# 草台·会海隐私政策

**版本：v1.0**
更新日期：2026-10-12
**产品全称：草台·会海（以下简称"会海"或"本应用"）**
**运营者：南京建元智能科技有限公司（联系方式：contact@ctbz.com.cn）**
**注册地址：南京市江北新区葛塘街道宁六路349号327-32室**

## 引言与适用范围

**草台·会海**（以下简称"会海"或"本应用"）是一款会议记录应用，提供录音、实时字幕（AI 字幕 / 本地字幕）、会后转写、AI 纪要、「说两句」AI 辅助发言、会前准备等功能。本政策适用于会海 Android 客户端（其他端参照执行），说明我们收集哪些个人信息、为何收集、如何存储与保护、你与谁共享，以及你享有的权利。

我们深知会议内容的高度敏感性，坚持「最小必要、端侧优先、加密默认」原则：

- 录音默认在设备本地以 AES-256-GCM 加密保存，加密密钥不离开你的设备；
- 「本地字幕」模式下语音识别完全在你设备上离线运行，**该时段的语音音频不出设备**（该时段生成的字幕**文本**的送审口径见第一节 3、10，请一并阅读）；
- 我们**不接入任何第三方统计、埋点、广告 SDK**，不采集 IMEI、Android ID、设备序列号等设备标识；App 内使用的设备标识（device_id）为首次启动时本地随机生成的 UUID，仅用于请求归因与故障排查。**我们向你服务器上报的仅为完成计费与用量管理必需的用量事件**（见第一节 9），不上传给任何第三方。

在你首次使用会海前，我们会弹窗请你阅读并同意本政策与《用户服务协议》；你点击「同意并继续」之前，我们不会进行任何信息采集（不初始化第三方 SDK、不生成或上报 device_id、不读取剪贴板）。不同意则无法使用本应用。

## 一、我们收集的信息（按功能说明）

### 1. 注册与登录

- **手机号码**：用于验证码登录与账号标识。我们通过短信验证码核验号码归属，不设置也不存储登录密码。**手机号是本产品唯一的账号凭证：本产品不提供、也不要求你绑定微信或其他第三方账号**（详见第一节 5「分享至微信」与第三节第三方清单）。
- **短信验证码**：仅用于当次登录核验，核验后即失效。
- **设备与版本信息**：登录时上报操作系统类型（android/ios/ohos）与 App 版本号，用于登录管理与兼容性排查。**不包含** IMEI、Android ID、MAC 地址、设备型号。
- **协议同意记录**：你同意的协议版本号，用于协议升版后的重新征得同意。
- **安全验证**：对新号码注册等高风险场景，我们会调用腾讯防水墙验证码进行人机核验（见「第三方服务清单」）。

