AI 服務與資料處理協議

第1章　定義與範圍

1.1「互動資料」指您在使用 AI 功能時產生或提交的內容，包括文字訊息、語音輸入、您傳送的圖片，以及為維持上下文而附帶的歷史對話片段與夥伴記憶。互動資料不包括您的帳號資料、登入憑證、付款紀錄與裝置識別碼。

1.2「模型服務商」指為我們提供大型語言模型推理、語音辨識、語音合成、音色複刻、圖像理解等能力的技術服務商。

1.3「去識別化」指移除或替換直接與間接識別碼，使資料無法在不借助額外資訊的情況下關聯至特定個人，且我們不保留可用於重新關聯的對應關係。具體措施見第 4.3 條。

1.4本協議規範互動資料在 AI 功能中的傳輸、處理、保留與服務改進使用。個人資料處理的一般規則適用《隱私政策》。

1.5本協議適用於文字聊天、群聊、語音輸入、訊息朗讀、圖片辨識、翻譯、即時語音通話，以及自建夥伴與語音複刻中涉及模型推理的部分。

1.6本協議中的「夥伴」「自建夥伴」「積分」「積分配額」「永久積分」「積分加量包」「30 日通行證」「訂閱中心」「語音複刻」等用語，與《服務條款》第 1.8 條的含義相同。

第2章　服務所必需的第三方處理

2.1我們的 AI 能力透過第三方模型服務商的介面實現。為產生回覆與進行內容安全檢核，互動資料須傳輸至該等服務商處理。內容安全檢核是產生回覆的必要環節，與推理在同一處理流程內完成、由同一服務商在同一區域處理，不構成獨立的處理目的，也不額外擴大傳輸的資料類別。這是 AI 功能的技術前提，無法在不傳輸的情況下提供。

2.2當前主要模型服務商及其用途。我們對每一項模型與語音能力均使用其位於新加坡區域（或中國大陸以外區域）的服務端點，不向中國大陸境內的伺服器發起呼叫，亦不委託中國大陸境內的服務商處理互動資料。下列為截至本協議生效日的主要服務商，完整清單（含各服務商的處理用途、所在區域與保留期間）以《子處理者清單》頁面為準；該頁面與本協議同步維護，二者不一致時以該頁面為準：

(a)阿里雲百煉（Model Studio，即 DashScope，新加坡區域）：通義千問（Qwen）系列大型語言模型推論（文字對話、群聊、夥伴決策）、語音辨識（ASR）、語音合成（TTS）、即時語音互動、音色複刻。處理內容：對話文字及上下文、語音音訊、待合成文字、語音樣本。

(b)DeepSeek 系列模型：該模型係由深度求索（DeepSeek）開發的開源模型，但我們並非透過深度求索的官方介面呼叫，而是透過阿里雲百煉（新加坡區域）的模型託管服務（MaaS）取得推論能力。呼叫端點為新加坡區域的模型服務位址，算力與推論於新加坡區域完成；深度求索作為模型開發者，不因該等呼叫而接收您的互動資料，我們亦不向其伺服器傳輸資料。用途：文字對話、群聊決策、回覆生成前的內容安全檢核。處理內容：對話文字及上下文。

(c)Microsoft Azure：AI Speech（東南亞／新加坡區域）用於部分音色的語音合成，處理內容為待合成文字；AI Translator（全球區域資源，非由世紀互聯營運的 Azure 中國區）用於文字翻譯，處理內容為待翻譯文字。

(d)阿里雲（新加坡區域）：承載上述呼叫的雲端基礎設施與資料儲存（雲端伺服器、物件儲存、備份）。處理內容：帳號資料、對話記錄、媒體檔案、備份。

(e)阿里雲百煉（新加坡區域）視覺理解模型（Qwen-VL）：辨識您傳送的圖片內容。處理內容：您上傳的圖片及提示文字。

(f)上述服務商均不在中國大陸境內處理互動資料。如未來確需新增位於中國大陸境內的處理者，我們將於實施前更新本協議並取得您的單獨同意，您有權拒絕而不影響其他功能的使用。

