我怎么对待你的数据
单人运营的前提下，隐私是一场权衡游戏。
我保障的越多，我的服务器就越脆弱——没有安全团队 on-call，没有 SRE 值班，没有法务团队实时跟进合规条款更新。我能做的是把原则定得简单清晰：你能验证的事我全部亮开，你验证不了的事我用原则承诺。克制比虚假承诺更负责——对你，也对我。
这份文档讲清楚三件事：哪些数据永远不出你的电脑、哪些会在你主动触发时离开、离开之后我怎么处理。
三条硬承诺
在展开细节前，先把最重要的三件事说清楚。这三条不会因为服务商变更、商务条款调整、我一时的便利而改变。
提示
我不用你的数据训练任何 AI 模型。
Nephele 本身不训练模型——我没有这个技术栈也没有这个打算。我使用的是付费级别的 AI 推理服务，这类服务按商务合同明确约定不将付费客户数据用于模型训练。
提示
我不把你的数据卖给任何第三方。
数据变现不在我的商业模型里。Nephele 靠订阅费和云晶充值活着，不靠数据。
提示
我不主动把你的数据分享给任何第三方（除非法律强制要求，例如接到有效的司法协助请求）。
"第三方"指所有 Nephele 之外的实体：广告商、分析公司、研究机构、训练数据集。
一、你的作品数据去了哪
这是画师最关心的部分。按"是否离开你的电脑"分四层讲。
层 1：完全本地，永不离开
以下功能的运行不需要网络，图片和相关数据从始至终只存在你的硬盘上：
- 本地快捷命令：「打开 Photoshop」「打开下载文件夹」这类指令由本地规则引擎直接执行，不经过任何 AI、不联网，输入内容不出你的电脑
- 隐水印嵌入与提取：基于开源的
blind_watermark库（DWT-DCT-SVD 频域算法），全程本地、不联网，源码：tools/packer/watermark_protection.py - 本地图片标签识别：使用公开的图像打标模型（默认 PixAI Tagger v0.9，未下载时回退到 WD SwinV2 Tagger v3），通过 ONNX Runtime 本地推理，源码：
tools/eagle_tagger/tagger.py - 本地相似图检索：复用打标时顺带产出的 1024 维 EVA02 向量，本地做余弦相似度匹配；以文搜图与画风分类另用本地 CLIP 模型，全部在你电脑上跑
- 感知哈希（pHash / dHash / aHash）：使用公开的
imagehash库本地计算 - AI 凭据检测：纯本地解析图片的元数据与凭据字段（不做像素级 ML 判别），源码：
tools/validator/logic.py - Eagle 素材库集成：直接读取你本机的
.library目录，不经过任何 HTTP 接口 - 文件操作、图片裁切格式转换、Python 脚本、浏览器自动化、Pipeline 批量处理、本地备份 Git：全部本地
这些模块的源码都在桌面端安装目录里，你、独立安全研究者、甚至对你不利的律师，都可以打开代码验证这一点。
层 2：只发哈希，不发原图
数字存证是 Nephele 安全承诺最硬的一块。流程开源可审计（源码：tools/rights/tsa_client.py）：
- 你的作品在本地被计算 SHA-256 哈希（256 bit）
- 只有这 256 bit 哈希被发送给第三方时间戳服务（TSA），作品原图永远不离开你的硬盘
- TSA（例如 FreeTSA 由奥地利独立运营、DigiCert 与 IdenTrust 是美国公开 CA 机构）基于 RFC 3161 国际标准，用自己的私钥对"(哈希 + 当前时间)"签名，返回时间戳令牌（TST）
- 你本地保存 TST，验证时使用公开库
rfc3161ng+asn1crypto，全程不依赖 Nephele 的服务器
技巧
结果：TSA 永远看不到你的原图（它只收到 256 bit 哈希）。任何司法机关、公证处、第三方技术方都能用公开的时间戳协议 + CA 证书链独立验证你的证据。即使 Nephele 明天消失，你过去签发的所有存证依然有效。
层 3：上传前压缩并剥离元数据
有些功能必须把图片送到云端（比如让云端 AI 看图、反搜找盗图）。这些场景下，图片在离开你电脑之前会经过一次本地预处理：
- 缩放到 1536 像素（长边），视觉匹配用不到原分辨率
- 重新编码为 JPEG 品质 85，体积通常从 10-30 MB 降到 100-300 KB
- 显式剥除 EXIF / XMP / ICC 元数据——也就是说，你原图里可能带的 GPS 坐标、相机序列号、拍摄时间、作者字段、Photoshop 编辑历史，都不会跟着图片一起上传
这一步是安全设计而不是副作用。源码：core/agent_loop.py::_encode_image_for_vision、tools/rights/image_search.py::_prepare_image_for_upload。
