隐私政策

01我们是谁

Thinker 是一个阅读与思考平台:长文写作、播客,以及一个私密的 Room——您可以在其中保存笔记、阅读进度,并与 Librarian(图书管理员)对话。

本隐私政策说明:您使用 Thinker 时,我们收集哪些信息、为何收集,以及您拥有哪些选择。

• 个人信息处理者: Ngô Lê Bảo Duy 先生（个人，Thinker 项目运营者）
• 注册地址: 越南胡志明市延鸿坊李常杰路268号
• 联系方式: nowhere0199@gmail.com

我们使用 Cloudflare 基础设施(Workers、Pages、D1、KV)以及一份简短、明确列出的服务提供方清单处理个人信息。没有广告,没有受众跟踪,不出售个人信息。

02您如何与 Thinker 交互

您可以以三种方式使用 Thinker,每种方式收集的信息量不同:

• 访客 — 阅读文章、收听节目。我们几乎不保存关于您的任何信息。
• 邮件通讯订阅者 — 收到欢迎邮件,以及——仅当您选择时——后续各期。
• 登录用户 — 拥有一个 Room:笔记、阅读进度、Librarian,以及可选的备份。

不登录时,我们保存的访问信息尽可能少。我们不在知情的情况下收集未满 13 tuổi 周岁未成年人的个人信息;《未成年人保护法》对未成年人的网络保护要求对我们具有约束力。

03我们收集的信息

您直接提供的。

• 电子邮箱 — 登录(magic link)或绑定 Google 所需。用于创建账号、登录及账号相关通信。
• Google 资料数据 — 使用 Google 登录时,我们仅接收 Google 为此目的共享的电子邮箱与资料姓名。
• 笔记、高亮与提问 — 您在 Room 中创建的内容,保存于您的 Vault(见第 09 节)。
• Librarian 聊天消息 — 见第 08 节。

自动收集的。

• 账号数据 — 电子邮箱、登录方式、语言偏好、账号等级、最近登录时间。
• 阅读进度 — 登录用户阅读了哪些条目、读到何处;用于进度条与"继续阅读"。
• Librarian 元数据 — 每个问题仅存派生的主题标签(从问题提取的关键词——绝不存储问题原文)、所提问的页面、语言、回答的锚定状态。我们不存储完整对话。
• 技术数据 — IP 地址及基础请求信息,由基础设施提供方 Cloudflare 处理,用于安全、防滥用与请求限频。

我们不收集的。

不收集精确地理位置、健康数据、金融账号、政府标识符;不使用广告像素或第三方跟踪脚本。

04Cookie 与本地存储

会话 Cookie 是账号功能所必需的;语言 Cookie 属于便利项。Thinker 上没有任何广告或第三方 Cookie。

05处理依据与目的

依据您所在司法辖区,我们适用不同的处理依据。实务上:

• 个人同意 — 邮件通讯订阅,以及(法律要求时)超出必要范围的 Cookie、Librarian 笔记保存等。
• 订立、履行合同所必需 — 登录后提供 Room、Librarian、笔记与阅读进度。
• 法定义务与安全防护所必需 — 安全、防滥用、请求限频与基础服务稳定。我们不将其用于对您产生实质影响的处理;您可依法对具体处理提出异议(见第 15 节)。
• 履行法定义务 — 依法运营服务所需的记录(例如:支付启用后的基础账单记录)。

中国用户:本政策按《中华人民共和国个人信息保护法》(PIPL)、《网络安全法》《数据安全法》等要求构建,特别是关于个人信息出境(第 38 条)与个人权利(第四章)的规定。其他辖区用户(GDPR、CCPA/CPRA、越南第 13/2023/NĐ-CP 号法令等)适用其当地法律的相应要求。

06邮箱与账号

无密码登录。 请求 magic link 时,我们生成一个 15 分钟内有效的一次性令牌并发送至您的邮箱。令牌仅可使用一次。邮件通过 Resend 发送;为防止滥用,我们对每个邮箱与每个 IP 设置每日小额度限制。

