第三方 SDK 目录及信息共享清单
更新日期：2026年11月4日
生效日期：2026年11月4日
为了保障闪记熊（以下简称“本应用”）相关功能的实现与安全稳定运行，我们可能会接入由第三方提供的软件开发包（SDK）或技术服务。我们接入的第三方 SDK 均经过审慎评估与安全合规核查。
本目录向您详细说明本应用接入的第三方 SDK 规范全称、包名/代码标识、所属主体、使用目的、收集的个人信息类型及官方隐私政策链接：
个人信息共享范围声明
- 我们仅在以下场景向第三方共享个人信息：您在应用内主动购买会员或支付时，通过支付宝官方 SDK 向支付宝（中国）网络技术有限公司提供设备型号、操作系统版本、网络状态及订单信息；您在 iOS 端主动购买或恢复购买时，交易凭证与订单号由 Apple Inc. 通过 StoreKit 处理。
- 本应用不会向任何第三方 SDK 或服务商共享 IMEI、IMSI、设备 MAC 地址、SUPI、SUCI、软件安装列表、位置信息、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息。
- 下方所列 SDK 的身份、处理目的、处理方式及个人信息类型均已逐项列明；除上述共享场景外，其余 SDK 均在设备本地处理，不向第三方公司传输数据。
1. 支付宝客户端 SDK
- SDK 名称：支付宝客户端 SDK（Alipay SDK）
- 包名 / 代码标识：
com.alipay.sdk（Maven:com.alipay.sdk:alipaysdk-android） - 所属公司 / 运营主体：支付宝（中国）网络技术有限公司
- 使用目的 / 业务场景：用于用户在应用内进行会员购买、订单支付及交易安全保障与反欺诈风控
- 收集个人信息类型 / 所需权限：常用设备信息（设备型号、操作系统版本、网络状态等）、
android.permission.INTERNET、android.permission.ACCESS_NETWORK_STATE - 处理方式：本地调用，通过安全加密传输与支付宝服务器交互
- 官方隐私政策：https://render.alipay.com/p/c/k2cx0tg8
2. Google ML Kit 文字识别 SDK
- SDK 名称：Google ML Kit Text Recognition SDK
- 包名 / 代码标识：
com.google.mlkit/com.google_mlkit_text_recognition（Gradle:com.google.mlkit:text-recognition-chinese） - 所属公司 / 运营主体：Google LLC
- 使用目的 / 业务场景：用于卡片拍照识题录入、相册图片文字提取（OCR）
- 收集个人信息类型 / 所需权限：所选图片/相册照片信息、
android.permission.CAMERA、android.permission.READ_MEDIA_IMAGES/ 相册读取权限 - 处理方式：纯设备端本地离线识别，不上传云端，不收集或传输用户个人图像信息
- 官方说明 / 隐私政策：https://developers.google.com/ml-kit/terms
3. freeRASP 移动安全加固 SDK
- SDK 名称：freeRASP Mobile Security SDK
- 包名 / 代码标识：
com.aheaditec.freerasp/com.aheaditec.talsec（freerasp） - 所属公司 / 运营主体：Talsec s.r.o.
- 使用目的 / 业务场景：应用运行时安全防护（RASP），检测 Root/越狱、模拟器运行、动态 Hook（Frida/Xposed/Magisk）、调试及二次恶意重打包，保障账户资产与运行安全
- 收集个人信息类型 / 所需权限：系统安全状态标识（Root 标志、调试标志、应用签名证书哈希值等系统安全指标，不收集个人身份信息）
- 处理方式：设备本地实时检测与防护
- 官方隐私政策：https://talsec.app/privacy-policy
4. Apple StoreKit 内购 SDK
- SDK 名称：Apple StoreKit In-App Purchase SDK
- 包名 / 代码标识：
StoreKit.framework/io.flutter.plugins.inapppurchase（in_app_purchase） - 所属公司 / 运营主体：Apple Inc.