2.3我們可能新增、更換或減少模型服務商。發生變更時，我們將在生效前至少 30 日更新《子處理者清單》與《隱私政策》第 5.2 條，並透過應用程式內通知告知您；該等更新不構成對本協議正文的修訂。如變更涉及新增處理目的、擴大處理範圍，或新增位於中國大陸境內或其他新國家/地區的處理者，我們將另行徵得您的同意。

2.3.1模型與推理引擎的升級：我們會持續升級或替換底層模型、推理引擎與語音、圖像引擎，包括同一服務商的模型版本迭代、更換服務商、或改用自託管推理。該等升級不改變本協議項下的處理目的、資料類別與保護標準；不因此擴大傳輸的資料範圍，也不改變第 5 條與第 10 條的保留期與處理地點。如升級導致處理方式發生實質變化（新增資料類別、新的處理地點、新的保留期或新的使用目的），我們按第 2.3 條更新清單並依法另行取得同意。

2.4我們與模型服務商簽署資料處理條款，要求其：僅為我們的指示處理互動資料；不將資料用於訓練其通用模型（以商業條款約定為準）；採取適當的安全措施；並在服務終止後刪除或返還資料。

2.5傳輸前的最小化：我們僅傳輸生成回覆與內容安全驗證所必需的內容，不隨請求發送您的電子郵件、帳號 ID、付款資訊或裝置識別碼。為降低關聯風險，我們在請求中使用臨時工作階段識別碼而非帳號識別碼。用於服務改進的資料同樣遵循此原則，見第四章。

2.6部分功能對會員等級有最低要求，具體門檻與等級設定以應用程式內展示為準，並可按《使用者服務協議》第 8.17 條調整。等級未達到時，相應請求不會發出，我們也不會收集該等功能所需的樣本。

第3章　資料流向與處理夥伴

3.1您是互動資料的產生者。我們就互動資料作為資料控制者（GDPR）或企業（CCPA）決定處理目的與方式。

3.2模型服務商就互動資料作為我們的處理者（processor）或服務提供者（service provider），僅按我們的指示處理。

3.3處理鏈路：您的裝置 → 我們的伺服器（新加坡）→ 模型服務商介面 → 返回結果 → 我們的伺服器 → 您的裝置。我們在伺服器端保留對話記錄，用於歷史展示與上下文記憶。

3.4語音鏈路：語音輸入在我們伺服器完成格式轉換後傳輸至語音辨識服務；辨識出的文字再進入對話鏈路。語音合成僅處理待朗讀的文字，不涉及您的聲紋。音色複刻另需您個別同意，見《夥伴建立與語音複刻協議》（UD-VRC-01）。

3.5計費鏈路：為計算積分消耗，我們於伺服器端記錄每次 AI 呼叫的事件類型、時間戳記與消耗積分。該記錄不含對話正文，僅作為帳單憑據保存（見《隱私政策》第 7.1(e) 條）。

第4章　服務改進與去識別化使用

4.1我們會在去識別化處理後使用您的互動資料改進本服務。改進範圍限於：（a）回覆品質與上下文理解；（b）安全過濾與內容風控的準確率；（c）提示策略與對話流程；（d）語音辨識與語音合成的準確度；（e）翻譯品質；（f）故障重現與效能最佳化。

4.2使用界線：上述資料僅用於本服務，不用於開發與本服務無關的其他產品，不向第三方提供用於其模型訓練，不用於廣告定向投放、個人資料出售或信用評估，也不用於對您作出評價、評分或分類，或對您產生法律效果及類似重大影響的自動化決策。我們不使用夥伴在與您對話中形成的對話理解訓練模型。未達本服務法定成年年齡的樣本不納入上述資料集；我們在獲知後即從待處理批次中移除。

4.3去識別化的具體措施。我們同時採取結構性（資料形態）與內容性（文字）兩類措施，兩者缺一不可：

(a)結構性措施：用於改進的資料集不寫入您的帳號識別碼、登入憑證、裝置識別碼、IP 位址、精確地理位置與精確時間戳記。每一批資料僅包含對話文字、該對話所屬夥伴或群組的編號（編號本身不含帳號資訊）、以及年月（不精確至日與時）。由您建立的夥伴，不寫入建立者識別碼；資料檔案的命名與索引亦不含帳號識別碼。

