AI 服务与数据处理协议

第1章　定义与范围

1.1“交互数据”指您在使用 AI 功能时产生或提交的内容，包括文字消息、语音输入、您发送的图片、以及为维持上下文而附带的历史对话片段与伙伴记忆。交互数据不包括您的账号资料、登录凭证、支付记录与设备标识符。

1.2“模型服务商”指为我们提供大语言模型推理、语音识别、语音合成、音色复刻、图像理解等能力的技术服务商。

1.3“去标识化”指移除或替换直接与间接标识符，使数据无法在不借助额外信息的情况下关联至特定个人，且我们不保留可用于重新关联的映射关系。具体措施见第 4.3 条。

1.4本协议规范交互数据在 AI 功能中的传输、处理、保留与服务改进使用。个人信息处理的一般规则适用《隐私政策》。

1.5本协议适用于文字对话、群聊、语音输入、语音朗读、图片识别、翻译、实时语音通话，以及自建伙伴与语音复刻中涉及模型推理的部分。

1.6本协议中的“伙伴”“自建伙伴”“积分”“积分配额”“永久积分”“积分加量包”“30 日套餐”“订阅中心”“语音复刻”等用语，与《用户服务协议》第 1.8 条的含义相同。

第2章　服务所必需的第三方处理

2.1我们的 AI 能力通过第三方模型服务商的接口实现。为生成回复与内容安全校验，交互数据须传输至该等服务商进行处理。内容安全校验是生成回复的必要环节，与推理在同一处理流程内完成、由同一服务商在同一区域处理，不构成独立的处理目的，也不额外扩大传输的数据类别。这是 AI 功能的技术前提，无法在不传输的情况下提供。

2.2当前主要模型服务商及其用途。我们对每一项模型与语音能力均使用其位于新加坡区域（或中国大陆以外区域）的服务端点，不向中国大陆境内的服务器发起调用，也不委托中国大陆境内的服务商处理交互数据。下列为截至本协议生效日的主要服务商，完整清单（含各服务商的处理用途、所在区域与保留期）以《子处理者清单》页面为准；该页面与本协议同步维护，二者不一致时以该页面为准：

（a）阿里云百炼（Model Studio，即 DashScope，新加坡区域）：通义千问（Qwen）系列大语言模型推理（文字对话、群聊、伙伴决策）、语音识别（ASR）、语音合成（TTS）、实时语音交互、音色复刻。处理内容：对话文本及上下文、语音音频、待合成文本、语音样本。

（b）DeepSeek 系列模型：该模型系由深度求索（DeepSeek）开发的开源模型，但我们并非通过深度求索的官方接口调用，而是通过阿里云百炼（新加坡区域）的模型托管服务（MaaS）获取推理能力。调用端点为新加坡区域的模型服务地址，算力与推理在新加坡区域完成；深度求索作为模型开发者，不因该等调用而接收您的交互数据，我们也不向其服务器传输数据。用途：文字对话、群聊决策、回复生成前的内容安全校验。处理内容：对话文本及上下文。

（c）Microsoft Azure：AI Speech（东南亚/新加坡区域）用于部分音色的语音合成，处理内容为待合成文本；AI Translator（全球区域资源，非由世纪互联运营的 Azure 中国区）用于文本翻译，处理内容为待翻译文本。

（d）阿里云（新加坡区域）：承载上述调用的云基础设施与数据存储（云服务器、对象存储、备份）。处理内容：账号数据、对话记录、媒体文件、备份。

（e）阿里云百炼（新加坡区域）视觉理解模型（Qwen-VL）：识别您发送的图片内容。处理内容：您上传的图片及提示文本。

（f）上述服务商均不在中国大陆境内处理交互数据。如未来确需新增位于中国大陆的处理者，我们将在实施前更新本协议并取得您的单独同意，您有权拒绝而不影响其他功能的使用。

