草稿，未经律师审阅，不构成法律意见。 由产品负责人定稿；不得在任何界面宣称「已合规」。
文档版本：
2026-10-12-draft1（草稿版号；服务端现行同意版本为2026-10-v1， 本稿经律师审阅定稿后，再升级服务端版本号并重新收集用户同意。在此之前服务端版本号不变动。）
隐私政策（草稿）
生效版本：2026-10-12-draft1｜经营主体：文修（个人开发者）｜联系方式：zhoujh11@foxmail.com
1. 我们收集哪些信息（个人信息收集清单）
| 信息 | 用途 | 存储位置 | 依据（服务端实际行为） |
|---|---|---|---|
| 邮箱地址 | 登录验证（验证码）、账号识别、服务通知 | 服务端用户库（唯一、小写存储） | email-auth.ts、001_auth.sql |
| 邮箱验证码记录（盐、哈希、签发/过期时间、尝试次数） | 防滥用（60 秒重发间隔、10 分钟有效、5 次错误作废） | 服务端验证码表 | email-auth.ts |
| 设备信息（设备标识、名称、平台、活跃时间） | 设备绑定（最多 2 台）、提供对象日志的设备字段 | 服务端设备表 | sessions.ts、device-routes.ts |
| 同意记录（账号、文档、版本、同意时间、设备） | 证明用户同意了哪一版协议 | 服务端同意表（只追加） | consents.ts、008_consent.sql |
| 润色用量记录（账号、设备、时间、请求编号、模式、字数、结果码）不含正文 | 计费扣字、额度结算、提供对象日志（≥6 个月） | 服务端用量表（只追加） | polish-usage.ts、retention.md |
| 登录会话（会话族、刷新令牌哈希） | 保持登录、单设备在线 | 服务端会话表 | sessions.ts |
| 订阅与额度批次（来源、字数、到期时间） | 额度发放、扣减、到期冻结 | 服务端订阅/账本表 | subscriptions.ts、billing/ledger.ts |
| 历史文稿 | 仅存用户本机，不上传服务端 | 本机 ContentStore / IndexedDB | 客户端实现 |
2. 邮箱的收集与使用
2.1 邮箱仅用于三件事：(a) 发送登录验证码；(b) 作为账号的唯一识别；(c) 服务通知 （登录安全提醒、订单收据、额度到期提醒等事务性通知）。不用于广告营销；服务端代码中不存在营销邮件发送路径。
2.2 验证码邮件为纯文本 + 简单 HTML，不含追踪像素、外链与图片（见服务端邮件模板实际行为）。
2.3 邮件通道通过事务邮件服务发送（发件域名以实际配置为准）。内测期间按本文其余条款执行；此项的具体细则将在正式收费前补充，并通过应用或本页另行通知。是否涉及个人信息出境 （如邮件服务商服务器在境外），以及是否需要出境安全评估/标准合同备案。
3. 润色正文的处理（核心承诺，以代码实际行为为准）
3.1 用户提交的稿件正文传输至服务端后，仅在内存中处理：服务端拼装请求并转发至模型推理 （GPU 侧经加密私网通道），将输出流式返回给用户。
3.2 处理完成后，正文与输出全文即从内存丢弃：正文与成稿不写入数据库、不写入日志文件。 服务端代码在注释中明确：「输出全文只存于本请求的内存，判定后即丢弃，不入库、不进日志」； 用量记录与运行日志仅含请求编号、账号、设备、字数、结果码等元数据。
3.3 例外说明（如实披露）：请求在传输与内存处理期间，正文必然经过服务端内存与模型推理服务； 运行日志在结算缺口等异常情形下记录请求编号与缺口字数，不含正文。用户以此理解「不持久保存」的边界。
4. 提供对象日志的留存（不少于 6 个月）
4.1 每次润色完成（completed）的用量行即构成提供对象记录：账号、设备、时间、请求编号、字数，
不含正文。取消、失败、拒绝的行同样留存（事后无法区分同一请求是否曾成功，保守留存）。
4.2 保留期为 6 个月 + 30 天缓冲；数据库以 210 天硬下限强制执行（任何更早的删除阈值都会被拒绝）。 清理只能经受控函数执行，每次清理写入审计行。到期自动删除，逾期不保留。
5. 用户的权利
5.1 用户可通过zhoujh11@foxmail.com行使：查阅、复制、更正、删除个人信息；撤回同意；注销账号。 内测期间按本文其余条款执行；此项的具体细则将在正式收费前补充，并通过应用或本页另行通知。响应时限、身份核验方式、注销后数据删除范围（提供对象日志在法定期限内不得提前删除的， 向用户说明并依法继续保留）。
5.2 撤回同意或注销账号后，未到期的提供对象日志仍依法保留至 6 个月期满；其他个人信息按申请删除， 法律法规另有规定的除外。
6. 未成年人保护
内测期间按本文其余条款执行；此项的具体细则将在正式收费前补充，并通过应用或本页另行通知。本服务是否允许未成年人注册；监护人同意机制；未成年人误购的退款流程
（计费规则已要求「未成年人误购必须退款」，见 billing.md §5）。
7. 数据安全
7.1 传输加密、密钥与数据库凭据由环境变量管理；用量与同意表为只追加表，应用角色无删除权限， 清理仅经受控函数执行。
7.2 内测期间按本文其余条款执行；此项的具体细则将在正式收费前补充，并通过应用或本页另行通知。安全事件通知机制（通知时限、通知方式、向监管报告义务）。
8. 政策变更
本政策改版后，用户需在下次登录时重新确认；服务端按版本号记录同意历史。重大变更以应用内公告或邮件通知。