隐私政策

简短版本

• 我们收集运行一个需要登录的阅读应用所必需的信息——除此之外，有意地不多收。
• 你的书库、牌组和与导师的对话只属于你的账户，别人看不到。
• 当你使用某项 AI 功能时，该功能所需的文本会发送给第三方 AI 服务商。在你主动要求之前，什么都不会离开。
• 这里没有广告网络、没有数据经纪商、没有分析公司，也没有错误上报服务。我们统计的一切，都由我们自己统计。
• 这个落地页完全不设置 Cookie，也不加载第三方脚本。它只在你自己的浏览器里记住你选择的语言。

由谁负责

居住在巴西的个人 Pedro Guedes Guimarães 是你个人数据的数据控制者——也就是决定为何以及如何处理这些数据的人。Mogoru 由一个人运营，而不是一家公司，所以本政策中的“我们”指他本人。

本页的任何内容，包括下面列出的任何权利，都可以写信到 [email protected]。这里没有单独设立的数据保护官；这个地址直接送到数据控制者本人。

我们收集什么

其中几乎所有内容都是你有意创建的。完整清单如下：

• 账户——你的邮箱地址和显示名称。登录凭据由我们的身份认证服务商保管；我们从不存储你的密码。
• 会话——每个活跃会话都会记录它创建时所用的 IP 地址和浏览器 user-agent，以便你分辨自己的设备，也便于我们对滥用行为做速率限制。
• 你的书库——你导入的文档及其全文、封面图片、我们保留的原始文件（例如作为来源的 PDF），以及你的阅读位置。
• 学习数据——牌组、笔记、卡片、笔记类型、卡片模板、你的复习记录，以及你遇到过的每个词的掌握状态。
• 活动——阅读和进度事件、每日活动次数和连续天数。
• 导师——你的对话、对话标题，以及完整的消息记录，包括导师执行过的动作。
• 偏好设置——时区、每日切换时刻、界面语言、学习语言、每日目标和引导流程状态。
• 文件——你上传的媒体，存放在私有存储桶中，连同它的文件名、类型、校验和、大小和存储键。
• AI 使用记录——每次 AI 操作记录：功能、服务商、模型、token 数量、估算成本、状态、错误码、延迟和时间戳。不记录提示词文本、AI 回复，也不记录文档标题。
• 管理记录——当管理员查看某个账户或对其执行操作时，会写入一条不含隐私内容的审计记录，记下的是操作和结果，而不是你的任何内容。

我们为什么处理这些数据

• 为了提供服务——导入、阅读、复习排程、在你的设备之间同步，以及在导师里回答你的问题。
• 为了保持安全和可用——会话完整性、速率限制、防止滥用和排查故障。
• 为了从总体上了解使用情况，并把 AI 支出控制在合理范围内。
• 为了在适用时履行法律义务。

依据巴西的 Lei Geral de Proteção de Dados（Lei 13.709/2018），法律依据是履行我们与你之间的合同（第 7 条第 5 项）、我们在安全与运营服务方面的正当利益（第 7 条第 9 项），以及在适用时的法律义务（第 7 条第 2 项）。如果 GDPR 适用于你，对应的依据是合同、正当利益和法律义务。

为 AI 处理而发送出去的内容

这一节值得读两遍。每项 AI 功能只发送它需要的内容，而且只在你使用时发送：

在漫画中查找并识别文字——也就是 OCR 本身——运行在 Mogoru 自己的私有服务上。只有可选的精修步骤才会把裁剪图像继续发出去。

我们从不把你的书库整体发给任何人，也不会用你的内容训练自己的模型。

还有谁会接触你的数据

• Railway——托管应用、PostgreSQL 数据库，以及存放你文件的私有存储桶。
• Clerk——处理注册、登录和你的登录凭据，并保存与你登录绑定的邮箱地址和显示名称。
• 第三方 AI 服务商——在你使用 AI 功能时处理上述文本。服务商可能变动；变动时本页会更新。

这就是完整名单。我们不出售你的数据，不为广告目的共享，也不会交给其他任何人，除法律要求的情形之外。

我们统计什么

所有统计都是第一方的，只留在我们自己的数据库里。产品中任何地方都没有 Google Analytics、没有 PostHog、没有 Mixpanel、没有 Sentry，也没有广告像素。

