1. 保存在你设备上的数据

这些数据使用 localStorage 或 sessionStorage 保存。我们无法远程恢复它们；你可通过浏览器的“清除站点数据”删除。

• 年龄确认、男性向/女性向选择、语言、聊天尺度和模型偏好；
• 你填写的人设、自定义角色（该功能当前未开放）和聊天记录；
• 用于区分一次浏览会话的随机分析会话 ID。

2. 发送消息时处理的数据

请求包含预设角色 ID、所选尺度与模型、你主动填写的人设，以及最近最多24条非空消息。本站服务器从内置预设补全角色资料，转发给 Venice API，并在回复通过安全检查后返回。应用代码不将完整提示词或输出写入产品分析日志。服务端默认按第2a节保存该次发送或重新生成的问答；你可在聊天设置中选择不同意。

付费实时动作请求仅包含预设角色图片 URL，以及由角色、尺度和回复映射出的有限动作标签；不会包含你的消息、人物设定或 Venice 返回的回复正文。浏览器会从 Atlas Cloud 提供的临时 URL 播放生成视频。

2a. 保存后续问答用于产品改进

“帮助改进对话”默认开启。本站保存新发送或重新生成的发言、安全检查后返回的回复，以及失败请求的发言和错误类别，供有权限的黄果团队成员审阅、排查问题并改进产品。不会批量上传此前的本地历史、完整系统提示或人物资料。这不是云同步或聊天备份，也不改变聊天权益。如不同意，可在聊天设置中停止后续保存。

记录使用 AES-256-GCM 加密保存在 Railway PostgreSQL，并附带随机对话、消息与请求标识、角色、语言、模型档位、尺度、耗时和结果。登录后可关联站内用户 UUID 以支持账号删除，审阅导出默认不附带账号邮箱；正文中由你输入的信息仍可能被保存。正文不发送给 PostHog，也不用于广告。

记录保存30天后到期，届时不再供审阅读取，并通过定期清理删除。聊天设置中可停止后续保存，或停止并删除此浏览器已保存的记录；仅停止不自动删除已有记录。关联账号的记录随账号删除。设置通过签名 HttpOnly Cookie 识别，最长365天；清除浏览器数据可能丢失管理游客记录的凭证并恢复为默认保存，但已有记录仍会到期。

3. 账号、订阅、产品事件与基础设施日志

注册时，我们在 Railway 托管的 PostgreSQL 数据库中保存规范化邮箱、邮箱验证时间、scrypt 密码哈希、同意条款时间与版本和账号时间戳。密码不会以明文保存。登录时，浏览器收到 HttpOnly 会话 Cookie，数据库仅保存会话令牌的 SHA-256 哈希和到期时间。邮箱验证与密码重置的一次性令牌也只以 SHA-256 哈希保存，并记录用途、到期与使用时间。登录验证码以邮箱为键保存 HMAC 哈希、尝试次数和 10 分钟到期时间，明文验证码不入库。

使用 Stripe 时，Stripe 直接处理付款方式和结账信息；本站不接收或保存完整卡号。本站保存关联账号所需的 Stripe 客户 ID、订阅 ID、套餐、状态、当前周期结束时间、已处理事件 ID，以及当月 H3 动作用量。

年龄确认后，本站记录有限的产品事件：随机会话 ID、事件名称、页面路径、角色 ID、入口与活动来源、语言、粗略设备类别、所选尺度或方向、轮数、回复耗时，以及注册、套餐、支付和实时动作的状态。登录后，随机会话可与不含邮箱的站内用户 UUID 关联，用于分析跨会话留存。事件不包含消息正文、人设、自定义角色文本、邮箱或完整付款资料。

托管与网络基础设施可能自动处理 IP 地址、请求时间、路径、浏览器/设备信息、状态码和诊断日志，用于交付、安全、防滥用和排障。应用会用服务器密钥把 IP 地址转换为不可逆摘要，用于30天游客额度、限流和并发控制；额度表不保存原始 IP 或聊天正文。

