乐客来福商家版隐私政策与个人信息处理规则（iOS 原生版）

版本：ios-1.0.0（征求意见稿）
编制日期：2026年11月13日

【公示与适用说明】

个人信息处理者为来富网络（宁晋）有限公司，联系邮箱：merrydance@foxmail.com。本次文本公开征求意见，正式实施日期以定稿公告为准。

本政策面向 iOS 17 及以上的“乐客来福商家版”。本应用服务于拟入驻商户、已入驻商户及其授权工作人员，按已开放入口提供登录与会话恢复、门店与角色、订单处理、菜品与库存、入驻材料、堂食后厨、财务及索赔追偿等服务。支付由有权限的店主在具体追偿页确认后发起；未开放的入口不代表相应服务已经上线或生效。其他端已形成的账号、交易记录和法定档案按适用规则继续管理。共享私域流量不等于跨商户共享消费者个人信息。

一、处理目的、信息种类与依据

1. 登录与恢复。账号密码登录向我们的服务器发送您提交的登录账号和密码，核验现有身份。密码不写入应用日志、诊断、剪贴板或本地数据库。微信登录由您主动选择。首次完成微信授权且未关联已有乐客来福账号时，可按授权建立账号和对应微信身份关联，以便继续申请入驻。进入已有门店及办理经营业务需要对应的商户资格和岗位权限。您也可选择账号密码登录。

微信一次性授权码通过 HTTPS 交由我们的服务器向微信核验。微信访问、刷新令牌在本次换票响应中短暂处理，本原生流程不持久保存这些微信令牌，也不据此持续读取微信资料。微信账号标识、微信令牌与乐客来福自己的访问及刷新凭据是不同材料。SDK 的具体处理见同版第三方 SDK 清单。

为核验您主动发起的登录、建立和安全恢复会话，我们处理账号及会话标识、安装级随机标识、登录操作标识、同意的文件版本和校验值、接受时间、访问及刷新凭据、恢复状态与安全校验信息。安装标识不是广告标识。认证秘密通过 iOS Keychain 等受保护方式保管；必要恢复状态在本机数据库保管，仍可能与原账号关联，不称匿名数据。新的原生登录在核验正式法律文件并取得本次明确接受后才继续；普通打开、阅读或单独勾选尚未生效的稿件，不代表完成登录。

2. 既有会话。已经合法建立的有效会话按原同意及账号权限继续恢复，不因新政策读取失败、断网、页面关闭、进程重建或一次请求失败而被自动视为撤回。结果未知时核对原操作，不重复建立会话或把旧记录归到后来登录的账号。为提供您请求的账号访问和恢复服务所必需的最少信息，按相应合同服务必要性处理；防越权、凭据保护和防止错误重放所必需的最少安全信息，按网络与数据安全保护义务处理。不能仅用“诊断”或“改善体验”的名称，把与这些目的无直接关系的收集认定为必要。

3. 门店与订单。应用从服务器读取账号有权访问的门店名称、标识、Logo、成员身份、角色及访问版本；本机切店不扩大服务端权限。订单信息包括订单标识、商品、备注、时间、状态、金额及履约方式。搜索会把您输入的关键词和筛选条件发给服务器，以查询授权范围内的订单；关键词可能包含姓名、电话或备注，不写入本应用诊断。列表快照不保留关键词原文，不等于其他网络服务从未处理查询请求。

【订单联系人与地址，请重点阅读】为按原订单履约、联系或处理必要售后争议，在您展开相应区域且服务端确认权限后，应用读取必要的顾客或骑手姓名、电话、收货地址；收起后清除该区域的内存联系人。信息泄露可能引起骚扰、诈骗或位置安全风险，具体地址结合履约活动还可能涉及敏感个人信息。我们限于具体订单与必要人员提供，不因订单属于某商户，就把消费者或骑手信息视为商户本人资料。商户只能在具有合法依据的履约及必要善后范围使用，不得无关营销、跨店转发或买卖。涉及敏感信息、向独立处理者提供或另作用途时，应分别依法满足必要性、告知及适用的单独同意等要求；工作人员登录勾选不能替代消费者或骑手的权利决定。

4. 本人资料。为本人资料展示和核对，应用从个人资料服务仅接收账号标识、姓名或昵称、已提供的完整联系电话及头像图片地址；未提供的电话或头像保持缺失。授权门店、岗位角色及访问资格由本版专用门店访问目录按权限提供，本 iOS 微信连接状态及本次会话实际接受的隐私版本由账号隐私状态服务分别提供，不以共享微信身份推定本 iOS 连接。本人有权查看的业务值完整展示，认证秘密不作为资料副本提供。应用不为展示资料读取系统通讯录、短信或通话记录。

