隐私政策

1. 引言

Canvane 由一名独立个人经营者运营，其即本政策所述个人数据的数据控制者（data controller）。如有任何隐私问题，或需行使第 9 节所列权利，请联系 support@canvane.com。

由于 Canvane 由个人而非公司经营，我们未在本页公布经营者的法定姓名与地址。你可来函索取，我们将在 5 个工作日内提供——包括你为向数据保护监管机构提起投诉而需要这些信息的情形。邮箱：support@canvane.com。

本隐私政策说明我们（"我们"）在你使用我们的 AI 视频生成服务时收集哪些个人数据、为何收集、与谁共享，以及你享有哪些权利。

我们遵循最小化收集原则：只处理运营服务、计费、保障安全与改进产品所必需的数据。

2. 我们收集的数据

账号数据。 你通过 Google 或 GitHub 登录时提供的邮箱地址、名称与头像；你的角色；以及会话记录。我们绝不会获取你的 Google 或 GitHub 密码。

生成数据。 你提交的提示词、所选模型与参数，以及生成的视频。这三项我们都会存储。 保留提示词是为了运营与支持本服务，并调查违反使用规范的行为；生成的视频会复制到我们自己的存储，因为模型提供方的链接在一天之内即会失效。提示词同时也会发送至我们的路由合作方与你所选的模型提供方以完成生成，并发送至审核服务以进行筛查。各项的保留期限见第 7 节。提示词是本服务处理的核心数据，请务必阅读第 4 节了解其共享方式，并不要在提示词中填写个人、机密或敏感信息。

审核结果。 当审核拦截一条提示词时，我们会记录是哪个服务作出的拦截、该决定的类型，以及命中了使用规范的哪些类别。该记录只是我们自有分析实例上的一个计数：不含提示词内容，不含账号标识，也不含任何其他可与你关联的信息。被拦截的提示词根本不会写入我们的数据库；通过审核的提示词则不会留下任何审核记录。由于没有任何信息能把一次拦截与你的账号关联起来，依据第 9 节要求人工复核时，需在来函中附上该提示词。

计费数据。 方案与订阅状态、积分余额与积分流水、订单与支付记录、发票标识。我们不会接收或存储你的完整银行卡号——详见第 4 节。

技术与安全数据。 IP 地址、设备与浏览器信息、请求日志、错误报告及反滥用信号。

网站使用与会话回放。 汇总的访问量统计，以及由 Microsoft Clarity 采集的匿名化页面交互录制——点击、滚动与鼠标移动轨迹。你在表单字段中输入的文本会被遮蔽。详见第 4 节。

沟通记录。 你通过客服或联系表单发送的消息，以及你的订阅状态。

Cookie。 用于身份验证、会话管理、安全、语言偏好与分析，详见 Cookie 政策。

3. 我们如何使用数据

我们将上述数据用于：

• 提供视频生成、工作台与账号功能
• 验证身份、维持会话、支持账号找回
• 在生成前依据使用规范审核提示词
• 处理订单、订阅与积分，并提供客户支持
• 侦测、调查与防范欺诈、滥用及安全事件
• 调试、监控并改进性能与产品质量
• 发送服务类消息（计费、安全与账号通知）；若你未退订，也会发送产品更新
• 遵守法律、税务与会计义务

我们不出售你的个人数据，也不使用你的提示词或生成的视频训练我们自己的模型。

4. 我们与谁共享数据

我们仅与运营 Canvane 所必需的服务提供方共享有限数据：

• AI 模型提供方。 为生成视频，你的提示词与生成参数会被传输至我们的模型路由合作方 Evolink，并经其传输至你所选择的模型提供方（如 Seedance、Kling 或 Veo）。这些第三方对该等数据的处理受其自身条款与隐私政策约束。请勿在提示词中填写个人、机密或敏感信息。
• 内容审核。 每一条提示词在生成前会经 OpenAI 与 Anthropic 的审核服务筛查。两者依次调用，且须同时通过方可送达模型，因此被前一个服务拦下的提示词绝不会发送给后一个。发送至 Anthropic 时会附带一个匿名化的账号标识（一个内部编号，而非你的邮箱或姓名）；OpenAI 只收到提示词本身，不附带任何账号标识。
• 支付。 Waffo Pancake（Waffo.com Limited）担任登记商户并处理支付。Waffo 接收完成交易与税务合规所需的数据，并直接处理你的银行卡信息——你的完整卡号绝不会到达我们的服务器。
• 基础设施。 Neon（PostgreSQL 数据库）、Vercel（应用托管），以及 S3 兼容对象存储——其中存放头像，以及第 2 节所述的生成视频副本。
• 邮件。 Resend 负责投递事务性邮件（邮箱验证、密码重置）与主动订阅的产品通讯。
• 分析。 Plausible Analytics 提供无 Cookie 的汇总访问量统计。该实例由我们自行部署在自有域名上，因此这些统计数据留在我们自己的基础设施内，Plausible 的托管服务不会收到其中任何数据；第 2 节所述的审核记录发送至同一实例下的另一个站点。Microsoft Clarity 是第三方，提供匿名化的会话回放与热力图（隐私声明）。

在法律要求、为执行我们的条款，或为保护 Canvane、用户或公众的权利、安全与财产时，我们亦可能披露数据。若我们发生合并、收购或资产出售，数据可能作为交易的一部分转移；届时我们会通知你。

