隐私政策

模型端点：提问与回复发往管理员配置的模型服务。一次提问里工具结果过多、快撑满模型的上下文时，会把较早的工具结果再发给同一个模型整理成工作笔记（这次整理不会作为一条对话保存）。

联网检索：检索词发往管理员配置的搜索代理。启用知识库提问而本轮没有检索到资料（或整库附上但与问题无关，见第 ④ 条）时，默认也会自动联网检索一次（可在知识库页关闭）。

MCP 工具：工具参数发往管理员配置的 MCP 服务。

知识库：导入的文本切块后保存在本项目服务器，由本站自建的模型服务（阿里云香港，Qwen3 嵌入 / 重排）向量化；提问时，检索词与几条候选片段也发给它重排，不经过第三方。界面上只有你本人能查看和使用，同一账号在任何浏览器登录都能看到；只在你删除时移除，不做定期清理。知识库进入本站加密异机备份，删除后历史备份快照按保留策略到期清理。导入 Office 或 PDF 文件时，原件先按第 ⑨ 条上传：docx / xlsx / pptx 由本站服务器直接抽取文字，其余格式（旧版 Office、OpenDocument、epub、PDF）交给第 ⑫ 条的自建文档服务转换；入库成功后原件随即删除，其余情况按第 ⑨ 条保存，直到你在「设置 → 数据」删除，进入知识库的只有抽出的文字。在对话里启用知识库提问时，检索到的片段会连同所启用知识库的文档清单（文档名、入库状态、本次命中的段数，不含正文）随本轮提问发给第 ① 条的模型端点，并随这轮对话一起保存在服务端（同第 ⑥ 条）。没有检索到片段时，也会把这份文档清单发给模型，让它知道知识库已启用；所启用的知识库内容很少时（合计默认不超过 8,000 字）不做检索，整库正文随本轮提问发出，保存与查看方式同上（检索词仍发给自建模型服务，用来判断问题与知识库是否相关）。管理员查看对话时只看得到用到了哪些文档，看不到片段本身（回答里引用到的内容属于回答，同第 ⑥ 条可查看）。

账号与全局配置：账号、会话与配置保存在本项目服务器。

对话：提问与回复经本项目服务器转发，并保存在服务端 —— 管理员可查看；调用了工具的回答，还会记下用到的工具名和模型写的步骤说明（不含工具参数与结果）。

推荐下一个问题（可在「设置 → 对话参数」关闭）：每轮回答完成后，会把最近两轮内容再发一次给「建议模型」端点，用来生成 3 条推荐问题；这次请求同样经服务端转发并在服务端留存（后台标为「建议：推荐下一个问题」）。

产出物图片：模型或工具给出的图片链接由浏览器直接取回本机（不带任何本站凭据），目标地址来自工具输出 —— 也就是为你产出这份文件的那个第三方服务会看到你的 IP 与这次取回；界面上「未保存到本机」的产出物会标出它来自哪个主机。

上传的附件：选中的文件上传后由本站保存（单个文件最多 100 MB，其中图片 20 MB、音视频 100 MB；单次最多 8 个、合计 200 MB；每用户上限 2 GB；管理员可以调低），长期保存，直到你删除（不做定期清理）；界面「设置 → 数据」里可以看到并随时删除它们（单个删除或一键全部删除）。文本附件的内容会随提问发给模型端点（图片则交给视觉模型；音视频与压缩包的内容不发给模型，只附一行文件说明；压缩包可以由模型按第 ⑯ 条放进沙盒解压处理）—— 也就是附件内容同样属于上面第 ① 与第 ⑥ 条例外。

项目、对话、助手、偏好与创作记录随账号同步（见第 ⑳ 条；知识库见第 ④ 条，技能保存在服务器上）；附件与产出物在本机的副本、工具授权记忆仍只在这台浏览器里。删除对话会从同步数据里一起删掉（所有设备），但不会删除第 ⑥ 条服务端保存的那一份对话记录。

