隐私政策

1. 我们收集哪些信息

我们只收集提供服务所必需的信息，共六类：

• 账号信息：邮箱地址、密码的哈希值（我们不保存密码原文）、你选择的界面语言。使用 Google 或 Telegram 登录时，还包括该平台返回的账号标识与邮箱地址。
• 你提交的内容：上传的图片与素材、编写的提示词、生成参数，以及由此产生的图片结果。
• 生成与账务记录：每次生成任务的状态、使用的能力与参数、积分的冻结与扣除记录、订单与支付状态。
• 会话与设备信息：登录会话的令牌哈希、IP 地址与浏览器 User-Agent。后两项用于识别异常登录和防止滥用，只与会话记录关联。
• 产品埋点：页面路由、来源站点的域名、设备级匿名标识与事件名称。这类数据受第 6 节的硬性约束。
• 沟通记录：你提交的反馈、申诉，以及与我们的邮件往来。

我们不收集支付卡号、银行账号或任何支付凭据。付款在支付服务商的页面完成，这些信息从不经过我们的服务器，见第 3 节。

2. 我们如何使用这些信息

• 提供服务本身：完成你提交的生成任务、保存作品、维持登录状态。
• 计费与账务：计算积分消耗、处理订单与订阅、对账与开具收据。
• 安全与反滥用：识别异常登录、限制刷量与批量注册、保护账号与平台。
• 内容审核与合规：按《可接受使用政策》检查提交内容与生成结果，处理举报与申诉。
• 服务改进：用聚合后的使用数据判断哪些功能有价值、界面在哪里出问题。
• 履行法定义务：会计、税务、执法协助与法律要求的记录保存。

我们不向任何第三方出售你的个人信息，也不将其用于第三方广告投放。

3. 我们与谁共享

为完成你请求的操作，下列服务商会接触到相应信息。它们只能按我们的指示、为下列目的处理这些信息。

• 人工智能服务商：为完成一次生成，你的提示词与上传素材会被发送给当次路由到的模型服务商。当前接入的是 OpenAI、Google（Gemini）、火山引擎、阿里云通义千问与 MiniMax。我们不保证某次生成由其中哪一家完成。
• 支付服务商：结账、扣款、收据与退款由 Paddle 作为登记商户（Merchant of Record）处理。你在结账页填写的姓名、账单地址、税号与支付凭据由 Paddle 直接收集，我们只收到订单号、金额、币种、国家与支付状态。
• 对象存储：上传素材与生成结果存放在阿里云对象存储（OSS）。
• 邮件发送：验证码与通知邮件通过我们配置的邮件服务商发送，该服务商会接触到你的邮箱地址与邮件正文。

此外，在法律要求、执法机关依法调取，或为保护他人重大合法权益所必需时，我们可能披露相关信息。

4. 生成内容与模型训练

我们自己不使用你的提示词或上传素材训练任何模型。

各模型服务商的条款并不一致：部分服务商在付费档下书面承诺不将提交内容用于训练，仅为检测滥用短期留存日志；部分服务商未就此作出书面承诺。因此我们不能笼统承诺“你的内容绝不会被任何一方用于训练”——这不是我们能单方面决定的事。

我们能承诺的是：只把完成你这次请求所必需的内容发送给必需的服务商，且不为训练目的向任何第三方提供你的内容。

请不要在提示词或上传素材中提交你不希望经由第三方处理的敏感个人信息。

5. Cookie 与本地存储

aix0 不使用第三方广告或分析 Cookie，页面上也没有嵌入第三方统计脚本。我们一共使用三个 Cookie，全部是服务运行所必需或由你的选择产生的：

• __Host-aix0_session（未启用 HTTPS 的部署下为 aix0_session）：保存登录状态。HttpOnly、Secure、SameSite=Lax，页面脚本无法读取。空闲 24 小时或最长 30 天后失效。
• __Host-aix0_oauth（同上）：第三方登录跳转期间防止跨站请求伪造，有效期 10 分钟，登录完成后立即清除。
• aix0_locale：记住你选择的界面语言，有效期 1 年。

