隐私政策
本政策说明 wickrunAI（灯芯AI，以下称“本应用”）的桌面版、Android 版、网页版和 wickrunai.com 网站如何处理你的信息。本应用由 Wickrun Solutions Corp.（以下称“我们”）运营。
我们是谁、如何联系
运营主体：Wickrun Solutions Corp.，地址：【运营主体地址】。隐私问题、行使权利或投诉，请发邮件到 [email protected]。我们会在 30 天内答复。
我们处理哪些信息
下表按类别列出用途、存放位置、保存期限和法律依据。“法律依据”一栏用于欧盟/英国 GDPR，其他地区按当地法律（如加拿大 PIPEDA 的“知情同意”）处理。
| 类别 | 用途 | 存放位置 | 保存期限 | 法律依据 |
|---|---|---|---|---|
| 账号信息：Google 登录返回的账号 ID、姓名、已验证邮箱 | 登录、识别账号、必要的服务通知 | 我们在 Railway 上的 PostgreSQL 数据库 | 账号存续期间；申请删除 7 天后删除 | 履行合同 |
| 本地数据：对话、项目、设置、本地模型、本地文件 | 本应用的基本功能 | 只在你的设备上 | 由你决定，删除即删除 | 不发给我们 |
| 云同步数据：同步的对话、项目、任务、团队与协作内容 | 在你的设备间同步、与你邀请的人协作 | PostgreSQL（Railway）；较大的文件、图片、音视频存放在 Cloudflare R2 | 直到你删除该项或删除账号 | 履行合同 |
| 同步的 API Key 与连接器凭据（可选） | 让你的其他设备使用同一把 Key | 在你的设备上用账号密钥加密，我们无法读取（存储的密文另外用服务器密钥加密） | 直到你删除该 Key 或账号 | 同意 |
| 远程设备与中继：设备名称、在线状态、你在设备间转交的任务和文件 | 让你从一台设备操作另一台设备 | PostgreSQL；转交中的文件临时存放 | 任务完成或撤销后删除；设备解绑后删除 | 履行合同 |
| 推送令牌（Android） | 通过 Google FCM 唤醒你的手机。推送只带最少的字段（如任务 ID、类型），不带对话内容 | PostgreSQL | 直到设备解绑或令牌失效 | 履行合同 |
| 托管路由的用量与账单：方案、额度、每次请求的模型与 token 数、付款状态与金额 | 计费、防滥用、对账 | PostgreSQL | 账单记录按税务和会计法律要求保存（通常 7 年），其余随账号删除 | 履行合同；法律义务 |
| 托管路由的对话内容 | 把你的请求交给模型并返回结果 | 只在转发过程中经过我们的服务器，不保存 | 不保存 | 履行合同 |
| 反馈：你主动提交的文字、可选截图和诊断信息 | 排查问题、改进产品 | PostgreSQL | 2 年后自动删除，或你要求时提前删除 | 正当利益 |
| 技术日志：IP 地址、请求时间、错误信息 | 安全、防滥用、排错 | Railway 的服务日志；远程设备操作记录存于 PostgreSQL | 操作记录 30 天后自动删除；托管商日志随其轮转，通常不超过 30 天 | 正当利益 |
| 备份 | 灾难恢复 | Cloudflare R2，上传前用 age 加密 | 每日备份最长 35 天，时间点恢复数据 14 天 | 正当利益 |
宣传 QR 链接的成效统计：Cloudflare 根据访问网络估算城市，统计功能只读取国家／地区、省／州和城市，用于仅管理账号可见的城市级每日流量汇总，保留最近 30 个 UTC 日期。城市定位可能受 VPN、行动网络或定位数据库影响，缺失时列为未知；访问量不代表独立人数。这套统计数据库不保存完整 IP、IP 摘要、网段、精确坐标、邮政编码、访客账号、对话内容或设备指纹，不建立个人访客档案。为避免重复计算官网载入，我们短期保存随机访问码的哈希、渠道、日期、城市和到站确认；确认码 30 分钟有效，过期后保留一天清理宽限。无地理资料的每日渠道总量可继续保存。打开社群 QR 时，Instagram 或 LinkedIn 按其政策处理后续访问，我们不能确认第三方页面是否成功载入。站点管理者自行填写的社群 QR 目标网址在服务器中加密保存，仅管理账号可编辑，启用后任何拿到 QR 链接的人均可通过跳转得知目标主页。加密备份中的副本按上述备份期限自然过期。
