本稿供征求意见，尚未生效。现行文件见 https://merrydance.cn/legal/merchant/ 。
来富网络（宁晋）有限公司是您的个人信息处理者。联系邮箱 merrydance@foxmail.com。本政策面向使用乐客来福商家版的拟入驻商户、已入驻商户及其授权工作人员，说明个人信息如何处理以及您如何行使权利。
在 iPhone 或 iPad 上使用商家版，请查阅第一章。在 Android 设备上，如果您使用「M 账号」和密码登录，工作台「新单提醒」提供后台新单同步和定时唤醒，请查阅第二章。如果您使用的应用在登录页提供微信登录，并支持在设置中连接蓝牙打印机，请查阅第三章。各章提到的选项和权限按您实际使用的功能适用。您可以在登录时查阅本次将要确认的文件，也可在官网 https://merrydance.cn/legal/merchant/ 查阅现行和历史文件。
第一章 在 iPhone 或 iPad 上使用商家版
本章说明您在 iOS 17 及以上设备使用乐客来福商家版时的处理。本应用服务于拟入驻商户、已入驻商户及其授权工作人员，按已开放入口提供登录与会话恢复、门店与角色、订单处理、菜品与库存、入驻材料、堂食后厨、财务及索赔追偿等服务。支付由有权限的店主在具体追偿页确认后发起；未开放的入口不代表相应服务已经上线或生效。其他端已形成的账号、交易记录和法定档案按适用规则继续管理。共享私域流量不等于跨商户共享消费者个人信息。
一、处理目的、信息种类与依据
1. 登录与恢复。账号密码登录向我们的服务器发送您提交的登录账号和密码，核验现有身份。密码不写入应用日志、诊断、剪贴板或本地数据库。微信登录由您主动选择。首次完成微信授权且未关联已有乐客来福账号时，可按授权建立账号和对应微信身份关联，以便继续申请入驻。进入已有门店及办理经营业务需要对应的商户资格和岗位权限。您也可选择账号密码登录，或主动选择本章第六节说明的 Apple 登录。
微信一次性授权码通过 HTTPS 交由我们的服务器向微信核验。微信访问、刷新令牌在本次换票响应中短暂处理，本应用的这项登录流程不持久保存这些微信令牌，也不据此持续读取微信资料。微信账号标识、微信令牌与乐客来福自己的访问及刷新凭据是不同材料。SDK 的具体处理见同版第三方 SDK 清单。
为核验您主动发起的登录、建立和安全恢复会话，我们处理账号及会话标识、安装级随机标识、登录操作标识、同意的文件版本和校验值、接受时间、访问及刷新凭据、恢复状态与安全校验信息。安装标识不是广告标识。认证秘密通过 iOS Keychain 等受保护方式保管；必要恢复状态在本机数据库保管，仍可能与原账号关联，不称匿名数据。新的原生登录在核验正式法律文件并取得本次明确接受后才继续；普通打开、阅读或单独勾选尚未生效的稿件，不代表完成登录。
2. 既有会话。已经合法建立的有效会话按原同意及账号权限继续恢复，不因新政策读取失败、断网、页面关闭、进程重建或一次请求失败而被自动视为撤回。结果未知时核对原操作，不重复建立会话或把旧记录归到后来登录的账号。为提供您请求的账号访问和恢复服务所必需的最少信息，按相应合同服务必要性处理；防越权、凭据保护和防止错误重放所必需的最少安全信息，按网络与数据安全保护义务处理。不能仅用“诊断”或“改善体验”的名称，把与这些目的无直接关系的收集认定为必要。
3. 门店与订单。应用从服务器读取账号有权访问的门店名称、标识、Logo、成员身份、角色及访问版本；本机切店不扩大服务端权限。订单信息包括订单标识、商品、备注、时间、状态、金额及履约方式。搜索会把您输入的关键词和筛选条件发给服务器，以查询授权范围内的订单；关键词可能包含姓名、电话或备注，不写入本应用诊断。列表快照不保留关键词原文，不等于其他网络服务从未处理查询请求。
【订单联系人与地址，请重点阅读】为按原订单履约、联系或处理必要售后争议，在您展开相应区域且服务端确认权限后，应用读取必要的顾客或骑手姓名、电话、收货地址；收起后清除该区域的内存联系人。信息泄露可能引起骚扰、诈骗或位置安全风险，具体地址结合履约活动还可能涉及敏感个人信息。我们限于具体订单与必要人员提供，不因订单属于某商户，就把消费者或骑手信息视为商户本人资料。商户只能在具有合法依据的履约及必要善后范围使用，不得无关营销、跨店转发或买卖。涉及敏感信息、向独立处理者提供或另作用途时，应分别依法满足必要性、告知及适用的单独同意等要求；工作人员登录勾选不能替代消费者或骑手的权利决定。
4. 本人资料。为本人资料展示和核对，应用从个人资料服务仅接收账号标识、姓名或昵称、已提供的完整联系电话及头像图片地址；未提供的电话或头像保持缺失。授权门店、岗位角色及访问资格由本版专用门店访问目录按权限提供，本 iOS 微信连接状态及本次会话实际接受的隐私版本由账号隐私状态服务分别提供，不以共享微信身份推定本 iOS 连接。本人有权查看的业务值完整展示，认证秘密不作为资料副本提供。应用不为展示资料读取系统通讯录、短信或通话记录。
5. 权利申请与退出。为接收、核实和办理您的请求，处理请求类别、您说明的资料范围及内容、原账号与请求标识、必要身份和授权核验结果、处理状态、期限和逐类结果。请勿在请求内容中填写密码、验证码或密钥。恢复秘密与在途原会话证明仅用于核对原请求或撤销原会话，使用受保护存储，与普通回执分开，不写入普通日志或资料副本。
6. 最小故障与安全记录。为了安全显示登录界面、保护已有凭据、核对原操作和恢复您请求的服务，设备在启动及同意前也会在本地保管必要故障记录。范围限于事件标识、发生及首次保管时间、平台与应用版本、真实的当前来源状态、页面和操作、错误码、处理结果、必要关联信息、脱敏原因链及代码位置。只有原事件确有账号、门店、成员及访问版本归属时才保留这些关联；没有事实时保持缺失，不补造身份。不得把广告、使用习惯分析或非必要统计放入这一范围。
服务器为会话和网络安全保存连接 IP、User-Agent、账号与会话关联，以及必要请求标识、路径、时间、处理结果、延迟和客户端分类；安装标识、平台、应用版本及时间用于设备和会话安全核验。诊断不保存密码、访问或刷新令牌、微信授权码、恢复秘密、AppSecret、完整请求正文、搜索关键词或订单联系人原文。脱敏、哈希或暂不知账号均不当然构成匿名化。
本地保管与发送到服务器是两项处理。仅在原事件发生时已具有相应的有效处理依据，且原目的、账号归属和服务端接收范围相符时，才可发送必要诊断。历史上仅限本地的记录，不会因为后来登录、接受新政策或新包发布而取得补传资格；不能建立原依据时继续仅在本地按期处置。本版不把这些记录用于广告、用户画像、跨应用追踪或行为分析，也未接入第三方统计分析、广告或崩溃分析 SDK。
