一、用户协议
欢迎使用兔所。您注册、登录、勾选同意、访问或继续使用兔所，即表示您已阅读并同意本页所列用户协议、隐私政策、AI 推演免责声明和数据安全说明。
1. 服务内容
兔所通过对话、路径分支、状态整理和 AI 生成内容，帮助您梳理选择、观察可能后果、记录阶段状态和进行结构化思考。服务输出仅供参考，不构成任何专业意见或确定性预测。
2. 账号和使用责任
- 您应确保注册、登录和提交的信息真实、合法、由您有权提供。
- 您应妥善保管账号、验证码、登录状态和设备安全，不得将账号转让、出租或用于违法用途。
- 您不得提交违法违规、侵权、骚扰、仇恨、欺诈、恶意攻击、危害未成年人或侵犯他人隐私的内容。
- 您不得通过自动化脚本、逆向工程、绕过安全限制、滥用接口等方式影响服务稳定或获取非授权数据。
3. 服务变更、中断和限制
兔所仍在持续迭代。我们可能因维护、安全、容量、合规或产品调整暂停、限制或变更部分功能。对明显违反本协议、危害系统安全或侵犯他人权益的行为，我们可以采取限制使用、停止服务、保全必要证据等措施。
4. 知识产权和内容使用
兔所的界面、系统、流程、模型编排、文本、图形、标识和技术实现由相应权利人依法享有权利。您保留对自己输入内容中依法享有的权利。为提供服务、保存历史、生成推演、改进安全和质量，我们会在本政策说明的范围内处理您提交的内容。
5. 高风险场景
如果您正在经历自伤自杀风险、重大财产损失、医疗紧急情况、法律纠纷、暴力威胁或其他现实危机，请立即联系现实中的可信人员、专业机构或当地紧急救助渠道。兔所不能替代现实救助。
二、隐私政策
兔所的隐私原则是：只处理提供服务所必要、可解释、可控制、可删除或不可逆匿名化的数据。我们不会因为您同意使用服务，就把所有内容都视为可以无限制保存或使用。
1. 我们可能收集和处理的数据
| 数据类型 | 示例 | 主要用途 | 用户控制 |
|---|---|---|---|
| 账号信息 | 手机号、昵称、用户 ID、登录状态、短信验证码校验记录；邮箱、微信等可作为后续可选绑定信息 | 注册登录、识别账号、保障账号安全 | 可请求更正、删除或注销 |
| 对话和推演内容 | 您输入的文字、AI 回复、路径分支、选择记录、会话标题 | 生成回复、保存历史、继续推演、问题排查 | 可删除会话或提出删除请求 |
| 长期记忆和状态摘要 | 目标、偏好、现实约束、重要事件、阶段状态、个人世界模型摘要 | 提供连续推演、减少重复解释、提升个性化理解 | 默认开启；可在设置中关闭，后续可查看和删除 |
| 同意和撤回记录 | 同意类型、版本、状态、时间、IP hash、User-Agent hash | 证明告知和授权状态，落实撤回后的处理边界 | 可撤回可选同意 |
| 技术日志和安全数据 | request id、路由、耗时、错误码、模型 token 用量、脱敏摘要、客户端错误 ID、WebView 错误来源、API 路径和状态码 | 安全审计、故障排查、容量和质量分析、客户端崩溃/错误定位 | 不记录聊天正文、完整 prompt、长期记忆、手机号、短信验证码或登录 token；按必要期限保留，注销时删除或不可逆匿名化 |
| 反馈与投诉数据 | 反馈类型、问题描述、可选联系方式、当前路由、平台、网络状态、可选错误 ID | 处理问题、回复投诉、定位故障和改进产品体验 | 不默认附带聊天正文或截图；注销时删除或不可逆匿名化 |
| App 内通知历史 | 通知类型、标题/正文、可选跳转路由、已读状态、创建/阅读时间 | 展示 App 内历史通知和兔尾巴未读状态 | 当前仅保存在本机 WebView 存储；不等同于系统通知权限或远程推送 |
2. 长期记忆如何工作
长期记忆用于从您的对话中提取与目标、偏好、现实约束、重要事件和阶段状态有关的信息。长期记忆默认开启，以保持既有产品体验；您可以在账号与安全设置中关闭。
关闭长期记忆后，系统应停止新记忆提取、旧记忆召回、状态快照刷新、个人世界模型刷新和基于新对话的长期记忆类后台任务。原始对话是否继续保存用于历史回看，取决于您的会话保存和删除操作。
3. 第三方 AI 处理
为了生成回复和推演内容，我们可能调用第三方 AI 模型服务。当前 AI 服务提供方为 DeepSeek。生产环境会在 AI 出站前按配置进行数据最小化和脱敏处理，例如移除邮箱、手机号、身份证号、银行卡号、详细地址和显式姓名等信息，同时尽量保留推演所需的金额区间、时间锚、关系结构和决策张力。
除非获得您的明确同意，我们不会主动将您的私密原文作为训练公开模型或第三方模型的数据提交。用于产品优化的数据，应先生成强匿名、不可逆、去身份链路的结构化摘要或聚合指标，再删除或不可逆匿名化原文。
4. 删除、更正、复制和撤回
