隐私政策

政策生效日期：2026 年 8 月 31 日 · 产品事实更新：2026 年 10 月 18 日 · 版本 v1.23 · 适用于 Pala 官网、Pala 浏览器版与 Pala 桌面客户端

本隐私政策（“本政策”）说明 史雨轩（“我们”）在你使用 Pala 官网（szqunxing.com）、Pala 浏览器版（app.szqunxing.com）与 Pala 桌面客户端（合称“本服务”）时，如何收集、使用、存储和共享个人资料，以及你享有的权利。

请在使用本服务前仔细阅读。使用本服务即表示你同意本政策。本政策里的「你」指使用本服务的老师；学生凭你给的链接和短码在答题页作答，不需要账号，也不因此被视为同意本政策——学生作答由你发起、按你的指示处理，见第 3 节与 4.5。政策发生重大变更时，我们会按第 15 节的方式通知你。

1. 我们是谁

本服务的经营者与联络方式如下。就香港《个人资料（私隐）条例》（第 486 章，“PDPO”）而言，我们就你本人的账号资料是资料使用者；就你录入的学生资料与学生按你发出的答题链接提交的作答，你是资料使用者、我们是受你委托的资料处理者——这一区分很重要，详见第 3 节。

• 法定名称：史雨轩（个体经营者）
• 隐私联络邮箱：yuxuanasher@outlook.com
• 资料保护主任（DPO）：不适用（经营规模未达设立门槛，隐私事务由上述邮箱直接处理）

2. 本政策的适用范围

本服务由三个部分组成，它们的数据处理方式差别很大，请分别理解：

浏览器版与桌面客户端同处内测阶段；桌面安装包在官网公开下载。

本政策不适用于第三方各自的处理行为——包括模型供应商、嵌入向量供应商、联网搜索服务、邮件与支付服务商（名单见第 8 节），也不适用于本站可能链接到的其他网站。

3. 一个前提：谁是资料使用者，我们持有什么

由此产生的定性，对你很重要：

• 学生个人资料：你（教师）是资料使用者，我们是资料处理者。采集哪些学生、录入什么、给哪些学生发答题短码、发布哪份卷子让学生在线作答、用于什么目的，由你决定；我们按你的指示存储与处理，学生在答题页提交的作答也在其中。取得学生本人或其家长／监护人的必要同意（包括让学生在线答题之前），仍然是你的责任。
• 你本人的账号资料：我们是资料使用者。包括你的登录邮箱、称呼、登录与用量记录。
• 桌面客户端（0.3.0 起）：与浏览器版相同。登录同一账号，数据保存在同一台香港服务器上，本机另留一份缓存供离线使用（其中敏感字段加密，不是整库加密，见 9.2），上面两条定性同样适用。0.2.x 本机形态留下的旧数据在升级后首次登录时导出成你电脑上的文件，不进账号、不上传，我们没有这份文件的副本。

还有一处定性上的限定请一并了解：就存储、以及按你的操作处理这两件事而言，我们是受你委托的处理者；但有几项处理方式是由我们决定而不是由你逐次指示的——把哪几家供应商纳入可选范围、失败后按什么顺序回退给下一家、页面与笔记保存后自动做语义向量化（见 7.4），以及在线答题页收哪些内容、按什么规则自动判分、超时多久仍然收卷、短码输错多少次锁住链接（见 4.5）。就这几项，责任在我们（在线答题这里说的是处理方式由我们决定；判出的对错写进学情之前仍要你核对，见服务条款第 9.4、10.5 条）。这一段是事实说明，最终的法律定性以适用法律与我们后续的法务复核为准。

我们为降低你的合规风险所做的产品设计：

• 最小采集。学生档案里没有真实姓名、家长联系方式、身份证件这些字段——数据表本身就没有这些列，接口也用白名单挡住任何额外字段。新建学生的表单只有这几项：昵称、年级、在学学科（每科一个教材版本）、当前水平、教学偏好、风险备注。学生在线答题时，答题页只要你给的 6 位短码，不问姓名、学号、班级、手机号，也不读取设备信息和位置（见 4.5）。
• 建档前必须取得授权。建立学生档案前需勾选授权声明，不勾选就建不了档；系统会同时写下一条授权记录，载明采集了哪几类数据、用途为云端存储，有效期自建档起 365 天（产品内目前没有续期入口）。这条记录在日常使用中不能改写内容，也不能被单独删除，只能被标记为「已撤销」；但你删除该学生或注销账号时，它会随之一并删除（见第 10、13 节）。这条记录载明的数据类别不包括在线答题的作答；给学生发答题短码、发布在线答题时，系统也不另写授权记录——让学生在线答题之前的必要同意，需要你另行取得（见第 13 节）。
• 字段级加密。学生教学偏好与风险备注、课堂速记正文与附注、掌握情况的老师覆写理由、课次备注、阶段报告的总结与建议、反馈的描述、补充说明、诊断信息与往来回复、登录邮箱、AI 对话正文、用量申诉备注，以及独立保存的资料版本全文、任务输入快照、单元结果与失败诊断，以 AES-256-GCM 加密存放。这不是整库加密；页面和笔记等内容及检索索引的边界见第 9 节。

4. 我们实际收集的信息

4.1 你在产品里提供的（浏览器版）

• 登录邮箱。登录只有一条路径：填邮箱、收 6 位验证码、验证通过即进入；没有密码，也没有微信／Google 等第三方账号登录。服务器把邮箱加密存入数据库，同时另存一份不可逆摘要用于识别同一邮箱、限流与查账号。产品内可以修改你的称呼，但无法更改登录邮箱。
• 你录入的教学数据。学生档案（昵称、年级、在学学科与每科的教材版本、当前水平、教学偏好、风险备注，与第 3 节所列一致）、课堂速记与学情证据、知识点掌握状态、课次与备课记录、课上标记（你在课堂或板书里点「标一下」时记下的时间、所在段落与知识点，不含学生信息）、班级与按班考试成绩、你发布的在线答题（含课末小测与它对应的课次；发布时留存的题目与答案、作答名单、限时与截止时间）、教学包页面正文、知识库笔记、课程与知识点、AI 生成产物，以及你与 AI 助理的对话正文。
• 你导入的资料。成绩表、讲义、教材等文件在你的浏览器本机解析，原件字节不上传；你确认保留的内容才提交到服务器。成绩导入有两种：按知识点对错导入只提交「学生 × 知识点 × 对错」，不导入分数列；班级的考试成绩导入会提交每个学生的总分，以及（如有）各题得分，以明文保存在服务器上；标了知识点的满分题、零分题会记成学情证据。资料导入会提交你确认保留的全文文本块、标题位置等信息与原件哈希；全文按账号、资料、版本独立加密保存，检索片段另行存放。旧资料只有片段或索引而没有独立全文时，需要重新导入才能执行全文摘要或提取。
• 产品不接收照片。服务端全部接口只收 JSON。除整库备份文件（以 base64 编码随 JSON 提交，用于备份的解包校验与恢复，见 9.2）外，没有其他文件或图片上传通道；拍照识题／OCR 功能尚未落地。