### 2. 录音与「AI 字幕」

**会议音频及其中的转写内容属于敏感个人信息。** 依《个人信息保护法》第二十八条至第三十条，我们在此单独告知处理的必要性与对你的影响，并取得你的单独同意：

- **必要性**：录音、转写与纪要是本产品的核心功能，没有会议音频就无法向你提供这些服务，因此该项信息对相应功能而言是必要的；
- **对你的影响**：会议音频可能包含你与在场人员的商业秘密、个人隐私或其他敏感内容，一旦泄露可能造成损害。为此我们采取的保护措施是：默认在设备本地加密保存、云端副本 7 天自动删除、你删除会议时物理删除、全链路传输加密、不用于训练模型；
- **单独同意**：**在你首次开启录音时，我们会以单独弹窗再次征得你的同意**，你可以拒绝；拒绝后录音、字幕与纪要功能不可用，但你仍可查阅既有记录并使用其他功能。你也可以在每一场会议中通过不开启录音来拒绝。
- **录音音频**：点击开始录制后，App 经麦克风采集音频。录音默认在你设备本地以 AES-256-GCM 加密保存（加密密钥仅驻留设备内存，不落盘、不上传）。在极少数无法取得加密密钥的情形下，我们会弹窗征得你的明确同意后才以明文临时保存；你可以拒绝，拒绝则该场录音不保存。
- **AI 字幕（云端实时字幕）**：默认字幕来源。开启后，录音音频以 20ms 小帧经加密连接（WSS）实时上行至我们的服务器，并转发给阿里云百炼语音识别服务生成字幕。字幕文本保存在服务端供你查看与标重点（**字幕文本不支持编辑**）。音频实时转写用流本身不留存；会后「生成纪要/转写」时上传的加密整段录音保存在腾讯云 COS 音频桶，**7 天后自动删除**。
- **热词（自定义词汇）**：你可自行维护一份热词表（人名、公司名、产品名、项目代号、行业术语等），用于**提升这些词在你自己会议中的识别准确率**。热词表内容**保存在我们的数据库（账号级）**：你开启 AI 字幕或进行会后转写时，热词表随识别请求一并提供给语音识别服务商（见第三节）；你使用本地字幕时，热词表**下发到你的设备后在本地生效、不另行上传**。热词表**仅用于向你本人提供识别增强，不用于训练任何模型，也不向其他用户共享或展示**。热词表文本作为用户输入内容**纳入内容安全审核**（见第一节 10）；其中涉及他人个人信息（如具体人名）的，由你确保提供与使用合法。热词表**保存至你删除该热词或注销账号时删除**（见第四节）。
- **AI 字幕是本产品的默认字幕来源**（当你的账号内尚有 AI 字幕额度时）。**当 AI 字幕额度用尽或当日云端用量达到上限时，我们会自动切换为「本地字幕」并在界面内提示你，录音不中断**；你也可以随时手动切换。**用于判定与扣减的用量信息（会议标识、字幕模式、流式时长）会报送我们的计费服务，见第一节 9。**

### 3. 「本地字幕」（端侧离线识别）

本地字幕使用端侧语音识别引擎，识别模型文件从我们自己的分发站点（download.ctbz.com.cn）下载到你的设备。

- **音频**：识别过程**完全离线在你设备上运行，本地字幕期间的语音音频不上传、不离开设备**（该时段云端字幕通道会被主动挂起，服务端不接收该时段音频）。**我们不会获得你本地字幕期间的会议录音。**
- **字幕文本**：本地字幕生成的字幕文本**默认仅在你的设备上展示与保存，不作为字幕记录存储在我们的服务器上**。但**为履行法定的内容安全审核义务，我们会在本地字幕期间按固定间隔抽取该时段的部分字幕文本片段，经加密连接上传用于内容安全审核**（见第一节 10）。关于这一点的必要说明：**审核义务针对的是"服务所生成的内容"，不因识别发生在你的设备上而免除；若本地字幕文本完全不送审，本产品将成为可被用来生成并留存违法内容的通道。** 该项上传**仅用于审核**：抽样片段仅在审核系统内按法定期限留存（见第四节），**不会用于向你展示字幕、不用于生成纪要、不用于模型训练，也不与你的会议作为整体关联留存**。
- **纪要不受影响**：你选用本地字幕时，会后生成纪要仍由你设备上的**整段加密录音**上传后在服务端完整重转（见第一节 5），**该时段的音频因此仍会在会后上传并保留 7 天**——**"音频不出设备"仅指本地字幕期间的实时上行通道被挂起，不指整场会议的音频永不离开设备**。若你希望某场会议的音频完全不离开设备，请不要为该场会议生成纪要或导出转写结果。
- **用量事件**：本地字幕期间的**字幕模式标记与使用时长**会上报我们的计费与用量服务（见第一节 9），该等事件不含音频内容与字幕文本。