您可以通过产品设置、后续提供的记忆管理能力或联系渠道，请求查看、更正、复制、删除个人信息，或撤回长期记忆、第三方 AI 处理、可选统计等同意。我们会在核验身份后依法处理。
删除请求将按数据类型处理：账号标识和用户 ID 映射删除或不可逆匿名化；原始对话、memory evidence、个人世界模型默认删除；匿名聚合指标可保留用于产品优化；支付、订单和安全审计数据按法律或安全需要保留必要记录，并与对话、记忆和画像数据解绑。
5. 账号注销和数据处理边界
您可以在 App 内“我的 - 设置 - 注销账号”发起账号注销。注销完成后，该账号将无法继续登录，当前设备的登录状态也会被清除。
当前后端采用删除或不可逆匿名化方式处理账号注销：账号身份、手机号/邮箱等标识、会话和推演内容、长期记忆、个人世界模型、Eve 交接记录、运行 trace、后台任务、验证码记录等，会按表结构进行删除、替换为隐私占位值或不可逆匿名化。
我们不会承诺“彻底删除所有数据”。为安全、审计、故障排查、额度统计、匿名产品分析或合规需要，部分匿名统计、安全记录、合规留存记录或已无法直接识别您的记录，可能在必要边界内继续保留；这些记录应与原账号身份解除直接关联，除非法律、安全或争议处理要求另行保留。
账号注销/匿名化是不可恢复操作。处理完成后，旧 token 应失效，您无法再找回该账号下的历史会话、推演、长期记忆或个性化状态。
6. 未成年人
兔所不面向未成年人提供虚拟亲密关系或替代现实陪伴服务。未成年人使用前应取得监护人同意，并在监护人指导下使用。我们发现可能不适合未成年人使用的情形时，可能采取限制、提醒或停止服务等措施。
三、AI 推演免责声明
兔所提供的是 AI 辅助的路径推演和结构化思考，不提供心理咨询、医疗诊断、法律意见、投资建议、就业规划、婚恋咨询或其他需要资质的专业服务。
- AI 输出可能不完整、不准确、过时或不适合您的真实处境。
- 推演结果不是命运预测，也不应成为重大现实决策的唯一依据。
- 涉及健康、法律、财务、人身安全、雇佣关系、婚姻家庭等高风险事项时，请咨询具备资质的专业人士。
- 您基于兔所内容作出的判断、行动和后果，应由您结合现实情况独立承担。
四、数据安全说明
我们会采取与业务规模、数据敏感程度和技术条件相匹配的安全措施，降低数据泄露、篡改、丢失、误用和未授权访问风险。
- 正式生产环境应通过 HTTPS 提供服务，并避免数据库公网裸连。
- API key、数据库密码、短信服务密钥等敏感配置应保存在环境变量或密钥管理服务中，不进入代码仓库。
- 如存在密码字段，应使用 bcrypt、Argon2 或同等级单向哈希方案，不保存明文密码。
- 生产 trace/debug 默认只保留 summary 信息，不持久化完整 prompt、完整模型输入输出、完整用户原文或完整记忆快照。
- 需要临时开启 full trace 时，应通过环境变量、限定管理员、限定时间窗口，并自动过期。
- 备份、运行时文件、导出文件和调试日志应纳入访问控制和保留期限管理，避免明文散落。
- Android 早期测试版会将登录 token、用户信息和同意状态保存在本机 WebView 存储与 Capacitor Preferences 中，用于保持登录状态；当前 Preferences 属于本地键值持久化，不等同于专用加密保险箱，后续可在正式发布前单独评估 secure storage。
1. Android 权限说明
当前 Android 早期测试版只请求联网权限，用于连接兔所服务端、登录、同步会话和通过服务端调用 AI 推演能力。
| 权限 | 用途 | 当前状态 |
|---|---|---|
| INTERNET / 网络访问 | 连接兔所后端、登录、加载会话、提交推演请求和接收 AI 生成结果。 | 已请求 |
| 短信、相机、麦克风、定位、通讯录、相册/文件、蓝牙/NFC | 当前版本不依赖这些权限；短信验证码由用户手动输入，不读取短信内容。 | 未请求 |
| 通知权限 | 当前只有 App 内通知历史和兔尾巴未读状态，不请求系统通知权限；如后续接入本地通知或远程推送，会在上线前更新本页和 SDK/权限清单。 | 未请求 |
2. Android 本机保存的数据
| 本机数据 | 保存位置 | 用途 | 退出/注销后的处理 |
|---|---|---|---|
| 登录 token、用户快照、同意状态 | WebView localStorage/sessionStorage 和 Capacitor Preferences | 保持登录状态、减少重复授权确认 | 退出登录、登录过期或账号注销成功后清除 |
| 页面状态、网络错误状态、临时 UI 状态 | WebView 运行时内存或浏览器存储 | 提升 App 内导航和重试体验 | 随页面刷新、退出登录或清理存储而失效 |
