隐私政策

这份政策管 Infoholder App Studio：这个网站、你用来登录的账号、你在这里做的项目，以及你从这里发布出去的站点。下面说到的个人信息，控制者是 HONG KONG WALLET COMPANY LIMITED。

它不管你做出来的那些站点。项目一旦发布，站点就是你的：它向访客收集什么由你决定，对那些访客而言控制者是你，我们只是替你保管的服务方。第 8 节写清楚了这件事在实际操作中是什么意思。

App Studio 是给专业与商业用途做的。你要达到你所在地能够订立合同的年龄，且不低于 16 岁。我们不会明知是未成年人还给他建号，产品里也没有任何一处是冲着未成年人设计的。

• 账号：姓名、邮箱、经过哈希的密码，以及注册与找回密码时用的验证码。密码本身不会以我们读得出的形态存下来。
• 工作区：你在哪个工作区、是什么角色，以及你发出或接受的邀请。
• 你放进项目里的东西：你写的提示词、AI 生成或你改过的文件、你上传的图片与三维模型、项目设置，以及这一切的版本历史。
• 项目密钥：你为某个项目存的 API key 之类的值。它们写入之前先加密，用的钥匙与会话那把是分开的（见第 10 节）。
• 构建过程：与 AI 的对话、它提出的计划、你批准或驳回了什么、构建与预览日志，以及安全检查的结果。
• 发布：哪些项目发布了、对外的地址是什么，以及你绑定的自定义域名。
• 计费：你的套餐、用量，以及 Stripe 开出的账单。卡号只到 Stripe，不经过我们的服务器。
• 技术记录：IP 地址、浏览器标识、时间、请求了哪些路径以及结果如何。这就是普通的服务器日志，用来排查故障和发现滥用。

这一节存在，是因为「没有做某件事」在页面上是看不见的。只列「我们会收集什么」的话，剩下的部分你只能靠猜。

• 这些页面上没有第三方统计，也没有广告 SDK。我们自己的产品指标是一组计数器：某个页面被看了、某个按钮被按了，数字加一。它不带标识、不带提示词、不带项目名、不带网址。
• 不做跨站跟踪，不建广告画像，不与数据经纪商往来。我们不出售个人信息，也不为广告目的共享它。
• 不拿你的提示词、代码与文件训练模型，也不读它们来做功能。模型提供商那一侧见第 5 节。
• 我们的员工不会去翻你的项目。能接触生产数据的只有维持服务运转的那几个人，用途限于排查某个具体故障或处理某个具体请求，并且有记录。

• 把产品跑起来：按你说的做出来、给你预览、留版本、发布站点、让工作区能用。这是履行我们与你之间的合同。
• 保住账号安全：验证邮箱、让你登录、发现滥用、排查故障。
• 在你使用付费套餐时计费，以及执行套餐的上限。
• 发服务本身需要的消息：验证码、邀请、收据，以及会影响到你的变更通知。
• 履行法定义务，比如按税务与会计法规要求的年限保存账目。

在需要说明合法性基础的法域下，以上依据的是履行与你的合同、我们在「服务可用且不被滥用」上的正当利益，以及法定义务。以上没有一项依赖你的同意，所以这里没有需要你撤回的东西 —— 除了那封你从来收不到的营销邮件，因为我们不发。

让它做东西，就意味着要把东西发给模型。你的提示词、模型为了回答所需要的那部分项目内容、以及它正在修的那个报错，会传给这个部署所配置的模型提供商。不发就用不了 AI，所以这件事值得摆在明处说，而不是埋在某个从句里。

具体是哪几家，取决于这个部署怎么配。登录之后在设置页可以看到当前在用的模型。我们走的是它们面向企业的 API。各家会留存什么、留多久，由各家自己的条款约束 —— 我们没法替它们承诺，也不去替它们承诺。

