MuseFrame 隐私政策
你的照片只用来做你要的那一张。这份政策说明我们收集什么、照片经过哪些环节、保留多久、与谁共享，以及你怎样导出与删除。
1. 本政策适用于谁、由谁负责
MuseFrame 由 光子方程 Lenscript（独立开发者团队，下称「我们」）运营。我们是本政策所述个人信息的处理者，联系邮箱：donaldkuke@gmail.com。
本政策适用于 MuseFrame 网页版应用（museframe.lenscript.cn/app）、MuseFrame Android 应用以及官网 museframe.lenscript.cn。使用这些服务即表示你已阅读并理解本政策；与本政策配套的使用规则见服务条款。
2. 我们收集哪些信息
- 账号：邮箱地址；验证码的哈希（用后即失效）；登录会话记录（时间、设备标识与设备类型）。使用 Google 或 Apple 账号登录时，还包括对方返回的账号标识与邮箱。
- 设备标识：Android 应用读取系统提供的设备标识（Android ID），随登录与生成请求发送，用于会话管理与防止滥用免费额度；它不是广告标识，不用于广告或跨应用追踪。
- 免费额度防滥用记录：发放注册赠送额度时记录请求 IP，用于识别同一来源的重复领取。
- 你上传的照片：仅当你选择照片并点击生成时上传。应用在你的设备上把照片重新编码为 JPEG，拍摄位置（GPS）、机型等元数据在上传前即被移除；网页版由浏览器完成这一步。
- 生成的作品与项目：作品图片、你选择的策展与风格、强度、保真与构图选项。保存在你的账户空间内，仅你可见。
- 额度与订单：免费额度、点数包与订阅的发放与消耗记录；应用商店内购的订单号与购买凭证；网页版经 Waffo Pancake 付款的订单号、商品、金额、币种、付款邮箱与付款状态；人工充值的充值记录。
- 应用内事件与技术日志：应用内操作事件（例如打开页面、发起生成、购买结果）与你的账号关联记录，以及应用版本、生成任务的技术日志（阶段、耗时、错误码，不含照片内容）、请求 IP。只发送到我们自己的服务器，用于故障排查、产品改进与滥用防护，保留 90 天。当前版本没有单独的关闭开关；如果你不希望保留这些记录，可以来信要求删除已收到的记录。
我们不收集：通讯录、精确位置、设备相册的其余内容（仅访问你通过系统选择器主动选取的那张照片）、付款卡号。
3. 照片如何被处理
- 照片在你的设备上重新编码并去除元数据，经加密通道（HTTPS）上传到我们的服务器。
- 服务器把照片与你选择的风格规格通过 API 发送给 OpenAI GPT Image 2（gpt-image-2），由其完成最终影像的生成或编辑并把结果返回给我们。部分设计风格会由 OpenAI GPT-5.4 mini（gpt-5.4-mini）编译风格指令；它不生成最终影像。模型或服务商变更时，我们会更新本政策与可接受使用规范。
- 平台对请求施加内容与风格约束，并依赖 OpenAI 的模型与接口安全系统；因安全或策略被拒绝的请求不会生成，也不扣额度。
- 生成的图片会带有「AI 生成」可见标识，并在文件元数据中写入生成合成标识信息（依据 GB 45438-2025）；你可以在 App 内看到该标识。
整个过程是自动化流程。工作人员不会随意查看用户照片，仅在处理举报、申诉或安全事件时按需访问。我们不会使用你的照片或作品训练模型、进行人脸识别建库，或向任何第三方出售。
4. 用途与法律依据
| 用途 | 涉及的信息 | 依据 |
|---|---|---|
| 完成你请求的生成、保存与同步作品 | 照片、作品、项目、账号 | 履行与你的服务协议 |
| 登录与账号安全 | 邮箱、验证码、会话记录 | 履行协议；防范滥用的合法利益 |
| 额度发放、收款、记账 | 额度与订单记录 | 履行协议；法律义务（税务与交易记录） |
| 内容安全处置与举报处理 | 照片、作品、技术日志 | 法律义务；保护用户与他人的合法利益 |
| 故障排查与防御攻击 | 技术日志、IP | 合法利益 |
| 服务通知（验证码、安全事件） | 邮箱 | 履行协议 |
我们不做营销邮件，不做广告画像，不向数据经纪商共享。
5. 与谁共享
- OpenAI：接收去除元数据的照片与风格参数，用于 GPT Image 2 生成或编辑最终影像；部分设计风格的指令会由 GPT-5.4 mini 编译。若模型、服务商或处理地点变更，我们会更新本政策。