5. 权利申请与退出。为接收、核实和办理您的请求，处理请求类别、您说明的资料范围及内容、原账号与请求标识、必要身份和授权核验结果、处理状态、期限和逐类结果。请勿在请求内容中填写密码、验证码或密钥。恢复秘密与在途原会话证明仅用于核对原请求或撤销原会话，使用受保护存储，与普通回执分开，不写入普通日志或资料副本。

6. 最小故障与安全记录。为了安全显示登录界面、保护已有凭据、核对原操作和恢复您请求的服务，设备在启动及同意前也会在本地保管必要故障记录。范围限于事件标识、发生及首次保管时间、平台与应用版本、真实的当前来源状态、页面和操作、错误码、处理结果、必要关联信息、脱敏原因链及代码位置。只有原事件确有账号、门店、成员及访问版本归属时才保留这些关联；没有事实时保持缺失，不补造身份。不得把广告、使用习惯分析或非必要统计放入这一范围。

服务器为会话和网络安全保存连接 IP、User-Agent、账号与会话关联，以及必要请求标识、路径、时间、处理结果、延迟和客户端分类；安装标识、平台、应用版本及时间用于设备和会话安全核验。诊断不保存密码、访问或刷新令牌、微信授权码、恢复秘密、AppSecret、完整请求正文、搜索关键词或订单联系人原文。脱敏、哈希或暂不知账号均不当然构成匿名化。

本地保管与发送到服务器是两项处理。仅在原事件发生时已具有相应的有效处理依据，且原目的、账号归属和服务端接收范围相符时，才可发送必要诊断。历史上仅限本地的记录，不会因为后来登录、接受新政策或新包发布而取得补传资格；不能建立原依据时继续仅在本地按期处置。本版不把这些记录用于广告、用户画像、跨应用追踪或行为分析，也未接入第三方统计分析、广告或崩溃分析 SDK。

7. 入驻、资质和结算资料。为审核您提交或接续的申请、核验主体资质和办理支付结算开通，按业务需要处理主体与经营地址、联系人、证照和您提交的图片、身份核验及结算账户资料、本人确认状态和原申请记录。证件号码、证件原件及结算账户属于需重点保护的信息。按您实际选择的业务渠道，将办理所需材料提供给对应的支付服务机构或微信服务，审核结果及补正要求用于继续原申请。具体接收方、必要资料及本人确认步骤在相应办理环节展示，依法取得所需的授权。提交材料可按具体场景选择文件或拍摄，启用识别时只处理本次所选材料并由您核对结果。

8. 门店位置、图片与打印。您可通过系统地图搜索或选点。仅在主动确认身处门店现场、选择获取位置时使用 iOS 前台定位。您核对并保存后，门店地址和经纬度用于核对经营地址、取餐与配送计费起点。应用不在后台持续获取您的位置。您主动拍摄、选取商品或经营材料时处理所选图片，保存二维码或推广物料时使用系统相册添加权限。门店使用已配置的云打印机时，由所选打印服务处理打印机标识、打印任务及模板所需订单内容。

9. 可选远程提醒。您可在「我的 → 订单提醒」开启远程订单提醒，再分别选择订单消息或自动开店提醒。关闭全部远程提醒时，三类提醒一并关闭。来富网络（宁晋）有限公司使用安装与设备推送标识、账号与门店授权关系、登记代次和发送状态，向 Apple Inc. 的 Apple 推送通知服务（APNs）提供设备推送标识、关联对应门店及事件所需的路由标识和通用提示。按提醒种类，路由标识可关联订单、会话、消息或营业状态版本。顾客姓名、电话、地址、商品、备注、金额和聊天正文不进入 APNs 提醒。Apple 可能在中国内地以外处理这些信息，具体地点依其服务安排。各用途分别告知并由您主动开启，也可分别关闭。关闭、退出当前设备或撤回相应用途同意后停用该用途，发件尝试和原操作回执按三十天期限清理。留存最少的安装和代次记录，用于防止迟到请求重新开启已关闭提醒。您可继续登录、处理订单和在前台获取更新。Apple 隐私政策见 https://www.apple.com/legal/privacy/szh/ ，隐私权利联系入口见 https://www.apple.com/cn/privacy/contact/ 。

二、网络、第三方与权限

业务 API 使用 HTTPS，不允许通过明文 HTTP 传输账号、订单、权利请求或诊断。公开头像、门店 Logo 等公开图片请求仅访问 https://cdn.merrydance.cn，使用独立临时网络会话，不携带 Cookie、账号认证头、业务会话凭据或来源页信息，不跟随重定向，不使用图片磁盘缓存。历史图片地址不符合该范围时不向其发起请求，采用本地替代展示。

