Octuo 隐私政策

Tutuo, Inc.（"Tutuo"、"我们"、"我方"）在 https://octuo.tutuo.ai 运营 Octuo 服务（"Octuo"、"本服务"）。本隐私政策说明我们收集哪些个人信息、如何使用、与谁共享、保留多久，以及您享有哪些权利。我们使用直白的语言，因为我们希望本文件可读，而不仅仅是合规。

如有任何疑问或希望行使权利，请发邮件至 privacy@tutuo.ai。

针对所有 AI 相关处理，本政策由 AI 披露进行补充。

1. 我们是谁（控制者身份，GDPR 第 13(1)(a) 条）

我们目前没有依 GDPR 第 27 条指定的欧盟代表。欧盟用户可直接联系我们的隐私邮箱；我们将在法定时限内予以回复。

2. 我们收集哪些数据

我们只收集运营本服务所必需的数据。

2.1 您主动提供

• 账户数据：邮箱地址、密码（已哈希）、显示名、偏好（语言、主题、模型默认设置）。
• 第三方登录数据：如果您选择通过 Google、Microsoft 或 Apple 登录或注册，该服务商会向 Octuo 提供您的姓名、邮箱地址和账户标识符。我们仅将其用于验证您的身份以及创建或关联您的 Octuo 账户。我们绝不会收到您在该服务商处的密码。
• 支付数据：由 Stripe 处理；我们仅接收客户 ID 与订阅 / 收费事件，绝不会看到您的卡号。
• 密钥库内容：您选择存储的凭据。每条凭据使用独立 DEK 加密，并由环境级 AWS KMS CMK 封装该 DEK。后端在已授权的密钥库操作中可调用 kms:Decrypt，并仅在这些流程中于内存短暂处理明文。
• 聊天 / 智能体输入：您发送给 Octuo 的消息、上传的文件、注册的设备。
• 未发送的消息草稿：您在 Octuo Apple 应用的对话输入框中输入但尚未发送的文字会保存到我们的服务器，以便草稿在您的设备之间同步。发送该消息会清除当前草稿。我们还会为每个对话保留有限数量的近期历史版本，以便找回丢失的草稿；这些版本会在您删除账户时一并清除。未发送草稿中的附件只保留在您的设备上。
• 语音输入：当您发起语音通话时的实时语音音频与语音会话元数据。
• 语音听写音频：您使用语音听写代替打字时录制的音频。

2.2 我们自动采集

• 服务遥测：HTTP 请求路径与响应码、功能使用情况、错误堆栈跟踪、性能指标。
• 设备事件：心跳、能力注册、派发尝试（当您连接 Mac 或 iOS 客户端时）。
• 认证事件：登录成功 / 失败、密码重置发起、可疑活动标记。
• 审计日志：对您账户的安全相关操作（登录、密钥库下发、账户设置变更）的仅追加记录。

2.3 我们不收集

• 您的卡号（仅由 Stripe 处理）。
• 以明文静态存储的密钥库凭据。密钥库记录以密文和信封元数据形式存储；如第 2.1 节所述，已授权的后端操作可以解密，并在内存中短暂处理明文。
• 跨站点跟踪像素（无 Facebook Pixel、Google Analytics 等）。第 2.5 节所述的产品分析需您选择加入，仅在 Octuo 自己的网站和服务内运行，不会在其他网站上跟踪您。
• 用于营销目的的位置数据。
• 为获客目的而收集的您的 IP 地址、User-Agent 字符串、完整页面 URL 或任意查询字符串。我们仅按第 2.4 节和第 2.4A 节所述记录您如何找到我们：其中列明的营销标记、引荐来源主机名、不含查询字符串的落地页路径以及广告点击标识符，除此之外别无其他。（如果您允许网站分析，第 2.5 节会记录您在我们网站上浏览的页面路径——但绝不包括其查询字符串、片段标识、引荐来源或营销标记。）

2.4 获客来源（经您同意后收集）

我们会收集一条受限的获客来源记录，且仅在获得您明确同意的前提下收集。有两点后果值得明确说明。

**我们在账户存在之前就征求同意。**如果您在注册前于我们的网站上表示同意，我们会存储一条关于您经由哪个渠道到达的匿名记录。它不附带账户、姓名、邮箱地址、IP 地址或 User-Agent 字符串——在那一刻并不存在可供附加的账户——它仅以您浏览器生成的一个随机标识符作为键。如果您从未创建账户，该记录永远不会与个人关联，并将在 90 天内删除。只有当您确实创建了账户时，该记录才会附加到您的账户，并自那一刻起适用第 7 节的全部权利。