2.3我们可能新增、更换或减少模型服务商。发生变更时，我们将在生效前至少 30 日更新《子处理者清单》与《隐私政策》第 5.2 条，并通过应用内通知告知您；该等更新不构成对本协议正文的修订。如变更涉及新增处理目的、扩大处理范围，或新增位于中国大陆境内或其他新国家/地区的处理者，我们将另行征得您的同意。

2.3.1模型与推理引擎的升级：我们会持续升级或替换底层模型、推理引擎与语音、图像引擎，包括同一服务商的模型版本迭代、更换服务商、或改用自托管推理。该等升级不改变本协议项下的处理目的、数据类别与保护标准；不因此扩大传输的数据范围，也不改变第 5 条与第 10 条的保留期与处理地点。如升级导致处理方式发生实质变化（新增数据类别、新的处理地点、新的保留期或新的使用目的），我们按第 2.3 条更新清单并依法另行取得同意。

2.4我们与模型服务商签署数据处理条款，要求其：（a）仅为我们的指示处理交互数据；（b）不将数据用于训练其通用模型（以商业条款约定为准）；（c）采取适当的安全措施；（d）在服务终止后删除或返还数据。

2.5传输前的最小化：我们仅传输生成回复与内容安全校验所必需的内容，不随请求发送您的邮箱、账号 ID、支付信息或设备标识符。为降低关联风险，我们在请求中使用临时会话标识而非账号标识。用于服务改进的数据同样遵循此原则，见第四章。

2.6部分功能对会员等级有最低要求，具体门槛与等级设置以应用内展示为准，并可按《用户服务协议》第 8.17 条调整。等级未达到时，相应请求不会发出，我们也不会收集该等功能所需的样本。

第3章　数据流向与处理伙伴

3.1您是交互数据的产生者。我们就交互数据作为数据控制者（GDPR）或企业（CCPA）决定处理目的与方式。

3.2模型服务商就交互数据作为我们的处理者（processor）或服务提供商（service provider），仅按我们的指示处理。

3.3处理链路：您的设备 → 我们的服务器（新加坡）→ 模型服务商接口 → 返回结果 → 我们的服务器 → 您的设备。我们在服务器端保留对话记录，用于历史展示与上下文记忆。

3.4语音链路：语音输入在我们服务器完成格式转换后传输至语音识别服务；识别出的文本再进入对话链路。语音合成仅处理待朗读的文本，不涉及您的声纹。音色复刻另需您单独同意，见《伙伴创建与语音复刻协议》（UD-VRC-01）。

3.5计费链路：为计算积分消耗，我们在服务器端记录每次 AI 调用的事件类型、批注时间与消耗积分。该记录不含对话正文，仅作为账单凭据保留（见《隐私政策》第 7.1(e) 条）。

第4章　服务改进与去标识化使用

4.1我们会在去标识化处理后使用您的交互数据改进本服务。改进范围限于：（a）回复质量与上下文理解；（b）安全过滤与内容风控的准确率；（c）提示策略与对话流程；（d）语音识别与语音合成的准确度；（e）翻译质量；（f）故障复现与性能优化。

4.2使用边界：上述数据仅用于本服务，不用于开发与本服务无关的其他产品，不向第三方提供用于其模型训练，不用于广告定向、个人信息出售或信用评估，也不用于对您作出评价、评分或分类，或对您产生法律效果及类似重大影响的自动化决策。我们不使用伙伴在与您对话中形成的对话理解训练模型。未达到本服务法定成年年龄的样本不纳入上述数据集；我们在获知后即从待处理批次中剔除。

4.3去标识化的具体措施。我们同时采取结构性（数据形态）与内容性（文本）两类措施，两者缺一不可：

（a）结构性措施：用于改进的数据集不写入您的账号标识、登录凭证、设备标识符、IP 地址、精确地理位置与精确时间戳。每一批数据仅包含对话文本、该对话所属伙伴或群组的编号（编号本身不含账号信息）、以及年月（不精确到日与时）。由您创建的伙伴，不写入创建者标识；数据文件的命名与索引亦不含账号标识。

