隐私政策

本页为便于阅读提供的中文译本。具有约束力的版本为英文版；两者如有出入，以英文版为准。

本政策说明 Limns 如何处理与你有关的信息。Limns由一位独立开发者运营，这位开发者即为对这些数据负责的人（即「数据控制者」）。以下所有事项都由他本人决定并答复，联系方式为 support@limns.cc。

你的对话与图片存放在哪里

我们会在你的账户下保存一份你的历史记录。你的会话、消息、提示词与生成的图片都存放在我们的服务器上，同时也保留在你的浏览器中——这让界面即时响应，并且在离线时仍可使用。每次打开应用时，两边会自动同步。

我们保存这份副本，是为了让你在另一台设备上登录时历史记录仍在，也为了让这台设备忘记它时历史记录仍在——浏览器会自行清除数据：Safari 会在七天无访问后删除站点在本地存储的一切。在我们保存副本之前，离开一周回来就是一个空账户。

由此带来的、值得你了解的几点：

• 你的历史记录存放在我们的系统上，运营者在技术上可以访问。我们不会出售它，也不会用它训练任何模型；我们也不会阅读它——除非是某条举报或模型服务商的通知所涉及的内容，我们需要查看才能复核（见我们如何审核内容），或是法律要求我们这样做。
• 「设置 → 数据 → 清除数据」会同时删除两边的副本，连同你的文件一并永久删除。删除单个会话同样会在两边删除。「设置 → 数据」中也可以把全部内容导出为一个 JSON 文件。
• 单独清除浏览器数据不再会丢失任何东西：下次登录时，账户中的副本会重新同步下来。

文件保存在你的账户下——既包括你在消息中上传的图片或 PDF，也包括模型为你生成的图片。每个文件都只有上传或生成它的那个账户才能读取。我们会一直保存它，直到你删除它所属的会话、在发送前移除该文件，或在「设置 → 数据」中清除数据。未订阅付费方案的账户，其生成的图片还会在生成满 90 天后被删除；需要保留的请及时下载。会员方案结束后，我们还会再等 30 天才对该方案期内的文件适用这条规则。每个方案都附带一定的存储额度，可在「设置 → 数据」中查看。

关于生成的图片，有一点值得在你分享之前知道：部分服务商会在文件中写入来源元数据，标明它由其模型生成。我们既不添加也不移除，因此它会随你下载到的图片一同保留。普通照片的元数据在另一个方向上也一样——你上传的图片会保留相机或手机在其中记录的一切，包括位置信息，我们同样不会替你清除。

发送一条消息与保存一条消息是两回事：为了给你答复，消息必须被传输给你所选择的模型服务商。这一点在下文说明。

我们收集什么

• 对话与图片。你的会话及其中的消息、你写下的提示词，以及模型为你生成的图片——如上文所述，保存在你的账户名下，以便你换一台设备时它们仍在。我们不会出售它们，也不会用它们训练任何模型，只在上文所述的情形下才会阅读。
• 账号。你的邮箱地址；如果你设置过，或它们来自 Google、GitHub 登录，还包括你的姓名与头像。这些由我们的身份认证服务商 Clerk 保存，同时保存的还有你的密码（经哈希处理）以及登录到你账号的设备与会话列表。
• 用量记录。每一次计费请求一条记录：由哪个模型作答、消耗了多少输入与输出 token、执行了多少次联网搜索或生成了多少张图、花费多少、发生在什么时候。这些记录不含任何提示词或回复的正文——只有构成账单的那些数字。
• 文件。你在消息中上传的图片与 PDF，以及为你生成的图片，保存在你的账户名下，以便你的会话能够显示它们，附件也能随对话的其余部分一同再次发送。我们保存文件本身、它的类型与大小。除你本人、你发送给它的模型，以及为你生成的图片在显示前要经过的自动审核之外，没有任何人会读取——上文所述的举报复核除外。
• 支付。你的订单号、购买的内容（一笔充值，或一个月的会员）、金额、币种、状态，以及 Waffo 的流水号。我们从不接收也不存储你的卡号；支付详情由 Waffo 自行保管。
• 技术数据。来自为本站提供服务的 Cloudflare 的常规服务器与网络日志：IP 地址、User-Agent、请求内容及其发生时间。

我们不运行任何分析、广告或追踪脚本。本站没有 Google Analytics、没有广告像素，也没有任何第三方会话录制工具。我们不出售个人数据，也不会把你的内容用于广告。

