隐私政策（Privacy Policy）
本文档为草案，最终条款以正式发布版为准。 最近修订：2026-08-12
LinguoLand（"本服务"）由**潮州市湘桥区语岛信息技术工作室（个体工商户）**运营。本政策说明我们在你使用手机 App、浏览器扩展、本网站时收集了什么数据、如何使用、如何保护，以及你对这些数据有什么控制权。
如果你不同意本政策，请不要使用本服务。
1. 数据收集概览
LinguoLand 收集最少必要数据以提供你正在使用的功能。具体如下：
| 类别 | 是否收集 | 说明 |
|---|---|---|
| 账户标识（手机号） | 是 | 注册与登录所需 |
| 学习行为（查词、生词本、进度） | 是 | 跨设备同步与个性化 |
| 你导入的文档原文 | 保留云端副本（≤50 MB） | 仅用于你自己的多设备同步，我们不系统性读取其内容；你主动提交给查词、翻译等功能的少量文本按 2.2 处理，详见 2.3 |
| 文档元数据（标题、作者、SHA-256 哈希、章节目录） | 是 | 用于跨设备识别同一本书 |
| 翻译 / 查词请求的当前文本 | 是 | 必须发往大模型才能处理；少量请求可能经去标识化后用于内部质量评测，详见 2.2 与第 4 节 |
| 充值订单信息（金额、订单号） | 是（仅充值时） | 由支付宝处理支付，我们不接触你的银行卡号 |
| 广告/硬件标识（IDFA、IMEI 等） | 否 | 不做广告归因 |
| 随机安装标识 | 是 | App 生成随机 UUID，用于创建游客会话、迁移到正式账户与防止配额滥用；它不是 IDFA、IMEI 或硬件序列号 |
| 精确地理位置 | 否 | |
| 相机、相册 | 仅在你主动更换头像时 | 用于拍摄或选择头像；不使用该功能则不申请相应权限 |
| 通讯录、麦克风 | 否 | 不申请这些权限 |
2. 我们收集什么
2.1 账户信息
- 手机号：作为账户标识，用于接收登录验证码、发送必要的服务通知。本服务不设密码，用一次性短信验证码登录
- 昵称、头像（可选）：你主动填写的展示信息
2.2 学习行为数据
- 生词本：你查询过的词、对应的熟练度（unknown / learning / mastered）、最近一次查询时间
- 阅读进度：你正在读的书、当前位置、阅读时长统计
- AI 调用与质量样本：记录调用次数和配额消耗；为持续改进查词、翻译和句子解析质量，少量相关请求及 AI 返回结果可能经去标识化和必要过滤后抽样留存，用于内部效果评测与回归测试
- 质量样本边界：样本不包含账号、手机号、IP、设备标识等直接身份信息；达到设定数量后即停止采集，并按实际评测需要定期筛除或删除
2.3 你导入的文档
- 云端副本：导入时会为这本书在云端保留一份副本（含封面），用于多设备同步——换设备后书架里的书能直接打开，不必重新选一次文件。超过 50 MB 的文件不留副本，只存在本机
- 只有你能取回：副本存放在非公开位置，无法通过公开链接访问。只有书架里持有该书的账号才能拿到一个短时效授权链接取回
- 我们不读取整份文档：云端副本不会被系统性读取或分析，唯一去向是回传到你自己的设备。你主动使用查词、翻译或句子解析功能时，当次提交的少量文本按 2.2 与第 4 节处理
- 唯一的例外：你主动报障时。当你反馈「某本书打不开 / 导入失败」这类问题，而我们无法用公开书籍复现时，工程师可能取用你报障的那一本，仅用于复现和修复该故障；修复后即删除取用的副本，不作他用、不留存、不用于训练。除此之外没有任何人会取用你的副本
- 按内容去重：副本以内容指纹（SHA-256）标识，同一份文件全平台只留一份。若其他用户导入了完全相同的文件，这份副本由你们共用