我们使用阿里云计算有限公司提供的云服务器（ECS）承载业务 API 和必要运行处理，云数据库（RDS）保存本政策列明的账号、会话、门店访问、订单和权利办理等服务数据，对象存储（OSS）保存头像、门店 Logo 等媒体，内容分发网络（CDN）分发上述图片。这些是服务器或网络服务，不是在本 iOS 应用内集成相应云 SDK。就我们通过这些服务处理的业务数据，阿里云按服务要求和约定处理，承担安全及保密义务；未经授权不得另行使用或披露，依法配合有权机关等情形按适用法律和约定限定。我们仍承担个人信息处理者责任，不因使用云服务转移本平台义务。

已核实业务服务器、数据库、图片对象存储及独立数据库备份桶均位于中国内地北京；图片经 https://cdn.merrydance.cn 分发，当前图片 CDN 加速区域为中国内地。图片服务处理图片对象和路径，以及连接 IP、固定图片客户端标识、时间和必要访问记录；本版图片请求不附带订单联系人、检索词或账号会话材料。上述地域说明不扩大为微信或全部日志、快照及备份的节点证明，也不授权任意跨境处理。

云服务交付中产生的必要服务配置、计量结算及运行安全等衍生数据，阿里云依服务协议可用于网络和数据安全、技术支持、结算及云服务运营改进；这些处理与我们委托存储的业务内容相区分，仍受适用法律和约定约束。具体服务、处理范围、协议及官方联系渠道在同版清单列明；阿里云官方服务电话为 4008013260，联系页面为 https://www.aliyun.com/contact 。

受托服务须按约定目的、期限、方式、信息范围及安全要求处理，我们应监督其履约，落实返还、删除和转委托管理。向其他独立处理者提供个人信息时，应依法具体告知接收方及处理事项，并满足适用的单独同意等要求；不能只提供一个第三方网页链接代替这些义务。依法向有权机关提供必要资料，按相应权限和程序办理。确需跨境提供时，应在发生前履行适用的告知、单独同意及跨境条件，不以本政策概括授权任意跨境处理。

本版使用 iOS 系统界面、网络、Keychain、文件保护与本地数据库。仅在已开放功能确有需要且您主动操作时申请相应系统权限；申请时另行说明用途，拒绝可选权限不影响无关功能。网络恢复不读取 Wi-Fi 名称、广告标识或其他应用清单。微信 OpenSDK iOS 2.0.9（含支付）仅在您主动选择微信登录或确认具体追偿付款，且对应授权条件具备时调起，不因普通启动、阅读登录页、账号密码登录或已有会话恢复而执行应用侧 SDK 注册、微信安装状态查询、微信授权或支付调起。 追偿付款调起使用服务端生成的应用标识、商户号、预支付标识、随机串、时间戳和签名；商户私钥不进入 App，不向微信发送顾客姓名、电话、地址或订单正文。本机保存原支付请求标识、确认金额、追偿及支付单关联和结果，用于断网、重进后核对原请求。微信收银台的返回不单独证明付款成败，结果以服务端原支付事实为准。

三、分类保留、到期与删除（重要）

1. 本地必要诊断以原发生时间与首次本地保管时间中较早者起算三十天。包括恢复文件、隔离文件及传输控制伴随记录，重试、扫描、导入或重新写文件不延长期限。到期停止展示、选取和发送，在应用能执行且受保护存储可访问时分批清理；锁屏、应用未运行或清理尚待重试时，不把仍存副本宣称为已经物理擦除。到期处置不是服务器已接收的证明。

2. 已终结且不再被当前会话或恢复任务引用的本机登录、请求、刷新及切店详细记录，按其终结或确认退役事实起七天清理。当前有效凭据、当前门店选择所必需的最小记录、结果未知、未确认回执及未完成权利或退出任务，保留核对原操作所必需的最小材料；不能用普通时限删除这些未决责任，也不因“未知”保留无关历史。必要状态收敛、有关引用解除后，再进入对应清理期限。

3. 原生登录的服务器详细副本，以登录终态、相应会话真实终止、相关安全任务最终收敛中的较晚时间起七天清理；最小安全回执从最后终止、取消或相关安全风险收敛事实起保留六个自然月，同一事实重放不续期。回执保留必要的操作、账号或会话关联、恢复校验、原状态、稳定错误和取消或安全收敛事实，仍属于可关联数据。已确认接收的自有会话密文、明确取消或已有真实会话终止证明的恢复密文及时清除；未确认的已提交有效会话及未知任务不按普通七天误删。登录首次入场二十四小时到期不等于全部凭据或记录保留二十四小时，旧请求也不能无限期重新建立会话。

