钩子隐私政策

对账号、试用申请、授权、安全和官网联系数据，个人信息处理者或控制者是 App 分发页、订单、发票或企业合同中列明的钩子运营实体。对仅在本地处理的项目和组织团队内容，个人用户或其组织决定处理目的；钩子通常无法访问这些内容。

本政策适用于 macOS App、gouzi.me 以及相关账号、授权、分享和团队服务，不替代你主动选择的模型供应商隐私政策。若运营实体、地址或隐私联系方式未在分发材料中明确，请先通过 gouzi.me 或 App 内反馈确认。

运营主体／公司全称：__________。注册地址：__________。公开联系电话或邮箱：__________。个人信息保护负责人姓名：__________。负责人联系方式：__________。专用隐私邮箱或联系电话：__________。

你直接提供的信息可能包括手机号或用户名、验证码和登录凭据、企业或团队名称、联系人姓名、职务、联系方式、团队规模、需求描述、同意记录、反馈及客服沟通。系统可产生安装或设备标识、会话与授权令牌、试用或许可证状态、席位和设备绑定、安全日志、IP 地址、请求时间、版本与基础设备信息。

我们从你、团队管理员、你的设备以及为登录、授权、更新和安全提供服务的系统取得这些数据。我们不会要求模型 API Key；API Key 应留在 macOS 钥匙串或管理员设备。

具体保存期限：账号注册信息在账号存续期间及注销后 __________；登录凭据与令牌在会话结束或令牌过期后失效；安全日志与 IP 地址保存 __________；交易与订单信息按适用税务、会计及其他法定期限保存。

除非你主动使用云模型、分享、团队传输或备份，项目文件、导入的图片、文本、视频和音频、画布快照、候选结果、私有智能及语义索引不会上传到钩子服务器。本地索引可分析文件名与元数据、图片和文本内容、OCR、视频代表帧与字幕、音频转写、描述、颜色和情绪等，以提供搜索、匹配和关键帧能力。

本地模型和系统框架在设备上执行；下载模型时服务器会收到常规网络请求信息。你可暂停或重建索引、删除素材、项目、模型或私有智能，并通过 macOS 权限控制文件访问。

当你主动执行云端任务时，我们或 App 仅把完成该任务所需的提示词、选定素材、参数和上下文发送到你选择的供应商。供应商可能在其他国家或地区处理和保留这些数据，具体取决于你的配置及其政策。取消界面操作不能保证已被供应商接收的请求立即删除。

钩子不将整个项目、素材库、索引或 API Key 作为任务内容发送。请在提交前移除不必要的个人信息和机密信息，并查看供应商的数据使用、训练和保留选项。

团队网关在局域网内对成员进行认证并转发管理员允许的模型能力；管理员密钥不会分发给成员。团队学习事件和符合政策的精选素材可加密传输到管理员 Mac，管理员可搜索、备份和管理整合后的企业智能资产。传输范围见用户协议，且与个人工作区物理隔离。

在该场景中，组织通常决定成员数据的目的与范围并负责合法依据、告知、权限和权利请求；钩子按产品功能和企业合同提供工具。管理员可见性、保留及成员离职处理应遵循组织政策和当地劳动、隐私法律。

我们处理服务器数据，用于创建和保护账号、提供试用和授权、绑定获许可设备与席位、回应申请和反馈、提供分享与更新、检测滥用、排查故障、履行合同和法律义务。法律要求时，依据你的同意或单独同意；也可能为履行合同、遵守法律或在不损害你权利的前提下保障服务安全而处理。

本地 AI 分析由你在设备上控制；团队内容由相关组织依据其权限和政策处理。我们不会把你的项目内容用于训练钩子的通用模型，除非另行提供清楚、可撤回的选择并取得适用法律要求的授权。

必要接收方可能包括账号与基础设施服务商、你选择的模型供应商、团队管理员，以及依法有权的机关。我们要求受托服务商仅按约定目的处理并采取安全措施。具体供应商、地点或处理目的发生实质变化时，我们会更新说明并在法律要求时另行通知。

