隐私政策

• 账号与项目数据仅用于提供服务。
• 已连接账号令牌必须使用最小权限 OAuth 或官方访问路径。
• 密钥与自带模型 Key 不得完整记录或展示。
• 第一方事件仅保存随机浏览器会话 ID、路径、来源域名、活动标签和产品操作；不保存 IP、User-Agent、邮箱、支付数据、提示词正文或密钥。
• 分析栈以隐私友好为原则，Plausible、GA4、Clarity 或 Cloudflare 分析仅在配置后启用。
• 数据控制者：Nextfield Labs LLC（运营 Shipsite.ai）。隐私与数据保护联系邮箱：hello@shipsite.ai。
• 目的与法律依据：提供服务及用户请求的 AI 处理（履行合同）；账号安全、防滥用、可靠性与有限产品分析（合法利益）；账单与税务记录（法定义务及合同）；适用地区的非必要分析或营销（同意）。
• 保留期限：账号/项目数据在提供服务所需期间保留；运维与安全日志目标在 90 天内删除或聚合；支持记录 24 个月；账单/税务记录依法定期限保存。项目持久删除会清除在线 D1/R2 数据；服务商加密备份按有限恢复周期过期，仅用于灾难恢复。
• 数据主体权利可能包括访问、更正、删除、可携带、限制、反对、撤回同意及向主管机关投诉。请联系 hello@shipsite.ai；处理前可能核验身份与权限。
• Cloudflare、Stripe、GitHub、分析服务或所选 AI 服务商可能在用户所在国家/地区之外处理数据。适用时，Shipsite 依赖可用的合同传输保障和服务商数据处理条款。
• 子处理者类别包括托管/CDN/存储（Cloudflare）、支付/税务（Stripe）、源码托管与 OAuth 集成（如 GitHub/Google）、支持/通信、已配置分析服务，以及每次运行所选 AI/模型服务商。运行遥测会记录实际服务商与授权模式。
• 模型数据出站—平台托管模式：所选服务商（包括受支持的 OpenAI/Codex、Anthropic、Google、OpenRouter 或其他已配置路由）会收到该次运行所需的指令、相关项目上下文/代码片段与附件。OpenRouter 可能路由到运行中显示的下游模型服务商。
• 模型数据出站—BYOK/连接账号模式：同类任务范围内容通过客户选择的服务商账号直接发送。Shipsite 不会有意在模型提示中发送连接密钥、支付数据或无关工作区内容。除非已签署书面 DPA 且服务商条款合适，请勿输入受监管或高度敏感数据。
• 如需 DPA、子处理者详情、隐私权请求或报告安全事件，请联系 hello@shipsite.ai。确认事件后将进行评估、遏制与记录，并在法律要求时通知受影响客户或主管机关。
• 政策状态：当前为运营合规基线，独立法律顾问审阅仍待完成；该状态不减损适用法律规定的强制权利。

联系：hello@shipsite.ai。有任何政策相关的疑问，欢迎随时来信。本页为参考译文，如有歧义以英文版为准。