云猫快写隐私政策
版本：1.0.0-draft.7 生效日期：尚未生效（草稿）
本政策说明云猫快写（ymwrite.com，下称「本服务」）的运营者 云猫光年创意科技有限公司（下称「我们」）如何收集、使用、存储、共享和保护你的个人信息，以及你享有哪些权利、如何行使。配套文件：
- 个人信息收集清单：逐项列出每个功能收集什么、为什么、保存多久；
- 委托处理方清单：哪些服务商替我们处理你的信息；
- 跨境处理告知：你的信息会在哪些国家或地区处理，由谁处理；
- Cookie 与本地存储说明；
- 未成年人个人信息处理规则。
1. 摘要
- 我们只收集提供服务所必需的信息。我们不出售你的个人信息，不用它做广告，不用你的内容训练或改进通用 AI 模型。
- 你的数据存放在日本（东京，灾备在大阪）。需要 AI 处理的内容会发送到美国的 Anthropic 处理。付款在中国的爱发电平台完成。
- 你的笔迹样本和由它生成的字体，我们按敏感个人信息处理，只在你单独同意后收集，只用于为你本人生成书写。
- 你可以随时在「账户」页面查看、导出、更正、删除你的信息，撤回同意，或注销账号。
- 本服务只向年满 18 周岁的人提供。
2. 适用范围
本政策适用于 ymwrite.com 网站、应用（/app/）、公开核验页（/verify）以及我们通过邮件提供的服务。你通过第三方服务（如 Google 登录、爱发电付款）提供的信息，在第三方那一侧的处理适用其自己的隐私政策。
3. 我们收集的信息与用途
下表按功能概括；每一项的字段、是否必需、保存期限见个人信息收集清单。「依据」一列说明我们处理这些信息的法律基础。
| 功能 | 收集的信息 | 用途 | 依据 |
|---|---|---|---|
| 注册与登录 | 电子邮箱；使用 Google 登录时，Google 账号标识（sub）与邮箱；你自己填写的昵称 | 建立和识别账号、发送验证码与重要通知 | 履行协议 |
| 年龄确认 | 你填写的出生年月（只用于当场判断，不保存）；「已满 18 周岁」的确认记录 | 确认你符合使用条件 | 履行协议；法律义务 |
| 地区判断 | 你的 IP 地址对应的国家或地区（在我们的服务器上用本地数据库判断，不发送给第三方） | 执行地区限制 | 履行协议；合法利益 |
| 同意记录 | 你同意或撤回的文件名称与版本、时间、IP 地址、浏览器标识 | 证明你作出了相应选择 | 法律义务；合法利益 |
| 设备与会话 | 会话与设备 Cookie（我们只保存其哈希值）、IP 地址、浏览器类型、根据 IP 地址判断的大致位置（国家或地区、省或州、城市）和网络运营商、最后活跃时间；未注册的试用访客也同样记录 | 保持登录、识别新设备、保护账号安全、防止试用名额被滥用 | 履行协议；合法利益 |
| 笔迹字体 | 手写样本页、切分出的单字图片、审核结果、测量出的书写参数、生成的专属模型与字形 | 为你本人生成书写 | 单独同意 |
| 题目识别与作答 | 题目页照片与识别出的文字、AI 生成的解答 | 识别题目、生成作答并排版 | 履行协议 |
| 姓名栏 | 你填写的姓名、班级、学号、学校 | 填进你指定的页面位置 | 履行协议 |
| 稿纸与撰写 | 你输入的文字、AI 撰写的文字 | 排版成手写页面 | 履行协议 |
| AI 助手对话 | 对话内容、你上传的附件 | 完成你在对话中要求的操作 | 履行协议 |
| 生成与下载 | 每个生成文件的编号（ProduceID）、生成时间、是否带可见标识、下载记录 | 写入与核验 AI 标识、履行标识与日志义务 | 法律义务；合法利益 |
| 付费 | 爱发电订单号、你的爱发电用户编号、方案、月数、金额、付款时间、订单留言里的核对码 | 开通会员、对账、开具收据、处理退款与争议 | 履行协议；法律义务 |
| 客服与举报 | 工单与举报内容、附件、你授权我们查看的对象 | 处理你的问题与举报 | 履行协议；合法利益 |
| 安全与防滥用 | 访问日志（IP 地址、请求时间与路径、浏览器标识）、内容审核记录、额度与费用统计 | 防止盗号、滥用与欺诈，保障服务安全 | 合法利益；法律义务 |
| 错误报告 | 网页出错时的错误类型、调用栈（去掉网址参数）、请求编号、前端版本 | 排查故障 | 合法利益 |
