隐私政策
生效日期：2026-09-07 ｜ 版本：v2.0
1. 我们是谁
「真知 · AI 认知教练」是一个 AI 辅助的个人学习教练 Web 应用，当前版本为单账号产品（一个账号、一名使用者）。控制者：上海迭元智能科技有限公司。联系方式：sj18321674771@outlook.com。
2. 本政策适用范围
适用于您在使用本产品全部功能（登录、学习材料导入、教学对话、练习评估、复习、研究搜索、行为反馈组件）过程中产生的个人数据处理。
3. 我们收集哪些信息
3.1 账号信息：用户名、密码、账号创建时间、成人确认状态。密码以 bcrypt 单向哈希校验：登录凭据存于服务器端环境配置，数据库仅存储哈希，任何明文密码不写入数据库。
3.2 您导入的学习材料：您主动上传或通过 URL 导入的文档（PDF / Markdown / 纯文本 / 网页），含标题、文件大小、页数、内容指纹（SHA-256）、解析后的文本分块，以及您撰写的学习笔记。URL 导入按您指定的地址取源，私网地址拒绝访问。
3.3 学习与评估记录：九维掌握证据事件、练习作答、复习调度记录、学习目标（含您输入的目标原文）与研究记录、系统知识库条目。
3.4 行为反馈信号：上线初期暂不采集行为反馈信号；产品内同意管理入口启用后，将采集：信任度前后置评分、纠错提交（含您输入的自由文本）、「有用」标记、答题前后信心自评、内容回看、页面驻留时长/滚动深度/回访计数等使用信号，及其关联的概念/探测/会话标识与时间戳。
3.5 技术日志：登录/登出、数据导出、账号删除等安全审计事件（审计留痕不可变，用于安全与合规，删除账号时按法定日志留存期保留后删除）；访问频率计数（仅存储哈希化标识，不含明文 IP）；按课次计的模型调用量与成本计量（模型名、token 数、费用）。
3.6 Cookie：本产品仅使用一个必要 Cookie feiman_session（HttpOnly、Secure、SameSite=Strict、签名会话、有效期 6 小时、支持服务端吊销），用于保持登录状态。不使用任何分析、广告或追踪 Cookie。
4. AI 处理与外部传输（不出境）
为提供教学与评估功能，您的部分学习内容将传输至以下境内 AI 服务商处理。本产品不向境外提供您的个人信息，不进行跨境传输。
| 用途 | 提供商/模型 | 传输内容 |
|---|---|---|
| 教学对话生成、学习目标候选生成 | 阿里云通义千问 qwen3.7-flash（dashscope.aliyuncs.com） | 相关学习材料分块、学习目标原文 |
| 答案第二评估·异源校验（启用时） | 智谱 glm-4.7-flashx（open.bigmodel.cn） | 冻结的作答文本 |
| 备用第二评估源（白名单内·启用时） | DeepSeek deepseek-chat（api.deepseek.com） | 冻结的作答文本 |
| 知识库条目向量化 | 智谱 embedding-3（open.bigmodel.cn） | 知识条目的标题与摘录（向量存回本系统） |
- 材料分块向量当前为系统内占位值（不外发任何材料分块文本用于向量化）。
- 研究搜索功能（启用时）将搜索查询词发送至境内搜索服务商博查（api.bocha.com）。
- 上列 AI 服务商均作为受托处理者：仅按本产品指令处理、不得转委托、处理完成后按约定删除；委托处理协议随上线签署存档（附录 A-6）。
- AI 与搜索出站请求经出站白名单闸控制，白名单外目的地一律拒绝，新增目的地须同步修订本政策。
- 出站 Webhook 通知默认禁用（白名单为空）。
- 我们不出售您的数据，不接入广告或第三方分析服务。
5. 数据用途
仅为：(a) 提供学习教练功能（教学、评估、复习调度、掌握画像）；(b) 产品改进度量（如「啊哈时刻」验证——须您开启行为反馈同意后启用）；(c) 安全与滥用防护（审计、限流）；(d) 成本核算。不接受任何其他目的的复用。
6. 存储与安全
- 数据存储于服务器端 PostgreSQL 数据库（行级安全策略隔离）；V1 不使用对象存储，导入文件解析为文本分块后入库。
- 定期数据库备份随上线部署启用；备份介质的保留与删除规则见 §7（附录 A-5）。
- 安全措施：bcrypt 密码哈希校验、生产环境未配置密码即拒绝登录（fail-closed）、登录限流（哈希化标识）、会话吊销、AI/搜索出站白名单、密钥扫描、审计事件留痕。
- 上线前完成个人信息保护影响评估（PIA）并存档（附录 A-6）。
7. 保留与删除
保留期限框架：安全审计与访问日志依法留存不少于六个月；学习与评估数据随账号存续保留；您发起删除的各表按「数据权活矩阵」四类处置执行（随账号删除、30 天窗口删除、按业务保留、不可变审计留痕），逐表期限见产品内矩阵文档。
- 数据导出：通过产品内数据导出入口获取您的全部可导出数据（ndjson/CSV，生成即下载，不在服务器留存工件）。
- 账号全链删除：通过产品内删除入口发起；系统按分阶段工单执行（预览→留痕→数据删除→物理删除），并出具删除回执；数据库备份介质中的残留数据在下一备份周期滚动覆盖（附录 A-5）。
8. 您的权利与同意撤回
您有权访问、导出、更正、删除您的个人数据，并可撤回此前给出的同意。
- 更正：产品内更正入口列入上线后迭代；上线初期可经联系方式发起，我们将在 15 个工作日内响应。
- 自然探测（Probe）行为反馈功能默认关闭；您首次开启时，我们将单独取得您的同意并记录；关闭或撤回不降低学习功能质量。您可随时撤回同意，撤回不影响撤回前处理的合法性。
- 产品内同意管理入口随行为反馈功能上线（附录 A-2）；上线初期经联系方式行使撤回。
9. 未成年人
本产品仅面向成年人使用，不面向未满 18 周岁者提供服务。
10. 敏感个人信息提示
本产品不主动处理敏感个人信息。请勿在学习材料、笔记、目标或反馈文本中输入医疗健康、生物识别、金融账户、行踪轨迹、未成年人信息等敏感内容；此类内容按一般数据处理，您可随时删除。
11. 自动化决策与画像
学习评估、掌握画像与复习调度为辅助性自动化分析，仅用于改善您个人的学习体验，不产生对您权益有重大影响的决定。您可就评估结果要求说明，或经联系方式请求人工复核。
12. 安全事件通知
发生或可能发生个人信息泄露、篡改、丢失时，我们将立即采取补救措施，按规定通知履行个人信息保护职责的部门和个人（通知内容含原因、种类、可能危害、补救措施与联系方式）。
13. 政策变更
政策变更将在产品内公示并更新版本号；处理目的、处理方式或个人信息种类的实质变更将重新取得您的同意。
14. 投诉与监管
您可通过产品内渠道或 §1 所列联系方式向我们投诉，我们将在 15 个工作日内响应。您也有权向网信部门等履行个人信息保护职责的机构投诉、举报。