**如果您拒绝，我们不会为此目的作任何记录。**对于不同意的访问者，不存在任何获客记录，也不会向我们的分析服务商发送任何内容；在没有该记录的情况下注册是完全正常的：您的账户、定价或访问权限不会因此有任何不同——见紧接下文的承诺。（每个账户都会带有第 2.4A 节所述的获客记录，这是一条独立且适用自身条款的记录。）

**具有约束力的不歧视承诺。**无论我们将来是否收集，您的获客来源——您如何来到 Octuo，包括第 2.4A 节获客记录中的全部内容（营销标记、点击标识符、派生渠道标签以及可选的自我报告回答）——绝不作为权益、定价、功能访问、额度授予或服务质量的输入。我们不会因用户来自何处而对其进行分类、排名或区别对待。这是一项承诺，而非偏好，并且我们在代码中强制执行：一项自动检查会阻止任何会使获客信号进入权益、定价或访问决策的变更。

收集按以下条款进行，这些条款已固定，以免日后悄然漂移：

• 合法依据——您对产品分析的明确、选择加入的同意（GDPR 第 6(1)(a) 条）。为提供本服务所必需的处理绝不依赖它，且可靠性遥测（第 2.2 节）与之相互独立。
• 包含什么——一条受限的渠道记录：一个不透明的获客标识符、经审核的来源/媒介标签、可选的内容或渠道列表标签以及时间戳。它不包含原始落地页 URL、查询字符串、引荐来源、UTM 键、IP 地址、User-Agent 字符串、支付数据、邮箱或广告标识符。来源和媒介标签来自我们审核的封闭列表；列表之外的值会被拒绝，而不是被存储。
• 分析副本——当这条记录的某个步骤被存储时（例如账户创建或开始结账），该步骤的一份假名化副本会按第 2.5 节所述发送给我们的分析服务商 PostHog。该副本以获客标识符的单向哈希作为键，而非标识符本身，并且绝不包含您的姓名、邮箱地址、IP 地址或账户标识符。
• 保留期——我们持有的记录无论是否曾与账户关联，最多保留 90 天。已附加到账户的记录属于与所有者关联的遥测，将在该期限内删除，或依第 7 节更早删除；从未注册的访问者记录也会在同一期限内删除，并且从未与任何个人关联（第 6 节）。PostHog 处的假名化分析副本最多保留 1 年（第 2.5 节、第 6 节）。
• 您对它的权利——它属于第 7 节下的个人信息：访问或可携请求会返回它，删除请求会删除它以及它与分析副本之间的关联（第 2.5 节），均通过第 9 节所述的同一流程。
• 撤回同意——关闭产品分析将停止今后新的获客收集以及新的分析副本；我们可能保留一条关于该同意变更本身的最小化记录（见第 6 节）。

2.4A 获客记录（每个账户）

为了了解哪些渠道真正为 Octuo 带来了用户、核实广告与联盟合作伙伴据以获得报酬的销售，并结算我们的广告支出，每个账户都带有一条获客记录。该记录（下文所述可选回答除外）无需您同意即保留，因此我们在此完整说明。