公开核验（/verify） | 你上传核验的文件（核验完立即删除）、IP 地址的哈希值 | 回答核验结果、防止滥用 | 合法利益 |
| 营销消息 | 你的订阅选择 | 发送产品更新（默认不订阅） | 同意 |
我们不收集：你的支付卡号、银行账号或支付账户密码（这些由爱发电和支付机构处理）；你的通讯录、位置（GPS）、相机或麦克风数据（除非你主动拍照上传）；来自 Google 的姓名、头像或其他资料（我们只请求 openid 与 email）。
4. 敏感个人信息
4.1 笔迹。 笔迹样本和由它派生的字体、模型可以用来生成看起来像你亲手书写的文字，一旦泄露可能被他人用来伪造你的笔迹。因此我们按敏感个人信息处理：
- 第一次上传样本前，我们会单独告知目的、必要性、可能的影响、保存期限与删除方式，并取得你的单独同意；
- 每建立一个字体，你都要声明样本是你本人的笔迹；
- 只用于为你本人的账号生成书写，不提供给其他用户；
- 自动审核不确定的单字图片会发送给 Anthropic 判断识别是否正确（见第 6 节）；
- 样本原页在字体建好后默认删除，只保留单字图片（你可以选择保留原页以便以后重建）；
- 你可以随时撤回同意，撤回即删除你的全部字体及其派生数据。
4.2 题目照片中的儿童信息。 你上传的作业照片可能含有未成年人的姓名、学校等信息。我们的做法见第 12 节与未成年人个人信息处理规则。
5. 我们如何使用信息
5.1 只用于本政策写明的用途。需要用于新的用途时，我们会先告知你，必要时重新取得你的同意。
5.2 不用于训练通用模型。 我们不使用你的内容训练或改进通用 AI 模型（包括我们自己的通用模型），也不允许模型服务商这样做（以其商业条款为准）。你使用「深度定制」时，我们用你上传的笔迹样本为该字体训练一个专属模型，它只用于为你本人生成书写，随字体一起删除。我们用于改进字体识别的数据，只来自运营者本人和另行签署书面同意的志愿书写人。
5.3 自动化决定。 以下情形由系统自动作出决定：
- 内容审核：命中拦截规则的单次请求不会执行；
- 账号临时限制：触发审核、费用异常或疑似多账号规则时，账号被临时限制最长 24 小时；由工作人员人工确认后才会转为停用，未确认的自动解除；
- 免费额度：是否发放首期免费额度，取决于邮箱服务商、当日名额等规则；
- 地区判断：根据 IP 地址判断你是否身处不提供服务的地区。
你有权要求我们说明自动化决定的依据，并要求人工复核；对账号限制可以一键申诉，我们会在 7 天内答复。我们不会仅凭自动化处理对你作出永久停用账号的决定（严重违法情形下保全证据的临时措施除外）。
5.4 两条不变的规则：你在姓名栏填写的信息只在我们的服务器上排版时使用，从不发送给任何 AI 模型服务商；来自 Google 的邮箱和账号标识也从不发送给 AI 模型服务商。
6. 委托处理与共享
6.1 我们委托以下服务商处理你的信息，它们只能按我们的指示、为提供本服务处理，并承担相应的保密与安全义务。完整清单（含处理的数据、所在地、保存期限）见委托处理方清单。
| 服务商 | 做什么 | 所在地 |
|---|---|---|
| Amazon Web Services | 服务器、数据库、文件存储、备份、密钥管理、发送邮件 | 日本（东京、大阪） |
| Anthropic, PBC | AI 模型：识别题目、生成解答与文字、复核单字图片、AI 助手对话 | 美国 |
| Google LLC | 仅在你选择 Google 登录时：确认你的身份 | 美国 |
| 爱发电 | 付款 | 中国 |
6.2 发送给 Anthropic 的内容：题目页照片（「自动遮挡姓名栏」开启时，姓名栏已在我们的服务器上遮挡，遮挡在保存和发送之前完成）与识别出的文字、需要复核的单字图片、你与 AI 助手的对话、需要 AI 撰写或作答的文字，以及本地规则判断为「可疑」、需要进一步分类的输入文字（内容审核）。Anthropic 对这些数据的保存期限：〔待定：Anthropic 对 API 输入输出的保留期限，含信任与安全例外；从签约时的商业条款与 DPA 逐字摘录〕。【律师：Anthropic 的定位（受托处理方或第三方提供方）与告知写法】
