思畅 AI 隐私政策
这份政策尽量按当前实现如实描述我们做什么、不做什么，而不是只写口号。它重点说明对话与资料的保存方式、数据使用承诺（不用于训练、不卖广告），以及请求进入 Venice 或 OpenRouter 等上游模型服务时会发生什么。
本政策基于当前代码与架构文档撰写；未来如果实现发生变化，本页也应同步更新。如果你希望删除账户，可使用设置页中的'删除全部数据'入口，一键完成账户和资料清除。
思畅 AI 的目标是给中文创作者一个能放心表达的空间。我们的隐私态度不依赖加密技术口号，而落在三个可被验证的承诺上：不把你的对话用于训练任何模型，不卖给广告商或做用户画像，全部资料随时可以一键导出或一键删除。
本政策按当前实现如实描述我们会处理哪些信息、不会做哪些事、数据会流向哪些第三方，以及你可以采取的隐私动作。
- 账户信息：邮箱地址、密码哈希、账户创建和更新时间。
- 登录会话：用于维持登录状态的必要会话信息和 Cookie / JWT 数据。
- 对话与角色资料：你的会话标题、消息正文、消息角色、模型、时间戳、收藏与自建角色等，保存在你的账户下，用于跨设备访问与恢复。
- 登录用户的用量统计：用户 ID、日期、每日消息次数等必要计数字段，用于执行配额限制。
- 匿名用户的防滥用统计：基于请求 IP 计算出的 SHA-256 哈希、日期和每日消息次数；我们使用哈希值而不是明文 IP 落库。
- 计费数据：积分余额、订阅状态、Stripe customer / subscription / payment 标识、积分交易流水。
- 视频生成任务：模型、提示词、参数、队列状态、报价、扣费、临时素材 key 和结果 key；视频素材和结果默认 3 小时后不可访问。
- 若你使用开发者功能：API Key 的哈希值、名称、最后使用时间等元数据；不会以明文形式长期保存可直接调用的密钥。
- 登录会话信息（如 Cookie / 会话标识），用于在多个页面间保持登录状态。
- 少量本地偏好设置与界面状态（例如主题、侧边栏位置、最近使用的模型）。
- 为提升体验保留的临时缓存（例如最近一次会话的快速回填），不构成你账户数据的权威副本——权威副本始终保存在你的账户下。
- 不会把你的对话、消息或资料用于训练任何 AI 模型——无论是我们自己的，还是第三方的。
- 不会把你的对话或资料卖给广告商，也不会用作用户画像、定向投放或行为分析。
- 不会把你的个人对话或资料公开展示在画廊、社区等公共界面，除非你主动通过分享功能发布。
- 不会主动从浏览器上传与服务无关的本地文件、剪贴板内容或其他设备数据。
- 不会以明文形式长期保存你的登录密码；密码以服务器无法逆向的哈希形式存储。
- 匿名用户的聊天正文不会落入用户级数据库；仅保留必要的防滥用统计（IP 哈希、每日次数）。
- 视频生成的输入素材和输出视频不会作为公开画廊或长期内容库保存；当前实现仅为预览和下载保留临时对象。
当你发起一次聊天请求时，浏览器会把消息发送到思畅 AI 的代理接口。代理接口会先做模型白名单校验、请求大小限制、上下文长度估算和每日配额检查，然后将请求转发给相应的上游模型服务。
当前实现中，部分模型走 Venice AI，部分模型走 OpenRouter；最终参与推理的模型提供方可能进一步处理你的提示词和回复。我们不会在请求体中主动附带你的邮箱地址，但上游服务可能依据自己的隐私政策、日志策略和基础设施规则处理这些数据。
当你使用视频生成时，提示词和必要的图片或音频素材会发送给 Venice，以便完成异步队列生成。生成结果会临时写入私有 R2 存储，并由思畅接口校验登录和任务归属后提供预览或下载。
- 部署与应用层：Vercel / Cloudflare 等托管与分发基础设施可能接触必要的网络元数据。
- 数据库层：PostgreSQL 用于保存账号、用量、计费、角色以及你账户下的会话与消息。
- 推理层：Venice AI、OpenRouter 及其背后的模型提供方负责生成回答，相关数据处理受其各自政策约束。
所有页面与接口请求通过 HTTPS 加密传输；你的登录密码以服务器无法逆向的哈希形式保存，我们不会以明文形式接触或长期保存。账户操作受基础速率限制和滥用检测保护，API Key 和支付凭证按行业惯例进行哈希或受限存储。
同时你也应理解，没有任何在线服务能做到绝对安全。如果你的账号凭证被泄露、你的设备被他人访问，或上游模型服务发生安全事件，相关内容仍可能受到影响。建议使用强密码并妥善保管登录凭证；不要在不受信任的设备上长期保持登录状态。
账户资料、对话与角色资料、用量计数和计费记录会在账户存续期间保存，并在风控审计、故障排查和履行法定义务所需期间内继续保留。
视频生成素材和结果的应用层访问期限默认为 3 小时；到期后预览和下载接口会拒绝访问，R2 生命周期和后台清理负责后续物理删除。
你可以随时在设置页**一键导出**全部对话与资料（明文 JSON 文件，自行妥善保管），或**一键删除账户和全部数据**：账户删除会彻底移除你的对话、消息、角色、收藏和其他账户数据；只有出于风控、计费或法定保留义务的最小必要日志可能在受控环境下短期保留。
浏览器侧的会话信息和偏好设置可以通过登出账号或清理浏览器存储清除，与服务器侧账户删除是两套独立动作。
- 你可以直接匿名使用基础功能，从而避免在服务器侧创建账户资料。
- 你可以避免向服务提交不必要的敏感个人信息、商业秘密或受保密义务约束的文件。
- 你可以随时在设置页一键导出全部对话与资料的明文备份，自行留存或迁移。
- 你可以随时在设置页一键删除账户：彻底移除对话、消息、角色和其他账户数据。
- 如果你不能接受本政策描述的数据处理方式，最直接的选择是停止使用本服务。
随着产品、上游模型、部署方式和适用法律变化，我们可能更新本政策；当前版本最后更新时间为 2026-05-23。
新版本会在本页面发布。你在更新后继续使用服务，通常意味着你接受更新后的隐私政策。