不处理网络信息。不因本机笔记模式或数据库在广州而承诺全链路境内 | 当前为全球加速区域，可能经过境外节点；[服务协议](https://cloud.tencent.com/document/product/301/1967)。不以本政策提前开放个人业务；新增个人业务处理及出境安排按第六条完成适用程序后另行告知 |
| 您自行选择的 WebDAV 服务运营者；联系方式及政策以您选择的服务为准 | 您主动连接后同步笔记及附件 | 客户端直接连接，提交您输入的认证信息并传输所选资料库的内容及同步记录；不经 Peno 后端 | 请按所填服务器地址识别实际运营者及地域；随时可暂停或退出，已存副本需在服务端管理 |
| 您同账号的已认证附近设备 | 您主动开启局域网加速后直接同步 | 交换发现和身份认证所需记录，认证后经加密连接传送资料库内容；蓝牙只用于辅助发现及提示 | 可关闭相应功能及系统权限；不视为向局域网所有设备公开内容 |
| 操作系统或设备厂商的备份、迁移服务 | 当前版本已关闭应用自动云备份并配置排除迁移数据；涉及旧版本历史副本及厂商执行差异 | 旧版本可能已由系统服务保存缩略图预览；当前配置不主动提交笔记、缩略图或账号凭据，具体厂商执行须核查 | 联系渠道、存储位置和政策按实际设备及所选系统服务确定；历史副本可在系统设置管理，需要协助时联系我们 |
| 您主动选择的分享、邮件或导出接收方 | 您明确分享文件、导出到外部位置或向客服发送材料 | 仅传送您选择的内容；接收应用可能独立处理相应文件 | 发送前检查接收者与内容；Peno 不将全部第三方应用均预设为已获授权的接收方 |

本版本普通客户入口未开放微信支付、Waffo、OneDrive、华为云、百度网盘、小米云或自营云存储；不因历史测试或预留代码将其列为当前普通用户必然接收方。未来开放前将重新核对并更新清单，履行必要程序。