• 包含什么——针对您最初到达所经的链接或渠道（“首次触点”），以及（若不同）您最近一次携带营销标记或点击标识符的访问所经的链接或渠道（“末次触点”）：链接上的营销标记（UTM 来源、媒介、活动、内容和关键词）、将您引荐过来的网站名称（仅主机名）、您所到达页面的路径（不含查询字符串），以及广告平台或合作伙伴添加到链接上的任何点击标识符——Google（gclid、gbraid、wbraid）、Microsoft（msclkid）、Meta（fbclid）、TikTok（ttclid）、Awin（awc）、Affonso 合作伙伴链接上的伙伴标识（链接中的 ref、via 或 partner_id 取值），以及合作伙伴和联盟使用的通用 click_id 与 partner_id。此外还包括：您首次访问的时间；若您在我们的原生应用中注册，则包括应用来源（例如 Mac App Store、直接下载、iOS App Store 或 TestFlight）；账户创建时间；从封闭列表中选出的派生渠道标签（例如：直接访问、搜索、X、Hacker News、Reddit、LinkedIn、YouTube、我们的网站、其他网站、其他或未知）；以及仅在您选择回答时，您对一个可选问题“您是怎么知道我们的？”的回答（从列表中选择，另可附最多 500 字的自由文本）。它不包含您的 IP 地址、User-Agent 字符串、完整页面 URL、上述指定键之外的任何查询字符串取值，或在其他网站之间追踪您的标识符。我们不为此使用任何第三方跟踪脚本或像素。
• 如何收集——当您打开我们网站的页面时，网站会从您到达时所用的链接中读取上述指定取值，并保存在您浏览器的本地存储中（首次触点的取值最多保存 90 天；之后携带营销标记或点击标识符的访问只会替换末次触点的取值）。注册时，网站会把它们传给我们的服务器，服务器将其存储在您的账户上；在登录流程完成期间，也可能将其短暂保存在待完成的登录记录中。您随时可以通过清除 tutuo.ai 的站点数据来删除浏览器中的副本；这不会删除已存储在账户上的记录（请通过第 7 节行使权利）。
• 目的——衡量哪些渠道带来了客户；向广告合作伙伴和联盟按核实销售付款；以及结算并核对我们的广告支出（我们的工作人员可在内部工具中于账户旁看到该记录，也可在各渠道注册、激活、付费转化和收入的汇总漏斗报表中看到汇总数据）。
• 合法依据——我们衡量获客、结算合作伙伴与广告款项的合法利益（GDPR 第 6(1)(f) 条）。我们已将这一利益与您的隐私进行权衡：这里的任何内容都不会用于对您画像、定价或决定您可访问什么（见第 2.4 节中具有约束力的承诺），该记录不会被出售，并且您可以提出反对（见下文）。可选的“您是怎么知道我们的”回答基于您的同意（第 6(1)(a) 条）；该问题只问一次，您可以跳过，跳过不会对您的账户产生任何影响。
• 共享——我们不会出售这些数据，也不会用它们建立广告受众或向您定向投放。在 Octuo 及我们的服务提供商之外，唯一的披露是转化回传：当您完成符合条件的事件（我们可能回传注册、首次使用，尤其是您的首笔付费订单）时，我们会把您自己所点链接中的点击标识符、订单金额和币种以及我们的订单编号，发送给您所经链接对应的广告平台或联盟网络——Google Ads、OpenAI Ads、Awin 或 Affonso——或者在由某合作伙伴带来您时发送至该合作伙伴的 webhook，以便平台或合作伙伴衡量其推广活动，我们也能正确付款或被计费。对于 Affonso 合作伙伴链接，回传内容为：您的链接中的伙伴标识、该链接上的营销标记、您到达页面的路径、订单金额（不含税）和币种、我们的订单编号，以及一个除我们自己的系统之外无法识别您身份的随机账户标识；它在您完成首笔付费订单时发送，且如果该订单在 30 天保留期内被退款或发生拒付，还会发送一条退款或拒付通知，以便取消该合作伙伴的佣金。回传均以服务器到服务器的方式发送，且不含其他任何内容：不含您的姓名、邮箱地址、IP 地址、User-Agent 字符串、其他账户信息、聊天内容，也不含记录的其他字段。如果您不是经由此类链接而来，则不会发送任何回传。
• 保留期——与您的账户存续时间相同。它随您的账户一并删除（第 9 节），并包含在您就访问请求收到的导出数据中（第 7 节）。
• 您的权利——它属于第 7 节下的个人信息：您可以索取副本（包含在数据导出中）、要求我们删除，并可通过发送邮件至 privacy@tutuo.ai，对我们基于合法利益使用它提出反对（第 21 条）；我们随即停止向合作伙伴回传您的转化并删除该记录，除非我们有令人信服的理由保留（例如正在进行的支付争议）。您也可以通过同一邮箱随时撤回对自我报告回答的同意，我们将删除该回答。撤回不影响此前已完成的处理。

2.5 使用 PostHog 的产品分析（经您同意后收集）

我们使用 PostHog, Inc.（"PostHog"） 作为服务提供商，从整体上了解人们如何从首次访问走到注册、购买以及连接第一台设备。仅当您同意产品分析时才会进行——通过我们网站上的提示，或您账户中的产品分析设置——否则绝不进行。我们自己的员工和管理员账户不计入下文所述的注册漏斗事件。网站无法区分员工与其他访问者，因此同意网站分析的员工可能出现在网站分析中。

