隐私政策
本政策说明 ThinkAsModel Limited（思模科技有限公司）（香港注册公司，下称「我们」）在你使用 alayo.ai 网站与 Alayo 应用时，如何收集、使用与保护你的个人资料。原则先说在前面：我们只收集运营所需的最少数据。广告效果测量默认关闭，仅在你同意后启用；我们不出售个人数据。
1. 我们收集什么
- 更新通知名单：你订阅更新时提供的邮箱地址、两道可选问题的回答，以及提交时间。这些数据存储在我们的基础设施服务商 Cloudflare 的键值存储中。
- 购买信息（结账开放后）：账单与卡信息由支付服务商（Paddle 或 Stripe）直接收集与处理，不经过我们的服务器；我们仅收到履约所需的订单记录（订单与客户标识、实际金额与币种、许可状态；购买 AI 额度时另含额度所记入的假名化许可证身份），存储在 Cloudflare 的数据库中。付款完成后，我们会向支付服务商取得你结账时填写的邮箱，仅用于把许可证发给你。这封邮件经 Cloudflare 的邮件服务发出，Cloudflare 会按其规则保留投递记录（含收件地址）；我们自己的数据库不保存这个邮箱。
- 邮件往来：你写给 [email protected] 的内容。
- 网站访问：本网站使用托管方 Cloudflare 自带的 Cloudflare Web Analytics 统计访问量。它不使用 cookie 或 localStorage，不识别或追踪个人，不做跨站追踪；浏览器每次打开页面时会向 Cloudflare 发送一条匿名 beacon（页面地址、来源页与性能指标）；据 Cloudflare 文档，其分析服务在最近的边缘节点收到请求后即丢弃 IP 地址，不存入核心数据库或日志（下文所述托管方的标准访问日志是另一类处理）。原始 beacon 数据由 Cloudflare 保留 7 天，之后只保留降采样后的聚合数据；我们只查看页面访问量、来源与设备类型等聚合报告（可查最近 6 个月）。Google Ads 广告效果测量是另一个可选功能，见下文。如不想被计入统计，屏蔽来自 static.cloudflareinsights.com 的脚本即可，网站功能不受影响。网站托管于 Cloudflare Pages，Cloudflare 作为基础设施提供商可能记录标准访问日志（如 IP 地址）用于安全防护与运维。页面字体经 Google Fonts 加载（fonts.googleapis.com / fonts.gstatic.com），Google 会因此收到你的 IP 地址等标准请求元数据。
- 广告效果测量（可选）：仅在你点击「允许测量」后，Workbench 网站页面才会加载 Google Ads 标签，以广告点击标识及 Cookie 关联广告与购买。我们向 Google 发送交易号、扣除折扣与税款后的订单金额、币种；Google 也会收到 IP 地址、浏览器信息和页面地址等标准请求信息。不会发送邮箱、付款资料、许可证或应用内文件，不启用增强转化或个性化广告。拒绝不影响浏览、下载、购买与领取许可证。你可通过页脚「广告测量偏好」撤回同意，撤回会停止后续发送并清除本站可访问的广告 Cookie；已发送的数据不会因此自动从 Google 删除。广告 Cookie 通常最多保留 90 天，同意选择在 180 天后失效，订单去重记录在 30 天后失效；过期的浏览器记录会在下次访问时清理。Google 的处理与保留规则见 Google 合作伙伴网站数据说明。网站不接收或保存银行卡资料。
2. Alayo 应用本身
Alayo 是本地优先的应用：文件留在你的设备上；只有当你主动调用需要所选内容的 AI 功能时，相关内容才会离开设备。应用不要求注册账号。首次使用 Alayo 内置 AI 额度前，应用会说明数据流向并征求你的同意。
- 自有 Key（BYOK）：相关内容由应用直接发送到你配置的模型端点，适用该服务商的条款；Key 仅存于 macOS 钥匙串。
- Alayo 内置 AI：相关文件内容（含你让 AI 理解的图片）、文件名与指令会经我们的 Cloudflare Worker 中转给第三方大模型服务商处理。模型服务商按其自身的服务条款与隐私政策处理你发送的内容，其中可能包括保留这些内容，或将输入与输出用于模型训练和服务改进；Alayo 无法控制服务商的处理方式。在适用法律允许的范围内，Alayo 不对模型服务商依其政策处理数据的行为承担责任。如果你不希望内容由这些服务商处理，请不要使用 Alayo 内置 AI，或在设置中改用自有 Key（BYOK）连接你自行选择的服务商。我们不保存请求正文和模型回答；仅保留计量、防滥用与服务稳定性所需的元数据，包括假名化的安装或许可证身份、功能类型、路由模型、token 数、成本与 credit 计量、请求状态、错误类型与耗时、时间戳，以及短期 IP 限流计数；为防止试用赠送额度被批量领取，登记试用时还会按月记录 IP 地址的加密摘要（此用途不保存 IP 本身），用于限制同一网络每月可领取的赠送份数。Alayo 内置 AI 无需账号。试用与许可证附带的额度为赠送；许可证用户还可以购买额外额度，购买只会把额度记到假名化的许可证身份上。
