隐私政策

• 注册信息：手机号或邮箱。手机号用于登录验证与安全通知。
• 账号资料：显示名称、时区与语言偏好。
• 充值与开票信息：交易金额、支付渠道流水号。我们不接触也不存储您的银行卡号或支付密码，这些由支付机构处理。
• 您通过工单或邮件主动发给我们的内容。
• Chat 附件：您添加到对话中的图片、文档与文本文件。为了让模型读懂它们，平台会把文档解析成文字、识别图片中的文字，并与原件一同保存；点开附件时您看到的就是模型读到的那份文字。原件存进您网盘的「对话附件」目录（见第四条）。
• Chat 联网检索：在您打开对话里的「联网」开关时，您输入的检索词（`/搜索` 命令）以及模型为回答您的问题而生成的检索词，会发送给搜索引擎服务商；读取网页时，目标网站会收到来自平台服务器的请求，请求中不含您的账号信息。检索结果与读取到的网页正文会存进这个会话的「资料与便签」，之后的对话可以直接读回、不必重新读取；每次搜索与读取的记录（检索词、链接、标题、站点、时间）保留在回答里。两者都随会话保存，删除会话时一并删除。
• 录音转文字：您在百宝箱里转写的录音存进您网盘的「录音转文字」目录（从网盘里选的、在网盘里直接转的录音留在原处）。转写时平台给这份录音生成一个有时限的下载链接，交给语音识别服务商下载并识别；识别出的逐字稿（句子、时间与说话人编号）以及您改过的说话人名字保存在平台上，同时在录音旁边存一份逐字稿文件。在团队工作区里转写的，团队成员都能看到。逐字稿保存到您删除它为止；删除录音时逐字稿一起删除，删除逐字稿不会删除录音；注销账号时随账号删除。
• 语音输入：您在 Chat 输入框按下「语音」后，浏览器开始使用麦克风（第一次会请您允许），声音实时经平台转给语音识别服务商，识别出的文字写进您的输入框——发不发、改不改由您决定，只有您按发送后它才作为会话内容保存（见 1.2）。声音不保存：平台只做转发、不落盘，识别服务商按其政策处理；我们只记录每段语音的时长与怎样结束，不记录识别出的文字。按停止、按 Esc 或离开页面即结束，单次最长 60 秒。
• 您写的、导入的技能：名字、标题、说明、正文与保留着的历史版本，以及您放进技能文件夹的文件。它们交给为您工作的 agent 按需读取；团队负责人与平台的管理后台都不能查看内容。某一次对话读过的内容随那次对话保存与删除。

• 调用记录：调用时间、所用模型、token 用量、耗时、状态码、计费金额；您在「用户中心 → 数据保留」开启「保存请求与响应正文」时（默认关闭），还有提示词与返回内容的片段，供您在「请求日志」中排查问题。保存期限见第八条。
• 会话内容：您在 Chat 中的提问与模型的回答（用途与关闭方式见第三条）。
• 每次调用模型时发出的完整内容：在 Chat、课题与论文研读中，平台每调用一次模型，就记下发给它的全部内容（您的提问、附件文字、检索与读取到的资料、上一步的结果），用于还原模型每一步看到了什么、排查问题。这份记录不进入请求日志，保存期限见第八条。
• 技术日志：IP 地址、浏览器与操作系统版本、请求标识。用于排障与安全审计。
• 登录记录：登录时间与 IP 归属地，用于异常登录提醒（来自新地点或新设备的登录会在控制台顶部请您确认）。

在您同意的前提下，我们收集页面访问与功能使用的维度数据，用于了解哪些功能有人用、哪一步流失。

这些数据只包含维度（页面路由模式、模型标识、操作类型、计数），不包含内容：我们不会把您的提问、模型回答、搜索原文或 API Key 放进统计数据。前端在发送前、服务端在保存前都会按同一份字段清单过滤：不在清单里的事件与字段直接丢弃，形似邮箱、手机号或密钥的值也会被丢弃。