### 4. 「说两句」与会前准备

「说两句」是你在会议中**主动点击触发**的 AI 辅助发言功能：

- 你触发后，我们会将本场已生成的字幕上下文、你选择的发言角色/意图、你输入的补充要求（≤200 字），以及你主动填写的会前准备背景，发送至我们的服务器，由阿里云百炼大语言模型（LLM）生成发言建议，并可能调用博查联网搜索补充公开信息。
- 会前准备的**语音输入**（把语音转成文字填入准备框）在**你的设备本地完成识别**，**该段音频不上传、我们也不留存**；识别出的文字回填进输入框、由你继续编辑——**你最终保存的会前准备背景会随准备单上传并保存在我们的服务端**（同上条）。会议录音进行中该按钮会被禁用（避免抢占音频通道）。
- **上传附件**：你可以上传范文（用于生成仅你可用的风格画像）或会前材料。除从本机选择文件外，也可以**粘贴一个文件打包链接**由我们从该链接拉取文件——**我们只从预先列入白名单的地址拉取，其他地址一律拒绝**。上传的文件原件在云端保留 **7 天**后自动删除；文件经转写与内容审核后用于生成风格画像或注入「说两句」上下文。
- 生成内容按法定要求留痕：生成参数只存不可逆校验值（不含原文，**2026-10-08 起的记录**）；生成的发言全文在服务端留存 **200 天**后由到期清理任务删除，依据是《生成式人工智能服务管理暂行办法》《互联网信息服务深度合成管理规定》关于生成合成内容留存与可追溯的要求，以及《网络安全法》第二十一条关于网络日志留存不少于六个月的要求。你删除会议时，该留痕随会议一并物理删除（**用户行使删除权优先**）。

### 5. 会议纪要

- 生成纪要时，本场会议的加密录音上传至腾讯云 COS（音频桶，7 天自动删除），服务端转写为文字稿（**7 天后删除**），再将文字稿发送阿里云百炼 LLM 生成纪要。
- **纪要正文**保存在我们的数据库中，**在你删除该场会议或注销账号时物理删除**；我们不对纪要正文设置固定的到期自动删除期限。
- **导出的纪要文件**（Markdown／Word／PDF）经腾讯云 COS 纪要桶中转，**24 小时到期、由存储桶生命周期规则每日清理，最长不超过 48 小时**；下载后保存于你设备的应用私有目录。
- 会议标题默认按开始时间生成，随会议保存。
- **关于文字稿**：转写文字稿是生成纪要的中间产物，**不作为独立功能向你展示，也不支持编辑**；它在云端保留 **7 天**后删除，**逾期后该场会议无法再重新生成纪要**。
- **导出范围**：**纪要（Markdown／Word／PDF）是唯一可导出的文本成品**；此外你可以使用**录音导出**功能取回原始音频（见下条）。由于文字稿不可查看、也不可编辑且仅保留 7 天，**如需长期留存会议内容，请在期限内导出纪要**。
- **录音导出**：你可将本场录音**解密后导出**到你的设备。由于导出的是**解密后的明文音频、不再受我们的加密保护**，导出前会**弹窗要求你明确确认**，你确认后才会执行。导出时通过**系统的文件保存对话框由你自行选择保存位置**——我们采用**逐次授权**方式：**仅在你主动发起导出的那一次，系统才授予我们写入你所选位置的权限；我们不申请、不持有常驻的存储写入权限，也无法访问你选择的位置之外的任何文件**。导出完成后该文件由你自行管理与保护，我们不再对其加密或控制。**该功能仅能导出你设备上仍存在的本地录音**（云端录音 7 天后已删除）。
- **分享至微信**：你在纪要导出页可主动选择将**已导出的 Word（.docx）或 PDF（.pdf）纪要文件**通过微信 OpenSDK 发送给你所选的微信联系人或群聊，**Markdown（.md）格式不提供分享至微信**。该动作的实现方式是：我们将该文件交予微信客户端，**由微信上传至其服务器并分发给你所选的接收方**。**该项处理仅在你逐次主动点击后发生**——我们不会自动上传任何文件，不读取你的微信通讯录与好友关系，无法在你发出后撤回该文件，也无法获知你最终发送给了谁。该文件经腾讯服务器传输与存储，**接收方（深圳市腾讯计算机系统有限公司）对其的处理适用其自身隐私政策与留存规则**，不受我们的加密与删除策略约束。**首次使用该功能时，我们会以弹窗取得你的单独同意**（《个人信息保护法》第二十三条），你可在「设置」中查看该同意状态。

### 6. 邀请与分享

- **邀请码归因**：你通过他人分享的邀请链接安装/打开会海时，我们通过 App Links 解析链接中的邀请码；首次启动时我们还会**一次性读取剪贴板**（仅在首次启动、且仅匹配「【会海】邀请码」格式的内容，读取一次后永不再读），用于邀请关系归因。邀请码在你登录后与账号绑定。
- **掩码手机号展示**：邀请人可在邀请结果中看到你注册手机号的**掩码形式**（如 138****5678），用于确认邀请成果；不会展示完整号码。
- 你可以通过系统分享把邀请链接分享给微信好友；分享动作由系统能力完成，我们不会获取你的微信好友信息。

