隐私政策

本政策说明 Innovatorly Ltd（下称“我们”）在你使用 AgentSoul 时如何处理个人数据。AgentSoul 包括网站 agentsoul.market，以及 iPhone 应用 干将: 九型人格与智能体（英文名 AgentSoul: Enneagram for Bots），下文统称“本服务”。

根据英国《通用数据保护条例》（UK GDPR）及《2018 年数据保护法》，Innovatorly Ltd 是你个人数据的数据控制者。

• 公司：Innovatorly Ltd，于英格兰及威尔士注册，公司编号 [COMPANY NUMBER]
• 注册地址：[REGISTERED ADDRESS]
• 英国信息专员办公室（ICO）登记号：[ICO REGISTRATION NUMBER]
• 联系邮箱：hello@agentsoul.market

• 使用 AgentSoul 无需注册账号，iPhone 应用完全不需要登录。
• 闪电熔铸（Flash Forge）的截图从不保存，只在内存中处理，生成结果后即丢弃。
• 高导的对话不会逐字保存。我们只保留经过转述的摘要、结构化观察，以及最终报告。
• 应用用一个随机 ID 识别你的手机，服务器上只保存它加盐后的哈希值。
• 我们借助 Google Gemini API 生成结果。我们不出售你的数据、不投放广告，也不跨其他公司的应用或网站追踪你。
• 你随时可以在应用的设置 → 删除我的数据中清除数据，也可以发邮件给我们。

完整熔铸（Deep Forge，九型人格问卷）

你对每道题的作答、你是为自己还是为理想中的智能体熔铸、你为智能体起的名字（可选），以及计算出的结果（类型、侧翼、副型、三元组、各项分数）。为了让结果页加载更快，我们也会保存生成的四个文件。

闪电熔铸

见第 5 条。我们保存的是分析得出的报告、截图数量，以及整组上传内容的单向指纹（SHA-256 哈希）——从不保存图片本身。

高导

见第 6 条。

邮箱与个人档案（可选）

如果你让我们把文件发到邮箱，或把结果保存到个人档案，我们会收集你的邮箱地址。个人档案通过“魔法链接”登录，我们从不保存密码。档案中保存你的邮箱、可选的显示名称、是否同意接收产品资讯，以及你保存或发布的结果。

公开发布的灵魂

如果你把某个灵魂发布到公开目录 /soul，它的内容、名称和你的显示名称都会公开，安装次数和点赞数也会公开显示。

技术信息

和所有网站一样，我们的托管服务商会接收你的 IP 地址、浏览器信息和访问的页面。我们用 IP 地址做频率限制（例如每天只能进行少量闪电熔铸和高导会话），以防滥用、控制成本。

应用是包裹 AgentSoul 服务的原生外壳，当前版本没有账号体系。

• 设备标识。首次使用时，应用会生成一个随机标识，保存在手机上一个仅供本应用使用的安全 Cookie（名为 as_device）中。服务器上只保存它加盐后的 SHA-256 哈希值，从不保存标识本身。我们用这个哈希值来显示“我的灵魂”列表、按设备做频率限制，并在你选择“删除我的数据”时找到需要清除的全部内容。它不是苹果的广告标识符（IDFA）；我们不追踪你，所以也从不请求“允许追踪”的权限。
• 你的熔铸内容。你生成的结果、报告和文件，与设备标识的哈希值关联。
• 你选择的照片。应用使用苹果系统的照片选择器，只能看到你选中的截图，无法访问相册里的其他内容。上传前，图片会在手机上缩小尺寸，并去除元数据（包括位置信息），之后按第 5 条处理。
• 语音输入（可选）。在高导中按住说话时，语音由苹果的语音识别完全在你的 iPhone 本机转成文字——录音不会离开手机，也不会被保存。如果你的语言在本机无法识别，就不会显示说话按钮。我们只收到你确认后发送的文字，从不接收录音。
• 推送通知（可选）。如果你允许通知，我们会保存苹果提供的推送令牌，以便在灵魂熔铸完成时提醒你。你随时可以在应用的设置或 iOS 设置中关闭。
• 应用完整性校验。在启用的情况下，我们使用苹果的 App Attest 服务确认请求来自正版应用。这用于防止滥用，不会识别你的身份。
• 产品分析。见第 8 条。
• 语言设置。你偏好的语言，用于以中文或英文显示应用。

删除应用会移除手机上的标识，但不会删除服务器上的数据。如需清除，请在删除应用之前使用设置 → 删除我的数据，或发邮件联系我们。

闪电熔铸会读取你挑选的 3–10 张截图（例如你写的聊天、邮件或帖子），推断你的沟通方式。

• 图片会发送至 Google Gemini API 进行分析，全程只在内存中处理。我们从不把图片写入数据库、文件存储或日志，也不会留在你手机的应用存储里。
• 我们只保存分析得出的报告（信号、文字总结和四个智能体文件）、截图数量，以及用于识别重复上传的 SHA-256 指纹。这个指纹无法还原成图片。
• 分析时，模型被要求只关注你本人的消息，不分析对话中的其他人，并且只转述、不引用截图原文。