我们能替自己说的是：不拿你的内容训练任何模型，除了那个必须看到才能回答的提供商之外不转给任何人，对话也不出你的项目。

这里没有 Cookie 同意弹窗，因为没有需要你同意的东西。我们设的每一个 Cookie 都是产品离了它就不能用的那种：

• 会话 Cookie，让你保持登录。它是加密的，并且标了 HttpOnly —— 页面上的脚本读不到它。
• 注册与找回密码过程中的一个短期 Cookie，记着这个流程走到哪一步了，刷新一下不至于从头再来。流程结束它就没了。
• 你自己设的偏好，比如深浅色和语言。

它们都不会跟着你去别的网站。把它们禁掉的后果是你会被登出，除此之外这里没有别的东西依赖它们。

我们用到的服务商不多。每一家只拿到它那一环需要的东西，并且不得用于别处。

除此之外，只有在法律要求时才披露，且只披露它要求的那部分。如果我们被强制要求交出你的数据，除非法律禁止告知，我们会通知你。如果这项业务被出售或合并，你的数据可能随之转移 —— 那之前会先告诉你，并且在你看到新的政策之前，这一份继续有效。

已发布的站点，任何拿到地址的人都打得开。我们不去收录它，但它也不是私密的：地址被猜到或被转发，谁拿着都能用。不要指望「只有几个人知道地址」这件事本身能当访问控制。

绑定自己的域名时，我们会为它申请 TLS 证书。证书会被记进公开的证书透明日志，于是这个域名对外可见 —— 证书体系本来就是这么运作的，我们关不掉它。

如果你的站点会向访客收集什么 —— 一个联系表单、一次注册、一笔订单 —— 那些访客是你的，不是我们的。收什么由你定，也由你向他们出具自己的隐私说明。我们作为受托方替你保管这些数据，按你的指示处理，你删掉项目时一并删除。

• 项目、文件与对话历史：项目在，它们就在。删除项目会先进回收站，可以恢复；从回收站里彻底移除是不可逆的。
• 账号与工作区记录：账号在，它们就在。
• 服务器日志：只留很短的一段时间，够查清一次故障或一次安全事件，然后丢弃。
• 计费记录：按税务与会计法规要求的年限保存，这个年限可能比你的账号还长。
• 备份：删掉的数据可能在备份里再存在一段时间，直到那份备份轮换掉。它不会被恢复回线上，会随备份一起过期。

• 传输走 TLS。会话 Cookie 是加密的，并且是 HttpOnly。
• 项目密钥用 AES-256-GCM 封存，用的是一把专门的钥匙，与会话那把分开 —— 这样轮换其中一把不会毁掉另一把对应的数据。
• 构建与预览跑在互相隔离的沙箱里，一个项目做的事到不了另一个项目。
• 生成的代码在发布前会过一遍自动安全检查。它是助手，不是保证 —— 为什么你还是得自己看，见服务条款第 7 节。

没有系统是攻不破的。万一发生了影响你个人信息的安全事件，我们会在法律规定的时限内通知你与相应主管部门，并且说真的发生了什么，而不是说哪种说法更好听。

视你所在地的法律，你可以要求我们提供一份你的数据副本、更正它、删除它、限制或反对我们的某种使用，或者以可携带的格式转交给别人。不管你所在地的法律有没有赋予这些权利，你都可以向我们提 —— 我们不会先去核对你住在哪儿。

其中不少你自己就能做：改账号信息、导出或删除一个项目、取消套餐。其余的写信到第 14 节那个地址。我们在 30 天内答复，不收费，也不会因为有人提了就把服务变差。

你也可以向当地的个人信息保护主管部门投诉。我们更希望你先找我们，但那是你的选择，不是前提条件。

跑这套服务的服务器，以及第 7 节里那几家服务商，可能不在你所在的国家或地区。也就是说你的数据会跨境。凡是法律要求为这种传输提供保障措施的，我们与相应服务商之间依据的是标准合同条款或与之等效的机制。

政策一改，顶上的生效日期跟着改。如果改动对你有实质影响 —— 多了一类数据、多了一个用途、多了一个接收方 —— 我们会在它生效之前用邮件或在产品里告诉你，而不是悄悄把这一页改掉。

关于这份政策的问题，以及关于你的数据的请求，寄到：

服务提供方

HONG KONG WALLET COMPANY LIMITED

电子邮件

support@infoholder.io