隐私政策 · ClassFlowy

本文档直言不讳地说明我们收集哪些数据、与谁共享以及保留多长时间。没有模糊的说法 – 我们列出具体的公司名称，因为你的录音确实会传送给它们。最重要的原则是：我们不会自行删除你的数据 – 它们保留在你的账户中，只有在你请求时才会消失。

1. 谁负责数据

数据管理员（同时也是付费计划的卖方）是 Filip Biskupski，从事非注册活动（2018年3月6日《企业法》第5条），无税号（NIP）或商业登记号（REGON）。通信地址可根据发送至下方电子邮件地址的请求提供。联系方式：support@biskupski.site。关于你数据的所有事项，请发信至此地址。

ClassFlowy Android 应用在 Google Play 上由 Media Gears（开发者账户）代表管理员发布。Media Gears 无权访问 ClassFlowy 中的你的数据，也不处理它们 – 管理员仍为 Filip Biskupski，如上所述。

2. 我们收集哪些数据

• 账户： 电子邮件地址、用户名、可选的显示名称、加密密码哈希、创建日期和最后登录时间，以及账户语言（在设置中选择或注册时所在页面的语言）– 我们通过它发送电子邮件给你，助手和帮助者用它回复，付款页面打开时使用它。
• 使用 Google 或 Apple 登录（仅当您选择此方式时）：我们会从 Google 或 Apple 获得您在该服务商处账户的 ID、您的邮箱地址（Google——还包括是否已验证；Apple——可能是 privaterelay.appleid.com 中转地址）以及您的名字（Google——来自您的个人资料；Apple——仅在首次登录时，且仅当您选择分享时），我们仅用这些信息来建议一个昵称。我们会保存该 ID、服务商处的最新地址、姓名，以及关联和最后使用的日期——以便您下次登录时识别您。使用 Sign in with Apple 时，我们还可能保存来自 Apple 的加密刷新令牌，其唯一用途是在您删除账户时撤销 ClassFlowy 对您 Apple 账户的访问权限。当您在设置中断开该方式或删除账户时，我们会删除这些数据。
• 注册前点击链接： 电子邮件地址、用户名、加密密码哈希、年龄声明和注册时所在页面的语言（我们在这个语言中发送链接）– 仅用于确认地址，最多48小时。
• 材料： 你上传的音频和视频录音、黑板照片、文件和笔记，以及教科书（PDF、EPUB或页面照片）来自你的书架。
• 处理效果： 录音转录、从照片中识别的文本、课程摘要、教科书页面的文本及其页码。
• 与助手的对话： 你的问题、模型的答复以及助手的「记忆」，即它为你的学习记住的事实。
• 助手答复报告： 当你点击答复旁的「举报」时，我们保存该答复的副本和它之前你的问题、选择的原因和评论 – 以便管理员可以查看它。报告随账户一起删除。
• 课程表和日历： 科目、时间、材料分配到课程。
• 帮助者（帮助聊天）： 你发送给帮助者的消息和机器人或顾问的回复，以及当机器人提交报告时 – 其内容、你的计划以及你是从页面还是应用程序写的。无账户：work_help Cookie 中的随机标识符和你自己在报告中提供的电子邮件地址（如果有）。对于无账户的每日消息限制，我们计算地址 IP 的单日加密哈希 – 我们不保存地址本身。详见下面的「帮助者（帮助聊天）」部分。
• 技术： 登录、注册时的 IP 地址，以及向助手发送消息和上传材料时的地址（防机器人和防滥用），限制使用计数器。
• 服务器通知（仅当你在应用程序中启用「材料处理完成」或「助手答复就绪」时）：设备令牌 – 由 Firebase Cloud Messaging 分配的应用程序安装标识符 – 包含系统类型（Android 或 iOS）、报告该令牌的登录会话，以及报告和最后发送的日期；加上已发送信号的简短日记（类型、课程或对话标识符、时间）– 仅没有任何内容，只是为了不发送过多通知。
• 付款（如果你购买计划或套餐）：你购买的内容、金额、付款状态和日期，以及支付网关中的付款和订阅标识符。我们看不到卡号、BLIK 数据或银行登录。
• 合作伙伴链接（仅当你首次通过合作伙伴链接访问 ClassFlowy 并在 30 天内创建账户时）：它是哪个链接，你的账户何时被分配到它，以及与合作伙伴结算所需的付款记录。只有 ClassFlowy 管理员能看到这些信息 – 合作伙伴不会获得任何用户数据。

