隐私政策
我们尊重并保护你的隐私。本政策说明你使用 TokenJoy（「本服务」）时，我们如何收集、使用、保存和共享你的个人信息，以及你享有的权利。使用本服务即表示你已阅读并同意本政策。
1. 数据控制者
- 经营者：个人经营者（个人身份，适用中华人民共和国（大陆地区）法律）
- 隐私联系邮箱：页脚所示的联系邮箱
- 数据保护负责人（DPO）：暂未设立，由经营者本人负责
2. 我们收集的信息
2.1 你主动提供的信息
- 账号信息：注册邮箱、昵称，以及用 bcrypt 哈希保存的密码（我们无法读取明文）。通过 GitHub 或 LINUX DO 登录时，我们获取对方提供的账号 ID、用户名和邮箱。
- API Key：Key 的名称和状态，以及加密保存的完整 Key（只用于在控制台的 Playground 里代你调用，不会再发回浏览器）。
- 订单与支付信息：购买的方案、金额、支付方式、订单号和支付状态。我们不接触也不保存完整卡号，卡数据由支付处理方处理（见第 5 条）。
- 余额与订阅记录：余额的每一笔变动（充值、兑换、扣费、调整、邀请奖励）和订阅的起止时间。
- 组织与邀请：你创建或加入的组织、成员角色，以及邀请关系。
- 沟通记录：你发给我们的邮件和反馈。
2.2 使用中自动产生的信息
- 用量记录：按天、按模型、按 Key 汇总的请求数、token 数和花费，以及每次请求的时间、模型、用量和是否成功。
- 请求内容轨迹：默认情况下，网关会保存你的 API 请求和模型回复内容，供你在控制台「请求记录」里排查问题，只有你本人能打开；保存期满后按天自动删除。你可以随时开启隐私模式，开启后网关不再保存任何请求和回复内容，只记录请求是否成功。Playground 的对话列表只保存在你的浏览器里。
- 安全日志：为防止滥用，登录、注册等请求的 IP 地址会短时间用于限流。
- 访问统计：打开的页面路径（不含链接参数）、来源网站、设备类型和一个随机生成的匿名访客编号；IP 地址只以不可还原的哈希形式保存，用于统计独立访客数。
我们不收集位置、通讯录、身份证件等信息。
3. 信息的使用与法律依据
| 用途 | 法律依据 |
|---|---|
| 提供和维护服务（身份验证、转发请求、用量展示） | 履行合同 |
| 计费、处理付款和退款 | 履行合同 |
| 客户支持 | 履行合同 / 正当利益 |
| 服务通知（账单、安全、条款和政策变更） | 正当利益 |
| 安全与防欺诈 | 正当利益 |
| 访问统计和产品改进 | 正当利益 |
| 依法保留交易记录 | 法律义务 |
| 新手引导、余额不足、使用提醒等提醒邮件 | 正当利益；你可随时退订 |
我们可能对数据进行汇总或去标识化处理用于统计，处理后的数据无法识别到个人。我们不会把你的信息用于广告投放，也不会用你的请求内容训练 AI 模型。
4. Cookie 与本地存储
| 类型 | 用途 | 可否关闭 |
|---|---|---|
| 必要 | 一个 HttpOnly 会话 Cookie，用于保持登录 | 否 |
| 功能 | 浏览器本地存储里的界面偏好和 Playground 对话 | 是，清除浏览器数据即可 |
| 统计 | 本地存储里的匿名访客编号，用于自有的访问统计 | 是，清除浏览器数据即可 |
我们不使用第三方统计或广告工具，也不使用营销类 Cookie。
5. 信息的共享与披露
我们不出售你的个人信息（包括 CCPA 等法律所定义的「出售」）。只在以下情形共享：
- AI 模型提供方：你的 API 请求内容会转发给相应的模型提供方（Anthropic、OpenAI、Google、DeepSeek 等）以生成回复，受其各自隐私政策约束。