**注册漏斗事件（由我们的服务器发送）。**当第 2.4 节获客记录的某个步骤被存储时，我们的后端会就该步骤向 PostHog 发送一条事件，其中仅包含：

• 该步骤的名称（例如"账户已创建"或"已创建结账"）及其发生时间；
• 第 2.4 节中经审核的来源 / 媒介标签、可选的内容或渠道列表标签，以及您所同意的同意版本；
• 一个假名化标识符：用只有我们持有的密钥，对第 2.4 节中的随机获客标识符计算得出的带密钥哈希。PostHog 无法将其还原，也无法将其与您的账户关联。

这些事件绝不包含您的姓名、邮箱地址、IP 地址、账户或用户标识符、设备标识符或支付标识符，并且我们会请求 PostHog 不从中推断位置。PostHog 在这些事件上看到的唯一 IP 地址是我们自己服务器的地址。

**网站分析（在您的浏览器中，仅限 octuo.tutuo.ai）。**如果您在我们的网站上表示同意（每个浏览器单独选择），且您的浏览器没有发送"请勿跟踪"（Do Not Track）或"全球隐私控制"（Global Privacy Control）信号，我们的网站会启动 PostHog 的分析代码，并记录您在我们公开页面（不包括您登录后的账户页面）上的页面浏览。每条页面浏览记录包含：页面路径（绝不包括其查询字符串或片段标识）；时间；一个随机的 PostHog 设备标识符以及随机的会话和窗口标识符；您浏览器的 User-Agent 字符串及据此得出的浏览器、操作系统和设备类型；浏览器语言和时区；以及屏幕和窗口尺寸。我们将该代码配置为不发送引荐来源和营销标记，并在发送前再次删除任何此类属性；不记录点击、按键或表单输入，不进行会话录制，不弹出问卷。它会在您浏览器的本地存储（localStorage）和会话存储（sessionStorage）中保存该随机 PostHog 标识符及其状态，不设置任何 cookie（见 Cookie 政策）。在您同意之前，该代码根本不会被加载。网站分析标识符既不与上述注册漏斗标识符关联，也不与您的账户关联。当您的浏览器发送事件时，PostHog 的服务器在连接中必然会看到您的 IP 地址。我们将 PostHog 项目配置为丢弃客户端 IP 地址，因此该地址不会与事件一起存储。PostHog 的文档说明，其数据增强功能（例如推断大致位置）仍可在 IP 被丢弃之前使用该地址；我们会请求 PostHog 不从网站事件中推断位置，但无法保证该请求一定被遵守，因此页面浏览记录中可能会保存一个大致位置（国家、地区或城市）。

两者共同适用的条款：

• 合法依据——您的同意（GDPR 第 6(1)(a) 条）。您的账户、定价或访问权限均不取决于它。
• 此前的同意——您在本政策此版本于 2026 年 10 月 17 日生效之前给出的同意，所针对的措辞并未提及 PostHog，因此我们不将其视为对借助 PostHog 进行产品分析的同意：不会基于它向 PostHog 发送任何内容。您可以在账户的隐私设置中，或通过我们网站上的“隐私选择”链接表示同意。
• 不建档案、不做广告——我们不在 PostHog 建立用户档案，也不将 PostHog 用于广告、跨站点跟踪或任何数据出售或共享。
• 所在地——美国（PostHog 美国云）。跨境传输保障见第 5 节。
• 保留期——在 PostHog 处最多保留 1 年，之后 PostHog 不再保留这些事件。
• 撤回——在您账户的隐私设置（账户 > 隐私）中关闭产品分析；或者，如果您是在没有账户时于我们网站上表示同意，可使用我们网站公开页面底部的“隐私选择”链接重新显示该选择，或发邮件至 privacy@tutuo.ai。撤回会立即停止发送新的事件，并从您的浏览器中移除 PostHog 标识符；已发送的事件将保留至其到期或被删除。
• 您的权利——访问、可携和删除请求（第 7 节、第 9 节）涵盖我们持有的记录。PostHog 文档所述的删除工具针对的是人员档案，而我们在不建立人员档案的情况下使用 PostHog（见上文"不建档案"），因此我们无法按标识符逐条删除 PostHog 处的某一条分析事件。当我们删除您的获客记录（第 2.4 节）时，也会删除用于计算您的假名化标识符的那个随机获客标识符，因此我们无法再重新计算它来找到您的事件；已在 PostHog 处的事件将在上述保留期结束时被移除。网站分析事件不与您的账户关联，因此我们通常无法识别哪些属于您；它们同样会按期到期。

3. 我们为何处理您的数据（目的 + 合法依据，GDPR 第 13(1)(c) 条）

我们对履行合同所必需的处理不依赖同意（您不能在保留有效账户的同时撤回对聊天历史处理的同意）；对于营销邮件和产品分析，我们确实依赖同意，您可随时在"账户设置"中撤回其中任何一项。