截图里可能有其他人的名字和消息。请只上传你有权分享的内容，并尽量裁掉或避开他人的隐私信息（详见使用条款）。

高导是一段由 AI 导师引导的对话。为了回复你，你发送的每条消息都会传给 Google Gemini API。

• 消息发给 AI 之前，我们会自动遮盖常见的身份信息，例如电话号码、邮箱、身份证号和银行卡号。
• 我们不逐字保存你的消息。我们保存的是经过转述的滚动摘要、导师从对话中提炼的结构化观察、对话进度，以及对话结束时生成的结果和高导深度报告。
• 每次调用 AI，我们都会记录技术遥测数据（模型、token 数量、费用、响应时间、错误），其中不含任何消息内容，用于保障服务稳定、控制成本。
• 如果安全检查发现你可能正处于危机之中，对话会停止，我们会告诉你可以去哪里求助，并在该会话上记录一个安全标记。

谈论性格时，难免会涉及情绪、关系或健康。我们不会主动询问这类信息，不分享也能得到结果。如果你选择分享，我们只会为生成你的高导结果而处理，处理依据见第 7 条。

• 提供你所请求的服务——生成结果、报告和文件，显示你的列表，发送你要求的邮件，按你的要求删除数据。依据：履行合同（UK GDPR 第 6(1)(b) 条）。
• 保障服务安全、稳定、可持续——频率限制、防滥用、App Attest 校验、错误与成本遥测、安全检查。依据：我们运营一个安全、可持续的免费服务的正当利益（第 6(1)(f) 条）。
• 了解并改进产品——注重隐私的数据分析（见第 8 条）。依据：正当利益（第 6(1)(f) 条），你可以随时提出反对。
• 推送通知和产品资讯邮件——仅在你主动选择开启时。依据：你的同意（第 6(1)(a) 条），可随时撤回。
• 你在高导中主动分享的敏感信息——[ARTICLE 9 CONDITION — CONFIRM WITH LEGAL REVIEW]。
• 履行法律义务，以及确立或抗辩法律主张（第 6(1)(c) 条及第 6(1)(f) 条）。

你的结果是对人格类型的自动推断，不会对你产生法律上或类似的重大影响，我们也不会据此对你做出任何决定。

网站

• 必要 Cookie——登录个人档案时，Supabase 会设置身份验证 Cookie，让你保持登录。
• 偏好设置——你的浅色/深色主题选择保存在浏览器本地存储中。
• Vercel Web Analytics 与 Speed Insights——不使用 Cookie，只做汇总的页面浏览和性能统计。

iPhone 应用

• as_device 设备标识（见第 4 条），只保存在应用内部。
• PostHog（欧盟云），配置为不使用 Cookie。我们只记录少量产品事件，例如打开应用、选择模式、开始熔铸、揭晓灵魂、发送文件、打开报告、开启通知、删除数据，并与哈希后的设备标识关联。我们不会把你的熔铸内容、消息或图片发送给 PostHog。

我们不使用广告 Cookie、追踪像素、广告标识符或跨应用追踪，也不会为广告目的出售或共享你的数据。

我们使用以下服务商（“数据处理者”），他们只按我们的指示处理数据：

• Google（Gemini API）——生成闪电熔铸和高导的结果。我们使用付费版 Gemini API，根据其条款，Google 不会用你的提示词或回复来改进其产品 [CONFIRM: BILLING ENABLED ON THE GEMINI API PROJECT]。Gemini API 条款
• Supabase——我们的数据库（托管于欧洲西部·伦敦区域）及个人档案登录。
• Vercel——网站与 API 托管、内容分发、网站数据分析。
• Upstash——短期的频率限制与成本计数器。
• Resend——发送你请求的邮件（文件、登录链接）。
• PostHog（欧盟）——iPhone 应用中不使用 Cookie 的产品分析。
• Apple——发送推送通知、校验应用完整性（App Attest）。苹果作为 App Store 运营方对你数据的处理，适用苹果自己的隐私政策。

在法律要求时，或在我们业务重组时向收购方或承继方（仍受本政策约束），我们也可能披露数据。我们不出售个人数据。

我们的数据库位于英国伦敦。部分服务商（包括 Google、Vercel、Upstash 和 Resend）可能在美国或其他国家处理数据。个人数据传出英国时，我们依据英国的充分性认定（包括对已认证接收方适用的“英美数据桥”），或英国国际数据传输协议 / 欧盟标准合同条款的英国附录 [CONFIRM TRANSFER MECHANISM PER PROVIDER]。PostHog 分析数据托管在欧盟。如需了解这些保障措施的详情，欢迎联系我们。

