回响隐私政策

最近更新：2026-10-05

本政策说明 回响（对外全称「回响AI陪伴」，下称"本站"）在你的使用过程中 收集了什么、为什么收集、存放在哪里、会发给谁、保留多久、以及你能对它做什么。

本站的数据处理规则完全以实际代码为准来写。下面每一条都能在站内被验证； 凡是本站目前做不到或还没确定的事，本政策直接写出来，不用模糊的说法盖过去。

一、适用范围

本政策适用于你在 www.aarome.xyz 网站以及基于该网站的 Android 应用壳内使用本站服务的全过程。 Android 应用壳只是一个把网页装进手机窗口的容器， 不申请相机、麦克风、定位、通讯录、读写存储等任何敏感权限，只申请联网权限， 它的数据处理规则与本政策完全一致。

本政策不适用于你自己填写的第三方模型接口服务商：当你以会员身份配置了自己的接口地址， 你的输入会直接发送到那个地址，其后续处理由该服务商的隐私政策约束。

二、我们收集哪些个人信息

2.1 由你主动提供的

用户名

注册时填写，3–24 位，站内唯一标识。它是你在站内的公开署名： 一旦你把角色投稿到广场，其他用户看到的就是这个用户名。

密码

注册与改密时填写。本站只在不可逆哈希（PBKDF2-HMAC-SHA256、240000 轮、 每用户独立随机盐）的形式下保存它，明文不会落进任何数据库表、日志文件或备份。

昵称

可选，最多 24 字。只用于聊天界面里显示"我"是谁，以及被写进交给模型的历史行里， 以便角色知道在和谁说话。默认与用户名相同。

角色设定

你创作的人设正文（最长一万字）、性格、背景、开场白、示例台词、称呼、喜好等二十余个字段。

聊天内容

你发给角色的每一句话，以及贴纸、表情、拍一拍等互动记录。

上传的图片

角色头像、你的头像、聊天背景图、自定义表情包。

接口配置

仅会员可用：你自己填写的模型接口地址（Base URL）与密钥（API Key）。 只在服务端用于发起调用，界面回显时一律掩码。

邀请码

你主动填写的他人的邀请码，用于给双方发放积分。

2.2 由系统在服务过程中自动产生的

AI 的回复原文

与你的消息一并保存在你自己的账号数据里。

长期记忆条目

本站会自动把聊天里出现的事整理成关于你的记忆条目（身份、偏好、经历、约定、情绪等类别）， 存成一份可读写的资料。这一类内容本质上可能包含医疗健康、情感状态、行踪等敏感信息， 即使你没有主动填写过任何敏感字段。你可以查看、修改、逐条忘掉，也可以整体关闭这个功能。

关系档案与共同时间线

你和某个角色"认识多久、聊到哪一步"的记录，以及按天生成的当日摘要（每天最多 60 字摘录）。

AI 主动消息

开启该功能时，系统在到点生成的、由角色主动发给你的消息正文与它的判断理由。

积分流水与用量统计

每一笔积分增减（时间、数额、变动后余额、原因），以及全站按天聚合的调用次数、 模型输入输出 token 数、耗时。

审核命中与举报记录

命中敏感词时那条消息的前 80 字摘录；你举报某条 AI 回复时被举报内容的前 200 字。 这两类记录会带上你的用户名，供处理使用。

2.3 由系统自动记录的少量技术信息

来源 IP 地址

在注册与登录这两个动作时记录你的来源 IP（保存于账号记录的 last_ip 字段， 最长 64 字符），用于防撞库、防批量注册、防刷积分。 取值优先使用 Cloudflare 提供的连接方 IP。除这两次之外，普通浏览和聊天不会逐条记录你的 IP。

限流计数

为防止滥用而维护的滑动窗口计数，其键名里可能带有来源 IP 或用户名。 这类记录最长保留 24 小时，超期自动清除。

管理员操作审计

管理员对某个账号做了什么（改积分、封号、改配置）的记录，包含操作时间、操作人、 被操作账号的用户名或 uid、动作名、来源 IP。普通用户的日常操作不进入这张表。