| 对话、推演、长期记忆主体数据 | 服务端数据库和受控运行环境 | 保存历史、继续推演、提供个性化连续体验 | 按关闭记忆、删除请求或账号注销规则删除或不可逆匿名化 |
3. 渠道审核摘要
当前 Android 包内未接入第三方崩溃分析、产品统计、广告、支付或远程推送 SDK。产品使用自建服务记录脱敏后的运行错误与有限的功能交互事件（例如功能入口点击、流程完成、命途校准结果），用于发现卡关和优化体验；不采集聊天原文、摆盘答案或个人选择内容。账号匿名化后，这类事件将与账号解除关联。如后续接入第三方 SDK，会先更新隐私政策、SDK 清单、数据安全说明和渠道材料。
五、AI 生成内容标识
兔所的对话回复、推演、总结、分支场景和建议可能由 AI 生成或 AI 辅助生成。产品界面应让您清楚知道自己正在与 AI 服务互动，而不是与自然人或专业人员互动。
如果未来提供复制、导出、分享、发布、图片、PDF、海报等功能，我们会按适用规则在合适位置保留或展示 AI 生成合成内容标识，并在必要时添加文件元数据等隐式标识能力。
六、拟人化互动边界
兔所和 Eve 可能使用自然、共情、连续的表达方式，但它们不是自然人，不具备真实人格、情感、专业资质或现实责任能力。请不要把兔所或 Eve 当作真人陪伴、治疗关系、法律顾问、投资顾问或任何专业人士。
- 我们不把诱导沉迷、替代现实社会交往、控制用户心理或制造情感依赖作为服务目标。
- 您可以随时停止对话、退出页面、关闭长期记忆或请求删除相关数据。
- 如未来上线明确的拟人化互动服务或新增持续性情感互动功能，应在上线前单独评估安全责任、退出路径、未成年人保护、风险提醒和合规要求。
七、第三方服务和数据出境
为提供服务，我们可能使用 AI 模型、短信、云计算、数据库、日志、安全，以及未来可能的邮件、微信、支付等第三方服务。我们会尽量只向第三方提供实现功能所必要的数据，并要求其按照约定和适用规则处理。
1. SDK 清单和第三方处理者
| 服务类型 | 可能处理的数据 | 处理目的 | 当前边界 |
|---|---|---|---|
| 第三方 AI 模型（DeepSeek） | 脱敏后的对话上下文、结构化变量、推演任务说明 | 生成回复、推演、摘要和结构化结果 | 生产出站前按隐私模式脱敏；raw debug 仅本地开发 |
| 短信服务（腾讯云短信） | 手机号、验证码、发送状态、运营商回执 | 登录验证和账号安全 | 仅用于登录验证；短期保留，避免超出登录目的使用 |
| 云、数据库和安全服务（腾讯云） | 账号、会话、日志、运行指标、安全事件 | 存储、计算、备份、防护和故障排查 | 服务器、数据库和基础云资源由腾讯云承载；按访问控制、保留期限和最小必要原则处理 |
| 支付服务 | 未来可能的订单、支付状态、发票或退款信息 | 付费、退款、对账和合规留存 | 当前代码未发现正式支付表；上线付费前需单独补充 |
2. 第三方共享清单
| 接收方类型 | 共享数据 | 目的 | 当前状态 |
|---|---|---|---|
| 腾讯云短信 | 手机号、验证码发送请求、发送状态和运营商回执 | 完成短信验证码登录和账号安全校验 | 服务端接入；真实发送稳定性仍需审核通过后实测 |
| DeepSeek | 脱敏后的对话上下文、结构化变量和推演任务说明 | 生成回复、推演、摘要和结构化结果 | 生产出站前按隐私模式脱敏；不主动将私密原文作为训练公开模型或第三方模型的数据提交 |
| 腾讯云 | 账号、会话、记忆、日志、备份、运行指标和安全事件 | 托管、存储、备份、防护、故障排查和稳定性保障 | 用于服务器、数据库、短信、HTTPS 访问和基础云服务；按最小必要、访问控制和保留期限处理 |
| 未来可能的推送、原生崩溃分析、统计、广告或支付服务 | 视具体服务而定 | 通知、稳定性、产品分析、商业化或支付 | 当前 Android 包内未接入第三方 SDK；当前错误上报为自建 endpoint，接入第三方前会更新本页和渠道材料 |
如第三方服务涉及向境外接收方提供个人信息，或由境外处理个人信息，我们会按适用的数据出境规则评估是否需要安全评估、标准合同、个人信息保护认证或适用豁免条件。
八、联系我们、投诉和更新
兔所的运营主体为上海未镜之境科技有限公司。如您对本页内容、个人信息处理、长期记忆、第三方 AI 调用或数据删除有疑问，可以通过 App 内“我的 - 设置 - 数据与合规 - 反馈与投诉”，或发送邮件至 support@foreseelab.cn 联系我们。该邮箱也作为个人信息保护联系人邮箱。
本页内容可能因功能变化、供应商变化、法律法规变化或安全策略升级而更新。涉及重大变更时，我们会通过页面提示、弹窗或其他适当方式告知；需要重新取得同意的，我们会重新征求您的同意。