草稿：本文尚未定稿，标注「待填」的内容会在上线前补齐。

隐私政策（草稿）

版本 2026-10-24 · 草稿，尚未经法务定稿。标注「待填」的内容由经营者在上线前补齐；标注「待核实」的内容表示经营者尚未提供事实，不代表「有」或「没有」。

1. 我们是谁、如何联系

• 经营者（个人数据的控制方）：待填
• 营业地址：待填
• 隐私联系邮箱（有专人负责）：待填
• 你提出数据权利请求后，我们会在收到请求后 30 天内回复（见第 6 节）。

2. 阅读说明

• 两级接收方：我们把接收数据的第三方分两级登记。第一级是直接接收方，即请求实际发往的服务或中转服务商；第二级是真实模型托管方，即实际运行模型的一方。模型名称不能证明托管方是谁。
• 静态默认与实际启用：第 4 节列出的路线来自代码中的静态默认配置。运营后台可以改变实际使用的路线；上线时实际启用的路线尚待核实，核实后我们会更新本政策。
• 部分中转服务商无公开条款，数据可能被其上游处理。
• 保存期限：多数类别没有统一的保存期限。下文写出每一类的实际规则；没有自动删除的，我们如实说明。
• 地区：我们不承诺数据只存放在某一个国家或地区（见第 5 节）。

3. 我们处理的数据

每一类写明：内容、存放位置、接收方（直接接收方 → 真实模型托管方）、可识别性、保存与删除。第 3.1–3.14 节对应本服务的十四类主要数据，第 3.15–3.17 节是补充类别。

3.1 账号资料

• 内容：邮箱、用户名、用户 ID、VIP 等级与到期时间、点数余额。
• 存放：主数据库；你的浏览器本地存储（登录状态中的用户信息）；服务器运行日志可能记录用户名。
• 接收方：数据库与服务器的托管方（见第 4.3 节）。没有证据表明账号资料会被整份发送给 AI 模型。计划中的邮件服务会收到你的邮箱，用于验证与找回密码；计划中的支付处理方会收到结账所需的邮箱与订单标识。
• 可识别性：直接识别你本人。
• 保存与删除：账号存续期间保存。目前没有自助删除或更正账号的入口，需要按第 6 节人工申请。

3.2 密码与登录令牌

• 内容：密码散列（不保存明文密码）、令牌版本号；浏览器中的访问令牌与刷新令牌。
• 存放：散列与令牌版本号在主数据库；令牌保存在浏览器 localStorage，访问令牌另外保存在 Cookie 中。
• 接收方：只经本服务前端代理到后端；不发送给 AI 模型。数据库备份包含密码散列。
• 可识别性：属于认证秘密；散列不是匿名数据。
• 保存与删除：访问令牌 12 小时有效，刷新令牌 30 天有效。退出登录会让已发出的令牌失效并清除本机的登录信息，但不会删除账号或密码散列。

3.3 聊天

• 内容：你发送的消息、偶像的回复、发送失败的消息草稿、防止重复提交的标识。
• 存放：主数据库；浏览器内存（聊天记录不写入浏览器的持久存储）。
• 接收方：主 LLM 会收到本轮消息、选取的历史消息、偶像人设与相关记忆（静态默认直接接收方为 DeepSeek；真实模型托管方待核实）。记忆提取与内心评审会再次处理相关片段。记忆嵌入服务 OpenRouter 会收到用于检索的查询文本，下游托管方由 OpenRouter 动态选择。
• 可识别性：你主动输入的任何内容都可能包含真实身份、人际关系、健康状况等信息。
• 保存与删除：我们会保存你的聊天记录，没有统一的保存期限。删除偶像时，数据库中该偶像的聊天记录会被删除；已经发送给第三方的数据无法通过本服务撤回。

3.4 记忆与画像

• 内容：从聊天中提取的记忆原子、情景摘要、关于你和偶像的画像及其历史版本，以及对应的向量。
• 存放：主数据库与向量表。
• 接收方：主 LLM（提取记忆、生成画像）；OpenRouter 嵌入服务收到的是记忆与情景的文本，不只是向量。我们的请求要求零数据保留并拒绝数据收集，但这一设置不固定下游托管方，也不限定国家或地区。
• 可识别性：派生数据仍可能识别你；向量不等于匿名数据。
• 保存与删除：记忆衰减默认关闭，记忆不会因时间自动删除；画像默认保留最近 5 个历史版本。删除偶像时，数据库中的记忆、情景与画像会被删除，对应的向量通常一并清理；但在部分运行条件下向量清理会被跳过，此时我们无法确认这些向量已被清除。