绘画（文生图 / 图生图 / 改图 / 图像增强）：你要画图、模型调用了画图工具时，画面描述会经本项目服务器转发给管理员配置的绘画模型端点，由它生成图片。图生图、对话里的改图与图像增强还会把你选的原图（或它缩小后的副本）一并发过去：原图先按第 ⑨ 条由本站保存，再由服务器连同修改要求发给该端点；管理员为改图配置了多个模型时，同一张原图会同时发给其中每一个。生成的图片由服务器取回、保存在本项目服务器（与第 ⑨ 条同一套保留期），浏览器再从本站取回本机；只有服务器没取到时才保留服务商给的原始链接，由浏览器直接取回（与第 ⑧ 条同一件事）。后台的出图记录只有模型与张数，不含画面描述和图片。该端点是否启用内容过滤，取决于你在「设置 → 绘画能力」选的是哪条通路（两条通路各自的过滤开关由管理员配置，默认都过滤；自由创作需管理员为你的账号开通）。管理员没配任何绘画通路时，这件事改由管理员声明为「作图」用途的 MCP 服务承担 —— 那一份属于第 ③ 条。

PPT 创作（/ppt 页）：你写的标题与正文会经本项目服务器转发给管理员配置的PPT 生成服务，由它生成演示文稿；正文与模板选择会保存在服务端（ppt_jobs 表，为的是「关掉页面再回来还找得到它」与历史列表），管理员可查看。下载得到的 pptx / pdf 保存在本项目服务器（与第 ⑨ 条同一套保留期与空间配额），浏览器再带鉴权取回本机。⚠️ 页面上给你的在线编辑器预览是对方站点的页面，以嵌入方式显示 —— 打开它时你直接连到那家服务（与第 ⑧ 条同一类：它会看到你的 IP）。管理员没声明「PPT 创作」用途的服务时，这一页整块用不了（会如实说明，不会静默改道）。

文档转换（附件识别、Word / PDF 导出与缩略图）：上传的 PDF、旧版 Office（doc / xls / ppt）、rtf、OpenDocument（odt / ods / odp）与 epub，以及你导出为 Word / PDF 的对话内容，都交给本项目自建的 ONLYOFFICE 文档服务处理。它运行在本项目单独租用的一台服务器上（阿里云香港，与第 ④ 条的模型服务同一台），主站服务器经加密隧道把文件交给它、再取回结果，不发往任何第三方服务。解锁加密 PDF 时，你输入的密码只在本项目自己的服务器上用这一次，去掉密码后即弃，不保存，也不发往第三方。也就是说：导出 Word / PDF 时对话内容会发到服务器生成文件再下载回本机（Markdown 与图片导出仍然全程在浏览器里完成）。转换的中间结果只留在文档服务的缓存里，24 小时后自动删除、不进备份；识别出的文字随附件保存（与第 ⑨ 条同一套保留期）。导出不会嵌入任何外部图片（图片保留为链接）；选「带水印」时，水印是你的用户名与日期，由服务器生成。管理员能看到导出记录（格式与大小，不含标题和正文）。资料库与产出物面板里 Office / PDF 文件的第一页缩略图也由它生成：服务器上的文件，缩略图存在原件旁边、随原件一起删除（与第 ⑨ 条同一套保留期）；只在本机的产出物，会把文件发到服务器渲染一次，除上面说的 24 小时转换缓存外不留存。回答较长时，系统会自动把这条回答发到本站服务器生成 Word 文件（由主站服务器直接生成、不经过文档服务，服务器不保存；可在「设置 → 对话参数」关闭），生成的文件只保存在你的浏览器里；PDF 在你点击下载时才由文档服务转换，中间结果 24 小时后删除、不进备份。