### 7. 意见反馈

- 你主动提交反馈时，我们收集：反馈内容、反馈分类、**你选填的联系方式**（可填手机号/微信号/邮箱，非必填）、最多 3 张你主动选择的截图（相册或拍照，每张 ≤2MB）、操作系统类型与 App 版本号。
- 联系方式在管理端一律以掩码形式展示；截图保存在我们的数据库中，用于问题定位与回复。

### 8. 支付与订单

- **收集的信息**：你在本产品内购买套餐、场次零售包、纪要券包等商品时，我们收集**订单号、商品标识与快照、金额、支付渠道、支付状态、渠道交易号、支付时间**，用于完成交易、对账、退款与履行财务及税务法定义务。
- **支付渠道**：**微信支付**（深圳市腾讯计算机系统有限公司／财付通支付科技有限公司）与**支付宝**（支付宝（中国）网络技术有限公司）。
- **我们不收集、不存储你的银行卡号、卡 BIN、持卡人姓名、支付密码等金融账户信息。** 你在支付环节输入的账户与银行卡信息由该支付机构按其自身隐私政策收集与处理，我们不接触该等信息；我们仅接收下单参数与支付结果回调（回调报文中可能包含渠道侧的支付方标识，我们作为回调原文保存于支付记录中用于对账）。
- **发票**：**你在本产品内支付的每一笔费用都可以开具发票**，你随时索要我们都开具。因电子普通发票须按你指定的抬头开具，我们在付款时不默认生成发票；你可通过 App 内**「我的 → 设置 → 支持与关于 → 发票申请」**、「意见反馈」（分类「发票申请」）或 contact@ctbz.com.cn 申请，我们在核实订单后 10 个工作日内开具增值税电子普通发票。开具发票所需的**抬头名称、企业名称、纳税人识别号**等信息仅用于办理开票，我们不会将其用于其他目的，也不会因开票向你加收任何费用。
- **订单与支付记录的保留期**：按《会计档案管理办法》《税收征收管理法》等财务与税务法规要求的期限保存。
- **其他平台**：本应用当前仅在 Android 端提供。如后续上线 iOS 或 HarmonyOS 端，该等平台的数字商品购买须按平台规则通过 Apple 应用内购买或华为应用内支付完成，**销售方为 Apple／华为，其支付信息与发票由该平台按其自身隐私政策处理，我们不接触也无法开具该等订单的发票**。

### 9. 日志信息

- **不含任何第三方统计、埋点或广告 SDK。**
- **会向我们的服务器上报计费与用量事件**：为完成额度扣减、开票与对账、以及产品运营统计，你的 App 会在使用相关功能时向**我们自己的服务器**（不上传给任何第三方）上报用量事件，内容包括**会议/任务的标识、所用功能类型、字幕模式标记（AI 字幕／本地字幕）、时长或次数、发生时间、结果状态**。该等事件**仅用于计费核销与用量统计，不包含会议音频、字幕文本或纪要内容**，也不用于向你推送商业信息。
- 前述字幕模式标记用于统计 AI 字幕与本地字幕的使用占比，属**与产品功能直接相关的 aggregate 统计用途**；我们会在管理端以聚合口径查看。
- 服务端为履行《网络安全法》要求的网络日志留存义务，会将服务器访问日志（包含**你的 IP 地址**、访问时间、请求的接口）、服务运行日志集中留存于腾讯云日志服务（CLS），保存 **200 天**，到期后按法规要求处理。该等日志仅用于安全审计与故障排查。

### 10. 内容安全审核（法定义务）

依《生成式人工智能服务管理暂行办法》《网络信息内容生态治理规定》《互联网信息服务深度合成管理规定》等，我们对通过本产品处理的内容（会议字幕文本、会议纪要、「说两句」的输入与输出、上传文件的转写稿、**热词表文本**）履行安全审核义务，送审范围与服务商见「第三方服务 / SDK 清单」。

审核方式包含：敏感词表预筛、委托阿里云内容安全服务机审、以及**委托阿里云百炼大语言模型对命中词表的语句及其上下文做辅助研判**（用于降低误判、区分真实违规与正常用语，例如会议中引用文件原文、通报违纪案例、讨论合规议题等场景）。**辅助研判只接收触发审核的语句及其有限上下文，不接收整场会议内容。**