我们用它做什么，以及为什么

• 为了提供你所请求的服务——把你的请求发送给你选择的模型服务商，并返回它的回答。法律依据：履行我们与你之间的合同。
• 为了运行积分与支付，并保留法律要求的会计与税务记录。法律依据：合同，以及法定义务。
• 为了让服务保持可用与安全：速率限制、防滥用与防欺诈、故障排查。法律依据：我们在「服务稳定且不被滥用」方面的正当利益。
• 为了依据可接受使用规则自动审核图像请求——提示词在生成之前、每张图片在显示之前（见我们如何审核内容）。法律依据：我们在「服务不被用来伤害他人」方面的正当利益。
• 为了依据可接受使用规则复核被举报的内容，或模型服务商告知我们违反其政策的内容，并向有关机构举报儿童性虐待材料。法律依据：我们在「服务不被用来伤害他人」方面的正当利益；在法律要求举报的情形下，则为法定义务。
• 为了在你写信给我们时作出答复。法律依据：合同，以及正当利益。

我们不会用你的提示词、文件或生成的图片来训练模型，除了回答眼前这次请求所必需的那个服务商，以及图像请求所经过的 OpenAI 审核模型之外，也不会把它们发送到任何其他地方——儿童性虐待材料除外，它会被发送给受理举报的有关机构。

不作用户画像，也不对你作自动化决策。我们不会为你建立画像，本服务中也没有任何环节会对你作出具有法律效果或类似重大影响的自动化决定。其中自动执行的部分是算术与限额——按你的余额为一次请求定价、施加速率限制——以及对图像请求的内容审核，它拒绝的是一条提示词或一张图片，从不针对账号。账号被暂停或关闭，是由人来决定的。

还有谁会处理这些数据

以下是代表我们处理数据的全部第三方，以及各自获得的内容：

• Clerk——身份认证。保存你的账号身份、凭据与会话。
• Cloudflare——托管、数据库、文件存储、邮件，以及你的请求所经由的 AI 网关。Cloudflare AI Gateway 位于我们与模型服务商之间，视其日志设置而定，它可能在有限期限内保留请求及其回答的内容以用于可观测性。
• 模型服务商——OpenAI、Anthropic、Google、DeepSeek 与 Black Forest Labs，为直连。你选中的那一家会收到你的消息、随消息上传的文件，以及该对话此前的轮次，因为这是作答所必需的。如果你开启了联网搜索或链接读取，你的查询与网页地址会发送给该服务商运行的搜索工具。OpenAI、Anthropic 与 DeepSeek 还会收到一个代表你账号的代码——一个单向哈希值，而不是你的姓名、邮箱地址或账号 ID——这样服务商若发现某个请求违反其规则，可以只针对这一个账号处理，而不是整个服务。图像请求的提示词，以及为它生成的每张图片，还会发送给 OpenAI 的审核模型进行检查，无论由哪家服务商生成。回复生成文件时，模型写的代码会在服务商托管的沙盒中运行，这段对话之前生成的文件也会放进去。Anthropic 的沙盒最长保留 30 天，方便后续消息接着处理；OpenAI 的沙盒在最后一次使用 20 分钟后结束，删除对话时也会结束。回复生成的每个文件都会复制到你的账户，服务商那边的副本随即删除。此后这些数据将由各服务商依其自身条款处理，而非依我们的条款。
• 本清单由程序生成，取自应用所用的同一份模型目录，因此新增模型会自动更新这里。模型列表列出了每一个模型及其提供方。
• Waffo Pancake——所有付款的记录商家。我们会把你账号的邮箱地址（用于在结账页预先填好）和一个内部账号 ID（用于把这笔付款记到你的账号上）发给它。你的支付与账单信息由它直接收取；我们只收到订单结果（订单号与付款流水号、金额、币种、状态）。

搜索结果旁显示的站点图标，由我们自己的服务器从 Google 的公开 favicon 服务获取，因此你的浏览器从不与它通信，你的地址也不会被透露给它。

跨境传输

本服务不存在「数据只留在一个国家」的版本。你的账号、会话与文件保存在 Cloudflare 的网络上，数据库与文件存储位于亚太区；你的身份记录由 Clerk 保存；而为你作答的模型，就列表中的绝大多数而言，由位于美国的公司运营。因此，使用 Limns意味着你的请求每一次都会跨境传输，包括传输到你所在国家之外。

以下按法律要求逐项列明：境外接收方即上文「还有谁会处理这些数据」中列出的各方，其各自接收的内容也在该节写明；处理目的是运行本服务并回答你发出的那次请求；涉及的个人信息种类为你的消息及随附文件、你的账号身份，以及构成账单的用量与支付记录。各接收方此后依其自身的隐私条款处理，而非依我们的条款；就上述全部内容，你都可以向我们行使下文所列的各项权利，联系方式为 support@limns.cc。

如果你身处中国大陆，这种出境传输就是服务本身的运作方式，而不是额外的附加动作：不向境外发送的请求无法得到回答，因为列表中没有任何模型运行在中国境内。注册并发送消息，即为你就此单独作出的同意，独立于本页的其他内容；你可以随时在「设置 → 资料」中注销账号以撤回该同意——但无法在继续使用本服务的同时撤回，因为离开它就无法为你作答。就欧洲地区的数据而言，在法律要求具备传输机制的场合（例如欧盟的标准合同条款），我们依赖各服务商已经建立的机制。

