隐私政策

欢迎使用 OpenLoaf 平台（以下简称"本平台"或"我们"）。本平台由海科森能源科技（上海）有限责任公司（以下简称"本公司"）运营和管理。

本隐私政策适用于您通过本平台网站及相关服务所提供的所有个人信息处理活动，包括但不限于 AI 对话、AI 图片生成、AI 视频生成、富文本编辑器、无限画布等服务。

本隐私政策依据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》及 GB/T 44588-2024《信息安全技术 个人信息安全规范》等法律法规制定。

生效日期：2026年3月21日

请您在使用本平台服务前，仔细阅读并充分理解本隐私政策的全部内容。一旦您开始使用本平台服务，即表示您已充分理解并同意本政策。

我们仅在提供服务所必需的范围内收集您的个人信息，具体如下：

1. 账号注册与登录

本平台支持通过第三方 OAuth 协议进行账号注册与登录，不直接收集您的账号密码。根据您选择的登录方式，我们将收集以下信息：

• 微信登录：微信 UnionID、OpenID、昵称、头像
• Google 登录：Google 账号 ID、邮箱地址、昵称、头像

2. AI 服务使用

当您使用本平台 AI 服务时，我们将收集：

• AI 请求日志：包括 token 用量、积分消耗、请求内容摘要
• 生成内容的元数据：生成时间、模型类型、任务状态

为完成您的 AI 请求，您提交的内容（包括但不限于对话文本、提示词、上传的图片或视频等）将被传递至我们合作的第三方 AI 模型服务提供商进行处理。我们仅传递完成请求所必需的数据，不会向第三方传递您的账号、支付等无关信息。数据传递至第三方后，其处理将受相应服务商的隐私政策约束。

为保障服务质量、排查问题及优化产品体验，我们可能会保留您的 AI 请求与响应的相关数据（包括请求内容、生成结果、token 用量等）。这些数据将用于服务运营、安全审计、产品分析与改进等合法目的。

3. 支付信息

当您购买订阅或充值积分时，支付过程由第三方支付平台（微信支付、支付宝）处理。我们仅收集：

• 订单编号、交易金额、交易时间、支付状态
• 我们不收集也不存储您的银行卡号、支付密码等敏感支付信息

4. 设备与日志信息

为保障服务安全和排查问题，我们可能自动收集：

• 设备型号、操作系统版本、浏览器类型和版本
• IP 地址、访问时间、HTTP 请求/响应状态码
• 错误日志：包括 HTTP 4xx/5xx 错误的请求和响应信息

我们收集的个人信息将严格用于以下目的：

• 提供核心服务：处理您的 AI 请求、管理您的账号和订阅、记录积分消耗
• 服务优化：分析服务使用数据以改善产品体验和服务质量
• 安全保障：检测和防范安全风险、欺诈行为和违规使用
• 合规义务：履行法律法规要求的信息留存和报告义务

关于自动化决策：本平台使用积分计费系统自动计算 AI 服务消耗的积分。该自动化决策机制基于透明的计费规则（按 token 用量和模型定价计算），不涉及对您个人特征的评估或画像。您有权就自动化决策结果提出异议。

1. 共享

我们不会主动与任何第三方共享您的个人信息，但以下情况除外：

• 获得您的明确同意后
• 为履行法律法规的义务
• 为提供服务所必需的第三方 SDK（详见下方清单）
• 为向您提供 AI 服务，将您的请求内容传递至第三方 AI 模型服务提供商进行处理（详见下方说明）

2. 第三方 AI 模型服务

本平台通过接入多家第三方 AI 模型服务提供商为您提供对话、图片生成、视频生成等 AI 能力。为完成您的请求，您提交的内容将被传递至相应的服务商进行处理。

我们对此做出如下承诺：

• 仅传递完成 AI 请求所必需的内容数据，不会传递您的账号、支付等无关信息
• 选择符合相关法律法规要求的服务商进行合作
• 第三方服务商可能根据其自身隐私政策对接收的数据进行处理（包括但不限于安全审查、服务改进等），我们建议您同时关注相关服务商的隐私条款
• 我们可能会保留请求与响应的相关数据，用于服务运营、质量监控与产品改进等合法目的
• 如合作的第三方服务商发生变更，我们将在隐私政策更新中予以体现