我们不收集 位置数据，我们不跟踪你在其他网站上的活动，我们没有广告或外部分析。

3. 班级和共享

我们与其他账户仅分享 知识，永远不分享文件。下面准确说明班级、具有共享科目的人和链接接收者看到什么 – 以及谁看不到什么。

• 原始转录、照片识别或文件中的文本没有人看到 – 即使你也没有。 AI 处理它来写课程摘要，但识别的文本本身不离开服务器：不在界面中，不在聊天中，不通过连接的助手，不在搜索结果中。你总是会听、看或下载自己的文件 – 从文件中识别的文本你看不到。例外是手写笔记：其内容是你的话，所以你看到它。另一个例外是 教科书：其页面的文本是教科书本身的内容，而不是你的课程，所以你在页面预览中看到它，助手使用它，以及与你共享该科目的人也看到它（见下文）。
• 课程摘要是无损的，不是总结。 它包含课程中的所有知识 – 定义、带解答的例题、比喻、引用、作业 – 按主题组织。它应该取代录音，所以其中没有时间戳或材料列表。
• 班级 仅获得来自所有成员的共享课程摘要（仅来自非私密材料和你与班级共享的科目），以及你的课程表中来自你与班级共享科目的位置（科目、日期、课程编号、教室、教师）。默认班级不从你获得任何内容：你仅分享你自己在班级设置中标记的科目，只能从它们获得共享摘要。如果你在此政策版本生效之前加入班级，你会与班级共享除排除外的所有科目，直到你切换到标记科目。没人 – 包括我们 – 显示谁对它贡献了什么或计划给定位置的来源。文件仅由其所有者看到。
• 私人材料 只进入你自己的摘要 – 永远不进入班级摘要或任何共享。某人发送给你的摘要同样对待：不能进一步共享。
• 共享科目和课程链接 仅显示共享摘要 – 永远不显示文件、材料或额外摘要。共享科目也显示它在你的课程表中的位置，不显示其他课程。共享科目（和班级）的唯一补充是与该科目相关联的教科书页面的文本 – 接收者可以浏览它们并向助手提问。接收者不会下载教科书文件，课程链接不显示教科书课程。当你的计划不再包含教科书或你将教科书移到存档时，接收者会停止看到它。当你以登录账户打开课程链接时，课程进入你的账户，分享它的人在访问人员列表中看到你的用户名（并可以撤销）。打开链接在你的浏览器中记录一个技术访问 Cookie 给这个特定课程 – 详见 Cookie 政策。
• 与助手共享的对话 对任何拥有其链接的人（也包括没有账户的人）可见，直到你禁用它 – 链接显示你的问题和助手答复的副本，自共享时刻起，无附件、照片、用户名和电子邮件。
• 发送给同学的课程（通过用户名、电子邮件或链接）进入他的日历作为他自己的文本摘要。这是副本 – 当你删除账户时它保留在他处。
• 离开班级、排除科目、禁用与其共享或删除账户 立即重新计算班级共享摘要，没有你的贡献 – 没有警告，没有要求许可。这是唯一确保撤回的材料真的消失的方式。

4. 为什么和基于什么

• 账户维持和服务提供 – 因为这是我们之间协议的范围（《通用数据保护条例》第 6 条第 1 款第 (b) 项）。
• 通过 AI 处理材料（转录、照片识别、课程摘要、助手答复）– 这是服务的核心，你自己要求的，上传文件或提问；基础如上。
• 防机器人和滥用以及限制监控 – 我们的合法利益（《通用数据保护条例》第 6 条第 1 款第 (f) 项）。
• 帮助者 – 关于服务的问题答复、报告和与顾问的交谈：对于账户 – 合同履行（《通用数据保护条例》第 6 条第 1 款第 (b) 项）；没有账户 – 我们在回答关于服务的问题中的合法利益（《通用数据保护条例》第 6 条第 1 款第 (f) 项）。
• 发送关于账户的电子邮件（建立账户链接、确认地址、重置密码）– 合同履行。我们不发送新闻通讯或广告。
• 对电话的推送通知关于完成的课程摘要和完成的助手答复 – 合同履行，仅当你在应用程序中启用它们时；你可以随时在设置 → 通知中禁用它们。
• 处理计划和套餐付款 – 合同履行；保留付款记录 – 会计和税收法律所产生的法律义务（《通用数据保护条例》第 6 条第 1 款第 (c) 项）。
• 合作伙伴链接 – 将新账户分配给某人首次通过其来找我们的合作伙伴链接，以及与合作伙伴结算 – 我们的合法利益（《通用数据保护条例》第 6 条第 1 款第 (f) 项）。

我们不会对你做出仅基于自动处理的决定，会产生法律效果或以类似方式显著影响你（《通用数据保护条例》第 22 条），并且我们不会为市场营销目的对你进行分析。唯一的自动决策机制是防机器人系统，它可能拒绝登录、注册、密码重置或 – 没有账户 – 被视为机器人操作的对帮助者的第一条消息 – 它仅评估浏览器的技术信号，而不是你的个人，AI 材料是根据你的请求生成的，从不自动生成。

