隐私政策

1. 引言

XRToken.ai 平台（以下简称“本平台”或“我们”）深知个人信息对您的重要性，并高度重视您的隐私保护。本隐私政策（以下简称“本政策”）旨在向您说明我们如何收集、使用、存储、共享、转移和保护您的个人信息，以及您如何行使与个人信息相关的权利。

本政策适用于您通过 XRToken.ai 网站（xrtoken.ai 及 xrtoken.net）及其提供的全部在线服务与我们互动时所涉及的个人信息处理活动。在使用本平台服务前，请您仔细阅读并充分理解本政策的全部内容。您使用或继续使用本平台服务，即表示您同意我们按照本政策的规定处理您的个人信息。

本政策依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》《信息安全技术 个人信息安全规范》（GB/T 35273）等法律法规和国家标准制定。

2. 定义

除非本政策中另有说明，以下术语具有如下含义：

• 个人信息：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
• 敏感个人信息：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
• 个人信息处理：包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
• 匿名化：个人信息经过处理无法识别特定自然人且不能复原的过程。
• 去标识化：个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。

3. 个人信息收集

我们仅在为您提供服务所必需的范围内收集个人信息，遵循合法、正当、必要和诚信的原则。以下是我们收集的个人信息类别及具体说明：

注册信息：当您注册 XRToken.ai 账户时，我们收集您的电子邮件地址（必填）和手机号码（可选，但配合实名认证要求时为必填）。该等信息用于创建和管理您的账户、身份验证及发送服务相关通知。

身份验证信息：根据中华人民共和国相关法律法规的要求，平台可能要求用户完成实名认证。实名认证过程中，我们可能收集您的真实姓名、身份证件号码或其他法律认可的身份证明信息。该等信息仅用于满足法律法规规定的实名认证义务。

支付信息：当您购买额度或订阅服务时，支付交易通过第三方支付处理商（如 Stripe）完成。我们不直接收集或存储您的完整银行卡号、信用卡号或支付密码。我们仅从支付处理商处获取交易确认信息，包括交易金额、交易时间、支付状态及卡号后四位（用于交易记录展示）。

使用数据：在您使用本平台服务的过程中，我们自动收集以下使用数据：API 调用记录（包括调用时间、调用的模型、请求和响应的令牌数量）、请求频率和使用模式、额度消耗记录、账户登录记录（包括登录时间和登录 IP 地址）。该等数据用于服务计费、平台运维、性能优化及安全监控。

设备信息：我们自动收集您访问本平台时的设备和网络环境信息，包括但不限于：浏览器类型和版本、操作系统类型和版本、设备型号、屏幕分辨率、IP 地址、唯一设备标识符。该等信息用于服务优化、安全防护和异常行为检测。

Cookie 及类似技术：我们使用 Cookie 及类似技术收集的信息详见本政策第 8 条“Cookie 与类似技术”。

3a. 人脸信息处理

在您使用本平台视频生成等需要真人形象合成的服务时，平台可能要求您提供人脸图像或视频（以下简称“人脸信息”）。人脸信息属于《中华人民共和国个人信息保护法》定义的敏感个人信息，我们将依法对其进行严格保护。

我们仅在获得您的单独明示同意后才会处理您的人脸信息，且处理目的仅限于为您生成您所请求的视频内容。人脸信息在生成任务完成后将从本平台系统中删除，不作任何其他用途，包括不用于训练 AI 模型、不向第三方出售或共享（向 AI 模型服务提供商传输所必要的数据除外）。您有权随时撤回对人脸信息处理的同意，撤回后平台将停止处理并删除相关数据。

本平台使用火山引擎（字节跳动旗下）提供的视频生成服务处理人脸信息，该服务受其自身隐私规则约束。详情请参阅 火山引擎个人信息处理规则 ↗

4. 个人信息使用

我们严格依照法律法规的规定，并基于以下合法基础和特定目的使用所收集的个人信息：

• 提供和维护服务：处理您的 API 请求，将请求路由至相应的 AI 模型提供商，返回生成结果。这是我们与您之间服务合同的核心履行内容。
• 账户管理：创建、管理和维护您的账户，处理账户相关操作，包括登录验证、密码重置、API 密钥管理等。
• 计费与支付：计算和处理您的 API 调用费用，管理额度余额，处理充值和退款事务，生成账单和消费记录。
• 客户支持：响应您的咨询、投诉和技术支持请求，排查服务问题，提供解决方案。
• 安全保障：监控平台安全状况，检测和防范欺诈行为、恶意攻击、滥用行为和其他安全威胁，保护您的账户安全和平台系统安全。
• 服务优化：分析使用数据和模式（以匿名化或去标识化的方式），用于改进平台性能、优化用户体验、开发新功能和服务。
• 法律合规：遵守适用法律法规的要求，包括但不限于实名认证、内容安全审查、数据安全管理、税务申报等。
• 通知与沟通：向您发送重要的服务通知，包括但不限于服务变更通知、安全提醒、条款更新通知、账单提醒等。此类通知为服务运营所必需，无法退订。