7. 入驻、资质和结算资料。为审核您提交或接续的申请、核验主体资质和办理支付结算开通，按业务需要处理主体与经营地址、联系人、证照和您提交的图片、身份核验及结算账户资料、本人确认状态和原申请记录。证件号码、证件原件及结算账户属于需重点保护的信息。按您实际选择的业务渠道，将办理所需材料提供给对应的支付服务机构或微信服务，审核结果及补正要求用于继续原申请。具体接收方、必要资料及本人确认步骤在相应办理环节展示，依法取得所需的授权。提交材料可按具体场景选择文件或拍摄，启用识别时只处理本次所选材料并由您核对结果。
8. 门店位置、图片与打印。您可通过系统地图搜索或选点。仅在主动确认身处门店现场、选择获取位置时使用 iOS 前台定位。您核对并保存后，门店地址和经纬度用于核对经营地址、取餐与配送计费起点。应用不在后台持续获取您的位置。您主动拍摄、选取商品或经营材料时处理所选图片，保存二维码或推广物料时使用系统相册添加权限。门店使用已配置的云打印机时，由所选打印服务处理打印机标识、打印任务及模板所需订单内容。
9. 可选远程提醒。您可在「我的 → 系统设置 → 订单提醒」开启远程订单提醒，再分别选择订单消息或自动开店提醒。经营提醒仅在应用提供该选项且您阅读对应说明、另行开启时适用。关闭全部远程提醒时，已开启的远程提醒一并关闭。来富网络（宁晋）有限公司使用安装与设备推送标识、账号与门店授权关系、登记代次和发送状态，向 Apple Inc. 的 Apple 推送通知服务（APNs）提供设备推送标识、关联对应门店及事件所需的路由标识和通用提示。按提醒种类，路由标识可关联订单、会话、消息、营业状态版本或经营事项。经营提醒包括预订超时未到、预订需核对、堂食需核对和菜品监管。菜品监管提醒无提示音。顾客姓名、电话、地址、商品、备注、金额和聊天正文不进入 APNs 提醒。Apple 可能在中国内地以外处理这些信息，具体地点依其服务安排。各用途分别告知并由您主动开启，也可分别关闭。关闭、退出当前设备或撤回相应用途同意后停用该用途，发件尝试和原操作回执按三十天期限清理。留存最少的安装和代次记录，用于防止迟到请求重新开启已关闭提醒。您可继续登录、处理订单和在前台获取更新。Apple 隐私政策见 https://www.apple.com/legal/privacy/szh/ ，隐私权利联系入口见 https://www.apple.com/cn/privacy/contact/ 。
10. 应用内订单语音。您可在「我的 → 系统设置 → 订单提醒」中使用「订单语音」开关控制本机应用内前台订单语音，选择保存在本机，关闭时停止正在播放的应用内订单语音。远程提醒按上一款管理，系统通知及其声音可在 iOS 系统设置中调整。
11. 订单沟通与举报。您从具体订单进入沟通时，我们处理该订单及会话标识、参与方、您发送的消息正文和发送、已读、在线状态和短时「正在输入」状态，用于履约沟通、恢复原发送结果和处理争议。发送前会检查消息是否含有禁用内容，命中时会拒绝该条消息；核实违规后可隐藏相应内容或限制违规方发言。您可以屏蔽或解除对方的聊天联系，原订单业务和历史记录仍可查阅。您主动举报时，我们保管对应消息、您选择的原因、选填说明、举报人及处置记录，供有权限的工作人员核实并向您反馈。隐藏后普通聊天页面不再显示原正文，原发送回执、确有必要的处置及争议材料按各自目的核对。请勿在消息或举报说明中填写无关的身份证件、银行卡、密码、验证码或密钥。应用内可查看举报进度，也可通过本政策的联系渠道反馈或要求核查。
二、网络、第三方与权限
业务 API 使用 HTTPS，不允许通过明文 HTTP 传输账号、订单、权利请求或诊断。公开头像、门店 Logo 等公开图片请求仅访问 https://cdn.merrydance.cn，使用独立临时网络会话，不携带 Cookie、账号认证头、业务会话凭据或来源页信息，不跟随重定向，不使用图片磁盘缓存。历史图片地址不符合该范围时不向其发起请求，采用本地替代展示。
我们使用阿里云计算有限公司提供的云服务器（ECS）承载业务 API 和必要运行处理，云数据库（RDS）保存本政策列明的账号、会话、门店访问、订单和权利办理等服务数据，对象存储（OSS）保存头像、门店 Logo 等媒体，内容分发网络（CDN）分发上述图片。这些是服务器或网络服务，不是在本 iOS 应用内集成相应云 SDK。就我们通过这些服务处理的业务数据，阿里云按服务要求和约定处理，承担安全及保密义务；未经授权不得另行使用或披露，依法配合有权机关等情形按适用法律和约定限定。我们仍承担个人信息处理者责任，不因使用云服务转移本平台义务。
已核实业务服务器、数据库、图片对象存储及独立数据库备份桶均位于中国内地北京；图片经 https://cdn.merrydance.cn 分发，当前图片 CDN 加速区域为中国内地。图片服务处理图片对象和路径，以及连接 IP、固定图片客户端标识、时间和必要访问记录；本版图片请求不附带订单联系人、检索词或账号会话材料。上述地域说明不扩大为微信或全部日志、快照及备份的节点证明，也不授权任意跨境处理。
云服务交付中产生的必要服务配置、计量结算及运行安全等衍生数据，阿里云依服务协议可用于网络和数据安全、技术支持、结算及云服务运营改进；这些处理与我们委托存储的业务内容相区分，仍受适用法律和约定约束。具体服务、处理范围、协议及官方联系渠道在同版清单列明；阿里云官方服务电话为 4008013260，联系页面为 https://www.aliyun.com/contact 。
受托服务须按约定目的、期限、方式、信息范围及安全要求处理，我们应监督其履约，落实返还、删除和转委托管理。向其他独立处理者提供个人信息时，应依法具体告知接收方及处理事项，并满足适用的单独同意等要求；不能只提供一个第三方网页链接代替这些义务。依法向有权机关提供必要资料，按相应权限和程序办理。确需跨境提供时，应在发生前履行适用的告知、单独同意及跨境条件，不以本政策概括授权任意跨境处理。
本版使用 iOS 系统界面、网络、Keychain、文件保护与本地数据库。仅在已开放功能确有需要且您主动操作时申请相应系统权限；申请时另行说明用途，拒绝可选权限不影响无关功能。网络恢复不读取 Wi-Fi 名称、广告标识或其他应用清单。微信 OpenSDK iOS 2.0.9（含支付）仅在您主动选择微信登录或确认具体追偿付款，且对应授权条件具备时调起，不因普通启动、阅读登录页、账号密码登录或已有会话恢复而执行应用侧 SDK 注册、微信安装状态查询、微信授权或支付调起。 追偿付款调起使用服务端生成的应用标识、商户号、预支付标识、随机串、时间戳和签名；商户私钥不进入 App，不向微信发送顾客姓名、电话、地址或订单正文。本机保存原支付请求标识、确认金额、追偿及支付单关联和结果，用于断网、重进后核对原请求。微信收银台的返回不单独证明付款成败，结果以服务端原支付事实为准。