4.2 你在产品之外提供的

• 内测报名与联络信息：你通过微信扫码添加我们时，我们会看到你的微信昵称与你主动告知的信息（如任教科目、联系方式）。
• 邮件与支持往来：你发送给我们的邮件内容、附件及其中包含的信息。
• 订单与交易信息：产品已支持按账号保存商品、订单金额、积分、有效期、支付状态与回调事件。服务器确定商品价格与权益，并把订单、商品、金额、货币和买家邮箱等字段提交给 Waffo Pancake 托管收银台；卡号不经过我们的服务器。收到已验签回调后，按订单发放或调整权益，重复回调不重复发放。

4.3 我们自动记录的

日志脱敏的实际机制（比「一律脱敏」要弱，请照实理解）。保存失败时，服务器会打印一条该次写操作的参数摘要。脱敏是按写操作类型的清单做的：对涉及私人正文的那些写操作（建立与修改学生、记录学情证据、页面与笔记、课次与课时包、改稿提案、掌握情况覆写、题库与练习单等），摘要里的学生昵称、教学偏好、风险备注、标题与正文、备注、覆写理由会被替换成「[略]」，只留下 id；不在这份清单里的写操作（例如修改你自己的称呼、新建课程或知识点这类你自著的名称），失败时其第一个参数会被截取前 200 字原样写进日志。另有一处例外：资料入库成功时，服务器日志会原样记录该份资料的标题（这是你自己给资料起的名字，不是学生数据）。

桌面客户端的日志留在你的电脑上。桌面端按天写一份运行日志到本机日志目录，保留 14 天后自动删除；这些日志不会发送给我们；桌面端不含崩溃上报，但会自动检查更新：新版本后台下载、退出应用时自动安装，更新源为本站下载目录，更新失败不影响使用。脱敏机制同样要照实说：日志里以结构化对象形式记录的内容，会按字段名把学生昵称、教学偏好、风险备注、速记与证据正文、标题与正文、口令与密钥等替换成「[略]」；而以纯文本消息形式记录的内容不经过这道替换，靠写日志的代码自己保证不带这些内容（现有打点是运行参数、耗时与错误文本）。

4.4 我们不收集的

4.5 学生在线答题时我们收到的

在线答题给你的学生用：你在组卷页发布一份卷子，或者在一节课上发一份课末小测（投屏二维码），把链接发给学生，学生打开答题页（app.szqunxing.com/quiz.html），输入你给他的 6 位短码就能作答，不需要账号，也不用登录。这一节说的是学生作答这一侧；就这些资料而言，你仍是资料使用者，我们按你的指示处理（见第 3 节）。

• 学生在答题页输入的只有两样：短码和作答。选择题、判断题记下所选的选项或对错，填空题是学生自己打的字，每空最多 200 字。答题页不问姓名、学号、班级、手机号，不读取设备信息和位置，不写 Cookie，不加载第三方脚本或访问统计。和访问任何网站一样，托管服务器的访问日志可能记下来访的 IP 与浏览器标识（见 4.3）。
• 每次作答，服务器记下：这是你名下哪个学生的作答（服务器里存的是内部编号，你在产品里看到的是你给他起的昵称）、第几次作答、开始作答的时间（第一次打开卷子时按服务器时间记，刷新页面不会重置）、交卷时间、是否超时、作答内容，以及每题自动判出的对错；你批阅时的改判、作废的题和确认状态也记在这条记录上。另外记下这个学生的短码最近一次被使用的时间。这些都以明文保存，不在字段加密清单内（见 9.2）。
• 短码与链接：每个学生一个短码，你名下所有在线答题通用，没有到期时间，直到你重置或作废它，或删除这个学生；学生归档期间短码暂时用不了，取消归档后恢复。短码和答题链接里的那串随机字符，服务器都只存校验值、不存原文，原文只在生成那一刻显示给你一次。短码和链接两样都对、学生又在这份卷子的名单里，才能进入；有任何一样不对，服务器都只回同一句「链接或短码无效」，不说是哪一样不对。拿到链接和这个学生短码的人，能以他的身份作答；在你确认之后，还能看到他交过的作答、对错和正确答案（确认之前只看得到他已交卷、答了几题）。所以短码外泄时请重置。
• 防猜：打开卷子时，同一个链接 10 分钟内短码输错的次数达到 30 次或名单人数的 10 倍（取较大者），这个链接会被锁 10 分钟。锁住期间，还没打开过这份卷子的学生暂时打不开；已经打开过的学生仍可回到自己的卷子继续作答、查看等待批阅或结果，交卷不受锁影响，交卷时输错短码也不计入次数。计数只放在服务进程的内存里，按链接计，不记 IP，也不写进数据库，服务重启即清空。
• 自动判分：交卷时，服务器按规则把作答和标准答案比对——选择题比选项，判断题认「对／错」的几种常见写法，填空题不计首尾空格、全角半角和大小写，数值按数值比。判分不调用任何模型。规则判分可能判错，所以判出的对错先不算学情。
• AI 建议错因（你点了才发）：批阅时，如果你点「AI 建议错因」，服务器会把你所选学生答错题目的题干、选项、标准答案、学生的作答原文和题目所挂知识点的名称发给模型供应商（深度求索 DeepSeek），请它给出错因建议；不发送学生昵称、内部编号或其他身份信息，但学生如果在作答里写了自己的名字，会随作答原文一并发出。建议只显示给你、不保存；你可以逐条改，确认时按你最后选定的错因写进学情。你不点，作答不会发给任何模型供应商。这项功能不扣积分。
• 经你确认才进学情：你可以查看每个学生的作答，改判某一题或把整道题作废，然后确认；确认后这份作答不能再改。确认时，每道没有作废的题会按它挂的知识点各写成一条学情证据，记下对错、错因（判错的记为未确定；用了「AI 建议错因」的，记为你最后选定的错因）、知识点、交卷时间和指回这份作答第几题的来源编号，不带学生的作答原文（原文只留在这份作答记录里）；此后它和你记录的其他学情一样参与掌握情况的推导，并在你备课、写报告或使用 AI 助理时作为课堂记录随请求发出（见 7.2、7.5）。确认之后，学生用同一个链接和短码再打开，能看到每道题的对错和正确答案。你允许某个学生重答时，他之前的作答不会删除，只标为已被取代。
• 限时与截止：结束时间按服务器时间计，改学生设备上的时钟没有用。超过结束时间 2 分钟以后交上来的，只要你还没收卷就照收，但标为超时，由你决定算不算；你收卷 2 分钟之后不再收。过了截止时间（另有 2 分钟宽限）以后，学生不能再新开或接着作答；你收卷以后不能再新开，已经在作答的学生还有 2 分钟可以接着答完交卷；已经交卷的仍能看到自己已交卷、等老师批阅，你确认过的仍能看到结果。
• 卷子标题学生看得到：答题页顶上显示卷子标题。专门给某个学生组的卷子，默认标题里带这个学生的昵称；如果昵称填的是真名，学生会在答题页上看到它（关于昵称栏的提醒见第 3 节）。

