隐私政策

• 账户与身份信息：通过 Firebase Authentication 取得的邮箱、显示名称、头像 URL（如有）、邮箱验证状态，以及稳定的 Firebase 用户标识（UID）。邮箱可能变更，不以邮箱作为唯一身份主键。
• 会话与认证凭据：网站侧使用 HttpOnly 会话 Cookie（如 askalong_session）；扩展侧使用短期 AskAlong API Bearer Token（服务端仅保存哈希并按策略过期）。我们不会要求你把长期令牌存入可被第三方脚本读取的 localStorage。
• 订阅与账单元数据：套餐类型、试用/有效/逾期/取消等归一化订阅状态、计费周期、外部订阅标识与账单事件标识。支付卡号、完整付款人敏感信息由支付服务商 Paddle 处理；我们不存储完整支付卡数据。
• 用量与权益数据：问答次数、用户 ASR 次数、未命中缓存的媒体 ASR 秒数等额度消耗记录，以及与配额扣减相关的事件日志。
• 媒体上下文元数据：为建立共享时间轴而处理的媒体标识/指纹、页面或来源 URL（在可识别公开媒体时）、播放位置、epoch、时间区间、分段转录文本与滚动摘要。公开媒体的分段转录可在去标识后跨用户复用。
• 语音与音频相关数据：在你明确启用麦克风或标签页捕获后，为完成 ASR、Audio LLM、TTS 或兼容通路而短暂处理的麦克风音频与网页媒体音频。原始音频默认不写入数据库，也不作长期保存。
• 对话历史：你的提问文本、AI 回答文本、媒体位置，以及生成该回答时使用的摘要或证据片段。启用“保存问答历史”后，这些文字记录会在扩展本地保存并同步到账户，供网站历史页显示；不会随历史记录上传原始麦克风或媒体录音。
• 技术与诊断信息：IP 地址（可能经基础设施记录）、User-Agent、扩展版本、错误码、请求阶段、延迟与有限的运营日志。我们不会故意在日志中记录 Authorization 头、OpenRouter Key、完整原始音频或敏感请求体。
• 偏好设置：插话方式（暂停/降低音量/纯文字）、声线档位、回退秒数、是否播放 AI 语音、语言偏好等产品设置。

• 仅在你主动点击“随声问”或明确启动会话后，才处理标签页媒体与/或麦克风输入；不会在后台静默持续监听你的电脑系统声音。
• 网页媒体与用户麦克风是两条独立链路：前者用于构建回答所需的时间轴上下文；后者用于提问。
• 优先使用媒体元素 captureStream；必要时在用户操作触发下使用 tabCapture + Offscreen Document，并回放标签页声音，避免捕获导致你听不到原内容。
• 时间轴按媒体时间切片（约 15 秒，允许 8–30 秒并保留重叠），尽量在静音点切分；倍速与 seek 会映射到正确媒体时间，不会把未播放区间当作已听内容。
• 同一公开媒体、同一时间区间的 ASR 结果可跨用户共享。缓存命中不会重复请求上游，也不会重复扣减你的媒体 ASR 额度。
• 公共媒体在可行时由服务端按源 URL 读取并截取所需区间；无法读取或属于私有/受限媒体时，才可能上传短片段以完成识别。
• 回答上下文仅包含当前位置及以前的内容（热上下文、滚动摘要、精确片段与近期个人对话），不会向前剧透未到达的时间点。
• 进入 Audio LLM 前，浏览器可能在本地将 WebM/Opus 解码并转换为模型所需的 PCM/WAV 格式；服务端用户 ASR 可能经 ffmpeg 规范化。处理完成后，原始音频按默认策略删除，不作长期存档。
• 我们明确不支持 DRM 媒体、私人会议、支付/医疗通话页面等场景；敏感站点不应被用于捕获。

我们在下列目的范围内使用上述信息：

• 创建与维护账户，验证身份，并在网站与扩展之间同步同一套权益与额度。
• 提供实时语音/文字问答、媒体理解、共享时间轴、摘要、会话状态与播放控制体验。
• 计量用量、执行套餐限额、处理订阅开通/续费/取消/恢复，并防止重复计费或重复扣额度。
• 保障安全：鉴权、限流、反欺诈、滥用检测、故障排查与审计（在去敏前提下）。
• 改进产品可靠性与质量（例如延迟、错误率、兼容性），不以此出售你的个人身份信息。
• 履行法律义务，响应合法请求，或保护用户、公众与我们的权利与安全。
• 在你同意或法律允许的范围内，发送与服务相关的事务性通知（如安全、账单状态）。

• 身份认证：Google Firebase Authentication（含 Google 登录与邮箱密码）。
• 支付处理：Paddle（Checkout、Customer Portal、订阅与税务处理）。支付细节以 Paddle 的条款与隐私政策为准。
• 模型与语音能力：通过我们受控的服务端网关访问上游模型服务（如 OpenRouter 及其下游模型提供商），用于 ASR、文本 LLM、TTS 与 Audio LLM。浏览器不会持有 OpenRouter API Key；客户端不得指定任意模型或覆盖系统提示。
• 基础设施：云托管、数据库（PostgreSQL）、日志与网络基础设施提供商，仅在提供托管与安全运维所必需的范围内处理数据。
• 法律要求：在有法律义务、有效法律程序，或为防止严重损害时，我们可能披露信息。

• 网站：使用 HttpOnly、Secure 与合理 SameSite 属性的会话 Cookie 维持登录态；认证与账单写请求受同源/来源校验约束。
• 扩展：使用 chrome.storage 等扩展存储保存会话令牌、设置与本地历史；扩展重载后旧页面脚本会失效并应停止通信。
• 我们使用这些技术以维持会话、记住语言偏好、完成安全校验，而非用于跨站广告追踪画像。
• 你可通过浏览器设置管理 Cookie；禁用必要 Cookie 可能导致无法登录网站账户功能。

• 原始网页音频与麦克风录音：默认在处理完成后删除，不作长期数据库存档。
• 账户、订阅、账单事件与用量记录：在账户存续期间及法律/财务所需的合理期限保留。
• 共享公开媒体的分段转录与摘要：为提供跨用户缓存与上下文能力而保留；与个人身份解耦。
• 扩展本地 ASR：按本地转录设置保留，你可在客户端清除。账户问答历史按你选择的 1、7 或 30 天保留期在本地与服务端保存，并可从扩展或网站历史页清除。
• 安全与诊断日志：通常保留有限期限（例如约 30 天量级），用于排障与防滥用，并尽量去敏。
• 会话令牌：按配置过期；注销、密码变更或账户禁用后应使相关会话失效。

• 在账户页面查看套餐、用量与订阅状态，并通过账单入口管理续费与取消。
• 在扩展中调整隐私相关设置、清除本地历史，或停止捕获与会话。
• 撤销浏览器/系统的麦克风与相关权限。
• 请求删除个人账户：我们将清除或匿名化个人资料、个人会话/问答历史与订阅关联；共享的公开媒体转录可在去标识后保留。
• 通过账户或网站公布的联系渠道提交隐私相关请求。我们可能需要验证你的身份后再处理。