草案，仅供内测：正式文本尚待法务审定，标【待确认】处还没有最终结论。
ShenaAI 隐私政策
运营主体：上海硅矽信通文化科技有限公司（统一社会信用代码 91310106MAKPL58PXR）。联系方式（含个人信息保护事务）：cml3366@163.com。
一、我们收集哪些信息，为什么收集
| 信息 | 何时收集 | 用途 | 说明 |
|---|---|---|---|
| 手机号 | 用手机号登录或注册时 | 验证身份、登录、二次验证 | 不保存手机号明文，只保存经密钥哈希的标识和遮盖形式（如 138****8000） |
| 短信验证码 | 登录、二次验证时 | 确认是你本人 | 只保存哈希，5 分钟有效，用一次即作废 |
| 同意记录 | 勾选同意本政策和用户协议时 | 证明你同意过哪个版本 | 文档名、版本、时间、经哈希的 IP |
| 登录会话与设备信息 | 登录后 | 保持登录、管理已登录设备 | 浏览器类型和操作系统、登录与最近活动时间、经哈希的 IP。会话最长 30 天，空闲 7 天失效 |
| 身份验证器密钥（如你绑定） | 在“设置 → 账号”绑定身份验证器时 | 高风险操作前确认是你本人 | 系统随机生成，加密保存，只用于核对 6 位验证码；解绑或注销即删除，数据导出只显示是否已绑定 |
| 微信标识（如启用） | 绑定微信时 | 扫码登录 | 只保存经密钥哈希的标识，不保存头像和昵称 |
| 企业单点登录信息（如你的企业启用） | 用企业账号登录时 | 登录企业空间 | 保存经密钥哈希的企业账号标识，以及企业身份系统提供的显示名（最多 20 字）。邮箱只用于核对是否属于企业允许的域名，不保存 |
| 你的提问 | 在对话框提问时 | 检索资料、生成回答 | 直接提问：审计记录里只保存问题的哈希。使用"研读任务/导出笔记"或"定时任务"时，会保存问题原文和生成的笔记 |
| 你导入的书稿 | 在"伴读"里导入 txt/md/docx 时 | 让你在书内阅读、检索和问答 | 保存全文（切分为章节段落）、你填写的书名、作者和权属依据，以及导入者标识。只在你导入时所在的空间内可见 |
| 写作项目 | 使用长文写作功能时 | 保存你的写作进度 | 保存标题、章节、每一版正文。只有你本人可见 |
| 表达偏好 | 你在设置里选择时 | 调整回答的表达方式 | 只保存你选的选项（如"中学生""分步骤"），可随时清除 |
| 记忆（背景说明） | 你在"记忆"页写下时 | 让回答更贴合你的情况 | 最多 20 条、每条 200 字以内，由你自己写；启用的条目会随提问交给大模型服务商，标明"不是证据"；可随时停用或删除 |
| 目标与计划 | 你创建目标时 | 在后台按步骤运行研读任务 | 保存目标名称、想达成什么、计划步骤；"想达成什么"会作为背景随每个步骤交给大模型服务商 |
| 站内通知 | 后台任务完成或失败、需要你批准、举报有结果时 | 提醒你 | 只存标题和简短说明，不存回答正文；每人保留最近 200 条；每类提醒都可以关掉 |
| 投诉举报 | 你提交举报时 | 受理和处理举报，满足法规要求 | 保存举报类型、原因、你的说明，以及你勾选附上的那条回答和提问；处理结果你可以在"我的举报"里看到 |
| 数据 API 密钥与用量 | 创建 API 密钥并调用时 | 鉴权、限速、配额 | 只保存密钥的哈希和末几位；用量按天记录接口名、调用次数和返回条数，不记录查询内容 |
| 工作空间与成员信息 | 创建或加入企业空间时 | 权限控制 | 空间名称、你的角色、邀请记录 |
| 操作审计记录 | 登录、导出、成员变更等操作时 | 安全审计、排查问题 | 操作类型、时间、操作者标识，不含提问原文；审计记录有防篡改校验 |
| 服务器日志 | 每次请求 | 运行监控、排错、网络安全、按法律要求留存 | 两类：应用日志只记接口路径模板、状态码、耗时和请求编号，不记 IP；网关访问日志记访问时间、IP 地址、请求地址、状态码和浏览器标识。都不记提问内容；按天保存 190 天 |
我们不会收集：身份证件号、通讯录、位置、麦克风或相机数据。除企业单点登录的显示名外，不收集姓名。
开通收费后：购买时我们会记录订单号、商品、金额和支付结果；你申请开票时会填写发票抬头和税号。银行卡等支付信息由微信支付、支付宝直接处理，我们不接触。
二、我们如何使用你的信息
只用于：提供登录与账号安全、提供检索和问答服务、保障系统安全（限频、防刷、发现异常登录）、满足法律法规要求。不用于广告投放，不出售你的信息，我们不用你的提问、任务、笔记或书稿训练模型。发给大模型服务商的内容按该服务商的规则处理，见下一节。
三、我们会向哪些第三方提供信息
| 第三方 | 提供什么 | 目的 |
|---|---|---|
| 短信服务商（阿里云短信服务，开通手机号登录后） | 你输入的手机号和验证码 | 发送验证码短信 |
