隐私政策

一、我们处理哪些信息

账号与登录：你主动使用手机号、短信验证码或 Apple 登录时，我们会处理登录凭证、账号标识和必要的联系方式，用于创建账号、登录、找回和保护账号。Apple 登录是否开放，以当前版本实际提供的入口为准。

照片与肖像：你上传的参考照、选片结果和生成作品，用于身份一致性检查、质量检查、主题制作、交付、售后和纠纷处理。照片和其中的面部信息属于敏感的个人信息，我们只在完成这些目的所需的范围内处理。

订单与支付：我们会保存订单号、商品/主题、金额、支付状态、退款或撤销状态和履约记录。支付服务商或 Apple 可能直接处理支付凭据，我们不会在本服务中保存银行卡完整信息。

设备与运行数据：为完成登录保持、推送通知、故障诊断和安全审计，我们可能处理设备安装标识、推送令牌、系统版本、应用版本、网络请求日志和崩溃诊断信息。我们不会把这些数据用于与服务无关的广告画像。

客服内容：你在客服会话中主动发送的文字、截图或附件，会用于处理咨询、订单售后和安全审计。

二、人脸信息如何处理

为了照片准入、质量检查和身份一致性复核，服务器会从参考照、生成图或交付图中处理人脸图像，并记录人脸数量、检测置信度、脸部区域比例、姿态角度、遮挡/清晰度指标、身份一致性结论和距离分数等结果。ArcFace 人脸特征向量只在服务器内存中临时计算，处理完成后清零，不写入数据库或对象存储。

人脸审核指标和身份画像与订单审核记录关联保存，仅用于该订单制作、质量复核、售后和争议处理，最迟在该订单交付满 365 天后自动删除。照片文件存放于中国上海的腾讯云对象存储，审核指标和身份画像存放于星河相馆位于中国上海的生产数据库；第三方 AI 服务商仅接收完成当前生成或图片审核所需的图像、指令和任务编号，具体服务商见本页第三方 AI 补充说明。

你可以在 App 协议页撤回照片处理授权；撤回后不再启动新的照片处理。你也可以随时通过 App 内客服申请提前删除订单人脸数据。申请注销账号时，我们会删除用户照片文件，并清除关联的人脸审核指标和身份画像；订单、支付及法定审计凭证可能依法保留，但不保留上述人脸审核指标。

三、我们如何使用与共享

我们仅在提供服务、履行订单、保障安全、处理退款、响应客服和履行法律义务的必要范围内使用上述信息。为完成云存储、消息推送、支付、身份校验、图片处理、日志与崩溃诊断，我们可能委托受约束的服务提供商处理相应数据；服务商只能按合同和我们的指示处理，不得将照片用于独立营销。

除法律要求、保护用户或平台安全、处理争议所必需外，我们不会出售你的个人信息，也不会把私密照片公开到官网、搜索引擎或其他用户的相册。

四、保存期限与安全

人脸审核指标和身份画像在订单交付日起最长保存 365 天，并由服务端每日自动清理到期数据；你可以随时通过客服申请提前删除。照片和作品另按订单及相册规则保存，当前相册规则默认保留 365 天。账号、订单和支付记录在服务关系存续期间及法律要求的期限内保存；订单、支付、履约及法定审计记录可能依法保留，但不含已清理的人脸审核指标和身份画像。

我们通过访问控制、传输加密、对象存储权限控制、令牌保护、操作审计和最小权限等措施保护数据。互联网传输不存在绝对安全，我们会在发现安全事件时依法通知并采取补救措施。

五、你的选择与权利

你可以在 App 或小程序中查询和更正账号资料、撤回不必要的授权、关闭推送权限。支持账号创建的 App 可在“我的 → 设置 → 更多账户操作”中直接发起账号注销；小程序用户可通过客服申请删除账号或照片。

如需提交隐私申请，请打开 App/小程序进入“我的”>“客服”，说明账号信息、申请事项和订单号（如有）。为避免误删，我们可能需要核验账号归属。

六、未成年人

本服务面向一般公众，App Store 分级按实际内容和功能申报。未成年人使用时应取得监护人同意并在监护人指导下完成上传、支付和客服操作。

七、政策更新与联系我们

服务范围、法律要求或数据处理方式发生变化时，我们会在本页更新版本日期，并在必要时通过 App、站内消息或其他适当方式提示。无法登录或需要协助时，请通过 支持与帮助 页面进入 App/小程序客服。

第三方 AI 处理补充说明

更新日期：2026 年 10 月 21 日。以下补充说明适用于提供该说明的新版 iOS App。

主题写真生成与精修会处理上传照片、其中的面部与肖像信息，以及制作过程中的图像。

• Runcee 中转线路（https://www.runcee.net/）：主生成线路，接收本次制作所需的照片、制作指令和任务标识，并转发上游请求。
• 65535 中转线路（https://task-api-1-cn.65535.space/）：生成辅助线路，仅在主线路不可用时自动切换。
• API AI First 中转线路（https://image.apiaifirst.com/）：生成辅助线路，仅在主线路不可用时自动切换。
• DengAI 中转线路（https://dengai.duckdns.org/）：已披露的生成辅助线路，仅在主线路不可用时自动切换。
• OpenAI（gpt-image-2 或 gpt-image-2.5）：接收必要的参考照片或制作图像、制作指令和任务标识，用于主题写真生成与精修。
• 无界图片审核服务（https://wjapi.xyz/v1）：审核主供应商，接收审核阶段所需的参考照、生成图或交付图，以及审核指令。
• Postary（https://postary.xyz/）和 DengAI（https://dengai.duckdns.org/）：审核辅助供应商，仅在无界不可用时自动切换，接收相同审核阶段所需的图片和指令。
• OpenAI（gpt-6.1-sol）：由所选审核供应商转发调用，用于检查图片 Bug、穿模、脸部或画面质量异常，以及参考照语义和样片/候选图/交付图复核。

图片审核服务独立于生图中转线路。主供应商出现服务崩溃、超时等不可用情况时，系统才会自动切换已披露的辅助供应商；切换后辅助供应商也可能接收用户照片。上述 AI 请求不需要用户的手机号、短信验证码或 Apple 支付凭据。各服务商的法定主体、数据地域和留存条款以当前合同和生产配置为准；后台若启用其他审核供应商或调整模型，会先更新披露版本并重新取得同意。未纳入当前披露范围的线路或审核服务不会接收用户照片。

新版 iOS App 在首次启动时展示用户协议、隐私政策和照片与第三方 AI 处理说明。用户可先同意协议并浏览主题，照片制作前需要明确同意照片处理。相同版本和处理范围内，后续上传会保留授权记录并提供查看详情和撤回入口；服务商、用途或数据范围变化时会再次确认。登录时同意隐私政策和系统相册权限均不替代此项同意。不同意仍可浏览主题，撤回或删除申请请通过 App 内客服提出。

地域分析与故障诊断

iOS App 只有在你主动开启“地域分析”时申请前台粗略位置权限，并在设备本地转换为省、市后上传；不会上传或保存原始经纬度，也不做后台持续定位。你可以在 App 设置中关闭并清除已保存的省市信息。为排查 App 打开后崩溃等问题，我们可能使用 Sentry 接收崩溃和其他诊断数据；不启用性能追踪、回放、截图或默认个人信息。