🔒 隐私政策
最后更新：2026 年 4 月 26 日 · Privacy Policy of Know U. Learning
你好，我是 Winston，Know U. Learning 的创始人。这个产品是我做给我女儿和像她一样在认真学英语的孩子用的。 所以我对"数据隐私"这件事有非常认真的态度——下面说的每一条，都是我自己作为家长会希望服务方做到的。
如果你只想看一句话总结：我不卖数据，不拿你的内容训练任何模型，你随时可以让我把数据全删掉。
📦 我们收集哪些数据
为了让 AI 能为你做个性化的英语学习，我们会保存以下信息：
- 账户信息：注册邮箱、登录凭证（由 Supabase 加密管理，我们不直接存密码）
- 学习画像：你在「学习画像」里填的兴趣、年级、目标、备考方向等文字信息
- 学习进度：单词列表、答题记录、错题、复习状态、学习时长
- 使用日志：访问时间、浏览器类型、IP 地址（用于反滥用、限流和错误排查）
- Cookies / 本地存储：保持登录状态、记住偏好设置（不用于跨站追踪广告）
- 支付信息：当未来你订阅付费方案时，由 Stripe 处理（我们不存信用卡号，只看到订阅状态）
🎯 数据用来做什么
- 给你生成个性化的例句、讲解、记忆场景（这是产品的核心功能）
- 记住你学到哪了，下次回来可以接上
- 统计宏观使用情况（多少人在用、哪个功能用得多），用于改进产品
- 排查 bug 和异常（这是 Sentry 的工作）
- 防止 API 被滥用（这是 Upstash Redis 限流的工作）
🤝 我们用了哪些第三方服务
我是一个小团队，做不到每件事都自研。下面这些服务在产品运转过程中会接触到部分数据，每一家我都选了对隐私态度比较好的：
- DeepSeek（深度求索，中国公司）：负责生成 AI 例句和讲解。你的学习画像 + 当前单词会发给它的 API。我们和 DeepSeek 之间使用 HTTPS 加密。请知悉 DeepSeek 是中国公司，数据可能在中国境内服务器处理。
- Google Gemini（Google AI）：作为备用 AI 引擎，部分场景下生成内容。数据走 Google Cloud。
- Supabase（开源后端，托管在美国）：负责账号系统和数据库存储。你的学习数据存在 Supabase 的 Postgres 数据库里，受 Supabase 安全策略保护。
- Stripe（美国上市公司）：处理订阅和支付。信用卡信息直接由 Stripe 处理，我们看不到完整卡号。
- Sentry（错误监控）：当代码报错时自动发送堆栈信息，便于我修 bug。我们会脱敏过滤掉用户输入内容。
- Upstash Redis（无服务器缓存）：用于 API 限流（防止刷接口）和临时缓存。
- Vercel（部署平台）：网站托管和 CDN。
上述每一家的隐私政策都比我写的这页详细得多，如果你介意，可以单独搜索它们的官方政策。我承诺不会再额外接入第三方分析广告类 SDK。
👶 未成年人保护
Know U. Learning 主要面向中学生（备考 SSAT、SAT、TOEFL 等）。如果你是 13 岁以下的小朋友，请在家长或监护人陪同下注册和使用本产品； 我们遵守美国 COPPA（儿童在线隐私保护法）相关要求，不会主动向未满 13 岁的用户索取超出学习必要的个人信息。
家长如果发现孩子未经同意注册了账号，请发邮件给我，我会立即删除该账号及全部相关数据。
🛡️ 你的权利
无论你在中国、美国还是欧洲，你都拥有以下权利：
- 查询权：知道我们存了你哪些数据
- 导出权：以 JSON 格式拿走你的全部学习数据
- 更正权：纠正错误的信息
- 删除权（被遗忘权）：要求我们彻底删除账号和数据
- 撤回同意：随时停用本服务
想行使任何一项权利，发邮件到 Winstonwu1996@icloud.com， 我承诺 7 天内回复，30 天内完成处理。
⏳ 数据保留多久
- 账号存在期间：数据持续保留，方便你接续学习
- 账号删除后：30 天内从生产数据库彻底清理
- 备份归档：可能在加密备份中存在最长 90 天，之后随备份过期自动销毁
- 法律义务保留（如支付凭证）：按当地法律最低期限保存（通常 5-7 年），但不再用于任何业务用途
🔐 数据安全
- 所有传输使用 HTTPS / TLS 加密
- 数据库静态加密（由 Supabase 在 AWS 提供）
- 密码不会以明文存储（由 Supabase Auth 用 bcrypt 等算法哈希）
- API 接口都有限流和身份验证
- 只有我（Winston）一个人有生产环境访问权限
尽管我尽力保护，但请知悉：互联网上没有 100% 安全的系统。如果发生数据泄露，我会在 72 小时内通过邮件通知受影响的用户。
🌍 适用法律
对于中国大陆用户：本政策遵守《中华人民共和国个人信息保护法》（PIPL）、《数据安全法》、《网络安全法》。 如有跨境数据传输（如用 Google Gemini），我们会按 PIPL 第 38 条要求获得你的单独同意。
对于美国用户（含华裔）：本政策符合《加州消费者隐私法》（CCPA / CPRA）。 加州居民可以要求我们披露过去 12 个月内收集、使用、披露的数据类别，并可要求删除。我们不"出售"个人信息，无需提供 Do Not Sell 选项。
对于欧洲用户：本政策符合 GDPR。我们处理你数据的法律依据是「合同履行」（提供你订阅的学习服务）和「合法利益」（产品改进）。
📝 政策更新
产品在演进，政策也会更新。如果发生重要变更（比如新接了一家 AI 服务商、收集类型增加等），我会：
- 更新本页顶部的"最后更新"日期
- 对已注册用户通过邮件或站内通知告知
- 重大变更（涉及数据用途）会要求你重新确认同意
📮 联系我
任何隐私相关的问题、投诉、请求，发邮件到：
Winstonwu1996@icloud.com
我是 Winston，做这个产品的人，邮件就到我手里。如果一周内没收到回复，欢迎再发一次（可能被邮箱误判垃圾邮件了）。
— Winston