2FA第三方 SDK 及服务清单
本清单列明 2FA Android App 集成的第三方 SDK、必要的网络服务和主要开源组件。不同功能仅在对应场景下处理信息，以下说明与《隐私政策》共同适用。
用户同意隐私政策前，客户端不注册微信 OpenSDK、不初始化穿山甲广告 SDK、不调用业务 API。您主动打开隐私政策等网页时，会产生页面加载所必需的网络请求。同意后，广告 SDK 仅在符合开屏或验证器首页插屏的展示条件时初始化和请求广告。
一、微信 OpenSDK Android
| 提供方 | 深圳市腾讯计算机系统有限公司 |
|---|---|
| 用途与场景 | 您主动选择微信登录时，调起微信授权、校验结果并关联您的 2FA 云端身份，供本应用按自动备份开关进行同步和换机恢复。不用于支付、读取微信聊天或好友列表；“分享给好友”使用系统分享面板。 |
| 处理信息 | 微信安装及相关能力状态、2FA 应用标识、授权范围、随机 state、一次性授权 code、授权结果；经您确认后，微信向 2FA 服务端提供 OpenID、UnionID（如返回）、您授权的昵称及头像地址。对应的身份校验和头像请求产生必要的网络信息。 |
| 处理方式与时机 | 同意本政策后，仅在您主动登录时创建、注册 SDK 并与微信应用交互；授权 code 通过 HTTPS 由 2FA 服务端向微信校验。后续启动使用已有 2FA 会话校验，不自动调起微信授权。 |
| 规则与权利 | 微信 OpenSDK 个人信息处理规则。可在微信的授权管理中解除授权；2FA 已存数据需依本应用隐私政策另行删除或注销。 |
二、穿山甲广告 SDK
| 提供方 | 北京巨量引擎网络技术有限公司 |
|---|---|
| 当前状态 | 同意隐私政策后，满足展示条件时启用。应用采用非聚合使用方式，不启用其他广告平台的聚合接入。 |
| 模块用途 | 用于应用启动时的开屏广告，以及验证器首页进入前台时的插屏广告。首页插屏控制展示间隔；不以观看广告换取验证码或本地密钥功能。 |
| 启用广告模块时的信息范围 | 根据 SDK 官方规则及已配置限制，可能处理基础设备信息（品牌、型号、系统、屏幕、语言、时区、CPU 与存储情况）、IP 地址和网络连接信息、应用包名及运行状态、广告请求与展示点击记录、广告效果与故障日志；终端支持时可能涉及 OAID 等广告标识。仅在 SDK 初始化和相应广告服务过程中按实际能力与设置处理，不向其提供验证码或账户密钥。 |
| 已配置的限制 | 关闭定位、电话状态、Wi-Fi 信息、Android ID、完整软件列表、外部存储、录音及运动传感器等可选能力；不向 SDK 提供 IMEI、MAC、OAID 值，默认关闭个性化广告推荐及下载通知。未向广告 SDK 传入 2FA 用户 ID、微信身份、OTP 密钥、云备份或反馈内容。 |
| 处理方式 | 在您同意隐私政策且符合广告展示条件后初始化 SDK，通过网络请求广告，并为广告展示、归因、反作弊与稳定性保障处理必要信息。 |
| 官方规则 | 穿山甲广告 SDK 隐私政策；穿山甲广告 SDK 合规使用说明。 |
三、腾讯云 APK 下载服务
| 提供方 | 腾讯云计算（北京）有限责任公司 |
|---|---|
| 用途与场景 | 存放并传输 2FA APK。您通过官网主动下载，或在应用发现新版本后确认下载时访问；该项为网络文件服务，不是嵌入客户端的腾讯云 SDK。 |
| 处理信息 | 下载文件路径、临时签名 URL、来源 IP、请求时间、浏览器或下载客户端信息及传输结果，用于文件传输、访问控制和运行安全。不会为 APK 下载提供您的 OTP 密钥、备份密码、云备份或微信身份。 |
| 处理方式与规则 | 浏览器或系统下载工具通过 HTTPS 请求文件。云平台说明见腾讯云隐私保护声明；我们运营的 2FA 服务自身的信息处理仍由本应用隐私政策说明。 |
自动云备份由 2FA 自有服务完成，不是微信文件备份服务。云端使用每位用户独立的随机密钥，客户端加密后上传，密钥由 2FA 服务端封装托管，服务端具备解密能力。我们不会因使用微信登录而把 OTP 密钥、云快照、云备份密钥或手动导出文件密码提供给微信 OpenSDK；微信用于身份验证。具体开关、保存与删除规则见隐私政策。
四、本机与网络开源组件
| 组件及维护方 | 用途与实际信息流向 | 项目说明 |
|---|---|---|
| CameraX / AndroidX（Google 及开源贡献者） | 实现本机相机预览、界面和系统能力。扫码帧交给本机解码，不向 Google 上传图片。 | CameraX 官方文档 |
| ZXing core（ZXing 开源项目贡献者） | 在本机编码和解码 OTP 二维码，不调用云端识别。 | ZXing 项目 |
| Room / DataStore（AndroidX，Google 及开源贡献者） | 在本机保存已加密的账户、会话及应用偏好，不因存储操作向组件作者发送业务数据。 | Room 官方文档；DataStore 官方文档 |
| Retrofit / OkHttp（Square 及开源贡献者） | 发起 2FA 业务 HTTPS 请求。内容由对应功能决定，发送给 2FA API 或实际请求的目标地址，不发送给组件作者。 | Retrofit 项目；OkHttp 项目 |
| Coil（Coil 开源项目贡献者） | 加载及缓存微信头像。网络请求发往头像地址，不向 Coil 作者提供账户数据。 | Coil 项目 |
Kotlin/Kotlinx、Jetpack Compose、Hilt 和 Gson 等基础组件用于语言运行、界面、依赖管理和数据序列化，集成这些组件本身不自动向其作者传输业务数据。外部链接由您主动打开后，按目标网站规则处理必要网络信息。
五、更新与联系
第三方主体、用途、范围或触发时机发生实质变化时，我们会先更新本清单并依法履行告知和必要的同意程序。您可通过houapp@qq.com、客服微信 houapp，或隐私联系人侯先生（17278101471）提出查询、删除或投诉请求。信息保护负责人：侯志国；通信地址及完整权利说明见隐私政策。