扫描件与图片的文字识别（每次上传自己选；可在「设置 → 数据」设为默认勾选或关闭）：只有在附件卡片上勾选「识别」的文件才会外发 —— 勾选的图片、文档中的图片、PDF 或扫描件先按第 ⑨ 条由本站保存，之后由服务器发送到阿里云文档智能（杭州）处理；不勾选不外发，有文字层的 PDF 只抽取文字时也不外发。识别出的文字保存在原件旁，随原件的保留期到期清除、可在「设置 → 数据」手动删除，管理员可查看；原件与文字均进入本站加密异机备份；在本站删除不立即移除历史备份快照，快照按保留策略到期清理。阿里云侧的识别结果保留约 24 小时，临时上传文件按阿里云策略清理，本站不能替你即时删除。任务账本只存任务号、状态与页数、不含文件名或正文，保留 62 天以便对账。PDF 按全文页数计额（只识别其中图片与图表时也一样），图片与文档中的图片每张计 1 页；额度在「设置 → 数据」展示，失败退回，在本站排队时取消也退回，已提交给阿里云后不退。图表数值可能有误，请核对原件。

文档处理（/doc 页）：文本比对在浏览器里完成（纯文本文件不上传；Office / PDF 先按第 ⑨ 条上传，由第 ⑫ 条的文档服务抽出文字）。格式转换、导出图片、加水印、解除密码与 PDF 合并 / 拆分 / 提取 / 旋转这些批处理：文件先按第 ⑨ 条由本站保存，再交给第 ⑫ 条的自建文档服务或服务器本身处理，不发往第三方；结果文件保存在本项目服务器（与第 ⑨ 条同一套保留期与空间配额）；任务记录只有工具、选项、页数与状态（不含文件内容，也不含密码），保留 62 天供历史列表与对账，管理员可查看；解除密码时输入的密码只在服务器内存里用一次、不落盘。PDF / 图片转 Word、Excel，图片转 PDF，扫描件转 Word / Excel 与 PDF 转图片走阿里云文档智能（杭州）的高保真转换：每批开始前列出要扣的页数、逐批征得你同意后，才由服务器把这批文件发往阿里云；按页计额，额度与第 ⑬ 条的识别额度分开、在页面上展示；阿里云侧的转换结果约 24 小时后清除。在线预览 / 编辑 / Word 修订比对：编辑器页面由本站文档服务（docs.tazka.net）加载进浏览器，文件由文档服务从本项目服务器取用；保存出来的新版本存在本项目服务器（同第 ⑨ 条保留期），并自动另存一份到这台浏览器的资料库。「AI 概括改了什么」只在你点按钮时才把改动的那几行（不含没改的正文）发给「建议模型」端点，这次请求经服务端转发并留存（后台标为「建议：文档变更摘要」）。

首页访客对话（未登录时首页上的对话卡片，管理员开启后才可用）：你在那里输入的问题会经本项目服务器转发给管理员指定的访客模型（访客不能选；默认 Venice 的 GLM 4.7 Flash，带内容过滤），只做文字对话，不联网、不调用工具、不收附件；问题与回复保存在服务端，管理员可查看（同第 ⑥ 条）。为了限领限流，服务器会记录领取访客身份时的 IP 地址与浏览器标识（User-Agent）以及积分用量；浏览器里只存一个随机令牌（服务器只存它的哈希）。访客身份到期后 1 天内删除，访客对话与第 ⑥ 条同一套保留期。

沙盒（代码与命令）：模型调用沙盒工具时，它写的代码和命令，以及你让它处理的附件及技能附带文件，会经本项目服务器发往阿里云函数计算云沙箱（中国香港），在一台只给这个对话用的隔离机器里运行；这个对话空闲 60 分钟后（没有新的提问和回答，也没有再用沙盒），这台机器连同里面的文件一起销毁，不进备份。沙盒默认可以访问互联网（管理员可以设为断网），所以在里面运行的代码能把它拿到的内容发到任意公网地址；本站拦截了内网地址、云服务器元数据地址和本站自己的服务器。代码、命令和运行结果作为对话的一部分保存在服务端（第 ⑥ 条），管理员可查看；沙盒里生成的文件只有导出时才按第 ⑨ 条由本站保存。