三、分类保留、到期与删除（重要）
1. 本地必要诊断以原发生时间与首次本地保管时间中较早者起算三十天。包括恢复文件、隔离文件及传输控制伴随记录，重试、扫描、导入或重新写文件不延长期限。到期停止展示、选取和发送，在应用能执行且受保护存储可访问时分批清理；锁屏、应用未运行或清理尚待重试时，不把仍存副本宣称为已经物理擦除。到期处置不是服务器已接收的证明。
2. 已终结且不再被当前会话或恢复任务引用的本机登录、请求、刷新及切店详细记录，按其终结或确认退役事实起七天清理。当前有效凭据、当前门店选择所必需的最小记录、结果未知、未确认回执及未完成权利或退出任务，保留核对原操作所必需的最小材料；不能用普通时限删除这些未决责任，也不因“未知”保留无关历史。必要状态收敛、有关引用解除后，再进入对应清理期限。
3. 原生登录的服务器详细副本，以登录终态、相应会话真实终止、相关安全任务最终收敛中的较晚时间起七天清理；最小安全回执从最后终止、取消或相关安全风险收敛事实起保留六个自然月，同一事实重放不续期。回执保留必要的操作、账号或会话关联、恢复校验、原状态、稳定错误和取消或安全收敛事实，仍属于可关联数据。已确认接收的自有会话密文、明确取消或已有真实会话终止证明的恢复密文及时清除；未确认的已提交有效会话及未知任务不按普通七天误删。登录首次入场二十四小时到期不等于全部凭据或记录保留二十四小时，旧请求也不能无限期重新建立会话。
4. 本政策适用的服务器必要诊断，以服务端首次接收之日起保存六个自然月；必要网络运行和安全事件日志依法至少保存六个月。普通本地调试记录不因此一并长期上传或延长保存。具体未结安全事件或依法留存证据仅在其必要范围受限保管，保留依据和到期安排单独说明，不能以年度审计或技术归档方便作为全部原始记录无限延长的理由。
5. 有效会话凭据按其有效期和实际使用、撤销状态保管；会话行在刷新凭据过期且原恢复责任完成后清理，相应会话同意行随会话删除。退出或撤销会话不等于会话行立即物理删除。跨端共用的设备登记只为仍有效的设备关系、必要安全与恢复目的保留，退出本机不删除其他端仍使用的设备记录；对不再必要的登记可以提出删除请求，并按具体仍存关系和依据核实结果，不将全部设备记录承诺为七天或六个月自动删除。
6. 已有商户资格仅留账号及最早观察时间的最小历史事实，不等于当前门店权限；账号终止后按受控批次清理。本 iOS 微信连接及旧授权阻断只保留必要的当前安全状态；账号终止、状态变更均满七天，且全部原生登录详细记录、未决安全任务及有效会话责任结束后清理。不据此删除仍有其他用途的共享微信身份或设备关系。
7. 订单列表分页快照有效十五分钟，过期后不可继续使用，后台分批清理。该快照不包含订单联系人正文；快照清理不删除订单源记录，也不决定联系人在具体履约或争议中的合法保存期限。订单沟通和举报材料按处理履约、举报、争议以及满足法定保存要求所必需的范围和期限保留；不再需要时删除或匿名化。
8. 已提供的个人资料副本在服务器保管三十天，到期停止提供并分批清理，您需要时可重新申请。已完成权利申请的请求正文在完成后三十天清理，保留必要请求标识、决定和逐类结果三年，以供核对和维权；未完成申请不因这一时限被伪装为办结。精确会话退出的最小安全回执保存六个自然月。本机已完成且无秘密清理、恢复引用的权利操作记录按七天清理，仍可通过本人账号查询服务端保存期内的处理记录。您自行导出保存的副本由您选择的存储位置保管。
9. 商品、服务和交易信息依法至少保存至交易完成后三年；平台内经营者身份登记信息至少保存至其退出平台后三年，工作人员离职不等同于经营主体退出。食品安全审查、会计、税务及其他依法须保管的材料按相应类别和法定期限处理，不将其扩大到所有技术历史。个人注销后，仍可关联的交易或主体档案不能仅因移除姓名就声称匿名化，保留须限于其法律依据和具体目的。
10. 法定保存期限尚未届满或技术上确实难以立即删除时，依法停止除存储及必要安全保护以外的处理，具体法定履责另按其适用依据限定。未结争议或安全事项只能保留与其直接有关的材料，不能概括冻结全部数据。到期或保留理由消失后继续处置。主库、设备、对象历史版本、缓存与备份的处置结果分别核实，不能将一个位置删除写成全部副本已擦除。回执应明确已处理类别、仍受限保管的类别、依据和预计后续处置；备份恢复须防止已生效的删除、撤回和授权失效状态被重新用于业务。
头像及门店媒体按对应展示目的和仍有效的使用关系保留，当前 OSS 媒体原对象未设置统一的自动到期规则。更换或删除头像引用不会自动删除原图或清空 CDN 副本；原图删除请求可通过本章第四节的渠道办理。我们核实其他有效引用、法定保存及具体争议等保留依据，对不再必要的原图办理删除，并分别反馈原对象、缓存及备份的实际结果和仍受限保管的安排，不承诺原图在七天或三十天后自动擦除。
图片 CDN 缓存按请求命中的目录或文件后缀规则、优先级及适用的源站缓存策略到期。当前公开上传目录规则为一小时；相应图片后缀规则为一个月并优先遵循源站缓存策略，不能把任一规则视为所有图片副本的固定期限。办理删除时应核实具体请求的命中规则和原对象处置，进行必要缓存刷新，并说明预计到期或实际刷新结果。
本版对本地数据库及附属文件、诊断文件和 Keychain 凭据采用受保护存储及相应备份排除或仅本机保管措施；这不等于已证明所有服务器备份、云对象历史版本或设备底层介质即时擦除。存储不可访问或清理失败时记录并重试，不扩大原数据用途。
四、您的权利与办理（重要）
您可在“我的—账号与隐私”操作，并查看处理记录、本次会话实际接受的隐私版本及本 iOS 微信连接事实。历史缺少可核验记录时如实说明，不以最新版本覆盖旧同意。未登录或无法使用应用时，可联系 merrydance@foxmail.com，提出查阅、复制、转移、更正、补充、删除、解释说明、限制或拒绝处理、撤回同意及注销请求；无需先创建或重新登录账号才能提出。
1. 获取资料副本：本人账号姓名、联系电话、头像资料等基础资料可即时提供并保存；其余本人资料由处理人员核实归属、来源及他人权益后提供。副本不含密码、令牌、密钥、安全校验材料或他人个人信息；即时基础资料副本不冒称已经提供了全部历史资料。符合适用条件的个人信息转移请求，我们提供相应途径。
2. 更正与删除：可直接更正当前姓名，删除当前姓名展示值及头像引用；显示值清除不等于云端原图、CDN 副本、交易证据或其他历史全部删除。手机号、身份核验、交易或其他资料，可通过“更正、删除其他资料或提出请求”受理，进入核实并反馈逐类结果。手机号更正须经既有本人核验和已验证绑定流程，不能仅凭请求文字修改认证联系方式。尚未实际处理的请求保持待办理，不用状态或说明文字冒充已经更正或删除。