注册与最后登录时间、登录次数

账号记录里的三个时间/计数字段。

三、我们明确不收集什么

下列内容在代码里没有对应的字段、没有对应的接口、也没有对应的存储位置， 不是"承诺不收集"，而是"没有能力收集"：

• 真实姓名、身份证号、手机号、电子邮箱、银行卡或任何支付账户信息。
• 地理位置（GPS 定位）、运动传感器数据。
• 通讯录、通话记录、短信、相册（应用壳没有申请任何相关权限）。
• 麦克风录音与摄像头画面。站内没有语音输入功能； 唯一的"朗读"是把你屏幕上已有的文字交给你自己浏览器内置的语音合成， 不上传任何音频，也不请求任何服务器。
• 设备指纹、IMEI/OAID/MAC 地址、硬件序列号、广告标识符。
• 浏览器 User-Agent 字符串。本站代码不读取、不入库、不记录它。
• 第三方统计、广告、归因、推送 SDK。页面里不加载任何站外脚本。
• 跨站追踪用的第三方 Cookie。

四、我们为什么处理这些信息

每一项处理目的都能回指到上面的清单，没有一项用途是清单之外的：

把对话提供给你

用户名与密码哈希用于识别你的身份并发放会话；角色设定、聊天记录、长期记忆、时间信息 用于组装提示词、生成回复；这是处理聊天正文的唯一目的。

让 TA 记得你

长期记忆用于跨会话、跨角色地延续你们的对话上下文，仅用于向你本人展示和调用。

在到点时先开口

主动消息功能使用静默时长、关系档案、记忆和最近的聊天内容来判断是否该发消息、发什么。

结算用量

积分流水、调用次数与 token 数用于扣减积分、失败退还、以及在后台显示整体成本。

安全与风控

来源 IP 与限流计数用于防撞库、防批量注册、防刷接口；CSRF 令牌用于防跨站请求伪造； 管理员审计用于事后追查权限滥用。

履行法定义务

对违法内容的处置与记录留存、对举报的处理与反馈、依主管部门要求提供的配合。

本站不会把你的聊天、记忆或创作内容用于广告定向、对外销售、或者训练任何模型。 站内不存在这样做的代码路径，也不存在"同意用于训练"这样的开关。

法律口径补充：《人工智能拟人化互动服务管理暂行办法》第 16 条规定， 将用户的敏感个人信息用于模型训练须取得单独同意。本站之所以不需要向你索取这项同意， 是因为本站根本不做模型训练——不是"我们已获同意"，而是"这条路径不存在"。 但如果将来引入训练或微调，本站会在索取单独同意之后才开始，并允许你在不失去核心功能的前提下拒绝。

请注意上一条的边界：这是本站的承诺。你或运营方所使用的第三方模型服务商 如何使用你发送给它的内容，由其自身政策决定，本站无法代为承诺， 并且会在你使用自配接口时明确提示你去查阅对方的条款。

五、哪些内容会发给第三方，发给谁

5.1 会发出去的内容

你每发一条消息，本站会把一段提示词交给大模型服务商。这段内容包含：

• 这个角色的人设正文与各项设定（你写的那一整段，最长一万字）；
• 你们的历史聊天原文（按上下文预算带入的最近若干条，含你说的每一句话的原样文字）；
• 从聊天里整理出的长期记忆正文（就是可能揭示你健康状况、情感状态、生活细节的那一份）；
• 关系阶段的描述、当前日期与北京时间、以及本站固定的输出规则说明；
• 你的昵称——它不单独发送，但因为历史聊天原文里每一行都标着"谁说的"， 它会随聊天记录一起出境；在记忆整理、主动消息、关系演化这几类请求里同样如此。

这段内容不包含：

• 你的密码、密码哈希、盐值；
• 你的来源 IP、账号 uid、用户名（作为标识字段；用户名仍可能出现在聊天正文里）；
• 你的接口密钥、会话 Cookie、CSRF 令牌；
• 你其他角色的对话（"跨角色记住我"这一项默认是开着的：开着时，关于你这个人的那部分记忆 会跨角色带入；关掉后每个角色只用自己的那份）。

5.2 发给谁

大模型服务商

由运营方在后台配置，当前配置的服务商可在站内"我的 → 模型接口"处看到模型名称。 本站最多可以配置六条线路（不同的服务商或中转地址），某条失败时会自动改用另一条， 这意味着同一份聊天内容可能被发送到不止一家服务商。 这些服务商是独立的个人信息处理方，各自的保留与训练政策不由本站控制。

