个人信息及隐私保护政策

引言

欢迎使用 Nephele Workshop。为保障您在使用本软件及相关服务期间的个人信息权益，杭州余杭澈韵网络科技工作室（统一社会信用代码 92330110MAEJ52Y33R，下称「ArisFusion Studio」或「我们」）制定本《个人信息及隐私保护政策》（下称「本政策」），向您说明我们如何收集、使用、存储、共享和保护您的个人信息，以及您管理个人信息的方式。

请您在使用本服务前仔细阅读本政策，特别是以加粗标示的条款。您同意本政策或使用本服务，即表示您已充分理解并同意我们按照本政策处理您的个人信息。

本政策适用于 Nephele Workshop 桌面应用、Wisp 浏览器扩展及 Nephele Aura 移动应用（合称「本软件」）。

三项特别承诺（本承诺为本政策的组成部分，对我们具有约束力）：

1. 我们不训练任何 AI 模型，不将您的任何数据用于任何模型训练。我们使用的上游 AI 推理服务均为付费级 API，按合同约定不将付费客户数据用于模型训练。
2. 我们不出售您的个人信息。数据变现不在我们的商业模式之内。
3. 除法律强制要求外，我们不主动向任何第三方分享您的个人信息或作品内容。

本政策将帮助您了解：一、定义与适用范围；二、我们如何收集和使用个人信息；三、我们如何委托处理、共享、转让、公开披露个人信息；四、我们如何存储和保护个人信息；五、您的权利；六、未成年人保护；七、本政策的更新；八、其他；九、联系方式。

第一条 定义与适用范围

1. 个人信息：以电子或者其他方式记录的、能够单独或者与其他信息结合识别特定自然人的各种信息，不包括匿名化处理后的信息。
2. 本地功能：完全在您设备上运行、不向服务器传输您的作品内容的功能。
3. 本政策适用于本软件全部形态及官网关联服务。第三方服务（以图搜图引擎、时间戳机构、支付机构等）对信息的处理适用其各自的隐私政策，本政策第三条中已逐项列明。

第二条 我们如何收集和使用个人信息

2.1 账号与认证

您注册账号时，我们收集您的邮箱地址，用于登录、凭印与订单管理、服务通知、退款与注销。邮箱明文存储，不关联额外身份信息。我们不收集您的手机号、身份证件号码、真实姓名或邮寄地址。

为实现设备绑定（一份许可最多 2 台设备）与反欺诈，我们收集设备标识（经不可逆哈希处理，无法还原为您的设备信息）。我们不收集 MAC 地址、CPU ID、磁盘序列号、BIOS 序列号、IMEI 等硬件序列号类标识。

2.2 版本与诊断

我们收集应用版本号与操作系统类型，用于兼容性判断与故障诊断。

2.3 云端功能（仅在您主动使用时处理相应内容）

• 云端 AI（Axioma 对话（含「?」引导问答自由输入）、创作复盘、画风基因、发布文案生成等云端分析能力）：您发送的文本，及在本地压缩至最大 1536px JPEG 并剥除 EXIF 元数据后的图片，经我们的服务端接口转发至 AI 推理服务。Axioma 对话的系统提示中包含您的设备主目录路径（其中含系统用户名）、当前时间及本地记忆索引摘要（最多 4000 字符，对话中可按需加载单条记忆全文）。
• 画师订阅：您订阅的创作者 handle 保存在服务端，由服务端拉取其公开更新；取消订阅即删除。
• 以图搜图：使用 SauceNAO / iqdb / Google Vision 检索时，图片在本地压缩并剥除 EXIF 后临时上传至我们的存储（24 小时内自动删除），由引擎经临时链接读取；使用百度识图时，经本地浏览器自动化直接向其上传原图，其留存受其条款约束；图库站反查（danbooru / yande.re / konachan）仅发送文件的 MD5 哈希，不上传图片，由客户端直连，您的 IP 对该站可见。注：GIF 动图因格式原因原样传输（不做压缩与元数据剥除）。
• 数字存证：仅向第三方时间戳机构发送文件的 256 位 SHA-256 哈希，原文件不离开您的设备。
• 远程公告：启动时获取应用内公告与版本兼容性信息，为匿名请求，不含身份标识。
• 「架构师风采」投稿（如您使用）：您主动提交的裁切后作品图、署名、作品名与主页链接，用于审核与展示，处理规则见《「架构师风采」投稿授权条款》。

云端 AI 对话内容（文本及经压缩处理的图片）会以两种形式存储在我们的服务器：（a）链路追踪记录——用于故障排查、服务质量评估与产品迭代（包括内部的自动化质量评估流程），保留不超过 30 日、逾期自动删除，关闭使用统计开关（见 2.5）后不再采集；（b）AI 网关转发日志——请求经我们的网关转发至推理服务时产生的基础设施日志（含对话内容），不受统计开关影响，达到滚动容量上限后自动删除最旧记录。两者的访问权限均仅限开发者本人，不向任何第三方提供，不用于任何模型训练。如您的作品涉及保密义务或未发布内容，整理、打标、以图搜图、水印、存证等工作均可使用本地功能离线完成，不必上云。