3. 断开本 iOS 微信连接：停止本应用使用原微信授权连接及其迟到登录操作，不撤销已经合法建立的乐客来福会话，不删除其他端仍使用的共享微信身份。以后由您主动重新发起并完成新的微信授权，方可重新连接。断开连接、退出当前设备、撤回同意和全账号注销的范围不同。
4. 退出当前设备：本机立即停止使用原会话并关闭相应业务连接，保留为完成精确远端撤销所需的原证明。网络未确认时显示远端待核实并继续核对原操作，不能把本机退出当作远端已完成。该操作不撤销其他设备的独立会话；退出过程中尚未完成的原生登录也按原操作取消和核实，迟到返回不能恢复本机旧登录。
5. 撤回商户 App 隐私同意：通过相应按钮发起，实际完成时影响同一账号的商户 App 会话，包括其他设备上的商户 App，并阻断旧登录操作继续建立会话；不自动关店或删除全部资料。当前流程会核查仍在履行的订单，并明确反馈不能立即完成的未结事项。您仍可提出限制或停止非必要处理的请求，不能因有订单就强制延续无关可选处理；对于确需继续的最少履约、安全及法定保存，按各自依据和范围处理。撤回不影响此前合法处理的效力，断网或一次失败本身不是撤回。
6. 申请注销整个账号：范围包括该乐客来福个人账号的顾客、商户、骑手等全部角色，申请先受理并核查本人实际承担的未完成交易、履约和必要资金事项。完成后停止该账号登录凭据，删除或去标识化当前个人资料；对依法保管的交易、主体或安全证据明确类别与依据，不将软删除或去标识化冒称全部匿名或物理删除。受理申请不等于已完成注销，工作人员的请求不当然关停其不拥有的门店。不得因他人门店仍有业务而无限期拒绝个人注销，应对确有必要的未结事项分别说明和处理。
7. 结果及救济：请求超时或回复丢失时保留原申请并查询实际结果，不自动重复修改、错误宣告成功或阻断无关账号。仅在能够证明原请求未被办理且其原授权已经确定失效时，才结束该原操作并允许您提出新的意图；历史证据不足时继续核实，不据“查无当前记录”推定从未执行。我们仅核验办理所需的本人身份与授权，不索取无关证件或秘密；承诺及时受理，并在十五个自然日内完成核查、处理和反馈。依法不能立即全部删除的，在期限内逐类说明依据、受限保管范围及后续处置。未实际核实的不标记已办结。您可通过联系邮箱要求解释、复核，也可依法向履行个人信息保护职责的部门投诉、举报或向人民法院起诉；联系平台不是寻求法定救济的前置条件。
五、未成年人、保护与政策变化
本应用面向依法经营的商户及其授权工作人员，不面向未满十四周岁的未成年人。发现误收或涉及未成年人信息时应依法核实、采取保护及必要删除措施；确需处理未满十四周岁未成年人信息的，应依法取得监护人同意并适用专门保护规则，不以商户工作人员勾选替代。
我们采取身份认证、最小权限、HTTPS、受保护存储、诊断脱敏和安全审计等措施，不作绝对安全保证。发生或者可能发生个人信息泄露、篡改、丢失时，我们将立即采取补救措施，依法向履行个人信息保护职责的部门报告，并及时通过电子邮件、电话或公告等适当方式通知受影响的个人。通知内容包括涉及的个人信息种类、事件原因和可能造成的危害、我们采取的补救措施、您可以采取的减轻危害措施，以及我们的联系方式。经采取措施能够有效避免上述事件造成危害的，我们可以依法不通知个人；主管部门认为可能造成危害并要求通知的，我们将按要求通知。处理目的、方式、种类、接收方或重要组件变化时，依法更新、显著告知，并在适用时重新取得相应同意。新的版本不改写历史同意，不要求已有合法会话仅因新文件出现而中断或反复确认；新增处理依据仍应单独满足相应要求。
六、Apple 登录补充说明
1. 自主选择与账号。您主动选择 Apple 登录后，应用通过 iOS AuthenticationServices 显示 Apple 系统授权界面，服务器核验本次一次性授权码和签名身份凭据。我们使用本应用范围内的 Apple 账号标识建立或识别对应的乐客来福账号，并保留原操作标识、随机校验值、同意文件版本与核验结果。首次使用且没有对应账号时建立独立账号，可继续申请入驻；不按邮箱、姓名或手机号自动合并已有微信或密码账号。已有账号可继续使用原登录方式。
2. 处理材料与接收方。Apple Inc. 提供本项身份服务。Apple 系统与接口处理本次应用身份、授权请求、随机 state／nonce、授权码、签名身份凭据，以及验证或撤销授权所需的原令牌和网络连接信息。乐客来福账号密码、顾客姓名、电话、地址和订单正文不作为本项授权参数发给 Apple。本版不请求 Apple 姓名或邮箱资料权限，不用邮箱或姓名建号、合并账号；签名材料仍可能附带邮箱相关字段。正常核验后不保存完整身份令牌；异常未确认响应可能暂存在下述加密恢复材料中，不用于联系、营销或补充个人资料。第三方及跨境处理边界适用本章第二节，不据未申请姓名或邮箱权限宣称 Apple 不处理账号信息。
3. 保管与恢复。Apple 刷新或访问令牌仅由服务器加密保管，App 不持有服务器 Apple 私钥，不把授权码、完整身份令牌、刷新令牌、Apple 账号标识或邮箱写入普通诊断。正常使用中的原令牌用于核实授权及按明确断开、注销处理撤销；普通取消登录不会擅自撤销您仍在使用的 Apple 授权。由数据库接手保管、未被采用或已断开且不再必要的材料，在入库保管满三十天后分批清理；当前有效授权、结果未知的明确撤销或未完权利责任所必需的最少材料继续受限保管，不能把未确认写成已撤销。尚未确认交接的加密临时副本只用于恢复及必要撤销，交接确认后删除临时副本；损坏或无法解密的副本需受限核查及后续处置，不能以错误状态作为无限期保留的理由。Apple 身份与本方账号的对应及注销保护状态按账号服务、注销与必要安全责任分别管理，仍可提出核查和删除请求。
4. 断开、失效与注销。您可在“我的—账号与隐私”断开 Apple 连接。此操作停用本应用中通过 Apple 建立的会话，保留其他登录方式、店铺及订单；Apple 外部撤销另按实际回执显示处理中、确认或已由后来主动授权取代。Apple 撤销授权、删除 Apple 账号等经核实的变更只影响对应 Apple 授权，不据此删除您的乐客来福店铺或全部账号。状态无法核实不伪装成您撤回其他服务。全账号注销仍从应用内原入口发起，按实际义务处理账号及相关 Apple 授权，并分别反馈结果。
5. 账号变更通知。服务器接收并核验 Apple 签名的账号变更通知，仅记录变更类型、发生和接收时间、用于去重与关联的标识及处理进度，不保管通知原文或其中的邮箱字段。已处理的通知在接收满三十天后分批清理；尚待核实的保留必要记录，不能因清理窗口已过而伪装处理完成。