3.5 内心状态

• 内容：偶像的心情值、经历、心事与内心评审记录。它们是虚拟角色的状态，但根据你与偶像的互动产生。
• 存放：主数据库。
• 接收方：心情与心事的摘要会进入聊天提示（主 LLM）；完整的内心资料只发给内心相关的 LLM 调用（静态默认与主 LLM 相同）。
• 可识别性：可能形成关于你的推断。
• 保存与删除：心事「已过期」「已解决」只是状态变化，不是删除；没有统一期限。删除偶像时一并删除。

3.6 头像、候选图与参考图

• 内容：偶像头像、创建时生成的候选图、你上传的参考图、处理过程中的临时图、活形象视频。
• 存放：数据库保存文件路径与生成记录；文件先写入服务器本地存储，再上传到对象存储；你的浏览器缓存。
• 接收方：图像生成路线收到外观描述以及图像数据或可访问的地址（静态默认首选 ephone，候选包括 zz1cc、PoloAI 等）；活形象视频经视频路线处理（静态默认 CRUN）；对象存储收到文件。
• 可识别性：真人照片可以识别个人；偶像图片也能关联到你的账号。
• 保存与删除：没有统一期限。候选图的生成记录属于你的账号而不属于偶像，删除偶像不会删除它们。为调用生成服务暂存的上传副本在调用结束后删除；删除失败时，服务启动时会清除超过 24 小时的残留。

3.7 生成的媒体作品

• 内容：图片、视频、音乐、MV、歌词，以及它们的提示词与参数。
• 存放：数据库（作品记录、提示词、元数据、生成任务记录）；文件先写入服务器本地存储，再上传到对象存储；浏览器中的工作台草稿可能包含歌词。
• 接收方：提示词优化、导演、制作人等 LLM 收到你的描述；媒体生成路线收到提示词与参考图（图像静态默认 ephone；视频静态默认 CRUN；音乐静态默认 SunoAPI）；歌词对齐另外向 SunoAPI 发送任务与曲目标识。
• 可识别性：文件、歌词与提示词可能包含人名、肖像、声音或可识别的场景。
• 保存与删除：没有统一期限。删除偶像会删除该偶像在数据库中的作品记录，但不会删除对象存储与服务器上的文件；生成任务记录会保留，只是不再关联偶像。文件需要按第 6 节申请人工清理。媒体文件的公开地址与缓存见第 3.9 节。

3.8 会议

• 内容：会议的输入、多个 AI 角色的讨论记录、方案与执行状态。
• 存放：主数据库；浏览器中的运行状态。
• 接收方：参与会议的 AI 角色（主 LLM）收到方案、角色资料与相互讨论；执行阶段把图片 / 视频 / 音乐提示词发给对应的媒体生成路线。
• 可识别性：可能包含你的自由文本、作品与人物信息。
• 保存与删除：没有统一期限。删除偶像时删除数据库中的会议记录，但不会删除对象存储中的文件或处理方保留的副本。

3.9 分享主页与点赞

• 内容：分享开关与分享链接 token、作品可见性设置、点赞记录。
• 公开内容：开启分享后，任何持有链接的人都可以看到偶像名称、头像、性格标签、简介、评级字母、点赞数，以及你设为可见的作品。分享主页不公开聊天、心事、心情、好感度、等级、经验、评分细项、自由性格文本与画像。
• 两种地址：分享 token 是打开分享主页资料的凭证；作品的图片、视频、音乐另有各自的媒体文件地址。
• 关闭或重置：之后旧 token 不能再读取分享主页资料，但已经发出的媒体文件地址不会被撤销，访客已经拿到的地址仍然可以访问。媒体文件带有最长一年的缓存设置，文件删除后，CDN、浏览器缓存、访客其他设备上的副本以及截图都不在我们的控制范围内。
• 接收方：匿名访客及其浏览器与网络缓存；对象存储与 CDN 服务商。
• 可识别性：可以关联到真实或虚拟身份；不公开邮箱不等于匿名。
• 保存与删除：分享设置与点赞记录随偶像删除。