（b）内容性措施：对文本中出现的直接标识符，以占位标记替换或移除。覆盖范围按类分组，随服务地区的增减而更新，不限于下列示例：

1) 联系类：电话号码（含国际格式与各服务地区的本地书写格式，如带括号、短横、空格的形态）、电子邮箱、收货与居住地址（含门牌号与街名，不限语言与文字体系）、邮政编码；

2) 证件类：各国身份证、居民登记号、社会保障号、税号、护照号、驾照号，以及各法域常见的证号（如韩国居民登记号、新加坡 NRIC/FIN、日本个人番号、中国台湾地区身分证号、中国香港身份证号、马来西亚 MyKad、墨西哥 CURP/RFC）；

3) 金融类：银行卡号（含以空格或短横分隔的书写形态）、国际银行账号（IBAN）、加密钱包地址；

4) 身份与在线标识类：您向我们提供的姓名以及在对话中自报的姓名、用户名、社交平台账号与主页链接、网址；

5) 设备类：设备标识符（IMEI、MAC 地址、设备 UUID）。

处理原则为“宁可多替换”：误替换只损失少量语料，漏替换则可能造成不可逆的识别风险。为兼顾语料可用性，对易与订单号、金额、日期的纯数字串相混淆的类别（如证件号、银行卡号），我们以“上下文词 + 格式校验”两项条件同时满足才替换。我们维护一份可核查的内部规则清单，并按季度自查其覆盖情况。

（c）准标识符抑制：对于职业、所在城市、年龄段、兴趣等可能与其他信息结合而重新识别到个人的字段，我们作泛化处理——职业归入大类，不保留具体职位、单位与雇主；地点一般不精确于城市以下，人口规模较小的城市进一步归并至省级或国家层级，城市国家只保留国家；年龄以区间表示，不使用精确出生日期；兴趣以受控词表归一，未命中词表的自由文本不保留，单条记录的兴趣项数量设有上限；对样本量过小的细分组合（如同一职业大类、同一城市、同一年龄档的样本数量过少），不予保留或将城市归并至更高层级。

（d）不可回溯：去标识化后的数据与原始数据分开存储，我们不保留可用于反向关联的映射表，也不以人工或自动方式尝试将上述数据重新关联至任何特定个人。

4.4关于去标识化数据的性质：我们实施上述措施的目标是使数据无法识别到特定个人。但各法域对“去标识化数据”是否仍属个人信息的认定不同，因此我们不主张该等数据必然不属于个人信息；无论法律如何认定，我们均按个人信息的标准保护该等数据。

4.5使用依据与拒绝：本条项下的使用构成本服务的一部分，其依据为提供与改进本服务所必需的处理，不需要您另行作出同意，也不构成您对第二章所述第三方传输的授权（第二章的依据见第 2.1 条）。我们不以您是否接受本条项下的使用作为提供服务的条件。如您不希望自己的交互数据被纳入后续批次，可通过《隐私政策》第 16 条的联系方式提出，我们在核实后于下一批次生效；该选择不影响您继续使用本服务。

4.6停止纳入的后果与技术限制：您提出后，我们停止将该账号的交互数据纳入后续批次。但去标识化后的数据已不与您的账号关联，我们无法从既有批次中定位并单独删除属于您的部分；已完成的模型改进亦无法回溯撤销。这一点我们如实告知，不作“可完整删除”的承诺。

4.7与第二章的区别：为生成回复而向模型服务商传输数据（第二章）是 AI 功能的技术前提，不属于本条的改进性使用。如您拒绝该等传输，我们无法提供 AI 对话与语音功能（见第 6.4 条）。

4.8我们当前不自行训练基础模型，上述使用限于对提示策略、回复质量、安全过滤与语音、翻译效果的优化。如未来开展基础模型训练，我们将另行取得您的同意，并在本协议中说明数据范围与措施。

第5章　保留与删除

5.1我们按数据的用途分层保留，各层期限不同。下列期限自相应事件发生之日起算：

（a）生产环境（新加坡服务器）：交互数据在账号存续期间保留，用于展示历史记录与维持上下文。您删除单条会话或与某伙伴的对话后，我们在 30 日内从生产环境删除该部分；