远程主机（SSH）：你让模型连接自己的服务器时，命令由本站的 SSH 网关（阿里云中国香港，固定 IP 47.82.121.34）发往你的服务器。命令和输出会发给第 ① 条的模型端点，并作为对话的一部分保存在服务端（第 ⑥ 条）—— 管理员可查看，输出里可能有你服务器上的敏感信息。登录凭据只在单独的表单里填写，不进对话，也不发给模型。密码只用这一次，不保存；私钥和本站为你生成的专用密钥加密保存在本项目服务器，只有网关能解密，你删除这台主机时随之删除。加密后的凭据进入本站加密异机备份，删除后，历史备份快照按保留策略到期清理。需要 sudo 密码时，也只在审批卡或单独的对话框里填写，不进对话、不发给模型、不保存：它经网关只交给这一条命令；勾选「本次连接内记住」时只留在网关的内存里，断开连接或空闲 10 分钟即丢。读写服务器上的文件时（读取、写入、上传、下载），读到的文件内容同样发给第 ① 条的模型端点并随对话保存（第 ⑥ 条）；你让模型上传的本站文件（第 ⑨ 条的附件或产出物）会经网关传到你选的服务器；从服务器下载的文件由本站保存，与第 ⑨ 条同一套保留期与空间配额。覆盖服务器上已有的文件之前，会在同一目录留一份备份。写入前审批卡上的差异预览会把服务器上现有的内容取到你的浏览器里显示，不发给模型、不保存。审计日志只记每条命令或文件操作的时间、主机别名、级别、退出码（文件操作记字节数）和一个无法还原出命令或路径的指纹，不记命令原文、文件路径和文件内容，管理员可查看。

视频生成（「创作 → 绘图 → 视频生成」，C 通道）：你选的首帧图片会先在浏览器里裁成所选画幅并重新编码（照片里的拍摄地点等元数据随之去掉），再按第 ⑨ 条由本站保存。之后由本项目服务器把它连同提示词和画幅、时长、种子，发往 Comfy Cloud（Comfy Org 的云端 ComfyUI 服务，境外第三方，文件存放在 Google 云存储），由 MiniMax H3 模型生成一段带声音的视频。全站共用本站的一个 Comfy 账号，Comfy 不知道你是谁，但能看到首帧和提示词；如果 Comfy 拦下了内容，任务会失败并如实提示。生成的视频由服务器取回、由本站保存（与第 ⑨ 条同一套保留期：长期保存，直到你删除），浏览器从本站播放和下载。服务器取回视频后，会立即删除 Comfy 上的首帧和视频文件；但 Comfy 的任务记录里会留下提示词和参数，本站无法替你删除，Comfy 目前也没有公布这类记录的保留期。本站的任务记录里，提示词只保留到视频过期（或你删除这条任务、它的成片）为止；画幅、时长、种子、状态和用时保留 62 天，用于历史列表和用量统计，后台的视频任务列表不显示提示词和画面。资料库里也会留一条记录（含提示词，随账号同步到你的其它设备，见第 ⑳ 条），可以在资料库里删除。任务记录和尚未过期的文件会进入本站加密异机备份，删除后，历史备份快照按保留策略到期清理。点输入框里的「优化提示词」时，你写的提示词会连同所选时长和画幅，经服务端转发给第 ⑦ 条的「建议模型」端点改写；这次请求和改写结果会作为一条对话记录在服务端留存，管理员可在后台看到（标为「建议：提示词优化」），不受上面视频任务记录清除规则的约束。不点就不会发。V 通道（Venice 图生视频）见第 ⑲ 条。