- 崩溃诊断（可选，默认关闭）：首次启动时应用会询问是否「共享崩溃诊断」，你也可随时在「设置 › 通用 › 隐私」更改。开启后，应用崩溃时 macOS 生成的诊断报告会在下次启动时发送到我们自己的服务器（Cloudflare），不经任何第三方崩溃服务。我们只用它定位并修复崩溃。报告是 macOS 生成的崩溃诊断原文（MetricKit）：调用栈、崩溃信号与异常类型和代码、终止原因、崩溃发生的时段，以及应用版本与构建号、macOS 版本和处理器架构；我们不会附加文件名、路径、空间名、你的输入、IP 地址、安装或许可证身份，也不对诊断原文做二次分析。报告保留 365 天后自动删除。
- 匿名使用统计（可选，默认关闭）：同一询问中你可以选择是否「共享匿名使用统计」，同样可随时在设置中关闭。我们只用它了解功能是否被用到、版本分布与首次引导完成率，以决定改进什么；不用于广告、画像或与任何身份关联。开启后，应用只记录五类功能事件：应用启动（冷启动）、首次引导完成（点了「开始」还是「跳过引导」）、新建空间、执行整理计划（计划类型：应用/撤销/导出；成功条数按数量级分桶，不传精确数；终态：完成/部分完成/已回滚）、AI 请求完成（功能类型与成败）。每条事件附带应用版本与构建号、macOS 版本、设备型号、处理器架构、系统语言与地区、时区、屏幕分辨率、深浅色模式、统计 SDK 版本、日历信息（如季度、星期几）以及运行环境标志（是否调试版、是否 TestFlight、是否 App Store 版本）。事件由 TelemetryDeck（TelemetryDeck GmbH，德国奥格斯堡）处理，数据全部存放于欧盟境内；用户标识是应用本地随机生成、经设备端与服务端两次加盐哈希的匿名值，不使用硬件序列号或广告标识。永不收集文件名、路径、空间名、组名、任何输入内容或单个文件级动作。关闭开关即停止发送，并删除本地未发送队列与匿名标识；再次开启会以全新匿名身份开始。
- 应用更新（默认开启，可关闭）：Alayo Workbench 使用 Sparkle 检查应用内更新，向 alayo.ai 请求公开更新清单（/releases/workbench.xml），并按需请求发布说明与更新包。接入前的旧版本继续请求 /releases/workbench.json。自动检查通常每天一次，也可随时手动检查。默认在后台下载新版本，在退出 Alayo Workbench 时安装，下次打开即为新版；可在「设置 › 通用 › 更新」关闭「自动下载并安装」，改为发现新版本时先询问，也可关闭自动检查。更新请求使用固定 User-Agent「Alayo-Workbench-UpdateCheck」，不携带账户、设备或安装标识、系统概况、Cookie 或自定义查询参数；网络基础设施仍会收到 IP 地址等通用请求信息。我们不将更新请求写入数据库；Cloudflare 作为托管方可能按上文所述保留标准访问日志。
3. 我们如何使用
- 向更新通知名单发送产品发布与更新进展（你可随时退订）；
- 处理订单、签发许可证并通过邮件发给你、办理退款；
- 回复你的咨询与支持请求；
- 在你开启后，用崩溃诊断定位并修复崩溃、用匿名使用统计了解功能采用与版本分布以决定改进方向（见第 2 条；随时可在应用设置中关闭）；
- 在你同意时衡量广告带来的购买；
- 履行法律与账务义务。
就这些。我们不会把你的邮箱用于以上目的之外的营销，也不会提供给任何第三方做营销。
4. 与谁共享
仅与运营所必需的服务商共享，且仅限履约所需的最小范围：支付服务商（Paddle / Stripe）、基础设施服务商（Cloudflare）、你同意广告效果测量时的 Google Ads，你选择开启匿名使用统计时的 TelemetryDeck（仅第 2 条所述的匿名事件），以及你使用 AI 时第 2 条所述的模型服务商。BYOK 请求发往你配置的端点；Alayo 内置 AI 请求经我们的 Cloudflare 中转到第 2 条所述的第三方大模型服务商，并适用其条款与隐私政策。当法律要求时，我们可能依法披露。我们不出售个人数据。
5. 数据保留
更新通知名单邮箱保留至你退订；订单与许可记录按适用法律与账务要求保留。内置 AI 的额度台账、余额以及额度购买与退款记录，会在额度管理、防滥用、核对模型服务商费用及账务合规所需期间保留；IP 限流计数会在短期运维窗口结束后删除；试用登记的 IP 加密摘要在所属月份结束后删除；逐次请求的状态、错误类型与耗时记录保留 90 天，按日汇总的统计不含身份，可长期保留。Alayo 不保存请求正文和模型回答。超期数据将删除或匿名化。
6. 跨境传输
我们的服务商（Cloudflare、Paddle、Stripe、Google Fonts、Google Ads（仅在你同意测量时）及第三方大模型服务商）在全球运营，你的数据可能在香港以外的地区处理；匿名使用统计由 TelemetryDeck 在欧盟境内处理；你通过 BYOK 自行配置的模型服务商亦可能在境外处理你发送的内容（见第 2 条）。我们只选择提供业界标准安全保障的服务商。
7. 你的权利
依据香港《个人资料（私隐）条例》（PDPO），你有权查阅与更正你的个人资料；你也可以随时退出更新通知名单（我们会删除对应的名单记录）。在适用法律允许、且不与法定记账、争议处理或反欺诈等留存义务冲突的范围内，你也可以要求删除其他个人资料。发邮件至 [email protected] 即可，我们会尽快处理。
8. 政策变更
我们可能不时更新本政策，更新后会修改页首的「最近更新」日期；重大变更会通过本网站或邮件通知。
9. 语言与联系
本政策以中英文提供，歧义时以英文版为准。任何隐私相关的问题：[email protected]。