4. 本政策拟正式启用的服务器必要诊断，以服务端首次接收之日起保存六个自然月；必要网络运行和安全事件日志依法至少保存六个月。普通本地调试记录不因此一并长期上传或延长保存。具体未结安全事件或依法留存证据仅在其必要范围受限保管，保留依据和到期安排单独说明，不能以年度审计或技术归档方便作为全部原始记录无限延长的理由。

5. 有效会话凭据按其有效期和实际使用、撤销状态保管；会话行在刷新凭据过期且原恢复责任完成后清理，相应会话同意行随会话删除。退出或撤销会话不等于会话行立即物理删除。跨端共用的设备登记只为仍有效的设备关系、必要安全与恢复目的保留，退出本机不删除其他端仍使用的设备记录；对不再必要的登记可以提出删除请求，并按具体仍存关系和依据核实结果，不将全部设备记录承诺为七天或六个月自动删除。

6. 已有商户资格仅留账号及最早观察时间的最小历史事实，不等于当前门店权限；账号终止后按受控批次清理。本 iOS 微信连接及旧授权阻断只保留必要的当前安全状态；账号终止、状态变更均满七天，且全部原生登录详细记录、未决安全任务及有效会话责任结束后清理。不据此删除仍有其他用途的共享微信身份或设备关系。

7. 订单列表分页快照有效十五分钟，过期后不可继续使用，后台分批清理。该快照不包含订单联系人正文；快照清理不删除订单源记录，也不决定联系人在具体履约或争议中的合法保存期限。

8. 已提供的个人资料副本在服务器保管三十天，到期停止提供并分批清理，您需要时可重新申请。已完成权利申请的请求正文在完成后三十天清理，保留必要请求标识、决定和逐类结果三年，以供核对和维权；未完成申请不因这一时限被伪装为办结。精确会话退出的最小安全回执保存六个自然月。本机已完成且无秘密清理、恢复引用的权利操作记录按七天清理，仍可通过本人账号查询服务端保存期内的处理记录。您自行导出保存的副本由您选择的存储位置保管。

9. 商品、服务和交易信息依法至少保存至交易完成后三年；平台内经营者身份登记信息至少保存至其退出平台后三年，工作人员离职不等同于经营主体退出。食品安全审查、会计、税务及其他依法须保管的材料按相应类别和法定期限处理，不将其扩大到所有技术历史。个人注销后，仍可关联的交易或主体档案不能仅因移除姓名就声称匿名化，保留须限于其法律依据和具体目的。

10. 法定保存期限尚未届满或技术上确实难以立即删除时，依法停止除存储及必要安全保护以外的处理，具体法定履责另按其适用依据限定。未结争议或安全事项只能保留与其直接有关的材料，不能概括冻结全部数据。到期或保留理由消失后继续处置。主库、设备、对象历史版本、缓存与备份的处置结果分别核实，不能将一个位置删除写成全部副本已擦除。回执应明确已处理类别、仍受限保管的类别、依据和预计后续处置；备份恢复须防止已生效的删除、撤回和授权失效状态被重新用于业务。

头像及门店媒体按对应展示目的和仍有效的使用关系保留，当前 OSS 媒体原对象未设置统一的自动到期规则。更换或删除头像引用不会自动删除原图或清空 CDN 副本；原图删除请求可通过第四节渠道办理。我们核实其他有效引用、法定保存及具体争议等保留依据，对不再必要的原图办理删除，并分别反馈原对象、缓存及备份的实际结果和仍受限保管的安排，不承诺原图在七天或三十天后自动擦除。

图片 CDN 缓存按请求命中的目录或文件后缀规则、优先级及适用的源站缓存策略到期。当前公开上传目录规则为一小时；相应图片后缀规则为一个月并优先遵循源站缓存策略，不能把任一规则视为所有图片副本的固定期限。办理删除时应核实具体请求的命中规则和原对象处置，进行必要缓存刷新，并说明预计到期或实际刷新结果。

本版对本地数据库及附属文件、诊断文件和 Keychain 凭据采用受保护存储及相应备份排除或仅本机保管措施；这不等于已证明所有服务器备份、云对象历史版本或设备底层介质即时擦除。存储不可访问或清理失败时记录并重试，不扩大原数据用途。