3.10 支付与点数

• 内容：点数流水、消费单及其处理记录；购买时的订单信息，包括账单国家、含税总价、币种、商品、支付处理方的客户 / 结账 / 付款 / 事件标识、退款与对账记录；你同意《购买条款》的版本、时间与可信 IP。
• 存放：主数据库。完整卡号与安全码只由支付处理方收集，不进入本服务的数据库。
• 接收方：支付处理方（计划使用 Stripe，签约主体待核实）收到支付信息与必要的邮箱、订单关联。税费按标价内含计算，我们不使用支付处理方的自动计税服务。
• 可识别性：财务与交易记录可以关联到你。
• 保存与删除：点数流水只追加、不改写；有财务记录的账号不能被直接删除。处理删除账号的申请时，财务记录按会计与法律要求保留（保留期限待专业人士确认），其他内容按第 6 节处理。

3.11 日志与运行记录

• 内容：请求 ID、IP 地址、错误堆栈、生成服务调用记录（路线、结果、耗时、成本）、管理员操作审计、记忆处理进度记录。
• 存放：服务器标准输出与本地日志文件；主数据库中的调用记录与审计表。
• 接收方：服务器与数据库托管方；计划中的错误监控服务只应收到过滤后的错误、版本号与关联 ID，不应包含聊天正文；如果启用 CDN 代理，CDN 服务商处理网络元数据。
• 可识别性：IP、ID 与错误堆栈可以关联到你；SQL 日志中的参数可能带有聊天正文或邮箱。日志字段截断和分享 token 遮盖不是通用的脱敏。
• 保存与删除：生成服务调用记录在服务启动时清理超过 30 天的部分，服务长时间不重启时实际保留更久；SQL 日志文件没有内建轮转；其他日志没有统一期限。

3.12 浏览器本地数据与草稿

• 内容：localStorage 保存登录信息、偏好设置与音量；sessionStorage 保存工作台草稿、运行中的任务 ID、站内消息与页面间交接数据；聊天记录只在内存中。
• 存放：你的浏览器。
• 接收方：这些数据不会自动上传，只有你点击提交时才会进入后端的相应流程。
• 可识别性：草稿可能包含尚未发送的私人文字。
• 保存与删除：sessionStorage 通常在标签页会话结束后清除；退出登录会清除本机的多项存储与缓存，但不会清除你其他浏览器、其他设备或 HTTP 缓存中的副本。

3.13 外部发布证明

• 内容：你登记的 YouTube / TikTok / Instagram 账号与帖子链接、发布日程、审核作业与审核结论。
• 存放：主数据库。
• 接收方：在启用相应凭据时，我们向 YouTube Data API、TikTok oEmbed、Meta Instagram oEmbed 查询公开元数据；审核 LLM 收到标题、描述、作者与证明信息。本服务不会自动把你的内容上传到这些平台。
• 可识别性：社交账号链接可以直接识别你。
• 保存与删除：没有统一期限；删除偶像时删除数据库中的相关记录。平台上的公开内容不受我们控制。

3.14 备份

• 内容：数据库的加密备份（包含全部表、密码散列、加密保存的服务商配置）与媒体文件副本。
• 存放：计划每日生成加密的数据库备份与媒体副本，存入独立的私有存储并保留异地副本，按 7 日加 4 周轮换；数据库托管方另有时点恢复窗口。
• 接收方：备份存储服务商与经授权的服务器管理员（主体与地区待填）；不发送给 AI 模型。
• 可识别性：高度敏感。
• 保存与删除：从主数据库删除的数据，要等到对应备份轮换过期后才会从备份中消失；删除主数据库中的数据不会立即清除所有备份。

3.15 补充：同意记录

• 内容：你同意各项法务文档的版本、时间、可信 IP 与浏览器标识（User-Agent）的散列。
• 存放：主数据库。
• 用途：证明你同意了哪一版文档，供争议时核对。
• 保存与删除：账号记录存续期间保存（账号记录目前不能直接删除，见第 6 节）。