(b)內容性措施：對文字中出現的直接識別碼，以佔位標記取代或移除。涵蓋範圍按類別分組，並隨服務地區的增減而更新，不限於下列示例：

1) 聯絡類：電話號碼（含國際格式與各服務地區的本地書寫格式，如含括號、短橫線、空格的形態）、電子郵件、收貨與居住地址（含門牌號與街名，不限語言與文字系統）、郵遞區號；

2) 證件類：各國身分證、居民登記號、社會保障號、稅號、護照號、駕照號，以及各法域常見的證號（如韓國居民登記號、新加坡 NRIC/FIN、日本個人番號、中國臺灣地區身分證號、中國香港身分證號、馬來西亞 MyKad、墨西哥 CURP/RFC）；

3) 金融類：銀行卡號（含以空格或短橫分隔的書寫形態）、國際銀行帳號（IBAN）、加密錢包地址；

4) 身分與線上識別類：您向我們提供的姓名以及在對話中自報的姓名、使用者名稱、社群平臺帳號與主頁連結、網址；

5) 裝置類：裝置識別碼（IMEI、MAC 位址、裝置 UUID）。

處理原則為「寧可多替換」：誤替換只損失少量語料，漏替換則可能造成不可逆的識別風險。為兼顧語料可用性，對易與訂單編號、金額、日期的純數字串相混淆的類別（如證件號、銀行卡號），我們以「上下文詞 + 格式校驗」兩項條件同時滿足才替換。我們維護一份可查覈的內部規則清單，並按季度自查其涵蓋情況。

(c)準識別碼抑制：對於職業、所在城市、年齡段、興趣等可能與其他資訊結合而重新識別到個人的欄位，我們作泛化處理——職業歸入大類，不保留具體職位、單位與僱主；地點一般不精確於城市以下，人口規模較小的城市進一步歸併至省級或國家層級，城市國家只保留國家；年齡以區間表示，不使用精確出生日期；興趣以受控詞表歸一，未命中詞表的自由文字不保留，單筆紀錄的興趣項數量設有上限；對樣本量過小的細分組合（如同一職業大類、同一城市、同一年齡檔的樣本數量過少），不予保留或將城市歸併至更高層級。

(d)不可回溯：去識別化後的資料與原始資料分開儲存，我們不保留可用於反向關聯的對應表，也不以人工或自動方式嘗試將上述資料重新關聯至任何特定個人。

4.4關於去識別化資料的性質：我們實施上述措施的目的，是使資料無法識別到特定個人。但各法域對「去識別化資料」是否仍屬個人資料的認定不同，因此我們不主張該等資料必然不屬於個人資料；無論法律如何認定，我們均按個人資料的標準保護該等資料。

4.5使用依據與拒絕：本條項下的使用構成本服務的一部分，其依據為提供與改進本服務所必需之處理，不需要您另行作出同意，亦不構成您對第二章所述第三方傳輸之授權（第二章之依據見第 2.1 條）。營運者不以您是否接受本條項下之使用作為提供服務之條件。如您不希望自己的互動資料被納入後續批次，可透過《隱私政策》第 16 條之聯絡方式提出，營運者於核實後於下一批次生效；該選擇不影響您繼續使用本服務。

4.6停止納入的後果與技術限制：您提出後，營運者停止將該帳號的互動資料納入後續批次。但去識別化後之資料已不與您的帳號關聯，營運者無法從既有批次中定位並單獨刪除屬於您的部分；已完成之模型改進亦無法回溯撤銷。此點營運者如實告知，不作「可完整刪除」之承諾。

4.7與第二章的區別：為生成回覆而向模型服務商傳輸資料（第二章）是 AI 功能的技術前提，不屬於本條的改進性使用。如您拒絕該等傳輸，營運者無法提供 AI 對話與語音功能（見第 6.4 條）。

4.8營運者目前不自行訓練基礎模型，上述使用限於對提示策略、回覆品質、安全過濾與語音、翻譯效果的優化。如未來進行基礎模型訓練，營運者將另行取得您的同意，並於本協議中說明資料範圍與措施。

第5章　保留與刪除

5.1營運者按資料的用途分層保留，各層期限不同。下列期限自相應事件發生之日起算：

(a)生產環境（新加坡伺服器）：互動資料在帳號存續期間保留，用於展示歷史記錄與維持上下文。您刪除單條會話或與某夥伴的對話後，營運者於 30 日內從生產環境刪除該部分；

