2FA

隐私政策

开发者及运营者：聊城南迦巴瓦网络科技有限公司
更新日期及生效日期：2026年10月22日
APP 备案号：鲁ICP备2023021631号-5A

本政策适用于聊城南迦巴瓦网络科技有限公司（以下简称“我们”）提供的 2FA Android App 及相关官网、账号和备份服务。我们依照《中华人民共和国个人信息保护法》等法律法规，向您说明个人信息的处理目的、方式、范围、保存期限和管理方法。请在使用前阅读本政策及《用户协议》。

验证码密钥关系到您第三方账号的安全。验证码在本机生成，账户资料在本机加密保存。游客不使用云同步；微信登录后默认开启自动加密云备份，您可在“我的”关闭。自动云备份在客户端加密后上传，云备份密钥由服务端托管，因此服务端具备解密能力；这种方式支持在其他设备登录同一微信后恢复，无需另设云备份密码。手动导出的文件另外使用您设置的独立密码加密，该密码不上传、遗失后无法找回。同意隐私政策后，应用可能在启动及返回验证器首页时展示广告。

一、我们如何收集和使用信息

1. 本地验证器与随机密码

您手动填写、扫描或导入的服务名称、账户名称、OTP 密钥、验证码类型、算法、位数、刷新周期或计数器、图标标识、标签、创建时间及置顶顺序，仅用于管理账户和生成验证码。上述内容保存在本机加密数据库中，运行时在本机解密使用。游客或自动云备份关闭时不进行云同步；微信登录且开关开启时，账户及后续变更会按本节第三项所述自动加密上传和恢复。扫描图像仅在本机预览与解码，不上传服务器，也不保存为相册照片。

随机密码的长度、字符选项和生成结果在本机处理，不上传服务器。您主动点击复制时，我们将选中的验证码、密码、用户 ID 或客服信息写入系统剪贴板；您主动在输入框粘贴时，应用接收您选择粘贴的内容。我们不在后台读取或上传剪贴板。剪贴板内容及您向其他应用粘贴后的内容受系统和接收应用管理。

应用在本机记录隐私同意状态、成功选择的登录方式、验证码显示偏好和必要的同步状态，以恢复设置和处理跨设备变更；服务端保存自动云备份开关。游客模式仅记录本节第四项所述的设备标识及渠道，不创建服务端登录会话，也不同步云端账户数据。首次微信登录可将此前未绑定的游客账户转入该微信对应的数据分区；此后按用户身份区分本机账户。切换微信账号时，不会将前一账号的数据自动上传给后一账号。退出登录仍保留当前分区供离线使用。

2. 微信登录与会话

仅当您主动选择微信登录时，我们调用微信 OpenSDK，检查微信是否安装，并向微信发送应用标识、授权范围和随机校验状态。经您在微信确认后，客户端取得一次性授权 code，通过 HTTPS 交给 2FA 服务端校验。服务端向微信获取 OpenID、UnionID（如返回）、您授权的昵称和头像地址，用于区分用户、展示资料及关联云备份，并生成 2FA 用户 ID。我们不通过该功能获取您的微信密码、聊天记录、好友列表或微信手机号。

一次性授权 code 和微信接口访问凭据仅用于本次校验，不作为长期用户资料保存。2FA 会话凭据在客户端加密保存，服务端保存其摘要及创建、到期时间。之后启动应用时，会使用已有会话向 2FA 服务端校验登录状态，不会自动再次调起微信授权。当前会话有效期为 30 天；退出登录撤销当前会话，注销账号撤销全部会话。加载头像时，您的设备会向微信头像地址请求图片，由该服务处理必要的网络信息。

3. 自动云备份、文件导入与分享

文件导入仅读取您通过系统文件选择器选中的文件，或您主动粘贴的内容；恢复、解密和重复项判断均在本机完成。您手动导出加密备份时，应用使用您设置的独立密码在本机创建加密文件，经系统分享面板交给您选择的应用；该文件密码不上传，遗失后我们无法找回。接收方及后续保存、传输方式由您选择，我们不会因分享而自动收到文件。

自动云备份需要微信登录。首次微信登录默认开启；您在“我的—自动加密备份到云端”关闭后，开关状态由服务器保存，下次登录按该状态执行。开启时，应用在登录、恢复会话及账户新增、修改、删除、置顶或计数器变化等需要同步的场景中，自动获取云端当前状态，在本机解密并合并后上传最新加密快照；同步失败会在验证器列表顶部提示，并提供“同步到云端”重试，本机验证码仍可使用。

服务器为每位用户生成独立随机的 256 位云备份密钥，并经服务端主密钥封装后保存；主密钥独立于公开网站目录管理。验证登录身份后，服务器通过 HTTPS 将相应密钥提供给客户端。客户端使用 AES-GCM 加密账户快照再上传；服务器保存用户 ID、密文、随机 IV、格式和密钥版本、条目数、修订号、更新时间、封装后的云备份密钥以及自动备份开关。上述信息用于跨设备恢复、同步和冲突处理。服务端持有解封装能力，因此具备解密云端账户内容的技术能力；云备份并非只有您持钥的端到端加密服务。我们仅在提供恢复、维护安全、处理您请求或履行法定义务的必要范围内处理这些信息，并限制访问。