**该项处理是为履行法定义务所必需，不以你的同意为前提，你也不能通过撤回同意予以拒绝。**

**需要说明的适用范围（请务必阅读）**：

- **云端「AI 字幕」**：字幕文本经我们的服务器生成，**全部进入审核链路**，命中时相应位置会被打码或不予显示（见下条）。
- **「本地字幕」**：该时段的实时字幕在你的设备本地生成，**打码等"边生成边处置"的机制在你的界面上不生效**；但**我们仍会按固定间隔抽取该时段的部分字幕文本片段上传并送审**（见第一节 3）。**即：本地字幕不免除内容安全审核，只是命中后你的实时字幕界面不会被打码，处置以事后依法采取的措施为准。**
- **纪要、「说两句」与上传文件**：纪要送审整篇正文；「说两句」送审生成结果；上传文件送审其转换文本。**会后整场录音的转写文字稿一并接受审核**（见第一节 2、5）。

审核命中时你会看到：字幕中相应位置被替换为 `**`；命中高危类目或审核服务不可用时，相应片段不予显示（呈现为定长 `******`）；「说两句」已生成的内容事后被判定违规的，我们将在服务端标记为已撤回并停止其继续可用；纪要审核不通过的，任务失败、不交付，**已扣额度自动回补**。

审核记录（含被抽中内容的原文）按法律法规要求的期限留存，用于配合监督检查与合规审计，到期删除；**除履行上述法定义务外，我们不将其用于其他目的，也不会用于训练模型**。

如你认为处置有误，**可通过两条渠道提出**：① 纪要因审核未通过而未交付时，**该纪要页面直接提供「申诉」入口**，点击后进入人工复核队列（重复申诉不会产生重复工单），**复核改判通过的将自动恢复交付并重新生成纪要，已扣额度自动回补**；② 通过意见反馈（分类「审核申诉」）提出，我们将人工复核。**经复核认定为误判的，转人工处置：立即解除相应处置，并回补因此扣减或失效的场次与券。**

### 11. 账号风险等级与自动化决策

我们可能基于内容审核结果与账号使用情况，对你的账号设置风险等级或形成必要的用户画像，用于确定内容审核的抽检强度、防范批量注册与滥用、保障服务与账号安全。

**我们会用于形成该等评估的信息**包括两类：① **内容安全审核的结果记录**（命中类目、处置结论、申诉与改判情况）；② **用量与运行事件**，即第一节 9 所述的计费与用量事件，以及以下**使用行为特征**：会议之间几乎无间隔的连续开场、长期在异常时段连续使用、全程无任何人工交互（从不使用「说两句」、不标记重点、不查看纪要）、每场都将所含用量精确用满、以及**在模拟器、多开、群控等非真机或自动化环境中运行本产品**的技术特征。**该等评估不使用你的会议音频、字幕文本或纪要正文的内容语义**（内容审核产生的结果记录除外）。

这属于《个人信息保护法》第二十四条所称的**自动化决策**。我们向你说明该等处理**不会用于差别定价（同一商品对所有用户价格一致）、不用于向你推送个性化商业信息**，并说明它可能对你的使用产生的影响：

- **提示与云端排队降速**：不影响你使用本地字幕、查阅与导出既有数据；
- **设定每日云端用量硬上限**：仅限制云端「AI 字幕」的当日可用时长，**不限制本地字幕、录音、纪要的查阅与导出**；
- **暂停或终止服务**：该项**仅在人工审核后执行**，并依《用户服务协议》第 3.5 条向你提供异议渠道。

你有权要求我们说明，并有权**拒绝我们仅通过自动化决策方式作出对你的使用有实质影响的决定**——**除"提示与降速"外的措施，我们均设有申诉与人工复核环节，你不被视为仅由机器作出决定**。如你认为相关等级或画像有误，或希望查询、更正、删除，可通过意见反馈（分类「个人信息权利请求」或「审核申诉」）或邮箱 contact@ctbz.com.cn 提出，我们将在 15 个工作日内处理；**经复核认定为误判的，我们立即解除相应措施**。