你自己配置的接口（仅会员）

此时你的内容直接发往你填写的地址，本站不判断该地址是否可信，只对其做协议与安全形状校验。 请填写你信任的、有资质的服务商地址。

云基础设施服务商

本站运行在 Vercel（应用托管）、Supabase（PostgreSQL 数据库）与 Cloudflare（域名解析与加速）之上。 这些服务商会为运行网站而处理访问流量，其自动生成的访问日志、请求元信息的范围与保留期 由各平台自身的政策决定，不在本站代码的控制范围之内。

除上述三类之外，本站不向任何其他方提供你的内容，不接入广告、统计、数据分析或推送服务。

关于"发给模型服务商"这件事的同意：你在注册时勾选的是对本协议与隐私政策的整体同意。 本政策在此明确、单独地告知你：不使用大模型服务商就没有本站的服务， 上述发送是把功能提供给你的必要环节，而不是可选项。若你不同意你的聊天内容被发送给 第三方模型服务商，请不要再向角色发送消息。

六、存在哪里、怎么存

存放地点

你的账号与全部数据存放在位于境外的数据库（托管于 Supabase 的 PostgreSQL， 服务区为新加坡；应用运行在 Vercel 同区）。选择境外托管是为了低成本运行。 如果你不希望自己的内容存放在境外，请不要在本站存放任何敏感的真实个人信息。

隔离方式

所有数据按账号（uid）隔离存放，聊天记录、记忆、角色、图片都以你的 uid 为前缀， 不存在混在一起的公共表。

传输

网站与接口全部走 HTTPS。

口令

密码以加盐不可逆哈希保存；接口密钥在界面与审计记录里一律掩码或隐去， 不会出现在你下载的数据包里。

交互数据的加密与访问控制

《人工智能拟人化互动服务管理暂行办法》第 16 条要求对交互数据采取加密与访问控制措施。 本站已实现的是应用层的访问控制：所有接口未经有效会话一律 401， 数据按 uid 隔离、没有任何跨账号读取路径，管理员权限拆成二十余项细粒度权限且每次操作留痕， 浏览器可用能力（定位、麦克风、相机等）在响应头里显式拒绝。 尚未实现的是应用层对聊天与记忆内容本身的字段级加密—— 数据库自身的磁盘加密与备份加密依赖托管方（Supabase）的能力， 本站未做二次加密，该项能力与配置细节待运营方核实后回填本节。

会话

登录状态是一枚签名的会话 Cookie，服务端不另存会话表； 账号上有一个"会话代次"计数，改密码、退出所有设备或被管理员踢下线时该计数加一， 此前签发的所有 Cookie 立即失效。

七、保存多久

本站没有对聊天与记忆设置任何自动过期或定期清除。删除只有两个来源：你自己删， 或者账号被注销。

聊天记录、长期记忆、角色设定、上传图片

自你产生时起持续保存，直到你删除或账号注销。展示给前端的最近历史有 400 条的显示上限， 但底层按天分片的完整日志不做淘汰，用于导出与记忆整理。

会话 Cookie

有效期 30 天，到期或主动退出即失效；清除浏览器 Cookie 也会断开当前会话。

来源 IP（last_ip）

与账号同生命周期，保存至账号注销。它只在注册与登录时被写入。

限流计数

最长 24 小时。

模型调用账（ai_calls / ai_turns）

只含元数据（用途、模型、token 数、耗时、错误、哪个账号、哪个角色）， 不含聊天正文，也不含 AI 回复正文，因为表里根本没有这一列。 默认不自动清理，运营方可在后台按保留天数手动清理（默认口径 90 天，且先试跑再执行）。

敏感词命中与举报记录

上限分别 200 条与 500 条，超出后旧的被挤出；不因时间自动过期。

管理员操作审计

只增不删，无自动过期。

被删掉记忆的"墓碑"