自动同步也会同步删除等变更，云端保存的是当前状态，不提供误删历史找回保证。应用结合本机状态、上次同步基线和云端状态处理变更，优先保留删除结果，避免旧设备使已删除账户重新出现；HOTP 计数器同步时不回退。关闭自动云备份会停止自动上传和恢复，但不删除已有云端快照或本机数据。您可以联系客服申请删除云端数据，或在应用内注销账号；注销会删除云端用户关联数据及托管的用户密钥。服务器灾难恢复备份见第四节。

4. 联系、反馈与服务信息

您登录后主动提交反馈时，我们保存用户 ID、反馈正文、您自愿填写的联系方式和提交时间，用于回应问题、排查故障和后续沟通。联系方式为选填；请不要在反馈、邮件或客服沟通中发送 OTP 密钥、验证码、备份密码或备份文件。游客可直接通过本政策的联系方式咨询。

进入“我的”或“关于我们”时，应用会读取服务信息；主动检查更新时，会发送当前客户端版本号，服务器先比较版本，仅在需要升级时生成临时 APK 下载地址。下载由您确认后交给浏览器或系统处理。访问 API、官网、法律页面或下载资源时，网络服务会处理 IP 地址、请求时间、请求路径、响应状态，以及请求携带的客户端类型等必要网络信息，用于传输、防止滥用和故障排查。应用不会把验证码密钥放在网址或请求日志中。

您同意隐私政策后，在进入启动登录页时，应用会按需读取设备品牌、型号和 Android ID，并将上述信息拼接为设备标识（deviceId），通过 HTTPS 向 2FA 服务端发送该标识，以及应用包名、渠道和版本号，用于记录设备及应用渠道信息。服务端保存上述信息、设备标识的 MD5 摘要、来源 IP 和请求时间；该记录无需微信登录，也不包含 OTP 密钥或验证码。设备记录由我们运营的服务器处理，您可通过本政策联系方式申请查询或删除。

微信登录或恢复已有微信会话时，应用同时报告安装包渠道；服务端将首次非空渠道保存于对应用户记录，仅供后续渠道统计，不因之后换包或登录而覆盖。游客登录或恢复时，应用可通过 HTTPS 提交上述设备标识及渠道；这项渠道记录直接使用设备品牌、型号和 Android ID 拼接的设备标识作为游客标识，保存首次渠道及创建和更新时间。该游客记录仅用于设备渠道统计，不建立登录会话、不返回账号凭据或开启云备份，与之后微信登录的用户记录独立。上报成功后本机记录状态，失败不影响本机游客使用；清除应用数据后可再次上报。您可联系隐私负责人查询或删除这类记录。

服务端会依据来源 IP 或用户 ID 进行频率限制，限流记录仅保存摘要键、请求计数和到期时间。正常业务不收集通讯录、短信、通话记录、精确位置或完整已安装应用列表，也未接入独立的用户行为统计或推送服务。

二、设备权限及您的选择

您可在“我的—设置—应用权限设置”或 Android 系统设置中管理相机等权限。系统权限同意与隐私政策同意相互独立，您可拒绝非必要权限。

三、第三方服务、共享与委托处理

微信 OpenSDK 由深圳市腾讯计算机系统有限公司提供，仅用于您主动发起的微信登录；腾讯云下载服务用于获取您选择下载的 APK，处理必要网络请求。开源 CameraX、ZXing、Room、Coil、Retrofit、OkHttp 等组件分别提供本机扫码、存储、图片加载和网络请求能力，集成这些组件本身不意味着把信息提供给其作者。具体主体、处理方式、信息范围和官方规则见《第三方 SDK 及服务清单》。

穿山甲广告 SDK 用于启动时的开屏广告及验证器首页的插屏广告。仅在您同意隐私政策且符合展示条件后初始化和请求广告；首页插屏会控制展示间隔。广告服务可能处理基础设备和网络信息、应用信息及广告展示点击记录，具体范围及已配置的限制见第三方 SDK 清单。我们不会将 OTP 密钥、备份内容、微信身份或反馈内容传给广告 SDK。

我们仅在提供相应功能所需范围内使用服务提供方，并依法要求受托方保护信息。除您主动选择的分享、已依法告知并取得必要同意的情形、履行合同所必需或履行法定义务等法律允许情形外，我们不会向无关第三方提供、出售或公开您的个人信息。发生合并、分立等涉及信息转移的情况时，将告知接收方并要求其继续履行保护义务；处理目的或方式变化时依法重新取得同意。

四、信息保存、删除与安全

本地信息保存在您的设备，登录资料、您提交的反馈、自动同步的加密快照及封装后的用户云备份密钥保存在我们运营使用的服务器。我们不主动将上述信息提供给境外接收方；如后续确有此类需求，将事先依法履行告知、必要的单独同意和其他程序。