学生设备上会暂存什么，见 6.4。0.3.3 之后版本的桌面客户端会把这些记录随账号数据同步进你电脑上的缓存，以明文保存（缓存只加密敏感字段，见 9.2）。这些记录保留多久、怎么删除，见第 10 节；学生或家长想查看、删除作答，见第 11 节。

4.6 你生成分享链接时

你可以给一份已确认的教学包生成分享链接，发给家长或同事看。生成时，服务器把这份教学包当时的标题和正文冻结成一份副本存下来；之后你再改原稿，已发出的链接内容不变。副本不含学生档案、学情记录和内部编号，但标题或正文里如果写了学生的称呼，会原样出现在分享页上，发出前请自己看一遍。引用了按授权不能对外提供的资料的教学包，不能生成分享链接。

打开分享页要同时有链接和 6 位口令，不需要登录。口令只在生成时显示一次，我们只存它的不可逆摘要；同一链接连续输错 5 次，暂停 10 分钟。分享页不显示你的邮箱或昵称，设置了不被搜索引擎收录；我们不为查看分享单独建访问记录，托管服务器的常规访问日志照 4.3 记录。

4.7 你提交反馈时

你在应用里点「反馈」提交问题或建议时，我们收到：你写的描述和之后的补充说明；你选择附上的截图——「当前页面截图」默认不勾，要你自己勾上，你也可以粘贴或选择图片，合计最多 3 张，在你的浏览器里压缩后上传；你选择附上的诊断信息——应用版本、你用的是网页版还是桌面版、浏览器名称与版本、窗口尺寸、当时所在页面的地址（其中的编号换成占位）、最近出错的接口地址与错误代码、最近几个生成任务的编号、计费是否开启。诊断信息只记错误代码，不记报错原文，不含学生信息与笔记正文。

这些内容只用于排查问题和回复你，只有运营方能看到。截图拍到的是你当时屏幕上的内容，可能包含学生昵称或你写的备注，发送前请看一眼。反馈的文字随你的账号保存，注销账号时一并删除；截图在这条反馈关闭 90 天后自动删除。截图以图片文件存放在我们的服务器上，不进数据库。

5. 我们如何使用这些信息

上表的一处限定：表里「你录入的教学与学生数据」一行的依据写的是「履行合约」，指的是我们与你之间的服务合约。就学生本人的资料而言（包括学生在线答题时提交的作答），按第 3 节的定性，采集与使用的依据来自你（教师）作为资料使用者的判断与你取得的同意，不是由我们另行主张。

我们不会将你的资料用于本政策未列明的用途；如需将资料用于新用途，我们会事先取得你的同意。

关于训练：我们不会用你的输入内容训练或微调模型。我们自己不训练也不微调任何模型，产品里也不存在任何训练或数据导出管线。全仓对外发起的网络调用共七类，全部在第 7、8 节列明：模型生成、嵌入向量、联网搜索、网页抓取、验证码与通知邮件投递、付费功能启用后的支付结账，以及我们自建的使用统计服务的上报（使用事件、付款/退款记录核对，及官网访问统计，见 6.1、6.3、8 节；这项服务是我们自己运维的，不是第三方）。至于你所调用的模型供应商在其侧如何处理请求内容，由各供应商的条款决定，我们不能代其承诺，见第 7 节。

6. Cookie 与本地存储

6.1 官网

官网接入了我们自建的访问统计（与 6.3 同一套服务，经本站同源转发到我们自己运维的统计服务，不使用任何第三方统计工具）。官网不使用任何 Cookie，也不在浏览器里写入任何本地存储标识——统计脚本每次上报前会读取 localStorage 里的退出开关（umami.disabled），只读不写。它记录：页面访问、来源网址、设备与浏览器类型、屏幕尺寸、所用语言、由你的 IP 推断出的大致地区（不保存 IP 本身），以及下载按钮的点击。这些记录保存 365 天后自动删除；我们不用它做广告投放，不做用户画像，不进行跨站追踪；官网没有登录功能，这些记录也不与任何账号关联。

从专属链接（带 ?ch= 渠道码的链接）进入时，官网会把渠道码原样带到站内其他页面与注册链接上，不在你的浏览器里保存。

官网仍然没有 Cookie 管理中心——因为不使用 Cookie，没有可供管理的对象；你也不会看到 Cookie 同意弹窗。下载页会在你的浏览器里读一次浏览器标识，用于判断该显示 Windows 版还是 macOS 版的下载卡；这个判断完全在你的设备上完成，结果不发送给我们，也不做保存。

6.2 应用（浏览器版）

应用同样不使用 Cookie，但会在你浏览器的本地存储里保存下列内容（键名大多以 nv3_ 开头；学生答题页的暂存见 6.4）。这份清单列的是主要项目，不是穷尽枚举：

• 登录后的访问凭证（15 分钟到期）与续期凭证（30 天到期）、你的显示称呼与登录邮箱；
• 已同步到工作区的教学数据副本，格式为未加密的普通 JSON——它既是断网时的降级后备，也是联网时的本地缓存，每次保存都会写一份；
• 离线期间尚未上传的改动队列；
• 首次启动生成的安装标识（用于登录限流，不含任何个人信息，也不写进 Cookie）；
• 从专属链接进入时带来的渠道码（键名 pala.ch），30 天后或登录后删除；
• 副驾对话与页面的对应关系、副驾最近若干次首答耗时的毫秒数；
• 若干工作暂存：笔记的本地备份副本、待补语义索引的清单、知识点抽取的中间结果、界面外壳状态。

服务器只保存续期凭证的哈希值。续期凭证每次换新，如果旧凭证被再次使用（典型的凭证被盗迹象），该设备的整条会话链会被立即吊销，需要重新登录。

6.3 使用统计

我们运行一套自建的使用统计服务，不使用任何第三方统计工具；官网的访问统计（见 6.1）经由官网自身的同源路径转发到同一套服务，与本节说的应用使用统计是两个独立的站点记录，不互相混用。本节说的是应用一侧（学生答题页不发使用统计，见 6.4），它记录的内容包括：你访问了哪些页面（按页面类型归类，例如「学生详情」，不含具体学生或页面的 id）、使用了哪些功能、设备与浏览器类型、由你的 IP 推断出的大致地区（不保存 IP 本身）。登录后，这些记录会与你的账号编号关联，用于判断同一账号在多端的使用情况与核对付费是否生效；未登录时的浏览也会被记录，但只有一个随机生成、存在你浏览器本地存储里的匿名标识，不与账号关联。