Apple 登录与隐私说明：https://www.apple.com.cn/legal/privacy/data/zh-cn/sign-in-with-apple/ 。Apple 隐私政策与联系渠道：https://www.apple.com/legal/privacy/szh/ ，https://www.apple.com/cn/privacy/contact/ 。
第二章 在 Android 设备上使用账号密码登录及后台新单同步
如果您使用的 Android 商家版在登录页提供「M 账号」和密码，工作台的「新单提醒」提供后台新单同步与定时唤醒，本章适用于您使用该应用管理门店、营业与订单。您可在登录页以及登录后的「协议与隐私」查阅隐私政策、商户服务协议和第三方 SDK 清单，也可在官网查阅或下载正文。
一、登录与门店管理
1. 您以已有 M 账号和密码登录。我们处理您填写的账号和密码、应用生成的安装标识、应用版本、请求时间和必要的网络及安全信息，用于验证身份、保护登录并恢复原请求。本机使用 Android Keystore 加密保管访问凭据、刷新凭据和恢复原登录所需的材料。密码只用于登录核验，不写入本机持久记录、业务日志或诊断正文。登录时由您主动确认本次展示的政策和协议，服务器将确认时间、文档版本及摘要与新会话一起记录。您可以不勾选，继续查阅协议。确认商户服务协议或已在其他端使用服务，不替代对本版个人信息处理的知情选择。
2. 账号认证后，我们根据账号、岗位和门店成员关系提供可进入的门店、门店名称、营业及门店访问权限。本机保存最近选店和必要的权限及恢复记录，近期操作失败或响应丢失时核对原请求。已建立的有效会话以原账号和门店权限为准。政策更新在下次登录时确认，暂时断网或进程重新启动不等同于撤回同意。
3. 店主或店长按权限办理今日营业、打烊及查看下一次自动营业安排。我们处理操作人和门店关联、原操作标识、营业日期、时段、营业状态以及服务端回执。门店是否营业由服务端依据现有经营设置、操作与业务资格确认。关闭本机提醒或拒绝通知、闹钟授权不改变门店营业状态，您仍可通过工作台查看和处理已有订单。
二、订单与履约
我们按当前门店和岗位权限处理订单编号、类型、状态、时间、商品与规格、数量、餐费及配送和包装金额、订单备注、取餐码、列表所需的联系人姓名及是否已有骑手接单。接单、拒单、出餐和确认完成时，我们处理目标订单、操作人、原请求标识、拒单原因、结果及必要的退款进度。拒单涉及退款时沿原支付处理，用于履约、售后和恢复同一次操作。订单查询和操作保存必要的临时状态及未确认记录，以便恢复原操作和防止重复提交。
联系人姓名、取餐码和备注可能与特定个人关联。商户及其工作人员仅可依合法依据为原订单履约和必要售后使用这些信息。工作人员确认本政策不替代顾客或骑手对个人信息处理的权利。厂商通知采用通用新单提示，附带定位原订单所需的事件标识、消息有效期及防止打开其他账号订单的账号与门店绑定摘要。提醒文案和路由信息不含顾客姓名、电话、地址、支付凭据或订单备注。
三、通知、后台同步和自动营业唤醒
1. 系统通知。工作台「新单提醒」可以打开通知授权或系统设置。Android 13 及以上在权限尚可由应用请求时由系统询问。您可调整通知、提示音和锁屏展示，拒绝或关闭通知不影响主动查看订单。应用本机通知的锁屏公开内容为通用新单提示，系统允许展示详情时可显示门店名及该单识别信息。点通知后，应用依据原订单和当前权限重新核对并打开有权访问的订单。
2. 手机厂商推送。已建立有效会话并选中有权限的门店后，应用按设备品牌和服务可用性检查推送途径。在本机允许新单通知后，才发起新的令牌登记。应用冷启动时可能按仍有效的原会话及原登记恢复接收消息所需的组件，实际通知展示仍由系统设置决定。我们处理本机安装标识、平台和应用版本、厂商类型及推送令牌，并把登记关联到原账号和门店。厂商通过其 SDK 和系统服务处理注册、通知投递及必要的状态信息。固定采用华为推送、荣耀推送、小米推送、OPPO PUSH、vivo 推送，旧荣耀机型在符合兼容条件时可能使用华为推送。各厂商的处理数据、使用场景、提供方和隐私链接见本政策附表《第三方 SDK 清单》。仅设备对应的有效途径登记令牌。关闭系统通知后，本机不再启动新的推送登记；已受理消息、服务端登记和厂商保管的数据各按实际处理结果核对。该设置只控制提醒功能，撤回基础隐私同意可按本章第六节提出。
3. 后台新单同步。在「新单提醒」主动开启「后台新单同步」后，应用为前台服务建立持续通知，由系统按通知设置展示，并通过业务实时连接和必要的订单补查同步本门店新单。锁屏或切换应用期间也会工作，可能增加耗电和网络使用。我们在本机保管原账号、会话、门店、同步授权、事件游标及待打开订单的最少关联。系统允许时可恢复原来的后台同步。您可关闭此选项，关闭同时取消本机、当前门店的定时唤醒。前台查单和厂商通知按各自设置处理。
4. 定时唤醒。已有后台新单同步的店主或店长，可以为本机及当前门店开启「自动营业时唤醒接单」。在获得 Android 的「闹钟和提醒」权限后，应用根据服务端确认的下一次自动开店预约一个精确闹钟，并保管闹钟标识、预约时点、门店与原同步授权关联。到点时 Android 可以在锁屏或应用进程被回收后唤醒应用。应用确认原授权、门店和实际已开店的服务端结果，再恢复本机后台新单同步。此过程不会替您接单。您可单独关闭定时唤醒、关闭后台新单同步或在系统中撤回精确闹钟权限。切换门店后旧店预约失效，系统未授权或预约未确认时不会改变自动营业规则。系统限制可能影响唤醒、通知或响铃，应用根据可确认状态向您反馈。
四、诊断和安全
应用在登录、联网、履约、提醒或运行发生异常时记录排查问题所需的信息，包括时间、应用版本、页面及操作、稳定错误码、技术原因及受限的调用位置、请求或操作标识、处理阶段和结果。已知归属的记录可带原账号、门店、权限版本与该次订单关联，按原归属上传，不改成后来登录的账号。尚未登录或无法确认身份时，登录及运行异常可以从首方接口提交最小的未归属诊断。诊断不会提交您输入的密码、会话令牌、厂商令牌、自由输入文本或订单联系人正文。业务 API 还会处理连接所需的 IP 地址及安全日志。诊断用于故障恢复、识别异常访问及提供安全保障，不用于广告推荐。
我们使用身份和门店权限核验、HTTPS、受保护的本机存储、必要脱敏和受限审计等措施。发生个人信息安全事件时，我们会及时采取补救措施，依法报告并通知受影响的个人。
五、共享和保留
1. 我们通过位于中国大陆的业务服务处理账号、营业、订单及诊断信息。阿里云计算有限公司提供的云服务器及云数据库用于承载首方业务和保管数据。手机厂商推送使用本章第三节和《第三方 SDK 清单》所列的接收方、用途和范围。依法确有必要提供给有权机关的，按相应授权和程序办理。涉及向其他个人信息处理者提供、处理敏感个人信息或跨境提供的，我们按实际场景履行相应告知及单独同意等适用要求。