| 支付服务商（微信支付、支付宝，开通收费后） | 订单号、商品名称、金额 | 完成支付和退款 |
| 大模型服务商：平台提供的模型为 DeepSeek（深度求索）；你在“我的模型”里自己配置的模型，发往你选择的服务商。DeepSeek 的隐私政策写明数据存储在中国境内；其条款没有承诺不把接口数据用于模型训练 | 你的问题，以及检索到的相关原文片段；在书内提问时还包括你导入的书稿片段；你启用的记忆条目和目标说明 | 生成回答。请不要在提问中写入你不希望被第三方处理的个人敏感信息 |
| 企业身份提供方（如你的企业启用单点登录） | 登录跳转中的授权码和一次性校验值 | 由你所在企业的身份系统确认你的身份 |
| 微信开放平台（如启用） | 授权过程中的授权码 | 微信扫码登录 |
除上述外，未经你同意或法律法规要求，我们不会向第三方提供你的个人信息。
四、Cookie 与本地存储
登录后设置一个会话 Cookie：HttpOnly（网页脚本读取不到）、SameSite=Strict、HTTPS 下带 Secure，只用于保持登录。网页的离线缓存只保存页面文件，不保存个人信息；界面主题等少量偏好保存在浏览器本地。
五、我们如何保护你的信息
手机号、验证码、会话令牌、邀请令牌、API 密钥都以哈希形式存储，会话令牌只在发放时出现一次；高风险操作（移除成员、转移所有权、批准导出企业数据、导出个人数据、注销账号）需要二次验证（身份验证器或短信验证码，或邀请链接登录后 10 分钟内）；身份验证器连续输错 5 次暂停 10 分钟；短信发送有多维度限频和每日总量上限；调用外部服务的子进程拿不到系统密钥。没有任何系统能保证绝对安全，如发生个人信息安全事件，我们会立即采取补救措施，按《国家网络安全事件报告管理办法》在规定时限内向监管部门报告，并通过站内通知、短信或邮件告知受影响的你：发生了什么、可能的影响、我们已采取的措施和你可以采取的措施。
六、你的权利
- 查看与管理：在"账号设置"里查看已登录设备，可随时让某个设备退出。
- 导出：在"账号设置"里导出你的数据（需要二次验证），内容包括账号资料、同意记录、会话、偏好、定时任务、任务与笔记、导入过的书（书名、作者、权属依据等元数据）、写作项目、你提交过的举报、记忆条目、目标与计划和站内通知。
- 更正：昵称默认为遮盖的手机号，目前不支持修改其他资料。
- 删除：可以随时删除某个已结束的任务及其笔记、删除导入的书、清除表达偏好和记忆、删除目标。
- 注销：在"账号设置 → 注销"申请，有 15 天冷静期，期间可随时取消。冷静期结束后，系统会：退出所有设备；删除手机号、微信、企业账号的绑定标识；删除你的个人空间及其中的任务、笔记、定时任务、表达偏好、记忆、目标、导入的书和数据 API 密钥，以及你的全部站内通知；删除你的全部写作项目；你提交过的举报作为处理记录保留，但不再关联到你，附带的回答片段会删除。你在企业空间里留下的工作内容（包括导入的书）属于该空间，会保留，但不再显示是你创建或导入的。如果你是某个企业空间唯一的负责人，需要先转移所有权。
- 撤回同意：可以通过注销账号撤回。其他请求请发邮件到 cml3366@163.com，我们将在 15 个工作日内回复。
七、保存期限
| 数据 | 期限 |
|---|---|
| 会话 | 最长 30 天，空闲 7 天失效；退出登录立即作废 |
| 验证码与限频记录 | 验证码 5 分钟；限频计数最多保留 2 天 |
| 同意记录 | 账号存续期间及注销后 3 年，到期自动删除 |
| 审计记录 | 至少 6 个月（《网络安全法》要求网络日志留存不少于六个月）；注销后其中的操作者标识会被匿名化 |
| 服务器日志（含网关访问日志里的 IP） | 190 天（《网络安全法》要求不少于六个月），之后自动删除 |
| 个人空间的任务、笔记、书稿，以及写作项目 | 直到你删除或注销生效 |
| 投诉举报记录 | 作为处理凭证，办结后保留 3 年，到期自动删除；注销后不再关联到你 |
| 备份 | 每日备份：服务器和运营方本地各保留最近 14 份；另有一份加密副本存放在阿里云对象存储（与服务器同在北京），15 天后自动删除。注销后在这些期限内仍可能存在于备份中 |
八、未成年人
本服务不面向 14 周岁以下的儿童，我们不会主动收集儿童的个人信息；如发现误收集，会尽快删除。已满 14 周岁未满 18 周岁的未成年人，应在监护人的指导下阅读本政策并使用本服务。监护人对未成年人的个人信息处理有疑问的，可通过上面的邮箱联系我们。
九、本政策的变更
重大变更时我们会升级版本号并要求你重新同意。
十、AI 生成内容说明
本服务的回答由人工智能生成，已按规定做标识。回答仅供传统文化研究参考，不构成医疗、法律、投资等专业意见，不作为人生重大决策的唯一依据。系统会把回答里能逐字对应原文的句子标为"可核对"，把模型自己的解读单独标为"AI 解读"。
生成自 docs/legal/隐私政策_草案v2.md