隐私政策

Oriveo（“我们”）是一款 BYOK（自带 API Key）多模型 AI 客户端。本隐私政策说明你使用 Oriveo 官网、网页版、iOS 应用和 Android 应用（合称“服务”）时，我们如何收集、使用、共享和保护信息。我们的原则是数据最小化、默认保存在本设备、清楚披露。BYOK 数据默认保存在本设备，但云同步、网页版兼容转发、备份、Skill 知识库文件和 Oriveo Free 需要我们及我们的受托处理方处理这些功能所需的数据。

最后更新：2026 年 7 月 27 日

1. 概要

简要说明：BYOK 的意思是你使用自己的供应商账号和 API Key。我们不出售你的数据，不用它投放广告，也不用你的内容训练 Oriveo 自有的 AI 模型。只有在提供你所选功能确有必要时，我们才处理相关内容。

  • API Key：默认保存在本设备。在网页版和其他经服务端转发的兼容路径中，Key 可能只为完成一次请求而传给 Oriveo，由 Oriveo 转发给你选择的供应商；我们不会把它保存为账号记录。
  • 对话与附件：默认保存在本设备。开启云同步后，对话记录、消息正文、模型输出、可用时的推理内容和附件元数据会通过 Firebase Firestore 同步，并以可读形式存储在那里（非端到端加密）。附件文件可能上传到 Firebase Cloud Storage，以便跨设备访问。
  • 供应商请求路径：在许多 BYOK 流程中，原生应用会直接请求供应商。网页版、Relay、Oriveo Free 和部分功能可能经 Oriveo 服务器转发请求，用于流式输出、兼容性、额度或安全控制。
  • 备份：导出的备份可能包含对话数据和附件，备份本身不加密。只有你选择包含 API Key 并设置密码时，API Key 才会写入备份并被加密。
  • 我们不做的事：不出售个人数据，不用于定向广告，不用你的内容训练 Oriveo 自有模型。

2. 数据控制者与联系方式

就本隐私政策而言，本服务的数据控制者为 Oriveo 团队。

如果你位于欧洲经济区（EEA）、英国或瑞士，也可以就本服务涉及的个人数据处理联系我们，或联系你所在地的数据保护监管机构。

3. 我们收集的信息

我们只收集运营服务和你所用功能必需的信息，主要包括：

  • 账号信息：通过 Firebase Authentication 处理你的邮箱地址、显示名称、头像 URL 和登录方式（Google、Apple 或邮箱 OTP）。我们不保存你的密码；邮箱 OTP 验证码由 Resend 发送，通常 10 分钟内失效。
  • 云同步数据（开启后）：Firebase Firestore 会保存并同步对话记录、消息正文、模型输出、可用时的推理内容、时间戳、文件夹、Skills 目录数据、Memory 文本、偏好设置、使用统计、模型/供应商元数据、附件元数据、图片缩略图和存储引用。
  • 附件（同步或附件访问需要时）：图片、PDF 和其他文件可能上传到你在 Firebase Cloud Storage 中的账号空间，用于多设备访问；你可以随时删除。
  • BYOK 路由数据：为完成模型请求，提示词、附件、模型选择、API Key 和响应会由你选择的 AI 供应商处理。在网页版、Relay 和部分兼容路径中，这些流量可能作为临时转发步骤经过 Oriveo 服务器。
  • Skill 知识库文件：你为 Skill 上传知识库文件时，我们的后端可能把文件转交给 OpenAI Vector Store 以支持检索；原始文件和向量只在你的账号内使用。
  • 技术与设备数据：IP 地址、基于 IP 的大致位置、设备型号、操作系统版本、应用版本、语言和时区，用于反滥用、限速、诊断和合规。
  • 错误与性能诊断：通过 Sentry，我们可能收到未捕获异常的堆栈、操作轨迹、你当前的用户标识（Firebase UID）和设备指纹。这些记录可能与你的账号关联，并非完全匿名；你可以在“设置 → 隐私”中关闭诊断。
  • Oriveo Free 运营记录：使用免费额度时，请求会经 Oriveo 服务器转发给上游模型供应商。我们保留额度、反滥用、稳定性、举报和审计所需的最少记录。普通 Free 对话的消息正文默认不作为聊天日志持久保存，但会在转发过程中被处理。
  • Admin 安全数据：管理员登录时，我们可能使用 Cloudflare Turnstile 验证是否为真人访问，并记录相关登录事件。

4. 我们不收集的信息（BYOK 承诺）

在 BYOK 模式下，Oriveo 尽量少存数据，但以下数据仍可能因功能和平台不同而被处理：

  • API Key 默认保存在本设备；在网页版或经服务端转发的兼容路径中，Key 可能只为完成所选供应商的请求而传输，不会保存为账号记录。
  • 提示词、对话上下文、附件和模型响应会发送给你选择的 AI 供应商，以便模型生成回复。
  • 在网页版、Relay、Oriveo Free 以及某些兼容或流式流程中，请求和响应可能临时经过 Oriveo 服务器。
  • 开启云同步后，对话历史、消息正文、模型输出、可用时的推理内容和附件元数据会通过 Firebase Firestore 同步；附件文件可能上传到 Firebase Cloud Storage。
  • 导出或恢复备份时，备份文件可能包含对话和附件。只有你选择这一选项并用密码保护时，备份中才会包含 API Key。