3.16 补充：候补名单

• 内容：注册名额已满时你留下的邮箱。
• 存放：主数据库，邮箱以密文与检索散列保存，管理员界面只显示掩码。
• 接收方：计划中的邮件服务在发送邀请时收到你的邮箱。
• 关联：你后来注册成功后，候补记录会通过账号 ID 关联到你的账号。数据导出不包含邮箱密文与散列，但这条候补记录可以按你的账号找到并处理。
• 保存与删除：没有统一期限；可以按第 6 节申请删除。

3.17 补充：养成记录

• 内容：日程及其审核记录、好感度、经验与等级、评级快照。
• 存放：主数据库。
• 接收方：评级与好感度在本服务内计算，不发送给 AI 模型；需要人工审核的日程由管理员查看。
• 保存与删除：没有统一期限；删除偶像时一并删除。

4. 处理方清单

下表按静态默认配置列出；实际启用的路线以运营后台为准，尚待核实。「无可核验条款」表示在核查时找不到该处理方公开的完整条款与隐私说明，不代表已证明违规。

4.1 AI 模型与生成路线

我们无法保证每一个处理方都不会把收到的数据用于改进或训练模型。

4.2 外部发布查询（条件启用）

Google（YouTube Data API）、TikTok（oEmbed）、Meta（Instagram oEmbed）：只查询你登记的公开账号与帖子的元数据。

4.3 基础设施（计划启用，签约主体与地区待核实）

5. 跨境传输与地区

• 我们不承诺数据只存放在某一个国家或地区。
• 主数据库的目标区域是新加坡，服务器的目标机房在香港，实际情况均待核实。
• 你的数据会发送给第 4 节的处理方。根据它们公开的说明，处理可能发生在中国、美国、英国等地；未公布条款的中转服务商，处理地区未知。

6. 你的权利与实际范围

• 提出请求：发送邮件到隐私联系邮箱（待填）。我们会先通过你的注册邮箱核实身份。
• 回复期限：收到请求后 30 天内回复。
• 查阅与导出：我们人工导出与你账号关联的数据库记录（机器可读的 JSON），以及媒体文件的存放位置清单。导出不包含密码散列、登录令牌、服务商密钥、候补邮箱的密文与散列，也不包含其他用户的个人数据。导出会写明覆盖范围与未包含的类别。
• 更正：偶像资料可以在应用内修改；账号邮箱等其他资料按申请人工更正。修改后，旧的画像历史版本仍可能在第 3.4 节的规则下保留。
• 删除：人工处理。我们逐项处理你的申请，并在回复中说明已完成和无法完成的部分。我们删除数据库中的内容（偶像、聊天、记忆、内心状态、会议、作品记录等）以及对应的向量（向量清理的限制见第 3.4 节），并按清单尝试删除对象存储与服务器上的文件。账号记录本身目前不能直接删除：有财务记录的账号（注册赠送点数也会产生点数流水）需要保留账号记录，财务记录按第 3.10 节保留。去除账号身份信息（如用户名、邮箱）的流程目前尚未提供；在此之前我们可以停用账号，阻止继续登录和使用，但停用不等于删除，用户名与邮箱仍会保存。日志按第 3.11 节的规则保留，备份要等轮换过期后才会消失。
• 处理方保留的副本：对有删除渠道的处理方，我们代你发送删除请求并记录回执；对没有渠道或未公布条款的处理方，我们会如实告诉你「无法确认已删除」。
• 撤回分享：你可以随时关闭或重置分享主页，效果与限制见第 3.9 节。
• 退出登录：只清除本机的数据，不删除服务器上的数据。
• 首发版本没有自助删除或导出账号的界面，以上请求都通过人工流程处理。

7. 我们如何使用数据

• 提供与运营服务：聊天、生成、养成、分享与结算。
• 安全与防滥用：限流、内容政策检查、下架与审计。
• 履行法律义务：财务记账、回应合法的监管或司法要求。

8. 本政策的更新与语言

• 我们更新本政策时会提升版本号；注册必需的文档更新后，你需要先同意新版本才能发起新的付费消费。
• 新增或更换处理方、或改变处理地区时，我们会同步更新本政策。
• 本政策提供中文、英文与马来语版本。如有不一致，以中文版或英文版为准。