5. 我们与谁共享数据

这些是实际接收你的内容的实体。值得在上传录音前了解它们：

• DeepInfra（美国）– 识别录音中的说话人、改进其文字记录，并在 Soniox 无法运行或不支持课程语言时，自行将录音处理为文本；识别黑板和教科书页面的照片以及来自照片或扫描的页面、描述教科书插图、计算内容相似度用于搜索以及生成助手答复。材料和对话的内容传送给它，包括对帮助者（帮助聊天）的对话，对话时 – 也有模型应该回复的语言（来自账户或浏览器）。默认模型（包括 Qwen、DeepSeek、Nvidia Nemotron）直接由 DeepInfra 托管 – 它不会将它们转发给 Google 或其他模型制造商，这在未成年人笔记照片的情况下特别重要。唯一的例外是聊天中的「Sonnet」和「Opus」选项 – 见下一点。GPT 模型不通过 DeepInfra：见 OpenAI 相关条目。 当你点击“朗读”时，DeepInfra 还会收到该回答的文本并将其转换为音频（Chatterbox 模型）；生成的音频仅保存在服务器内存中，最长一小时，不会写入磁盘。
• Anthropic PBC（美国），通过 DeepInfra – 仅当你在聊天中自己选择「Sonnet」或「Opus」选项（Claude Sonnet 和 Claude Opus 模型）时。你的对话内容然后传送到那里：你的消息、附加的照片以及助手用来回复的摘要和材料片段。在 Flash、Pro 和 Max 级别以及 ClassFlowy 的任何其他功能（转录、照片识别、课程摘要、搜索）中，没有任何内容传送到 Anthropic，如果 Claude 模型失败，答复由 DeepInfra 托管的模型完成，从不是其他 Anthropic 模型。Anthropic 根据自己的隐私政策处理这些数据。
• Soniox（Soniox Inc., 美国） – 将语音转换为文字。录音和带声音的材料（包括视频中的声音）： 我们的服务器会将音频文件以随机名称、连同要识别的语言列表发送给 Soniox，并去除较长的静音片段；Soniox 不会收到您的电子邮件、昵称或账户标识符。文本返回给我们后，我们会立即在 Soniox 删除该文件及其文字记录。如果未能成功，我们会在几小时后自动重试，Soniox 自己最迟会在 30 天后删除此类数据。实时答案，仅当您自行开启聆听时（自 Plus 计划起）：麦克风的声音以及由此生成的文字直接在您的设备与 Soniox 之间传输，使用由我们服务器签发的短期票据。Soniox 同时获得设备的 IP 地址、要识别的语言以及随机会话标识符，但不获得您的电子邮件、昵称或账户标识符，并且根据其隐私政策，不会存储此类实时语音数据。实时笔记，仅当您在笔记中开启录音时： 麦克风的声音通过我们服务器签发的短期票据，直接从您的设备传送到 Soniox；Soniox 获得设备的 IP 地址、要识别的语言以及随机会话标识符，但不获得您的电子邮件、昵称或账户标识符，并且根据其政策不会存储实时语音的音频；返回给我们的只有文字。根据 Soniox 的文档，它不会将这些音频或文本用于训练模型。
• OpenAI（OpenAI Ireland Ltd. 及 OpenAI 在美国的公司）– 仅限您自行选择的两种情况：开启与助手的语音聊天时，或在聊天中选择 GPT 模型（Luna、Terra、Sol、Astra）时。语音聊天时，音频直接在您的设备与 OpenAI 之间传输，因此 OpenAI 也会获得设备的 IP 地址。在这两种情况下，OpenAI 都会收到对话内容和传递给它的上下文：您的姓名或昵称、语言、您的课程、近期作业和测验、助手记住的关于您的信息、对话的最近消息、消息附带的照片，以及助手为回答而从您的数据中获取的内容（例如日历、笔记、材料的转录文本，以及如果您连接电子成绩册，则包括其中的变更）。根据 OpenAI 的文档，通过其 API 发送的数据默认不用于训练模型，用于检测滥用的日志最多保留 30 天。如果您没有做出这两种选择，您的对话和材料不会通过这一途径发送给 OpenAI；您自行连接的助手是另一回事，见下文说明。
• Hetzner（德国）– 应用程序和数据库所在的服务器。你的文件在这里。
• Resend（美国）– 当服务器上设置了 Resend 密钥时发送关于账户的电子邮件（建立账户链接、确认地址、重置密码）– 今天在生产中是这样，因为 Hetzner（见下文）默认阻止出站 SMTP 端口。没有这个密钥，同样的邮件由 Namecheap 私人电子邮件（美国）直接通过 SMTP 从 system@biskupski.site 地址发送。在两种情况下，提供商都收到你的电子邮件地址和这一个系统消息的内容，永远不是材料内容。相同的路由用于向管理员发送关于新的帮助者举报 – 具有举报内容和发送者的电子邮件地址。
• Anty Bot（antybot.biskupski.site）– 防机器人保护。检查登录、注册和密码重置（明确显示，可能拒绝尝试）以及在背景中不阻止任何人的消息给助手和材料上传（以捕获自动滥用限制）。它也检查一次每个对话，对帮助者网站的第一条消息无形地 – 没有账户可以拒绝它。它仅获得浏览器的技术信号和 IP 地址 – 永远不是材料或对话的内容。
• Tavily（美国）– 网络搜索和获取页面内容。在对话中，助手在需要时也会在没有单独请求的情况下使用它：例如信息可能已经改变、需要核实某个事实、日期或名称，或问题超出了你的材料范围。它获得查询内容（打开特定页面时 – 其地址），以及你对话的标识符和你账户标识符的单向加密哈希 – 这些是允许提供商限制滥用的技术数据，无法从中恢复你的数据。在创建课程描述时，模型还可能向 Tavily 发送一条关于姓氏或专有名词的简短查询，以核对录音或照片中的写法是否正确。我们不会以这种方式核对日期、数字、术语或概念。此类查询不应包含个人数据：我们会过滤掉学生和教师的姓名、学校和班级的名称，以及材料中较长的引文，此时 Tavily 不会收到你账户或对话的标识符。结果仅用于更正拼写；我们不会将其中的任何新信息添加到描述中。
• 支付网关（platnosci.biskupski.site）– 支付系统由 ClassFlowy 的所有者运营，仅当你购买时。它获得你账户的标识符、电子邮件地址、你购买的内容和价格，以及支付页面应打开的语言（来自账户语言）。
• Stripe – 支付运营商，通过该网关网关接收款项。你直接在 Stripe 的网站上提供卡数据、BLIK 或 Przelewów24；Stripe 根据自己的隐私政策处理它们，这些数据不会进入 ClassFlowy。
• Google（Firebase Cloud Messaging 服务，美国）– 提供手机通知，仅当你在应用程序中启用「材料处理完成」或「助手答复就绪」时（两个默认都禁用）。它获得设备令牌（应用程序安装标识符）和空信号：事件类型以及课程或对话的随机标识符（以及当手机连接到该服务时 – 也它的 IP 地址）。永远不是 材料、笔记、转录、科目名称、标题或对话的内容 – 通知文本由手机本身组成，在从我们的服务器获取数据后。作业和考试的提醒由手机本身继续计划，不通过 Google。没有启用这些通知的情况下，应用程序不连接到 Firebase。
• Google（Google Sign-In，美国）和 Apple（Sign in with Apple，美国）——仅当您以此方式登录或创建账户时适用。我们会将您重定向至服务商的页面（或应用会打开其登录窗口），服务商会用上述数据向我们确认您的身份。我们只向服务商发送登录所需的内容（ClassFlowy 的应用 ID、一次性代码），而当您删除账户或断开 Apple 时，我们会向 Apple 发送撤销访问权限的请求。我们不会与他们分享学习材料或对话内容。Google 和 Apple 作为各自独立的数据控制者，依据其各自的隐私政策，在其一方处理您的账户数据。
• 你自己连接的 AI 助手（例如 Claude – Anthropic、ChatGPT – OpenAI、Gemini – Google）– 仅在你同意时，详见下文。