- Google Play：Android 应用内的付费项目通过 Google Play 结算完成，由 Google Play 按其政策处理付款。详见下一节。
- Waffo Pancake（支付处理商）：网页版的点数包与订阅由它作为商户记录方收款并处理你的支付工具。它收到你在结账页填写的邮箱、账单国家 / 地区与支付工具信息（银行卡、Apple Pay、Google Pay 或微信支付），我们收到的只有订单号、商品、金额、币种、邮箱与付款状态。其处理适用 Waffo Pancake 自己的隐私政策。详见下一节。
- Google / Apple（登录服务）：你选择用 Google 或 Apple 账号登录时，由系统的登录组件与对方完成身份验证，我们从对方只收到账号标识与邮箱；其处理适用各自的隐私政策。
- Cloudflare：为官网与应用提供 CDN 与安全防护，在传输过程中处理 IP 与请求头。
- 邮件发送服务（Brevo）：投递验证码与服务通知，只接触你的邮箱地址与邮件内容。
- 法律要求：在法律、法规或有权机关要求时依法披露，并在允许的情况下通知你。
除上述情形外，我们不与任何第三方共享你的个人信息。
6. 购买与付款信息
Android 应用内：点数包与订阅通过 Google Play 结算购买。你的付款卡与账单信息由 Google Play 处理，我们只收到核验与发放额度所需的订单号、商品、购买凭证与状态。iOS 版尚未上线，暂不提供 App Store 内购。
网页版：点数包与订阅由第三方支付处理商 Waffo Pancake（商户记录方）在其托管的结账页收款。Waffo Pancake 收到：你填写的邮箱、账单国家 / 地区，以及由它按 PCI-DSS 标准处理的支付工具（银行卡、Apple Pay、Google Pay 或微信支付）。我们收到：订单号、商品、金额、币种、邮箱与付款状态；如 Waffo Pancake 提供，还可能包括卡号末四位，用于你核对账单，我们不会收到完整卡号。银行卡数据不会经过、也不会存储在我们的服务器。仍通过 QQ 群或邮件人工充值的，我们只保存充值记录（商品、金额、时间、对应账号）。
订单与交易记录按法律要求的期限保留（用于税务与纠纷处理），与你的照片、作品分开存放，注销账号时去标识化处理。怎么取消、为什么不退款、账单争议怎么处理，见服务条款「取消与退款政策」一节。
7. 保存与删除
| 信息 | 保留期限 |
|---|---|
| 你上传的原始照片与生成的作品 | 账号存续期间保存在服务器上。你在「Projects」删除项目后，它立即从你的作品列表中移除；对应的图片文件不会自动清除，如需从服务器一并清除，请来信注明项目，我们收到后人工处理并在完成后回信告知（不设固定时限） |
| 邮箱与账号资料 | 账号存续期间 |
| 登录会话记录 | 90 天 |
| 额度消耗记录 | 账号存续期间 |
| 订单与交易记录 | 法律要求的记账期限，与内容数据分离并去标识化 |
| 应用内事件与技术日志 | 90 天 |
| 免费额度防滥用记录（IP） | 账号存续期间，随注销一并删除 |
| 官网访问日志 | 最长 30 天 |
注销账号：在应用「Profile → Delete account」发起——确认后应用会打开一封预填好的注销邮件，发送这封邮件即完成申请；也可以用注册邮箱直接写信至 donaldkuke@gmail.com，标题注明「MuseFrame 注销账号」。步骤详见账号删除说明。
我们核实邮箱归属后，会人工处理你的注销申请：停用登录、删除账号记录、项目与你已上传的原图和生成结果，以及免费额度防滥用记录，完成后回信告知。当前没有自助注销入口，也不设固定的完成时限；如果你需要进度，请回复原邮件询问。依法必须保留的交易记录与你的其他数据分离并去标识化。注销不可恢复，剩余额度视为放弃，请先导出你要保留的作品。
8. 应用权限与本地存储
- 网络：上传照片、获取生成结果、同步账号。这是 Android 应用声明的唯一权限。
- 选择照片：由系统的文件选择器完成，应用只收到你选中的那一张；因此不申请相册或相机权限。
- 账号凭据：使用 Google / Apple 账号登录时，由系统的登录组件处理。
网页版使用浏览器的本地存储保存登录状态与界面语言；应用与官网不接入任何第三方广告或分析 SDK，不使用第三方追踪 cookie。官网页面带有我们自建的第一方访问计数（GoatCounter），它不设 cookie、不生成设备标识、不读取页面内容，详见下一节。
