隐私政策

01适用范围与责任主体

本政策适用于 sub2tok（以下简称「本服务」）的网站、控制台与 API 网关。本服务由一家在新加坡共和国注册的运营实体（以下简称「我们」）提供；我们受新加坡《2012 年个人资料保护法令》（PDPA）管辖，并作为数据控制者，对本政策所述的个人信息处理承担责任。

上游模型服务商、社交登录平台、支付宝与区块链网络独立处理您信息的行为，不适用本政策，请参阅其各自的隐私政策。

02我们收集的信息

我们只收集运行服务所必需的信息：

• 账号信息：昵称、邮箱、密码的不可逆哈希值、邮箱验证状态、邀请码、账号状态（角色、是否封禁及原因），以及您注册时同意的条款版本与同意时间；为防止同一邮箱借别名重复注册，我们另存一份归一化的邮箱地址。使用 Google 或 GitHub 登录时，还包括 Google 或 GitHub 返回的账号标识、邮箱、头像地址与授权令牌（加密存储）。；是否退订了通知邮件，以及我们发给您的每封通知邮件的标题、发送时间与是否送达
• 会话信息：会话令牌、登录时的 IP 地址与 User-Agent、会话有效期，用于维持登录状态。登录、注册等认证接口还会按来源 IP 计数，用于限流。
• API 令牌信息：令牌名称、SHA-256 哈希值、明文的前 11 位、状态、创建时间与最后调用时间。明文令牌不写入数据库，我们也无法找回。用安装脚本登录时，脚本会上报这台电脑的名称，写进自动创建的令牌名称；在您点「允许」或「拒绝」之前，我们还会暂存发起这次登录的国家或地区，显示在确认页上供您核对。
• 调用计量信息：请求号、上游请求号、您的账号与所用令牌、模型名称、输入、输出与缓存读写的 Token 数量、费用与倍率、渠道、排队时长与时间戳、上游返回的 usage 原始字段，以及上游是否依其使用政策拒绝该请求及拒绝的类别。
• 调用失败信息：失败代号、HTTP 状态码、您的账号与所用令牌、模型、渠道、时间、所调用的接口格式与客户端发来的 User-Agent，以及上游返回的错误原文（合并为一行，最多 512 个字符）。上游的错误原文有时会引用请求中的片段。
• 账务信息：余额与资金流水（充值、扣费、注册赠送、管理员加余额、邀请奖励、分成、冲正）及对应的用量事件标识；余额中还没花的充值与分成各有多少；邀请关系（谁邀请您注册、您邀请了谁）与每笔邀请奖励的发放记录；每笔分成来自哪笔用量、哪份订阅、由哪位用户付费；充值订单还会记录下单时网络地址的 SHA-256 哈希值（IPv6 按 /64 网段计），仅用于限制同一网络同时持有的订单数，不保存原始地址；支付宝充值订单记录订单号、美元金额、人民币价与人民币金额，以及 ZPay 的交易号，不记录您的支付宝账号。
• 链上信息：每笔转入我们收款地址的转账的付款地址、收款地址、金额、区块与交易哈希，包括无法匹配订单的转账。我们会比对邀请双方充值所用的付款地址，以识别疑似自我邀请。这些数据本身在公链上公开可查。
• 分享者信息：如您接入闲置订阅，还包括该订阅的供应商、上游账号邮箱、授权凭据（加密存储）、所在节点、分享时段与时区、给您留出的额度比例、套餐、额度读数、上报的模型、额外用量是否开着、您是否及何时允许扣额外用量，以及上游训练与数据收集设置的状态。
• 技术日志：服务端运行日志，包含时间、账号与令牌标识、渠道、模型、用量、费用、状态码与延迟，不含请求正文与 IP 地址。节点还会在本机记录请求路径、请求号与报错信息。
• 页面报错与访问统计：页面在您的浏览器中出错时，我们会收到错误消息、调用栈、出错页面的路由模板与浏览器 User-Agent，其中的网址查询参数、令牌、邮箱与 IP 地址在记录前即已去除；页面访问量与加载性能由 Cloudflare Web Analytics 统计，该服务不使用 Cookie，也不记录网址查询参数。

除上述信息外，我们不收集您的身份证件、生物特征、精确位置或通讯录等信息，也不从第三方数据经纪商处购买您的个人信息。

03请求与响应的正文

网关在内存中转交请求与响应：请求体经我们的节点发往上游，必要时在兼容格式之间转换，响应以流式分块回传。我们不会把您的提示词、模型输出、文件或图片内容写入数据库或持久化日志。

