隐私政策

1.1 你主动提供的信息

• 账号信息。注册时你提供的电子邮箱地址与密码。密码以不可逆的哈希形式存储，我们无法还原你的明文密码，也不会以任何形式向你索取密码。
• 第三方登录标识。若你选择使用 Google 登录，我们会接收 Google 提供的唯一账号标识（sub）、邮箱地址与邮箱验证状态。我们不会获取你的 Google 密码，也不会读取你的 Gmail、通讯录或其他 Google 服务数据。
• 对话内容。你发送的消息文本、角色生成的回复、对话所属角色与时间戳，以及你为角色设置的昵称等自定义信息。
• 支付与订阅信息。你选择的方案、订阅状态、计费周期、交易金额与时间、以及 Stripe 返回的客户标识与订阅标识。你的银行卡号、CVC、有效期等支付凭证由 Stripe 直接收集与保存，我们的服务器不会接收也不会存储。
• 你主动联系我们时提供的信息。你发送给客服的邮件内容、截图与其中包含的任何信息。

1.2 你在使用服务时自动产生的信息

• 使用数据。对话条数、消耗的额度、使用的模型与角色、功能点击、错误与崩溃记录、页面停留时长等。这些数据用于额度计算、故障排查与产品改进。
• IP 地址与粗略地域。我们记录你的 IP 地址，并据此推断国家/地区级别的粗略位置（不会精确定位到街道或具体地址）。用途仅限于限流、防止滥用与攻击、防范欺诈、满足法律与合规要求。
• 设备与浏览器信息。浏览器类型与版本、操作系统、屏幕尺寸、语言偏好。用于兼容性适配与安全风控。
• 会话与登录状态。用于维持你登录状态的会话令牌（Cookie）与安全校验信息。

1.3 我们不会主动收集的信息

我们不收集你的精确地理位置、通讯录、相册、麦克风或摄像头数据，也不接入任何第三方广告或跨站行为追踪 SDK。请勿在对话中主动发送身份证号、银行卡号、密码、验证码、家庭住址、病历等敏感信息 —— 这些内容一旦发送，将与其他对话内容一样被存储并传输至模型服务商。

我们仅在下列目的范围内使用你的信息，且不会将其用于与这些目的无关的用途：

• 提供与维持服务。创建与验证账号、维持登录状态、保存与展示你的对话记录、让角色基于上下文生成连贯的回复。
• 生成回复。将你的消息与必要的对话上下文发送至大语言模型服务商，以生成角色的回复（详见第 3 节）。
• 额度与配额管理。统计你的使用量，判断是否超出免费额度或订阅方案的限制。
• 安全与防滥用。识别异常登录、批量注册、自动化爬取、提示词攻击与其他违规行为；执行《服务条款》第 3 条的行为规范。
• 支付与账单。通过 Stripe 完成扣款、续费、退款与发票处理，并处理计费争议。
• 客服与通知。回复你的咨询与投诉，发送服务公告、安全提醒、条款与政策变更通知、订阅状态提醒。此类通知属于服务必需，你无法退订；我们不会向你发送第三方广告邮件。
• 改进产品。以聚合或去标识化的方式分析使用趋势，优化角色设定、提示词、界面与性能。
• 法律合规。遵守适用的法律法规、响应有权机关的合法要求、行使或抗辩法律主张。

关于训练模型：我们不会将你的对话内容用于训练我们自己的通用模型，也不会将其出售给第三方。但请注意，大语言模型服务商可能依据其自身条款，在其认为必要的情况下保留相关数据用于安全审查与滥用监测，具体请见第 3 节及该服务商自身的隐私政策。

自动化决策：我们使用自动化手段进行额度计算、风控与内容安全过滤，这可能影响你能否继续发送消息或能否使用某项功能。此类判断不涉及对你个人法律权益的自动决策；若你认为判断有误，可通过客服邮箱申诉。

3.1 我们不会出售你的个人信息。我们仅在下列必要情形下与第三方共享信息：为提供服务而委托的处理方（受托处理）、你的主动指示、法律要求，以及业务转移。

3.2 最重要的披露：你的对话内容会被发送给第三方大语言模型服务商。角色的回复并非由我们的服务器生成，而是由第三方 LLM 服务商（例如 OpenAI、DeepSeek 等）根据我们提交的请求生成。为完成一次回复，我们会向该服务商传输：

• 你本次发送的消息内容；
• 角色的设定文本与系统提示词；
• 为让回复连贯而附带的近期对话历史；
• 用于计费归属与滥用检测的账号或请求标识。

这意味着你的对话内容会离开我们的服务器，并由该服务商在其基础设施上处理。我们会在选择服务商时评估其数据保护水平，并尽量选择承诺不将 API 数据用于训练其模型的服务商；但该等服务商的数据处理行为受其自身隐私政策约束，我们无法完全控制。因此，请勿在对话中发送你不希望被第三方处理的信息。