5. 我们如何使用数据及法律依据

我们只为以下目的处理个人数据，并在适用时依据 GDPR、UK GDPR、CCPA/CPRA 等法律要求的法律依据进行处理：

  • 提供和维护服务（账号登录、云同步、多设备访问）——为履行合同所必需。
  • 诊断故障、改进产品（错误日志、崩溃堆栈、汇总的使用指标）——基于我们提升稳定性和质量的正当利益。
  • 安全、反滥用与额度控制（限速、CAPTCHA、异常登录检测、Oriveo Free 额度审计、反欺诈）——基于正当利益和/或法律义务。
  • 运营 Oriveo Free（请求路由、额度计算、投诉处理）——为履行合同所必需。
  • 响应法律要求（法院命令、监管要求、数据主体请求）——为履行法律义务。
  • 与你沟通服务变更、安全事件和其他重要通知——为履行合同所必需，或基于正当利益。

我们不会：

  • 向第三方出售或出租你的个人数据；
  • 用你的个人数据投放定向广告或建立广告画像；
  • 用你的内容训练 Oriveo 的 AI 模型。

6. 第三方服务与数据共享

为运营服务，我们只与以下受托处理方和第三方服务共享必要的数据：

  • Google Firebase（Authentication / Firestore / Cloud Storage / Hosting）——账号数据、同步数据（开启同步后包括对话记录和消息内容）、附件元数据、附件文件和托管数据。
  • Sentry——错误与性能诊断。
  • Resend——收件邮箱地址和一次性登录验证码。
  • Cloudflare——网络元数据、IP 地址、安全控制，以及 Admin 使用的 Turnstile。
  • OpenAI——Skill 知识库的 Vector Store，以及适用时经路由的模型请求。
  • 你选择的 AI 供应商——完成 BYOK 或 Relay 模型调用所需的提示词、附件、对话上下文、模型选择和响应。视平台和功能不同，请求可能由客户端直接发出，也可能经 Oriveo 兼容端点转发。
  • Oriveo Free 上游供应商——在免费额度中生成回复所需的提示词和对话上下文。
  • Oriveo AI 上游模型供应商——付费托管服务 Oriveo AI 生成回复所需的提示词和对话上下文；请求会经 Oriveo 服务器转发给上游模型供应商。

每家供应商都有自己的隐私政策和数据处理规则。你有责任查阅这些规则，包括可用的训练数据退出（opt-out）设置。除上述情形和法律要求外，我们不会为广告目的出售、出租或转让你的个人数据。

7. 跨境数据传输

我们的云基础设施（包括 Firebase、Sentry 和 Cloudflare）分布在多个地区运行。如果你访问服务时所在的地区与部分基础设施所在地不同，你的个人数据可能会被跨境传输。

我们采用以下机制：

  • 欧洲经济区 / 英国 / 瑞士用户：采用欧盟委员会批准的标准合同条款（SCCs），并在需要时配合补充保障措施。
  • 其他司法辖区用户：遵守当地关于跨境传输的适用要求。

如需了解相关传输机制的详细信息，请联系 [email protected]。

8. 数据保留与安全措施

保留期限：

  • 账号信息：账号存续期间，以及删除后最多 30 天，用于处理误删恢复；
  • 云同步数据、已同步的消息内容、附件元数据、附件文件和知识库文件：保留到你删除它们、停用/移除相关数据或注销账号为止，但可能受技术备份保留期影响；
  • Oriveo Free 额度、反滥用和审计记录：最长 180 天，除非出于安全、法律或争议原因需要更长时间；
  • 用户提交的举报详情：最长 180 天，除非为解决争议、执行条款或遵守法律需要更长时间；
  • Sentry 错误日志：最长 90 天；
  • Admin 登录日志：最长 12 个月；
  • OTP 验证码：10 分钟，或验证成功后立即失效；
  • 法律要求保留的数据：按适用法律要求的期限保留。

安全措施：

  • 传输加密：客户端与服务端之间的所有连接都使用 TLS 1.2 或更高版本。
  • 静态加密：服务端基础设施启用静态加密。导出备份时，如果你设置了密码，其中包含的 API Key 可以用 AES-256 加密。
  • 设备端 API Key 保护：原生应用使用 iOS Keychain / Android Keystore；网页版使用受同源策略隔离的浏览器存储。
  • 访问控制：内部访问遵循最小权限原则，敏感操作会留存审计记录。
  • 泄露通知：如果个人数据事件可能给你带来高风险，我们会尽量在 72 小时内通过邮件或应用内通知告知你，并在需要时通知相关监管机构。