「为了课程摘要能够区分教师和学生的讲话，录音也通过说话者识别（Nemotron 模型，DeepInfra）传递，将片段标记为「教师」或「学生 1、2、3...」。这种区别仅在单个录音范围内有效 – 我们不保存姓名或语音特征，所以没有标签与特定人或其他录音相关联；标签仅进入摘要。」

「黑板或笔记照片不是由一个模型读取，而是由几个模型同时读取 – 都由 DeepInfra 托管 – 它们的读取由另一个 DeepInfra 模型组合成一个文本，它获得已经是单独的读取（没有照片本身），不发明任何东西，不在至少一个读取中。几个模型一起对数字和日期的混淆少于单个模型。」

「当 DeepInfra 转写录音时，在外语课中，录音中识别语音最初听到的波兰语片段，我们再次检查第二遍，使用强制的课程语言（反之亦然）– 这样外语句子不会在识别中丢失，默认情况下『听到』波兰语。」

在欧洲经济区之外转移数据： DeepInfra、Anthropic（仅在「Sonnet」和「Opus」选项中）、Namecheap/Resend、Tavily 和 Google（Firebase Cloud Messaging – 仅在启用服务器通知时）在欧洲经济区外的美国运营。我们基于这些提供商的标准合同条款（《通用数据保护条例》第 46 条规定的安全机制）向它们转移数据 – 这是每个这些提供商引用的经过公开记录的数据转移机制。 Soniox（录音和带声音的材料，以及在实时答案中聆听）同样位于美国；在欧洲经济区之外转移数据时，它采用其隐私政策中所述的合同保障措施。 OpenAI（仅限语音聊天和 GPT 模型）：我们的合同方是 OpenAI Ireland Ltd.，其向欧洲经济区以外（包括美国）传输的数据受标准合同条款或欧盟委员会充分性决定的保护。

