我怎么对待你的数据
原则一句话：你看得到的，我全公开；你看不到的，我说到做到。
这份文档讲三件事：哪些数据不出你的电脑、哪些会在你主动触发时离开、离开之后我怎么处理。正式的合规披露文件是《个人信息及隐私保护政策》（2026-08-11 起生效），完整细节以它为准；本文负责讲人话。
三条硬承诺
这三条不会因为服务商变更、商务条款调整、或我一时的便利而改变。
提示
我不用你的数据训练任何 AI 模型。 Nephele 本身不训练模型；我使用的付费级 AI 推理服务也按商务合同约定不用付费客户数据训练。
提示
我不把你的数据卖给任何第三方。 Nephele 靠订阅费和云晶充值活着，不靠数据。
提示
我不主动把你的数据分享给任何第三方（除非法律强制要求）。广告商、分析公司、研究机构、训练数据集，都没有。
一、你的作品数据去了哪
绝大多数功能完全本地。 打标、以图搜图、以文搜图、画风分类、水印、AI 凭据检测、文件操作、批量处理——全在你电脑上跑，断网照用。源码就在桌面端安装目录里，任何人都可以打开验证。
数字存证只发指纹。 你的作品在本地算出一串「数字指纹」（SHA-256 哈希），发给第三方时间戳机构的只有这串指纹，原图永远不离开你的硬盘。时间戳令牌存在你本地，用公开工具即可验证，不依赖 Nephele 的服务器——即使 Nephele 明天消失，你过去签发的所有存证依然有效。
必须上云的图，先瘦身再走。 需要云端看图的场景（云端 AI 看图、反搜找盗图），图片离开你电脑前会先缩小、压成 JPEG，并剥掉 EXIF 等元数据——原图里的 GPS 坐标、相机序列号、编辑历史都不会跟着上传。
反搜是你主动触发的外传。 大部分引擎收到的是瘦身后的图，经我的临时存储中转、24 小时内自动删除；例外是 Baidu 识图——它由本地浏览器自动化直接向百度上传原图（不压缩、不剥元数据）。图库站精确匹配只发图片指纹（MD5，由你的电脑直连该站），素材库比对全程本地。（一个边角：GIF 动图因格式原因原样传输。）
注意
NDA 项目、未发布商稿请不要用反搜。 反搜的本质就是让公开的第三方引擎看一眼你的图，这一步改不掉。
二、你和 AI 说的话去了哪
只有你和 Nephele 自然语言对话（让它理解、分析、动手）时，消息才会上云；打标、搜图、水印、存证这些本地功能断网照用。
上云后的边界：
- 你的消息经我的服务端转发给 AI 推理服务；对话的系统提示里带你的主目录路径（含系统用户名）和本地记忆索引摘要——Agent 替你操作本机文件需要它们
- 我用的是付费级 API，按商务条款你的数据不被用于训练；未来即使更换服务商，原则不变
- 我会临时留存对话内容，只用于 bug 排查和产品迭代，只有我本人能访问。留存分两处：链路追踪记录 30 天自动删除、关闭「匿名统计」开关即停止采集；AI 网关转发日志不受统计开关影响，达到滚动容量上限后自动删掉最旧记录
三、身份、设备与支付
- 注册只收邮箱：无手机号、无实名、无地址
- 画师订阅：只存你订阅的创作者 handle，取消即删
- 设备指纹：不可逆哈希，不采集 MAC 地址、序列号等任何可长期追踪你的硬件标识
- 支付：微信、支付宝、Creem 直接收单，你的卡号和支付密码永远不经过 Nephele 的服务器
- 退款数据长期保留：订单号、设备指纹哈希、支付方标识，用于「每账号 / 每设备 / 每付款人终身退款一次」的反欺诈
四、遥测与使用统计
使用统计默认开启、可一键关闭（设置 → 外观与行为）。统计是去标识化的——不含姓名邮箱，但带一个可关联到账号的标识。
采集的只有事件级数据：哪个功能用了、成没成功、耗时多久；不含消息内容、图片内容、文件路径。唯一例外：报错事件会带异常信息的前 300 字符，可能含部分文件路径。
关闭后不再发送任何事件，对话链路追踪的采集也一并停止（网关基础设施日志见第二节）。
还有一处：安装程序在装的时候会发一条匿名记录——版本、语言、系统版本、装了多久、AI 模型下载成没成功、你有没有中途退出。它用的是一次性随机标识，跟你的账号和其他安装都对不上号。这条记录不受上面那个开关控制，因为安装的时候软件还没启动。加它是因为装不上的人根本进不来，他们的问题在别的统计里永远看不到。
五、服务端访问日志
和所有互联网服务一样，服务端记录 IP、账号 ID、调用了哪个接口、什么时间——不含消息内容、图片内容、请求体。用于服务健康监控、防滥用、账单核对。
六、你能控制什么
每一条都对应桌面端里你真的能点的按钮。
- 关闭遥测：设置 → 外观与行为 → 关闭「匿名统计」
- 只用本地功能：绝大多数工作不需要云端 AI
- 删除对话历史 / 清空记忆：都在你本机
~\.nephele_workshop\目录下，删掉对应文件即可；或在对话里直接说「忘掉这条」 - 获取数据副本 / 单独删除服务端数据：写邮件到
[email protected]，最迟 15 个工作日答复 - 注销账号：从注册邮箱发邮件到
[email protected]，7 个工作日内人工审核后清除（保留退款审计与财务合规所需的必要内容）。不做一键注销，是因为注销不可逆——人工审核挡住钓鱼邮件和误点击，也给你反悔的冷静期
七、如果 Nephele 停止运营
- 存证依然有效：时间戳由独立第三方机构签发，验证不依赖 Nephele
- 取证包（.nep）独立可验证：自包含全部证据，验证器是单文件网页（verify.arisfusion.com），存到本地就能一直用
- 水印依然可提取：纯本地运算，留好种子和配置即可
- 本地工具依然可用：本地功能一次买断永久使用，已装的桌面端不会远程失效——这条写在许可证代码里，不是口头承诺
结语
这份文档会随产品和行业规范持续修订，每次修订在版本更新日志里说明。发现任何含糊或矛盾的地方，直接写邮件到 [email protected]。
—— CreatorAris