2.4 服务端访问日志

包含 IP 地址、账号 ID、接口名称、时间戳、响应元数据，不含消息内容或图片内容，用于服务健康监控、防滥用、账单核对与安全事件追溯。

2.5 去标识化的使用统计（默认开启，可随时关闭）

应用采集去标识化的事件级使用统计，默认开启，用于了解功能使用情况、定位故障与客服支持。采集内容：功能使用频率（工具名、耗时、成败状态）、应用启动事件（版本、操作系统）、GeoIP 国家/地区级粗略位置。不含作品内容、聊天正文、图片内容、文件名，也不含姓名、邮箱等直接身份信息；事件以统计标识关联，该标识可与您的账号对应，用于故障排查与客服支持。诚实披露一项边角风险：错误事件的 error 字段截取前最多 300 字符用于崩溃诊断，理论上可能包含异常栈中的文件路径片段。您可随时在 设置 > 外观与行为 > 匿名统计 关闭；关闭后不再发送任何事件（统计组件自下次启动起完全不初始化）。

2.6 安装程序的匿名安装统计

桌面安装程序在安装过程中向我们发送一条匿名安装记录，用于定位安装失败——特别是 AI 模型在某些网络环境下下载不成功的情况；遇到这类问题的用户根本进不了应用，他们的处境在应用内统计里永远看不到。采集内容：软件版本与发布渠道、安装界面语言、操作系统版本、安装方式（是否为无界面的静默安装）、安装耗时、安装结果（AI 模型下载的成功与失败数量、您是否选择跳过、重试次数、由哪一路分发节点提供）、是否为全新安装；如果您中途退出，还包含退出发生在哪一步（欢迎页、模型下载、文件复制）。此外，我们的服务器在接收时会记录 IP 地址并据此判断国家/地区。这条记录使用每次运行随机生成的一次性标识，不含设备标识、文件路径、用户名、账号或任何与您作品有关的信息，无法与您的账号关联，也无法与您的其他安装关联。由于安装阶段应用尚未运行，这条记录不受应用内「匿名统计」开关控制。

2.7 本地功能不收集任何内容

以下功能不向服务器传输您的作品内容：数字存证（哈希计算与证书生成本地完成，仅向时间戳机构发送 256 位哈希，见 2.3）、水印（可见+盲水印）、发布打包、工程清洗、感知哈希与相似性分析、维权取证包、Agent 本地工具、Eagle 素材库直读、本地快捷命令、本地图像打标 / CLIP 检索 / 语义搜索 / AI 痕迹检测（ONNX 本地推理）、聊天记录与偏好（本地 SQLite 与文件）。Wisp 浏览器扩展经本地通道与桌面端通信，页面读取由您主动触发。

2.8 Aura 移动端

Aura 与桌面端共用账号体系与云端链路。当您的桌面端在线时，Aura 的助手请求会转交您自己的桌面端执行；设备间的原图传输经我们的中继节点转发，仅用于完成传输，不作留存。Aura 额外产生的服务端数据仅为多设备管理所需的设备标识哈希与在线状态。Aura 声明的系统权限：相册（选图导入）、相机（扫码配对与拍照导入）、通知推送、接收系统分享、应用自更新安装；不申请定位、通讯录、麦克风、电话状态权限。

2.9 目的变更与免同意情形

我们将收集的个人信息仅用于本政策载明的目的；超出目的范围使用的，将另行征得您的同意。依照法律法规，以下情形处理个人信息无需取得您的同意：（1）为订立、履行您作为一方当事人的合同所必需；（2）为履行法定职责或法定义务所必需；（3）为应对突发公共卫生事件或紧急情况下保护自然人生命健康、财产安全所必需；（4）在合理范围内处理您自行公开或其他已合法公开的个人信息；（5）法律、行政法规规定的其他情形。

第三条 我们如何委托处理、共享、转让、公开披露个人信息

3.1 委托处理与第三方服务清单

3.2 共享：除本政策列明的委托处理外，未经您的明示同意，我们不与任何第三方共享您的个人信息。
3.3 转让：如发生业务转让、合并等情形，您的信息作为交易一部分转移的，我们将告知您，并要求新的持有者继续受不低于本政策标准的约束。
3.4 公开披露：仅在取得您明示同意，或法律、法律程序、诉讼或政府主管部门强制性要求时进行。
3.5 依照法律法规，第 2.9 条所列免同意情形同样适用于共享、转让与公开披露。

第四条 我们如何存储和保护个人信息

4.1 存储地点与跨境传输

我们的服务端基础设施同时包含中国大陆境内节点与境外节点（境外云服务商及境内中继/加速节点），您的数据可能在境内外服务器之间传输和处理：云端 AI 推理服务可能位于境内或境外并可能更换；使用统计服务位于境外；以图搜图的临时存储为全球节点。您使用相应云端功能，即表示同意为实现该功能所必需的跨境传输。本地功能不涉及任何数据传输。