• 熔铸结果、报告、生成的文件和高导会话摘要——保存到你在应用中删除或要求我们删除为止，且最长不超过 [RETENTION PERIOD — CONFIRM]。
• 完整熔铸的作答——[RETENTION PERIOD — CONFIRM]。
• 闪电熔铸的图片——不保存，分析完成即丢弃。
• 高导遥测和错误日志（不含消息内容）——[RETENTION PERIOD — CONFIRM]。
• 频率限制计数器（以 IP 地址或哈希后的设备标识为键）——约 24 小时后自动过期。
• 个人档案——保存到你要求删除为止。
• 应用推送令牌和设备记录——保存到你选择“删除我的数据”，或设备最后一次使用后 [RETENTION PERIOD — CONFIRM]。
• 分析事件——[RETENTION PERIOD — CONFIRM]。
• 托管与邮件发送日志——由 Vercel 和 Resend 按其各自设置保存 [RETENTION PERIOD — CONFIRM]。
• 与我们的往来邮件——处理完你的请求所需的时间，之后 [RETENTION PERIOD — CONFIRM]。

根据 UK GDPR，你有权：

• 查阅我们持有的你的个人数据；
• 更正不准确的数据；
• 删除你的数据；
• 限制我们对数据的使用；
• 以可移植的格式获取你的数据；
• 反对基于正当利益的处理（包括数据分析）；
• 在我们依据同意处理时，随时撤回同意。

行使上述权利，请发邮件至 hello@agentsoul.market。由于 AgentSoul 大部分功能无需账号，我们可能无法凭姓名找到你的数据。请在邮件中附上你的结果链接；如涉及个人档案，请用档案绑定的邮箱发信。在 iPhone 应用中，你可以自行删除数据（见第 13 条）。我们会按法律要求在一个月内回复。

在 iPhone 应用中

打开设置 → 删除我的数据并确认。这会永久删除与你手机标识关联的所有结果、报告、列表条目和设备记录，并清除应用中的标识。此操作无法撤销。

在网站上或通过邮件

发邮件至 hello@agentsoul.market，附上你想删除的结果链接，或用个人档案绑定的邮箱发信。你发布的灵魂，随时可以在个人档案中取消发布。

AgentSoul 不面向 13 岁以下儿童，iPhone 应用的年龄分级为 13+。我们不会在知情的情况下收集 13 岁以下儿童的个人数据。如果你认为有儿童使用了本服务，请联系我们，我们会删除相关数据。

你的 AgentSoul 结果借助 AI 生成。它是供你自我觉察、配置 AI 智能体的类型假设——不是诊断，不是科学测量，也不构成心理、医疗或其他专业建议，而且可能出错。如果你正经历困难，请向专业人士求助，或联系当地紧急服务。

我们对所有传输使用 HTTPS，数据库启用行级安全策略，敏感数据表只能在服务器端访问，设备标识做单向哈希处理，应用内的图片在手机上缩小尺寸并去除元数据。没有任何系统能做到绝对安全，但我们会尽力保护你的数据；如发生数据泄露，我们会依法通知你和 ICO。

当服务或法律发生变化时，我们会更新本政策，并修改页面顶部的日期。如有重大变更，我们会在生效前通过应用或网站告知你。

Innovatorly Ltd
[REGISTERED ADDRESS]
邮箱：hello@agentsoul.market

如果你对我们处理数据的方式不满意，请先告诉我们，让我们有机会改正。你也有权向英国信息专员办公室（ICO）投诉。

为了生成解读，干将会把你的部分内容发送给第三方 AI 服务：Google LLC 的 Gemini API。在 iPhone 应用中，这只会在你同意之后发生：在发送任何内容之前，应用会先显示一个确认页面；你可以随时在「设置」中撤回这项许可。

发送什么

• 闪电熔铸：你选择的聊天截图（或示例聊天），包括截图中可见的文字和姓名。
• 高导：你在对话中输入或口述的回答，以及你选择的 Agent 类型。手机号、邮箱、证件号和银行卡号在发送前会被遮盖。
• 完整熔铸（网页版）：不向 AI 服务发送内容，评分在我们的服务器上完成。

发送给谁、用来做什么

Google LLC 通过 Gemini API 接收这些内容，并作为我们的数据处理者、代表我们进行处理，仅用于分析并返回你的人格解读和智能体文件的文本。我们不将其用于广告，也不出售。

保护措施

Google 依据 Gemini API 条款及其数据处理条款处理这些内容，这些条款要求其对个人数据的保护不低于本政策所述的标准，并对跨境传输采取适当的保障措施。

我们保存什么

闪电熔铸的截图只在内存中处理，我们不保存截图，只保存生成的解读结果。高导仅保存对话摘要和你的结果，不保存原始消息。

语音输入

应用内的语音输入在你的设备上识别，音频不会发送给我们或 Google。