我们内部的仪表盘显示汇总数字——注册数、复习数、阅读活动——以及 AI 的 token 和成本合计。它在设计上就不会把提示词、AI 回复、聊天消息、文档标题、资源名称和笔记字段收集进去。查看单个账户的数字需要重新验证密码，而且只返回指标，绝不返回内容。

你的数据如何被隔开

• 你的账户就是边界。每一次读写都在数据层限定到你这个用户，数据库触发器会拒绝跨账户的关联，作为第二道防线。
• 文件以带有你账户命名空间的键存储，只有通过归属检查之后才会提供。存储路径本身从不被当作权限。
• 应用本身无法从公共互联网直接访问。每一个请求都要经过提供本页面的那个网关。
• 会话使用 HTTPS 上的 HttpOnly、SameSite Cookie，任何更改都需要一个与你的会话绑定并经过签名的 CSRF 令牌。
• 登录后的响应都标记为 private 和 no-store，因此你的内容不会留在共享缓存里。

Cookie 与本地存储

这个落地页不设置 Cookie，也不加载第三方脚本。这里没有 Cookie 提示条，因为没有需要你同意的东西。

它确实会保存一样东西，放在你浏览器自己的本地存储里而不是 Cookie 里：你选择的语言，这样下次打开时网站就用这个语言。它从不发送给我们，清除浏览器存储就会把它删掉。

在应用内部有一个会话 Cookie、一个 CSRF 令牌 Cookie，以及由我们的身份认证服务商设置的 Cookie。它们都是让你保持登录状态和安全所必需的；没有一个用于广告或分析。

你浏览器自己的存储只保存界面偏好——主题、阅读器设置、侧栏和牌组树的展开状态，以及你已经关掉哪些对话框。这些从不离开你的设备。

我们保留多久

只保留到足以运行服务为止，不会更久。因为这里的细节比一句话所能承载的更重要，它有自己的页面：《数据与保留》列出了每一类数据、它存放在哪里、留多久，以及如何删除。

你的权利

依据 LGPD，你可以要求我们确认持有哪些关于你的数据并让你访问；更正不完整或错误的内容；对不必要或过度的数据进行匿名化、封锁或删除；以可携带的形式提供你的数据；告知我们曾与谁共享；以及删除基于同意而处理的数据。

请用账户上的邮箱地址写信到 [email protected]。在采取行动之前我们会确认是你本人，并在 30 天内完成请求。如果 GDPR 或 UK GDPR 适用于你，对应的权利同样适用，用同一个地址即可。

如果我们做错了，你可以向巴西的 Autoridade Nacional de Proteção de Dados（ANPD）投诉，或者向你当地的监管机构投诉。

你的数据存放在哪里

我们的基础设施运行在巴西境外的云区域——文件存储目前在美国——我们的 AI 服务商也在它们自己的区域处理数据。使用 Mogoru 意味着为了让服务运行，你的数据会被跨境传输。

儿童与青少年

Mogoru 不面向未满 13 岁的任何人。13 岁到 18 岁之间，账户需要父母或监护人的同意；他们同意即代表账户持有人接受《服务条款》。

巴西 LGPD（第 14 条）要求处理未成年人的数据必须以其最佳利益为准，并把未满 12 岁的人视为儿童，其数据只有在父母或法定监护人给出特定、显著的同意后才能处理。13 岁这条下限让我们完全不落入那一类：我们不会在知情的情况下持有更小年龄者的数据，Mogoru 里也没有任何功能需要这些数据。

在适用 GDPR 的地方，一个人无需父母同意即可自行同意使用在线服务的年龄由其所在国家规定——在欧盟多数地区是 16 岁，有些成员国更低，但从不低于 13 岁。以那个年龄为准，而不是我们设定的年龄。

我们没有办法核实任何人的年龄，宁愿把这一点说出来，也不愿暗示存在一道我们并未执行的检查。如果你认为有低于上述年龄的人持有账户，请写信到 [email protected]，我们会把它删除。

本政策的变更

当我们的做法发生变化时——包括新增或更换数据处理者时——我们会更新本页，并修改顶部的日期。