4. 我们与谁共享数据（接收方，GDPR 第 13(1)(e) 条）

我们只共享每个接收方履行其职能所必需的数据。

上表中的 AI 模型服务商只有在其模型处理您的请求时才会收到您的内容：即您选择的模型；如果您没有选择，则是 Octuo 默认设置为该任务使用的模型。

部分可选功能会向以下其他接收方进行有限传输：

• 网页搜索：当 Octuo 为您搜索网页时，搜索查询文本会发送给一个网页搜索服务商，以返回公开搜索结果。该服务商为 DuckDuckGo 或 Exa；在 Octuo 配置了相应服务时，也可能是 Brave Search。

• Apple 推送通知服务（APNs）：当您在 Apple 设备上启用通知时，会接收 Apple 设备令牌及投递通知所需的通知载荷。载荷可能包括提醒标题与正文、交互标识符及实时活动状态。

• 语音通话：当语音通话进行中时，您的实时语音音频会发送给 Microsoft Azure 语音服务（备用：OpenAI），用于将您的语音转为文字；Octuo 回复的文本会发送给 Microsoft Azure 语音服务（备用：OpenAI）；在 Octuo 配置了相应服务时，也可能是 ElevenLabs，用于将回复转为语音。除非您发起语音通话，否则不会有任何语音音频到达这些接收方。

• 语音听写：当您使用语音听写代替打字时，您的音频会发送给 OpenAI，用于转换为文字。

• 朗读：当您让 Octuo 朗读回复时，该回复的文本会发送给 Microsoft Azure 语音服务（备用：OpenAI），用于转换为语音。

• 转化回传（第 2.4A 节）：当您经由广告或联盟链接来到 Octuo 并完成符合条件的事件（例如首笔付费订单）时，该链接中的点击标识符、订单金额和币种以及我们的订单编号，会发送给该链接对应的平台或网络——Google Ads、OpenAI Ads、Awin 或 Affonso——或某合作伙伴的 webhook。不会发送任何其他内容（对于 Affonso，仅限第 2.4A 节列出的项目：不含邮箱地址，也不含 IP 地址）。

我们不出售您的数据，不将其用于广告受众匹配的交换，也不与数据经纪商共享。上述转化回传不含任何画像或受众信息，也不用于向您定向投放广告。

LLM 提供商完整列表及流向各方的数据见 AI 披露。

**我们对服务提供商提出的保护要求。**对于我们向服务提供商共享的个人信息，我们仍对其处理方式负责。在使用服务提供商之前，我们要求适用条款将个人信息的使用限制在上表所列的具体服务目的，并要求其采取不低于本政策及适用法律的保障措施。需要国际传输机制时，第 5 节说明我们使用的附加条款。如果这些保护不适用，我们不会向该服务提供商共享个人信息。

向执法机关或监管机构依法披露，不属于服务提供商共享。我们仅在法律要求时按照上文所述进行此类披露。

5. 国际数据传输（第 13(1)(f) 条）

Octuo 在美国的 AWS 上运行。如您位于欧盟、英国或其他对向美国传输数据有限制的司法辖区，您的数据将被传输至美国并在美国处理。

我们依赖以下传输机制：

• 欧盟用户：与每一个美国子处理者（Stripe、OpenAI、Anthropic、Google、xAI、OpenRouter、AWS、LiveKit、Microsoft、Exa、PostHog）签订标准合同条款（SCC，欧盟委员会 2021 年模块 1 SCC）。
• 英国用户：欧盟 SCC 的英国国际数据传输附录。
• 加州用户（CCPA）：见下文第 11 节。
• 中国用户（PIPL）：见下文第 10 节。

就 LiveKit Incorporated 而言，您发送的语音音频及其他内容适用 2021 年 SCC 的模块二（控制者至处理者），账户与运营元数据适用模块一；详见 LiveKit 数据处理附录附表 3 第 2.4 条。

就 Microsoft Corporation 而言，Azure 语音服务的处理受《Microsoft 产品和服务数据保护附录》约束，该附录纳入了 2021 年 SCC。

就 PostHog, Inc. 而言，适用模块二而非模块一。第 2.5 节所述的分析事件适用 PostHog 数据处理协议中的传输条款：2021 年 SCC（模块二，控制者至处理者，不含可选条款）、英国《国际数据传输附录》，以及针对瑞士个人数据、按瑞士法律调整后的 2021 年 SCC。PostHog 还表示其参与欧盟-美国数据隐私框架及其英国和瑞士扩展。