我们不出售数据，也不为广告目的将其转移给任何人。

6. 连接的 AI 助手（MCP）

你可以将外部助手连接到 ClassFlowy – 例如 Claude、ChatGPT 或 Gemini。这仅在你自己开始连接、登录 ClassFlowy 并在同意屏幕上点击「允许」时发生。没有这个，没有助手可以访问你的数据。

• 助手获得什么： 它在与你的对话过程中自己询问的内容 – 日历、课程表、科目、带摘要和笔记的课程、家庭作业和测验、教科书页面的文本（你自己的以及通过科目共享给你的）、知识库条目、搜索和计算结果。数据进入运营该助手的公司，并受其隐私政策约束。
• 它从不获得什么： 录音的转录和照片识别的文本、原始文件或你与 ClassFlowy 助手的对话。
• 它可以改变什么： 如果你在同意屏幕上留下保存选中的复选框 – 向课程添加笔记；添加、修改或删除家庭作业或测验；修改课程的主题、科目、日期和时间（移到你当天已有同一科目课程的日期时，两节课会合并为一节）；重命名资料或将其移到另一节课；修改你自己课程表中的条目；在知识库中保存或删除条目。更改立即生效，无需在 ClassFlowy 中批准。没有这个同意，助手只能读。
• 我们看不到什么： 你与该助手的对话。我们仅看到 ClassFlowy 工具的调用 – 检索或保存的内容 – 并将其计入计划限制。
• 我们保存什么： 应用程序名称和访问返回的域、连接日期和最后使用时间，以及访问令牌 – 仅作为加密哈希。
• 如何撤销访问： 在设置 → 聊天机器人中点击「断开连接」– 立即生效。阻止账户也会切断所有连接。

7. 帮助者（帮助聊天）

在 /pomoc 页面（也没有账户）和应用程序中（设置 → 帮助），你可以提问帮助者 – 一个机器人，它根据我们的文档和你的账户数据回答，在你点击确认后在账户中执行操作，自己无法解决时向管理员提交举报。

• 谁读你的消息： 答复由由 DeepInfra 托管的语言模型写成 – 该对话的消息内容传送给它（更长的对话该同一模型首先总结），我们文档的片段以及模型应该回复的语言（来自账户、选定页面语言或浏览器设置）。登录后，模型还能看到回答所需的账户数据：计划、限额和用量、余额、付款、处理状态，以及课程、科目和材料的名称。它还能看到账户历史：与助手对话的标题和日期、材料的名称和状态、付款、导出和删除记录。只有当你询问时，它才会看到某一次与助手对话的内容。它永远看不到笔记内容或原始转录文本。
• 账户中的操作： 帮助者自己不会改动任何内容。只有当你在聊天中的卡片上点击「确认」后，操作才会执行。我们会把操作名称、参数和结果与对话一起保存。
• 为了计算退款，我们保存该期间使用过的 Standard 之外功能（仅名称和日期），以及每天占用的最大空间（仅字节数，400 天）。不包含你的文件和对话内容。
• 记录对话： 我们记录整个对话，管理员可以阅读它 – 以帮助、检查举报和监控答复质量。管理员也可以接管对话并亲自回复（你会看到「正在与顾问交谈」）。
• 举报（类别、标题、描述、错误时的步骤和结果）包含谁发送了它 – 账户和其电子邮件地址或，没有账户的，你在对话中提供的电子邮件地址 – 你的计划以及你是从页面还是应用程序写的。管理员会收到新举报的电子邮件。
• 不要在聊天中写 密码、卡数据或其他敏感数据 – 没有用到。
• 照片： 发送给帮助者的照片和截图，我们会缩小、去除其中的 EXIF 数据，并与对话一起加密保存。它们只会在你附上它们的那条回复中传送给 DeepInfra 的模型。你和管理员可以看到它们；它们会随对话（12 个月）或随账户一起消失。某些操作需要你用账户密码确认。我们会立即验证密码，不会把它保存在对话中，也不会传给模型。我们保存一份简短的删除记录（删除了什么、何时删除），以便帮助者能回答发生了什么；记录保留一年。
• 多长时间： 我们从最后一条消息起保留与帮助者的对话 12 个月，举报 – 从最后更改起 12 个月；之后我们自动删除它们。随账户一起立即消失。

8. 启动促销（每人一次）

启动促销（第一个月免费或更便宜，以及首次充值余额时的赠送——付款条款，第 3a 点）每人一次。为了在有人删除账户并创建新账户时也执行此操作，我们在购买或充值并使用促销时记录：