3.3 我们当前使用的第三方处理方及其接收的数据如下：

3.4 其他共享情形：

• 法律与安全要求。为遵守法律、法规、司法或行政命令，或为调查、预防、处理违法活动、欺诈、安全威胁（包括涉及未成年人的严重违规），我们可能向主管机关或执法机构披露必要信息。除紧急情况或法律禁止外，我们会尽量告知你。
• 业务转移。若我们发生合并、收购、重组、资产出售或破产，你的信息可能作为资产的一部分被转移。我们会要求受让方继续受本政策约束，并在转移前通过站内公告或邮件通知你。
• 经你同意。除上述情形外，我们仅在取得你明确同意后才会与第三方共享你的信息。

3.5 我们不使用第三方广告网络，因此不存在向广告商共享你的行为数据用于跨站投放的情形。

我们采取符合行业惯例的技术与管理措施保护你的信息：

• 传输加密。你与我们之间的全部通信，以及我们与第三方服务商之间的通信，均通过HTTPS/TLS 加密传输，防止数据在途中被窃听或篡改。
• 密码哈希。密码使用业界认可的加盐哈希算法单向处理，我们无法查看或还原你的明文密码。即使数据库泄露，攻击者也无法直接得到可用密码。
• 访问控制。对生产数据的访问遵循最小权限原则，仅限确有必要且经过授权的人员，并需通过身份验证。我们会对访问行为进行审计与记录。
• 会话安全。登录会话使用签名的令牌，并设置有效期；支持你主动登出以立即失效会话。
• 存储加密与隔离。数据存储于受访问控制的云数据库中，启用静态加密与网络隔离，并定期备份。
• 安全监测与响应。我们监控异常访问与滥用行为，并制定安全事件响应流程。

安全没有绝对。尽管我们尽力保护你的信息，但任何系统都无法保证百分之百安全。若发生可能对你权益造成重大影响的数据安全事件，我们将依法律要求及时通过站内公告或邮件通知你，说明事件情况、可能影响与我们的应对措施。

5.1 保留期限。我们仅在实现收集目的所必需的期限内保留你的信息：

• 账号信息（邮箱、密码哈希、OAuth 标识）：在你注销账号前持续保留；注销后进入删除流程。
• 对话记录：在你主动删除该对话，或注销账号前持续保留。你也可以随时在对话界面删除单条对话或整个会话。
• 用量与风控数据（含 IP 地址）：通常保留不超过 12 个月，用于限流、反滥用与安全分析。
• 支付与交易记录：依税法、会计法与消费者保护法的要求保留（通常为交易完成后 5 至 7 年）。此类记录由 Stripe 保存，我们仅保留必要的账单标识与金额。
• 客服邮件：一般在处理完毕后再保留不超过 24 个月。

5.2 删除账号时会发生什么。当你注销账号或申请删除时：

• 我们会立即停用你的账号，并停止生成新的对话内容；
• 你的邮箱、密码哈希、OAuth 标识、对话记录与角色自定义信息将在 30 天内从生产系统中删除或匿名化；
• 备份中的数据会随着备份轮换周期（最长约 90 天）被自然覆盖清除；
• 为履行法律义务、解决争议、防止欺诈与保障安全，我们可能保留必要的最小限度记录（如违规处置记录、交易凭证）至法定或合理期限届满；
• 删除不可撤销。账号删除后，对话记录与订阅权益均无法恢复，未使用的付费周期费用不予退还（法律另有规定除外）。

5.3 建议先导出。如果你希望保留对话内容，请在注销前使用第 6 节所述的导出功能自行备份。

6.1 无论你身处何地，我们都尽量为你提供下列权利。若你位于欧洲经济区、英国或瑞士（GDPR/UK GDPR），或位于加利福尼亚州（CCPA/CPRA）等设有专门立法的地区，你享有当地法律赋予的完整权利，本节是对这些权利的通俗说明。

• 查阅与访问。你可以随时在账号设置中查看我们保存的账号信息与对话记录，也可以要求我们提供一份信息副本。
• 更正。若你的邮箱或其他信息有误，可在账号设置中自行修改，或联系我们协助更正。
• 导出（数据可携权）。你可以申请以通用机器可读格式（如 JSON）导出你的账号信息与对话记录。我们会在验证身份后30 天内提供。
• 删除。你可以删除单条对话，也可以在账号设置中注销账号，或发邮件要求我们删除特定数据。具体影响见第 5.2 节。
• 限制与反对处理。你可以要求我们限制或停止某些处理。但请注意，若你反对的是提供服务所必需的处理（如保存对话以生成连贯回复），我们可能无法继续为你提供服务。
• 撤回同意。若某项处理基于你的同意，你可随时撤回；撤回不影响撤回前已进行的处理的合法性。
• 不受歧视。我们不会因为你行使上述权利而拒绝提供服务、降低服务质量或对你区别定价。
• 投诉。若你认为我们处理你信息的方式违反法律，你有权向所在国家或地区的数据保护监管机构投诉。