2. 有效会话、当前门店选择、设备订阅及未完成请求仅为其服务、授权、安全及核对原结果所必要而保管。原生登录的服务端详细记录在相关登录、会话和安全处理均已终结后按七天期限清理。必要的最小安全回执自相关终止或风险事项收敛之日起保留六个自然月。现行服务端运行诊断在线记录及回执自首次接收起保留六个自然月；本机尚未确认接收的诊断保留用于补传，确认接收后删除对应待传记录。必要的网络安全日志依法按适用期限留存。
3. 商品、服务及交易信息依法至少保留至交易完成后三年。平台内经营者身份登记信息依法至少保留至其退出平台后三年。未完履约、争议、安全及法定义务按各自必要范围保留。达到保留期限或处理目的完成后，依法删除或匿名化相关信息。法定期限尚未届满或确有技术原因无法立即删除的，说明具体依据并限制处理。退出或撤回不等同于物理删除全部记录，主动办理可按本章第六节核对。
六、您的权利和联系渠道
您可通过「协议与隐私」查询文档，无论是否已登录，都可发送邮件至 merrydance@foxmail.com，咨询或申请查阅、复制、更正、补充、删除、限制或拒绝处理个人信息，在适用条件下转移个人信息，撤回同意、注销账号，或投诉举报。请简述要办理的事项，不要发送密码、登录令牌或其他人的订单资料。我们会按所需的最少信息核验本人或受托办理资格，说明处理结果、依法需继续保管的类别及依据，并依法及时处理和反馈。撤回不影响撤回前处理的效力。商户端撤回经确认后会结束同一账号的商户角色会话及相应提醒，其中包括其他设备的商家版会话。门店本身的营业状态由原营业规则处理。其他角色和仍需依法保管的记录按其各自规则处理。您可联系上列邮箱要求解释、复核，也可依法投诉、举报或寻求司法救济。
本应用提供给商户及授权工作人员，未满十四周岁的未成年人请勿使用商户账号。我们发现涉及未成年人个人信息时按法律规定处理。个人信息处理的目的、方式或范围变化时，我们会更新本政策，以显著方式告知，并在依法需要时重新取得同意。
第三章 在 Android 设备上使用包含微信登录与蓝牙打印功能的商家版
【导言】
来富网络（宁晋）有限公司（以下简称“我们”）重视您的个人信息和隐私保护。本章说明您在 Android 设备上使用含微信登录、蓝牙打印功能的应用时，我们在提供商户登录、门店经营、订单处理、打印、通知提醒和客户支持等服务时，如何收集、使用、共享、保存和保护个人信息，以及您如何行使相关权利。
请您在使用应用前仔细阅读本政策和《乐客来福商户入驻及数字化服务协议》。未取得当前有效同意前，应用首先显示受限登录入口；该入口不联网，也不启动业务运行组件或第三方 SDK，只提供安装包内经完整性校验的隐私政策、商户服务协议和第三方 SDK 清单供您离线阅读。隐私政策正文只在页面处于前台且可见时累计阅读时间，累计至少 5 秒后，您可通过含义明确的操作同时同意本政策及《乐客来福商户入驻及数字化服务协议》；只有明确同意后才可选择登录方式，并在您选择登录后联网并启动业务运行组件、微信 OpenSDK，以及与当前手机品牌匹配的厂商推送服务。您不同意时，只能继续离线阅读上述文件或退出应用，应用不会进入在线登录或商户工作台。
一、我们如何收集和使用信息
1. 账号登录与身份核验
当您使用微信登录时，我们会处理微信授权返回的一次性授权结果，并由服务器完成账号识别和商户身份核验。为建立和维持登录状态，我们会保存乐客来福访问令牌、刷新令牌、商户工作台标识和必要的安全记录。微信侧账号标识的处理规则同时受微信开放平台相关规则约束。
2. 门店经营和订单履约
【个人敏感信息】为展示和处理订单、售后、预订、桌台、菜品、营销、结算和打印任务，我们会处理商户、门店、商品、订单、订单状态、金额、时间、用户为履约提供的必要联系信息、操作记录及异常处理记录。您只能在履约和平台规则允许的范围内使用订单中的个人信息，不得另作营销、买卖或泄露。
3. 设备注册、稳定运行和安全保障
为识别当前安装、维持登录安全、路由订单提醒和排查故障，我们可能处理应用生成的设备标识、手机品牌和型号、操作系统及版本、应用版本、网络连接状态、IP 地址、厂商推送通道类型、厂商推送令牌、通知权限状态、连接与订单补查状态、操作日志和错误日志。
应用生成的设备标识用于区分本应用安装和设备绑定，不用于跨应用广告追踪。我们不会因为接入推送而要求电话状态权限，也不会主动读取通讯录、通话记录或短信。
4. 订单通知和厂商推送
在您同意本政策后，应用会根据实际手机品牌，仅初始化与当前设备匹配的华为、荣耀、小米、OPPO 或 vivo 推送服务之一，用于发送新订单、订单状态和营业相关提醒。推送服务可能处理应用包名、应用版本、SDK 版本、设备和系统基本信息、网络状态、推送令牌或同等通道标识、消息标识、订单标识、消息类型及消息送达/点击事件。
我们通过厂商推送发送的业务载荷遵循最小必要原则，主要包含消息标识、订单标识和事件类型。应用在前台时通过实时连接和订单查询同步状态。您打开应用并登录具备接单权限的账号后，应用会在前台默认开启“持续接单提醒”，通过带有持续通知的前台服务，在切换应用或锁屏期间继续现有订单连接、订单查询和内置语音提醒，可能增加耗电。此功能随接单账号自动运行，不提供独立的开启、暂停或停止开关；旧版本保存的暂停选择不再阻止自动开启。持续通知用于显示运行状态和返回应用。门店是否接收新订单仍由营业状态控制；打烊期间保留订单状态与自动营业恢复所需的监听。退出或切换账号、撤回隐私同意时会停止原账号的持续接单会话。该功能不会改变门店营业状态，不因开机或远程消息到达新建持续接单会话。进程被系统回收后，Android 可重建此前已经运行的接单服务；应用重新核验当前隐私同意、账号和通知能力后恢复订单连接、查询与语音提醒，并对连续初始化失败限制恢复次数。为此，应用在本机保存当前接单会话标识、账号关联标识和恢复次数，不在该记录中保存登录凭证。您再次打开应用且当前账号就绪时也会自动恢复。系统重建不保证发生时间或必然成功；服务未运行或尚未恢复时，仍由与当前设备匹配的厂商系统推送承担通知。网络、系统节能、厂商限制、音量和音频焦点可能影响实际提醒效果。冷启动、通知点击或回到前台后，应用会恢复登录会话、重建连接并查询乐客来福服务器中的完整订单状态。各厂商处理信息的具体范围见随应用离线提供的《第三方 SDK 清单》。
店主或店长可以在“订单提醒设置”主动开启“自动营业时唤醒接单”，授权范围为本机和当前门店。系统允许后，应用每次仅为下一次计划开店设置一个精确闹钟。到点时可在锁屏或进程被系统回收后尝试恢复原接单服务，并查询服务器确认营业和订单提醒。应用在本机保存该选择、账号及原接单会话关联标识和预约时间，用于核对和撤销预约。您可在应用内关闭此功能，或在系统设置撤回精确闹钟权限。关闭或拒绝授权不影响门店营业及已开启的其他接单提醒。