• 什么： 你的电子邮件地址的单向哈希（HMAC-SHA-256 带服务器秘钥），统一后（小写；Gmail 地址中没有句号和「+附加」），使用促销的类型、日期和付款标识符。这个记录中没有电子邮件地址本身，哈希无法反向转换为地址。当支付运营商开始共享卡指纹（不含卡号的卡标识符）时，我们也会记录其哈希。
• 为什么和基础： 让促销真正成为一次性 – 我们的合法利益（《通用数据保护条例》第 6 条第 1 款第 (f) 项）：防止促销滥用。
• 多长时间： 使用促销后的 24 个月，即使在账户删除后（记录与账户无关）；之后我们自动删除它。
• 异议： 你可以提出异议（support@biskupski.site）– 我们将删除哈希，但下一个促销对这个地址将不可用，因为没有记录无法检查这是第一次。

9. 从 Librus 和 VULCAN 导入课程表

编辑课程表时，你可以将课程表与电子成绩册 Librus（Librus Synergia，由波兰 Librus sp. z o.o. 运营）同步。这需要你自己点击“与 Librus 同步”按钮——不会自动进行。

• **我们发送给 Librus 的内容：**你在导入窗口中输入的登录名（或 Librus Rodzina 账号邮箱）和密码——仅用于代你登录并下载课程表。我们不保存它们：它们只在单次请求期间存在于服务器内存中，不会进入数据库或日志。Librus 登录后返回的访问令牌也是如此。
• **我们下载的内容：**接下来几周的课程表（科目、日期、时间、教室、教师姓名、代课和取消的课程），以及关联到该账号的学生账号列表（学生姓名——仅供家长选择孩子；我们不保存）。
• **我们保存的内容：**课程表条目（科目、星期、节次、铃声时间、教室、教师）——与你手动输入相同，并标记为来自 Librus。我们会先显示变化列表；你确认后，从今天起课程表与 Librus 一致，Librus 中没有的条目会从每周课程表中移除。日历中之前的日子以及有录音、笔记和资料的课保持不变。在你确认之前（最多约 10 分钟），我们在服务器上保存下载的课程表——不含登录名、密码和学生姓名。
• **法律依据：**应你的请求履行合同（GDPR 第 6 条第 1 款 b 项）。课程表中的教师姓名基于我们的合法利益（GDPR 第 6 条第 1 款 f 项）处理——作为你课程表的一部分，与手动输入相同。
• **儿童数据：**如果你用家长账号登录，你导入的是孩子的课程表。请仅以其父母或监护人的身份进行。未成年人账号适用“儿童和青少年”一节的规则。
• Librus 是独立的服务提供方，按其自身规则处理你的登录。ClassFlowy 与 Librus 无关联；我们使用与 Librus 移动应用相同的登录方式。

VULCAN（eduVULCAN）。 与电子成绩册 VULCAN（UONET+ / eduVULCAN，由波兰 VULCAN sp. z o.o. 运营）同步的方式相同——在此选项开启时，点击“与 VULCAN 同步”按钮。不同之处：

• 我们发送给 VULCAN 的内容： eduVULCAN 账户的邮箱和密码——仅用于一次请求，不保存（同上）。为了下载课程表，服务器会为这一次导入生成一个一次性的加密密钥，并像成绩册的移动应用那样在 VULCAN 中注册它；因此 eduVULCAN 的设备列表中可能会出现一个新设备。我们不保存该密钥——导入结束后它即不复存在。
• 我们下载和保存的内容、法律依据、儿童数据： 与上文的 Librus 相同——接下来几周的课程表（含代课和取消的课程）以及与账户关联的学生列表（姓名仅用于选择孩子，不保存）；课程表条目会标记为来自 VULCAN。
• VULCAN 是独立的服务商，按其自身规则处理你的登录。ClassFlowy 与 VULCAN 无关联；我们使用与 VULCAN 成绩册移动应用相同的登录方式。

与 Librus 的长期连接（Plus 及以上套餐）。 在“设置 → Librus”中可以长期连接你的账号，之后电子成绩册中的数据会在 ClassFlowy 中自动更新。由你自己开启，并可随时关闭。