网站运营统计：公开页面浏览与下载点击按页面类别、固定来源渠道和 UTC 日期汇总，默认关闭，启用后不使用访客标识、Cookie 或设备指纹，并尊重 DNT 与 GPC 信号。城市统计另行启用，只保留 30 个 UTC 日期。为确认一次页面事件，保存不关联账号的一次性随机回执，10 分钟后失效。服务端业务活跃只记录已提交操作的账号与日期，不读取对话、提示、文件正文或项目名称。账号日明细保留 90 天，删除账号时清除其关联明细；已观察的 cohort 贡献转为无账号标识的汇总。其他匿名日汇总保留 13 个月，运营权限仅对获授权的站点管理账号开放。
我们不收集精确位置、通讯录、短信或通话记录，不使用广告 ID，也不做跨应用追踪。
端到端加密的范围
所有账号都使用端到端加密（E2EE），不能关闭。你第一次登录时，密钥在你的设备上自动生成并只保存在你的设备上，新设备要由已解锁的设备批准或输入恢复码。我们保存的只是公钥和用你的恢复码加密过的恢复包。
- 同步的内容（对话、项目、设置、记忆、Today 管家的摘要、文件库、共享内容与云工作区、团队日历与目标、手机命令）在离开你的设备前就已加密，我们和我们的服务商都无法读取。
- 迁移完成之前，旧版本同步的数据保持原样；迁移完成后我们删除明文副本，加密备份中的副本最多保留 35 天后过期。旧版本共享的文件和云工作区会换成加密副本，原件随后删除。
- 发给官方托管路由的请求在你的设备上解密后经 HTTPS 发到我们的代理，代理转发给模型服务商，不保存请求内容；我们只记录模型、token 数量和额度用于计费。
- 「任何拿到链接的人」形式的公开链接继续有效：拿到链接的人都能读取链接分享的内容（密钥在链接里；5.2 之前创建的链接，密钥由链接令牌推出，我们的服务器在有人打开链接时会看到令牌，但只保存它的哈希）。
- 你在某个项目里主动打开的 Claude（MCP）桥是逐项目、默认关闭的例外：通过这座桥交给 Claude 的任务会以明文经过服务器。
- 日历订阅和 Google / Outlook 同步在你的设备上进行；服务器只在登录 Google / Microsoft 日历时代为交换一次令牌，把它加密交给你的设备，不保存。不提供公开的日历订阅地址。日历提醒邮件不含日程内容。
- 你发给我们的反馈在设置了运营方公钥后在你的设备上加密，在此之前以明文保存。
- 账号邮箱与名称、账单记录、设备名称、推送令牌和同步所需的元数据（如条目 ID、时间、大小）不在 E2EE 范围内。
- 丢失恢复码且没有已解锁的设备时，加密内容无法恢复。
Android：今日管家的手机数据
重要说明。今日管家是可选功能，每一项手机数据默认关闭。开启任何一项之前，应用会弹窗说明它读取什么，并要你点「同意并开启」。不同意不影响应用其他功能。
- 应用使用时长（Android「使用情况访问权限」）：每个应用每天在前台的分钟数，以及应用的包名、名称和系统分类。我们不读取你在应用里做了什么。金融、健康和交友类应用从不计入。
- 通知数量（Android「通知使用权」）：每个应用每天发了几条通知。从不读取通知的标题、正文、发送人或图片，也不能回复或清除通知。
- 日历：只读今天和明天日程的开始和结束时间，不读标题、参与人或地点。
- 地点标签：你自己点选的标签（如“家”）和时间。不使用定位服务。
去向。这些原始记录只保存在你的手机上（使用时长、通知和日历最多 3 天，地点标签 30 天），从不上传。手机会把它们整理成几条按应用类别汇总的每日摘要（例如“昨天在编程类应用约 2 小时”）。只有在你开启并解锁端到端加密后，摘要才会同步到你的其他设备，我们无法读取；已登录同步但未开启加密时，不生成摘要。管家运行时，摘要会作为上下文发给你配置的模型服务商，适用该服务商的条款。这些数据不用于广告，不出售，也不与其他任何人共享。
你的控制。在今日管家设置中可以单独开关每一项（关闭即删除该项记录）、暂停全部收集、删除某一项记录、删除单条摘要，或一次全部删除。你也可以随时在 Android 设置里撤回权限。
Android：无障碍服务（屏幕上下文）
Android 版包含一个可选的无障碍服务 WickrunContextService，用于在你明确选定的应用里读取屏幕上可见的文字，作为你提问时的上下文。它默认关闭，需要你在应用内同意并在 Android 设置中手动开启。
- 只读取你选定的应用；不读取密码框和输入框的内容；不点击、不输入，也不替你执行任何操作。
- 运行时一直显示一条通知，你随时知道它在工作。
- 读取的内容保存在手机上一个加密的临时收件箱里，最多 24 条，不会自动上传；只有你选择把它加入对话时，才会作为上下文发给你配置的模型服务商。
- 在 Android 设置中关闭该服务即停止读取。