一条不含内容的删除痕迹，随角色或账号数据保存，作用是让你的删除不会被旧备份重新带回来。

平台侧访问日志

由 Vercel / Cloudflare 的配置决定，本站不控制也不读取。已列为待运营方确认项。

八、Cookie 与浏览器本地存储

会话 Cookie（名称 session）

必需项。HttpOnly、SameSite=Lax、生产环境下 Secure，有效期 30 天。 没有它就无法保持登录，本站不会用它做跨站追踪。

CSRF 令牌

存在上面这枚会话 Cookie 里，用于校验写请求来自本站页面，不是独立的第三方 Cookie。

localStorage

只存这几项界面偏好与状态：聊天主题、气泡字号、公告已读版本号、表情包上次停留的标签页、 后台上次停留的标签页。不含任何聊天内容或个人敏感信息。

sessionStorage

只存界面标签位置、新建角色的草稿种子、页面滚动位置，关掉标签即消失。

IndexedDB / 离线数据库

本站不使用。

关闭 Cookie 会导致你无法保持登录，但浏览公开页面（首页、条款、分享链接）不受影响。

九、谁会看到你的内容

1. 默认全部私有。你的聊天、记忆、角色、图片只有你自己看得到。
2. 本站管理员看不到你的聊天正文。这不是承诺而是实现： 后台没有任何一个接口、任何一张表能够读出聊天消息的原文、长期记忆的正文或角色设定正文， 模型调用记录表里根本没有存放正文的列，站内还有专门的自动化测试守住这条边界。 管理员看到的是计数、用量、账号状态、封禁标记、积分余额这类运营数据。
3. 有三类窄口子，它们的原文确实会进入后台，本政策如实列出：
   • 你主动举报某条 AI 回复时，那条回复的前 200 字会带着你的用户名进入举报队列；
   • 你的消息命中敏感词被拦下时，那句消息的前 80 字会作为命中摘录被记录；
   • AI 主动发给你的那些消息，其发出的正文、以及从你们聊天里抽出来的"约定"文本， 会作为运行记录在后台可见。
   除此之外，管理员不会主动阅读你的对话。法律法规要求本站配合的情形除外。
4. 你主动公开的部分：投稿到角色广场的人设（含正文、示例台词与你的用户名署名） 对所有登录用户可见；生成的分享链接对任何拿到链接的人可见 （链接由随机 token 构成，不可枚举，但不设密码、不设有效期）。 广场投稿由系统做关键词自动检查后立即上架，本站不进行人工先审—— 这一点与你可能以为的"有人审核过"不同，请自己把关你要公开的内容。
5. 其他用户从广场领取你的角色时，得到的是设定的副本， 看不到你的账号、聊天、记忆或图片；他们与副本的对话也与你无关。

十、你对自己的数据能做什么

依照《个人信息保护法》第 44 至 47 条与第 50 条（要求建立便捷的受理机制、及时处理的申请）， 《生成式人工智能服务管理暂行办法》第 11 条第 2 款（应当依法及时受理和处理你关于 查阅、复制、更正、补充、删除个人信息的请求）， 以及《人工智能拟人化互动服务管理暂行办法》第 16 条（必须提供交互数据的复制与删除选项）， 你享有下面这些权利。本表把每一项对应到站内真实存在的操作路径，做不到的直接标注。

查阅、知道我们收集了什么

本政策第二至第九节即为完整清单；站内数据本身在「我的」「记忆」「数据与备份」中可读。

复制／携带

可自助。「我的 → 数据与备份 → 导出完整备份」下载一个压缩包： 聊天原文、长期记忆、角色设定、关系档案、时间线、图片，附校验和与一个 不依赖本站的离线查看器；记忆另有一份可交给其他 AI 系统的交换格式文档。 备份中不含你的密码、密钥、Cookie 等任何凭据。格式细节见 数据便携与迁移。

更正、补充

可自助。昵称与头像在「我的 → 个人资料」；角色设定在角色编辑页； 单条记忆在「记忆」页可逐条改写；改密码在「账号安全」。

删除单条内容

可自助。记忆逐条「忘掉」（从检索、提示词和界面上彻底消失，不会再被想起来）；某个会话「清空记录」 （连上下文、展示历史与按天分片的原始日志一起删）；删除角色（连带它的记忆、归档、 聊天记录、头像一并物理删除）；删除头像、背景、收藏、分享链接、广场投稿。

删除你自己发过的某一条消息

做不到。站内没有"撤回我发的这一句"的功能：只有最新一条你发的消息可以"编辑重发"， 也只有 AI 的回复存在"撤回"标记。要清掉某句话，只能清空这个会话的全部记录。 这是本站当前的真实限制。