您可发邮件至 privacy@tutuo.ai 索取 SCC 副本。

6. 我们保留数据多久（保留期限，第 13(2)(a) 条）

如需访问、获取可携副本、更正或删除，可使用应用内控件，或发送邮件至 privacy@tutuo.ai（见下文第 9 节）。这是行使数据保护权利的唯一地址；support@tutuo.ai 用于本服务的一般咨询。

7. 您的权利（GDPR 第 15-22 条；CCPA 同等权利）

**访问权与可携权是两项不同的权利，我们分别说明，因为二者覆盖的数据不同。*访问权（第 15 条）覆盖我们处理的关于您的全部个人信息，无论我们基于何种理由持有，包括我们观察或推断得出的数据，而不仅是您输入的数据。可携权（第 20 条）范围更窄：它覆盖您提供给我们*的数据，以结构化、机器可读的形式提供，并且仅限于我们为履行与您的合同或基于您的同意而进行的处理。因此，访问请求返回的内容多于可携请求。我们以同一份导出文件履行这两项权利，因此无论您主张哪一项，所得都不少于该权利应得的内容。

您有权：

• 访问（第 15 条）——获得我们是否处理您个人信息的确认；若有，获得该数据的副本，连同处理目的、数据类别、接收方、保留期限、数据来源，以及任何跨境传输所依据的保障措施。
• 可携（第 20 条）——以结构化、通用、机器可读的格式接收您提供给我们的个人信息，并在技术可行时将其传输给另一控制者。
• 更正不准确的数据。
• 删除您的数据（"被遗忘权"）。
• 限制处理——在我们处理投诉期间暂停处理。
• 反对基于我们合法利益的处理。
• 撤回同意——可随时撤回对营销邮件或产品分析的同意，且不影响您对本服务的访问。
• 不受仅基于自动化决策的约束——即对您产生法律后果或重大影响的决策。（Octuo 目前不作出任何此类决策；AI 建议在此意义上不构成自动化决策。）
• 向监管机构投诉。欧盟用户可向其成员国的数据保护机构投诉；英国用户可向 ICO 投诉；加州居民可向加州总检察长投诉。

如要行使任何权利，请发邮件至 privacy@tutuo.ai。这是行使权利的唯一地址；support@tutuo.ai 是我们的一般服务联络方式，并非数据保护渠道。我们将在适用法律要求的时限内回复。对于人工的访问、可携或更正请求，我们不另行承诺操作完成时限；删除的时限见第 9 节。

7.1 您的数据副本包含什么、不包含什么

与其让您在文件里自己发现限制，我们更愿意事先说明。以下四项限制适用于每一次访问或可携响应，并且同样写在我们发给您的副本之中：

• **您自己的内容原样返回。**您的消息、转写记录以及 Octuo 为您的工作保存的笔记，常常会提到其他人。我们不会在把内容返回给您之前进行编辑：删改会损害副本本身，而且我们无法可靠判断自由文本中哪些名字属于他人。如果您对此有顾虑，这正是谨慎对外转发该文件的理由。
• **密钥库中的秘密只作描述，不作解密。**您存储的凭据以我们刻意不用于导出的密钥加密。副本会告诉您存在哪些凭据并加以描述，但不包含其秘密值——把您的秘密写进导出文件，等于为其泄露新开一处。这些值本就由您提供，因此您并未因此少得任何本已持有的东西。
• **有一类数据我们只作说明、不作复制。**我们对账户活动运行自动化的策略与安全检查；逐条复制这些检查记录，等于向任何提出请求的人绘制我们滥用检测规则的地图，将损害这些规则所保护的其他用户（第 15(4) 条）。对该类别，我们会告知您它的存在、用途、保留时长，以及关于您的记录的确切条数——您仍可对该项拒绝提供或对处理本身提出异议。
• **若副本不完整，副本会明说并点名缺失部分。**若我们数据库中仍有部分尚未纳入访问流程，我们会在文件中按名称列出这些部分，而不是悄悄略过。