Google 登录。 您与 Google 完成 OAuth 流程;我们仅获取该账号的电子邮箱与资料姓名。

账号数据。 我们存储电子邮箱、登录方式、语言、等级与最近登录时间。从不存储密码。

删除账号。 您可以在 Room 设置中("安静离开")删除账号。经两步确认(会话内确认 + 邮箱确认)后,与您关联的一切——Vault 笔记、阅读进度、Librarian 元数据、账单记录——将被删除,您所有活跃会话终止。删除立即生效,您无法自行撤销。

07邮件通讯

订阅时,我们将您的电子邮箱存入邮件通讯列表,并通过 Resend 发送欢迎邮件。订阅本身即同意;默认不作其他营销用途。

您可通过每封邮件中的链接一键退订。退订后停止发送邮件;我们仅保留退订事实(以免再次发送),并仅为该抑制目的处理您的邮箱。

08AI 与 Librarian

Librarian 回答关于您所读内容的问题。本节如实说明发生的情况:

• 当您提问时 — 问题文本发送至我们的语言模型服务(基于 Cloudflare Workers 的内部 LLM 门户,密钥保存在服务器端——您从不见到、也不接触密钥)。在文章页面提问时,正在阅读的文章正文(最多约 6,000 字符)作为上下文一并发送,使回答锚定在该页。
• 聊天内容不存储在服务器端。 Librarian 界面中的对话存在于您的浏览器中。我们仅存储每个问题的小型元数据:主题标签(派生自问题)、页面 URL、语言、回答状态。
• 笔记与高亮。 若您要求 Librarian 将某内容存入 Vault,该内容将被加密存储(第 09 节)——但仅当您在界面内通过同意开关明确允许时;默认关闭。
• AI 输出不构成法律、医疗或专业建议。 Librarian 可能出错,重要内容请自行核实。

我们不使用您的问题进行模型训练;不会将您的对话发送给广告或分析系统。

09Vault 与笔记

您的 Vault 存放笔记、高亮与保存项。

• 静态加密。 条目使用服务器端持有的密钥以 AES-GCM 加密后写入数据库;数据库仅存密文,明文仅在操作执行期间存在于内存。
• 非端到端加密。 明确说明:密钥由我方(在 Cloudflare 上)持有,技术上我们有能力读取您的笔记。我们不会读取;没有任何支持或审核流程读取笔记内容;删除是您的工具,不是我们的。
• 保留期由您决定。 您可以随时在 Room 中清空 Vault,即删除全部加密历史。我们不按时间表清除条目——条目保留至您删除或账号删除为止。
• 备份。 启用后,我们可发送加密备份提醒邮件;提醒邮件本身不含笔记内容。

10阅读与书签

登录用户:我们存储您读了哪些条目、读到何处、以及书签。该数据用于在您停下的地方继续,并驱动 Room 的旅程视图。与账号绑定,随账号删除。

访客无阅读历史:未登录会话的进度仅保存在您的浏览器中。

11支付(如启用)

撰写本政策时,支付尚未启用。启用时:

• 记录商户(merchant of record) 为 Paddle 或 Lemon Squeezy（作为适用 Thinker 交易的支付处理方及 Merchant of Record／授权转售方，依据提供方的适用条款行事）。,一家受监管的支付处理机构。卡数据、3-D Secure 与拒付由其处理;我们看不到完整卡号。
• 我们存储与账号绑定的订阅引用、套餐与发票元数据。
• 购买条款见《服务条款》(第 12–14 节)。

支付启用前,Thinker 上不收集任何金融数据。

12第三方与受托处理方

我们使用一份简短的受托处理方清单;他们均不使用您的数据进行自身营销:

Thinker 不嵌入第三方分析脚本。Cloudflare 的默认请求日志(IP、时间戳、请求路径)依其政策保留,并受其与我方之间的数据处理协议(DPA)约束。

13个人信息出境

基础设施由 Cloudflare 在其全球网络中运营。当个人信息离开您所在的辖区(例如 EEA/UK、中国、日本、韩国、印度、越南)时,我们依赖该辖区适用的出境机制——必要时的标准合同等——并对您所在司法辖区的具体保护要求作出响应。