## 二、设备权限清单

| 权限 | 用途 | 可否拒绝及影响 |
| --- | --- | --- |
| 麦克风（RECORD_AUDIO） | 会议录音、AI 字幕、本地字幕、会前准备语音输入、反馈语音输入 | 可拒绝；拒绝后无法录音及使用全部语音相关功能 |
| 通知（POST_NOTIFICATIONS） | 录音期间在通知栏显示录音状态（前台服务要求） | 可拒绝；拒绝后录音仍可用，但通知栏不显示录音状态 |
| 前台服务（FOREGROUND_SERVICE / FOREGROUND_SERVICE_MICROPHONE） | 保证 App 退到后台/锁屏时录音不中断 | 系统级声明，配合麦克风权限使用 |
| 网络（INTERNET） | 登录、字幕、纪要等全部联网功能 | 系统级声明 |
| 网络状态（ACCESS_NETWORK_STATE / ACCESS_WIFI_STATE，微信 SDK 引入） | 微信 SDK 判断网络可用性 | 系统级声明 |
| 读取存储（READ_EXTERNAL_STORAGE，仅 Android 12 及以下旧机型） | 选择要上传的文件（范文库/会前准备附件） | 可拒绝；拒绝后无法从共享存储选文件，可改用系统文件选择器 |

说明：

- 我们**不申请**位置、通讯录、短信、通话记录、日历权限，也**不申请相机与相册（媒体文件读取）权限**。
- **不申请常驻的存储写入权限**。导出录音时通过系统文件保存对话框**逐次授权**，仅该次生效、仅覆盖你选择的位置（详见第一节 5「录音导出」）。
- 意见反馈的拍照/选图通过**系统相机与系统相册选择器界面**完成，由系统临时授权单张图片的访问，我们无需声明相机或媒体读取权限。
- 我们通过 Android 包可见性声明**仅查询「微信是否已安装」这一项**，用于判断能否调起微信完成支付或文件导入；**我们不枚举、不收集你的已安装应用列表**。

## 三、第三方服务 / SDK 清单

| 第三方 | 形式 | 我们向其提供或其收集的数据 | 用途 |
| --- | --- | --- | --- |
| 腾讯防水墙（TCaptcha） | App 内嵌验证码页面（WebView） | 验证交互行为数据（由腾讯按其隐私政策采集，可能含设备环境信息）；验证票据回传我们服务器核验 | 注册等高风险场景人机核验，防批量注册 |
| 微信 OpenSDK（**已在 ICP／应用备案中登记**） | App 内 SDK | ① 调起微信时向其传递**目标操作参数**（微信支付为订单预支付信息；文件分享为**你所选纪要文件的路径与内容**，由微信上传至其服务器用于消息分发）；② 我们**仅通过 Android 包可见性声明查询"是否已安装微信"这一项**，不枚举你的已安装应用列表；③ **本产品不使用微信登录**，**不获取你的微信 openid／unionid、昵称、头像**，亦不将其与你的手机号建立任何绑定 | ① 拉起微信支付；② **将 Word／PDF 纪要文件发送到你所选的微信联系人或群聊（需你的单独同意）**；③ 邀请链接分享（走系统分享能力，不经 OpenSDK） |
| 微信支付（财付通支付科技有限公司） | App 内 SDK + 服务端调用 | 订单号、金额、商品描述；支付结果回调（可能含渠道侧支付方标识）。**你的银行卡号、支付密码等由微信支付按其自身隐私政策收集，我们不接触** | 套餐与额度（场次、券）购买 |
| 支付宝（支付宝（中国）网络技术有限公司） | 服务端调用（收银台） | 订单号、金额、商品描述；支付结果回调（可能含渠道侧买家标识）。**你的账户与银行卡信息由支付宝按其自身隐私政策收集，我们不接触** | 套餐与额度（场次、券）购买 |
| 阿里云百炼（语音识别 ASR） | 服务端调用，无端侧 SDK | 你的录音音频流（会议中的 AI 字幕、会后整稿转写）；**你开启热词时，热词表随请求一并提供**。**使用本地字幕时不产生该等音频流，热词表也不提供** | 语音转文字（含基于你的热词表的识别增强） |
| 阿里云百炼（大语言模型 qwen 系列） | 服务端调用 | 会议文字稿（生成纪要）、字幕上下文与你的发言选项（说两句）、会前准备图片（OCR 识别）、范文文本（风格画像）、**命中敏感词表的字幕语句及其上下文（内容审核辅助研判）** | AI 纪要、AI 发言建议、图片文字识别、**内容审核辅助研判** |
| 博查搜索 | 服务端调用 | 说两句生成时的检索关键词（不含你的身份信息） | 发言建议的公开信息补充 |
| 腾讯云 COS（对象存储） | 服务端/客户端预签名直传 | 加密录音文件（7 天删除）、上传原件（7 天删除）、纪要导出文件（24 小时到期，每日自动清理，最长不超过 48 小时）；当会后转写改由阿里云百炼承接时，另有一个**独立的临时桶**短暂存放解密后的音频副本（转写完成即删除，最长不超过 1 天） | 数据存储 |
| 阿里云内容安全（绿网，阿里云计算有限公司） | 服务端调用（无端侧 SDK） | 送审文本：会议字幕文本（含 **AI 字幕全量文本**与**本地字幕按固定间隔抽取的文本片段**）、会议纪要、**说两句的生成结果**、上传文件转写稿、**热词表文本** | 识别涉黄、涉恐涉暴、违法、涉政等内容并做合规处置，依法履行内容安全审核义务 |
| 腾讯云 CLS（日志服务） | 服务端基础设施 | 服务器访问与运行日志（含 IP 地址），保存 200 天 | 网络安全法要求的日志留存、安全审计 |
| 端侧语音识别引擎 | App 内开源引擎 | **无任何数据上传**；识别完全在设备本地离线运行 | 本地字幕 |