5. 通知权限和锁屏展示
Android 13 及以上系统会在需要展示订单提醒前，由应用先说明权限名称、具体功能、使用目的和拒绝影响，再根据您的选择请求通知权限。拒绝应用内说明不会触发系统权限框或打开系统设置，也不会阻止您登录和主动查看订单，但可能影响后台、锁屏或息屏状态下的新订单提醒。通知标题和必要订单提示可能显示在通知栏或锁屏界面；您可以在系统设置中调整通知、锁屏内容和声音设置。
6. 语音和声音提醒
为降低商户漏单风险，应用会播放随包提供的共享预录 MP3 提示（每个业务文件前置 2 秒音乐起），并用本地播放账本记录待播、播放中和已完成状态。语音内容由应用内置录音固定，不向系统或第三方语音引擎提交订单文字；系统音量、音频焦点和通知渠道设置仍可能影响实际听感。关键订单语音不提供业务静音开关。为排查漏提醒和播放失败，设备心跳可向乐客来福服务器提交当前运行状态、恢复次数，以及当前账号最近最多 8 条消息标识对应的播放状态、结果和时间；不上传录音或订单语音文字。播放完成记录表示播放器完成执行，不代表确认您已经听见。
7. 位置权限
【个人敏感信息】当您主动使用门店位置确认或需要核验经营位置的功能时，应用会先说明权限名称、具体功能和使用目的，再在取得系统授权后处理大致或精确位置信息，包括经纬度和区域信息。位置仅用于您主动发起的相关业务，不用于广告画像，也不在后台持续读取。拒绝位置权限不会影响不依赖位置的订单处理功能，但相关门店位置功能无法使用。
8. 蓝牙和打印设备
当您主动配置蓝牙打印机时，应用会先说明权限名称、具体功能和使用目的，再请求附近设备权限；Android 11 及以下系统在扫描蓝牙设备时会按系统要求请求前台位置权限。应用会处理附近打印设备的名称、地址、连接状态和打印任务所需数据，仅用于发现、连接和管理您选择的打印设备。拒绝权限不会影响查看和处理订单，但无法扫描新打印机。
9. 图片、资料和客服支持
【个人敏感信息】当您主动上传门店图片、资质材料、菜品图片或问题反馈时，我们会处理您选择的文件、图片、文字说明和相关业务记录。请不要上传与办理目的无关的个人信息。
10. 支付、结算和风险控制
【个人敏感信息】在支付、退款、对账或结算场景中，我们会处理订单号、金额、支付状态、交易流水号、结算账户必要信息和风险核验记录。支付账户敏感信息由支付机构依其规则处理，我们不会获取您的支付密码。
二、系统权限说明
1. 网络访问和网络状态：用于登录、同步经营数据、订单连接、推送注册和故障恢复。 2. 通知：用于展示订单和订单状态提醒。版本更新提醒、下载和安装由您使用的应用市场处理，本应用不使用通知权限发送版本更新通知。 3. 精确或大致位置：仅在您主动使用门店位置相关功能时申请。 4. 蓝牙扫描和连接：仅在您主动配置蓝牙打印设备时申请。 5. 前台服务及特殊用途前台服务声明：用于您打开应用并登录接单账号后开启和恢复“持续接单提醒”，展示运行状态和返回应用的持续通知。 6. 精确闹钟：仅用于店主或店长主动开启定时唤醒后，预约当前门店下一次计划开店，尝试恢复已建立的接单服务。
本应用仅通过应用市场分发，检查更新入口只打开应用市场；本应用不请求版本检查接口、不下载或安装 APK。
本应用不申请后台位置、电池优化豁免、Wake Lock 或 Wi-Fi Lock 等能力，也不声明开机广播自动启动组件。商户位置只在您主动使用相关功能时按需获取，不在后台持续读取。
为改善厂商系统推送在后台、锁屏或进程被回收后的送达，应用可在“订单提醒设置”中提供通知、电池优化、自启动、后台运行和最近任务锁定等系统设置的可选说明或入口。相关入口仅在您主动操作时打开系统设置，不申请特殊权限，不启动前台服务，不自动修改系统开关，也不作为登录、营业、接单或订单处理的前置条件；是否调整由您决定，且调整不代表或保证应用进程常驻、推送可达或订单提醒必然送达。
权限在 AndroidManifest 中的声明不等于应用会在启动时自动读取相关信息。需要运行时授权的权限会在对应功能发生时另行请求。您可以随时在 Android 系统设置中关闭权限。
三、第三方 SDK 与信息共享
本应用实际集成以下第三方 SDK。我们在本政策中直接列明 SDK 名称、开发者、使用目的、触发条件、收集信息范围和 SDK 隐私政策链接。厂商推送 SDK 仅在您同意本政策后，根据当前手机品牌初始化其中一个，不会在同一设备上同时向五家手机厂商注册推送令牌。
1. Huawei Push Kit（华为推送）
SDK 包名：com.huawei.hms.push。 开发者：华为软件技术有限公司。 使用目的：在华为设备上发送新订单、订单状态和营业提醒。 触发条件：您同意本政策后，应用识别为华为设备并需要建立订单提醒通道时。 收集信息范围：AAID、Push Token、AppID、应用包名和版本、SDK 与 HMS Core 版本、设备类型和型号、操作系统版本、国家或地区码、网络状态、消息标识、必要消息内容及送达或点击事件。 SDK 隐私政策链接：https://developer.huawei.com/consumer/cn/doc/development/HMSCore-Guides/personal-data-0000001050166427
2. 荣耀推送SDK
SDK 包名：com.hihonor.push。 开发者：深圳荣耀软件技术有限公司。 使用目的：在荣耀设备上发送新订单、订单状态和营业提醒。 触发条件：您同意本政策后，应用识别为荣耀设备并需要建立订单提醒通道时。 收集信息范围：AAID、PushToken、AppID、应用包名和版本、设备基本信息、操作系统和 SDK 版本、网络状态、消息标识及消息事件。 SDK 隐私政策链接：https://developer.honor.com/cn/docs/11002/guides/sdk-data-security
3. 小米推送
SDK 包名：com.xiaomi.push。 开发者：北京小米移动软件有限公司。 使用目的：在小米、Redmi 或 POCO 设备上发送新订单、订单状态和营业提醒。 触发条件：您同意本政策后，应用识别为小米、Redmi 或 POCO 设备并需要建立订单提醒通道时。 收集信息范围：设备厂商和型号、设备归属地和运营商、设备内存、操作系统版本、SDK 和应用版本、应用包名、推送注册标识、网络类型、Wi-Fi 状态、通知栏设置、消息标识和必要推送消息内容。 SDK 隐私政策链接：https://dev.mi.com/console/doc/detail?pId=1822
4. OPPO PUSH 客户端SDK