（b）日常备份（新加坡对象存储，加密存储）：仅含账号、绑定关系、订单、积分与权益台账、订阅、优惠券及运营配置，不含对话正文与记忆。备份按三档轮换：近 30 日内每日一份、其后 12 个月内每月一份、其后 7 年内每年一份，超出部分自动清除。因此对话内容不产生备份副本；台账类数据在删除后，最长约 30 日内随日备份消失、12 个月内随月备份消失、7 年内随年备份消失；

（c）去标识化数据集（新加坡对象存储）：按第四章生成，按批次保存，期限为生成之日起 24 个月，期满删除；

（d）签署记录（同意证据）：您每次签署协议，我们保存一条记录，含签署时间、账号标识、联系方式、您当时所见协议原文的快照与防篡改校验值。该记录用于证明我们已依法取得您的同意，期限为账号注销后 7 年；

（e）风控与争议处理档案：涉及欺诈、盗刷、拒付、退款争议、滥用或投诉的，保留必要的最小记录，期限为相关事由终止后 3 年；

（f）支付与交易记录、积分流水、订单与权益台账：依税务与会计法规保留，自交易发生年度起 7 年；

（g）账号信息、服务器与安全日志、客服工单与申诉记录、去标识化的聚合统计、注销后的最小留痕等其他类别，其期限按《隐私政策》第 7.1 条执行，与本条同为四档口径（12 个月、24 个月、3 年、7 年）。

5.2账号注销后的处理，按数据类型分别执行：

（a）交互数据（对话、记忆、对话理解、上传的图片与语音）：注销时即从生产环境删除。该类数据不在备份范围内，不产生备份副本。已进入去标识化数据集的批次因无法回溯至该账号，不因注销而删除，按第 5.1(c) 条的期限自然到期；

（b）语音模型与音色：注销时我们调用语音服务商删除该账号的全部克隆音色，并删除本地登记；

（c）账号、绑定关系与自建伙伴：自账号主表删除。为防重复注册套取新用户赠礼、处理退款争议与配合监管，我们保留一条最小留痕记录，内容为注销编号、不可逆校验值（用于校验同一凭据是否曾注册）、掩码后的联系方式、注销时间与注销方式，不含对话内容。期限为注销后 12 个月；涉及第 5.1(e) 条风控事由的，为 3 年；

（d）签署记录：按第 5.1(d) 条保存至注销后 7 年；

（e）支付与交易记录：按第 5.1(f) 条保存。

5.3模型服务商按其商业条款的保留期处理请求数据。我们选择服务商的标准为：不以请求数据训练其通用模型、保留期尽量短的优先。

5.4语音样本：原始语音样本在 48 小时内删除（无论语音模型是否生成成功），不纳入任何备份。生成的语音模型在您删除该伙伴、账号注销，或该伙伴依第 5.5 条被闲置清理时删除，最迟不超过相应请求后 30 日。

5.5存储成本与风险控制：为控制存储成本、降低长期持有数据的风险，我们可能在账号长期不活跃时删除对话记录、伙伴人设、记忆与对话理解，并删除相关音色；账号、未被闲置回收的伙伴实例、订单与积分记录保留。如您连续 30 日未对某个自建伙伴作出任何操作（与该伙伴聊天、编辑其角色设定，均计入），我们可回收该伙伴实例并删除其关联数据（见《用户服务协议》第 7.7 条）。我们可于清理前通过应用内消息或其他方式作出提示，但不保证送达；未收到提示不影响清理的效力。12 个月与《隐私政策》第 7.1 条的最短档一致。

