生效日期及最后更新时间：2026 年 8 月 24 日
应用版本： 2.0.0+
应用包 ID： com.donetrue.app
官方规范网址： https://umbrabyte.app/zh/donetrue/privacy/ 及 https://umbrabyte.app/zh/privacy/
本隐私政策适用于由 Umbrabyte Apps（由独资经营者 Cristian Donet Segura 运营）开发并发布的 Android 移动应用程序 DoneTrue：施工现场相机与现场证据（包名为 com.donetrue.app）。本政策是对 Umbrabyte 隐私政策的补充，并作为应用内及其 Google Play 商店页面所链接的官方、具有约束力的隐私政策。
通俗易懂的摘要： DoneTrue 是一款以相机为核心的离线施工现场工作空间，专为承包商、技术工人、装修人员及测量人员打造。所有施工现场照片记录、照片水印所用的 GPS 坐标、语音听写笔记、客户记录、报价单、支出、工作订单、待办清单以及 TrueProof 密码学签名，均严格在您的设备上通过 SQLite Room 和私有应用沙盒存储进行本地处理和存储。Umbrabyte 不运营任何可以拦截您工作或客户数据的远程后端服务器，无需用户账户，不含任何广告，不含任何跟踪 SDK，也绝不出售或出租个人数据。只有在您明确选择分享文件或导出备份、您自行启用用户配置的云端/CRM 集成、Google Play 处理可选订阅，或您联系直接支持渠道时，数据才会离开您的设备。
本通俗易懂的摘要不能替代下文规定的全面法律与技术条款。
1. 适用范围与核心要点
DoneTrue 使贸易专业人员能够记录施工现场进度、通过 Ghost Cam 对齐功能捕捉前后对比证据、通过设备端密码学水印（TrueProof SHA-256 / ECDSA P-256）验证原始图像的完整性，并生成专业的 PDF 报告、报价单和发票，而无需依赖云基础设施。
- 无需用户账户或登录： 应用程序不需要创建账户、设置密码、提供电话号码或注册凭证。
- 100% 设备端/离线优先处理： 图像处理、元数据嵌入、照片水印添加、成本计算、PDF 生成及语音转录均在您的设备硬件上本地运行。
- 无 Umbrabyte 云服务器： Umbrabyte 不拥有、不运营也不维护用于托管、检查或备份您照片或客户数据库的云服务器。
- 承包商在 GDPR 下作为数据控制者： 当您在 DoneTrue 中存储客户联系信息（姓名、电话号码、施工现场地址）时，您即成为您客户信息的数据控制者。DoneTrue 仅作为您的本地离线工具。
- 零广告或营销跟踪器： 应用程序不含任何广告网络、跟踪 SDK 或第三方分析库（不包含 Firebase Analytics、Mixpanel 或 AppsFlyer）。应用清单文件明确避免使用广告标识符。
- 不出售数据： Umbrabyte 在任何情况下均绝不出售、出租、租赁或交易用户数据或客户信息。
- 平台集成： 可选的 PRO 订阅通过官方 Google Play Billing API 处理。应用内更新检查使用官方 Google Play Core API。
2. 数据控制者
对于 Umbrabyte 直接收到的任何个人数据（例如与客户支持之间的电子邮件通信），开发者及数据控制者为：
- 全名： Cristian Donet Segura
- 工作室名称： Umbrabyte Apps
- 营业地址： Calle Pintor Camarón, nº 24, 12560 Benicasim, Castellón, Spain
- 税号（NIF）： 20468489F
- D-U-N-S® 注册编号： 374071851
- 隐私与支持联系方式： support@umbrabyte.app
- 官方网站： https://umbrabyte.app
Google LLC 就通过 Google Play 商店和 Google Play Billing 处理的交易而言，依据其自身隐私政策，属于独立的数据控制者。
3. 应用处理的数据
3.1 严格存储和处理于设备上的信息
所有记录均存储在您设备上的私有应用沙盒存储和 SQLite Room 数据库中：
| 数据类别 | 信息元素 | 存储位置与保留 |
|---|---|---|
| 施工现场照片与证据 | 拍摄的照片、前后对比的 Ghost Cam 帧、高分辨率原始图像、标注绘图 | 设备上私有本地应用存储（LocalFileService） |
| 位置坐标 | 嵌入照片元数据水印及用于就近匹配的近似及精确 GPS 坐标 | 嵌入设备上照片 EXIF / SQLite 数据库 |
| 语音听写笔记 | 用户对照片进行口述转录的文本笔记 | 私有本地 SQLite Room 数据库（VoiceNotesDao）；不存储音频录音 |
| 客户记录 | 承包商输入的客户姓名、联系电话、电子邮件及施工地址 | 私有本地 SQLite Room 数据库（ClientsDao） |
| 财务与项目记录 | 报价单、发票、支出、工时记录日志、工作订单、目录项目及客户签名 | 私有本地 SQLite Room 数据库（ProjectsDao、EstimatesDao） |
