一、总览
爆图兔（域名 baotutoo.com）在收集数据时秉持「最小必要」原则：只收集为了帮你完成生成任务、进行身份识别、结算付费、控制风险所必需的信息，不用于精准广告推送，不出售给第三方。
本说明会告诉你：
- 我们收集哪几类信息（详见第二节）；
- 每一类信息分别用在什么地方（详见第三节）；
- 哪些第三方会接触到这些信息（详见第四节）；
- 数据存在哪里、存多久（详见第五节）；
- 你有哪些可以行使的权利（详见第六节）。
二、我们收集哪些信息
2.1 你主动提供的信息
- 手机号：登录、注册、身份验证、密码找回必需。仅支持中国大陆手机号（11 位）。
- 登录密码：使用 scrypt 加盐哈希存储，不保存可直接还原的明文密码。
- 上传的商品参考图：用于 AI 生成的输入素材，最多 3 张 / 任务，大小上限单张约 10MB。仅保存为图片文件与任务记录。
- 表单填写内容：商品名、卖点描述、目标人群等你主动在工作站填写的文字。
- 你向我们提交的反馈：包含留言内容、你选择透露的联系方式。
2.2 使用服务时自动产生的信息
- 生成任务元数据：任务 ID、所选模板、生成时间、成功/失败状态、耗时、模型命中日志等。
- 生成结果：AI 返回的图片和文案，与生成任务绑定保存在你的历史记录里。
- 积分流水：充值、消费、退款、邀请奖励的记录与金额。
- 邀请关系：通过谁的邀请码进入、邀请了哪些用户注册。
- 风控与审计日志：登录 IP、浏览器指纹、User-Agent、登录时间、登录成功/失败结果。用于风控和账号安全排查。
- 支付订单信息：订单号、金额、支付渠道、渠道回调状态。我们不收集也不存储你的银行卡号、支付密码、人脸信息——这些数据只在支付服务商处完成验证。
2.3 我们不收集的信息
- 你的通讯录、相册（除你主动上传的商品图外）、GPS 精确位置；
- 你的银行卡、支付密码、证件号、人脸等金融级敏感信息；
- 你在其他 App 内的行为或跨站追踪信息；
- 未成年人的信息：我们不面向 18 周岁以下用户，发现后会立即删除。
三、我们把这些信息用来做什么
- 完成你主动发起的生成任务、积分扣费、订单结算、历史浏览、邀请奖励发放；
- 为你的账号提供安全保护：异常登录提醒、风控限频、找回密码、账号申诉；
- 在你发起反馈或投诉时与你联系；
- 以去标识化、聚合统计的方式分析使用情况、优化模板与 Prompt 质量、排查故障；
- 在法律法规要求、司法机关依法调取时配合提供必要信息。
我们就此向你做出三项明确承诺：
- 不出售、不交换、不向广告联盟披露你的手机号、上传素材、生成结果与账单数据；不基于这些信息向你推送任何定向广告。
- 不将你的上传素材与生成结果用于训练我们自有或第三方的 AI 模型。我们优先选择提供不训练或受限留存模式的上游服务商；具体留存期限仍以对应服务商当期条款和我们的实际接入配置为准。
- 我们仅在去除个人标识、不可还原至个人的前提下，使用任务耗时、失败率、模板命中率等聚合统计信息进行产品改进与故障排查。
上述承诺如发生变化，我们会按本说明第八节关于重大变更的方式提前告知，并征求你的再次同意。
五、数据存在哪里、存多久（含跨境数据传输声明）
- 位置：主数据库与上传文件由我们自行管理的服务器承载，全程 HTTPS 传输。
- 跨境数据传输声明（重要）：本服务的服务器位于日本东京，你提交的手机号、上传的商品参考图、生成 Prompt 文本、生成结果等个人信息将出境传输并在境外存储与处理。境外接收方为本服务运营者本人（爆图兔 / Baotutoo 独立开发者）；境外接收方对你的个人信息承担与本说明同等的保护义务，并接受境内法律约束。出境目的仅为向你提供生成服务、对账与故障排查，不会用于其他目的。我们采取的安全措施包括 HTTPS 全程加密、数据库与对象存储访问受限、敏感字段在错误监控中自动脱敏。
注册与登录页面会用独立勾选框征求你对上述跨境处理安排的单独同意。如不同意，请勿提交个人信息或继续登录。 - 备份：每 6 小时生成一次 gzip 压缩数据库快照并上传至 Cloudflare R2 的受限私有 bucket，用于灾难恢复。当前快照依赖传输加密和 bucket 访问控制，尚未增加独立的应用层文件加密。
- 留存期限：账号资料在账号正常使用期间保留；生成成功记录保留 30 天、失败记录保留 7 天，每账号最多 200 条，具体以历史页实时说明为准。注销后会在合理期限内删除或匿名化个人标识信息；交易账务按法定期限保留。
- 会话 Cookie：仅保存登录态，登出或清除浏览器数据后失效。我们不使用第三方追踪 Cookie。
六、你的权利
依据《个人信息保护法》等相关法律，你享有下列权利：
- 查询权：在「账号中心」可查看你的手机号、注册时间、积分流水、生成历史等核心信息。
- 更正权：如需更正信息（如更换绑定手机号、修改密码），可在账号中心自助完成或联系我们。
- 删除权 / 注销权：可通过站内「联系开发者」面板或发送邮件至 baotutoo.ai@gmail.com 向我们提交注销申请，我们在核验身份后按第五节约定执行删除。部分交易账务因法律要求需要保留的数据除外。
- 数据导出权：如需导出你的生成历史或账单，可通过客服联系我们，我们将在合理时间内以 JSON / CSV 形式提供。
- 撤回同意权：你随时可以撤回对本说明的同意——这意味着你将无法继续使用本服务。
- 投诉权：如你认为我们的信息处理行为违反了法律法规或本说明，可通过下一节的联系方式向我们投诉，也可向国家网信部门或其他有权监管机构投诉。
七、我们如何保护这些信息
- 传输：全站 HTTPS / TLS 1.2+，第三方 API 调用均走加密通道；
- 密码：scrypt 加盐哈希存储，不保存明文；
- 存储：数据库不对公网开放，管理员后台独立鉴权，关键管理写操作记录审计日志；
- 风控：登录限频、异常 IP 识别、并发争抢层的 advisory lock 与 ON CONFLICT 硬保证；
- 人员：后台运维人员数量保持最小化；关键管理操作留有审计记录，日常故障排查遵循最小必要范围。
尽管我们会尽合理商业努力保护数据安全，但请理解：互联网并非绝对安全的环境。一旦发生我们已知的重大数据泄露事件，我们会在 72 小时内通过站内公告、邮件（如有）或短信通知受影响用户，并说明影响范围与应对建议。
八、本说明的变更
我们可能因业务调整、法律变化等原因更新本说明。更新后的版本将在本页面发布并标注最后更新日期；涉及处理目的、范围、共享对象或跨境安排的重大变更会在登录页或站内公告予以提示，并在需要时重新征得你的明确同意。如不同意，你可以停止使用并联系我们处理账号及剩余数据。
九、如何联系我们
如你希望行使上述权利、咨询隐私相关问题或举报违规，请通过以下任一方式联系我们：
- 发送邮件至 baotutoo.ai@gmail.com；
- 登录后进入账号中心，使用站内「联系开发者」提交隐私相关请求。
对于涉及身份核验的请求（例如数据导出、账号注销），我们会要求你通过绑定手机号完成身份确认，以防他人冒用。我们会尽合理商业努力在尽快的时间内回复；涉及数据导出、身份核验的复杂请求可能需要更长的处理周期。