隐私政策候选说明

本说明覆盖 ClariZest 澄知拟提供的公开门户、iPhone、iPad、Mac 原生 App、账户与安全中心、可选密文同步、人工智能处理及支持服务。企业私有部署若由客户决定处理目的和方式，应另行提供客户适用的隐私文件与责任边界。

当前仓库中的 Portal 是工程候选。它可以展示产品方向和候选规则，但不能证明生产域名、云资源、支付、客服、法务主体或任何地区的正式发布已经完成。正式上线前应以真实数据流和已签署供应商协议重新核验并替换本页状态。

当前形态工程候选

工程候选页面与产品能力用于开发、评审和候选环境验证。

法律生效尚未配置

尚未生效没有把候选文稿写成用户已经接受的合同。

生产主体待生产确认

待确认上线前必须展示运营主体全称、注册地址及适用联系信息。

首发地区待生产确认

待确认国内与海外开放范围、数据位置和跨境机制需逐区确认。

• 账户与身份信息：账号标识、登录凭据的验证结果、区域、受信设备和安全事件。密码、令牌与密钥不得写入公开门户或本政策。
• 用户资料与 Context：用户导入的文本、图片、音频、文件、链接，以及由系统提出但尚待用户确认的分类、关系和摘要候选。
• 同步与运行信息：密文对象标识、同步游标、版本、错误与必要诊断。产品方向是本机明文优先，云端能力不应默认获得整个本机资料库的明文。
• 人工智能任务信息：仅限用户为一次任务选择的内容、指令、模型路由、授权记录和结果。实际模型供应商、区域、保留规则和是否用于训练必须在启用前逐项披露。
• 购买与支持信息：套餐权益、商店交易标识、退款或支持请求。银行卡等完整支付凭据通常由应用商店或支付服务商处理，生产清单仍需核验。
• 其他人的信息：用户资料可能包含家庭成员、同事或联系人信息。用户应确保有权保存和使用这些资料，并在分享或调用模型前选择最少必要范围。

当前 Portal 源码没有配置广告 SDK、第三方行为分析或营销 Cookie。生产托管可能产生访问日志、网络安全日志、CDN 或可用性监控数据；这些服务尚未在本候选中确认，因此不能把“当前代码未配置”理解为未来生产环境绝不处理此类数据。

生产上线前必须公布实际 Cookie 和 SDK 清单、用途、提供方、期限及拒绝方式。非必要分析和营销能力不得仅因访问页面而默认开启。

• 提供用户主动请求的录入、整理、浏览、同步、导出、删除、账户安全和支持功能。
• 保护账号、设备、资料和服务，发现滥用、攻击、故障或未经授权的访问。
• 在获得适用授权后改进产品质量；拒绝可选分析不应影响基本数据权利。
• 履行适用法律义务或响应具有合法权限的请求，并保留必要的审查与异议记录。
• 不同地区可能分别依据同意、履行合同所必需、法定义务或其他合法依据。正式版本必须按首发地区和具体数据项说明，不能用一项笼统授权覆盖全部处理。

正式发布不得仅用“全球服务”概括数据位置。每个区域都应列出账户、密文同步、模型、支持和监控分别在哪里处理，以及用户是否可以关闭相关能力。

本机资料库工程候选

设计基线原生 App 以本机加密资料库为优先边界；卸载 App、删除账号和清除本机资料是不同操作。

托管同步工程候选

可选候选真实区域、密钥托管、备份与恢复流程仍需生产联调和安全验收。

模型处理待生产确认

按任务授权只有明确选择范围后才应外发；供应商、区域和保留方式尚未形成生产披露。

跨境传输尚未配置

未配置首发地区与数据流未确认，本页不声称已经发生或已经完成任何跨境合规机制。

澄知不应出售用户资料，也不应把用户私域 Context 用于第三方定向广告。生产版本仍需根据适用法律准确界定“出售”“共享”等术语，并提供相应选择入口。

可能参与处理的基础设施、身份、模型、支付、客服和监控供应商尚未最终确定。本候选不列虚构名称或空泛保证；上线前必须发布真实清单、处理目的、区域与合同保护。未经用户主动操作，资料不应公开。

• 本机资料由用户在设备上管理；仅删除云端副本不会自动清除离线设备中的本机资料。
• 账号、同步、支持、安全、支付和法定留存可能有不同期限。当前尚无可对外承诺的生产保留表。
• 删除请求应显示提交、验证、处理中、完成或需行动等真实状态；“已提交”不得展示成“已完成”。
• 备份与不可变安全记录可能按既定周期到期清理。生产版本必须说明期限、例外和最终完成通知。
• 删除 App 不等于删除账号，删除账号也不一定会自动取消 App Store 订阅；相关入口必须在操作前清晰区分。

根据适用地区和具体情形，用户可能享有知情、决定、限制或拒绝、查阅、复制、导出、更正、补充、删除、撤回同意、注销账号、反对特定处理以及申诉等权利。澄知的产品基线是让基本导出、删除和退出能力不受付费等级限制。

当前工程候选已在原生 App 与账户中心提供完整账号删除请求、当前会话验证、共享空间所有权阻塞、可恢复处理状态和不可逆阶段前取消，并通过受控身份管理适配器执行账号注销。它仍需在真实身份供应商、发布地区和时限规则下完成生产验收；本机资料清理与应用商店订阅取消仍是用户分别管理的操作。

• 本机加密、最少披露、来源记录、权限隔离和可审计状态是设计目标，不代表已经取得某项认证，也不构成绝对安全承诺。
• 产品不应面向未达到适用地区最低独立同意年龄的儿童直接提供账号。家庭资料可能包含未成年人信息，生产版本需提供监护、授权与删除规则。
• 隐私规则发生实质变化时，应说明变化内容、适用日期和用户选择。不能以无提示更新追溯扩大既有数据用途。
• 生产隐私联系人、申诉渠道、数据保护负责人或地区代表（如适用）尚未配置。正式开放注册前必须完成。