- 删除：在书架删除条目会清除你的元数据与关联；由于上述去重机制，副本本身可能因其他用户仍持有相同文件而保留。需要彻底清除某份文件请联系我们（见第 12 节）
2.4 设备与会话信息
- 随机安装标识：App 首次运行时生成一个随机 UUID 并保存在 App 本地，用于识别同一安装、创建游客会话、在你登录后迁移游客学习状态，以及防止配额滥用。它不读取 IDFA、IMEI、MAC 地址或硬件序列号
- 设备型号、操作系统、App 版本：用于排查兼容性问题
- 失败诊断信息：当出现「书打不开」「导入失败」这类功能失败时，App 会随失败记录回传一小段运行日志（不超过 4 KB），内容是程序自身的运行步骤、耗时与报错。它可能包含文件名、文件大小等文档元数据（这些在上表中已列为收集项），不包含文档正文。除下一项所述的限时定向诊断外，仅在失败发生时上报，成功使用时不上报
- 用户报障后的限时定向诊断：当你主动反馈一个难以稳定复现的问题、常规失败记录不足以定位时，我们可能仅为你的账户、仅针对该问题开启一个有明确期限的结构化诊断开关。它记录固定的技术状态（例如手势方向、页面边界数值、前后章节索引、App / 系统版本）以及相关文档的内部条目编号 / 内容指纹（只用于区分同一本书）和少量成功尝试作为对照，不上传文档正文、书名、选区文字、手机号或原始 console 日志。开关最长 14 天后自动失效，记录最长保留 14 天；定位完成后可提前停用
- 登录会话 token：在 iOS Keychain / Android Keystore / 浏览器扩展的 chrome.storage 加密存储，token 失效后自动清除
2.5 我们明确不收集的
- 你的身份证号、银行卡号（充值时由支付宝处理支付，我们只拿到订单状态，不接触你的卡号）
- 你访问的未触发查词的网页内容（扩展端只在你点词时才发送当前句到服务器）
3. 我们如何使用这些数据
| 用途 | 涉及数据 |
|---|---|
| 提供查词 / 翻译 / 同步等核心功能 | 账户、学习行为、当次请求的文本 |
| 跨设备同步学习状态 | 账户、学习行为 |
| 处理充值与配额 | 账户、订单信息、调用次数 |
| 服务质量改进与模型效果评测 | 设备、版本、调用频次，以及去标识化的少量请求样本与 AI 返回结果 |
| 处理你主动反馈的疑难故障 | 限时结构化诊断状态、设备与版本 |
| 必要的安全 / 合规事件响应 | 账户、登录日志 |
我们不会：
- 把你的数据卖给任何第三方
- 用于精准广告投放
- 将质量样本用于广告，或用于训练、微调第三方通用 AI 模型
4. 第三方服务
LinguoLand 在提供服务时调用以下第三方，仅在功能必需时发送最小数据：
4.1 大语言模型（AI 翻译 / 解析）
- 当前接入：阿里云百炼（AI 解析、查词/查句与降级服务）、火山方舟（双语段落翻译主通道）、DeepSeek 开放平台（双语段落翻译降级通道）。具体模型会因质量、稳定性和成本调整，以产品内公示为准
- 发送内容：你当次请求要翻译 / 解析的单段文本（不含账户标识、不含历史记录）
- 内部评测：少量当次请求与返回结果可能在服务端完成去标识化和必要过滤后，进入有数量上限的内部质量样本池；该样本池只用于比较模型、提示词和解析规则的效果，不会额外发送给无关第三方
- 第三方政策：DeepSeek 隐私政策、DeepSeek 开放平台服务条款、阿里云隐私政策、火山引擎隐私政策
4.2 云端存储 / 计算
- 服务商：阿里云（轻量应用服务器 + RDS PostgreSQL + OSS）
- 存储区域：中国大陆
- 存储内容：账户信息、学习行为、文档元数据、≤50 MB 导入文档的非公开同步副本，以及第 2.2 节所述的少量去标识化质量样本