4.2 存储期限

超出期限的个人信息将被删除或匿名化处理。

4.3 本地存储

您设备上的 ~/.nephele_workshop/ 目录存储设置、聊天记录（SQLite）、存证记录、偏好记忆、技能与缓存；%APPDATA%\Nephele\ 与 %LOCALAPPDATA%\Nephele\ 目录存储组件清单、日志及风采、录制等功能缓存。Windows 注册表存储登录 JWT 令牌、许可证缓存及第三方平台登录凭证（Pinterest / Pixiv 的 cookie、X 的访问令牌等）。上述本地数据未由应用额外加密，由操作系统用户权限保护；JWT 令牌载荷含您的登录邮箱，共享设备请注意。

4.4 安全措施

全程 TLS 加密；主 API 端点 SSL 证书固定；JWT 认证与自动刷新；自适应双通道 CAPTCHA；Ed25519 许可证签名（私钥仅存服务端）；API 版本门禁；支付由第三方直接收单。受技术与风险防范水平所限，我们无法保证信息百分之百安全，但将持续采取合理必要的保护措施。

4.5 安全事件告知

如不幸发生个人信息泄露等安全事件，我们将启动应急处置，阻止事件扩大，并通过应用内公告、官网公告或注册邮箱告知您事件基本情况、可能的影响、已采取的措施及您可采取的防范建议；难以逐一告知时，以公告方式发布警示，并依法向监管部门报告。

第五条 您的权利

1. 查询与更正：您可通过应用内界面查询账号信息；需更正的，联系 [email protected]。
2. 关闭使用统计：设置 > 外观与行为 > 匿名统计，随时关闭（同时停用对话链路追踪记录的采集；网关基础设施日志见 2.3）。
3. 仅使用本地功能：打标、索引、水印、存证等本地功能全程无需联网，是您随时可行使的「数据不出设备」选项。
4. 删除本地数据：删除聊天记录（chat_history.db）、重置记忆（对话中说「清空记忆」或删除 memory/ 目录）、应用内删除存证记录，或删除全部本地目录。
5. 获取副本：您可要求获取我们所持有的您的个人信息副本。
6. 删除服务端特定数据：您可在不注销账号的前提下，单独要求删除服务端存储的特定数据（如云端对话记录、画师订阅列表），途径同第 8 项邮箱。
7. 撤回投稿授权：按《「架构师风采」投稿授权条款》第 4 条随时撤回。
8. 注销账号：从注册邮箱发送邮件至 [email protected]，7 个工作日内人工审核后清除账号数据；退款审计记录及财务合规所必需的内容在法定/必需最短期限内保留。
9. 响应时限：对本条各项请求，我们最迟在 15 个工作日内答复。为保障安全，处理前可能要求验证身份。对无端重复或超出合理限度的请求，我们可能酌情收取成本费用或拒绝，并说明理由。

第六条 未成年人保护

本软件面向创作者，不面向 14 周岁以下未成年人，我们不会故意收集 14 周岁以下用户的个人信息。若您为未满 18 周岁的未成年人，请在监护人陪同与同意下使用本服务。若我们发现在未事先获得可证实的监护人同意的情况下收集了 14 周岁以下未成年人的个人信息，将设法尽快删除。监护人如发现相关情形，请通过第九条联系方式与我们联系。

第七条 本政策的更新

我们可能因法律法规变化、产品功能调整等原因修订本政策。重大变更将在生效前不少于 7 日通过应用内公告告知；其余修订自官网公布时生效。您在修订生效后继续使用本服务，表示同意受修订后政策的约束；不同意的，您可停止使用云端功能或按第五条注销账号。

第八条 其他

1. 本政策任一条款被认定无效的，不影响其余条款的效力。
2. 条款标题仅为阅读方便，不作为解释依据。
3. 本政策提供多语言版本，各版本歧义时以简体中文版本为准。
4. 本政策为《软件许可及服务协议》的组成部分；其法律适用与争议解决适用该协议第十四条的约定（适用中华人民共和国法律，争议由被告住所地有管辖权的人民法院管辖）。
5. 官网另有面向阅读的叙述版《我怎么对待你的数据》，两者事实一致，冲突以本政策为准。
6. 境外用户附加说明：若您位于欧洲经济区、英国或其他您所在地法律赋予额外数据权利的辖区，您依法享有的访问、更正、删除、限制处理、数据可携带及向当地监管机构投诉等权利不受本政策限制，行使途径同第九条；个人信息处理者（控制者）身份见引言。

第九条 联系方式

个人信息保护相关问题、意见或投诉，请联系：

• 邮箱：[email protected]
• Discord / QQ 群：入口见官网页脚
• 书面函件送达地址：浙江省杭州市余杭区径山镇双溪村同安路51号F0864

我们将在验证身份后尽快处理，最迟不超过 15 个工作日或法律法规规定期限内回复。

ArisFusion Studio
杭州余杭澈韵网络科技工作室
浙江省杭州市余杭区径山镇双溪村同安路51号F0864

发布日期：2026 年 8 月 4 日
最新版本生效日期：2026 年 8 月 11 日