(b)日常備份（新加坡物件儲存，加密儲存）：僅含帳號、綁定關係、訂單、積分與權益帳冊、訂閱、優惠券及營運設定，不含對話正文與記憶。備份按三檔輪換：近 30 日內每日一份、其後 12 個月內每月一份、其後 7 年內每年一份，超出部分自動清除。因此對話內容不產生備份副本；帳冊類資料在刪除後，最長約 30 日內隨日備份消失、12 個月內隨月備份消失、7 年內隨年備份消失；

(c)去識別化資料集（新加坡物件儲存）：依第四章生成，按批次保存，期限為生成之日起 24 個月，期滿刪除；

(d)簽署記錄（同意證據）：您每次簽署協議，營運者保存一筆記錄，含簽署時間、帳號識別碼、聯絡方式、您當時所見協議原文的快照與防竄改校驗值。該記錄用於證明營運者已依法取得您的同意，期限為帳號註銷後 7 年；

(e)風險控制與爭議處理檔案：涉及詐欺、盜刷、拒付、退款爭議、濫用或申訴的，保留必要的最小記錄，期限為相關事由終止後 3 年；

(f)支付與交易記錄、積分流水、訂單與權益臺帳：依稅務與會計法規保留，自交易發生年度起 7 年；

(g)帳號資訊、伺服器與安全日誌、客服工單與申訴記錄、去識別化的彙總統計、註銷後的最小留痕等其他類別，其期限依《隱私政策》第 7.1 條執行，與本條同為四級距（12 個月、24 個月、3 年、7 年）。

5.2帳號註銷後的處理，依資料類型分別執行：

(a)互動資料（對話、記憶、對話理解、上傳的圖片與語音）：註銷時即從生產環境刪除。此類資料不在備份範圍內，不產生備份副本。已進入去識別化資料集的批次因無法回溯至該帳號，不因註銷而刪除，依第 5.1(c) 條的期限自然到期；

(b)語音模型與音色：註銷時營運者呼叫語音服務商刪除該帳號的全部複刻音色，並刪除本機登記；

(c)帳號、綁定關係與自建夥伴：自帳號主表刪除。為防重複註冊套取新用戶贈禮、處理退款爭議與配合監管，營運者保留一筆最小留痕記錄，內容為註銷編號、不可逆校驗值（用於校驗同一憑據是否曾註冊）、遮罩後的聯絡方式、註銷時間與註銷方式，不含對話內容。期限為註銷後 12 個月；涉及第 5.1(e) 條風險控制事由的，為 3 年；

(d)簽署記錄：依第 5.1(d) 條保存至註銷後 7 年；

(e)支付與交易記錄：依第 5.1(f) 條保存。

5.3模型服務商依其商業條款的保留期處理請求資料。營運者選擇服務商的標準為：不以請求資料訓練其通用模型、保留期儘量短者優先。

5.4語音樣本：原始語音樣本在 48 小時內刪除（無論語音模型是否生成成功），不納入任何備份。生成的語音模型在您刪除該夥伴、帳號註銷，或該夥伴依第 5.5 條被閒置清理時刪除，最遲不超過相應請求後 30 日。

5.5儲存成本與風險控制：為控制儲存成本、降低長期持有資料的風險，我們可能在帳號長期不活躍時刪除對話記錄、夥伴人設、記憶與對話理解，並刪除相關音色；帳號、未被閒置回收的夥伴實例、訂單與積分記錄則予保留。如您連續 30 日未對某個自建夥伴作出任何操作（與該夥伴聊天、編輯其角色設定，均計入），我們可回收該夥伴實例並刪除其關聯資料（見《用戶服務協議》第 7.7 條）。我們可於清理前透過應用程式內訊息或其他方式作出提示，但不保證送達；未收到提示不影響清理之效力。12 個月與《隱私政策》第 7.1 條之最短檔一致。