SDK 包名：com.heytap.msp.push。 开发者：广东欢太科技有限公司。 使用目的：在 OPPO 或 Realme 设备上发送新订单、订单状态和营业提醒。 触发条件：您同意本政策后，应用识别为 OPPO 或 Realme 设备并需要建立订单提醒通道时。 收集信息范围：应用包名和版本、SDK 版本、RegistrationID、应用通道鉴权标识、网络类型、Wi-Fi 和网络状态、消息标识及消息事件。 SDK 隐私政策链接：https://open.oppomobile.com/new/developmentDoc/info?id=11228
5. vivo推送SDK
SDK 包名：com.vivo.push。 开发者：维沃移动通信有限公司。 使用目的：在 vivo 或 iQOO 设备上发送新订单、订单状态和营业提醒。 触发条件：您同意本政策后，应用识别为 vivo 或 iQOO 设备并需要建立订单提醒通道时。 收集信息范围：AppID、应用包名和版本、SDK 版本、RegID、设备类型、操作系统类型和版本、网络状态、消息标识及消息事件。 SDK 隐私政策链接：https://dev.vivo.com.cn/documentCenter/doc/878
6. 微信OpenSDK Android
SDK 包名：com.tencent.mm.opensdk。 开发者：深圳市腾讯计算机系统有限公司。 使用目的：按您的操作完成微信授权登录、微信支付和打开微信小程序。 触发条件：您主动选择微信登录、微信支付或打开微信小程序时。 收集信息范围：应用包名、应用签名、AppID、设备和应用基本信息、一次性授权码、授权状态、支付请求必要参数、支付结果和小程序跳转参数。 SDK 隐私政策链接：https://support.weixin.qq.com/cgi-bin/mmsupportacctnodeweb-bin/pages/RYiYJkLOrQwu0nb8
7. 性能加速库
SDK 包名：com.huawei.hms.stats。 开发者：华为软件技术有限公司。 使用目的：为 Huawei Push Kit 提供基础运行、接口调用分析、性能优化和故障排查能力。 触发条件：您同意本政策后，应用在华为设备上初始化 Huawei Push Kit 时随其加载。 收集信息范围：应用包名和版本、SDK 版本、设备型号、操作系统版本、网络类型、接口名称、接口调用结果、调用耗时及故障信息。 SDK 隐私政策链接：https://developer.huawei.com/consumer/cn/doc/development/graphics-Guides/sdk-data-security-0000001050700772
Android 系统通知和语音、系统定位、蓝牙打印以及支付和云存储服务，仅在对应功能所必需时调用。完整版本、处理说明及系统组件信息同时公示于《乐客来福商家版第三方 SDK 清单》：https://merrydance.cn/legal/merchant/third-party-sdk-list/latest.html
我们只在实现相应功能所必要的范围内共享信息，不会因接入推送而向五家手机厂商同时注册同一设备。
除以下情形外，我们不会向其他主体共享个人信息：
1. 为履行订单向有权处理该订单的商户人员、用户、骑手或服务提供者提供必要信息； 2. 为支付、退款、对账和结算向支付或金融服务机构提供必要交易信息； 3. 为存储您主动上传的资料而使用受约束的云存储或内容分发服务； 4. 已获得您的单独同意； 5. 法律法规规定、行政司法机关依法要求，或为保护重大合法权益所必需。
如发生合并、分立、收购或资产转让并涉及个人信息转移，我们会依法告知接收方，并要求其继续受本政策约束。
四、信息保存和安全保护
1. 原则上，我们在中华人民共和国境内保存本应用处理的个人信息。如确需跨境提供，我们将依法履行告知、评估和取得必要同意等义务。 2. 我们仅在实现本政策目的所必需的最短期限内保存信息；法律法规对交易、税务、审计或争议处理另有期限要求的，从其规定。 3. 厂商推送令牌在设备解绑、账号退出、令牌失效或您撤回相关同意后停止用于发送；因网络不可用导致注销暂未完成时，我们会通过绑定状态、有效期和后续同步完成收敛。 4. 我们采用访问控制、身份认证、加密传输、最小权限、日志审计、备份恢复和敏感信息脱敏等措施保护信息。 5. 发生或者可能发生个人信息泄露、篡改、丢失时，我们将立即采取补救措施，依法向履行个人信息保护职责的部门报告，并及时通过电子邮件、电话或公告等适当方式通知受影响的个人。通知内容包括涉及的个人信息种类、事件原因和可能造成的危害、我们采取的补救措施、您可以采取的减轻危害措施，以及我们的联系方式。经采取措施能够有效避免上述事件造成危害的，我们可以依法不通知个人；主管部门认为可能造成危害并要求通知的，我们将按要求通知。
五、您的权利
您有权依法访问、复制、更正、补充、删除您的个人信息，限制或拒绝特定处理，撤回同意，以及注销账号。您还可以：
1. 在 Android 系统设置中关闭通知、位置、蓝牙等权限； 2. 在 Android 系统设置中调整通知、声音和勿扰模式；关键订单语音不提供应用内静音开关，其实际播放仍可能受系统音量、音频焦点和通知渠道设置影响； 3. 在应用“设置 → 账号与隐私”中退出账号并申请解绑当前设备、撤回隐私同意或申请注销账号； 4. 登录后，在应用“设置 → 关于乐客来福商家版 → 客服与帮助”中查看用于客服与投诉的邮箱，提出个人信息权利请求或意见、投诉。
撤回同意不影响撤回前基于您同意已经进行的处理。部分依法必须保存的订单、交易、税务、审计或争议记录不能立即删除。撤回本应用基础隐私同意后，应用将停止业务运行、退出当前账号并返回受限登录入口；再次明确同意前，仅提供离线协议阅读和退出应用的能力。
六、未成年人保护
商户端面向依法开展经营活动的商户及其授权工作人员，不面向未满十四周岁的未成年人。若我们发现未经监护人同意处理了未成年人个人信息，将依法及时处理。
七、政策更新
当处理目的、处理方式、个人信息种类或第三方 SDK 发生实质变化时，我们会发布新版本并重新征求您的同意。应用会将您同意的政策版本、商户协议版本、协议集合校验值和同意时间保存在本机，以判断是否需要重新展示。
八、联系我们
个人信息处理者：来富网络（宁晋）有限公司。
如您对本政策有疑问、意见、投诉或需要行使个人信息权利，可在登录后通过应用“设置 → 关于乐客来福商家版 → 客服与帮助”查看用于客服与投诉的邮箱，或发送邮件至：merrydance@foxmail.com。账号注销请在“设置 → 账号与隐私”中发起；注销前，我们会核验商户主体和账号权限，并处理未完结的订单、结算或争议。我们会在法律规定的期限内处理您的请求。