9. 你的权利

根据适用于你的法律（包括 GDPR、UK GDPR、CCPA/CPRA 等），你对自己的个人数据可能享有以下权利：

  • 访问与获取副本：你可以在“设置 → 备份 → 导出”把数据导出为 ZIP 备份。备份本身不加密；只有你选择包含 API Key 时才会写入 Key，并用你设置的密码加密。
  • 更正：可编辑的信息可以在账号设置里自行修改；其他字段请发邮件联系我们。
  • 删除：在“设置 → 账号 → 删除账号”可以删除与你账号关联的服务端数据；部分日志可能在适用的保留期内继续保留。
  • 可携带：以结构化、常用、机器可读的格式导出。
  • 限制或反对处理：你可以随时关闭诊断、关闭云同步或停止使用账号。
  • 撤回同意：对于基于同意进行的处理，你可以随时撤回同意，这不影响撤回前处理的合法性。
  • 自动化决策：我们不会仅凭自动化处理作出对你产生法律效果或类似重大影响的决定；Oriveo Free 的额度计算属于运营性的反滥用控制，不构成用户画像。如果适用法律赋予你相关权利，可以通过 [email protected] 行使。
  • 投诉权：欧洲经济区 / 英国用户可以向所在地数据保护监管机构投诉；加州用户可以向加州总检察长投诉。
  • 不出售、不共享个人信息；不歧视（加州）：我们不出售你的个人信息，也不会为 CCPA/CPRA 所定义的跨情境行为广告而共享你的个人信息。你行使上述任何权利，都不会因此受到区别对待。

响应时限：收到可验证的请求后，我们一般会在 30 天内回复。在适用法律允许的范围内，对于复杂或数量较多的请求，我们可能延长这一期限，并会告知你延长情况及原因。

10. Cookie 与本地存储

Oriveo 官网和网页版使用以下存储技术，均不用于广告定向或跨站追踪：

  • 严格必要：Firebase Auth 会话 Cookie、CSRF 防护令牌、Admin 后台 JWT Cookie。
  • 功能性：主题、语言和布局偏好，对话草稿，以及存放在浏览器 IndexedDB 或同类本地存储里的模型元数据缓存。
  • 安全：Admin 后台使用的 Cloudflare Turnstile，以及 Cloudflare DDoS 防护令牌。
  • 分析：我们使用托管在欧盟（eu.i.posthog.com）的 PostHog 做注重隐私的第一方产品分析。只采集你主动执行的操作（例如点击按钮）；会话录制、自动采集（autocapture）和问卷功能均已关闭，PostHog 只在你的浏览器中保存一个匿名标识符。这些分析数据绝不用于广告或跨站追踪。你可以在浏览器设置中阻止 Cookie 和本地存储来退出。

我们不使用第三方广告 Cookie、跨站追踪像素或广告技术脚本。你可以在浏览器设置中清除或阻止 Cookie，但这可能影响登录状态和部分功能。

11. 儿童隐私

本服务不面向 13 岁以下的儿童（或你所在司法辖区要求的更高最低年龄，例如欧洲经济区部分地区为 16 岁）。未达到适用年龄的用户，只能在父母或法定监护人同意并监督的情况下使用本服务。

我们不会在知情的情况下收集未达法定年龄儿童的个人数据。如果你是父母或法定监护人，并认为你的孩子向我们提供了个人数据，请联系 [email protected]，我们会尽快核实并删除。

12. 政策变更与联系我们

政策变更：我们可能会不时更新本隐私政策，以反映产品、技术、运营或适用法律的变化。如有重大变更，我们会在生效前通过应用内通知、邮件或官网显著位置告知你，并相应更新“最后更新”日期。修订后的政策生效后你继续使用服务，即表示你接受更新后的版本；如果不同意，你可以停止使用服务并删除账号。

联系我们：

我们会尽合理努力，在合理期限内回复你。

13. Library 连接与文档检索

如果你连接了 Notion 或 Google Drive / Google Docs，Oriveo 会以加密形式保存 OAuth 令牌，以便代你访问。我们只在你主动发起 Library 搜索、列出或读取操作，或确认某个研究步骤时，才访问这些来源。所请求的文档正文只在该次操作中经 Oriveo Server 转发；我们不会预先建索引、不会建向量数据库，也不会把正文作为长期记录保存。正文只会作为你发起或确认的研究流程的一部分，发送给你当前使用的模型。短期缓存只用于完成 Library 操作，到期或你断开来源时即被清除。断开连接或撤销授权会立即停止新的访问，并删除已保存的令牌和相关缓存。Library 内容不会用于训练、广告或分析。

关于 Google Drive 和 Google Docs：接收文档正文的模型，来自你自己选择、并用你自己的 API Key 接入的第三方供应商，该供应商按其自身条款处理这些文本。如果你使用的是 Oriveo 托管模型（Oriveo AI 或 Oriveo Free），文档正文会经 Oriveo 的托管模型服务转发给提供该模型的上游模型供应商，由该上游供应商按其自身条款处理。Oriveo 对通过 Google Workspace API 获得的信息的使用，遵守 Google API Services User Data Policy（包括其中的 Limited Use 要求），我们不会用这些信息开发、改进或训练通用的 AI 或机器学习模型。