• 我们长期保存的内容： Librus 的登录名和密码、登录会话（令牌）以及所连接账号的学生姓名。全部加密保存（AES-256，密钥保存在数据库之外）——数据库中只有密文。这些内容不会进入日志，也不会提供给 Librus 以外的任何人。
• 我们下载并保存的内容： 包含代课和取消课程的课程表、日程（考试、小测验、活动）、作业、成绩（含权重、类别、评语和教师）、考勤、消息（收到和发出的：主题、发件人、收件人、附件名称和正文——未读消息的正文只有在你打开时才获取）、学校公告和幸运号码。附件只在你要求时经由我们的服务器下载，不会保存。
• **课程表：**来自学籍簿。连接时，我们会显示你不在 Librus 中的课：你勾选“保留”的课会一直保留（之后添加的课也一样），其余的从今天起从课程表中删除。日历中之前的日子不会改变。
• 同步频率： 上课时间内（按你的课程表，从第一节课前半小时到最后一节课后半小时）消息、成绩、代课和公告每 15 分钟同步一次，课程表、考勤、日程和作业每小时一次；其他时间全部每 3 小时一次；另外还有“立即同步”。每种数据都可以单独关闭。
• 我们在 Librus 中代你做的事： 只做你要求的事——发送消息、回复、将消息标记为已读（打开消息）。不会自动发送任何内容。
• 谁能看到： 只有你。成绩、消息、考勤、公告和作业绝不会进入班级、共享或链接。班级成员（以及与你共享科目的人）只能看到你与他们共享的科目中来自电子成绩册的课程表和考试——与你课程表中的其他条目相同。
• 断开连接： 登录名、密码、会话和学生姓名会被立即删除。已下载的数据会保留在你的账号中，但不再更新——你可以在断开连接时一并删除，或通过删除账号删除。连接另一名学生的账号会删除上一名学生的数据。如果 Librus 拒绝已保存的密码，同步会停止，我们会删除登录名和密码。
• 儿童数据： 连接孩子的账号，即表示你将其成绩、考勤和消息托付给我们——请仅以其父母或监护人的身份这样做。我们处理这些数据仅为向你展示。
• 法律依据与保存期限： 履行合同——由你自己开启的服务（GDPR 第 6 条第 1 款 (b) 项）；教师和消息发件人的姓名——作为你电子成绩册数据的一部分，基于我们的正当利益（GDPR 第 6 条第 1 款 (f) 项）。数据在你的账号存在期间或你删除之前保存；变更（用于通知）和已发送消息（不含正文）的简短记录保存 30 天。

与 VULCAN 的长期连接（Plus 及以上套餐）。 启用此选项后，你可以在“设置 → 学籍簿”中以同样方式长期连接你的 eduVULCAN 账号。目前我们只读取数据——不会在 VULCAN 中更改或发送任何内容。与 Librus 的不同之处：

• 我们长期保存的内容： eduVULCAN 账号的邮箱和密码、连接时在 VULCAN 注册的“设备”的加密密钥（私钥和证书）、成绩册服务器的地址和学生的标识（学校、学生、学期），以及学生的姓名。全部如上加密（AES-256，数据库中只有密文），绝不会进入日志。
• 只有一台设备： 密钥只在连接时注册一次（此时 eduVULCAN 的设备列表中会出现一台新设备），之后每次同步都使用它——无需用密码登录。只有当 VULCAN 不再接受该密钥时，我们才会使用密码：届时重新注册一次新密钥；如果仍然失败，同步会停止，我们会删除邮箱、密码和密钥。
• 我们下载的内容： 含代课和取消课程的课程表、考试和小测验、作业、成绩（含权重、类别、评语和教师，也包括预估成绩和最终成绩）、考勤和幸运号码——不包括消息和公告。同步频率、谁能看到、儿童数据、法律依据和保存期限——与上文 Librus 相同。
• 断开连接： 邮箱、密码、密钥和学生姓名会立即删除；已下载的数据会保留（你可以在断开连接时一并删除）。我们不知道如何在 VULCAN 端注销该设备——你可以在 eduvulcan.pl 的设备列表中将其删除。
• VULCAN 是独立的服务商（同上）。一个 ClassFlowy 账号同一时间只能与一个成绩册长期连接——Librus 或 VULCAN。

10. 我们保留数据多长时间（保留）

基本原则很简单：我们保留账户、材料、摘要和与助手的对话，只要你的账户存在。我们不会自行删除它们 – 既不是因为时间流逝，也不是因为不活动。它们仅在你请求时消失（删除单个材料或摘要）或当你删除整个账户时。这个原则的例外仅是法律要求的、服务本身的安全或处理举报所需的 – 列出如下：