产品埋点使用的设备标识存放在浏览器的 localStorage 而不是 Cookie 中，只用于串联同一台设备上的访问与转化，不做跨设备或跨站点关联。清除浏览器站点数据即可重置它。

因为没有非必要 Cookie，我们不展示 Cookie 同意弹窗。

6. 产品埋点的边界

我们用自有的埋点表统计访问与转化，不引入第三方分析服务。这张表在设计上就被限制成无法保存可定位到个人的信息：

• 不记录 IP 地址，不记录 User-Agent。
• 页面地址只保留路由，问号之后的查询串在浏览器侧和服务端各丢弃一次，出现在 URL 里的令牌或邮箱不会被留存。
• 来源只保留域名，不保留完整的来源 URL。
• 事件属性只接受标量值；email、prompt、phone、address 等字段名，以及任何形如邮箱地址的值，一律被拒绝而不是入库。
• 账号注销后，埋点记录与账号的关联被置空，只留下不指向任何人的漏斗形状。

7. 我们保存多久

• 账号信息：账号存续期间；注销后按第 8 节处理。
• 上传素材与生成结果：账号存续期间，或直到你自行删除。
• 登录会话：最长 30 天，空闲 24 小时后失效。退出登录会立即使该会话失效。
• 订单、支付与积分账本：按适用的会计与税务法规保存。这部分记录在账号注销后仍会保留，但与你的身份信息解除关联。
• 审核记录与操作审计：用于处理申诉、防止重复违规并满足法律要求。
• 生成记录与内容标识日志：按《服务条款》第 6 节与适用法规的要求保存。
• 免费额度发放记录：只保存邮箱的哈希值，不保存地址本身，且在账号注销后继续保留——它的唯一作用是防止注销后重新注册反复领取免费额度。这条记录无法反推出你的邮箱地址。

8. 账号注销与数据删除

你可以在账号设置中申请注销。提交后立即发生两件事：你的全部登录会话被吊销，账号进入待注销状态，无法继续使用服务。

注销有 30 天宽限期。在这 30 天内你可以撤销注销申请，账号恢复正常，数据不受影响。宽限期结束后，我们删除或匿名化你的账号信息、上传素材与生成结果。

以下内容不随注销一并删除：法律要求必须保存的订单、支付与账本记录（解除身份关联后保留）；免费额度发放的邮箱哈希（见第 7 节）；已经作出违规判定、用于防止再次违规的审核记录。

注销不会自动取消你的订阅。请先在账单页取消订阅，再申请注销，否则可能继续产生扣款；详见《退款政策》。

9. 你的权利

你有权访问、更正、复制和删除你的个人信息，撤回你曾作出的同意，以及对我们的处理方式提出异议或投诉。

多数权利可以直接在产品内行使：账号设置可以查看和修改账号信息，作品列表可以删除素材与生成结果，账号设置可以申请注销。

其余请求请通过应用内「意见反馈」提出。我们会在核实你的身份后，于适用法律规定的期限内答复。我们不会因为你行使权利而对你区别对待。

10. 跨境传输

你的提示词与上传素材会被发送到模型服务商的服务器，这些服务器可能位于其他国家或地区。付款信息由 Paddle 在其自有基础设施上处理。

发生跨境传输时，我们通过与接收方的合同条款要求其提供不低于本政策的保护水平。

11. 未成年人

我们不面向未满 14 周岁的用户提供服务。未满 18 周岁的，须在父母或法定监护人同意下使用。

如果我们发现在不知情的情况下收集了不满足上述条件的未成年人信息，会尽快删除。监护人可通过下方联系方式要求我们删除。

12. 安全

密码以加盐哈希保存，我们无法还原原文。会话 Cookie 为 HttpOnly + Secure，并配合 CSRF 令牌校验。第三方服务商的密钥在数据库中加密存储。管理后台使用独立的权限体系与多因素认证，并记录操作审计。

没有任何系统能保证绝对安全。如果发生可能危及你权益的数据泄露，我们会按适用法律的要求通知你与主管部门。

13. 变更与联系方式

我们可以修订本政策。实质性修订会在生效前于站内公告。

本政策的联系方式：应用内「意见反馈」。