TOAI 隐私说明

一、处理目的与信息范围

套餐、支付与使用额度：为开通对应服务、确认购买权限及计量结算，处理所选版本、资源规格、成员席位、工作空间、订单金额、交易状态、额度周期、实际计费使用量、成本费率版本、费用预留与回执结算结果、重置记录及必要的请求标识。页面仅展示百分比，不代表我们不保存支持核对和纠错所必要的实际使用记录。支付密码、银行卡等由收款服务按其规则处理，我们不通过聊天或普通业务表单收取。

账号与访问：为注册、身份验证、登录和账号保护处理手机号、密码验证摘要、会话及必要的安全记录。短信验证码由已配置的认证服务协助发送；不会通过使用文档或客服索取你的密码和验证码。

业务本体与对话：为理解业务方向、组织任务和生成内容，处理你提交的企业介绍、产品、市场、偏好、对话及其任务结果。仅在需要模型处理的步骤传入与任务有关的内容。

客户与背调：为线索筛选、业务核实和商业联系，处理公开或经授权提供的公司名称、官网、业务介绍、人员姓名、职务、工作联系方式及必要来源。公开信息也可能属于个人信息，使用需具有合法基础并尊重相关权利，不因“公开”而无限制处理。

邮件与附件：你主动连接邮箱、添加附件或启动营销时，处理必要的收发件地址、邮件正文、签名、附件、发送状态及同步的回复。邮箱凭据用于已授权的连接和操作，不在普通接口或客户页面展示。是否连接及何时发送由你决定。

A2A 业务身份：仅在你确认发布后，对外提供名片中选定的业务介绍、产品、市场与联系页面，不自动公开客户池、内部对话或私有文件。身份 Agent 使用相应套餐授权的业务资料整理草稿；企业知识示例不作为真实资料发布。为授权连接、接收消息和追溯使用，处理身份与管理 Agent 的归属、发布版本、凭证验证摘要、有效期、撤销状态、来信及回复。公开商务接待还处理访客提交的咨询、模型回答、会话标识及询价中主动提供的产品需求和联系方式；用于回答的业务背景仅限已经审阅发布的资料。为限流和反滥用，处理必要的来源派生标识与访问记录；为接续访客会话，使用自动签发的临时会话证明并保存验证摘要，不在管理员来信中展示证明内容，不将其作为企业身份认证。询价作为待核验记录保留，不因提交而自动形成报价或订单。来信、回复及询价属于工作空间业务数据，适用下述业务数据保留规则。

API/MCP：为鉴权和追溯请求，处理工作空间与密钥归属、授权范围、有效期、辨识前缀、验证摘要、操作名称、状态、时间及请求标识。专用调用记录不保存密钥明文或完整请求正文，业务记录仍按业务本身保存。

服务保障：为限流、故障排查、滥用防护及履行必要义务，处理请求标识、状态、时间和必要的连接信息。访问日志的保存应限于安全与服务保障所必要的范围，不作为工作空间内容供其他用户查看。

二、工作空间隔离与公开资料复用

团队共享：团队版可能按企业管理员配置，在同一企业工作空间内共享业务本体、业务记忆、客户、任务、Agent 协作结果和营销记录。为管理成员、权限、共享额度及安全，管理员可能查看成员账号标识、权限、席位、业务操作及使用情况；不因此获得成员密码或外部连接密钥明文。普通成员应能了解所属企业与相应的共享范围，跨企业访问仍受隔离和鉴权控制。成员离开企业或权限被撤销后，不再因曾参与任务而保留后续访问权限；企业依法保有的业务记录按企业授权、保留规则及适用法律继续处理。

账号、业务本体、对话、私有任务、备注和营销记录按工作空间授权访问。平台可缓存公开企业资料以减少重复采集，但公开资料缓存与用户私有工作记录应分别处理，不将其他用户的私有数据作为共享结果提供。

导入第三方资料前，应确认有权处理。不要在对话或附件中提交与业务无关的身份证件、个人金融、健康等敏感信息。确需处理敏感信息时，应先具备明确必要性及适当的告知授权和保护措施。

三、服务商、接收方与外部模型

企业数据库与自带模型：仅在对应功能启用并经授权连接后，为建立连接及执行你指定的业务处理，使用数据库连接信息、授权数据范围、必要的连接凭据、模型服务地址及 API 凭据。应按最小必要原则读取选定的业务资料，并为所需模型步骤提供相关上下文，不因数据库接入而向其他企业提供私有数据。敏感连接凭据应在服务端采取适当保护，普通成员可按授权使用连接，不直接取得凭据明文。

选择自带模型前，应了解具体服务商、处理目的、传入数据范围、服务地区及其数据规则。模型处理可能包含企业业务本体、被授权的业务记忆、客户资料和对话内容；不应因为密钥由你提供，就免除必要告知、权限控制或跨境处理程序。模型服务失败也不意味着允许自动改向其他接收方。平台的 API / MCP 对外授权与自带模型连接分别管理。