这些记录用于了解产品哪些功能被使用、排查问题与核对付费权益是否正确生效，保存 365 天后删除；我们不会把这些记录出售或共享给第三方。你可以随时在「设置 → 我的账户 → 帮助改进师伴」关闭这项统计（默认开启）；关闭后应用不会再发出任何使用统计请求。注销账号时，我们会同时删除统计服务中与该账号关联的使用统计与付款核对记录；若统计服务暂时不可达，删除请求会自动重试直至完成。

6.4 学生答题页

学生的答题页不使用 Cookie，不加载第三方脚本、字体或访问统计，公式显示用的是本站自带的文件；除了加载这些本站文件，页面只向本站的两个答题接口发请求（打开卷子、交卷）。为了防止断网或误关页面丢答案，答题页会在学生用的这台设备的浏览器本地存储里暂存一份作答（键名以 pala.quiz. 开头），里面只有作答内容和这次作答的内部编号（随机生成，不含学生信息），不含短码，也不含答题链接；短码只在页面打开期间留在内存里，关掉页面就没了。

• 交卷成功后，这份暂存立即删除，页面会提示「这台设备上的作答记录已清除」。
• 如果没交卷就关了页面，或者交卷被拒（例如已经收卷），这份作答会一直留在这台设备的浏览器里，没有到期自动删除，我们也无法远程删除，直到这台设备清除浏览器的网站数据为止。在教室的公用电脑或平板上答题时，之后用这台设备的人有可能读到它；请提醒学生交卷，或在课后清除浏览器数据。另外，答题页和你用的应用在同一个网站下：不要让学生在你登录过 Pala 的设备上答题；要用的话，先退出登录，并清空这台设备上的本地数据（见 6.2）。

7. AI 功能与数据流向

7.1 请求从哪里发出

• 浏览器版：由我们的服务器代发。你点「生成」时，浏览器只把知识点和学生的 id 发给我们的服务器；由我们的服务器读取数据库、组装提示词、再带着密钥把请求发给模型供应商。我们在这条传输链路之内，供应商看到的是我们服务器发出的请求。
• 桌面客户端（0.3.0 起）：同样由我们的服务器代发。登录账号后，桌面端把生成、助理对话、语义检索、资料任务与网页抓取请求转交我们的服务器，由服务器发出：调用模型与嵌入向量供应商时使用运营方配置的密钥，网页抓取由服务器直接访问目标网站；你在本机填写过的密钥不参与这些调用。联网搜索与设置里「测试连接」的例外见 7.4、7.6。

7.2 备课生成的请求里包含哪些学生信息

本节只讲你点「生成」时发出的备课请求；AI 助理走的是另一条路，带出去的内容更多，见 7.5。备课生成的请求中，与学生有关的内容逐项是：

• 学生昵称、年级、当前水平（基础薄弱／中等／学有余力）、教材版本、教学偏好；
• 最近 3 条课堂表现：会／模糊／不会／答错，加错因名称，以及你写的速记原文；
• 这个学生最近一节标记为「已上完」的课：课题与上课日期（课次没写课题时，改用这节课所挂知识点的名称）；课次备注不在其中；
• 未过关的前置知识点名称与掌握状态；关联知识点，以及递进链卡点的近期错因名称与次数。
• 这个知识点最近一份你确认过的教学包的简短摘要：前两条生活类比和前两道例题的题干与答案，最多 800 字。这份包可能是给别的学生做的，可能包含为那位学生定制的讲法内容；发出前，其中出现的学生昵称会替换成「该学生」。
• 补充要求：你在插入讲法时自己写的一段话（最多 200 字），原样发出；请不要写学生真名和联系方式。

除学生信息外，请求里还有知识点本身：名称、年级、章节，以及你给这个知识点写的要点与易错点（各最多取 600 字；没写就不发）。这两段和上面那项讲法摘要也会在 AI 助理读取这个知识点时一并带出（见 7.5）。请不要在里面写学生真名和联系方式。

你确认写进学情的在线答题结果也是课堂记录：它可能出现在上面的「最近 3 条课堂表现」里，带对错和错因（判错的记为未确定），不带学生的作答原文。学生的作答与自动判分本身不会发给模型供应商。

备课生成的请求中不含你的账号信息（邮箱、账号 id）。学生一栏只有系统里的「昵称」字段——系统本身没有真实姓名列，你在昵称里填什么，就会随请求发出什么。

按班备课时，请求里不含任何学生的昵称或单条课堂记录，学情方面只有汇总数字：班里有几名学生；本知识点被记录过、答错过的各有几人；班内答错人数最多的至多 5 个知识点（名称与人数）；本知识点答错记录的错因名称与次数。另外，按班备课的请求同样会带上上面那项已确认讲法的摘要（昵称已替换），它可能是为班里某一个学生定制的。

请特别注意：教学偏好与课堂速记在数据库里虽然是加密存放的，但组装生成请求时会被解密成明文写进提示词发给模型供应商。加密保护的是存放环节，不是发送环节。

写作建议与起草：你打开『边写边给建议』或点『起草小节』时，当前页面的标题、大纲和光标前最多 1500 字正文会发给模型供应商。发出前，学生在 Pala 里的称呼会替换为『该学生』；你在正文里写的其他姓名和学习情况描述会随正文一起发出，请按需删减。这两项按实际用量扣积分，每次显示扣了多少。

组卷或出课末小测时请 AI 起草题目：发给模型供应商的是知识点名称、学段、章节、学科、题型和难度；出变式题时还会带上原题的题干、选项和答案。这些都是你题库里的内容，不含学生信息。

7.3 一次「生成」不是一次调用

一次备课按你选中的讲法分别请求模型；完整五法可能产生多次独立请求，失败或格式不合格时会回退到下一家。当前任务流程每种讲法最多尝试两次，完整五法合计最多十次供应商尝试，也可能因取消、额度或配置问题更早停止。界面不单独标出哪一种讲法改用了下一家供应商。同一讲法的内容可能先后发送给不同供应商。没有配置密钥的条目不会实际发出请求。

产品内置的模型供应商共 8 家：深度求索 DeepSeek、智谱 GLM、Kimi（月之暗面）、通义千问（阿里云百炼）、火山方舟（豆包）、MiniMax、OpenAI、Anthropic。产品实际请求的接口地址依次是 api.deepseek.com、open.bigmodel.cn、api.moonshot.cn、dashscope.aliyuncs.com、ark.cn-beijing.volces.com、api.minimaxi.com（前六家由中国公司运营），以及 api.openai.com、api.anthropic.com（后两家由美国公司运营）。这意味着你的内容可能被送到香港以外，包括美国。各家自己的服务器实际设在哪里由供应商决定，我们不代为断言。具体哪一家接到你的请求，由该档位的回退链与当时哪一家先成功决定；老师不能自行增删或改排这份名单：浏览器版的配置接口只对实例属主开放，桌面客户端（0.3.0 起）的生成也在我们的服务器上按这份名单执行（见 7.6）。

