GenStudio 隐私政策

⚠ 本文为模板草稿，未经法律审阅。 生效前须由 [主体名称] 委托的法律顾问 审定；【发布日期/生效日期】待定稿时填写。

发布日期：【待定稿】

生效日期：【待定稿】

一、引言与适用范围

1.1 本《隐私政策》说明 [主体名称]（以下称「我们」）通过 GenStudio （gen.yaspost.com，以下称「本平台」）向您提供服务时，如何收集、使用、共享、 存储和保护您的个人信息，以及您就个人信息享有哪些权利、如何行使。

1.2 本政策适用于您对本平台网页、账号体系与开放 API 的全部使用。本政策与 《服务条款》《退款政策》（见页脚链接）共同构成完整约定；就个人信息处理事项， 以本政策为准。

1.3 请您在使用本服务前完整阅读本政策。您继续使用本服务，即表示您已阅读并 理解本政策所述的处理方式。

二、我们收集的信息

我们只收集为提供服务所必需的信息。具体如下：

2.1 账号信息：您注册时提供的邮箱地址、您设置的登录密码，以及在邀请制注册 下您提交的邀请码。 密码仅以不可逆的加密（哈希）形态存储，我们无法读取您的密码原文。 您还可自行设置界面语言偏好，该偏好会与您的账号一并保存，以便跨设备生效。

2.2 生成任务数据：您提交的提示词与其他生成参数、您上传的图片素材、 以及由此产生的生成产物（图片、视频等）及其任务状态、失败原因等记录。

2.3 用量与账务记录：credits 的发放、冻结、结算与过期流水，订阅状态与 周期，账单与订单记录，以及您的开放 API 调用量与配额使用情况。

2.4 凭据与安全信息：您创建的 API Key 与 webhook 端点配置，以及会话记录中的 登录时间、IP 地址与 User-Agent（浏览器与设备标识）——后三项用于识别设备、 发现异常登录与重放。两类凭据的存储形态不同，我们如实告知：

• API Key 仅以不可逆的加密（哈希）形态存储，创建时向您展示一次后， 我们无法再次向您出示其原文；
• webhook 签名密钥因签名计算的需要，以可还原的形态存储——出站通知的 HMAC 签名必须用密钥原文计算，不可逆的哈希无法用于签名。产品界面仅在创建与 轮换时向您展示一次。

2.5 日志信息：服务端在处理请求时会记录访问时间、请求路径、响应状态、 错误信息等运行日志，用于故障排查、安全审计与滥用防范。

2.6 支付信息：支付由第三方支付渠道（当前为支付宝跨境收单）处理。 我们不收集、不存储您的银行卡号、支付账户密码或其他支付凭据，仅保留订单号、 金额、币种、支付状态与支付时间等结果信息，用于账务核对。

2.7 我们不主动收集与提供服务无关的信息，也不要求您提供身份证件号码、 生物识别信息或精确地理位置。

2.8 匿名试用相关信息：当平台开放匿名试用时（该功能缺省关闭），我们会收集 设备指纹的派生哈希——它由您的 User-Agent（截断后）与您的 IP 网段派生， 经服务端密钥以 HMAC 计算为一枚定长哈希后存储。该哈希并不唯一标识某一台设备， 其用途仅限于滥用取证与试用预算归因。同时，我们会为匿名访客建立一个影子账号 （一个没有邮箱的内部账号），用于承载您在试用期间的记录；您日后注册即可认领该账号， 认领后它转为正式账号。承载访客会话身份的 gs_anon cookie 见 4.9， 上述两项的保留期限见 6.6。

三、信息的使用

3.1 提供服务：创建与维护您的账号、验证您的登录、执行您提交的生成任务、 向您交付产物、保存您的历史记录与偏好。

3.2 计费与结算：按您所选模型与规格冻结、结算 credits，出具与核对账单， 处理订阅的开通、续费与取消。

3.3 安全风控与滥用防范：识别异常登录与凭据泄漏、限制超额与自动化滥用、 维护服务的可用性与完整性。

3.4 内容审核：为遵守适用法律与平台规则，我们可能对输入内容与生成产物进行 必要的技术处理与人工复核。

3.5 服务改进：统计功能使用情况与失败率，用于定位缺陷、优化性能与调整 产品形态。用于此目的的分析以汇总或去标识化的形式进行。

3.6 通知与联系：向您发送与服务直接相关的通知（如账号验证、账单、额度到期 提醒、重要变更公示）。

3.7 依法配合监管：在法律法规要求或主管机关依法要求的范围内提供必要信息。

3.8 如需将您的个人信息用于本政策未载明的其他目的，我们会另行取得您的同意。

3.9 试用滥用防范与预算归因（当平台开放匿名试用时）：用 2.8 所述的设备指纹 派生哈希识别同一访客的重复试用、把有限的免费试用预算归因到一位访客， 并在发生滥用时留存取证依据。