9. 官网（museframe.lenscript.cn）收集什么
浏览本站不需要账号。本站是纯静态页面，收集的信息只有：
- 服务器访问日志：IP 地址、访问时间、请求路径、浏览器标识（User-Agent）、来源页。用于排查故障与防御攻击，按体积滚动保存，最长保留 30 天后自动覆盖。
- 内容分发：本站经 Cloudflare 提供 CDN 与安全防护，Cloudflare 会在传输过程中处理你的 IP 与请求头，详见其隐私政策。
- Cloudflare 可能注入的脚本：我们自己不在页面里放第三方分析、广告或社交插件，也不设追踪 Cookie。但本站经 Cloudflare CDN 分发，Cloudflare 可能在边缘向页面注入它自己的脚本——目前可以看到的是邮箱地址混淆脚本（
/cdn-cgi/scripts/…/email-decode.min.js）；当其 Web Analytics 打开「自动注入」时，还会注入性能统计脚本（static.cloudflareinsights.com/beacon.min.js）。该脚本不由我们配置、不设置 Cookie、不用于广告或跨站追踪，只向 Cloudflare 报告页面性能与访问计数，其处理适用 Cloudflare 的隐私政策；你也可以用浏览器的拦截扩展阻止它。 - 访问计数：页面会向我们自建的统计服务（markstats.lenscript.cn，GoatCounter）报告「哪个路径被打开了」、页面标题与来源页。它是第一方服务，不设 cookie、不生成设备标识、不采集页面内容。不想被计数，在浏览器控制台执行
localStorage.即可永久退出。setItem( 'lens_telemetry', '0') - 你主动发来的邮件：页面上的「登记邮箱」「发邮件购买」按钮只是打开你自己的邮件应用；我们收到的就是你发出的那封信，仅用于回复和你要求的用途。
10. 你的权利
依据《个人信息保护法》及你所在地可能适用的法律（如 GDPR、CCPA），你可以：
- 查阅、复制我们持有的关于你的个人信息；
- 更正不准确或不完整的信息；
- 删除你的信息，或注销账号（若有）；
- 撤回同意、限制或反对某些处理（例如关闭匿名统计）；
- 获取副本（可携带权），以常用的机器可读格式导出；
- 就我们的处理向所在地的监管机构投诉。
行使权利请发邮件至 donaldkuke@gmail.com，注明你的注册邮箱或其他能识别你的信息。我们会在 15 个工作日内答复；为保护你的信息，我们可能先核实你的身份。这些请求不收费，除非明显重复或无理。
11. 安全措施与安全事件
与我们服务器的全部通信强制使用 HTTPS 加密；服务器只对必要端口开放公网访问，管理入口有鉴权与访问限制，密钥与凭据只保存在服务器环境中而不进代码与日志。照片与作品存储在受访问控制的服务器目录中，对生成服务商的调用凭据只保存在服务器环境变量里。
若发生可能危及你个人信息的安全事件，我们会在确认后 72 小时内通过你留下的邮箱或本页通知你，并按法律要求向主管部门报告。
12. 未成年人
MuseFrame 面向 14 周岁及以上用户，不面向儿童设计。我们不会在知情的情况下收集 14 周岁以下儿童的个人信息；若你是监护人且发现儿童向我们提供了信息，请联系 donaldkuke@gmail.com，我们会尽快删除。
13. 数据存放地点与跨境传输
我们的服务器位于中华人民共和国境内。以下情形会涉及境外处理：Cloudflare 的全球节点在传输过程中处理你的请求；支付服务商及应用商店可能在其所在地处理付款信息；本政策各节单独说明的其他第三方服务商。我们只向这些服务商传输完成该项服务所必需的最少信息，并要求其按本政策同等标准保护。
14. 政策的变更
我们会在本页直接更新本政策并修改页首日期。涉及收集范围、用途或第三方共享的实质变更，会至少提前 15 天在本页、应用内或通过邮件通知。历史版本可来信索取。当前版本地址：https://museframe.lenscript.cn/privacy/。
15. 联系我们
隐私问题、权利请求、数据导出或删除：donaldkuke@gmail.com（此邮箱有人值守）。中文用户也可加入 QQ 交流群 824558022。我们会在 15 个工作日内答复。