我们如何处理你的信息
一、适用范围
本隐私政策适用于"浦城百晓书"（网站 350722.com 及相应域名、网页端与后续上线的小程序、 App 端）提供的全部产品与服务。
本政策中的"我们"指浦城百晓书的运营主体 南平市四方圆文化传媒有限公司； "你"指注册、登录或以游客身份使用本服务的用户。
本服务中的 AI 问答功能主要由我们自建的模型服务提供，模型部署于自建服务器； 在自建服务不可用或算力不足时，会降级调用境内第三方模型服务商（如深度求索 DeepSeek、 月之暗面 Kimi、智谱 GLM 等）完成问答。你的提问内容不会被发送至境外第三方模型服务商用于训练。
二、我们收集哪些信息
我们遵循"最小必要"原则，仅收集实现功能所必需的信息。
2.1 你主动提供的信息
| 信息类型 | 收集场景 | 必要性 |
|---|---|---|
| 用户名、密码 | 用户名密码注册与登录 | 必需。密码以 bcrypt 单向哈希存储，我们无法还原明文 |
| 手机号 | 手机号验证码登录、绑定手机号 | 登录时必需，不登录可不使用 |
| 微信 OpenID / UnionID、头像 | 微信扫码登录 | 登录时必需。我们获取用于识别账号的标识，并获取你的微信头像（头像会下载并存储在我们自己的服务器上），不获取好友列表、朋友圈等信息；你可在个人中心关闭"使用微信头像" |
| 对话内容 | 你向 AI 提出的问题及系统返回的回答 | 实现多轮连续对话所必需 |
| 上传的文档 | 你主动上传至知识库的文件 | 可选。不上传不影响其他功能 |
| 实名信息 | 仅在你主动进行实名认证时 | 可选，用于特定合规场景 |
| 纠错反馈 | 你点击"这条回答有问题"提交纠错时 | 可选。我们会记录原始提问、原始回答与提交时间，仅用于改进回答质量，不做自动处理；游客主动提交时，该条原始提问与回答同样会被保留（属主动提交，独立于下方的游客提问日志） |
2.2 使用过程中自动收集的信息
- 设备与网络信息：IP 地址、浏览器类型与版本（User-Agent）。用于安全防护、异常登录识别与短信发送频控。
- 服务日志：访问时间、接口路径、各环节耗时。用于排查故障与性能优化，不用于用户画像分析。
- 内容安全拦截审计：对触发安全规则的内容，系统会记录拦截判定所需的必要信息，仅用于安全审计与规则优化，不用于其他目的。
- 游客匿名标识：未登录使用时，我们会下发一个随机匿名标识用于计算免费额度与串联同一游客的提问序列。该标识不含身份信息；游客的对话不保存未脱敏的明文原文，但提问内容与回答（均脱敏后）会进入游客提问日志用于服务优化与回答出处审计（见下方"游客提问统计（脱敏）"项），且游客主动点击"这条回答有问题"提交纠错时，该条原始提问与回答会按 2.1"纠错反馈"项记录（属主动提交）。
- 游客提问统计（脱敏）：为统计游客提问分布、观察哪些问题被反复提问以反哺知识库补充，我们会将游客的提问与回答（均脱敏后）与命中/分类结果记录到独立的游客提问日志。脱敏处理为：抹除手机号、身份证号，回答截断至 4000 字符；回答仅用于校验回答中是否夹带伪造出处（编出处审计），不用于其他目的。其中游客匿名标识与来源 IP 均以不可逆加密摘要（HMAC）形式存储，不存可反推身份的明文；引用来源仅记录文档编号。明细记录保留 30 天后自动删除，仅保留按日聚合的统计数字（提问总数/命中数/去重游客数/分类分布）长期留存。该日志与登录用户的对话记录完全隔离、不互相混存。
- 提问日志（脱敏）：为改进回答质量、观察真实使用趋势，我们会记录你提出的问题（脱敏后）与路由分类，留存 90 天。当前自动脱敏范围仅覆盖手机号与身份证号；姓名、住址、银行卡号、车牌号等信息暂未纳入自动脱敏范围，请勿在提问中主动输入上述信息。我们不存储提问的明文原文，仅存储脱敏后的文本。
2.3 我们不收集的信息
- 通讯录、相册、精确地理位置、通话记录、短信内容
- 与其他应用或网站关联的跨站追踪标识
- 用于广告定向投放的用户画像标签
三、我们如何使用这些信息
我们不会将你的个人信息用于广告投放或向第三方出售。 若未来要将信息用于本政策未载明的其他目的，我们会事先征求你的明示同意。
四、手机号与登录标识的存储方式
手机号属于敏感个人信息，我们采取"加密存储 + 盲索引"的方式处理：
