隐私政策

1. 我们收集的信息

账号信息：邮箱、登录方式、第三方登录返回的账号标识、组织信息和基础资料。

用量信息：请求时间、模型、token 数、HTTP 状态、费用、使用的组织、Token、请求路由结果和相关元数据。

支付信息：订单号、支付状态、Stripe customer id、订阅和充值记录。银行卡信息由支付服务处理。

风控信息：请求审核结果、拦截原因、上游模型 reroute 信号、账号或 Token 风险等级、采样审计记录和必要的访问审计记录。

2. 请求内容处理

常规请求正文用于转发、内容安全审核、计费、排障和风控处理。流式响应只做转发和用量统计。

当请求被内容安全审核拦截时，系统会保存经过脱敏和截断的输入摘要，用于安全审计和申诉处理。

对 risk_tier 为 probation 或 quarantine 的高风险账户或 Token，系统可按低概率采样保存经过脱敏和截断的输入摘要。默认采样率为 probation 1%、quarantine 10%；极端异常调查时，可对特定 Token 临时调整采样率。

trusted 等级账户的请求保持零采样。采样结果不会通过响应头、错误消息或其他用户可见信号暴露。

3. 风控审计数据的保护

采样摘要会自动移除或替换 API key、Bearer token、邮箱、私钥、长密文、信用卡号等敏感信息，并限制摘要长度。

采样摘要仅用于反滥用分析、规则调优、上游警告回溯、申诉处理和纠纷处理。普通管理视图只展示聚合信息和元数据。

查看采样摘要需要具名管理员身份。每次查看都会记录访问审计，包括管理员标识、查看时间和目标 Token。

采样摘要默认保留不超过 30 天；内容安全拦截记录和上游风控信号默认保留不超过 90 天。

4. 浏览器缓存

前端会使用浏览器本地存储保存登录状态、界面偏好和更新日志已读状态。

网站使用 PostHog 和浏览器本地存储中的随机匿名标识统计页面访问、来源站点、设备与语言、访问时长，以及注册和支付完成事件，用于改进网站体验。浏览器启用 Do Not Track 时会停止采集。

这些数据保存在你的浏览器里。清理浏览器数据后，相关状态会重置。

5. 第三方服务

服务可能会调用 AI 上游服务、Stripe、邮件服务、GitHub 登录、Google 登录和 Cloudflare 等基础设施。

这些服务会按各自规则处理必要数据，例如支付、登录验证、邮件投递和请求转发。

PostHog 在美国区域处理匿名访问统计。上报范围限于清理后的页面路径、来源站点和基础设备信息；邀请链接使用路由模板，页面查询参数、表单内容、账号资料和会话录像均关闭采集。

6. 数据安全

我们会尽量减少数据收集，并对敏感凭证进行加密存储。

API Token、OAuth token、支付密钥等敏感信息不会主动展示在日志中。

风控审计数据采用最小化访问原则，管理员访问采样摘要会被记录并用于内部审计。

7. 你的权利和联系我们

如果你想查询、修正或删除账号数据，或者要求删除仍在保留期内的采样摘要，可以联系 [email protected]。

隐私政策会随产品变化更新。更新后会尽量通过页面、邮件或更新日志提示。