用量事件只记录计量所需的数量字段与元数据（见第 02 节「调用计量信息」），不含任何正文。我们不使用您的请求内容训练或改进任何模型。

为使同一段对话尽量落在同一条上游渠道并复用上游的提示缓存，如您的客户端未提供会话标识，网关会以系统提示与第一条消息的 SHA-256 摘要作为会话键，与模型及所选渠道一并存入数据库，并在最后一次使用约 1 小时后删除。摘要无法还原为原文。

您的请求可能通过其他用户分享的订阅发出。分享者看不到您的身份和请求内容；网关在转发前会替换您客户端发出的会话标识与安装标识，上游只能看到按该订阅派生的标识。

上游依其使用政策拒绝您的请求时，我们记录拒绝的次数与类别，不记录正文。对一段时间内拒绝较多的账号，本服务会自动只用我们自己的供给和该账号本人分享的订阅承接其请求；这一限制只改变承接请求的来源，不会封禁账号。

请注意：上游模型服务商仍会接收请求正文，并按其政策处理；是否留存、留存多久由上游服务商决定，我们无法代为承诺。请勿在请求中提交您不希望交由上游处理的个人信息，尤其是敏感个人信息。

上游返回错误时，错误原文会存入调用失败信息（见第 02 节），节点的本机日志也会记录报错信息，两者都可能引用请求中的片段。我们不会刻意记录正文。

04使用目的与合法性基础

我们处理您的信息，依据如下：

• 履行合同：创建与维护账号、身份校验、转发请求、计量计费、充值入账、邀请奖励与订阅分享，以及用邮件通知您服务与条款的变更（每封都能退订）。
• 合法利益：防范欺诈与滥用（包括识别疑似自我邀请、根据违规拒绝记录限定承接来源、追查分享的订阅遭上游封号的原因）、保障系统安全与容量、排查故障、改进服务质量。处理时，我们会权衡对您权益的影响，并将处理范围控制在必要限度内。
• 履行法定义务：遵守税务、反洗钱、制裁合规与司法协助方面的要求。
• 基于同意：您注册时同意本政策；选择社交登录或接入闲置订阅时，在相应页面另行授权。您可随时撤回同意，撤回不影响此前处理的合法性，但我们可能因此无法继续提供相应服务。

05Cookie 与本地存储

我们只使用必要的 Cookie 与浏览器的会话存储（sessionStorage），不使用 localStorage，也不设置广告类或跨站追踪类 Cookie：

• 会话 Cookie：经过签名的登录凭据，用于保持登录状态，有效期 7 天，使用时自动续期，退出登录后即失效。
• 社交登录状态 Cookie：使用 Google 或 GitHub 登录时短暂保存，用于校验登录回调，10 分钟后失效。
• 语言偏好 Cookie：记住您选择的界面语言，保存 1 年。
• 主题偏好 Cookie：记住您选择的界面主题（海岛、Hermes、Geist 或宝可梦），由页面脚本写入，在首屏渲染前同步读取，以免主题闪烁，保存 1 年。
• 时区偏好 Cookie：记住您的浏览器上报的时区，使页面上的时间按您所在的时区显示；浏览器尚未上报时，采用 Cloudflare 根据 IP 地址推断的时区。保存 1 年。
• 邀请 Cookie：您打开邀请链接时记录邀请码，保存 30 天，仅在注册时读取，用于记下邀请关系。
• 待验证邮箱（会话存储）：注册后暂存您填写的邮箱地址，用于在验证提示页显示，以及重新发送验证邮件。
• 充值选择（会话存储）：暂存您充值时选择的币种与网络，便于回到「余额」页时恢复选项；不存储充值金额与收款地址。
• 自动刷新时间（会话存储）：页面资源加载失败、触发自动刷新时记录时间戳，30 秒内不再自动刷新，以免反复刷新。
• 滚动位置（会话存储）：记录各页面的滚动位置，便于您在浏览器中前进或后退时回到原来的位置。

会话存储仅保存在当前标签页中，关闭标签页即清除，也不会随请求发送到我们的服务器。您可以在浏览器中清除或阻止这些 Cookie 与存储，但清除会话 Cookie 会使您退出登录。