统计使用一个随机生成的匿名标识，它不与您的手机号或邮箱关联，您可以在「用户中心 → 数据与隐私」中随时重置它，也可以在同一处关闭统计。

为排查您遇到的问题，平台可以在您本人同意后，为您的账号临时开启调试模式：平台在页面顶部的提示里向您发出邀请，您同意后才开始；您也可以在「用户中心 → 数据与隐私」里自己开启。发现账号可能被盗用或被用于滥用时，平台也可以不经您同意开启，用于安全调查；这种情况同样会在页面顶部告知您，并且不录制页面。

调试模式开着期间，我们记录：您在本平台发出的请求与收到的响应的完整内容（包括用 API Key 发起的调用）；每次模型调用发出的完整内容与模型的回答，包括平台替您执行的内部步骤；处理这些请求时服务端的调试日志；您在页面上的操作、页面报错与页面运行日志（打开了哪个页面、点了什么、弹出了什么提示、页面程序记下的运行信息）；网络与设备环境（往返延迟、抖动、请求丢失的比例、网络类型、浏览器与屏幕信息、IP 地址）。密码、验证码与密钥在记录前抹掉。

您在开启时另外勾选了「同时允许录制页面」的，这次调试期间我们还记录页面内容与您在页面上的操作，用来还原您当时看到的界面，页面上显示的文字（例如对话内容、论文正文）也在其中；输入框与编辑器里的内容一律遮住，不会记录。没有勾选的、以及平时，都不录制页面。

调试模式每次最长 7 天，到时自动结束；开着期间您打开的每个页面顶部都有提示。您可以随时停止，并选择同时删除已经记录的内容（平台为安全调查开启的，记录不能由您删除）；不删除的，在这次调试原定的结束时间删除（保留期限见第八条）。

这些记录只有平台工作人员能查看，用于排查问题，每次查看与导出都会留下记录。您在团队工作区里的调用被记录时，我们会告知团队负责人您处于调试模式及起止时间，不提供记录的内容。平台把这次调试设为您本人也可查看的，您可以在「请求日志」的调用详情里看到同样的请求与响应。

您导出账号数据时，导出文件包含还在保留期内的调试记录：每次调试的开启方式与起止时间；设为您本人也可查看的那几次，还包含其中的请求、响应与模型调用内容。服务端调试日志与页面录制不进导出文件。

• 赞/踩反馈用于模型评价（默认开启）：您对某条回答的评分会用于改进自动选择模型，并计入平台内部的模型质量评估。
• 会话内容用于模型效果评估（默认开启）：用于比较不同模型的回答质量。进入评估集前会去除身份信息。
• 两个开关都在「用户中心 → 数据与隐私」，可随时关闭。关闭后您的新会话不再进入评估集；已进入的历史数据可通过工单申请移除。

如果某一次的内容特别敏感，可以在输入框旁把这一条标记为「不用于评估」，不必去设置页改开关再改回来。标记状态在消息上可见。

我们不将您的会话数据用于训练模型。第三方模型提供方是否使用您的数据用于训练，见《第三方与数据流向》——该页逐家列明。

进入评估集的内容会去除账号标识与可识别的联系方式。但我们不声称「完全匿名」——如果您在提问中写入了可识别自身的内容（例如未发表的课题名称），去标识化无法察觉它。涉及此类内容时，建议使用上面的单条排除。