第三方登录标识（微信 UnionID）本身即为不可逆标识，我们不以明文形式存储你的微信昵称、头像以外的其他资料。
五、本地存储与 Cookie
- 登录凭证（Token）：保存在浏览器 localStorage 中，用于维持登录状态，退出登录或令牌过期后清除。
- 游客匿名标识：保存在浏览器 localStorage 中，用于计算游客免费额度；同时该匿名标识与你的 IP 地址会以限流计数形式短暂存储于服务端（Redis），仅用于防止滥用，不关联身份信息。
- 界面偏好：如深浅色主题等设置。
我们不投放广告 Cookie，不接入第三方统计或广告追踪脚本。 你可以随时清除浏览器本地存储，但这会导致需要重新登录。
六、信息共享、委托处理与第三方
我们不会出售或出租你的个人信息。仅在以下情形下向第三方提供：
| 第三方 | 用途 | 涉及信息 |
|---|---|---|
| 微信开放平台 | 微信扫码登录、微信支付 | UnionID、头像、支付订单号与订单状态 |
| 短信服务商 | 发送登录验证码 | 手机号（仅用于本次投递） |
| 云服务商 | 服务器与数据库托管 | 存储于境内节点的业务数据 |
| 网络搜索服务商 | 补充实时信息（仅在你提问需要实时信息时触发） | 查询词 |
上述合作方仅在我们的指示范围内处理信息，不得用于自身目的。 除法律法规要求或为保护你与他人重大合法权益所必需外，我们不会向其他方披露你的个人信息。
七、信息存储地点与保留期限
- 存储地点：你的个人信息存储于中华人民共和国境内的服务器。
- 账号信息：在你注销账号前持续保留，注销后按本政策第九条处理。
- 对话记录：登录后产生的对话内容与使用日志，自产生之日起保留 90 天；到期后自动删除或匿名化处理。你也可以随时在对话界面主动删除单条对话或整个会话（见第九条）。游客的对话不保存未脱敏的明文原文；游客的提问与回答（均脱敏后）会按 2.2「游客提问统计（脱敏）」项进入游客提问日志（明细保留 30 天），且游客主动提交纠错反馈时，该条原始提问与回答会按 2.1「纠错反馈」项记录（属主动提交，独立于游客提问日志）。
- 游客提问统计：游客提问的脱敏明细记录保留 30 天，到期自动删除；仅保留按日聚合的统计数字（提问总数/命中数/去重游客数/分类分布）长期留存，用于服务优化。
- 记忆与个性化：见第七条后「记忆与个性化」补充章节——摘要与画像的保留期另有说明，与上一条「对话记录 90 天」并列，不是同一件事。
- 纠错反馈记录：你提交的纠错反馈（原始提问、原始回答与提交时间）与对话记录适用相同的保留期限——自提交之日起保留 90 天，到期后删除或匿名化处理。游客提交的反馈同样适用本条，不因游客无账号而例外；你也可通过删除对应会话一并清除该条反馈原文（见第九条）。
- 日志信息：安全类日志保留不少于 6 个月（法律法规另有规定的从其规定）。
- 审计记录（不含内容）：为保障账户与隐私安全，我们会记录两类审计留痕——画像查看审计（谁、何时、查看了谁的画像及查看维度）与短信发送日志（发送时间、业务场景、发送结果，手机号仅以不可复原的盲索引形式存储）。两者仅记录操作元数据，不包含画像内容或短信内容本身，保留不少于 6 个月，用于安全审计与纠纷追溯（法律法规另有规定的从其规定）。
- 交易记录：充值与消费记录按会计与税务法规要求保存相应年限，即便账号注销亦不例外。
超出上述期限后，我们将对个人信息进行删除或匿名化处理。
记忆与个性化（补充说明）
为了让"下次来的时候它还记得你"，我们会在你同意后记录下列信息：
- 上下文记忆：当前对话里最近几轮的内容，用于接着聊时不用重复背景；
- 近期摘要：对最近一小时、当天对话生成的摘要，用于跨轮次续上；
- 每日摘要：每天对当天对话做一次摘要，提取其中的【客观事实】和你表达的【偏好】（例如"要严谨还是要口语"）；
- 个性化画像：长期累积的偏好与固定事实，用于让回答更贴合你。
如何关闭：你可以在〔设置 → 个性化〕中随时关闭。关闭后我们不再采集上述信息，也不再用于个性化；已保存的内容仍保留在你的账号下，你可在〔设置 → 删除我的数据〕中随时彻底删除。
关闭不影响你正常使用问答功能，只是它会"每次都从头认识你"。
主动记忆：你说"帮我记一下××"时保存的内容，属于你主动提供的信息， 在你删除前一直保留，不随对话记录的 90 天周期删除；你可在〔设置 → 我的记忆〕中单独删除。
