公测草案 · 待法律审阅
隐私政策
本页内容为公测期间的草案，尚未经过法律审阅，正式版本可能调整。
本政策说明 ONE（下称“我们”）在你使用 ONE（包括网站、网页应用，以及我们日后发布的 ONE 移动应用，合称“ONE”）时如何处理个人数据。ONE 是由你拥有、有名字的个人智能服务，它使用 AI 模型替你规划和起草：你交给它一件事，并告诉它怎样才算办妥；它会持续跟进，替你起草邮件、由你自己发送，最后用证据核对结果。Gmail 和 Google 日历连接即将开放。
简而言之：我们使用你的数据，只是为了完成你让 ONE 做的事。我们不出售你的数据，不用于广告，也不用它训练通用 AI 模型。公测期间，ONE 通过 OpenRouter 使用免费模型端点。请求只会路由到 OpenRouter 标注为不收集数据的服务商，但我们与模型服务商之间没有禁止其用你的输入改进模型的合同。请不要把密码、银行卡或账户号码、健康信息等敏感内容交给 ONE。
本中文版本为参考译文；如与英文版不一致，以英文版为准。
1. 谁负责处理你的数据
ONE（地址：421 8th Ave #8689, New York, NY, US）是你个人数据的控制者。隐私问题和请求请联系：goldrusher9009@gmail.com。一般支持：goldrusher9009@gmail.com。
ONE 目前不向欧盟、欧洲经济区和英国提供服务，因此未在这些地区指定代表。
2. 我们收集哪些数据
账号。 你的邮箱地址、你希望 ONE 对你的称呼、密码哈希值（绝不保存密码本身），以及你添加通行密钥时其公开部分。你登录时，我们会记录一次会话，包括 IP 地址、浏览器或设备类型和到期时间；我们还会保留安全记录，例如近期的密码核对。
你的事务。 你交办的事、怎样才算办妥、你补充的背景和截止时间、你与 ONE 的对话、ONE 提出的问题和你的回答、ONE 准备的行动、你的批准或拒绝、ONE 收集的证据，以及事情经过的时间线。
决定记录。 对于批准和拒绝，我们会保存决定时间、所用界面版本、来自网页还是应用、设备自报或推断的大致类别，以及登录会话的单向哈希引用。某些恢复决定也会记录时间、网页或应用来源及会话引用。这些决定记录不含会话凭据、精确位置、IP 地址或完整的浏览器识别字符串；登录会话另行包含上文所述信息。我们使用决定记录追溯授权、排查错误和滥用。
Google 数据，仅在你连接后。 目前还不能连接 Google，ONE 现在不读取任何 Google 数据。开放后，只有你主动选择时，ONE 才会连接 Google；Gmail 和日历分别连接：
- Gmail：你搜索并选择附到事务上的邮件（只以纯文本导入——不执行 HTML，也不打开附件）；ONE 替你发送的每封邮件的副本（从“已发送”文件夹回读，用来核对是否与你批准的内容一致）；以及仅在你开启后才会读取的：与你进行中事务关联的会话里的新回复，和最小化的邮箱索引（邮件 ID、标签和日期——不含主题或正文）。
- Google 日历：你批准完整内容后，ONE 在你拥有的日历上创建的活动（会回读以确认已创建）；以及仅在你开启后才会读取的：主日历活动的最少字段（活动 ID、状态、标题、开始和结束时间），和用于建议时间的忙闲时段。
- 你的 Google 账号邮箱和经过加密的连接凭据，使 ONE 只能在你授予的权限范围内操作。
使用和技术数据。 每次 AI 规划运行的记录（模型调用次数、使用的 token 数、耗时），可能包含事务背景、模型回复和工具请求及结果的已保存规划记录，错误代码，以及运行和保障服务安全所需的服务器日志。你选择使用的相关 Google 内容也可能出现在规划记录中。我们不使用第三方分析或广告工具。
手机应用。 如果你开启通知，会收集设备推送 token。如果你使用语音输入，语音由你设备的语音服务转成文字，ONE 只收到文字。朗读功能使用你设备内置的语音。
人工协助。 如果你允许 ONE 的支持人员协助处理某件事务，我们会记录你允许了谁、共享了事务的哪些字段、共享多久（1 到 60 分钟），以及支持人员反馈的内容。