| TrueProof 密码学数据 | 在 Android KeyStore 中生成的 SHA-256 图像哈希及 ECDSA P-256 数字签名 | 嵌入照片元数据及本地数据库 |
| 购买状态与 PRO 权益 | 缓存的本地 PRO 订阅权益状态 | 设备上私有本地偏好设置（DataStore） |
加密备份（.dtbackup） |
使用用户密码通过 AES-256-GCM 加密的完整数据库及媒体存档 | 存储在用户选定的本地文件目录中 |
3.2 Android 权限与设备访问
Android 权限仅在您启动需要该权限的功能时，伴随情境化说明透明地进行请求：
| 权限 / 能力 | 用途与技术功能 | 必要性与处理方式 |
|---|---|---|
android.permission.CAMERA |
拍摄施工现场照片、前后对比证据及光学对齐 | 相机取景器所必需；照片存储在私有应用沙盒中 |
android.permission.ACCESS_FINE_LOCATION 及 ACCESS_COARSE_LOCATION |
将 GPS 坐标及位置元数据嵌入照片水印，并推荐附近的活跃施工现场 | 可选；仅在应用处于前台/使用中时请求，超时时间为 6 秒。绝不在后台访问 |
android.permission.RECORD_AUDIO |
通过 Android 系统 SpeechRecognizer 直接将口述工作笔记转录为文本 | 可选；仅在按住麦克风按钮时处于活动状态。音频绝不会被录制或保存到磁盘/服务器 |
android.permission.POST_NOTIFICATIONS |
在 Android 13+ 上显示计划工作提醒和工作订单任务的本地提醒 | 可选；100% 在设备本地生成 |
android.permission.RECEIVE_BOOT_COMPLETED |
在设备重启后重新安排待处理的提醒闹钟 | 严格用于本地闹钟恢复 |
android.permission.INTERNET |
将 GPS 坐标反向地理编码为可读街道地址、用户配置的云端备份及 Play Billing | 用于在线地理编码、用户启用的网络钩子及计费 |
com.android.vending.BILLING |
连接 Google Play Billing API 以进行可选的 PRO 订阅 | 订阅或恢复 PRO 时使用 |
应用程序不会请求或使用后台位置（ACCESS_BACKGROUND_LOCATION）、广泛存储访问权限（WRITE_EXTERNAL_STORAGE）、精确闹钟权限（SCHEDULE_EXACT_ALARM）、软件包扫描（QUERY_ALL_PACKAGES）、联系人列表、短信或广告标识符。
3.3 用户配置的集成与导出
- 云备份： 可选备份到用户自己的云存储（Google Drive、Dropbox、OneDrive、WebDAV）默认处于禁用状态。当您启用该功能后，数据会直接从您的设备传输到您的云服务提供商。
- CRM 网络钩子： 向您的 CRM 或自定义 API 发送的可选网络钩子默认处于禁用状态。配置后，负载数据将使用 HMAC-SHA256 签名，严格通过 HTTPS 传输，并拒绝本地私有 IP 范围。
- PDF 与文件分享： 导出已签名的 PDF 报价单、工作订单或图片包，通过标准 Android 系统接口（
Intent和FileProvider）进行。收件人由您选择。
3.4 Umbrabyte 不会收到的数据
在标准使用 DoneTrue 的过程中，Umbrabyte 不会在服务器上接收、拦截或存储：
- 照片、前后对比或施工现场证据。
- GPS 坐标或项目地址。
- 客户姓名、电话号码或电子邮件地址。
- 报价单、发票、时薪或财务总额。
- 音频录音或语音转录内容。
- 用于备份文件的加密密码。
4. 外部服务与货币化条款
4.1 通过 Google Play Billing 进行分发与订阅
DoneTrue 具备核心功能可免费安装。可选的 DoneTrue PRO 订阅通过官方 Google Play Billing 处理：
- 计费条款： 支付、税费收取、货币转换及收据完全由 Google Play 独家处理。Umbrabyte 绝不接收或存储信用卡号码或财务凭证。
- 订阅管理与取消： 除非在计费周期结束前至少 24 小时取消，否则订阅将自动续订。您可随时在 Google Play 商店 > 付款方式与订阅中管理或取消您的订阅。
- 退款： 受 Google Play 退款政策约束。
- 离线访问保证： 即使没有有效订阅，核心功能在离线状态下仍可正常使用。
4.2 通过 Google Play Core 进行应用内更新
DoneTrue 集成官方 Google Play Core API，用于验证 Google Play 上是否有可用的更新版本，并提供无缝更新体验。
4.3 第三方 SDK 与遥测政策
DoneTrue 包含零第三方分析或广告 SDK。网络通信严格限于通过系统服务进行的反向地理编码、用户配置的网络钩子，以及通过 TLS 1.3 / HTTPS 进行的 Google Play 商店平台服务。
5. 处理目的与法律依据
根据欧盟通用数据保护条例（GDPR）和英国 GDPR，处理活动依据以下法律基础：