4.3 短信发送
- 服务商：阿里云短信服务
- 发送内容：登录 / 注册验证码
4.4 支付
- 服务商：支付宝（蚂蚁科技），用于 Android 端充值
- 发送内容：订单金额、订单号；支付在支付宝侧完成，我们不接触你的银行卡 / 支付宝账户密码
4.5 应用分发
- Apple App Store：iOS 分发渠道，受 Apple 隐私政策约束
- 崩溃日志：暂不接入第三方崩溃统计
5. 数据存储与安全
- 传输层加密：所有 App / 扩展与服务器之间的通信走 HTTPS / TLS 1.2+
- 静态加密：数据库 / OSS 启用阿里云提供的静态加密
- 登录凭证：用一次性短信验证码登录，不设密码；会话走 JWT，refresh token 服务端只存指纹
- 访问控制：仅必要工程师拥有生产环境访问权；所有访问留日志
- 物理安全：托管在阿里云数据中心
6. 数据保留与删除
- 账户数据：在你使用本服务期间持续保留
- 随机安装标识与游客身份：本地随机安装标识保留至你清除 App 数据或卸载 App；与之关联的云端游客身份按账户数据管理，你也可以按第 12 节联系我们删除
- 内部质量样本：仅在持续用于质量基准和回归评测期间保留；达到设定数量后停止采集，不再需要的样本会定期筛除或删除
- 学习行为数据：与账户同生命周期
- 服务日志：默认保留 30 天，超期自动清除
- 限时定向诊断记录：最长保留 14 天，超期自动清除
- 注销账户：你可以通过 App 内"我 → 账户 → 注销账户"申请注销。账户注销后，我们会在 30 天内删除你的所有可识别数据（法律法规要求保留的部分除外）
7. 你的权利
依照适用法律，你享有：
- 访问权：查看我们持有你哪些数据
- 更正权：修正不准确的信息
- 删除权：要求删除你的数据
- 导出权：导出你的学习数据为机器可读格式（词库可一键导出 JSON，亦可申请个人只读 API key 取用）
- 撤回同意权：随时撤回你之前给出的同意
行使以上权利请按本政策第 11 节联系我们，我们在 15 个工作日内响应。
8. 儿童隐私
LinguoLand 不面向不满 14 周岁的未成年人。我们不主动向不满 14 周岁的未成年人提供注册和付费服务。如果我们意外收集到儿童个人信息，会在确认后立即删除。如果你是父母或监护人，发现孩子在未经允许的情况下使用了本服务，请按第 12 节联系我们删除。
9. Cookie 与本地存储
- 浏览器扩展：使用
chrome.storage.local/chrome.storage.sync存储登录 token、本地偏好。不使用第三方追踪 cookie - 本网站（文档 / 介绍页）：仅使用必要的会话 cookie，不接入广告 / 分析跟踪
- 手机 App：使用系统级加密（Keychain / Keystore）存储 token；阅读器资源缓存到 App 沙盒目录
10. 跨境数据传输
如果你所在地区的法律对跨境数据传输有特殊要求（如 GDPR、CCPA），我们将依照适用法律执行。当前数据存储在中国大陆。
11. 政策更新
本政策可能因服务演进、法律变化而调整。重大变化我们会通过 App 内通知提前告知，并在本页面显示新的"最近修订"日期。如果你不接受新政策，请停止使用并按第 12 节申请数据删除。
12. 联系我们
如对本政策有任何疑问、行使你的数据权利、或举报数据滥用，请通过以下方式联系：
- 个人信息处理者：潮州市湘桥区语岛信息技术工作室（个体工商户）
- App 内反馈：手机端 → 我 → 反馈
- 邮箱：support@linguoland.com
- 响应时间：工作日 48 小时内