内容举报。 如果你举报 ONE 生成的内容，我们会保存举报类型、你填写的说明（可选），以及从你自己的数据中复制的一段被举报内容摘录（最多 500 字）。举报由 ONE 工作人员人工查看，不会发给 AI 模型。
你发给我们的消息。 你联系支持时发送的内容。
3. 我们如何使用数据，以及法律依据
- 按你的要求提供 ONE——理解事务、持续跟进、准备待你批准的行动、执行你批准的行动并核对结果（履行与你之间的合同）。
- 只为你开启的功能读取你连接的 Google 数据（基于你的同意；你可以随时断开连接以撤回同意）。
- 保障 ONE 安全可靠——防止滥用和垃圾邮件、执行每日上限、保护账号安全、修复问题（基于我们维护服务安全的正当利益）。
- 发送服务邮件，例如邮箱验证和密码重置（履行合同）。
- 遵守法律并回应合法请求（法定义务）。
我们不会仅凭自动化处理，对你作出具有法律效力或类似重大影响的决定。
4. AI 处理
ONE 使用由 OpenRouter 提供的大语言模型，处理地点在 美国，以及 OpenRouter 的模型服务商所在的其他国家。每一步，ONE 只发送完成这一步所需的内容——例如你的事务、相关对话，以及你附上的邮件或日程的文字。公测期间，ONE 通过 OpenRouter 使用免费模型端点。请求只会路由到 OpenRouter 标注为不收集数据的服务商，但我们与模型服务商之间没有禁止其用你的输入改进模型的合同。请不要把密码、银行卡或账户号码、健康信息等敏感内容交给 ONE。
关于 ONE 如何使用 AI，详见：ONE 如何使用 AI。
5. Google 用户数据与“有限使用”
ONE 对从 Google API 获得的信息的使用，以及向任何其他应用的传输，都将遵守 Google API 服务用户数据政策，包括其中的“有限使用”（Limited Use）要求。ONE 不会使用 Google Workspace API 数据来开发、改进或训练通用的或非个性化的 AI 和/或机器学习模型。完成你所提请求所需的内容，会发送给我们的 AI 模型服务商（OpenRouter），仅用于生成该结果。公测期间，ONE 通过 OpenRouter 使用免费模型端点。请求只会路由到 OpenRouter 标注为不收集数据的服务商，但我们与模型服务商之间没有禁止其用你的输入改进模型的合同。请不要把密码、银行卡或账户号码、健康信息等敏感内容交给 ONE。
ONE's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. ONE does not use Google Workspace API data to develop, improve, or train generalized or non-personalized AI and/or ML models. Content needed to complete a request you make is sent to our AI model provider (OpenRouter) only to produce that result. During the beta, ONE uses free model endpoints through OpenRouter. Requests are routed only to providers that OpenRouter lists as not collecting data, but we have no contract with the model providers that forbids them from using your input to improve their models. Please do not give ONE passwords, bank card or account numbers, health information or other sensitive data.