层 4：你主动触发的外传
反向图像搜索（在维权工具里查盗图流向）是你必须知情才会触发的功能：
- 图片经过层 3 的压缩 + EXIF 剥除后，上传到我的临时存储
- 24 小时内自动删除（由存储侧生命周期规则强制执行，不靠代码善后）
- 调用几个画师圈熟知的公开反搜引擎（SauceNAO、IqDB、Baidu 识图、以及一个通用图像识别服务）
- 这些引擎会从临时 URL 抓取你的图片做视觉匹配——这是反搜功能的固有工作原理，不点名你也应该知道
- 它们对图片的留存受各自的服务条款约束，我无法代表它们做承诺
- 同一次反搜里还有两路不外传图片的引擎：素材库比对全程在你本机完成、不联网；图床精确匹配只把图片的 32 位哈希发出去，原图不出你的硬盘
注意
如果你在处理 NDA 项目、未发布商稿、或任何对泄露敏感的作品，请不要用反搜功能。反搜的本质就是让公开的第三方引擎看一眼你的图——无论我把流程做得多干净，这一步改不掉。
二、你和 AI 说的话去了哪
云端 AI 对话是 Nephele 的核心付费功能，也是数据离开你电脑最多的场景。诚实讲清楚。
不用云端 AI，绝大多数功能照常
Nephele 内嵌了多个本地 AI 模型——图像打标（默认 PixAI Tagger，回退 WD Tagger）、CLIP 画风识别与以文搜图、EVA02 向量以图搜图、多语言语义搜索（gte-multilingual）——全部在你电脑上用 ONNX 跑。打标、索引、以图搜图、语义搜索、水印、存证、维权、AI 凭据检测、文件操作、Pipeline 这些都不需要云端，断网照用。明确的快捷命令（打开应用/路径）也由本地规则引擎直接执行，不经过 AI、不联网。
真正需要云端的，是和 Nephele 自然语言对话、让它规划任务、调用工具、联网搜索这类 Agent 能力（早期的本地离线对话模型 Ollama 已在 2026 年中移除，因为几乎无人使用，本地模式现在只跑规则引擎处理打开应用/路径这类明确命令）。也就是说：你完全可以只用本地功能完成绝大多数工作；只有当你让 Nephele 帮你"理解、分析、动手"时，消息才会上云——而即便上云，也有下面这些边界兜底。
云端 AI 对话
当你向 Nephele 提出需要 AI 处理的请求时：
- 你的消息（文本 + 经过层 3 处理过的图片）通过我的服务端转发给我当前使用的 AI 推理服务
- 我使用的是付费级别的 API，按商务条款你的数据不被用于模型训练
- 我可能在未来更换 AI 服务商以获得更好的效果或更合规的条款
- 无论使用哪家，原则不变：不训练、不贩卖、不分享给第三方
为什么我会临时留存对话内容
我会临时留存你的云端对话内容，留存限于两个用途：
- Bug 排查：云端 AI 出错时，没有实际对话上下文我就是瞎修
- 产品迭代：观察真实使用场景来改进 Agent 行为和 prompt
访问权限：只有我本人（CreatorAris，单人运营）能访问。 没有团队，没有第三方分析平台，没有数据集导出。
留存规模由我管理，不构成长期对话数据库。
提示
如果你的对话涉及 NDA 项目或未发布 IP：整理、打标、索引、以图搜图、加水印、存证这些都能用本地内嵌模型离线完成，全程不联网，可以放心用。只有需要云端 Agent 帮你分析/规划时内容才上云——上云内容受上面三条硬承诺约束（不训练、不贩卖、不分享），服务端访问日志也不含图片内容。
三、身份、设备与支付
注册只收邮箱
Nephele 的账号只需要邮箱——无手机号、无实名、无身份证、无地址、无真实姓名。
邮箱用于：接收登录魔法链接 / 验证码、发送订阅到期提醒、处理注销或退款申请。
设备指纹是哈希不是原始标识
Nephele 用一个设备指纹来做设备绑定（限制 2 台设备同时登录、检测账号盗用）。这个指纹是基于你系统上若干稳定字段经单向哈希派生出的 UUID，不是你的硬件真实 ID。
Nephele 不采集你的 MAC 地址、CPU ID、磁盘序列号、BIOS 序列号、IMEI 等任何会长期追踪你的硬件标识。我们服务端长期存储的只有派生出的哈希，不存储派生用的原始字段。
支付卡号永远不经过 Nephele
微信支付、支付宝直接收单，你的银行卡号、CVV、支付密码永远不经过 Nephele 的任何服务器。我只收到支付成功通知 + 订单号 + 支付方的匿名标识（微信 openid / 支付宝 buyer_id），用于退款审核和反欺诈。
退款相关数据永久保留
一旦你发起退款，以下数据会永久保留：
- 退款记录（订单号、金额、时间、退款原因）
- 退款时使用的设备指纹哈希
- 退款时的支付方匿名标识