5.6为履行法律义务、解决争议或执行本协议所必需的最小副本，可在必要期限内保留；法律要求更长期限的，从其规定。

5.7上述期限是我们对保留上限的说明，不构成“必定于该期限届满时立即删除”的精确计时承诺；实际删除按我们的批量清理周期执行，通常在期限届满后 30 日内完成。

第6章　您的权利

6.1您有权访问、更正、删除您的交互数据，并获取其副本。行使方式见《隐私政策》第 9 条。

6.2您有权随时要求不再将您的交互数据纳入后续批次，行使方式为通过《隐私政策》第 16 条的联系方式提出，我们在核实后于下一批次生效，且不影响您继续使用本服务。对于以同意为依据的其他处理（如语音复刻、营销信息），您可随时撤回该同意，撤回不影响撤回前处理的合法性。已进入去标识化数据集的部分无法单独删除，理由见第 4.6 条。

6.3您有权反对基于合法利益的处理，或要求限制处理。

6.4由于 AI 功能依赖第 2 条的第三方传输，如您拒绝该等传输，我们将无法为您提供 AI 对话与语音功能，但您仍可使用账号管理、浏览伙伴等不依赖模型推理的功能。

6.5如您所在地法律赋予您就自动化处理提出异议或要求人工介入的权利，您可联系我们，我们将说明处理逻辑并按法律要求提供复核。

第7章　AI 输出与标识

7.1交互数据经模型处理后生成的回复（以下称“AI 输出”）由算法生成，不是真人创作，也不代表我们的观点。

7.2我们在应用内及可用范围内对 AI 输出添加标识，包括伙伴标注、对话页提示与机器可读元数据。您不得移除或篡改该等标识，也不得将 AI 输出冒充为真人创作、真实事件记录或他人陈述。

7.3依适用法律、应用商店规则及我们的平台规则，我们向您披露：您正在与人工智能系统交互，而非与自然人交互。该披露在应用内以显著方式呈现。

7.4AI 输出可能存在事实错误、前后不一致或不适当内容。您不应将其作为事实依据或专业建议。详见《用户服务协议》第 5 条。

第8章　安全与事件通知

8.1我们采取传输加密、访问控制、密钥隔离、日志审计等措施保护交互数据。

8.2如发生涉及交互数据的安全事件，我们按《隐私政策》第 8.2 条通知您与主管机关。

8.3请您勿在对话中提交密码、支付卡号、社会安全号码、护照号、病历或其他高度敏感信息。AI 对话不适合作为机密信息的传输渠道。

第9章　政府与第三方请求

9.1如收到要求披露交互数据的法律程序，我们将在法律允许的范围内审查其合法性与范围，并在允许时通知您，以便您寻求法律救济。

9.2我们不会因商业目的向第三方提供交互数据。

第10章　跨境传输

10.1交互数据在新加坡区域处理：我们的服务器、对象存储与全部语言模型调用端点均位于新加坡区域（阿里云新加坡区域，ap-southeast-1）；部分音色的语音合成在 Azure 东南亚区域处理；文本翻译使用 Azure 全球区域资源（非由世纪互联运营的 Azure 中国区）。上述处理均在中国大陆以外进行，我们不将交互数据传输至中国大陆境内的服务器或中国大陆境内的服务商处理。跨境传输机制见《隐私政策》第 6 条。

10.2关于运营者所在地：我们的运营者为位于中国的个人开发者。运营者不将交互数据下载或复制至中国大陆境内的信息系统，仅在处理您的申诉、安全事件或依法配合调查时，经访问控制与审计日志约束，从中国境内远程访问位于新加坡的管理后台。运营者内部人员自境外远程访问，不构成向该国的数据转移；在要求就远程访问作出说明的法域，我们在《隐私政策》第 6.2 条项下披露该事实。

10.3就日本、韩国等要求就境外转移单独告知并取得同意法域，我们在注册流程中告知接收方、所在国制度与拒绝方式；拒绝该等转移的法律后果见第 6.4 条。

第11章　其他

11.1本协议未约定的事项，适用《用户服务协议》与《隐私政策》。

11.2本协议自您在注册流程中确认之日起生效，与《用户服务协议》具有同等效力。

11.3本协议以英文版本为准，其他语言的译本仅为方便阅读。

11.4如您对本协议有疑问，请联系：hallo.uooda@gmail.com。