上述服务商均位于中国境内，数据存储于中国境内服务器。我们仅以实现对应功能所必需的最小范围向其提供数据，并以合同与权限隔离约束其不得另作他用。

## 四、信息的存储与保留

**存储地点**：中国境内（腾讯云南京地域）。

**本地存储（你的设备）**：

- 录音文件（默认 AES-256-GCM 加密）保存在应用私有目录，仅本应用可访问；删除会议或注销账号时一并清除。
- 登录凭证（访问令牌、手机号）经系统 Keystore 加密存储；设备标识（UUID）与隐私同意状态等以应用私有偏好存储。
- 导出的纪要文件保存在应用私有目录，你可在设置中一键清除。

**云端保留期**：

| 数据 | 保留期 |
| --- | --- |
| 录音音频（COS 音频桶） | 7 天后自动删除 |
| 会议转写文字稿 | 7 天后删除 |
| 云端 AI 字幕文本 | 随该场会议保存，在你删除该场会议或注销账号时物理删除 |
| 本地字幕抽取送审的文本片段 | **仅在内容安全审核系统内按法定期限留存**，不作为字幕记录存储、不用于其他目的（见第一节 3、10） |
| 会议纪要正文（数据库） | **不设固定到期删除**；在你删除该场会议或注销账号时物理删除 |
| 导出的纪要文件（COS 中转） | 24 小时到期，由存储桶生命周期规则每日清理（最长不超过 48 小时） |
| 热词表 | 账号级数据，保存至你删除该热词或注销账号时删除 |
| 上传原件（范文/会前准备附件） | 云端原件 7 天后自动删除；**其转换后的文本随你的账号数据保存，在你删除会议或注销账号时处置** |
| 说两句生成留痕 | 200 天（依生成合成内容与网络日志留存的法定要求；删除会议时随会议一并物理删除） |
| 服务端访问与运行日志（CLS，含 IP） | 200 天，到期后按法律法规要求处理（含依法归档） |
| 账号信息（手机号） | 账号存续期间；注销后按下述口径处理 |
| 订单与支付记录 | 按《会计档案管理办法》《税收征收管理法》等财务与税务法规要求的期限保存 |

**删除会议**：你在 App 内删除会议后，我们**立即执行物理删除**，该会议的录音、字幕、纪要等业务数据不可恢复；计费核销记录、内容安全审核留痕等法律法规要求留存的记录，将在法定期限内继续保留，且不再用于其他目的。若个别云端文件删除失败，最迟在其原保留期届满时（录音为 7 天，即最长滞留不超过 8 天；导出文件最长不超过 48 小时）由每日清理任务删除，**期间不再被任何业务功能读取**。