限制处理／关闭某项能力

可自助。「我的 → 记忆」关掉长期记忆（不再写入也不再带入）； 「TA 主动找你」关掉主动消息；「跨角色记住我」关掉跨角色记忆。 这些开关就是你在撤回同意之后继续使用服务的最小形态。

撤回同意

上述开关即为撤回对应授权的途径。请注意：撤回不影响撤回前已经进行的处理活动的效力， 也不会追及已经发送给模型服务商的内容。

注销账号并删除全部数据

不能自助，本站目前没有注销入口，也没有删除账号的后台功能。 现状是：你需要联系运营方，由人工在数据库里删除。完整流程、删除范围、 以及注销后仍可能残留什么，见 《账号注销与个人数据删除说明》第四节。 这是一项本站尚未实现的用户权利，本政策不把它写成"随时可以注销"。

个人信息处理的规则性解释与投诉

见第十五节联系渠道，以及第十四节的对应说明。

十一、未成年人

本站不面向未满十四周岁的儿童提供。不满十四周岁未成年人的个人信息， 依《个人信息保护法》第 28 条属于敏感个人信息，本站一旦知晓自己正在处理， 即按敏感信息的要求对待，并需取得监护人同意。

同时必须写清本站当前的能力边界：注册表单里没有年龄字段，本站不作年龄核验， 也没有未成年人模式、时长限制或防沉迷机制。年龄条件目前依赖用户自律与监护人监督。 监护人如何申请下架或删除未成年人的账号数据，见 《未成年人保护与 AI 使用规则》。

十二、安全与事件告知

本站已实施的保护措施：全站 HTTPS；密码加盐不可逆哈希；会话 Cookie 为 HttpOnly + SameSite=Lax； 所有写操作校验 CSRF 令牌；按账号隔离存储；接口密钥在界面与审计中掩码； 登录失败有次数锁定与跨实例限流；出站请求地址做安全校验以防内网探测； 浏览器能力（定位、麦克风、相机、支付、USB 等）在响应头里显式全部拒绝； 删除与导出等危险操作有二次确认。

本站不能宣称绝对安全。互联网上不存在"绝对安全"的传输与存储。

如果发生可能损害你个人信息安全的事件（泄露、篡改、丢失），本站会：及时采取补救措施； 通过站内公告告知你事件的基本情况、原因、可能危害、已采取的补救措施、以及你可以如何降低危害； 并依照法律规定的口径向有关主管部门报告。

十三、本政策如何更新

条款变化会更新本页顶部的「最近更新」日期。凡是涉及处理目的、处理方式、处理个人信息种类 发生变化的情形，本站会重新取得你的同意，而不只是把日期改一下； 有实质影响的变更会通过带版本号的站内公告主动推到你面前，需要你点确认才会消失。 继续使用的行为，在被明确告知之后视为接受更新后的政策。

十四、本政策对应的法定告知事项

《个人信息保护法》第 17 条把隐私政策应当告知的事项列成了四项，本站逐项对应如下， 便于你（也便于监管核查）确认这份文件没有漏项：

（一）处理者的名称或者姓名和联系方式

见第十五节。本站目前的真实状态是这一项尚未公布， 已作为上线前必须补齐的第一项列出，而不是含糊带过。

（二）个人信息的处理目的、处理方式、处理的个人信息种类、保存期限

种类见第二节，目的与依据见第四节，处理方式见第五、六节，保存期限见第七节。

（三）个人行使权利的方式和程序

见第十节，逐项对应到站内真实可点的操作路径，做不到的写明做不到。

（四）法律、行政法规规定应当告知的其他事项

向其他处理者提供个人信息的接收方名称、联系方式、处理目的、方式与种类， 见第五节；跨境存放的说明见第六节；未成年人专门规则见 《未成年人保护与 AI 使用规则》； 个人信息保护负责人的指定与公开联系方式，属达到规定数量后的法定要求，见第十五节； 发生泄露等事件时的告知方式见第十二节。

十五、联系我们

联系渠道：QQ:1298551598

尚待补齐并由运营方公布的事项：运营主体名称与所在地、 个人信息保护负责人的姓名与公开联系方式（达到规定数量时法定要求）、 以及注销请求的受理时限承诺。这三项不是本政策"不想写"，而是目前确实不存在， 已作为上线前必须处理的问题记录在案。