6.3 我们不出售、不出租你的个人信息，也不与任何人「共享」用于跨情境行为广告。
6.4 法律要求的披露。 我们可能在法律要求时，向有管辖权的法院、监管或执法机关提供必要的信息。我们会审查请求的合法性与范围，只提供必要的部分；法律允许的情况下，我们会通知你。
6.5 运营主体变更。 因合并、重组等原因运营主体变更的，我们会要求新的运营者继续受本政策约束，并提前通知你；新运营者改变处理目的、方式的，会重新征得你的同意。
7. 数据存放地与跨境处理
7.1 你的数据存放在 Amazon Web Services 日本东京区域，备份与灾备在日本大阪区域。
7.2 AI 处理在美国（Anthropic）完成；使用 Google 登录时，身份信息从美国（Google）传给我们；付款信息在中国（爱发电）产生，我们从爱发电取回订单信息。
7.3 这意味着你的个人信息会在你所在国家或地区以外处理。我们在跨境处理告知里逐一列出了每个接收方的名称、联系方式、处理目的和方式、信息种类、保存期限以及你向它行使权利的方式，并在注册时请你单独同意。我们采用合同条款等措施保障这些处理达到本政策的保护水平。【律师：各地区的跨境传输机制（如欧盟标准合同条款、日本充分性认定）】
8. Google 用户数据
如果你选择使用 Google 登录：
- 我们只请求
openid与email两个范围，取得你的 Google 账号标识（sub）、邮箱地址和邮箱是否已验证；不请求姓名、头像、通讯录或任何其他 Google 数据； - 这些信息只用于登录和账号绑定，不用于广告，不出售，不转让给第三方，不用于训练任何 AI 模型，也不发送给 AI 模型服务商；
- 我们不保存 Google 的访问令牌或刷新令牌；
- 云猫快写对从 Google API 获得的信息的使用和向其他应用的传输，将遵守 Google API 服务用户数据政策，包括其中的「有限使用」（Limited Use）要求。
- 你可以在「账户」页面解绑 Google，或在 myaccount.google.com 撤销对云猫快写的授权；
- 注销账号后，你的 Google 账号标识的不可逆哈希值保留 180 天，只用于防止注销后立即重新注册领取免费额度；因未满 18 周岁而未能注册的，保留 30 天，只用于防止立即改填年龄重新注册。
9. Cookie 与本地存储
我们只使用保持登录、安全防护和记住界面偏好所必需的 Cookie 与浏览器本地存储，没有任何第三方跟踪 Cookie、广告 Cookie 或第三方分析脚本。逐项说明见 Cookie 与本地存储说明。
10. 保存期限
我们只在实现目的所需的最短时间内保存你的信息。到期后自动删除或匿名化。
| 数据 | 保存期限 |
|---|---|
| 上传的原始文件 | 在隔离环境中解析完成后立即删除，最长 1 小时 |
| 题目页（解析后的图片）与识别文字 | 30 天未访问即删除；你可以改为 7 天，或对某个项目选择「保留项目」（最长 1 年）。原图删除前 7 天会在列表上提示 |
| 生成的页面与照片 | 跟随所属项目；项目 180 天未访问时提醒你，再过 30 天删除 |
| AI 助手对话 | 90 天未活动即删除（第 75 天提醒） |
| 笔迹样本原页 | 字体建好后默认删除，只保留单字图片；你可以选择保留原页 |
| 字体、单字图片、专属模型 | 保存到你删除或注销账号为止；连续 24 个月未登录且没有有效会员的，我们会在删除前 30 天和 7 天各发一次邮件，然后删除这些笔迹类数据（账号与订单记录保留） |
| 可重新生成的缓存、预览 | 30 天未访问即删除 |
| IP 地址及据此判断的位置和网络运营商（包括未注册的试用访客） | 最后一次出现后 90 天删除；登录会话里记录的 IP 地址也在 90 天后清除。下载记录和同意记录里的 IP 地址按各自的期限保存，用作证据 |
| 生成记录（ProduceID）、下载记录、操作审计、内容审核记录、访问与安全日志 | 12 个月 |
| 注销后的同意记录（去标识化）与封存的主邮箱 | 与相关生成记录保存相同的时间，且不少于你最后一次生成不带可见标识的文件之后 6 个月 |
| 作业任务记录 | 90 天（内部错误记录 30 天） |