资料摘要与知识点提取是固定任务。系统读取你已授权的指定版本全文，按最多 10,000 字符分单元独立处理并保留引用位置；后续单元不携带前面单元的全部对话历史。执行时重新检查资料版本和模型处理授权，撤回授权后不会继续下一单元。结果先保存为待审阅草稿，知识点提案需教师确认后才入库。

备课时参考你的讲义。生成五种讲法时，如果你打开了「参考我的讲义」，或从一份讲义开始改编，系统会读取你已授权「交给 AI 处理」的资料里与本知识点相关的若干段（参考时最多 8 段、每段约 600 字；改编时为你确认的讲义环节原文，合计约 6,000 字），连同知识点与学生上下文一起发给模型供应商。只读你本人的资料，不读标为学生作业的资料，不读其他老师的资料。生成结果里用到的段落会记下出处，供你点开查看原文；这些教学包也会记下来源资料，来源资料没有授权导出时，教学包不能导出或分享。讲义拆结构与改成教案是固定任务，处理方式与资料摘要相同。

7.4 除生成之外，还有四类会出网的调用

接收方分别是：嵌入向量供应商（前两条）、联网搜索服务、被抓取的那个网站，以及 AI 提炼要点所用的模型供应商（深度求索 DeepSeek）。

• 语义索引的向量化（不需要你逐次点击）。页面或笔记保存后约 5 秒、以及资料入库时，正文会被切块送到嵌入向量供应商（火山方舟（豆包）、智谱或阿里云百炼）转换成向量，用于语义搜索。
• 语义检索时，你键入的搜索词本身也会发出去。每做一次语义检索，你输入的关键词（最长 500 字）会被送到同一家嵌入向量供应商做向量化。这一条值得单独提醒：搜索词里常常带学生的名字或代号。如果不希望搜索词出网，请用库内全文检索。
• 联网搜索（由你发起）。由第三方搜索服务「博查」（api.bochaai.com）提供，有两种发起方式：一是 AI 助理提出关键词，你逐条勾选（可改词）并确认后发出；二是你在对话框打开「联网」再发送消息，AI 助理把这句话拆成 1–5 个关键词（每个最长 30 字）直接发出，不再逐条确认。搜到的网页标题、链接和摘要会随这条消息发给模型供应商，供 AI 助理带出处回答；打开「联网」的那次对话不再读取学生资料。联网搜索只对全量版开放（含新用户 14 天全量版功能体验期），不扣积分；不满足条件的请求在发往搜索服务之前即被拒绝。每次成功发出的搜索按估算单价记入你的用量明细，占用你的周期额度与日花费上限（不向你收费），这笔记录不含关键词本身。
• 网页抓取（由 AI 助理发起）。AI 助理在部分会话里带有一个「抓取网页」的工具；产品内也有老师侧的「抓取所选网页」入口。浏览器版下这次抓取由我们的服务器发出，目标网站收到的是我们服务器的访问，不是你的；抓回的正文会进入你的资料库，随后按上面第一条被切块向量化再次出网。这条通道有硬性约束：抓取的网址必须逐字出现在你本人在该会话里发过的消息里（助理不能自己拼凑、猜测或改写网址，也不能抓它自己刚抓回来的页面里出现的链接），单次会话最多抓 6 次、最多 3 个不同站点，只走 http／https，不跟随跳转，单页最多读 2MB。但要说清楚的是：在这些网址之中具体抓哪一个、什么时候抓，是由模型决定的，不是由你逐次点击的。
• AI 提炼要点（你点了才发）。在知识库的知识点编辑面点「AI 提炼」时，服务器会把这个知识点的名称、年级、章节，以及最近至多 2 份你确认过的教学包的讲法摘要（类比与可能误解、例题的做法与陷阱、练习题，每份最多 1500 字）发给模型供应商（深度求索 DeepSeek），请它提炼要点与易错点。发出前，摘要里出现的学生昵称会替换成「该学生」。结果只填进编辑框，你改过、点保存才写入；建议本身不保存。这项功能不扣积分。

与生成一样：这几条通道都由我们的服务器代为发起，供应商与目标网站看到的是我们服务器的地址，桌面客户端 0.3.0 起同样如此。唯一的例外是桌面客户端 0.3.0 至 0.3.3 版本的联网搜索：它在你的电脑上执行，需要本机的搜索服务密钥，而这个密钥无法在界面里配置，因此实际不可用；之后的版本联网搜索也由我们的服务器代发。

7.5 与 AI 助理的对话

本节描述 AI 助理对话。助理每推进一步，服务器另建一条计量记录：会话编号、发起位置（如页面、讲次、学生）与用途标签（如家长小结）加密保存，所用供应商与模型、token 数、估算成本与扣除的积分以明文记录，不含对话正文。快捷任务的免费第一稿（见服务条款第 5.3 条）同样逐步建立这条计量记录，扣除的积分记为 0，所用供应商与模型、token 数与估算成本照常记录，用于核对与申诉；免费的步骤中 AI 助理不调用检索、读取学生学情等工具。联网搜索不扣积分、只对全量版开放（见 7.4），关键词由 AI 助理在对话中提出；资料摘要和知识点提取按前述固定任务处理。

使用助理对话时，每问一轮都会把当前会话的历史记录连同助理取回的资料一起发给模型供应商。历史超过长度阈值时，系统会先自行调用一次模型把较早的部分折叠成摘要（这次折叠本身也是一次对外调用），此后发出去的是「摘要 + 最近几轮」，不再是逐字全量转录。

其中「读取学生学情」这一步会一次性带上该生的基本信息、教学偏好、系统内部的学生 id 与知识点 id、全部知识点掌握状态与置信度，以及最近 20 条课堂证据（含速记原文）。请注意这比备课生成那条路带出去的多：备课生成只取最近 3 条证据，也不带内部 id。你确认写进学情的在线答题结果也在这些课堂证据之中：带对错、错因（判错的记为未确定）、知识点与交卷时间，不带学生的作答原文。

浏览器版下，生成出来的教学包会先保存到服务器，供客户端领取。助理对话完整转录加密保存；固定任务的输入快照、单元结果与失败诊断也独立加密保存。任务输入可能包含指定版本资料全文，或五法所需的知识点、学生上下文、上次确认讲法的摘要与有效偏好。领取并整理成页面、笔记或其他教学记录后，内容会按对应数据表的方式保存，并非所有副本都加密，见 9.2。

