隐私政策

1. 我们收集的内容

• 账户数据： 您的姓名和电子邮箱地址，在您注册时由 Clerk 提供。
• Gmail 数据： 当您连接 Gmail 账户时，我们会请求 gmail.readonly 权限。我们按需读取近期邮件以生成您的简报。我们不会在数据库中存储您邮件的完整内容。对于您生成的每份简报，我们会存储一份简短的排序摘要（主题行、发件人、我们的评分），以便向您展示历史记录。
• OAuth 刷新令牌： 我们为每位用户存储一个 Google OAuth 刷新令牌，以便 Voix 能够重新向 Gmail 进行身份验证，而无需您再次登录。该令牌保存在我们的 Supabase 数据库中，静态加密存储，且绝不会暴露给您的浏览器。
• 使用指标： 我们记录您何时生成简报、读取了多少封邮件、使用了哪个模型、使用了哪种语音。我们借此监控成本和可靠性。
• 速率限制记录： 每次简报调用一条记录，以您的 Clerk 用户 ID 为键，仅用于执行每小时的简报上限。
• Slack 数据（可选）： 如果您连接 Slack，我们会按需读取您近期的私信，以便与您的邮件一起排序。我们会存储您的 Slack 访问令牌（静态加密），并且与邮件一样，不存储完整的消息内容，仅存储您所看到的简短排序摘要。当私信包含文件时，我们会注明有文件被分享，并仅读取其名称和类型以便呈现；我们不会打开、下载或读取文件的内容。
• 晨间邮件（可选）： 如果您开启晨间邮件，我们会存储您已选择接收这一事实以及您的时区，以便在您当地的早晨向您发送一条“您的简报已就绪”的提醒。该邮件不含任何收件箱内容。您可一键取消订阅。

处理的合法依据（GDPR 第 6 条）

• 履行合同（第 6(1)(b) 条）： 读取您的收件箱以生成简报、起草并发送经您批准的回复，以及相关的账户数据：这是您要求我们提供的核心服务。
• 同意（第 6(1)(a) 条）： 产品分析（仅在您接受 cookie 横幅时）和可选的晨间邮件（仅在您选择接收时）。您可随时撤回其中任一项（拒绝分析，或取消订阅邮件），且不影响核心服务。
• 正当利益（第 6(1)(f) 条）： 安全、防滥用（速率限制）和错误监控，在与您的权利相平衡的前提下进行，并仅限于保持服务安全运行所必需的范围。

2. 我们不收集的内容

• 我们不会下载或存储附件。
• 我们不会在数据库中存储完整的邮件正文。
• 我们不会与广告商、数据经纪商或第三方营销服务共享您的数据。
• 我们不会使用您的邮件内容来训练 AI 模型。为进行排序而发送给 Anthropic 的邮件文本，依据 Anthropic 的商业 API 条款进行处理，该条款禁止 Anthropic 使用您的内容训练其模型。
• 我们不会代表您访问其他用户的数据。

3. 我们为何需要每项 Gmail 权限

• gmail.readonly：受限权限。 每次您按下“为我简报”，Voix 会读取您最近约 14 天的收件箱，即您“主要”和“更新”类别的邮件。它不会读取您的推广或社交邮件，也不会读取您的整个邮箱。我们需要读取权限以提取用于排序的主题行、发件人和一小段正文摘录。没有此权限，Voix 无法告诉您收件箱里有什么。
• gmail.send：受限权限，单独请求，且仅在您需要时。 您首次登录时只请求 gmail.readonly ，别无其他。我们稍后才请求 gmail.send ，即在您首次批准一封草拟回复时，结合具体情境请求。如果您从不批准回复，我们就绝不会请求该权限，Voix 也绝不拥有发送权限。一旦授予，该权限便允许 Voix 代表您从您自己的 Gmail 账户发送回复，无需复制粘贴到 Gmail 中。每次发送都由明确的用户操作触发（点击按钮或语音指令）；Voix 绝不会自主发送邮件。
• calendar.events.readonly：可选，只读。 仅当您选择添加日历时，此权限才允许 Voix 读取您即将到来的日程，以便简报在告知您邮件之外，也能告诉您这一天的安排。它无法创建、更改或删除日程。您可在设置中关闭日历读取，读取会立即停止。

