1. 谁是个人信息处理者
本服务（MAS，域名 holomer.space 及其子域）由一名独立开发者运营，运营者以自然人身份作为个人信息处理者，并非公司实体。
- 处理者：【待填：运营者姓名】
- 联系邮箱（隐私事务）：privacy@holomer.space
- 联系邮箱（法务与合同）：legal@holomer.space
- 主要营业地/通讯地址：【待填：省市与可收件地址】
我们不在中国境内设立专门的数据保护负责人；隐私相关请求由上述邮箱直接处理，7 个工作日内答复。
2. 我们收集哪些信息
- 账号信息：邮箱、显示名、登录方式标识（由 Clerk 托管登录产生），以及你首次登录时自动创建的租户 ID。
- 你主动提供的内容：会话消息、上传的文件、你在技能/提示词/Agent 配置里写的内容。
- 运行数据：模型调用记录（输入输出、token 数、耗时）、沙盒命令与退出码、错误日志。
- 计费与配额：按租户按日聚合的 token 用量。
- 设备与访问日志：IP、User-Agent、请求路径与时间，用于安全与排障。
我们不收集：通讯录、精确位置、生物识别信息、银行卡号（本服务不收款，也不存储支付信息）。
3. 处理目的与法律依据
- 提供服务（履行合同）：认证、路由模型调用、启动沙盒、保存会话。
- 安全与防滥用（legitimate interest / 履行法定义务）：限流、审计、封禁违规账号。
- 改进产品（legitimate interest）：只使用聚合指标（页面浏览、漏斗事件），不训练模型。
- 合规留痕（法定义务）：同意记录、审计日志。
我们不会将你的会话内容用于训练模型，也不会出售个人信息。
6. 跨境传输
上述受托方多数位于中国境外（美国、新加坡、欧盟）。当你使用境外模型服务商时，你的提示词与上下文会被传输至该服务商所在国处理。
依据《个人信息保护法》第三十九条，我们在注册页就跨境处理单独征求你的同意（独立勾选项，不与其他条款捆绑）；你可以随时撤回，撤回后我们停止向你未选择的境外服务商发送数据，但不影响撤回前已完成的处理。
7. 保存期限
| 数据 | 保留期 | 说明 |
|---|---|---|
| 会话、消息、事件流、预览产物 | 30 天 | 超期从线上库删除，预览文件同批清理 |
| 模型原始请求/响应（含代码与提示词） | 7 天 | 到期直接删除，不归档 |
| 审计日志（谁做了什么） | 180 天 | 用于安全追溯，不含会话内容 |
| 用量明细（token 计数） | 90 天 | 按日聚合后的统计长期保留，作为计费依据 |
| 对象存储备份 | 7 天 | 删除后最长 7 天内仍可从备份恢复，之后不可恢复 |
注销后进入 30 天冷静期：期间可撤销注销；期满执行硬删除，覆盖数据库、上传目录、预览文件、对象存储中的上传/预览/导出文件与技能包、沙盒实例、Redis 键与备份索引。
8. 你的权利
- 查阅与复制：应用内可导出会话（JSONL）与上传文件。
- 更正：账号资料在登录服务商侧修改，其余配置可自助编辑。
- 删除：删除单个会话即时生效；注销账号见上一节。
- 撤回同意：撤回跨境同意或分析标识（清除 localStorage 即可）。
- 投诉：可向 privacy@holomer.space 提出，我们 7 个工作日内答复；不满可向有管辖权的监管部门投诉。
9. 安全措施
- 租户隔离：所有业务表带 tenant_id，数据库层行级安全（RLS）强制过滤。
- 密钥保护：模型 Key 与 MCP 令牌信封加密（每条记录独立 DEK、KEK 可轮换），接口只返回掩码。
- 审计：管理动作与跨租户访问写入审计日志（保留 180 天）。
- 最小权限：应用、迁移、运维使用不同数据库角色。
发生个人信息泄露时，我们会在确认后 72 小时内通过邮件与站内公告告知受影响用户，并说明影响范围与处置措施。
10. 未成年人
本服务面向 18 周岁以上的开发者，不向未成年人提供服务。注册时会要求确认年龄；如发现未成年人账号，我们将停用并删除相关数据。
11. 政策变更
本政策版本号为 2026-11-10。实质性变更会提前 7 天在更新日志公告，并在你下次登录时要求重新同意；不涉及权利变化的文字修订只更新版本号与日期。
12. 联系我们
隐私事务：privacy@holomer.space；合同与法务：legal@holomer.space。
本页是合同文本的一部分；如与签署版 PDF 冲突，以签署版为准。