| 登录验证、第三方登录流程、付款回调等临时记录 | 30 天 |
| 用量统计 | 13 个月 |
| 订单、权益变动记录、收据 | 3 年；会计凭证按运营者所在地法律规定的期限【待核实】 |
| 应用日志 | 30 天 |
| 备份 | 滚动保存 35 天 |
| 客服工单 | 关闭后 180 天 |
题目页原图按上表删除后，该项目变为只读：成品仍可下载，但不能再编辑、重新解题或重新书写（这些操作需要原图）。
10.1 注销后我们仍保留的信息
注销会删除你的字体、项目、对话和账号资料（见注销须知）。以下信息因法律义务或正当理由在注销后继续保留，到期删除：
- 订单、权益变动记录、收据：3 年，只关联到已注销账号的编号；
- 生成记录、下载记录、操作审计、内容审核记录、访问与安全日志：12 个月（用量统计 13 个月），账号编号替换为不可逆哈希值；
- 去标识化的同意记录（证明你曾同意使用规则、确认年满 18 周岁、选择关闭可见标识）与加密封存的主邮箱（只在监管机关依法协查时经两名负责人确认后解密）：保留到注销后 6 个月与你最后一次生成不带可见标识的文件后 6 个月两者中较晚者【律师】；
- 主邮箱与 Google 账号标识的哈希值：180 天，只用于防止注销后立即重新注册领取免费额度；
- 涉及法律程序的审核证据：到程序结束；
- 备份中的数据：最长 35 天后随备份滚动过期，从备份恢复时按删除日志重新删除。
11. 你的权利
11.1 你对你的个人信息享有以下权利，大部分可以在「账户」页面自助完成：
- 查阅与复制（导出）：导出一个 ZIP 文件，包括账号信息（含偏好与可见标识设置）、同意记录、订单与权益记录、字体的样本图片、单字图片、审核结果与参数、项目原图与生成的成品、你填写的姓名栏信息、AI 助手对话文本和一份说明文件。导出包 24 小时内有效，只能下载一次。导出不包含你的专属笔迹模型和由它生成的字形缓存：它们是派生的生成模型，导出后可以绕过 AI 标识直接合成手写；你提供的原始样本与单字图片照常导出。【律师：可携带权的范围是否可以不含派生模型】
- 更正：在资料页修改；
- 删除：逐项删除会话、项目、字体、纸张、单个样本页；
- 撤回同意：撤回笔迹同意，在「账户 → 数据与隐私」逐项删除里删除你的全部字体，字体及其派生数据随之删除（删除前会告诉你影响范围并请你确认）；撤回跨境处理同意意味着我们无法继续向你提供服务，请注销账号。你也可以在「帮助与举报」里提出撤回，我们代为办理。撤回不影响撤回前基于同意已进行的处理；
- 注销账号：见注销须知；
- 要求说明与人工复核自动化决定：见第 5.3 节；
- 反对与限制处理：对基于合法利益的处理，你可以提出反对或要求限制；
- 投诉：向我们投诉，或向你所在地的个人信息保护监管机构投诉。
11.2 怎么行使：自助操作；或发邮件到 privacy@ymwrite.com，或在应用里提交工单。为保护你的账号，导出、注销、更换主邮箱等操作需要重新验证主邮箱（开启两步验证的还需验证码）；在新设备上可能要等待 24 小时才生效（见用户协议第 3.2 条）。
11.3 多久答复：我们在 15 个工作日内处理完毕；自助的导出与注销一般在 8 天内自动完成（注销有 7 天冷静期）。适用法律规定的期限更短的，按更短的期限。
11.4 行使权利一般免费。请求明显没有依据或过于频繁的，我们可以拒绝或收取合理费用，并说明理由。
12. 未成年人个人信息
12.1 本服务不向未满 18 周岁的人提供。 我们不会在知情的情况下收集未满 18 周岁用户的个人信息；发现后会停用并删除相关账号。
12.2 你上传的作业照片可能含有未成年人（例如你的孩子）的个人信息。我们的规则：
- 只能上传你本人或你监护的孩子的作业；
- 「自动遮挡姓名栏」默认开启，遮挡在我们的服务器上、在保存和任何 AI 调用之前完成；
- 关闭遮挡并上传可能含有未满 14 周岁儿童个人信息的照片时，需要你以监护人身份单独同意；
- 姓名栏信息从不发送给 AI 模型服务商；
- 题目页 30 天未访问即删除。
完整规则见未成年人个人信息处理规则。
13. 我们如何保护你的信息
- 传输全程加密（HTTPS/TLS），数据库与文件存储加密；密钥由托管的密钥管理服务保存；