视频生成 · V 通道（「创作 → 绘图 → 视频生成」，V 通道）：首帧图片的处理与第 ⑱ 条相同：先在浏览器里裁成所选画幅并重新编码，再按第 ⑨ 条由本站保存。之后由本项目服务器把它连同提示词和画幅、时长、分辨率，发往 Venice（Venice.ai，境外第三方 AI 服务），由你选的模型生成视频。全站共用本站的一个 Venice 账号，Venice 不知道你是谁。模型旁标「私密」的，Venice 承诺内容只用于这次生成、不留存；标「匿名」的，Venice 会把首帧和提示词转交给该模型的原厂处理（例如 Google、字节跳动、快手、阿里巴巴、MiniMax，以模型名称为准），原厂看不到你和本站的身份，但能看到内容，留存规则以原厂为准。如果 Venice 或原厂拦下了内容，任务会失败并如实提示。生成的视频由服务器取回、由本站保存（与第 ⑨ 条同一套保留期：长期保存，直到你删除）；取回后，服务器会立即要求 Venice 删除它保存的视频，并复查是否删掉。生成开始后你选择放弃的任务，视频生成完后同样会被删除、不会取回。两种情况下本站无法替你删除 Venice 那边的副本：一是提交结果不明（例如网络中断），本站拿不到任务号；二是模型旁标有「云端副本删不掉」的，这类模型的视频会留在 Venice 存储里，直到 Venice 自行清理。选「动作模仿」或「人物替换」类模型时，还会用到你选的视频（动作视频或源视频）和人物图 / 人物照（人物替换 1–4 张）：视频整段按第 ⑨ 条上传、由本站保存；图片先在浏览器里按拍摄方向摆正、必要时缩小并重新编码（同时去掉拍摄地点等元数据，不裁剪），再按第 ⑨ 条保存。提交时，服务器从视频开头截取你选的秒数（动作模仿 5–30 秒、人物替换 5–15 秒，必要时转码），把截好的这一段连同人物图 / 人物照和提示词一起发往 Venice；「匿名」模型同样会转交原厂（例如可灵属快手、MiniMax）。截取用的临时文件处理完立即删除，截好的片段只在服务器内存里等待提交、提交后即丢弃；原视频和图片按第 ⑨ 条保存，直到你删除。每次提交前须确认你有权使用画面中人物的肖像，任务记录会记下确认时间。本站任务记录里提示词的保留期、后台的可见范围、资料库记录、备份口径，以及「优化提示词」的去向，都与第 ⑱ 条相同。

跨设备同步（ADR-015）：登录后，项目、对话（含工具调用的参数与结果，以及第 ㉑ 条的会话摘要和新会话开始时带上的记忆快照）、助手、个人偏好（主题、语言、对话参数等，不含任何凭据与工具授权记忆）以及绘画 / 图生图 / 图像增强 / 视频生成 / 文档处理的历史记录（含提示词与缩略图）会保存在本项目服务器上、绑定你的账号，你用同一账号登录的手机、电脑和其它浏览器都能看到。同步数据没有保留期、不设配额，只在你删除时删除：在任一设备上删除，所有设备一起删除；「设置 → 数据 → 危险操作 → 删除这个账号在所有设备上的数据」可以一次删除账号里的全部同步数据（第 ㉑ 条里从这些会话记下的记忆和项目记忆一起删除，「关于我」与你手动添加的个人记忆保留，可在「设置 → 记忆」里清空），并删除视频生成任务的提示词与成片、把这些任务从历史列表里移除。同步时还会记下设备类型与浏览器（例如「iPhone · Safari」）和最近同步时间，只用于在那里列出你的设备。同步数据进入本站加密异机备份，删除后历史备份快照按保留策略到期清理；管理员后台不提供查看同步数据的界面，但能登录服务器的运维人员在技术上可以接触到这些数据。生成的图片、视频与文件原件不会因为同步而多存一份，仍按第 ⑨ 条保存在服务器上，直到你删除。一台浏览器里已有数据时，第一次同步前会先征得你的确认，你也可以选择只同步以后的新数据。

记忆（ADR-016，可在「设置 → 记忆」关闭或暂停）：你在「设置 → 记忆」里写的「关于我」、添加的记忆，以及在对话里让 Tazka「记住」的内容，保存在本项目服务器上、绑定你的账号，没有保留期，只在你删除时删除；删除某个会话时，从这个会话中记下的记忆会一起删除。新会话开始时，相关的记忆会作为背景随提示词发往你本轮所选的模型（第 ① 条）。在对话里让 Tazka 记住或忘掉某件事时，模型会调用记忆工具直接写入或删除，回复下方会出现一张可以撤销的卡片；记下的内容附带你这一轮在输入框里输入的原话摘录（最多 200 字），来源记为这个会话。对话超出携带轮数时，被挤出的那部分对话会发往「建议模型」端点（由管理员配置；未配置时为默认模型所在的通路），整理成会话摘要（这次整理不会写进第 ⑥ 条的对话记录）。会话摘要随会话保存，登录后按第 ⑳ 条同步。管理员后台无法查看你的记忆（有服务器权限的运维人员技术上能读到）；你在对话里说的原话仍按第 ⑥ 条保存。口令、密钥、证件号、银行卡号等不会被记住。这些数据进入加密异机备份。