理由是反退款欺诈——每个账号、每台设备、每个付款人终身仅限退款一次。这是行业标准做法。未退款的普通订单数据也会因财务和税务合规保留必要期限。
四、遥测与使用统计
Nephele 使用独立的匿名使用统计服务来了解功能使用情况。我只采集事件级别的数据：
| 事件类型 | 采集内容 | 不采集的内容 |
|---|---|---|
app_launched | 应用版本、操作系统版本 | 任何个人信息 |
chat_message_sent | 对话模式、是否成功、耗时 | 消息内容、图片内容、输入文本 |
local_tool_used | 工具名称、是否成功、耗时 | 工具输入参数、文件路径 |
pipeline_started | Pipeline 类型、输入数量 | 文件内容、文件名 |
api_used | 端点名称、响应码 | 请求体、响应体 |
唯一可能携带少量上下文的字段：错误事件的 error 字段会截取前 200 字符用于崩溃诊断。这个字段可能包含异常栈里的部分文件路径或错误描述。我不认为这构成隐私风险，但你应该知情。
可以一键关闭：设置 → 外观与行为 → 关闭"匿名统计"。关闭后统计客户端完全不初始化，不发任何事件，不上报任何信息。
五、服务端访问日志
和所有互联网服务一样，我的服务端会记录 API 访问的基础元数据：
- 你的 IP 地址（CDN 传入头）
- 你的账号 ID（认证后）
- 调用了哪个接口、什么时间
- 返回了多少数据、是否成功
不含：消息内容、图片内容、请求体。
用途：监控服务健康、防止滥用（刷额度、暴力破解、爬虫）、账单核对、安全事件追溯。
留存期由我管理。被列入封禁名单的 IP 会永久保留（反滥用）。
六、你能控制什么
这不是一个摆样子的清单。每一条都对应桌面端里你真的能点的按钮。
关闭遥测：设置 → 外观与行为 → 关闭"匿名统计"
只用本地功能：打标、索引、以图搜图、语义搜索、水印、存证、文件操作等都靠本地内嵌模型运行、全程不联网；绝大多数工作不需要云端 AI
删除本地对话历史：对话历史完全存储在你本机 SQLite 数据库：
~\.nephele_workshop\chat_history.db
手动删除这个文件即清空所有历史。下次启动会自动重建空数据库。
清空记忆系统：Nephele 的记忆系统存储在：
~\.nephele_workshop\memory\MEMORY.md
~\.nephele_workshop\memory\logs\
删除这些文件即清空记忆。或者在对话中直接说"忘掉这条"，Agent 会调用 memory_delete 工具清除对应记忆。
注销账号：发送邮件到 [email protected]，邮件需从注册邮箱发出并说明注销意图。7 个工作日内人工审核后清除你的账号数据（保留退款审计记录 + 财务合规所需的必要期限内容）。
提示
为什么不做一键注销按钮？
单人运营下，注销是不可逆的操作。我宁可多花 7 个工作日做人工审核，也不想因为钓鱼邮件、账号盗用、误点击导致画师永久丢失自己的订阅与存证。邮件流程让我有机会核实请求真实性，也让你有冷静期反悔。这不是便利的牺牲，是安全的保全。
七、如果 Nephele 停止运营
这是你必须问、我必须答的问题。
你的数字存证依然有效：RFC 3161 时间戳由独立的第三方 TSA 签发（FreeTSA / DigiCert / IdenTrust 等都是早于 Nephele 存在、也会晚于 Nephele 存在的独立机构）。验证只需要公开的 TSA 协议 + CA 证书链，任何司法机关、公证处、技术方都能独立完成。
维权取证包（.nep 文件）独立可验证：包里自包含截图、源码片段、证书链、网络日志。打开即能还原完整证据链，不依赖 Nephele 服务器。独立验证器部署在 verify.arisfusion.com，纯浏览器本地运算，单文件前端应用（浏览器右键"查看页面源代码"即可审计完整实现），MIT 许可。保存这个 HTML 文件到本地，即使该域名将来下线，你也可以继续用它验证证据。
隐水印依然可提取：提取算法是纯本地数学运算（DWT-DCT-SVD 频域变换），只要你保存了原始种子和水印配置，就能继续从任何一张被传播的图里提取水印。
本地工具依然可用：根据《定价与付费》里的承诺，本地功能一次购买永久免费使用。即使 Nephele 公司消失，你已经安装的桌面端不会远程失效（这一条我写在了许可证系统代码里，不是口头承诺）。
结语
这份文档不会一成不变。随着 Nephele 成长、我的认知更新、行业规范迭代，我会持续修订它。每次修订会在版本更新日志里说明。
如果你在文档里发现任何含糊不清、前后矛盾、或者你认为不应该这么处理的地方，直接写邮件到 [email protected]。单人运营的好处是：反馈会真的被读到。
—— CreatorAris