3. 第三方 SDK 清单

本平台集成了以下第三方 SDK，请知悉各 SDK 的数据收集情况：

4. 转让

我们不会将您的个人信息转让给任何第三方，除非发生合并、收购或资产转让等情形。在此类情形下，我们将要求新的持有方继续受本隐私政策的约束，或重新征得您的同意。

5. 公开披露

我们不会公开披露您的个人信息，除非获得您的单独同意，或在法律法规要求、司法行政机关依法要求的情况下。

本平台不使用传统 Cookie进行身份认证或用户追踪。我们采用以下技术方案：

• JWT Token：用于身份认证的访问令牌（accessToken）和刷新令牌（refreshToken），存储于浏览器 localStorage
• localStorage：用于存储认证令牌和用户偏好设置，不包含敏感个人信息

您可以通过浏览器设置清除 localStorage 数据，但这将导致您需要重新登录。

1. 存储地点

您的个人信息全部存储在中华人民共和国境内的服务器上。我们不会将您的个人信息传输至境外。如将来因业务需要进行跨境传输，我们将严格遵守相关法律法规，并事先征得您的单独同意。

2. 存储方式

• 结构化数据存储于 PostgreSQL 数据库，采用加密传输
• 会话缓存存储于 Redis，设置合理过期时间（如积分缓存 TTL 为 60 秒）
• 刷新令牌采用哈希存储，支持轮换追踪机制

3. 安全措施

• 所有 API 通信采用 HTTPS 加密传输
• 访问令牌（JWT）签名验证，防止篡改
• 管理员权限通过独立守卫机制控制
• HTTP 错误日志记录和监控，及时发现异常访问

4. 保存期限

我们仅在实现处理目的所必需的最短时间内保留您的个人信息：

• 账号信息：自您注销账号之日起 30 日内删除
• AI 请求日志：保留不超过 180 天
• 支付记录：依据税务法规要求保留不少于 5 年
• 错误日志：保留不超过 90 天

根据《个人信息保护法》及相关法律法规，您对您的个人信息享有以下权利：

• 查阅权：您有权查阅我们持有的您的个人信息。您可以通过"个人资料"页面查看您的账号信息
• 更正权：当您发现我们处理的个人信息有误时，您有权要求更正
• 删除权：在法律规定的情形下，您有权要求我们删除您的个人信息
• 注销权：您有权注销您的账号，我们将在 30 日内完成注销并删除相关个人信息（法律法规另有要求的除外）
• 撤回同意权：您有权随时撤回您此前作出的同意。撤回同意不影响撤回前基于同意所进行的个人信息处理活动的合法性
• 获取副本权：您有权请求获取您的个人信息副本
• 投诉举报权：如您认为我们的个人信息处理行为侵害了您的合法权益，您有权向有关部门投诉举报

如需行使上述权利，请通过本政策第十条所列联系方式与我们联系。我们将在收到您的请求后15 个工作日内予以回复。

本平台的服务主要面向成年人。若您为未满 14 周岁的未成年人，请在您的监护人的陪同和指导下阅读本隐私政策，并在获得监护人的明确同意后使用我们的服务。

我们将根据国家法律法规的规定，对不满 14 周岁的未成年人的个人信息予以特别保护。如我们发现在未获得可验证的监护人同意的情况下收集了未成年人的个人信息，将尽快删除相关信息。

如您是未成年人的监护人，且对您所监护的未成年人的个人信息保护有任何疑问，请通过本政策第十条所列联系方式与我们联系。

我们可能会根据业务发展和法律法规变化不时更新本隐私政策。更新方式包括：

• 在本平台显著位置发布更新通知
• 通过站内消息或弹窗方式通知您

对于涉及重大变更的（如收集更多个人信息、扩大使用目的等），我们将重新征得您的同意。

如您在隐私政策更新后继续使用本平台服务，即表示您同意接受更新后的隐私政策。如您不同意更新后的内容，请停止使用本平台服务。

如您对本隐私政策有任何疑问、意见、建议，或需要行使您的个人信息权利，请通过以下方式与我们联系：

• 公司名称：海科森能源科技（上海）有限责任公司
• 联系邮箱：zz@hexems.com
• ICP 备案号：沪ICP备2024097173号-1

我们将在收到您的反馈后尽快核实相关情况，并在 15 个工作日内予以回复。

如您对我们的回复不满意，或认为您的个人信息权利受到侵害，您可以向国家互联网信息办公室或 住所地市级以上人民政府有关部门投诉举报。您也有权向有管辖权的人民法院提起诉讼。