7.6 API 密钥保存在哪里

• 浏览器版：密钥保存在我们的服务器上。模型供应商密钥是整个实例共用一份，存在服务器上的一个明文 JSON 文件里，不按老师账号分开保存。程序创建这个文件时会把权限收紧到仅属主可读写（目录 0700、文件 0600）；但生产服务器上这个文件最终落在哪个路径、发布流程跑完之后权限是什么，取决于部署配置，仓库里核实不到，因此本政策不对生产环境的实际权限下断言。普通老师账号不能配置自己的密钥——密钥相关接口只对实例属主（运营方账号）开放，其他账号一律被拒绝。因此「自带密钥＝浏览器直连供应商、不经过我们」在浏览器版并不成立。
• 桌面客户端（0.3.0 起）：生成等调用用的是服务器上的那一份。本机的密钥不参与生成、助理对话、语义检索、资料任务与网页抓取。0.3.0 至 0.3.3 版本的设置里仍能在本机填写模型密钥（只在你点「测试连接」时由你的电脑用它直接向对应供应商发一次最小请求），保存在你本机的数据目录下，存放形式是明文 JSON 文件，只靠文件权限保护（Windows 上权限设置能力有限），并没有交给操作系统的凭据保管机制加密；之后的版本「模型」页只读，不再提供填写入口，此前写入的文件不会被自动删除。
• 两种形态相同的一点：密钥只单向流动。保存之后没有任何接口能把密钥明文读回来，界面上只显示「前三位…后四位」的指纹。

此外还有「自定义模型端点」这项功能。浏览器版只对实例属主（运营方）开放：添加、删除、排序与连通性测试这几个接口走的是上面同一道门禁，普通老师账号一律被拒绝；实例属主添加的端点，系统只校验它是 http／https、不带账号口令、不带查询串；计费开启后，只有实例属主做测试连接时会按该地址发出请求，老师侧的生成与助理对话不会用到它。桌面客户端 0.3.0 至 0.3.3 版本的设置里仍能在本机添加自定义端点，但它不参与生成与助理对话，只在你测试连接时由你的电脑按你填写的地址发出请求——请自行确认该地址可信；之后的版本不再提供这个入口。

自定义模型不参与为老师执行的生成：按积分计费的任务（含快捷任务的免费第一稿）以及 AI 建议错因、AI 提炼要点，都会在整个回退链中排除它们；没有可用平台模型时会拒绝执行，不用自定义模型兜底。生成所用的密钥由实例属主管理，不是每位老师独立配置、独立结算的自带密钥服务。

还有一点与「用谁的密钥」有关：运维在服务器环境变量里设定的供应商密钥优先级高于界面里配置的密钥。也就是说，即使界面里为某家供应商配过密钥，只要环境变量里为同一家供应商设了密钥，实际发出请求时用的是后者。

7.7 供应商侧的处理，我们不代为承诺

如上文所述，我们自己不训练、不微调模型，也不会把你的输入用于训练。但各模型供应商、嵌入向量供应商与搜索服务在其侧如何保留请求内容、保留多久、是否用于训练，由它们各自的条款决定，我们不能代其作出承诺。如果你对此有顾虑，请在使用前阅读所选供应商的条款；产品的其余功能（档案、速记、排课、学情面板、导出）不依赖 AI 生成。

8. 共享与披露

我们不出售你的个人资料，包括美国《加州消费者隐私法》（CCPA）所定义的“出售”或“共享”。除下列情形外，我们不会把你的教学数据提供给第三方：

• 云主机托管：官网与应用运行在腾讯云位于香港的同一台轻量应用服务器上，浏览器版的数据库文件也存放在这台机器上。我们没有使用外部托管的数据库服务。
• 我们自建的使用统计服务：不是第三方——由我们自己搭建、自己运维。这项服务部署在我们租用的、位于中国内地（广州）的另一台服务器上，只经加密通道与香港服务器相连，不对公网开放。应用服务器把使用统计事件（见 6.3）与付款/退款记录（用于核对订单金额、状态是否与预期一致，不含卡号或支付账户信息）转发给这项服务；官网的访问统计（见 6.1）也经由官网自身的同源路径转发到同一套服务。数据只供我们内部核对产品使用与付费情况，不流向本条以外的任何机构。
• 模型供应商：共 8 家（名单见 7.3）。由我们的服务器代为发送（浏览器版与桌面客户端 0.3.0 起相同）。
• 嵌入向量供应商：火山方舟（豆包）、智谱、阿里云百炼，用于语义检索的向量化（见 7.4）。
• 联网搜索服务：博查，仅在你确认关键词后，或你打开对话框的「联网」发送消息后，接收这些关键词（关键词由 AI 助理提出，或从你的消息拆出）。
• 被抓取的网站：使用 AI 助理的网页抓取功能时（网址须由你在会话里给出），由我们的服务器去访问该网站（浏览器版与桌面客户端 0.3.0 起相同），对方会收到一次来自我方服务器的请求。我们不向对方发送你的账号信息或教学数据，只发送该网址本身；抓回的正文进入你的资料库。见 7.4。
• 邮件投递：登录验证码与通知邮件（反馈有了回复、试用或套餐快到期）通过第三方邮件服务商投递（产品中已实现的投递通道为 Resend），你的邮箱地址、验证码或通知的一句话提醒会随请求提交给它；通知邮件不含反馈与回复原文。
• 支付处理商：付费功能启用后，支付由 Waffo Pancake 的托管收银台处理，卡号不经过我们的服务器。
• 我们的联系邮箱：我们对外使用的是一个 outlook.com 邮箱，因此你发给我们的邮件内容会经过微软的邮件服务。
• 法律要求：在法律、法院命令或合法监管要求下必须披露时。我们会在法律允许的范围内尽量事先告知你。
• 业务转让：如发生合并、收购或资产转让，我们会提前通知，并要求承接方继续遵守不低于本政策的保护标准。
• 你主动分享时：你把分享链接和口令交给谁，谁就能看到那份教学包副本，直到你撤回或链接到期。对方再转给别人，我们无法控制（见 4.6）。
• 邀请好友时：你通过他人的邀请注册后，邀请人能在「邀请好友」页看到你打码后的注册邮箱（如 ab***@qq.com）、注册日期，以及是否已确认第一份教学包；看不到你的称呼、完整邮箱以及任何教学与学生数据。
• 取得你的同意后：用于其他任何目的。