四、您的权利与办理（重要）

您可在“我的—账号与隐私”操作，并查看处理记录、本次会话实际接受的隐私版本及本 iOS 微信连接事实。历史缺少可核验记录时如实说明，不以最新版本覆盖旧同意。未登录或无法使用应用时，可联系 merrydance@foxmail.com，提出查阅、复制、转移、更正、补充、删除、解释说明、限制或拒绝处理、撤回同意及注销请求；无需先创建或重新登录账号才能提出。

1. 获取资料副本：本人账号姓名、联系电话、头像资料等基础资料可即时提供并保存；其余本人资料由处理人员核实归属、来源及他人权益后提供。副本不含密码、令牌、密钥、安全校验材料或他人个人信息；即时基础资料副本不冒称已经提供了全部历史资料。符合适用条件的个人信息转移请求，我们提供相应途径。

2. 更正与删除：可直接更正当前姓名，删除当前姓名展示值及头像引用；显示值清除不等于云端原图、CDN 副本、交易证据或其他历史全部删除。手机号、身份核验、交易或其他资料，可通过“更正、删除其他资料或提出请求”受理，进入核实并反馈逐类结果。手机号更正须经既有本人核验和已验证绑定流程，不能仅凭请求文字修改认证联系方式。尚未实际处理的请求保持待办理，不用状态或说明文字冒充已经更正或删除。

3. 断开本 iOS 微信连接：停止本应用使用原微信授权连接及其迟到登录操作，不撤销已经合法建立的乐客来福会话，不删除其他端仍使用的共享微信身份。以后由您主动重新发起并完成新的微信授权，方可重新连接。断开连接、退出当前设备、撤回同意和全账号注销的范围不同。

4. 退出当前设备：本机立即停止使用原会话并关闭相应业务连接，保留为完成精确远端撤销所需的原证明。网络未确认时显示远端待核实并继续核对原操作，不能把本机退出当作远端已完成。该操作不撤销其他设备的独立会话；退出过程中尚未完成的原生登录也按原操作取消和核实，迟到返回不能恢复本机旧登录。

5. 撤回商户 App 隐私同意：通过相应按钮发起，实际完成时影响同一账号的商户 App 会话，包括其他设备上的商户 App，并阻断旧登录操作继续建立会话；不自动关店或删除全部资料。当前流程会核查仍在履行的订单，并明确反馈不能立即完成的未结事项。您仍可提出限制或停止非必要处理的请求，不能因有订单就强制延续无关可选处理；对于确需继续的最少履约、安全及法定保存，按各自依据和范围处理。撤回不影响此前合法处理的效力，断网或一次失败本身不是撤回。

6. 申请注销整个账号：范围包括该乐客来福个人账号的顾客、商户、骑手等全部角色，申请先受理并核查本人实际承担的未完成交易、履约和必要资金事项。完成后停止该账号登录凭据，删除或去标识化当前个人资料；对依法保管的交易、主体或安全证据明确类别与依据，不将软删除或去标识化冒称全部匿名或物理删除。受理申请不等于已完成注销，工作人员的请求不当然关停其不拥有的门店。不得因他人门店仍有业务而无限期拒绝个人注销，应对确有必要的未结事项分别说明和处理。

7. 结果及救济：请求超时或回复丢失时保留原申请并查询实际结果，不自动重复修改、错误宣告成功或阻断无关账号。仅在能够证明原请求未被办理且其原授权已经确定失效时，才结束该原操作并允许您提出新的意图；历史证据不足时继续核实，不据“查无当前记录”推定从未执行。我们仅核验办理所需的本人身份与授权，不索取无关证件或秘密；承诺及时受理，并在十五个自然日内完成核查、处理和反馈。依法不能立即全部删除的，在期限内逐类说明依据、受限保管范围及后续处置。未实际核实的不标记已办结。您可通过联系邮箱要求解释、复核，也可依法向履行个人信息保护职责的部门投诉、举报或向人民法院起诉；联系平台不是寻求法定救济的前置条件。

五、未成年人、保护与政策变化

本应用面向依法经营的商户及其授权工作人员，不面向未满十四周岁的未成年人。发现误收或涉及未成年人信息时应依法核实、采取保护及必要删除措施；确需处理未满十四周岁未成年人信息的，应依法取得监护人同意并适用专门保护规则，不以商户工作人员勾选替代。

我们采取身份认证、最小权限、HTTPS、受保护存储、诊断脱敏和安全审计等措施；发生个人信息安全事件时，依法采取补救、通知及报告措施，不作绝对安全保证。处理目的、方式、种类、接收方或重要组件变化时，依法更新、显著告知，并在适用时重新取得相应同意。新的版本不改写历史同意，不要求已有合法会话仅因新文件出现而中断或反复确认；新增处理依据仍应单独满足相应要求。