我们将权限最小化：我们不请求 gmail.modify、gmail.labels 或完整的 mail.google.com ，尽管这些能解锁更多功能，因为 gmail.readonly 加上 gmail.send 已足以交付 Voix 的价值。上述每项权限均以渐进方式请求，因此您所持有的权限仅是您实际使用过的那些。

4. 您的数据存放在哪里

• Supabase （欧盟法兰克福区域）存储您的账户记录、OAuth 刷新令牌、简报摘要和速率限制记录。
• Vercel 托管 Voix 应用。服务器日志按 Vercel 的默认策略保留。
• Clerk 依据其自身的隐私条款管理您的登录身份（姓名 + 邮箱）。
• Anthropic 处理排序和回复起草的提示词。Anthropic API 的企业条款禁止使用我们客户的数据进行训练。
• Google Cloud Text-to-Speech 根据文字稿合成语音简报。适用 Google 的标准 API 条款，且 Google 不会使用我们的请求进行训练。
• Slack （如已连接）提供我们排序的私信内容，依据 Slack 自身的条款。
• Microsoft 365 （如已连接）提供我们排序的 Outlook 邮件、日历和 Teams 聊天内容，依据 Microsoft 自身的条款。
• PostHog （欧盟法兰克福区域）提供产品分析和错误监控，仅在您接受 cookie 横幅之后。我们所定义的分析事件不含任何收件箱内容、姓名或消息文本。错误报告由系统自动生成，而非由我们撰写，因此在发送前我们会隐去邮箱地址并剥离我们 AI 提示词的标记；我们不会承诺更多，因为自动错误消息是我们无法完全掌控的文本。
• Resend （如启用晨间邮件）发送选择接收的提醒。该邮件不含任何收件箱内容。

其中一些处理方（Anthropic、Vercel、Clerk、Google）位于美国或会向美国传输数据。此类传输受标准合同条款和/或欧盟-美国数据隐私框架的保护，且每个处理方都受数据处理协议约束，该协议禁止将您的数据用于其自身目的或训练通用 AI 模型。

下方列表列明每个处理方、其处理数据的地点，以及任何欧盟境外传输所依据的法律保障。可通过 privacy@voixapp.org 索取最新的次级处理方列表。

• Anthropic（美国）：AI 排序和回复起草。传输：标准合同条款 / 欧盟-美国数据隐私框架。受约束不得使用您的数据进行训练。
• Google Workspace + Google Cloud Text-to-Speech（美国/全球）：收件箱读取/发送和语音简报合成。传输：标准合同条款 / 欧盟-美国数据隐私框架。Google 不会使用这些请求进行训练。
• Microsoft（美国/欧盟）：当您连接 Microsoft 365 时，为您的简报读取 Outlook 邮件、日历和 Teams 聊天。传输：标准合同条款 / 欧盟-美国数据隐私框架。
• Clerk（美国）：登录身份（姓名 + 邮箱）。传输：标准合同条款 / 欧盟-美国数据隐私框架。
• Supabase（欧盟，法兰克福）：主数据存储（加密令牌、简报摘要）。无欧盟境外传输。
• Stripe（美国/欧盟）：计费。无任何卡片数据到达 Voix。传输：标准合同条款 / 欧盟-美国数据隐私框架。
• Vercel（美国）：应用托管和服务器日志。传输：标准合同条款 / 欧盟-美国数据隐私框架。
• PostHog（欧盟，法兰克福）：产品分析和错误监控，以同意为前提。无欧盟境外传输。我们所定义的分析事件不含任何收件箱内容。
• 仅在您使用相应功能时才启用： Resend（美国，晨间邮件）、Twilio 和 Vapi（美国，私密通话）、Meta（美国/全球，WhatsApp/Instagram 商业版）。每项均依据标准合同条款 / 欧盟-美国数据隐私框架。