5. 订阅通讯

创建账号时，我们不会自动为你订阅营销邮件。 产品通讯采用主动订阅制：你可以在通知设置中订阅，也可随时在该处或通过任意一封通讯邮件中的退订链接退订。

退订不影响服务、计费与安全类邮件，这些邮件是运营你的账号所必需的，无论你的通讯订阅状态如何都会照常发送。

6. 跨境传输

我们的服务提供方分布于多个国家，因此你的数据可能在你居住国以外的地区处理，包括数据保护法律有所不同的司法辖区。在法律要求时，我们会依据适当的保障机制（如欧盟委员会的标准合同条款）进行该等传输。

7. 数据保留期限

• 账号数据（邮箱、名称、头像、角色）——在你的账号存续期间保留。若你注销账号，我们将在注销后 180 天内删除或匿名化。
• 会话记录——签发后 7 天过期，过期记录按常规清理周期移除。
• 提示词——自提交起 30 天。一项计划任务每天至少运行一次，在满 30 天后的第一次执行时把提示词从生成记录中抹除，因此抹除时间最多可能比该期限晚一天。保留这段时间是为了运营与支持本服务，并调查违反使用规范的行为。若相关的执法行动、滥用举报或法律主张尚未了结，我们可能将所涉提示词保留至其结案为止。
• 生成的视频——自生成起 30 天，到期后标记为过期并停止提供访问。文件本身由存储的生命周期规则在 31 天时删除——比前者晚一天是刻意为之，以确保记录先报告过期、字节后消失——而该规则本身的执行还可能再推迟至多一天。生成该视频的模型提供方按其自身规则保留其自有副本，但其链接在一天之内即失效，这正是我们保留一份的原因。
• 生成记录（你所选的模型与参数、状态、时间与积分消耗——即提示词被抹除、视频被删除后剩下的部分）——在你的账号存续期间保留。若你注销账号，这些记录随上述账号数据一并处理。
• 审核结果（哪个服务作出拦截、决定的类型，以及命中了哪些政策类别；不含提示词内容，也不含账号标识）——以不含个人标识的聚合统计形式，在我们自有的分析实例上长期保留。
• 计费与订单记录（支付、发票、积分流水）——自交易之日起 7 年，为税务与会计法律所要求。即使你已注销账号，这些记录仍会保留。
• 安全与滥用日志（IP 地址、请求与错误日志、反滥用信号）——自事件发生起 24 个月。
• 客服与举报往来记录——自最后一条消息起 24 个月；若相关处理措施或法律主张尚未了结，则保留更久。
• 通讯订阅状态——保留至你退订，其后再保留 24 个月，以便我们持续尊重你的退订选择。
• 分析数据——我们的 Plausible 实例长期保留不含个人标识的汇总统计；Microsoft Clarity 的会话录制保留 30 天。
• 数据库备份——按常规备份周期在 30 天内自然淘汰。

保留期届满后，相关数据将被删除或不可逆地匿名化。

8. 安全

我们全程使用加密连接（HTTPS/TLS），严格限制内部对个人数据的访问权限，将身份验证委托给 Google 与 GitHub，且从不接触原始银行卡数据。没有任何系统是绝对安全的，我们无法保证绝对安全。

数据泄露通知。 若发生影响你个人数据的安全事件，我们将在知悉后 168 小时（7 天）内通知相关监管机构；若该事件很可能对你的权利构成高风险，我们还将直接通知你。若适用更短的法定期限，则以法定期限为准：在 GDPR 适用的情形下，向监管机构的通知在 72 小时内完成。

9. 你的权利

在适用法律允许的范围内，你可以：

• 访问我们持有的关于你的个人数据，或获取副本
• 更正不准确的账号信息
• 删除你的账号及符合条件的个人数据
• 导出账号相关信息（可携带格式）
• 反对或限制特定处理活动
• 撤回同意（针对基于同意的处理），包括退订产品通讯
• 不受完全基于自动化处理的决定约束（当该决定对你产生重大影响时）。我们会自动审核每一条提示词，这可能导致生成被拦截；对于反复或严重的违规，还可能导致账号被暂停。你可发送邮件至 support@canvane.com 对该等决定提出异议并要求人工复核

其中大部分操作你可直接在账号设置中完成。其他事项请发送邮件至 support@canvane.com。我们将在 30 天内回复——该期限即 GDPR 所允许的期限。若请求较为复杂，或你提出了多项请求，我们可再延长最多两个月；如需延长，我们会在首月内告知你并说明理由。通常我们会更早回复。

出于税务、会计、防欺诈、争议解决或其他法律合规原因，部分数据在收到删除请求后仍须保留。

若你位于欧洲经济区或英国，你有权向当地数据保护监管机构投诉。

10. 处理的法律依据（欧洲经济区／英国）

在 GDPR 适用的情形下，我们依据：

• 合同履行——提供本服务、你的账号、生成功能与计费
• 正当利益——安全防护、滥用防范、调试、分析与产品改进，并已与你的权利进行权衡
• 法律义务——税务、会计与合法请求
• 同意——在我们征求同意的场景（如特定 Cookie），你可随时撤回

11. 儿童

本服务不面向 13 岁以下儿童，我们不会在知情的情况下收集其个人数据。在欧洲经济区与英国，若当地法律就同意接受在线服务规定了更高的年龄（因国家而异，介于 13 至 16 岁之间），未达该年龄的用户须取得父母或监护人的同意。若你认为某位未达适用年龄的儿童向我们提供了个人数据，请联系 support@canvane.com，我们将予以删除。

12. 本政策的变更

我们可能更新本隐私政策。重大变更将至少提前 30 天在本页面公布并更新日期；若变更显著影响你的权利，我们还将尽合理努力通过邮件通知你。

13. 联系我们

关于隐私的疑问、请求或投诉，请联系 support@canvane.com。