9. 数据安全

9.1 我们做了什么

• 传输：应用域名强制 HTTPS，80 端口一律跳转到 HTTPS，每次发布都会实测该跳转。应用进程只监听服务器本机回环地址，不直接对外暴露。
• 页面：应用页面（包括学生答题页）自身以内容安全策略写死「脚本只能来自应用自身、禁止表单外发」，即使有人想往页面里塞第三方脚本，浏览器也会拒绝加载。
• 字段级加密：第 3 节列出的敏感字段、独立资料全文与任务输入和结果等使用 AES-256-GCM（256 位密钥、带完整性校验），密文带版本前缀；校验不通过会报错，不会把乱码当作可用内容。
• 密钥保管：桌面客户端的主密钥由操作系统凭据保护机制（Windows DPAPI／macOS 钥匙串）加密后落在本机；如果系统密钥库不可用，程序会拒绝启动并说明原因，绝不会悄悄改用明文存储。主密钥丢失或不匹配时程序同样拒绝启动，不会自动换一把新密钥继续跑——这也意味着密钥一旦丢失且无备份，已加密字段将永久无法读取。
• 身份校验：浏览器版凡是以老师账号身份执行的接口，都必须带有效的登录凭证，身份取自凭证本身，请求里自称是谁不作数。例外是学生答题页的两个接口（打开卷子、交卷）：它们不用登录，凭答题链接加短码认出是哪位老师名下的哪个学生，两样都对、学生又在这份卷子的名单里才放行；短码和链接在服务器上只存校验值，链接或短码不对时一律只回同一句「链接或短码无效」。打开卷子时同一链接 10 分钟内输错达到 30 次或名单人数的 10 倍（取较大者）锁 10 分钟，锁住期间还没打开过这份卷子的学生打不开；交卷不受锁影响，但同样要链接、短码都对，交上来的作答还必须属于这个学生和这份卷子（见 4.5）。
• 日志脱敏：见 4.3。

9.2 这些保护的边界（请一并了解）

• 数据库整体没有加密。数据库文件仍是普通文件。第 3 节列出的字段、独立保存的资料版本全文、任务输入快照和单元结果等为密文；学生昵称、年级、在学学科与教材版本、当前水平、按班考试成绩、在线答题的作答与判分结果、发布时留存的题目与答案、页面与笔记正文、课程与知识点、页面版本快照和检索用资料片段仍可为明文，全文检索索引中的正文也未加密。生成物的加密任务副本不意味着领取后的页面、笔记或其他教学记录副本也加密。
• 浏览器版的加密主密钥就在同一台服务器上，是一个普通文件，不放进任何系统密钥库或硬件模块（生产上它的实际路径与权限由部署配置决定，本政策不对此下断言，理由见 7.6）。能登录该服务器并有相应权限的人可以读到它。字段加密防的是「数据库文件被单独拿走」，防不了「整台服务器被拿下」。
• 浏览器版本地缓存未加密。存在你浏览器里的那份教学数据副本是未加密的普通 JSON，见 6.2。
• 没有设备管理界面。产品里没有「查看并管理我已登录设备」的功能，会话只能通过在该设备上退出登录、等待凭证到期，或注销账号来终止；而退出登录时向服务器发的吊销通知是尽力而为的，见 6.2。
• 云端整库备份接口仅限运营方使用。浏览器版的整库加密备份文件包含本服务器上全部账号的数据，因此它本来就不该是一项面向单个老师的功能：这组接口已收紧为仅实例属主（运营方）可用，在线恢复入口已下架（2026-08-27 刀1 起随代码上线）。桌面客户端的整库备份只涉及你本机的数据，不受此影响。
• 桌面客户端 0.3.0 至 0.3.3 版本在本机填写的模型密钥没有交给系统密钥库。它是本机数据目录下的明文 JSON 文件，只靠文件权限保护，也不参与生成（见 7.6）；这与 9.1 里说的桌面「加密主密钥」由系统凭据保护机制保管不是一回事，请不要把两者混为一谈。

10. 保留期限

积分用尽或全量版权益到期不会删除你的已有数据。按积分计费的任务分别检查积分、任务预算与全量版权益，语义索引和查询需全量版权益、当前不另扣积分。AI 助理对话按实际用量扣积分（规则见服务条款第 5.3 条），余额不足 1 积分时不能发起，快捷任务的免费第一稿除外（同见服务条款第 5.3 条）；联网搜索不扣积分，只对全量版开放，并受频率限制约束，每次成功发出的搜索按估算单价占用周期额度与日花费上限。库内全文检索、学情看板、已有内容查看与分项导出不因此扣积分，权益到期后仍可查看和导出内容。

11. 你的权利

根据 PDPO 第 18、22 条及附表 1 第 6 原则，你有权查阅我们持有的关于你的个人资料，并要求更正不准确之处。我们会在收到请求后 40 天内答复（PDPO 法定期限）。若你身处欧洲经济区、英国或加州，我们同样按下表尊重你的相应权利：

学生或家长想查看或删除在线答题的作答，请先找布置答题的老师。答题页不登录，我们无法核实来访者是谁，也不掌握学生与老师之间的联系方式；就这部分资料，我们是受老师委托的处理者，按老师的指示办理。老师可以在产品里查看作答、改判；目前没有单独删除某一次作答的入口，要删除只能永久删除该学生（档案、学情与全部作答一起删除）或注销账号。联系不上老师的，也可以来信，我们会转告该老师并协助处理。

关于导出：你可以自行带走的是按内容分项的文件——学情汇总与单个学生学情证据的 Excel、页面的 Markdown、教案与练习单的 Word／PDF、用量争议清单 CSV，以及删除时的 JSON 回执。在线答题的作答目前没有单独的导出文件；桌面客户端的「导出我的数据」导出的整包明文 JSON 里含全部作答、自动判分和发布时留存的题目与答案；你确认写进学情的结果会随学情证据的 Excel 一起导出。桌面客户端可以在产品内自行做整库加密备份与恢复，那份文件只含你自己电脑上的数据。浏览器版另有一个整库加密备份接口，但它导出的是本服务器上全部账号的数据，属于运营手段而不是面向单个老师的导出途径，我们不把它算作你行使可携权的方式；它的访问范围正在收紧，现状见 9.2。

任务数据的删除边界：永久删除学生时，同一事务会关闭与该学生编号关联的任务、释放未结算积分并清空任务输入及全部生成结果，仅保留时间、积分与成本等账务事实。晚到回调可以记录已发生的供应商费用，但不能写回已清除的学生内容。此项账务保留仅针对学生删除；账号注销会清理该账号在产品数据库中的任务、订单、积分与成本记录。已生成的备份、快照以及支付处理商持有的记录不由该操作改写。

关于删除，请注意四点：一、删除学生不会删除你自己写在页面或笔记里提到该学生的文字，需要你自行修改；二、浏览器版的注销必须联网完成，断网时会直接失败并提示，不会「先记下来以后再删」（桌面客户端 0.3.0 起同样需要联网完成）；三、删除与注销都不会去改写已经生成的备份或快照文件，见第 10 节；四、学生设备上没有交卷成功的作答暂存留在那台设备的浏览器里，删除学生或注销都删不到它，见 6.4。

行使上述权利请发邮件至 yuxuanasher@outlook.com。我们可能需要先核实你的身份。你也有权向香港个人资料私隐专员公署（PCPD）或你所在地的资料保护机构投诉。

