隐私声明 - Eliza

1. 责任主体

对于通过网站、账户系统、许可 API 以及可选的云同步功能处理的个人数据，由 Eliza 负责。如果您仅将 Eliza 作为本地客户端使用且未创建账户，则可能只有极少量个人数据到达我们的服务器，或完全没有。

根据您使用本服务的方式，我们可能处理以下数据：

账户数据：电子邮件地址、密码哈希（Argon2id）、可选的显示名称，以及加密存储的多重认证（MFA）密钥；
许可证和设备数据：套餐类型、许可证密钥元数据、到期时间，以及用于执行名额上限的设备绑定标识符；
支持沟通记录：您发送到我们联系地址的消息；
付款参考信息：来自支付服务商的有限账单元数据（我们不会在 Eliza 服务器上存储完整的银行卡号）；
技术日志：运行和保护 API 所需的 IP 地址、时间戳、User-Agent、请求路径和错误诊断信息；
访问统计：您打开 eliza.tools 时产生的数据，包括保存在您浏览器中的随机访客 ID（我们只存储其哈希值）、所访问的页面、您来源的网站或带标记的链接、您是否下载了 App、打开了注册表单或进行了登录、您的操作系统和浏览器名称、语言、时区、屏幕尺寸，以及根据您的 IP 地址查得的大致位置（国家、地区、城市）。我们不存储 IP 地址或完整的浏览器标识字符串，访问记录最多保留 400 天；
同步的配置文件数据：见第 4 节。

开设标准账户无需提供政府签发的身份证件。我们不出售个人数据。

我们处理个人数据是为了：

如提供营销邮件，我们只会在您另行明确同意后发送。您可以通过退订链接或发送邮件给我们来撤回同意。撤回同意不影响此前的合法处理，也不影响必要的服务邮件。

如果您启用云同步，指纹配置、代理凭据及相关配置文件字段在写入我们的数据库之前会使用 AES-256-GCM 加密。加密的作用是在存储遭到入侵时降低数据暴露的风险；它不能替代您自身的操作安全措施（高强度的账户密码、MFA、谨慎的设备使用习惯）。

我们处理这些数据是为了提供同步和恢复功能。我们不会将您浏览配置文件中的内容用于广告。

客户端或网站可能会发送有限的、面向产品的事件，例如功能使用计数、崩溃签名、版本字符串和操作系统类型。我们利用这些信息确定修复的优先级并了解产品的可靠性。我们不会基于这些遥测数据建立广告画像，也不会出售这些数据。

在可行的情况下，我们优先采用汇总或假名化的形式。您可以向我们询问目前针对您的账户类型收集了哪些类别的数据。

我们依靠基础设施和边缘服务提供商托管网站、API 和数据库（例如云 VPS 主机，以及 Cloudflare 等 CDN / 隧道服务提供商）。视具体服务而定，这些服务商或作为处理者按照我们的指示处理数据，或就其自身的安全日志作为独立的控制者处理数据。

数据可能在我们主服务器所在的国家以及边缘服务提供商开展业务的地区进行处理。如果您位于欧洲经济区/英国且需要使用数据传输工具，我们将依赖这些服务商提供的适当保障措施（例如标准合同条款）。

账户和许可证记录在账户有效期间予以保留，并在此后根据处理争议、保障安全和履行法定义务的需要再保留一段合理的期限。安全日志按更短的周期轮换，除非调查需要将其保留更长时间。

如果某个账户连续 24 个月既没有成功的身份验证，也没有任何许可证活动，我们可能将其视为已弃用，并删除或匿名化相关的个人数据和同步数据，此后可能无法恢复。

您可以要求提前删除；我们将照办，除非强制性法律要求我们保留特定记录（例如已完成的发票）。

在适用法律（包括适用情况下的 GDPR）允许的范围内，您可以请求访问、更正、删除、限制处理、数据可携带，或对某些处理提出反对。您也可以向当地的监管机构提出投诉。

如需行使上述权利，请使用账户所登记的邮箱发送邮件至 privacy@eliza.tools。我们可能会要求您提供核实请求所合理需要的信息。

我们在传输中使用 TLS，对密码进行哈希处理，对敏感字段进行加密，对源服务器进行网络加固，并对生产系统实施访问控制。没有任何传输或存储方式是绝对安全的。您应当保护好自己的设备和凭据；对于因我们控制范围之外的终端设备遭到入侵而造成的损失，我们不承担责任。

Eliza 面向成年人。我们不会在知情的情况下收集任何未满 18 岁者的个人数据。如果您认为有未成年人进行了注册，请联系我们，我们将删除该账户。

我们可能会随着产品或法律要求的变化修订本声明。对于重大更新，我们将在适当时通过产品内通知或电子邮件告知。