4. 法律报告

如果你通过站内法律报告表提交材料，我们会处理你填写的姓名、邮箱、相关 URL、声明和其他内容。完整报告使用独立密钥进行 AES-256-GCM 加密后保存到 PostgreSQL；运维日志只记录回执号和报告类型。请保留回执并避免提交无关的敏感资料。

5. 用途与依据

处理依据视所在地而定，可能包括履行你请求的服务、我们的合法利益、你的同意以及法律义务。

• 按你的请求生成回复、维护本地体验和排查故障；
• 保护服务、防止滥用并执行条款；
• 创建账号、保持登录状态、处理订阅、核对权益与防止重复 webhook；
• 了解不含对话内容的功能使用情况；
• 在你未选择不同意时保存后续问答以改进产品；
• 处理版权、隐私、安全或依法提出的请求。

6. 服务商与跨境处理

作品页从 YouTube 加载公开缩略图，并在页面加载时嵌入 youtube-nocookie.com 隐私增强模式播放器。浏览器会在你点击播放之前连接 YouTube，由其处理播放器请求和相关网络信息；视频不会自动播放。

Railway 提供应用、PostgreSQL 数据库和日志基础设施；Cloudflare Email Service 接收收件邮箱、发件信息与账号安全邮件内容，用于发送登录验证码、邮箱验证和密码重置邮件，邮件不含聊天内容；Venice.ai 提供文本推理；Atlas Cloud 提供实时视频生成，并可能把角色图片 URL 与动作指令转交给底层模型提供商；Stripe 提供 Checkout、订阅、付款处理、反欺诈和 Billing Portal；PostHog 提供产品分析。产品事件经本站服务器过滤后发送给 PostHog，本站未启用 PostHog 自动采集或会话录像，也不会向其发送聊天正文、邮箱、访客 IP 或浏览器 User-Agent。各服务商的隐私与保留规则分别适用。本站不接收完整银行卡资料。Venice 的公开资料称 API 提示词与输出不被 Venice 存储，但不同底层模型可能具有不同隐私模式；本站不应把该承诺扩大为绝对保证。

这些服务商可能在你所在国家或地区以外处理数据。点击“黄果短剧”等外部链接后，对方网站适用其自身政策。

7. 保存期限

本地数据保存到你清除为止；sessionStorage 分析会话 ID 通常在标签页会话结束时删除。账号数据保存至账号删除或不再需要；登录会话最长30天。登录验证码 10 分钟到期并在过期后清理。邮箱验证与密码重置令牌30分钟到期，使用或到期后通常在约1天内清理；限流与游客额度摘要到期后清理。订阅和交易关联记录可按税务、会计、反欺诈、退款、拒付和法律义务继续保留。模型请求在生成期间临时处理。实时动作请求向 Atlas Cloud 指定生成媒体和请求记录保留1小时；本站只短期保存作业状态和临时 URL，不保存视频文件。PostHog 事件按项目设置处理；访问/错误日志和加密法律报告按安全、争议与法律需要保留，之后删除或汇总。

8. 你的选择与权利

你可停止使用、清除本地聊天、在聊天设置中停止服务端保存、避免填写人设或敏感信息，并可在发送前删除聊天上下文。登录后可在账号安全区域修改密码或永久删除账号；存在有效订阅时必须先在 Stripe Portal 取消。你也可通过本页法律报告渠道提出隐私请求。根据所在地法律，你可能有访问、更正、删除、限制、反对或投诉的权利。匿名分析标识可能无法仅凭身份定位，请提供足以核实请求的信息。

9. 成年人与安全

本站仅面向18岁以上用户，不会有意向未成年人收集资料。我们采用合理技术措施，但任何网络传输或本地存储都无法保证绝对安全。共享设备上的其他人可能读取浏览器中的聊天记录。

10. 变更与联系

政策变更时会更新本页日期。当前尚未配置公开隐私邮箱；你可使用本页底部的法律报告表提交隐私或安全请求并保存回执。该临时渠道会在正式运营联系信息上线后更新。