短信认证、模型推理、网页获取、联系人补全、基础设施及你连接的邮箱服务会按所用功能处理必要数据。相关数据仅在完成对应功能所必要的范围内提供。涉及需要另外告知接收方或单独授权的处理，应在相应操作前提供所需说明并完成必要授权；你也可通过隐私事务邮箱查询具体处理安排。

业务页面采用统一产品名称，不改变我们对实际接收方及处理范围应承担的告知义务。你自主连接的邮箱和外部模型客户端，也适用其服务商的数据规则。

当你将 API 密钥授予外部模型客户端时，该客户端可能取得授权范围内的客户、联系人、备注、业务本体和草稿，并由其运营方处理。TOAI 不控制第三方已取得副本的后续保存或训练行为。授权前应选择可信服务、缩小权限并了解其数据政策；不再使用时撤销密钥。如希望删除第三方副本，应向相应服务方提出请求。

涉及委托处理、向独立处理者提供或跨境传输的，按实际关系和适用规则分别履行义务，必要时取得单独同意或满足其他合法条件。不会将开通账号或普通协议勾选视为对所有未来接收方的无限授权。

四、存储位置与保留期限

平台自主管理的用户业务数据存储地区：中华人民共和国浙江省杭州市。 此项指平台自主管理的业务数据存储；模型、短信、采集、联系人补全、邮箱及用户自选外部模型可能由相应服务商在其处理地区完成操作。需要另行告知或授权的处理，应履行相应程序；此项不表示全部第三方处理均发生在杭州。

订阅有效期间，在提供服务所必要的范围内保存你的工作空间业务数据。你依法申请删除或信息已无继续处理必要时，按对应要求处理，不以订阅仍有效为由无限期保留。

订阅实际到期且未续费后，工作空间业务数据保留 48 小时。 起算时间为已付费订阅的实际到期时刻，并非点击取消续费的时间；连续计算 48 小时，页面按北京时间展示。范围包括业务本体、对话、客户私有记录、任务结果、营销内容及附件。保留期内完成续费的继续保留；届满未续费的按规则清理或匿名化，清理后不承诺恢复。

账号基本资料、交易凭证、法定安全日志及处理权利请求所必需的记录，按照相应法定义务及实现处理目的所必要的最短期限保留；“业务数据保留 48 小时”不表示依法必须保留的记录也在同一时点销毁。工作空间内的删除不等于删除用户自己邮箱、已授权外部客户端或独立第三方保存的副本。

API/MCP 专用调用记录用于安全与问题追溯，采用 90 天的技术清理阈值，并在后续调用时分批清理。服务终止或处理目的提前结束时，应按实际必要性及法定义务处理，不以这一技术阈值扩大留存范围。该期限不适用于全部业务数据或全部日志。

对依法尚须保留，或因技术原因暂时无法删除的数据，停止除存储和必要安全保护以外的处理。备份应隔离访问，待能够清除时及时处理，不用于恢复已结束的常规业务处理；恢复备份时须重新执行已生效的删除要求。你可通过隐私事务邮箱申请了解与自己有关的数据留存及删除情况。

如发生需跨境提供的处理，应根据数据规模、性质、实际接收方和适用规则确认所需程序，并依法告知相关信息。平台存储地区的说明不代替对具体跨境处理应履行的程序。

五、你的控制与权利

你可修改 A2A 身份草稿、选择何时发布、停止公开或撤销连接凭证。撤销阻止凭证后续访问，停止公开关闭身份的公开访问；这些操作不能自动删除合作 Agent 已取得的副本，必要时应向相应接收方提出请求。

你可在产品中查看或编辑允许修改的业务资料，导出客户数据，断开邮箱连接，撤销 API 密钥；撤销不会自动停止已受理任务或撤回已发送邮件。

你可通过正式公布的隐私联系渠道请求查阅、复制、更正、补充、删除个人信息，撤回基于同意的授权，或申请注销账号。我们应提供易于使用的申请方式，在核验必要身份后依法及时处理，并说明不能满足请求的理由及救济途径。不得收集超出核验必要范围的信息或设置不合理障碍。

如页面未提供自助注销或对应删除入口，请通过 atoaicn@gmail.com 提出申请。我们应在核验必要身份后依法及时处理，并说明需要保留的记录及其原因。

六、安全、Cookie 与本地状态

登录使用会话 Cookie，浏览器可保存必要的界面偏好；API 密钥创建后仅在当前界面短暂显示，不写入浏览器持久存储。服务端对访问密钥保存验证摘要，对敏感连接凭据采用既有保护机制，并按工作空间权限控制访问。

任何措施都无法承诺绝对安全。发生个人信息安全事件时，我们应依法采取补救、记录、通知或报告措施。请勿将验证码、密码、密钥、邮箱授权码粘贴到公开聊天或问题截图。

七、未成年人及变更

服务面向商业业务用户，不主动向未成年人提供相关商业触达功能。如发现不当收集未成年人信息，应及时联系隐私负责人核实处理。

本说明发生重要变化时应显著通知，必要时重新取得授权。本页面提供持续可查阅的版本；重大变更应以更新后的说明与必要的确认程序为准。