四、Cookie 与终端存储告知

本平台不设 Cookie 弹窗，代之以本章节的完整告知。我们在您的浏览器中主要存放 以下几项（匿名试用相关项另见 4.9），用途均为功能必需或偏好记忆， 不用于跨站追踪：

4.1 登录态凭据（Cookie）：名称 gs_rt，存放一份用于续签登录状态的 refresh 凭据。它带有 HttpOnly 属性（页面脚本无法读取）、SameSite=Strict 属性（不随跨站请求发出），作用路径限定为 /api/v1/auth（只随该路径下的认证类 请求发送，如登录、续签与登出），并在使用 HTTPS 时带有 Secure 属性 （仅本地开发环境例外）。 它是保持登录状态的功能必需项。

4.2 短期访问令牌不落盘：用于调用接口的访问令牌只保存在页面的内存中， 经请求头发送，不写入 Cookie、不写入 localStorage、不写入 sessionStorage。 其代价是您刷新页面后需由 4.1 的凭据静默换取新的令牌。

4.3 语言偏好（Cookie）：名称 NEXT_LOCALE，存放您选择的界面语言， 作用路径为站点根路径，SameSite=Lax，有效期一年。未登录的访客也需要能切换 语言，因此该项由浏览器侧写入。它不是凭据。

4.4 主题偏好（localStorage）：键名 theme，存放您选择的浅色/深色/跟随 系统外观。它用于在页面渲染前套用您的选择，避免闪烁。

4.5 提交防重键（sessionStorage）：键名 genstudio.submit.nonce，存放一枚 随机字符串，用于在您刷新页面或重复点击时避免同一次生成任务被重复提交（并因此 被重复计费）。它随标签页关闭而消失。

4.6 一次性展示的凭据不落盘：您创建 API Key 或 webhook secret 时，其原文 只在当次页面内存中展示一次，不写入任何浏览器存储。

4.7 无第三方广告或分析 Cookie：截至本政策发布之日，本平台的页面不加载 第三方广告、社交插件或第三方分析统计脚本，因此不存在此类 Cookie。若此后引入， 我们会先修订本章节并公示。

4.8 禁用的后果：您可通过浏览器设置清除或阻止上述存储。清除或阻止 4.1 项 将导致您无法保持登录状态（每次刷新页面都需重新登录）；清除 4.3 至 4.5 项 只会使相应偏好回到默认值，或使防重保护失效；清除 4.9 项将使该浏览器无法继续 沿用原有的匿名试用会话身份。

4.9 访客会话凭据（Cookie，仅在匿名试用开放且您使用时设置）：名称 gs_anon， 存放一枚 256 位随机值，用于承载您作为匿名访客的会话身份；服务端只存该值的哈希， 以及它到 2.8 所述影子账号的映射。它带有 HttpOnly 属性（页面脚本无法读取） 与 SameSite=Strict 属性（不随跨站请求发出），有效期自建号起 30 天， 不因使用而顺延。匿名试用功能缺省关闭：未开放该功能、或您未使用匿名试用时， 您的浏览器中不存在该项。

五、信息的共享

除本章所列情形外，我们不向第三方提供您的个人信息。我们不出售您的个人信息。

5.1 上游模型服务（本服务的固有形态）：本平台自身不训练模型，生成能力由 第三方模型供应商提供。当您发起生成任务时，您的提示词、生成参数以及您上传的 图片素材会被发送给相应的上游模型供应商，以完成本次生成；产物由我们取回后 存入我们的对象存储。上游供应商包括自建节点与外部商业模型服务，具体承接本次 任务的供应商取决于您所选择的模型。上游供应商对其接收的数据适用其自身的隐私 与数据处理规则。如您不希望某项内容被发送给上游供应商，请不要将其作为输入 提交。

5.2 支付渠道：为完成收款，我们会向第三方支付渠道提供订单号、金额、币种等 交易必需信息。支付渠道对其收集的支付信息适用其自身的隐私政策。

5.3 基础设施服务商：我们使用第三方的服务器、网络与存储设施承载本服务。 此类服务商仅按我们的指示处理数据，不得为自身目的使用。

5.4 依法披露：在法律法规要求、司法或行政机关依法要求，或为保护我们及 他人的合法权益、生命财产安全所必需的情形下，我们可能披露必要信息。

5.5 主体变更：如发生合并、分立、重组或资产转让，我们会要求接收方继续 受本政策的约束，或在变更前另行取得您的同意。

六、存储与保留

6.1 存储位置与形态：您的账号信息、任务记录、用量与账务流水存储于我们的 数据库；您上传的素材与生成产物存储于我们的对象存储。产物与素材经限时有效的 签名链接向您本人展示与下载，不公开可访问。

6.2 保留期限：账号信息在您的账号存续期间保留；任务记录、用量与账务流水在 服务存续期间保留，其中账务流水因财务与合规需要按适用法律要求的期限保留； 运行日志按排查与审计所需的期限保留。