各项 Google 权限的详细说明：ONE 如何使用 Google 数据。
7. 非 ONE 用户的个人信息
你带入 ONE 的邮件、日程和消息中包含他人的信息，例如你写信的对象和会议参与者。我们只为完成你的事务处理这些信息，并随你的数据一并删除。ONE 发送的每封邮件都带有说明“Sent by ONE, an AI assistant, on behalf of the owner of this email account.”（即“由 ONE——一个 AI 助理——代此邮箱的所有者发送”），让收件人知道有 AI 助理参与。任何人都可以就我们可能持有的关于他们的数据，联系 goldrusher9009@gmail.com。
8. 我们保存多久
- 账号和事务数据，包括与账号关联的决定记录和已保存的规划记录：保存到你删除相关数据或删除账号为止。
- 导入的 Gmail 和日历内容：随所属事务保存；你断开 Google 连接或删除账号时，连接凭据会被移除。
- 内容举报：保存到你删除账号为止；举报被查看 90 天后，摘录和你的说明会被清除。
- 账号删除后：会保留一条最小记录（不透明的账号标识、操作编号、时间、阶段、计数和安全错误码），防止旧的后台任务重新创建该账号。这条记录不含邮箱地址、姓名、密码或任何内容。删除收据可在 30 天内用于查询进度。
- 账号删除后的完整性证明：带签名的汇总完整性锚和密码学哈希会保留，用于核对先前的行动记录是否被篡改。它们不含邮箱地址或消息内容。账号专属的账本记录和账号与哈希的对应关系会被删除；保留的哈希和签名不会因账号删除而自动到期。已经持有你导出证明的人，可能将其与保留的哈希关联。
- 备份：在按适用的保留规则移除之前，可能仍含有已删除账号的数据，包括规划记录。本服务的备份保留期限为 7 天。
- 服务器日志：最长保存 每个服务 100 MB，超出后更早的记录会被覆盖。
- 他人持有的副本不在我们的控制范围内：你发出的邮件会留在你的 Gmail 和收件人的邮箱中，活动会留在 Google 日历中直到你删除，你下载的文件会留在你的设备上。
删除是从应用中移除数据；不承诺擦除操作系统快照或磁盘残留扇区。
9. 你的选择和权利
- 导出：在 设置 → 隐私与数据 中下载加密备份或可直接阅读的 JSON 文件。
- 删除：在 设置 → 隐私与数据 → 删除账号与资料 中删除你的账号和数据。详见删除账号。
- 断开 Google：Google 连接开放后，可在 ONE 的设置中断开；你也随时可以在 Google 账号权限 页面移除 ONE 的访问权限。
- 暂停：Private 模式会暂停新的读取和尚未开始的行动。
- 根据你所在地的法律，你还可能有权访问、更正你的数据，限制或反对处理，要求数据可携带，以及撤回同意。撤回同意不影响此前已经进行的处理。
请写信至 goldrusher9009@gmail.com。我们会在 30 天内答复（法律要求更短时从其规定），并可能需要先核实你的身份。你也可以向当地的数据保护机构投诉。
10. 安全
你的浏览器或应用与 ONE 公开服务之间的连接使用 HTTPS。Google 连接凭据加密存储，密码只以哈希值保存，你还可以使用通行密钥登录。每个对外行动都需要你单独批准，批准不能重复使用。没有任何系统是绝对安全的；如果发生影响你数据的安全事件，我们会按法律要求通知你和主管机关。
当前版本新增的 AI 规划转录正文在数据库中使用服务方管理的密钥加密。另行保存的用量记录、摘要、索引和其他服务元数据不在该转录正文加密的范围内。旧版本留下的历史文件和旧备份仍可能含有明文；导入历史记录本身不会删除源文件。这些副本会保留，直到按适用的迁移、删除和保留规则处理。获授权的服务进程可以解密已存储的转录正文，以执行你的事务或准备你的导出文件。处理期间，内存和临时工作目录中会使用明文；你请求的可直接阅读的导出文件也含有明文。这不是端到端加密。
11. 跨境传输
ONE 托管在 美国。我们的服务提供方可能在其他国家处理数据，包括在 美国，以及 OpenRouter 的模型服务商所在的其他国家 进行 AI 处理。在法律有要求时，我们会采用欧盟委员会标准合同条款等保障措施。
12. 年龄与地区
ONE 面向 18 岁及以上的人士，不以儿童为服务对象。如果我们得知未满 18 岁的人拥有账号，我们会将其删除。ONE 目前不向欧盟、欧洲经济区、英国和中国大陆提供服务；使用 ONE 即表示你确认自己不位于这些地区。
14. 本政策的变更
版本号和生效日期显示在本页顶部。如有重大变更，我们会在生效前通过应用告知你，并请你阅读并接受新版本。
15. 联系我们
ONE，421 8th Ave #8689, New York, NY, US · goldrusher9009@gmail.com