Cookie 与浏览器存储

我们只使用运行本服务所严格必需的部分。没有广告或分析 Cookie，因此也没有需要你点掉的同意横幅。

• 会话 Cookie，由 Clerk 设置，用于保持你的登录状态。删除它们会让你退出登录。
• 语言 cookie（limns_lang），记住你以中文还是英文阅读本站。之所以用 cookie 而非浏览器存储，是因为页面由服务器渲染，服务器必须在写下第一个字之前就知道该用哪种语言。
• Local storage 与 IndexedDB，保存你的会话与图片在本设备上的那份副本、你的主题、强调色与语言选择、输入框中工具与面板的状态，以及积分余额和你的姓名、邮箱地址、头像的缓存，好让侧边栏能立刻显示出来。在设置 → 数据中清除数据会一并删除它们。

我们保存多久

• 你的账号：在账号存续期间一直保存。在「设置 → 资料」中注销账号，会删除你的对话、生成的图片与文件，然后删除身份记录本身。只有下面所说的支付记录会留存。
• 积分与支付记录——你的订单，以及「设置 → 明细」中每次请求一条的那些记录——自该笔付款所在年度结束起保存六年，这是会计与税务规定所要求的期限，期满即不再保存。它们会比已注销的账号存续得更久，因为正是这些记录能够证明你被收取了多少费用；其中不含任何提示词或回复正文，只有模型 id、token 计数与价格。除此之外，注销账号不会留下任何东西。
• 会话与消息：直到你删除它们，或在「设置 → 数据」中清除数据。删除会同时移除我们的副本和浏览器中的副本。
• 生成的图片：同上；但未订阅付费方案的账户，其生成的图片会在生成满 90 天后被删除——且会员结束后的 30 天内也不会删除。
• 回复生成的文件：与生成的图片相同。
• 附件：直到你删除它们所在的会话，或在「设置 → 数据」中清除数据为止。不会有任何机制替你让它们自动过期。
• 服务器日志：按我们的基础设施服务商所采用的较短保留期限保存。

安全

流量通过 HTTPS 传输，凭据由身份认证服务商保管而非由我们保管，支付详情从不进入我们的系统，对生产数据库与文件存储的访问仅限运营者本人。你的历史记录存放在你的账户名下，且只向该账户提供：每一次读取都会带上归属账户，因此来自其他账户的 id 什么也查不到。没有任何服务能承诺绝对安全。

万一真的出了问题，且某次泄露确实危及你的数据，我们会告知你——直接发邮件，不等你来问——并说明发生了什么、波及了哪些内容、你该做什么，同时向法律要求我们通报的监管机构通报。本服务由一位开发者运营，因此没有需要层层上报的事件流程，也没有理由拖上几天。

你的权利

视你所在地区而定，你可能有权访问我们持有的与你有关的个人数据，并要求更正、删除、导出，反对或限制处理，以及撤回同意。在欧盟与英国，依据是 GDPR；在中国大陆，依据是《个人信息保护法》；在加利福尼亚州，依据是 CCPA/CPRA，其中还包括不因行使权利而受到差别对待的权利。

其中很多事你可以自己完成：「设置 → 资料」可以修改账号，也可以注销账号，「设置 → 数据」可以导出你的历史记录，并连同你的文件一起，在我们的系统和本浏览器中一并清除。其他事项请写信至 support@limns.cc，我们会在 2 个工作日内答复，并在一个月内办结——这是法律规定的期限。此事不收取任何费用，我们也不会要求你说明理由。

请使用账号绑定的邮箱来信。若你使用其他邮箱来信，我们在交付任何内容之前须先核实该账号确属于你——这不是为了刁难，而是因为「把你们掌握的关于此人的一切发给我」这句话，恰恰也是冒名者会写的。核实到足以确认为止，我们不会索取多余的材料。你也有权向当地的数据保护监管机构投诉；在欧盟或英国，可以向你所居住国家的机构投诉。

儿童

Limns 不面向儿童。使用需年满 13 周岁，你所在地法律规定更高年龄的从其规定——欧盟部分成员国为 16 周岁，中国大陆不满 14 周岁的须经监护人同意——购买任何内容则需年满 18 周岁。我们不会在知情的情况下收集儿童的个人数据，除账号自行填报的信息之外，我们也没有其他核验年龄的手段。如果你认为有儿童创建了账号，请写信告知我们，我们会连同其中的全部内容一并删除。

变更

我们可能更新本政策。页面顶部的日期即为最近一次变更的时间；实质性变更会在生效前通过应用内通知或电子邮件告知。

联系方式

请写信至 support@limns.cc——它会直接送达运营 Limns的那位开发者，并在 2 个工作日内得到答复。另可参阅我们的服务条款、退款政策与联系页面。