| 活动 / 功能 | 目的 | GDPR 下的法律依据 |
|---|---|---|
| 施工现场记录与计算 | 提供所请求的应用工作空间及工具功能 | 履行合同（GDPR 第 6.1(b) 条） |
| 相机与 GPS 位置访问 | 实时照片拍摄及元数据水印添加 | 通过运行时权限获得的用户明确同意（GDPR 第 6.1(a) 条） |
| 照片语音听写 | 实时语音转录为文本笔记 | 通过运行时权限获得的用户明确同意（GDPR 第 6.1(a) 条） |
| PRO 订阅与计费 | 处理订阅、验证权益及法定会计要求 | 履行合同（第 6.1(b) 条）及法律合规（GDPR 第 6.1(c) 条） |
| 应用内更新与安全 | 保持应用安全、稳定并处于最新状态 | 合法利益（GDPR 第 6.1(f) 条） |
| 客户支持 | 回应技术咨询或隐私权利请求 | 合同/缔约前步骤（第 6.1(b) 条）及合法利益（第 6.1(f) 条） |
6. 数据保留、删除与管理
| 数据类型 | 保留期限 | 删除与管理方式 |
|---|---|---|
| 本地照片、项目、客户记录及笔记 | 保留至用户手动删除或应用被卸载 | 在应用内删除、在 Android 设置中清除应用数据，或卸载应用 |
加密备份文件（.dtbackup） |
由用户在本地存储中控制 | 在文件管理器中手动删除文件 |
| 本地 PRO 购买状态 | 应用安装期间；可通过 Google Play 恢复 | 与 Google Play 账户自动同步 |
| Play 控制台中的交易记录 | 法定税务及会计保留期限（5 至 10 年） | 由 Google 和 Umbrabyte 出于法律合规目的维护 |
| 支持往来邮件 | 最长 3 年，用于解决技术及法律咨询 | 定期删除收件箱内容 |
数据删除： DoneTrue 不在开发者服务器上维护用户账户。若要永久清除所有数据，请在设置 > 应用 > DoneTrue > 存储 > 清除数据中清除，或卸载该应用。请注意，某些司法管辖区的税法可能要求承包商保留工作发票和已签署的工作订单 5 至 10 年。
7. 数据安全
- 操作系统沙盒隔离： 所有本地数据库和媒体文件都隔离在 Android 的私有 UID 沙盒内。
- TrueProof 密码学签名： 照片可以使用 Android 硬件 KeyStore 中生成的 ECDSA P-256 密钥进行数字化密封。
- 备份加密： 导出的
.dtbackup存档支持使用用户自定义密码进行 AES-256-GCM 加密，该密码绝不会被存储或传输。 - 生物识别应用锁： 通过 Android BiometricPrompt 提供的可选生物识别锁（指纹/面部），用于保护共享设备上的访问权限。
- 加密传输： 用于 Play Billing、地理编码及网络钩子的网络通信严格要求使用 TLS 1.3 / HTTPS。严格执行
usesCleartextTraffic="false"。
8. 您在全球范围内的权利
您在全球各司法管辖区享有全面的隐私权利：
- 欧盟与欧洲经济区（GDPR / RGPD 及西班牙 LOPDGDD）： 访问权（第 15 条）、更正权（第 16 条）、删除权（第 17 条）、限制处理权（第 18 条）、数据可携权（第 20 条）、反对权（第 21 条），以及撤回同意的权利。您还有权向**西班牙数据保护局（AEPD）**投诉，网址为 https://www.aepd.es。
- 英国（UK GDPR 及 2018 年数据保护法）： 可通过信息专员办公室（ICO）行使完整的消费者权利。
- 美国及加利福尼亚州（CCPA / CPRA / CalOPPA 及美国各州法律）： 知情权、访问权、删除权及更正个人信息的权利。Umbrabyte不会出售或共享用户个人数据用于跨情境行为广告。我们尊重全球隐私控制（GPC）信号。
- 巴西（LGPD）： 依据第 18 条享有确认、访问、更正、匿名化及删除的权利，可通过 ANPD 行使。
- 加拿大（PIPEDA）： 通过 OPC 享有公平信息处理及访问权利。
- 澳大利亚（1988 年隐私法及澳大利亚隐私原则）： 通过 OAIC 遵循尊重、透明的数据处理原则。
- 日本（APPI）及韩国（PIPA）： 完全遵守当地隐私法规要求。
如需行使任何隐私权利，请通过 support@umbrabyte.app 直接与我们联系。
9. 儿童隐私
DoneTrue 是一款专为技术工人和承包商设计的专业工具。它不面向 16 岁以下（或当地法定年龄以下）的儿童。我们不会在明知情况下收集儿童的数据。
10. 本隐私政策的变更
我们可能会定期更新本政策，以反映应用增强功能或监管要求。任何更新都将在此规范网址发布，并附有更新后的生效日期。
11. 联系方式
Cristian Donet Segura — Umbrabyte Apps
Calle Pintor Camarón, nº 24
12560 Benicasim, Castellón, Spain
税号（NIF）：20468489F
D-U-N-S® 编号：374071851
电子邮件：support@umbrabyte.app
网站：https://umbrabyte.app