06信息共享与披露

我们不出售您的个人信息，仅在以下情形下共享：

• 上游模型服务商：为完成转发，请求正文与必要的协议头经节点发送给承接您所选模型的上游。
• 社交登录平台：仅在您选择 Google 或 GitHub 登录时用于校验身份；您的头像图片直接从该平台加载，该平台因此会收到您的 IP 地址。
• 基础设施服务商：Cloudflare（托管、日志、邮件发送、人机校验与访问统计；人机校验时 Cloudflare 会收到您的 IP 地址与浏览器信号）、Neon（数据库）与 Vultr（节点机）作为数据处理者，按我们的指示处理数据，并负有保密义务。
• 密码泄露检查：设置密码时，我们会将密码 SHA-1 哈希值的前 5 位发送给 Have I Been Pwned，以检查该密码是否出现在已知的泄露数据中；完整密码与完整哈希值均不会发出。
• 区块链网络与链上数据服务商：充值转账广播到公链后，在链上公开可查；我们通过 TronGrid、Infura 与 Helius 查询转入收款地址的转账。
• 支付宝与 ZPay：您用支付宝充值时，我们会把订单号、人民币金额与商品名称发给收款服务商 ZPay，由支付宝完成付款；您的支付宝账号与付款方式由支付宝处理，我们不接收。
• 运营工具：管理员可授权其使用的 agent 通过只读接口查询运营数据（包括账号邮箱、用量与调用失败信息），这些数据会由该 agent 的模型服务商处理。
• 法律要求：应有管辖权的司法或行政机关的合法要求，或为维护我们与他人的合法权益所必需。
• 业务重组：发生合并、收购或资产转让时，我们会事先告知您，并要求承接方继续受本政策约束。

07跨境传输

我们的数据库位于新加坡，网站与网关运行在 Cloudflare 的全球网络上，节点机与上游服务商可能位于其他国家或地区。使用本服务，即意味着您的信息将传输到您所在地以外的地方处理。

对于跨境传输，我们采取传输加密、字段最小化与合同约束等措施，确保保护水平不低于本政策的要求。

08保留期限

账号与身份信息在账号存续期间保留；注销后，除法律另有要求或处理争议所需外，我们会在 30 日内删除可识别您身份的信息，或作匿名化处理。注册满 7 日仍未完成邮箱验证的账号，连同注册时填写的信息一并删除。

用量记录与资金流水属于财务记录，出于对账、审计与税务合规的需要，自产生之日起保留不少于 5 年；在此期间，相关记录可能通过匿名标识与已注销账号保持关联。调用失败信息中的上游错误原文在 30 日后清空，其余字段用于统计违规拒绝，保留 365 日后删除。

会话记录，以及邮箱验证、社交登录、安装脚本登录码（含电脑名称与国家或地区）等临时凭据，在过期后删除；认证接口的限流计数（含来源 IP）闲置一天后删除；会话亲和所用的会话键在最后一次使用约 1 小时后删除；充值订单的网络地址哈希只保留到该订单的金额锁到期（约一天），随后删除；服务端技术日志保留 365 日后删除；节点的本机日志按文件大小轮转清理。

解绑订阅后，订阅档案（供应商、上游账号邮箱、分享者）与上游封号记录随账号保留，用于追查封号原因。

09安全措施

全站强制使用 HTTPS；密码以不可逆哈希存储；API 令牌只存哈希值；上游渠道凭据与分享者授权凭据以 AES-256-GCM 加密存储，密钥由部署环境独立管理，不随代码分发；节点不保存订阅凭据，凭据在每次请求时由控制面下发；社交登录的授权令牌由认证框架加密存储。

线上系统只有收款地址，不持有任何能转出资金的钱包私钥。管理员在运营台做的每一项改动都会写入只增不改的审计记录；管理员的查询接口只读，不返回任何密钥。

没有任何系统能保证绝对安全。如发生可能危及您权益的数据泄露，我们将按适用法律的要求，在合理期限内通知您并向监管机构报告。

10您的权利

在适用法律允许的范围内，您对自己的个人信息享有下列权利：

• 知情与访问：了解我们持有的与您相关的信息，并索取副本。
• 更正：更正我们持有的与您相关的不准确或不完整的信息。
• 删除：在账号注销或信息不再必要时要求删除，但受「保留期限」一节所述保留义务的限制。
• 限制与反对：对基于合法利益的处理提出反对，或要求限制处理。
• 数据可携带：以结构化、通用、机器可读的格式获取您提供给我们的信息。
• 撤回同意：撤回您此前基于同意作出的授权。

如需行使上述权利，请通过下方联系方式提出。为保障账号安全，我们可能要求您验证身份。依 PDPA 的要求，我们将在 30 日内答复；确实无法在该期限内答复的，会先告知您预计所需的时间。如您认为我们的处理违反法律，可以向新加坡个人资料保护委员会（PDPC）或您所在地的监管机构投诉。

11未成年人

本服务不向未满 18 周岁的个人提供服务，也不会有意收集其个人信息。如发现此类信息，我们会尽快删除相关账号与数据。

12政策变更

本政策更新时，我们会修改页首的生效日期，并在本页面公布新版本。涉及处理目的、共享范围等重大变更的，我们会通过站内公告或邮件另行通知。

13联系我们

我们已依 PDPA 指定数据保护主任（DPO），负责本政策的执行与咨询受理。如对本政策、您的个人信息有疑问，或需提出数据权利请求，请发送邮件至 contact@sub2tok.com，并在邮件主题中注明「DPO」。我们会在收到邮件后 30 日内答复。