第三方服务商
我们只把完成服务所需的数据交给下列服务商，它们按合同代我们处理数据：
- Railway（美国）：运行网页服务器和 PostgreSQL 数据库。
- Cloudflare R2：存放较大的同步文件、媒体和加密备份。
- Google：Google 登录；Firebase Cloud Messaging（FCM）向 Android 设备推送最少字段的唤醒消息。
- Airwallex（上线后）：处理付款。银行卡信息由 Airwallex 直接收集，我们只收到付款结果、金额和方案。
- OpenRouter：使用托管路由时，你的请求经我们转交 OpenRouter 及其背后的模型服务商。
- 你自己选择的模型服务商（如 OpenAI、Anthropic、Google、DeepSeek 等）：使用你自己的 API Key 时，请求直接或经网页版转发发给它们，适用它们自己的隐私政策。本地模型在你的设备上运行，不经过任何人。
除法律要求（如有效的法院命令）外，我们不向其他人披露你的信息。如发生合并或资产转让，我们会提前通知你。
跨境传输
我们的服务器和服务商主要位于美国等地，你的信息可能在你所在的国家或地区（如加拿大、中国香港、欧盟）以外处理。我们依靠服务商的合同保障（如欧盟标准合同条款）和上文的加密措施保护跨境传输的数据。使用本服务即表示你了解这一点；不希望数据离开设备的话，可以不登录、只用本地功能。
你的权利和如何行使
根据你所在地的法律（包括加拿大 PIPEDA、香港《个人资料（私隐）条例》、欧盟/英国 GDPR 和美国加州 CCPA/CPRA），你可以：
- 访问和导出：本地数据随时可在应用里导出；云端数据可以请求我们提供副本。
- 更正：在应用里修改，或联系我们。
- 删除：在应用里删除单条对话、项目、文件、API Key 或管家数据，删除会同步到云端；删除整个账户请见下一节。
- 撤回同意：关闭同步、关闭管家各项数据、在系统设置里撤回权限。撤回不影响撤回前的处理。
- 反对或限制处理、数据可携带（GDPR），以及向当地监管机构投诉（如加拿大隐私专员公署、香港个人资料私隐专员公署或你所在的欧盟监管机构）。
加州居民（CCPA 通知）。我们收集的个人信息类别见上表，来源是你本人和你的设备。我们不出售也不“共享”（用于跨情境行为广告）你的个人信息，过去 12 个月也没有。我们不使用敏感个人信息推断你的特征。你有权知情、删除、更正，行使权利不会受到差别对待；可由授权代理人代为提出。
行使上述权利请发邮件到 [email protected]。我们可能需要核实你的身份（通常是从账号邮箱回复），会在 30 天内答复，法律允许时可延长并告知你。
删除账户
你可以在应用的「设置 → 外观 → 账户 → 删除账户」中删除账户，也可以不用应用，直接在网页 wickrunai.com/account/delete 删除。流程如下：
- 先导出：应用里可以把云端数据导出为 JSON 文件。
- 确认身份：需要在 10 分钟内用 Google 登录过；输入账户邮箱确认。
- 立即生效：你的所有设备、网页会话和连接器令牌马上退出登录。
- 7 天宽限期：期间重新登录即可取消删除。
- 永久删除：宽限期结束后，我们删除账户在数据库中的全部记录（同步数据、文件和 Cloudflare R2 中的媒体、你拥有的共享空间及其内容、设备与推送令牌、云端 API Key、反馈和登录身份）。为履行税务义务，付款记录只保留方案、金额、时间和付款编号，并换成无法关联到你的匿名 ID，约 7 年后删除。
你在别人拥有的共享空间里留下的内容属于该空间，不会随你的账户删除；如需移除，请在删除账户前自行删除。加密备份中的副本不会被单独改写，会按备份保留期（每日备份最长 35 天，时间点恢复数据 14 天）自然过期。设备上的本地数据需要你在应用里删除或卸载应用。无法使用上述方式时，也可以从账户邮箱发邮件到 [email protected] 申请。
儿童
本应用不面向 13 岁以下的儿童；在欧盟等要求更高年龄的地区，不面向 16 岁以下的人。我们不会在知情的情况下收集儿童的个人信息。如果你认为儿童向我们提供了信息，请联系我们，我们会删除。
安全
我们使用 HTTPS 传输、数据库访问控制、敏感凭据加密保存、上传内容校验、加密的异地备份，以及覆盖全部同步内容的端到端加密。没有任何系统绝对安全；如发生影响你的数据泄露，我们会按适用法律通知你和监管机构。
政策变更
我们修改本政策时会更新页首的生效日期；重大变更会在应用内或通过邮件提前告知。继续使用即表示接受修改后的政策。