- 支付处理方：银行卡等支付由符合 PCI-DSS 标准的 Waffo Pancake 独立处理，卡数据不保存在我们的服务器上；微信支付、支付宝订单通过链动小铺处理。我们只获得订单号、金额和支付状态。
- 基础设施服务商：云服务器、Cloudflare（CDN 与安全防护）、邮件发送服务，仅为提供服务所需，并受保密义务约束。
- 法律要求：依据法律、法院命令或主管机关的合法要求。
- 经你同意：在获得你明确同意的其他情形。
6. 数据安全
- 全站使用 TLS / HTTPS 加密传输；
- 密码以 bcrypt 哈希保存，API Key 加密保存；
- 管理后台经 Cloudflare Access 身份验证，只有经营者授权的管理员可以访问，按最小权限使用数据；
- 你可以随时在控制台停用或重置 Key、开启隐私模式。
如发生影响你权益的安全事件，我们会在发现后 72 小时内通过邮件通知你，并依法报告主管机关。请妥善保管账号密码和 API Key。
7. 保留期限
| 数据 | 保留期限 | 到期处理 |
|---|---|---|
| 账号、Key、组织信息 | 账号存续期间；注销后 30 天内 | 删除 |
| 订单、支付和余额变动记录 | 自交易完成起 3 年（《电子商务法》要求） | 删除 |
| 用量汇总 | 账号存续期间；注销后 30 天内 | 删除或匿名化 |
| 请求内容轨迹 | 按网关的保存期按天自动删除；隐私模式下不保存 | 自动删除 |
| 沟通邮件 | 2 年 | 删除 |
| 限流用的 IP 地址 | 不超过 1 天 | 自动删除 |
| 访问统计 | 只保存哈希和匿名编号 | 不可识别到个人 |
8. 你的权利
你可以发邮件至 页脚所示的联系邮箱 行使以下权利，我们会在 15 个工作日内处理（不晚于 30 个自然日）：
| 权利 | 说明 |
|---|---|
| 知情权 | 了解我们收集和使用哪些数据 |
| 访问权 | 获取你的个人信息副本 |
| 更正权 | 更正不准确或不完整的信息 |
| 删除权 | 注销账号并删除你的数据（法律要求保留的除外） |
| 限制处理权 | 在特定情形下暂停处理你的数据 |
| 可携带权 | 以机器可读格式获取你的数据 |
| 反对权 | 反对基于正当利益的处理，包括退订提醒邮件 |
| 撤回同意 | 撤回你此前给予的同意 |
如果你认为我们没有妥善处理，可以向你所在地的个人信息保护或数据保护主管机关投诉。
9. 提醒邮件与退订
我们可能给你发送新手引导、余额不足和使用提醒等邮件。每封提醒邮件都附有退订链接，点击即可退订。退订不影响登录验证、找回密码、账单、安全和条款变更等必要的服务通知。我们不发送第三方广告。
10. 跨境传输
为提供服务，你的数据会传输到中国大陆以外的地区：部分服务器和服务商（如 Cloudflare）位于境外，你的请求内容会发送给位于美国等地的模型提供方，支付由 Waffo Pancake 处理。我们只传输提供服务所必需的数据，并要求接收方提供与本政策相当的保护；你使用本服务即表示同意这些传输。
11. 未成年人
本服务只面向年满 18 周岁的用户。我们不会故意收集未满 18 周岁者的信息；如果你认为有未成年人向我们提供了信息，请联系我们，我们会尽快删除。
12. 第三方链接与服务
本服务包含第三方链接和集成（如 GitHub、LINUX DO 登录、支付页面）。本政策只适用于我们直接收集的信息，第三方的数据处理适用其自己的隐私政策。
13. 政策变更
本政策发生重大变更时，我们会至少提前 15 天通过注册邮箱或站内公告通知你，并更新本页顶部的日期。生效后继续使用即视为接受。
14. 联系我们
- 隐私与客服邮箱：页脚所示的联系邮箱
- 经营者：TokenJoy 经营者
- 回复时间：工作日 2 个工作日内（北京时间，UTC+8）
TokenJoy 经营者 · https://tokenjoy.org