- 使用目的 / 业务场景：仅限 iOS 平台，用于用户在 iOS 设备上进行 VIP 订阅及内购项目的购买与凭证验证
- 收集个人信息类型 / 所需权限：Apple ID 关联的交易凭证、订单号（由 iOS 系统底层 StoreKit 处理）
- 处理方式：iOS 系统级内购组件交互，应用仅接收并校验交易收据
- 官方隐私政策：https://www.apple.com/legal/privacy/szh/
5. Sherpa ONNX 离线语音识别 SDK
- SDK 名称：Sherpa ONNX 离线语音识别 SDK
- 包名 / 代码标识：
com.k2fsa.sherpa.onnx/sherpa_onnx - 所属公司 / 运营主体：新一代 Kaldi / 开源社区 (Next-gen Kaldi Project)
- 使用目的 / 业务场景：卡片语音跟读评估、离线语音转写输入
- 收集个人信息类型 / 所需权限：麦克风采集的实时音频片段、
android.permission.RECORD_AUDIO录音权限 - 处理方式：纯设备端本地离线神经网络推理，无需联网，不上传任何语音数据
- 开源主页：https://github.com/k2-fsa/sherpa-onnx
6. device_info_plus 设备信息 SDK
- SDK 名称：device_info_plus
- 包名 / 代码标识：
dev.fluttercommunity.plus/device_info/device_info_plus（^13.2.0） - 所属公司 / 运营主体：Flutter Community（开源社区维护）
- 使用目的 / 业务场景：读取设备型号、操作系统版本、Android ID / iOS identifierForVendor，用于账号鉴权的设备指纹生成、运行时安全风控上报（仅在检测到威胁时）
- 收集个人信息类型 / 所需权限：设备唯一标识符（Android ID / IDFV）、设备型号、操作系统版本；无需额外申请权限
- 处理方式：本地读取，设备标识符仅在用户同意隐私政策后、且触发安全威胁检测时通过 HTTPS 上报风控接口
- 官方主页：https://pub.dev/packages/device_info_plus
7. photo_manager 相册访问 SDK
- SDK 名称：photo_manager / photo_manager_image_provider
- 包名 / 代码标识：
dev.fluttercommunity.plus/photo_manager/photo_manager（^3.11.0） - 所属公司 / 运营主体：Flutter Community（开源社区维护）
- 使用目的 / 业务场景：读取用户相册图片，用于卡片制作时的拍照识题（OCR）和图片挖空功能
- 收集个人信息类型 / 所需权限：相册内的图片文件；
android.permission.READ_MEDIA_IMAGES（Android 13+）/android.permission.READ_EXTERNAL_STORAGE（Android ≤12）；iOS 使用NSPhotoLibraryUsageDescription - 处理方式：用户主动进入选图界面时申请权限，图片仅在设备端本地离线处理（ML Kit OCR），不上传云端
- 官方主页：https://pub.dev/packages/photo_manager
8. 第三方 SDK 在静默状态与后台运行时的处理说明
本应用接入的第三方 SDK 均为功能实现与安全防护所需，不包含广告投放、行为统计分析/埋点及消息推送类 SDK。各 SDK 在静默状态（您未主动操作应用）与后台运行时的处理规则如下：
- 支付宝客户端 SDK：仅在您主动发起支付、订单查询等操作时调用，不会在应用启动、静默状态或后台运行时初始化或采集设备信息。
- Google ML Kit 文字识别 SDK：仅在您主动拍照或选择图片时进行本地离线识别，不在后台调用，图像不上传云端。
- freeRASP 移动安全加固 SDK：在您同意隐私政策后随应用启动；应用进程存活期间（包括刚退至后台、进程尚未被系统回收的短暂时段）在本地持续进行安全状态检测，仅读取系统安全指标且不上传；仅在检测命中风险时，才将设备标识符与风险类型上报至风控接口。
- Apple StoreKit 内购 SDK：仅在您主动购买、恢复购买或交易校验时由 iOS 系统处理，不在后台采集个人信息。
- Sherpa ONNX 离线语音识别 SDK：仅在您主动使用语音跟读或转写功能时进行本地推理，不在后台录音或采集音频。
- device_info_plus 设备信息 SDK：仅在注册、主动提交反馈、安全风控上报等您主动触发或风险命中的场景下本地读取设备信息，不在静默状态或后台运行时主动读取或上传。
- photo_manager 相册访问 SDK：仅在您主动进入选图界面时申请权限并读取所选图片，不在后台读取相册。
除上述已列明场景外，本应用接入的第三方 SDK 不会在静默状态或后台运行时收集、上传您的个人信息。如后续新增 SDK 或处理规则发生变化，我们将更新本清单并在应用内提示。
9. 第三方 SDK 变更与监督说明
我们会对合作方获取信息的软件开发工具包（SDK）进行严格的安全监测，并与合作方约定严格的数据保护措施。随着应用功能的更新，我们接入的第三方 SDK 可能会发生变动，我们将及时更新本目录。
10. 自启动与关联启动说明
- 本应用未接入具备自启动、关联启动或后台保活能力的第三方商业 SDK（未接入广告投放、统计埋点及消息推送类 SDK），不存在 SDK 相互唤醒或静默拉起其他应用的行为。
- 应用唯一的开机自启广播来自本地通知组件 flutter_local_notifications（Flutter 生态插件，非第三方商业 SDK）：仅在设备重启后恢复您已主动开启的每日学习提醒，不启动应用主界面、不联网、不采集个人信息；当您关闭学习提醒后，将不再进行该调度。
- 关联启动仅在您主动操作时发生：使用支付宝支付时拉起支付宝客户端或收银台；主动检查更新时跳转应用商店或官网下载页，均为完成您主动发起的业务所必需。
- 应用内不存在相互唤醒、定时自启、后台保活或频繁自启动行为。