依 PIPL 第 38 条,向境外提供个人信息需满足法定条件(如通过国家网信部门组织的安全评估、经专业机构认证、或与境外接收方订立标准合同)。Thinker 所适用的具体出境机制为 法律审查待定(境外运营者的合规路径需法律意见确认,不作自我认定)。

如您所在辖区要求就某次出境出具特定保护文件,请通过下方联系方式告知;我们将提供或调整安排。我们不会向未经验证的第三方为营销目的转移数据。

14安全与保留

• 传输中。 全部流量走 HTTPS;会话 Cookie 为 HttpOnly、Secure、SameSite=Lax。
• 静态。 Vault 数据存储前加密(AES-GCM);数据库实施访问控制。
• 防滥用控制。 登录与邮箱端点实施限频;API 路由校验来源(origin);magic link 一次性、有效期 15 分钟。
• 保留。 账号数据:账号存续期间,账号删除时删除。阅读数据:与账号绑定。Librarian 元数据:与账号绑定。邮件通讯地址:订阅期间保留,退订后仅为抑制目的保留。会话:30 天或直至登出。
• 泄露处置。 若安全事件影响您的数据,法律要求时,我们将通知受影响用户与相关主管机关。

15您的权利

依据您所在地(PIPL、GDPR、CCPA/CPRA、日本 APPI、韩国 PIPA、越南第 13/2023/NĐ-CP 号法令等),您可能享有以下部分或全部权利:

• 知情与决定 — 依 PIPL 第 44 条,您对您的个人信息享有知情权与决定权。
• 查阅、复制 — 依 PIPL 第 45 条,获取我们存储的您的个人信息及其副本。
• 更正 — 修正不准确的数据(例如:变更后的邮箱)。
• 删除 — 删除账号及所有关联数据,可通过 Room 设置或向我们书面提出。
• 可携带 — 依 PIPL 第 45 条,在法律法规允许时,请求将您的 Vault 内容以可用形式获得或转移。
• 撤回同意 — 退订邮件通讯,或关闭 Librarian 笔记同意开关;撤回简便,且不影响撤回前已处理数据的效力。

行使权利请从您账号关联的邮箱向 nowhere0199@gmail.com 发函。我们将在核实身份后及时答复,原则上不超过 30 日,并依 PIPL 第 50 条履行受理义务。

16联系方式与变更

• 咨询、权利请求或更正: nowhere0199@gmail.com
• 运营方: Ngô Lê Bảo Duy 先生（个人，Thinker 项目运营者）
• 注册地址: 越南胡志明市延鸿坊李常杰路268号

服务或处理变化时,我们更新本政策。页面顶部的更新日期为准;重大变更将在本页注明,而非静默推送。

对本政策有任何问题,请写信给我们——会有人阅读法务邮箱。

17图书馆员记忆的保留

如果你使用 Thinker+ 并启用图书馆员的持久记忆，Thinker 可能保留与你账户关联的图书馆员记忆，以便你在订阅结束后再次回到 Thinker+ 时能够继续此前的体验。

当你的 Thinker+ 使用权限失效时，你的图书馆员持久记忆会进入休眠状态。在休眠期间，该记忆不会被用于个性化 Reader 体验，也不会用于提供图书馆员的持久功能。

休眠状态下的图书馆员记忆，自你的 Thinker+ 使用权限结束之日起最多保留 24 个月，除非你提前删除、在适用情况下请求删除，或法律要求不同的保留期限。

如果你在此期间重新激活 Thinker+，符合条件的休眠图书馆员记忆可按照你的设置恢复为可用状态。

在适用的 24 个月保留期结束后，休眠状态下的图书馆员记忆将被删除或不可逆地匿名化，但我们在法律上必须或允许为另一目的保留的信息除外。

你可以通过 Thinker 提供的管理功能来管理、关闭或删除你的图书馆员持久记忆。