**注销账号**：你可在「设置 → 注销账号」申请注销，提交后进入 **7 天冷却期**。

- **冷却期内**：重新登录即可撤销注销，云端数据与你设备上的本地录音**原样保留、可继续使用**；
- **冷却期届满且未撤销**：注销生效，账号及其业务数据被删除，**你设备上的本地录音同时被清除；此后不可恢复，也不可再撤销注销**；
- 手机号释放后可用于重新注册，但**新账号与旧账号的数据互不相通**；
- 账号内未使用的额度将无法使用，我们对此不承担任何责任；
- 法定留痕记录同前述「删除会议」口径。

⚠️ **请在提交注销前自行导出需要保留的纪要。**

**停止运营时的处置**：如我们停止运营本产品，我们将提前不少于 30 日以 App 内公告等显著方式告知你，停止继续收集你的个人信息，并对所持有的你的个人信息予以删除或匿名化处理；法律法规要求必须留存的，隔离保存至法定期限届满后删除或匿名化。

**安全措施**：传输加密（HTTPS/WSS）、录音本地 AES-256-GCM 加密、密钥不离开设备、服务端密钥托管于专用密钥管理系统、最小权限的服务间认证、内容安全审核与访问审计。

## 五、你的权利

- **查询**：你可以在 App 内查看你的会议、字幕、纪要、套餐与用量、邀请记录。
- **更正**：你可以标记重点、更正反馈中的联系方式（重新提交）。**会议标题由系统按开始时间生成、转写文字稿与字幕文本均不支持编辑**（详见第一节 5）；如你发现转写内容有错误，可在导出纪要前自行核对修改导出的文件。
- **复制与转移**：你可以在 App 内**导出纪要文件（Markdown／Word／PDF）**，以及**导出本场录音的解密音频**，以此实现对你个人信息的复制（录音导出需你确认，详见第一节 5）。**符合国家网信部门规定条件的，你有权请求我们将你的个人信息转移至你指定的个人信息处理者，我们将依法提供转移的途径**（《个人信息保护法》第四十五条）。
- **删除**：你可以删除任意会议（物理删除，见第四节口径）；注销账号后业务数据将被删除。
- **撤回同意与权限管理**：你可以随时在系统设置中关闭麦克风、通知等权限（影响见权限表）；在同一平台的新设备上登录后，先前设备的登录态会被吊销，**该设备会在其访问令牌自然到期后（最长 2 小时）退出登录**；字幕来源可在「AI 字幕 / 本地字幕」间随时切换——**切换到本地字幕后，该时段的语音音频不再上传**（该时段字幕文本的送审口径见第一节 3、10）。
- **拒绝自动化决策与要求说明**：你有权要求我们对第一节 11 所述的自动化决策进行说明，并有权拒绝仅通过自动化决策方式作出决定；你也**有权要求我们对个人信息处理规则进行解释说明**（《个人信息保护法》第四十八条）。
- **注销账号**：设置页自助申请，7 天冷却期（见第四节）。
- **个人信息权利请求**：你也可以通过意见反馈（分类「个人信息权利请求」）或邮箱 contact@ctbz.com.cn 联系我们行使查询、复制、更正、删除、转移等权利，我们将在 15 个工作日内响应。为保障安全，我们可能先要求你验证身份。

## 六、未成年人保护

会海面向成年人办公场景，不面向未满 14 周岁的儿童。若你是未成年人，请在监护人陪同下阅读本政策并在监护人同意与指导下使用。如我们发现误收集了儿童个人信息，将尽快删除。

## 七、本政策的更新

- 本政策更新时，我们会在 App 内公示新版本，并在更新页面**标明本次修改的要点**。
- 涉及收集范围、使用目的、共享对象等重大变更的版本升级，我们将在你下次启动时**重新征得你的同意**后方可继续使用；不同意新版本则无法继续使用本应用。
- 历史版本可通过 contact@ctbz.com.cn 向我们索取。

## 八、联系我们

如对本政策或个人信息保护有任何疑问、投诉或建议：

- 邮箱：**contact@ctbz.com.cn**
- App 内：「我的 → 帮助与反馈」（可选择「个人信息权利请求」分类）

我们将在 15 个工作日内答复。

——草台·会海团队