我们不会将您的个人信息用于上述目的以外的任何用途。如果我们需要将您的个人信息用于新的目的，我们将事先征求您的单独同意（法律法规另有规定的除外）。

特别说明：本平台作为 API 中转网关，不存储、不缓存、不记录您的输入内容（prompt）和模型输出内容（completion）。您的对话、文本、图片、视频等内容在请求转发完成后即从本平台系统中清除，不会在我们的服务器上留存。我们不会使用您的内容训练 AI 模型或用于任何与服务提供无关的目的。我们仅记录必要的元数据（调用时间、模型名称、令牌消耗量等）用于计费和服务质量监控。

5. 个人信息共享与披露

我们不会出售您的个人信息。我们仅在以下情形下向特定的第三方共享您的个人信息：

• AI 模型提供商：为完成 API 请求路由，我们需要将您的请求内容（包括提示词和相关参数）传递至对应的 AI 模型提供商（如 DeepSeek、OpenAI、Google、字节跳动等）。我们仅传递服务所必需的信息，不会向模型提供商传递您的账户信息或个人身份信息。
• 支付处理商：为处理支付交易，您的支付信息将直接由第三方支付处理商（如 Stripe）收集和处理。我们仅从支付处理商获取交易确认信息。
• 数据分析服务商：我们可能使用第三方数据分析工具（采用匿名化或去标识化的数据）来帮助我们分析平台使用情况和改进服务。此类分析不涉及可识别您个人身份的信息。
• 法律合规与执法：在以下情形下，我们可能依法披露您的个人信息：（1）应国家有关机关的要求，为履行法定义务所必需；（2）为响应法院传票、司法裁定或其他法律程序所必需；（3）为保护本平台、其他用户或公众的合法权益所合理必要。
• 企业交易：在涉及合并、收购、资产出售、业务重组或类似交易的情况下，您的个人信息可能作为交易资产的一部分被转移。在此种情况下，我们将确保接收方继续遵守本政策或提供同等水平的保护，并将在转移前通知您。

除上述情形外，我们不会在未获得您单独同意的情况下向任何第三方共享或披露您的个人信息。

6. 个人信息存储

根据中华人民共和国相关法律法规的要求，在中国境内收集和产生的用户个人信息存储于中国境内的服务器。我们不会将中国境内用户的个人信息传输至中国境外，除非取得您的单独同意并完成法律法规要求的安全评估、个人信息保护影响评估等程序。

我们按照以下标准确定个人信息的存储期限：

• 账户信息：在您的账户有效期内持续存储。账户注销后，我们将在三十（30）日内删除或匿名化处理您的账户信息，法律法规要求继续保留的除外。
• 身份验证信息：在您的账户有效期内持续存储。根据实名认证相关法律法规的要求，可能需要在账户注销后继续保留一定期限。
• 交易记录：根据《中华人民共和国税收征收管理法》等法律法规的要求，交易记录和财务凭证至少保留五（5）年。
• API 调用日志：通常保留九十（90）日，用于计费核对和技术排障。超过保留期限的日志将被自动删除或匿名化处理。
• 设备信息和访问日志：根据《中华人民共和国网络安全法》的要求，网络日志至少保留六（6）个月。

超出上述存储期限后，我们将对您的个人信息进行删除或匿名化处理。在技术上无法立即删除的情况下，我们将停止对相关个人信息的任何处理活动（依法配合执法机关要求的除外），并采取合理的安全措施对其进行隔离存储，直至可以删除为止。

7. 个人信息安全

我们采取多层次的技术和管理措施保护您的个人信息安全，防止信息的未经授权访问、泄露、篡改或丢失。具体措施包括但不限于：

• 传输加密：所有数据传输均采用 TLS（传输层安全协议）加密，确保数据在传输过程中的保密性和完整性。
• 存储加密：敏感个人信息（如密码哈希值、身份验证信息等）采用行业标准的加密算法进行加密存储。
• 访问控制：实行严格的访问权限管理制度，仅授权的工作人员在履行工作职责所必需的范围内访问个人信息。所有访问行为均有日志记录和审计追踪。
• 安全审查：定期进行安全风险评估和漏洞扫描，及时修复发现的安全隐患。

我们已制定个人信息安全事件应急响应预案。在发生或可能发生个人信息泄露、篡改或丢失等安全事件时，我们将立即启动应急预案，采取合理措施降低对您的影响，并按照法律法规的要求及时向有关主管部门报告。

如发生影响您权益的个人信息安全事件，我们将通过平台通知、电子邮件或其他合理方式及时告知您事件的基本情况、可能的影响、我们已采取或将要采取的处置措施，以及您可以自主防范和降低风险的建议。

尽管我们采取了上述安全措施，但请您理解，由于互联网的开放性和技术的局限性，任何安全措施都无法做到万无一失。我们将持续改进安全技术和管理措施，以尽可能保障您的个人信息安全。