• 本机账户及偏好：在您删除相应账户、清除应用数据或卸载前保留；退出微信或注销 2FA 云端账号不会删除本机验证器。对外分享产生的加密临时文件会在再次导出时替换，您也可通过系统清除应用缓存；您另行保存到其他位置的文件须自行管理。
• 微信身份、用户资料与云备份：用于维持账号和自动同步服务。关闭自动云备份仍保留已有快照、托管的用户密钥和开关状态，以便您重新开启；注销时从在线数据库删除用户资料、快照、托管的用户密钥及其他用户关联数据。单独删除云端数据可联系客服申请。昵称和头像可通过微信更新后重新授权刷新。
• 登录会话和限流记录：到期后不再有效，每日清理到期记录；退出登录会撤销当前服务端会话，注销会删除全部会话。因断网导致退出请求未送达时，本机会清除登录状态，原服务端会话仍会按到期规则失效。
• 反馈：在账号存续期间用于处理和回溯您提交的问题，您可联系我们申请提前删除；注销时一并删除。
• 服务器灾难恢复备份：每日生成，最长保留 7 天，保存在网站公开目录之外并限制访问。已删除或注销的数据可能暂时存在于到期前的历史备份中，不再用于日常业务，随备份轮换清除；如需灾难恢复，将核对并再次执行已发生的删除、注销操作。
• 必要的网络访问、安全及故障日志：限于安全运行、故障处理和法定义务所需的范围及期限保存，到期后删除或匿名化；业务 API 不将请求正文、登录令牌、OTP 密钥或备份密码写入运行日志。依法必须继续保存的信息仅用于相应法定目的。

我们采用本机密钥库加密、云快照加密、云备份密钥封装、独立密码文件加密、HTTPS 传输、服务端令牌摘要、访问控制和受限备份等保护措施。任何技术都不能保证绝对安全，请保护好设备锁屏、微信账号及备份密码，避免向不可信应用或人员分享二维码、密钥和备份。发现安全问题后，我们将采取补救措施，并依法通知用户和履行报告义务。

五、您管理个人信息的权利

• 查看、更正与复制：您可以在验证器页面查看、编辑本机账户，并使用加密导出保存副本；微信用户资料可在“我的”查看。其他个人信息的查阅、复制、补充、更正可联系下方隐私负责人。
• 删除与注销：可在验证器页面删除账户，自动云备份开启时该删除也会同步到云端及其他同步设备。关闭开关后停止自动同步并保留已有快照；如需删除全部云端数据，可联系我们申请或注销账号。已登录用户可在“我的—设置—注销账号”按提示输入“确认注销”并提交，在线用户资料、全部会话、云备份、托管的用户云备份密钥及反馈将删除。该操作不可撤销，且不自动删除本机验证器或您已向其他应用分享的文件。
• 撤回授权：可关闭相机权限，停止使用对应可选功能；可在“我的”关闭自动云备份，以停止后续自动上传和恢复。微信授权可在微信的授权管理中解除（路径以微信当前界面为准）。如不再使用 2FA 云端服务，请同时退出登录或注销；解除微信授权本身不会自动删除既有 2FA 云备份。您也可联系我们撤回相应同意或申请删除。撤回不影响此前合法处理的效力。
• 本地数据控制：如您希望重置本机的隐私同意和所有应用状态，可在系统中清除应用数据。请先导出并确认可恢复的加密备份，该操作会同时删除本机密钥；只卸载应用不会自动注销云端账号。
• 投诉与解释：您可请求解释本政策、投诉或申诉。为防止他人冒用，我们可能核实与请求相称的身份信息，不会要求您提供验证码密钥或备份密码。我们将在核实后及时处理并在法律规定期限内回复；如无法满足请求，将说明理由及可用救济渠道。

六、未成年人保护

未成年人应在监护人指导下阅读本政策、管理账户和使用服务。我们不以不满十四周岁的儿童为专门服务对象；如涉及儿童个人信息，将依法取得监护人同意并采取专门保护措施。若监护人发现儿童未经适当同意提交了信息，请通过下方渠道联系我们，我们会核实并及时删除或依法处理。

七、本政策的更新

功能、权限、接收方或处理规则发生实质变化时，我们会更新本政策及相关清单，并通过应用内提示或其他显著方式告知；依法需要重新取得同意的，会在相关处理发生前征求同意。您可随时在应用“我的—设置”及官网查看本政策。

八、联系我们

开发者及运营者：聊城南迦巴瓦网络科技有限公司
公司注册地址：山东省聊城市冠县烟庄街道烟庄村民委员会向东200米平安路路东
常用办公地址：山东省聊城市冠县烟庄街道烟庄村供销苑小区3号楼
客服邮箱：houapp@qq.com
客服微信：houapp
隐私联系人：侯先生，电话：17278101471
信息保护负责人：侯志国
信息保护负责人联系电话：17278101471

您也可以通过 2FA App“我的—关于我们”提交意见反馈。无需为了联系隐私负责人而注册或登录；游客可直接使用上述邮箱、电话或客服微信。