Tavix（“我们”）为每个人提供专属的私人 AI 助手 Tuti。本政策说明我们收集什么、为什么收集，以及你有哪些选择。
我们收集的信息
- 账号数据：你的姓名、邮箱地址、密码哈希（从不保存密码本身）和登录方式。
- 设备数据：每台已登录设备的名称和平台、其公开设备密钥，以及最后使用时间。
- 你的 Tuti 数据：存储在你私人实例中的对话、记忆、文件、定时任务和设置。
- 连接令牌和保存的凭据：加密存储在你的保险库中（见下文）。
- 运营数据：用于运行、保护服务和计费的实例状态、错误日志和使用次数。
我们如何使用
用于提供你要求的服务：运行你的实例、执行你的请求、同步你的设备、防止滥用和修复问题。我们不出售你的数据，也不用你的对话训练 AI 模型。
AI 模型提供商
为了回答你，Tuti 会把对话的相关部分发送给你的账号所配置的 AI 模型提供商（例如通过 AWS Bedrock 使用的 Anthropic，或你连接的自己的 Claude Code / Codex 账号）。这些提供商依据其自身条款处理数据，并根据与我们的协议不会用这些数据进行训练。
保险库和密钥
你提供给 Tuti 的密码、API 密钥和 OAuth 令牌会存入加密保险库（采用按用户区分数据密钥的 AES-256-GCM）。它们只在需要时于你自己的实例内解密，每次使用都会被审计，且永远不会展示给 AI 模型。支付卡保存在我们的支付处理商 Stripe；我们只保留 Stripe 对该卡的引用，以及卡组织、卡号后四位和有效期。
付款
银行卡和钱包由我们的支付处理商 Stripe 保存和扣款。你只会在 Stripe 的安全输入框（或 Apple Pay / Google Pay）中输入卡信息；这些信息直接发送给 Stripe，绝不会到达我们的服务器、你的实例、AI 模型、我们的日志或分析系统。我们只保留显示和使用你已保存付款方式所需的信息：Stripe 引用编号、卡品牌、卡号后四位、有效期月份和年份、钱包类型，以及用于识别重复卡的卡指纹。
只有在你用通行密钥、Face ID 或指纹在设备上批准了那笔确切的付款（商家、商品、金额、币种和银行卡），且在你设定的单笔和每月限额内时，Tuti 才能付款。对于每笔付款，我们会保留请求、你的批准（由哪台设备或哪个通行密钥批准，绝不包含你的生物特征数据）、状态、金额、退款、收据链接和审计记录。Stripe 也会根据其自己的隐私政策处理这些数据，包括用于防范欺诈。付款和审计记录会按照财务记录保存法律的要求保留（在加拿大一般为六年），即使你删除账号也是如此；其他所有数据遵循下方的保留规则。
付款在 Stripe 测试模式下运行期间，不会有真实资金流动。
方案和计费
你开始付费方案后，Stripe 会在每个计费周期向你选择的银行卡扣款；卡信息如上所述保存在 Stripe。我们会保留你的方案、订阅状态和日期（试用、续订、取消）、你的客户、订阅和发票的 Stripe 引用编号，以及发票金额，以便显示你的方案和发票，并提供方案所含的内容。发票及其记录会按照财务记录保存法律的要求保留。
为了让每人只享受一次免费试用，我们会记录你的账号已使用过试用，以及所用银行卡的 Stripe 指纹（一种可识别银行卡但不暴露卡号的引用信息）。即使你删除账号，我们也会保留这条记录，仅用于防止重复免费试用。
用量。为了运行、定价和保护服务，我们会记录你的 Tuti 使用 AI 模型的量：每次请求的输入和输出令牌数（包括缓存令牌）、由哪个模型处理、我们的成本以及发生时间，绝不记录你的对话内容。你可以在 Plan & billing 中查看自己的活动（令牌和请求）。
保留和删除
在你的账号有效期间，你的数据会被保留。实例备份最多保留 30 天。你可以随时在应用中删除保存的凭据和连接；如需删除账号，请用你的账号邮箱联系我们，我们会在 30 天内清除你的实例、保险库和备份。
安全
实例彼此隔离，不接受任何入站连接，只能通过我们经过身份验证的边缘节点访问。设备可以随时撤销。
你的权利
根据你所在的地区（例如依据 GDPR 或 PIPEDA），你可能有权访问、更正、导出或删除你的数据，并反对某些处理。如需行使这些权利，请联系我们。
儿童
Tavix 不面向 16 岁以下人士。
变更
我们会在此发布更新，并在重大变更生效前通过应用告知你。
联系我们
如有疑问，请通过我们给你发消息所用的邮箱地址联系 Tavix 团队。