• 未点击其链接的注册 – 48 小时。之后我们删除它，账户从不创建（这是创建账户前的数据，而不是账户数据）。
• 电子邮件中的令牌（确认、密码重置、账户删除、释放空间）在 48 小时后或 1 小时后过期，并且仅工作一次 – 这些是保护你会话的短期技术数据，不是「材料、摘要或对话」。
• 与帮助者（帮助聊天）的对话和举报是与支持的通信，而不是你的材料：我们保留它们从最后一条消息后的 12 个月（举报 – 从最后更改），然后自动删除。删除账户立即删除它们。每日消息限制计数器（不含 IP 地址）– 几天。
• 与 AI 助手的连接：访问令牌在 1 小时后过期，刷新令牌在最后续期后的 30 天过期；我们在 1 小时内删除过期的。断开应用程序立即使其无效。
• 服务器通知的设备令牌当你禁用这两种通知时我们删除，你在电话上登出或 60 天内不打开应用程序，以及立即 – 当 Firebase 报告令牌无效时。已发送信号的日记（不含内容，仅用于限制）– 2 天。
• 在标准计划上，原始音频/视频文件在处理后立即删除（分配为 0.3 GB）；在 Plus 计划上，文件保留为压缩形式（录音为音频、电影为 720p、照片和文档为较轻版本）– 在压缩中没有删除任何东西而不留下较小版本。这是关于源文件本身的决定，在上传时冻结 – 不影响转录、课程摘要或描述。你也可以随时自己有意识地释放文件后的空间（设置 → 文件）– 这始终是你的决定，永远不是我们自动的。
• 删除账户后，我们删除你的材料和摘要。你所属班级的共享摘要被重新计算，没有你的贡献。你直接分享给某人的课程或通过链接分享保留在那里作为他自己的摘要 – 这已是他的副本，独立于你的账户。
• 付款记录（什么、何时和多少）也在账户删除后保留 – 在 ClassFlowy 界面中已无关联 – 税收和会计法律要求的时间长度（通常从纳税年度结束起几年）。这是唯一由法律强制的例外，而不是我们的决定。活跃订阅在账户删除时取消。
• 使用启动促销的人的电子邮件哈希（不含地址本身，见上面的「启动促销」部分）– 从使用促销起 24 个月，即使在账户删除后，以使促销每人一次。
• 合作伙伴链接：你的账户到链接的分配 – 当账户存在时；结算记录 – 与付款记录一样长，在账户删除后不再与之关联。work-polecenie Cookie 保留 30 天，work-wizyta 标记 – 400 天。
• 与 Librus 的长期连接：登录名、密码和会话——保存到断开连接为止（或直到 Librus 拒绝密码）；从电子成绩册下载的数据——在账号存在期间或你删除之前；变更（用于通知）和已发送消息（不含正文）的记录——30 天（见上文关于 Librus 的部分）。
• 与 VULCAN 的长期连接：邮箱、密码和设备密钥——保存到断开连接为止（或直到 VULCAN 拒绝该密钥且注册新密钥失败）；从成绩册下载的数据——账号存在期间或直到你删除；变更记录（用于通知）——30 天（见上文 VULCAN 部分）。

11. 你的权利

你有权访问你的数据、更正（纠正）、删除、限制处理、可携带性和反对基于我们合法利益的处理（例如防机器人）。写信至 support@biskupski.site – 我们尽快回复。你可以通过帮助者或发送电子邮件至此地址免费订购数据副本。你会收到一个一次性链接，有效期 7 天，只有登录后才能使用；ZIP 包包含 JSON 格式的账户数据和原始文件，但不包含原始转录文本和读取结果。副本在队列中准备：不会无故拖延，免费计划最迟 20 天内，付费计划最迟 7 天内；每 30 天只能订购一次。如何删除账户以及数据会发生什么，我们在 删除账户和数据 页面中描述（简而言之：「在设置中开始删除账户」或电子邮件给我们）。如果你认为我们处理你的数据不符合法律，你也有权向波兰数据保护主席（Prezes Urzędu Ochrony Danych Osobowych，PUODO）提出投诉，地址：ul. Stawki 2, 00-193 Warszawa。

12. 儿童和青少年

对你的数据处理的基础是执行服务使用协议（《通用数据保护条例》第 6 条第 1 款第 (b) 项），而不是你的同意 – 因此《通用数据保护条例》第 8 条，对信息社会服务的同意设立了 16 岁的阈值（波兰没有将其降至 13 岁），在这里不直接适用。然而，因为与未成年人的合同订立受《民法典》约束，我们采用了我们自己的、更谨慎的规则。

该服务由学生使用，但 不适合 13 岁以下儿童 – 创建账户时你必须勾选一个声明（复选框），说明你至少 13 岁。这是一个独立的声明 – 我们不收集出生日期或任何允许我们验证它的东西。如果我们发现账户由更年轻的人创建，我们会删除它及其数据。

如果你年龄在 13 至 17 岁之间，你的行为能力受限（《民法典》第 10–22 条）– 为了与我们订立有效的合同（包括购买计划或套餐），需要父母或监护人的同意或随后的确认，除了生活的日常琐碎事务。我们在注册或购买时不验证这一点 – 这是你和你的父母/监护人应尽的义务，而不是我们技术检查的机制。父母可以随时要求查看孩子的数据、删除数据或撤回未确认的合同，写信至 support@biskupski.site。

13. 安全

连接是加密的（HTTPS），密码仅作为加密哈希保存，电子邮件中的令牌是一次性的并保存为哈希。材料（文件）仅由你的账户看到 – 你仅与他人共享课程摘要，永远不是文件。然而，我们不承诺绝对的安全 – 这是一个工作时间后在一台服务器上运行的服务。