Google 登录（ADR-019，只在你点「使用 Google 账号登录」时发生）：浏览器会整页跳到 Google（accounts.google.com，境外第三方）的登录页，你在 Google 那边选账号并同意；Google 能看到你的 IP、浏览器信息，以及你正在登录本站。回到本站后，由本项目服务器用一次性的授权码向 Google（oauth2.googleapis.com）换取身份凭证，并向 Google 取校验凭证用的公钥；本站只读取其中的 Google 账号编号、邮箱、邮箱是否已验证和显示名称（授权范围 openid email profile），不读取头像、通讯录、云端硬盘或任何其它数据，Google 给的访问令牌用完即弃、不保存。账号编号、邮箱和名称保存在本项目服务器上、绑定你的账号（账号名就是这个邮箱，管理员在后台用户列表里能看到它和「G」标识），删除账号时一起删除；第一次注册时记下的 IP 只用于「同一 IP 每天能注册几个账号」的限制，24 小时后清空。为防止重复领取注册赠送的积分，本站另存一条由 Google 账号编号算出的不可逆摘要，删除账号后仍保留：同一个 Google 账号以后再注册，不再赠送积分。

短信验证码（ADR-024，只在你用手机号注册或登录、点「获取验证码」并拖过滑块之后发生）：本项目服务器把你的手机号和一条含 6 位验证码的短信正文发给短信服务商 X Lead Connect（中国香港的第三方，api.connect.xleadfunnel.com），由它经运营商发到你的手机；服务商只收到号码和短信正文，看不到你的 IP 和浏览器信息，发送记录在它那边保留多久由它决定。验证码 5 分钟内有效，输错 5 次作废；同一个号码、同一个网络每天能发的条数都有上限。注册成功后，手机号就是你的账号名，和你填的昵称一起保存在本项目服务器上、绑定你的账号（管理员在后台用户列表里能看到它和「手机」标识），删除账号时一起删除；第一次注册时记下的 IP 只用于「同一 IP 每天能注册几个账号」的限制，24 小时后清空。每次发码，本站另记一条发送记录：只存由号码算出的带密钥摘要、打码后的号码（只留前 3 位和后 4 位）、验证码的哈希（不存验证码原文）、发送状态和请求来自的 IP（IP 24 小时后清空），30 天后自动删除；管理员在后台的发送统计里只看到打码后的号码。为防止重复领取注册赠送的积分，本站另存一条由手机号算出的带密钥摘要，删除账号后仍保留：同一个手机号以后再注册，不再赠送积分。

滑块验证（ADR-024，打开登录浮窗的手机号方式或注册浮窗时就开始，不必等你点按钮）：浏览器从阿里云（o.alicdn.com、g.alicdn.com）加载阿里云验证码的脚本和样式，脚本直接在本站页面里运行，把你的设备与浏览器环境信息以及拖动滑块的轨迹发给阿里云验证码（captcha-open.aliyuncs.com 下的子域名与 cloudauth-device-dualstack.cn-shanghai.aliyuncs.com，中国内地），用来判断是不是机器在操作；阿里云能看到你的 IP、浏览器信息，以及你正在使用本站。脚本还会在本站域名下写入两个 Cookie（目前名为 _c_WBKFRo，约一年后过期；_nb_ioWEgULi，关闭浏览器即失效）和一项本地存储（_l_KPLiPs），用来认出同一台设备。你点「获取验证码」时，本项目服务器把滑块给出的一次性验证凭据转交阿里云（captcha.cn-shanghai.aliyuncs.com）核对，不发送你的手机号；本站只记下核对结果，随上一条的发送记录 30 天后删除。阿里云保留这些信息多久由阿里云决定。