• 您上传或新建的文件与目录、文件的历史版本，以及每个文件的来源（例如在哪个对话里添加、由沙箱生成、从论文研读导入）。
• 平台替您存进网盘的文件：您在对话里添加的附件存进「对话附件」目录，导入论文研读的原件存进「论文研读」目录，沙箱交回的文件存进「沙箱产出」目录。在团队工作区里产生的文件存进团队空间，属于团队。
• 图片的缩略图在您的浏览器里生成，随图片一起上传。
• 照片的拍摄信息：为了在详情里显示照片的尺寸与拍摄信息，我们会读取图片里自带的元数据（拍摄时间、相机与镜头、拍摄参数、编辑软件，以及相机记下的拍摄位置），与文件一起保存、随文件一起删除。只有能查看这个文件的人看得到；访客打开分享链接时不显示，但分享或下载出去的原图里仍带着这些信息。我们不改动您的原图。
• 打包下载：您选中多个文件或目录打包下载时，我们在服务端把它们打成压缩包供您下载，压缩包保留 24 小时后删除。

我们为网盘里的每个文件计算一个内容摘要（SHA-256，相当于文件内容的「指纹」，不能由它还原出文件内容）。它用于三件事：上传时判断平台上是否已有内容完全相同的文件，有的话不必再传一遍（「秒传」）；拦截已被认定违规的同一份内容（见 4.4）；在论文研读里识别重复导入的论文。1 MB 以上的文件，您的浏览器也会在本机计算同样的摘要，用于秒传的判断。

内容摘要不写进日志与统计，也不会提供给其他用户。秒传时，平台会要求上传方证明手里确实有这个文件，只知道摘要的人拿不到文件。

内容完全相同的文件可能共用平台上的同一份存储。 您彻底删除一个文件后，它会从您的空间与您的分享里消失，别人也不能再通过您取得它；但如果别的用户也存着内容完全相同的文件，这份存储会保留到最后一个使用它的文件被删除时才删除。

同样因为共用存储，手里已经有某个文件的人，能从上传是否「秒传」完成推测出平台上已有人存过同样的内容，但无法知道是谁、存在哪里。为此我们只对 1 MB 以上的文件启用秒传，并限制每人每小时的尝试次数。

您没有分享、也没有被举报的文件，平台管理员看不到内容。管理员能看到的是每个空间的容量、用量统计、清理规则，以及分享与访问的统计；有专门权限的管理员为处理容量问题，可以查看一个空间里占用最大的 20 个文件的名称、大小等信息，每次查看都会留下记录。管理员以您的视角查看账号时，网盘只显示用量与分享统计，不显示文件列表。

被分享或被举报的文件，审查人员可以查看内容，用于处理举报、履行法律规定的内容管理义务，每次查看都会留下记录。

• 上传确认：您第一次上传文件、以及《网盘服务规则》更新后第一次上传前，需要勾选同意。我们记下您同意的版本与时间，以及当时 IP 地址与浏览器信息的不可逆摘要，用来证明您确认过规则；不保存原始的 IP 地址与浏览器信息。
• 分享页面：拿到链接的访客能看到分享的文件名、大小、有效期，以及分享者部分遮挡的显示名称。
• 分享访问记录：有人打开、下载分享的内容，或输错提取码时，我们记下时间、动作、IP 地址的不可逆摘要、大致地区（到省份）与设备类型；访问者已登录的，还记下其账号。分享者在分享统计里能看到每次访问的动作、地区、设备类型与时间，看不到访问者的 IP 地址与账号。
• 举报记录：举报的分类与说明，以及举报人的账号（已登录时）或 IP 地址的不可逆摘要。
• 拦截名单：被认定违规并删除的内容，可能连同平台上内容完全相同的文件一并删除，并把它的内容摘要加入拦截名单；之后上传同样的内容会被拒绝或自动删除，并通知上传者。名单里只有内容摘要，不含文件本身。
• 因违规被删除的文件对您立即不可见，我们再留存 180 天，以备有关部门依法调查，到期删除。

在线预览或编辑 Office 文档时，文件经一个短时间内失效的临时地址交给我们自己部署的文档服务打开，编辑后的内容由它交回我们、保存为新的版本。

把网盘里的文件引用进对话或论文研读的问答时，它会像 Chat 附件一样被解析，并发送给您选择的模型（见第五条）。