6.2 如何行使这些权利。

请发送邮件至 support@example.com，并在邮件中说明：① 你希望行使的权利；② 你的注册邮箱；③ 具体的请求内容（例如要删除哪些对话）。为保护账号安全，我们可能要求你从注册邮箱发信 或完成额外身份验证。我们会在收到请求后30 天内答复；情况复杂需要延长的，我们会告知你原因与新的期限。

6.3 关于「出售/共享」的声明。我们不会为获取对价而出售你的个人信息，也不会为跨情境行为广告而共享你的个人信息。因此，CCPA/CPRA 项下不存在需要你选择退出的「出售/共享」行为。

6.4 代理请求。你可以委托授权代理人代为提出请求。我们需要代理人提供你的书面授权证明，并可能仍需直接向你核实身份。

7.1 我们仅使用严格必要的 Cookie 与浏览器本地存储，用于让你保持登录状态、维持会话安全与记住必要的界面偏好（例如主题或侧栏状态）。

7.2 具体而言：

• 会话 Cookie。由我们设置，保存登录凭证，使你刷新页面后仍保持登录。属于服务运行所必需，禁用后你将无法登录。
• 安全 Cookie。用于防范跨站请求伪造（CSRF）等攻击。
• 第三方 Cookie。仅在你进行支付时，Stripe 可能为完成支付与防范欺诈而设置其自有 Cookie；其使用受 Stripe 隐私政策约束。Google 登录过程中，Google 也可能设置其 Cookie。

7.3 我们不使用广告或跨站追踪 Cookie，不接入第三方分析广告平台，也不参与跨站行为广告联盟。因此本服务不展示 Cookie 同意横幅—— 因为我们只使用严格必要的 Cookie。

7.4 你可以在浏览器设置中删除或阻止 Cookie，但阻止严格必要的 Cookie 会导致你无法登录或使用核心功能。

8.1 本服务不面向 13 周岁以下的儿童，我们不会在明知的情况下收集 13 周岁以下儿童的个人信息。若你所在司法辖区规定的数字同意年龄高于 13 周岁（例如欧洲经济区部分国家为 16 周岁），则以该更高年龄为准。

8.2 未满 18 周岁的用户，应在监护人阅读并同意本政策与《服务条款》后，在监护人监督下使用本服务。

8.3 监护人请求删除。若你是监护人，并发现你未满 13 周岁的子女在未经你同意的情况下注册了账号或向我们提供了个人信息，请发送邮件至 support@example.com，并提供：① 你的监护关系说明；② 该账号的注册邮箱或可识别的账号信息。我们会在核实后尽快删除该账号及其相关数据，并停止继续收集。

8.4 若我们在运营中发现某账号属于未达最低年龄的用户，我们会主动关闭该账号并删除相关个人信息。

8.5 由于 AI 生成内容可能包含不适合未成年人的表述，我们强烈建议监护人启用设备与浏览器的家长控制功能，并陪同未成年人使用本服务。

9.1 我们面向全球用户提供服务，你的信息可能被传输至你所在国家/地区以外的服务器进行存储与处理，包括我们、我们的云托管与数据库服务商、大语言模型服务商以及 Stripe 所在的国家/地区（例如美国、新加坡、欧盟成员国等）。这些地区的隐私法律可能与你的所在地不同，保护水平也可能存在差异。

9.2 对于从欧洲经济区、英国或瑞士传输出的个人信息，我们依据适用的法律机制进行传输，例如欧盟委员会的标准合同条款（SCC）、英国国际数据传输附录（IDTA）或充分性认定，并在必要时评估接收方的数据保护水平与补充保障措施。

9.3 我们会要求所有受托处理方以合同方式承诺提供不低于本政策所述水平的保护，并仅按我们的指示处理数据。

9.4 若你希望了解我们为特定传输所采用的具体保障机制，可通过 support@example.com 索取相关说明。

10.1 我们可能因服务功能变化、第三方处理方调整或法律要求而不时更新本政策。更新后的版本将在本页面发布，并更新顶部的「最后更新」日期。

10.2 对于会实质影响你权利的变更（例如新增收集的信息类型、新增第三方共享对象、延长保留期限），我们会在生效前通过站内公告或邮件通知你，并在必要时重新征求你的同意。

10.3 我们建议你定期查看本页面，以了解我们如何保护你的信息。

若你对本政策有任何疑问、意见或投诉，或希望行使第 6 节所述的权利，请通过以下方式联系我们：