数据备份（专章）
为防范服务器故障、误操作或数据损坏导致服务不可用，我们会对数据库进行全量备份， 仅用于灾难恢复；禁止用于日常查询、分析或任何非灾备用途，任何一次备份访问均会留痕。
- 备份包含的数据：本政策前述各条款所述的全部数据类别，包括手机号、身份证号、登录口令哈希、邮箱、聊天记录、游客提问日志等。
- 备份形态：当前备份为未加密的明文快照。我们已识别该风险，正在收紧备份文件的访问权限（仅系统账户可读、同组不可读）并推进加密，完成相应处置后会在本政策更新说明。
- 保留期限：备份主副本（服务器本地）保留 7 天，云端异地副本（灾备）保留 14 天，冷备份保留 7 天，均到期自动滚动删除；异地副本长于主副本（用于防范主副本与源端同时失效），不设比 14 天更长的默认保留。
- 与"脱敏 30 天"的关系：本政策 2.2 所述"游客明细 30 天脱敏"是指日常业务数据库中的脱敏处理口径；数据库全量备份是另一种独立的留存形态（明文快照）。备份副本中的游客数据与其他数据一样，主副本最多保留 7 天、云端异地副本最多保留 14 天，并随滚动删除自动消失。二者并存、互不替代，均已在本文如实披露。
- 注销后的处理：你注销账号后，你的数据可能在全量备份副本中最多再保留 14 天（以云端异地副本为最长保留），到期随滚动删除自动消失。
- 恢复后重新清除：若因灾难需从备份恢复数据，恢复后我们会重新应用恢复期间发生的所有删除与注销请求，确保已注销用户的数据不会被恢复操作"复活"。
八、我们如何保护信息安全
- 全站启用 HTTPS 传输加密，公网入口终结 SSL。
- 密码使用 bcrypt 单向哈希存储，系统不保存明文密码。
- 手机号采用 AES-GCM 加密存储与 HMAC 盲索引，密钥分离保管并支持轮换。
- 登录令牌签发密钥由服务端强随机生成并定期更换，不使用默认密钥。
- 涉及用户敏感数据的后台操作（如查询私人知识库、任命管理员）均记入审计日志，包含操作人、事由与时间。
- 按最小权限原则分配内部访问权限，并配合防火墙与访问控制策略。
请你同时妥善保管账号与密码，不要将账号出借他人。 如发现账号异常，请立即通过本政策第十二条的方式联系我们。
九、你的权利
你对自己个人信息享有以下权利，可通过本政策第十二条的方式行使：
| 权利 | 说明 |
|---|---|
| 查阅与复制 | 查看你的账号资料、对话历史、余额与消费流水 |
| 更正 | 修改昵称、头像等资料；手机号变更需重新验证 |
| 删除 | 删除单条对话、整个会话或全部历史记录 |
| 撤回同意 | 解除已绑定的微信、手机号 |
| 注销账号 | 当前为人工处理：你提交注销申请后由管理员执行并留痕；我们将在收到申请后尽快完成注销并停止使用、删除或匿名化你的个人信息，法律法规另有规定的除外。自动注销通道上线后本政策将同步更新。 |
我们将在收到你的请求后尽快予以响应并处理。 为保护账号安全，我们可能需要先验证你的身份。
关于注销与退款：账号注销时，账户内未消费的人民币余额（充值）将按《用户协议》约定原路退回； 通过签到、上传、邀请等方式获得的桂花豆（赠送）不具备现金价值，不予退还。详见《用户协议》"虚拟财产"章节。
十、未成年人信息保护
若你未满 18 周岁，请在监护人的陪同下阅读本政策与《用户协议》，并在监护人同意后再使用本服务。
对于不满 14 周岁的儿童个人信息，我们按敏感个人信息处理， 仅在取得监护人明示同意后收集，且仅用于提供服务之必需目的。
我们不对未成年人提供大额充值功能，并对疑似未成年人消费设置二次确认与限制措施。 若监护人发现被监护人未经同意进行了充值，可通过第十二条方式联系我们处理退款。
十一、政策更新
本政策可能因服务调整或法律法规变化而更新。 更新后的版本将在本页面公布并更新"最近更新"日期； 若涉及个人信息处理目的、方式、范围等重大变更，我们会以站内信、弹窗或其他显著方式另行告知。
十二、联系我们
如你对本政策有任何疑问、意见或需要行使上述权利，可通过以下方式联系：
- 邮箱：hi@350722.com
- 运营主体：南平市四方圆文化传媒有限公司
- 联系地址：福建省南平市浦城县兴浦中一区 43-2 号
- 联系电话：0599-2828706
我们将在收到你的请求后尽快予以响应。 若你认为我们的处理行为损害了你的合法权益，你也可以通过上述方式提出投诉。