8. 安全

• 传输加密：所有传输使用 TLS 1.2 及以上；HSTS 预加载。
• 静态加密：AWS RDS 存储已加密；密钥库条目采用每凭据 DEK 的信封加密，并由环境级 AWS KMS CMK 封装。后端在已授权操作中可解密，并仅在这些流程中于内存短暂处理明文。
• 认证：PBKDF2-HMAC-SHA256 密码哈希（600 000 次迭代）；签名密钥轮换的 JWT；HttpOnly 安全 Cookie；对认证端点设置速率限制。
• 审计日志：仅追加，对安全相关事件采用防篡改的哈希链。
• 隔离：生产环境与开发环境隔离；应用写入角色不能执行保留清理或账户擦除；有界保留清理（octuo_admin）、人工执行的数据访问/擦除（octuo_dsar）与预定的账户删除作业使用彼此独立的数据库角色和凭据；KMS 密钥访问受限于 Pod IRSA 角色。

我们在内部遵循最小权限原则，并按季度审查访问。在您通过应用内横幅同意后，或发生紧急安全或数据丢失事件时，获授权人员可能查阅非密钥库账户数据，以排查严重问题。密钥库访问仍限于第 2.1 节所述的已授权操作。

9. 如何提出访问、可携、更正或删除请求

您可以在应用内提出请求，导出由人工完成，擦除按计划执行。Octuo 提供产品内控件，用于把访问、可携、更正或删除请求登记到您的账户上，并告知您请求已登记。访问、可携或更正请求本身不会改变您账户的任何状态：数据副本由人工准备并发送，更正由人工执行，在我们开始执行之前，您可以取消这类请求。删除请求会立即关闭您的账户：您会被退出登录、无法再次登录，Octuo 正在为您进行的工作也会停止。随后您的账户和个人信息会在 30 天内被永久删除：擦除在请求登记时即到期，由一个每天运行的独立内部删除作业在其下一次运行时执行。我们最迟在 30 天内完成擦除。执行擦除的是该作业，而不是应用程序：擦除必须重写我们防篡改的审计日志，这需要第 8 节所述那个独立且权限更受限的数据库角色，而您的浏览器与应用所连接的应用程序刻意不持有任何擦除角色。该作业暂停期间，由授权人员在同样的 30 天内完成同样的擦除。删除请求无法在应用内撤销。如果您仍有可能再次扣费的付费订阅，请先取消订阅：应用不会关闭仍可能被扣费的账户。您也可以改为从您的账户邮箱发送邮件至 privacy@tutuo.ai，它进入同一个队列。无论采用哪一种方式，请说明您需要以下哪一项：

• 访问请求（第 15 条）——主题注明“Data Access Request”。我们将生成一份关于您的个人信息的机器可读副本，并受第 7.1 节所列四项限制约束。
• 可携请求（第 20 条）——主题注明“Data Portability Request”。我们生成同一份机器可读文件；可携权覆盖第 7 节所述较窄的范围，我们不会以此为由对您扣留更宽的范围。
• 更正请求（第 16 条）——主题注明“Data Correction Request”。应用内控件只登记请求并交由人工审核，不会立即修改账户数据。我们会通过已验证的账户邮箱确认不准确的字段和请求的更正内容，然后才会应用经批准的更正。
• 删除请求（第 17 条）——主题注明“Account Deletion Request”。在法律要求或允许的情况下，部分记录会在删除后保留——财务记录、同意证据以及支付争议证据——响应中会告知您具体是哪些。删除会移除用于计算我们向 PostHog 发送的假名化漏斗事件所用标识符的获客标识符；这些事件随后在 PostHog 处到期消失（第 2.5 节）。
• 身份核验：已登录即足以让我们登记一项来自您账户的请求；对于删除，我们还要求您输入一段明确的确认文字，以免误触或误开页面就启动它。但已登录不足以让我们把数据副本交出去。在发放副本之前，我们会确认您对账户邮箱的控制权，并把副本发送到该邮箱，而不是返回给当时持有会话的任何人——一个账户的全部个人历史，恰恰是被盗会话最不应当能够收集的东西。我们不会为此向您索取密码或支付信息。
• 处理时间：对于已关闭的账户，我们在删除请求后 30 天内完成擦除，存在法律保全的情形除外（见下文）。完成是指从我们的在线系统中擦除，但按第 6 节所列保留期限保留的记录除外：Stripe 计费与税务记录基于有据可查的法律义务保留 7 年，且不会在 Stripe 处被擦除；如果擦除时仍有生效中的订阅，该订阅会被取消；计费记录不会被删除。错误报告（Sentry）只带有用户 ID；在我们内部将该 ID 关联到您的记录被擦除之后，这些报告会随运营日志在记录后 90 天内到期。对于访问、可携和更正请求，除适用法律要求的期限外，我们不另行承诺完成时限。已登记的请求是队列中的请求，而非已经完成的工作。
• 法律保全：若某项法律义务要求我们保留您的数据（例如正在进行的争议或合法命令），在该义务终止前我们不会擦除，并会在回复中告知您。保全绝不会妨碍我们向您提供数据副本：保留数据的理由不是对您隐瞒数据的理由。
• 备份：我们生产数据库和缓存的加密备份自每份备份生成之日起保留不超过 35 天，到期后自动删除。备份仅用于灾难恢复，即在故障后恢复服务。删除与备份到期是两件独立的事：删除数据（您删除的内容，或按上文所述删除账户）会将其从我们的在线系统中移除，但我们不会修改现有备份中的单条记录。因此，已进入备份的副本会保留到该备份到期为止，最长为该备份生成后 35 天。在法律要求保存的情况下，法律保全（见上文，另见数据保留政策）可以暂停擦除。

