隐私政策

一、我们收集的信息

为了向您提供稳定可用的服务，我们会收集下列信息：

• 账号信息：邮箱地址、密码（仅以 bcrypt 哈希形式存储，明文从不入库）、昵称。
• 会话与设备信息：登录时生成的 JWT 会话令牌、IP 地址、User-Agent、操作时间戳。
• 计费与订单：订单号、套餐 slug、订单金额、支付渠道（如聚合微信收款、聚合支付宝收款、Stripe）、第三方支付平台返回的交易单号、付款时间。
• 账户余额流水：充值、消费、退款、管理员调账等账本流水，用于对账与审计。
• 资源映射：您在上游模型平台（new-api、claude-relay 等）名下的 Token、API Key 元数据（不含完整密钥明文以外的内容；密钥仅在创建时一次性返回前端）。
• 调用元数据：每次 API 调用的时间、模型名、Token 计数、状态码、耗时——用于用量统计和异常诊断。
• 审计日志：管理员操作的审计记录（仅在您是管理员或涉及您账号被管理员操作时产生）。
• 邮箱验证码：注册和密码重置时一次性使用，过期后清理。
• 2FA 双因素信息：若您启用，存储二次验证密钥（加密）和 Backup Codes（哈希）。

二、我们不收集对话内容

本服务不收集、不存储、不读取您发送给模型的 prompt 内容或模型的输出内容。您的对话直接由上游模型供应商处理，本服务仅作为路由和计费层只记录调用元数据（时间、模型、token 数等），不接触请求 body 中的对话文本。

请注意：上游模型供应商可能依照其自身服务条款保留请求和响应（例如用于内容安全审查或服务质量改进）。具体保留行为请参阅各上游供应商的隐私政策。

三、Cookie 与本地存储

本服务使用 cookie 与浏览器本地存储仅用于以下目的：

• session cookie (portal_session)：登录后下发的 httpOnly cookie，保存 JWT 会话令牌，7 天过期。
• 偏好设置：主题、语言、Cookie 同意状态等存储在 localStorage 中，不会上送服务端。

本服务不使用第三方广告 cookie、行为追踪 cookie 或跨站追踪像素。

四、数据存储与加密

• 存储位置：用户数据存储于本服务在中国大陆境内的 PostgreSQL 数据库，主要表包括 portal_users、portal_orders、portal_balance_transactions、portal_user_resources、portal_audit_logs、portal_announcement_reads 等。
• 密码安全：密码使用 bcrypt 算法加盐哈希，原始密码不可逆还原。
• 传输加密：所有客户端到服务端的通信均使用 TLS 加密。
• 数据出境：核心账号、订单、流水数据存储于境内，不进行跨境出境。上游模型调用可能产生跨境数据流（取决于您选择的模型），将由模型供应商承担相应合规义务。

五、第三方共享

我们仅在必要范围内与下列第三方共享数据：

• 上游模型服务商（new-api、claude-relay 等）：仅传递为您创建配额 / Token 所必需的内部 ID、套餐配置；不传递您的邮箱、昵称等可识别身份信息。
• 支付平台（聚合支付服务、Stripe、易支付等）：付款时根据支付服务商规范跳转或上送订单号、金额；微信/支付宝仅作为聚合支付内的收款方式展示。我们不接触您的银行卡号、CVV 等敏感支付信息。
• 邮件服务商：发送注册验证码、密码重置、订单通知所必需的邮箱地址。
• 法律强制要求：因法律法规、法院命令或行政执法要求需要披露时，我们会在合规范围内配合。

我们不向任何第三方出售或出租您的个人信息。

六、您的权利

您对自己的个人数据享有以下权利，可在控制台自助行使，或通过工单联系我们：

• 访问与查询：在 控制台 → 账号 查看个人资料，在 账单 页查看流水。
• 数据导出：通过「导出我的数据」按钮一键下载 JSON 格式的完整账号数据。
• 更正：可随时在控制台修改昵称、密码、通知偏好。
• 删除（被遗忘权）：可在账号页自助注销账号，删除立即生效（不可恢复）。
• 退订邮件：邮件中均有退订链接，可单独关闭营销类通知（账户安全类邮件无法关闭）。

七、数据保留与删除

不同类别数据的保留期：

• 账号资料：账号有效期间持续保留；账号注销后立即从主库中级联硬删除。
• 订单与流水：依据《电子商务法》《会计档案管理办法》等法规，订单和流水数据在用户注销后仍可能在隔离归档库中保留 5 年用于税务和合规审计，但与个人可识别信息分离。
• 调用日志元数据：默认保留 90 天，到期自动清理。
• 审计日志：管理员操作审计保留 1 年。
• 邮箱验证码：24 小时内自动清理。

您发起的账号注销操作将通过事务级联删除主库中的所有可识别信息，并尝试通知上游服务商撤销您名下的 Token / API Key。上游撤销操作如失败将仅产生日志，不影响您主账户的删除。

八、未成年人

本服务面向 18 岁以上的开发者和专业用户。如您未满 18 周岁，请在监护人指导下使用并取得监护人同意。我们不会有意收集未成年人的个人信息；若发现误收集，将在确认后立即删除。

九、政策变更

我们可能不时更新本政策。重大变更将通过站内公告或邮件至少提前 7 天通知您。如您在变更生效后继续使用本服务，即视为您接受变更后的政策；如您不同意，请停止使用并申请注销账号。

十、联系数据保护负责人

如对本政策、数据处理活动有任何疑问或希望行使数据主体权利：

• 数据保护负责人邮箱：privacy@codeplan.example（请以实际配置为准）；
• 你也可以发送邮件到 support@codeplan.example（请以实际配置为准），我们会转交数据保护负责人处理。

我们将在 15 个工作日内回复您的请求。