6.3 临时上传文件：您上传但未用于生成的临时文件由对象存储侧的生命周期规则 自动清除。

6.4 账号注销后的处理：账号注销采用匿名化 + 内容清除的方式，具体为：

• 您的邮箱与账号标识符被替换为不可路由、不可反查到自然人的派生值，密码被清空， 账号被停用并记录注销时间；
• 您的全部登录会话被吊销，全部 API Key 被撤销（保留撤销记录以便日后核查 「该凭据是在注销时被撤销的」），登录与授权相关的凭据记录被删除；
• 您的生成产物与持久素材从对象存储中删除，相应记录被标记为已清除； 您在平台内录入的文本内容被清空。存在异常情形（如个别对象因外部存储故障 未能清理完毕）时，由人工核查收尾——我们不声称该步骤在任何情形下都无条件 一次完成；
• 账号记录本身与账务流水不作物理删除：它们是账本与历史任务的引用目标， 删除会破坏账务的完整性。经上述匿名化后，其中保留的是金额与时间， 所对应的标识符已不能反查到您本人；
• 会话记录（含 IP 与 User-Agent）作为安全排查现场保留，按 6.2 的日志保留期限 处理。

6.5 注销是不可撤销的。注销后您无法找回账号、历史产物或未使用的 credits。

6.6 匿名试用相关记录的保留期：2.8 所述的设备指纹派生哈希保留 90 天， 由回收器清除；影子账号在90 天未被认领时匿名化回收，其指纹哈希一并清除。 您认领（注册）该账号后，它转为正式账号，按本章其余各款处理。

七、您的权利

7.1 访问与更正：您可登录后查看您的账号信息、credits 余额与冻结额度、 订阅状态与当期周期、按模型的用量合计，以及您的历史任务与产物，并自行修改 可编辑的偏好项。可查看的具体项目以平台实际展示为准。对无法自助查看或修改的 信息，可按第十一条联系我们。

7.2 删除（账号注销）：您可请求注销账号，注销的具体语义与后果见 6.4。 您可登录后在**「账号设置」（/account/settings）页面的危险操作区**自助发起注销， 该操作立即生效。若您无法登录，也可发送邮件至 support@yaspost.com 提出注销请求， 我们在核验您对该账号的控制权后于合理期限内执行。

7.3 数据导出（取用与可携带）：当前本平台不提供在线自助导出功能。 您可发送邮件至 support@yaspost.com 提出取用或导出请求，我们会在核验身份后 于合理期限内处理，并以适当的通用格式提供我们所持有的与您有关的信息。 本条不构成对任何自动化导出功能的承诺。

7.4 撤回同意：对基于您同意进行的处理，您可随时撤回同意；撤回不影响撤回前 已进行的处理。部分处理是提供服务所必需的（如登录态与账务记录），撤回相应同意 将导致您无法继续使用本服务。

7.5 拒绝营销通知：我们不向您发送与服务无关的营销邮件。与服务直接相关的 必要通知（账号安全、账单、重要变更）无法单独退订。

7.6 投诉渠道：您认为我们的处理行为侵害了您的个人信息权益，可发送邮件至 support@yaspost.com 提出，我们会在合理期限内答复。您亦有权向有管辖权的 个人信息保护监管机构投诉。

7.7 行使上述权利时，我们可能需要先核验您的身份，以避免向无权者披露您的信息。 对明显缺乏依据或重复提出的请求，我们可能说明理由后不予处理。

八、未成年人

8.1 本平台不面向未满 18 周岁者提供付费服务。 未满 18 周岁的用户应在监护人 指导下使用本服务。

8.2 如您是监护人，发现被监护人未经您的同意注册或付费，可发送邮件至 support@yaspost.com，我们会在核实后依据实际情况处理相关账号与信息。

8.3 我们不会有意收集未满 18 周岁者的个人信息；如发现此类信息且无监护人同意， 我们会在核实后删除或匿名化处理。

九、跨境与法域告知

9.1 本平台面向多语言用户提供服务（当前支持简体中文、英文、西班牙文界面）， 您的信息可能被传输至我们及我们的服务商所在的国家或地区，并在当地处理与存储。 您的输入内容还会按 5.1 被发送至上游模型供应商，该供应商可能位于其他国家 或地区。

9.2 您的个人信息由 [主体名称] 按其注册地适用的法律进行处理。

9.3 位于欧盟/欧洲经济区的用户，就其个人信息依《通用数据保护条例》（GDPR） 享有访问、更正、删除、限制处理、数据可携带与反对处理等权利，行使方式同 第七条；其中取用与可携带权的行使方式见 7.3。

十、政策变更

10.1 我们可能因法律法规变化、服务形态调整或安全需要修订本政策。修订版本自在 本平台公示之日起生效。

10.2 涉及处理目的、处理方式或共享对象的重大变更，我们会以适当方式（如站内 提示或邮件通知）提示您，并在必要时重新取得您的同意。

10.3 请您定期查阅本政策的最新版本。

十一、联系方式

11.1 如您对本政策有任何疑问、意见、投诉，或需要行使第七条所述的权利， 请发送邮件至：support@yaspost.com。

11.2 我们会在收到您的来函后于合理期限内核验并答复。