5.6為履行法律義務、解決爭議或執行本協議所必需之最小副本，得於必要期限內保留；法律要求更長期限者，從其規定。

5.7上述期限係我們對保留上限之說明，不構成「必定於該期限屆滿時立即刪除」之精確計時承諾；實際刪除依我們的批次清理週期執行，通常在期限屆滿後 30 日內完成。

第6章　您的權利

6.1您有權存取、更正、刪除您的互動資料，並取得其副本。行使方式見《隱私政策》第 9 條。

6.2您有權隨時要求不再將您的互動資料納入後續批次，行使方式為透過《隱私政策》第 16 條之聯絡方式提出，我們於核實後在下一批次生效，且不影響您繼續使用本服務。對於以同意為依據之其他處理（如語音複刻、行銷訊息），您可隨時撤回該同意，撤回不影響撤回前處理之合法性。已進入去識別化資料集之部分無法單獨刪除，理由見第 4.6 條。

6.3您有權反對基於合法利益之處理，或要求限制處理。

6.4由於 AI 功能依賴第 2 條之第三方傳輸，如您拒絕該等傳輸，我們將無法為您提供 AI 對話與語音功能，但您仍可使用帳號管理、瀏覽夥伴等不依賴模型推理之功能。

6.5如您所在地法律賦予您就自動化處理提出異議或要求人工介入之權利，您可聯絡我們，我們將說明處理邏輯並依法律要求提供複核。

第7章　AI 輸出與標識

7.1經模型處理互動資料後生成之回覆（以下稱「AI 輸出」）由演算法生成，並非真人創作，亦不代表我們的觀點。

7.2我們在應用程式內及可用範圍內對 AI 輸出新增標識，包括夥伴標註、對話頁提示與機器可讀中繼資料。您不得移除或篡改該等標識，也不得將 AI 輸出冒充為真人創作、真實事件紀錄或他人陳述。

7.3依適用法律、應用程式商店規則及我們的平臺規則，我們向您揭露：您正在與人工智慧系統互動，而非與自然人互動。該揭露於應用程式內以顯著方式呈現。

7.4AI 輸出可能存在事實錯誤、前後不一致或不適當內容。您不應將其作為事實依據或專業建議。詳見《使用者服務條款》第 5 條。

第8章　安全與事件通知

8.1我們採取傳輸加密、存取控制、金鑰隔離、日誌稽覈等措施保護互動資料。

8.2如發生涉及互動資料的安全事件，我們依《隱私政策》第 8.2 條通知您與主管機關。

8.3請您勿在對話中提交密碼、支付卡號、社會安全號碼、護照號碼、病歷或其他高度敏感資訊。AI 對話不適合作為機密資訊的傳輸管道。

第9章　政府與第三方請求

9.1如收到要求揭露互動資料的法律程序，我們將在法律允許的範圍內審查其合法性與範圍，並於允許時通知您，以便您尋求法律救濟。

9.2我們不會因商業目的向第三方提供互動資料。

第10章　跨境傳輸

10.1互動資料在新加坡區域處理：我們的伺服器、物件儲存與全部語言模型呼叫端點均位於新加坡區域（阿里雲新加坡區域，ap-southeast-1）；部分音色的語音合成在 Azure 東南亞區域處理；文字翻譯使用 Azure 全球區域資源（非由世紀互聯營運的 Azure 中國區）。上述處理均在中國大陸以外進行，我們不將互動資料傳輸至中國大陸境內的伺服器或中國大陸境內的服務商處理。跨境傳輸機制見《隱私政策》第 6 條。

10.2關於營運者所在地：我們的營運者為位於中國的個人開發者。營運者不將互動資料下載或複製至中國大陸境內的資訊系統，僅在處理您的申訴、安全事件或依法配合調查時，經存取控制與稽覈日誌約束，自中國境內遠端存取位於新加坡的管理後臺。營運者內部人員自境外遠端存取，不構成向該國的資料轉移；在要求就遠端存取作出說明的法域，我們在《隱私政策》第 6.2 條項下揭露該事實。

10.3就日本、韓國等要求就境外轉移單獨告知並取得同意的法域，我們在註冊流程中告知接收方、所在國制度與拒絕方式；拒絕該等轉移的法律後果見第 6.4 條。

第11章　其他

11.1本協議未約定的事項，適用《服務條款》與《隱私政策》。

11.2本協議自您在註冊流程中確認之日起生效，與《服務條款》具有同等效力。

11.3本協議以英文版本為準，其他語言的譯本僅為方便閱讀。

11.4如您對本協議有疑問，請聯絡：hallo.uooda@gmail.com。