12. 营销通信与退订

我们目前不发送任何营销推广信息。你留下的联系方式仅用于内测资格发放、服务通知与回应你的咨询。

通知邮件。除登录验证码外，我们只用你的登录邮箱发两类通知邮件：你的反馈有了回复；全量版试用或付费套餐还剩 3 天、以及到期当天。邮件里只有一句提醒和打开 Pala 的链接，不含回复原文。两类都可以在「设置 → 通知」里关掉；应用里的通知（顶栏铃铛）照常显示。

如果将来我们希望发送产品动态或推广内容，我们会事先取得你的明确同意，并在每一次发送中提供一键退订入口。你也可以随时发邮件至 yuxuanasher@outlook.com 要求停止接收。

退订营销信息不影响服务必要通知的发送，例如计费提醒、安全警告与本政策的变更通知——这类通知与营销无关，只要你还在使用本服务就会继续发送。

13. 未成年人信息

本服务面向年满 18 周岁的教师用户，账号只供老师注册和使用。有一处需要说清：在线答题时，学生（多为未成年人）会通过你发出的链接，直接向我们的服务器提交作答。这是由你发起、按你的指示进行的收集；学生不需要注册账号，答题页只要短码，不问姓名、学号等身份信息（见 4.5）。

我们理解你录入的学生、以及在线答题的学生很可能是未成年人。如第 3 节所述：你是这些资料的资料使用者，我们按你的指示存储与处理；就此取得家长或监护人的同意（包括让学生在线答题之前），属于你的责任；产品里没有面向学生或家长的同意步骤，我们依赖你在建档和发布答题前已经取得必要的同意。使用浏览器版时，这些资料存放在我们位于香港的服务器上，我们持有它们。

我们在产品设计上做了四件事来降低这一风险：

• 最小采集：产品里没有学生真实姓名、身份证件、照片、家长联系方式的字段（关于昵称栏的提醒见第 3 节）。
• 建档必须先取得授权：建档前需勾选授权声明，系统写下一条内容不可改写、不可单独删除的授权记录（细则见第 3 节）。
• 删除不做软删保留期：「永久删除」某个学生时，其档案、课堂证据与批注、掌握状态与状态变更记录、证据复盘轨迹、课次、课时包、练习单及其题目、班组成员关系、按班考试成绩、在学学科与教材版本、答题短码、在线答题的名单与作答、专门给该生组的卷子的在线发布以及授权记录，会在一个事务里一次性从数据库删除，不设恢复期，并给你一份逐表计数的回执。
• 答题页只要短码：学生在线答题不登录、不留姓名学号，答题页不用 Cookie、不加载第三方脚本，作答不发给任何模型；判出的对错要经你确认才进学情，确认写进学情后，对错会和其他学情一样随 AI 请求发出（见 4.5、6.4、7.2）。

在线答题之外，如果你认为有未成年人通过其他途径直接向我们提供了个人资料（例如自行注册账号、来信），请立即联系我们，我们会尽快删除。学生或家长对在线答题作答的查看与删除请求，见第 11 节。

14. 跨境数据传输

浏览器版的服务器与数据库位于香港。如果你从中国内地或其他地区使用浏览器版，你录入的教学与学生数据、以及学生在线答题时提交的作答（学生在哪里答题，作答都直接提交到这台香港服务器），会传输至香港并存放在那里；你访问官网产生的服务器访问日志同样存放在香港（官网访问统计除外，见下文）。请在使用前确认这一安排符合你所在地区、所在机构对学生资料的要求。

桌面客户端（0.3.0 起）的教学数据经账号同步至香港服务器，与浏览器版相同；本机缓存不再是唯一副本。

此外，以下情形会把内容发往香港以外：

• 使用统计与付款核对：应用的使用统计事件（见 6.3，登录后与你的账号编号关联）、付款/退款核对记录（见第 8 节），以及官网的访问统计（见 6.1），会由我们的香港服务器经加密通道转发到我们自己运维、位于中国内地（广州）的统计服务器，并存放在那里（保存期见第 10 节）。这台服务器不对公网开放，也不是第三方；
• 你使用 AI 生成、语义索引与语义检索、或联网搜索时，相关内容会发往对应的模型／嵌入／搜索服务供应商（由我们的服务器代发，浏览器版与桌面客户端 0.3.0 起相同；桌面客户端 0.3.0 至 0.3.3 版本的联网搜索例外，见 7.4）。这些供应商没有一家是香港的：八家模型供应商里有六家由中国公司运营、两家（OpenAI、Anthropic）由美国公司运营，接口地址逐个列在 7.3；两家嵌入向量供应商（智谱、阿里云百炼）与联网搜索服务（博查）由中国公司运营。也就是说，一次生成、检索或搜索都可能把相关内容送出香港；
• 使用 AI 助理的网页抓取功能时，我们的服务器会去访问你在会话里给出的那个网址，该网站可能位于任何国家／地区；
• 登录验证码与通知邮件的投递会把你的邮箱地址、验证码或通知提醒提交给邮件服务商；
• 你发给我们的邮件会经过微软的邮件服务。

如果你不希望学生相关信息发往模型供应商，请不要使用 AI 生成、AI 助理与语义检索功能（你确认写进学情的在线答题结果，也会随生成与 AI 助理的请求发出）——档案、速记、排课、学情面板、库内全文检索与分项导出不依赖它们。请一并注意：语义索引的向量化是页面或笔记保存后自动发生的，不需要你点击（见 7.4）。

15. 政策变更

我们可能不时更新本政策。发生重大变更时，我们会在生效日前至少 15 天通过电子邮件通知你，并更新本页顶部的生效日期与版本号。变更生效后继续使用本服务，视为接受修订后的政策。

请连同现状一起读：上面这条邮件通知是一项运营承诺，目前没有对应的技术通道——产品里已落地的邮件出口只发登录验证码和两类逐人触发的通知邮件（反馈回复、到期提醒），没有面向全体或部分用户的群发能力；产品内有面向老师的公告位，但不发邮件。在通知通道建成之前，唯一确定会发生的是本页顶部的版本号与生效日期被更新；邮件通知我们会以人工方式发出。如果你在意政策变更，建议不定期回看本页。

16. 第三方链接

本服务可能包含指向第三方网站或服务的链接。本政策仅适用于我们直接收集的资料，我们不对第三方的隐私做法负责，建议你在使用前查阅其隐私政策。

17. 联系我们

对本政策有任何疑问、投诉，或希望行使你的权利，请联系：

• 邮箱：yuxuanasher@outlook.com（隐私、客服、注销与法务事务统一由此邮箱处理）
• 回复时限：资料查阅或更正请求 40 天内答复（PDPO 法定期限）；一般查询我们以 2 个工作日内回复为目标——这是一项运营承诺，我们目前是人工收信、没有工单系统，请以法定期限为准
• 经营者：史雨轩（个体经营者）

© 2026 Pala · szqunxing.com · 服务条款 · 本页最后更新：2026 年 10 月 18 日（产品事实）