仅按计时器触发我们后台任务、且不接收任何个人数据（仅接收一个身份验证密钥）的调度和运行时间监控服务属于基础设施，而非处理方，未列于上方。

如果您通过 Voix 代表某组织处理个人数据并需要签订数据处理协议（DPA），您可阅读我们的 数据处理协议 ，并通过 privacy@voixapp.org 索取一份经双方签署的副本。

5. 加密

• 所有前往 Voix 的流量均使用 TLS 1.2 或更高版本。
• 所有数据库存储均使用 AES-256 静态加密，由 Supabase 管理。
• OAuth 刷新令牌存储在一个专用表中，仅可由使用服务角色密钥的 Voix 服务器访问。服务角色密钥绝不会到达浏览器。

6. 我们保留您的数据多久

• 在您的账户处于活动状态期间： 只要您选择使用 Voix，我们就会保留账户数据、OAuth 令牌和简报摘要。
• 如果您删除账户： 与您 Clerk 用户 ID 关联的所有记录将在 30 天内从我们的数据库中移除。备份将在此后 60 天内失效清除。90 天后不再留有任何副本。
• 访问审计日志： 保留 90 天。在极少数需要调查安全事件的情况下予以保留。

7. 您的权利（GDPR + CCPA）

如果您身处欧盟、英国或加利福尼亚州，您享有以下权利，且无论您居住在何处，我们都将予以尊重：

• 访问： 索取您数据的副本。
• 更正： 要求我们更正不准确的数据。
• 删除： 在设置中自行删除您的账户（这会立即清除您的所有数据），或通过邮件请求删除。
• 可携带性： 以机器可读格式索取您的数据。
• 反对： 反对特定的处理。
• 撤回同意： 在 Voix 设置中，您可断开 Gmail 或 Slack、在 cookie 横幅上拒绝分析，并一键取消订阅晨间邮件。您也可随时直接在您的 Google 或 Slack 账户中撤销 Gmail 或 Slack 访问权限。

如需行使上述任何权利，请发送邮件至 privacy@voixapp.org 。我们将在 30 天内答复。

对于访问和可携带性请求，我们将在 30 天内以结构化、机器可读的格式提供您的数据。您可自助导出核心账户数据；在其涵盖您的完整记录之前，请发送邮件至 privacy@voixapp.org ，我们将把其余部分发给您。

8. 安全事件

如果我们检测到影响您账户的个人数据泄露，我们将在发现后 72 小时内按 GDPR 第 33 条的要求通知您以及任何必要的监管机构。

9. 儿童

Voix 并非面向 16 岁以下的儿童。我们不会在知情的情况下收集任何 16 岁以下人员的数据。如果您认为我们收集了此类数据，请联系 privacy@voixapp.org ，我们将予以删除。

10. 本政策的变更

当我们的做法发生变化时，我们将更新本页面。本页面顶部的生效日期反映最近一次修订。对于重大变更，我们将在变更生效前至少 30 天通过邮件通知活跃用户。

Cookie 与电子通信

严格必要的 cookie 和本地存储（登录会话、OAuth 状态、CSRF、您的 cookie 选择）始终开启，无需同意。产品分析默认关闭，仅在您于 cookie 横幅上接受时才运行；若您拒绝，则不加载任何分析。除非您另行选择接收，否则我们不发送营销邮件；事务性邮件（若您启用的“简报已就绪”提醒、计费和安全通知）不属于营销，且每封营销邮件都附有无需登录即可使用的一键取消订阅。这符合西班牙 LSSI-CE 第 22.2 条、英国 PECR 和 GDPR 第 7 条。

11. 联系方式

运营者：John Afinni，以 Future_AI_Lab 名义运营，西班牙巴塞罗那。
隐私问题、数据访问请求和删除请求：privacy@voixapp.org。
用于投诉的欧盟数据保护机构：Agencia Española de Protección de Datos（aepd.es）。