我们不出售个人信息，不为跨场景行为广告共享个人信息，也不使用项目内容进行广告画像。语义搜索、关键帧、分割、转写和排序用于辅助创作，不会单独产生对你具有法律或类似重大影响的决定。

第三方服务商明细：服务商名称：__________；服务类型：__________；涉及的个人信息种类：__________；隐私政策链接：__________。实际存在多个服务商时应逐一列示。

当前账号、试用、授权和安全服务可能经中国香港接入，并在新加坡存储或处理；你选择的模型供应商还可能在其公布的地区处理任务数据。来自中国大陆或其他受限制地区的数据跨境时，我们会依适用法律采取合同、安全评估、认证或其他机制，并在需要时提供接收方信息、权利渠道及取得单独同意。

若产品未向你提供适用地区依法所需的跨境告知或选择，请不要提交相关个人信息，并通过 App 内反馈联系我们。组织管理员也应审查其所选模型供应商和成员数据的跨境安排。

境外接收方明细：接收方名称：__________；所在地：__________；处理目的：__________；处理方式：__________；涉及的个人信息种类：__________。面向中国大陆个人提供前，还应单独告知接收方联系方式和权利行使方式，并在依法需要时取得单独同意。

本地内容保存到你删除、覆盖或移除设备为止。服务器数据仅在账号或授权有效期间、完成你请求的服务、处理安全与争议、履行合同和法定义务所需的最短期限内保存；达到目的后删除或匿名化。日志、交易和备份可在法定期限或滚动备份周期内受限保留。

团队企业智能资产由管理员设备和组织政策决定保留期；模型供应商依其政策保留任务数据。账号删除不会自动删除已经传给独立供应商、其他成员设备或依法必须保存的数据。

我们采用传输加密、访问控制、速率限制、最小权限、本机钥匙串、团队证书、内容寻址去重和加密恢复包等措施。任何系统都不能保证绝对安全；请保护设备、恢复密钥、账号和项目备份。

发生可能影响你权利的安全事件时，我们会依法评估、控制并向主管机关和受影响个人通知。离线恢复密钥与恢复包应分开保存；丢失恢复密钥可能导致无法恢复，钩子无法替你找回其中的加密内容。

服务器数据权利请求路径：__________；答复期限：__________。账号注销路径：__________；核验身份后的完成时限：__________。本地数据仍可直接在设备上删除。

依所在地法律，你可请求知情、查阅、复制、导出、更正、补充、删除、限制或停止处理、撤回同意、注销账号、反对或投诉，并可了解自动化处理和跨境接收方。撤回不影响撤回前处理的合法性。我们会验证身份，并在法定期限内答复；法律允许时可拒绝明显无依据、过度或影响他人权利的请求并说明理由。

你可直接删除本地项目、索引、模型、私有智能和 API Key；服务器数据请求请通过 gouzi.me 或 App 内反馈提交。团队成员关于企业智能资产的请求通常应先联系组织管理员，也可联系我们协助转交。

本政策更新时会同步更新版本和日期。涉及处理目的、处理方式、个人信息种类或权利的重大变化，将通过 App、网站或账号流程显著提示，并在适用法律要求时重新取得同意。

钩子面向专业和组织用户，不以未成年人为目标。未达到所在地数字同意或完全民事行为年龄者，不应自行注册或提交个人信息；确需使用时必须由监护人或有权组织依法授权。发现未经授权的未成年人数据后，我们会采取删除或限制措施。

重大变更会更新版本日期，并在法律要求时通过 App、网站或账号流程显著提示并重新取得同意。问题、权利请求或投诉可通过 gouzi.me 或 App 内反馈提交；在运营主体、地址和专用隐私联系方式正式列示前，本政策不得作为完成商业公开发布合规审查的唯一依据。