- 每个用户的数据在数据库层面和文件层面相互隔离；
- 上传文件先在隔离的沙箱里解析，原始文件解析后立即删除；
- 为运营服务和排查问题，运营者本人（本服务的最高管理员）可以只读查看每个账号（包括未注册的试用访客）的对话记录，包括你发出的消息、AI 的回复和选项、你上传的照片和生成的页面；运营者本人不能修改或删除这些内容，也不能以你的身份操作。每次查看都写入内部审计日志。【律师：运营者本人查看对话记录的合法性基础与告知写法】
- IP 地址对应的位置和网络运营商，在我们自己的服务器上用离线数据库查询，不发送给任何第三方。完整的 IP 地址只有运营者本人能查看，每次查看都写入内部审计日志；其他工作人员只能看到隐去后半段的地址。
- 除运营者本人外，其他工作人员默认看不到你的内容，查看必须有你的授权或法定理由并经第二人批准，每次查看都有记录，你可以在「帮助与举报」里申请查看这些记录（法律禁止告知的除外）；
- 删除操作先写入不可篡改的删除日志，保证从备份恢复时不会「复活」已删除的数据；
- 定期进行安全测试、备份恢复演练与应急演练。
没有绝对安全的系统。如果你发现安全问题，请发送到 security@ymwrite.com。
14. 个人信息安全事件
发生或可能发生个人信息泄露、篡改、丢失的，我们会立即采取补救措施，并按适用法律通知你：事件的情况、涉及的信息种类、可能的影响、我们已采取的措施、你可以采取的措施以及联系方式；按法律要求向有关监管机构报告。【律师：通知时限与报告对象】
15. 地区补充说明
【律师：本节按运营者所在地和主要用户所在地定稿】
15.1 欧洲经济区、瑞士。 我们是你个人信息的控制者。处理依据见第 3 节（履行合同、同意、法律义务、合法利益）；笔迹数据基于你的明确同意处理。你享有查阅、更正、删除、限制处理、可携带、反对的权利，以及撤回同意（不影响撤回前处理的合法性）、向你所在地的数据保护监管机构投诉的权利。我们在欧盟的代表：〔待定：GDPR 第 27 条的欧盟代表〕。
15.2 英国。 第 15.1 条同样适用于英国用户，监管机构为英国信息专员办公室（ICO）。我们在英国的代表：〔待定：UK GDPR 第 27 条的英国代表〕。
15.3 美国加利福尼亚州及其他有综合性隐私法的州。 我们不出售你的个人信息，也不为跨情境行为广告「共享」你的个人信息；我们只为提供服务所必需的目的使用笔迹等敏感个人信息。你可以要求了解、查阅、删除、更正我们收集的个人信息，我们不会因你行使权利而区别对待你。请求被拒绝的，你可以回复同一封邮件提出复议，我们会在 45 天内答复。
15.4 日本、澳大利亚、加拿大、新加坡等。 你享有当地法律规定的查阅、更正、停止使用或删除等权利，可以通过第 17 节的方式向我们提出；对我们的答复不满意的，可以向当地的个人信息保护监管机构投诉（例如日本个人信息保护委员会、澳大利亚信息专员办公室、加拿大隐私专员办公室、新加坡个人数据保护委员会）。
15.5 中华人民共和国法律。 我们按《个人信息保护法》的要求设计了告知、单独同意与权利响应流程；我们的处理活动适用该法时，你享有该法规定的知情、决定、查阅、复制、可携带、更正、补充、删除、要求解释说明等权利；我们对敏感个人信息与跨境处理分别取得你的单独同意。我们按该法指定的代表或机构：〔待定：《个人信息保护法》第 53 条的境内专门机构或指定代表〕。
15.6 其他国家和地区。 你所在地法律赋予你本政策未列出的权利的，你同样可以向我们行使。
16. 本政策的更新
我们修改本政策时，会在生效前至少 15 天在服务内显著位置通知并发邮件告知，写明改了什么；涉及处理目的、方式、信息种类、接收方等重要变化的，会重新征得你的同意。历史版本可以向我们索取。
17. 联系我们
- 个人信息保护联系人：〔待定：个人信息保护联系人〕，privacy@ymwrite.com
- 运营者：云猫光年创意科技有限公司，〔待定：运营者所在国家或地区〕，联系地址：〔待定：联系地址〕
- 指定代表或机构（如适用）：欧盟 〔待定：GDPR 第 27 条的欧盟代表〕；英国 〔待定：UK GDPR 第 27 条的英国代表〕；中华人民共和国 〔待定：《个人信息保护法》第 53 条的境内专门机构或指定代表〕
我们会在 15 个工作日内答复。