10. 中国地区特别说明

如果您身处中国大陆：

• Octuo 是一项美国本土服务。我们没有中国法律实体、ICP 备案，也没有中国境内的本地数据中心。您的数据存储与处理均在美国进行。
• 我们依赖美国法律的合法依据框架以及上文 GDPR 风格的保护；我们没有向中国国家互联网信息办公室单独备案标准合同。
• LLM 提供商（OpenAI、Anthropic、Google）同样在美国运营；其内容审核受美国法律以及它们各自的可接受使用政策约束，而非中国监管。
• 您有责任在使用 Octuo 时遵守中国法律；我们不就本服务对您在中国的用途是否合法作出陈述。
• 如 GFW 过滤导致访问受阻，Octuo 并未被设计为绕过它。

如不接受上述条件，请勿使用 Octuo。

11. 加州居民（CCPA）

您享有上文第 7 节所述的同等访问 / 删除 / 可携性权利。此外：

• 所收集个人信息的类别：标识符（邮箱、客户 ID）、商业信息（订阅、购买）、互联网活动（服务遥测，以及经您同意的产品分析——第 2.5 节）、推断（基于使用得出的偏好）。
• 为跨上下文行为广告而出售或共享的类别：无。我们不出售您的信息。第 2.4A 节所述的有限转化回传（点击标识符、订单金额和币种及我们的订单编号，仅发送给您所经链接对应的平台或合作伙伴，用于衡量和结算该推广活动）不含画像或受众数据，也不是为换取金钱或其他对价而作出；如果您仍认为它们属于“共享”，可按第 2.4A 节所述提出反对。
• 知情权：发邮件至 privacy@tutuo.ai；每 12 个月内首次请求免费。
• 拒绝出售权：不适用（我们不出售）。
• 不受歧视：我们不会因您行使权利而拒绝提供服务或收取不同价格。
• 授权代理人：您可使用授权代理人；我们将直接与您核实。

加州总检察长投诉：oag.ca.gov/contact/consumer-complaint。

12. 儿童

Octuo 不面向 13 岁以下儿童（或您所在司法辖区规定的同等最低年龄；GDPR 下部分欧盟成员国为 16 岁）。我们不会主动收集儿童的数据。如您认为有儿童使用了 Octuo，请发邮件至 privacy@tutuo.ai，我们将移除其账户。

13. Cookie 及类似技术

我们使用的少量 Cookie 与浏览器存储项见 Cookie 政策。我们不使用第三方跟踪 Cookie。如果您在我们的网站上同意产品分析，我们会在您浏览器的本地存储和会话存储（localStorage、sessionStorage）中保存 PostHog 标识符（不是 Cookie）；见第 2.5 节。

14. 本政策的变更

我们可能更新本隐私政策。如变更属于实质性（扩展处理目的、新增子处理者类别、削弱用户权利或上调保留期限），我们将：

• 提升 frontmatter 中的 version 主版本号与 effective_date。
• 至少提前 30 天通过邮件通知您新版本生效。
• 在您下次登录时显示应用内横幅。

如您在新版本生效后继续使用 Octuo，即视为接受变更。如不接受，您可在通知期内申请删除账户；如果您仅因本次变更而取消订阅，我们将按比例退还未使用的订阅天数。

非实质性的澄清（修正笔误、调整格式、更清晰地复述既有保护）会提升 version 次版本号并更新 last_updated 日期，但不需要通知或同意。

15. 联系方式

本隐私政策是 Octuo 法律文件集的一部分。另见：服务条款、可接受使用政策、AI 披露、退款政策、Cookie 政策。