8. Cookie 与类似技术

我们使用 Cookie 及类似技术来提供、保护和改进本平台的服务。Cookie 是由网站服务器发送到用户浏览器并存储在用户设备上的小型数据文件。我们使用以下类别的 Cookie：

• 必要性 Cookie：用于实现用户身份验证、会话管理、安全防护等基本功能。此类 Cookie 为平台正常运行所必需，无法关闭。
• 功能性 Cookie：用于记录您的偏好设置（如语言选择、主题偏好等），以便提供更加个性化的服务体验。
• 分析性 Cookie：用于收集匿名化的使用数据，帮助我们了解平台的使用情况并优化服务。您可以通过浏览器设置选择禁用此类 Cookie。

大多数浏览器默认接受 Cookie，但您可以通过修改浏览器设置来管理或删除 Cookie。请注意，如果您禁用必要性 Cookie，可能无法正常使用本平台的全部功能。有关如何管理 Cookie 的详细信息，请参阅您所使用的浏览器的帮助文档。

9. 未成年人信息保护

本平台的服务主要面向成年人。我们不会故意收集未满十四（14）周岁的儿童的个人信息。如果我们发现在未获得可确认的监护人同意的情况下收集了儿童的个人信息，我们将采取措施尽快删除相关信息。

对于已满十四周岁但未满十八周岁的未成年人，在使用本平台服务前应取得监护人的同意。我们将按照法律法规的要求，对未成年人的个人信息给予特别保护，包括但不限于限制个人信息的收集范围、加强访问控制措施等。如您是未成年人的监护人，发现被监护人未经您同意向本平台提供了个人信息，请联系我们，我们将及时处理。

10. 用户权利

根据中华人民共和国相关法律法规，您对您的个人信息享有以下权利：

• 知情权和决定权：您有权了解我们对您个人信息的处理活动，并有权对个人信息的处理作出决定。
• 查阅权：您有权查阅我们持有的您的个人信息。您可以通过账户设置页面查看大部分个人信息，也可以通过本政策所列的联系方式向我们提出查阅请求。
• 更正权：当您发现我们持有的个人信息不准确或不完整时，您有权要求我们进行更正或补充。
• 删除权：在以下情形中，您有权要求我们删除您的个人信息：（1）处理目的已实现、无法实现或不再为实现目的所必需；（2）我们停止提供服务或服务期限届满；（3）您撤回同意的；（4）我们违反法律法规或与您的约定处理个人信息的。
• 撤回同意权：对于基于您的同意而进行的个人信息处理活动，您有权随时撤回同意。撤回同意不影响撤回前基于同意所进行的个人信息处理活动的效力。
• 账户注销权：您有权随时注销您的平台账户。账户注销后，我们将停止为您提供服务，并按照本政策的规定删除或匿名化处理您的个人信息。
• 投诉举报权：如果您认为我们的个人信息处理活动侵害了您的合法权益，您有权向网信部门或其他有权机关进行投诉举报。

如需行使上述权利，请发送邮件至 hi@xrtoken.ai。我们将在验证您的身份后，于十五（15）个工作日内对您的请求进行处理和答复。在某些情况下，基于法律法规的要求或为保护他人合法权益，我们可能无法完全满足您的请求，届时我们将向您说明原因。

11. 跨境数据传输

原则上，在中国境内收集和产生的个人信息存储于中国境内，不进行跨境传输。但在以下情形下，可能涉及个人信息的跨境传输：当您使用本平台调用境外 AI 模型提供商（如 OpenAI、Google 等）的服务时，您的 API 请求内容（不包含您的个人身份信息）可能被传输至境外进行处理。

对于确需跨境传输的个人信息，我们将严格遵守《中华人民共和国个人信息保护法》等法律法规的规定，在取得您的单独同意后，按照国家网信部门的规定进行安全评估或通过个人信息保护认证，采取合同约束等必要措施确保境外接收方提供与本政策同等水平的保护。您有权了解个人信息跨境传输的具体情况，如需了解详情，请联系我们。

12. 政策更新

我们可能根据业务发展、技术变化或法律法规的调整不时更新本政策。对于重大变更（包括但不限于个人信息处理目的或方式的变更、共享或转让的第三方的变更、用户权利及行使方式的变更等），我们将在变更生效前通过平台公告、站内通知或向您注册的电子邮件地址发送通知等方式，以显著方式告知您。

重大变更生效后，您继续使用本平台服务即视为您已同意修订后的政策。如果您不同意修订后的政策，您应立即停止使用本平台服务。我们建议您定期查看本政策以了解最新的隐私保护措施。本政策的历史版本将在平台上存档以供查阅。

13. 联系方式

如您对本隐私政策有任何疑问、意见或建议，或需要行使您的个人信息权利，请通过以下方式联系我们：

电子邮件：hi@xrtoken.ai

我们将在收到您的请求后十五（15）个工作日内进行回复。如果您对我们的回复不满意，您有权向网信部门或其他有权监管机关进行投诉。