隐私政策
English Summary for Reviewers:
DocuEarn is a Chrome extension and web dashboard for Chinese-language writers
publishing to WeChat Official Accounts. We collect only the minimum data
needed to operate the service (account email, license status, anonymous
usage counters). We do not sell user data and do not store the content of
articles users write. AI processing has two modes:
(a) Platform AI mode (default for Free / monthly users) —
article body is forwarded through our Cloudflare Workers to upstream LLM
providers (DeepSeek / OpenAI) but we do not store the body content;
only token counts, model name, and error codes are persisted for billing
and abuse detection. (b) BYOK mode (yearly-only) — the user's
article body is sent directly from the extension to their own configured
provider; we are not in the request path.
1. 我们是谁
DocuEarn（中文名"润笔"）是一款帮助中文创作者起草、改写并发布到微信公众号的 Chrome 扩展，配套有 docuearn.com 网站做账号管理与付费。 本政策说明我们收集了哪些数据、为什么收集、如何使用，以及你能如何控制。
2. 我们收集的数据
2.1 账号数据（仅在你注册时）
- 邮箱地址（用于登录、密码重置、订阅开通通知）。
- 密码哈希（PBKDF2-SHA256，从不存储明文）。
- 设备身份：客户端
crypto.randomUUID()一次性生成的随机 UUID，存在你浏览器chrome.storage.local里，登录时连同请求发到我们 worker。我们 不 抓取 user-agent / 屏幕分辨率 / 时区 / WebGL renderer 等可作为 cross-site fingerprinting 的信号。每条激活记录附带浏览器名+主版本号+OS 家族粗粒度提示（"Chrome 147 · macOS 10.15.7"），仅用于在 dashboard 让你识别"这是哪台机器"；该提示是从 worker 收到的请求 User-Agent header 推断后写入 D1，不存完整 UA 字符串。设备身份用途：① 多设备并发限制（Free 1 / Monthly 3 / Yearly 10）；② 设备列表 dashboard 显示。
2.2 使用数据（聚合 + 匿名）
- 调用次数 / token 计数（如「本月平台 AI 改写 12 次 · 234,567 token」），用于配额管理与计费。
- 调用流水 metadata（时间戳、模型名、上游服务商、token 数、状态码、错误码、调用耗时） —— 用于成本核算、错误率监控、滥用检测。不含任何 prompt / completion 文本、IP、user-agent。
- 错误日志（仅记录错误码与堆栈，不含用户输入文本）。
- 注册请求来源 IP（仅在 Cloudflare KV 内做 24 小时滑动窗口计数，用于防止单 IP 批量薅账号脚本；超过阈值自动暂停该 IP 24 小时再注册。计数器到期自动过期，不长期存储；KV 记录的是计数值不是 IP 本身的明文索引）。
2.3 我们 不 收集的数据
- 你写的文章正文 / 草稿 / 改写结果 —— 全部保存在你本机浏览器的 IndexedDB / localStorage。平台 AI 模式下文章正文经过我们的服务器临时转发，但我们不持久化（既不存数据库，也不写日志，也不用作模型训练）。
- 你的 OpenAI / Anthropic / DeepSeek / 其他 AI 服务的自定义 API key —— 只保存在本机扩展存储，从不上传。
- 你抓取的素材原文 —— 全部本机处理。
- 你的微信公众号账号密码 / cookies —— 复用浏览器原生登录态，从不读取或上传。
3. 数据如何处理
- AI 调用 · 平台 AI 模式（Free / 月费默认 / 年费可选）：
扩展端将文章正文 + 改写要求打包成 OpenAI-compatible chat completion 请求，发到我们的
Cloudflare Worker（
api.docuearn.com/api/llm/chat），Worker 校验你的 JWT、检查月度 token 配额与限流后，再转发到上游 LLM 服务商（当前为 DeepSeek、OpenAI；未来可能扩展）。 上游响应也由 Worker 透传回扩展。我们对正文的处理：仅在内存中转发不持久化； 落到 D1 数据库的只有 token 计数 + metadata（见 §2.2）。我们与上游服务商的合约： 禁止用我们转发的内容做模型训练（OpenAI Enterprise + DeepSeek 标准开发者条款都默认满足此约定）。 - AI 调用 · 自定义 API Key 模式（年费独享）： 扩展直接连到你绑定的 AI 服务商（OpenAI / Anthropic / DeepSeek / Kimi / 通义千问 / MiniMax / 智谱 GLM / 兼容 API）， 我们的服务器 完全不 在请求链路上，看不到任何 prompt 内容，也不计入平台用量统计。
- 素材抓取：由扩展在你浏览器里执行，请求来自你自己的 IP，使用你已有的登录态，我们的服务器只下发"该抓什么"的指令模板。
- 账号 / 付费 / 用量数据：存储在 Cloudflare D1（部署在新加坡边缘节点），仅用于身份验证、配额管理、成本核算。
llm_audit_log（AI 调用流水）保留 90 天后由定时任务自动清理。device_activations（已激活设备记录）按 last_seen_at 维护，超 90 天未活跃的行由 Cloudflare Worker scheduled cron 每小时自动删除（不做软删，物理 DELETE）。 - 支付数据：由第三方支付平台处理，我们仅接收支付平台的回调通知（支付状态、订单号、客户邮箱），不存储任何银行卡信息。
4. 数据共享
我们 不会 出售、出租、或与第三方共享你的个人数据。例外：
- 第三方支付平台 —— 仅在你开通 Pro 会员订阅时。
- 邮件服务（Resend）—— 仅在发送密码重置 / license 邮件 / 账户安全告警邮件时。安全告警邮件在系统检测到你账号触发防滥用阈值（token 用量异常 / 多设备并发突发 / 设备激活上限）时自动发送，每类型每日最多 1 封，邮件正文仅含「发生了什么」+「自助操作链接（修改密码 / 解绑设备）」，不含任何敏感凭据。
- 上游 LLM 服务商（仅平台 AI 模式触发）：你点 AI 改写时，文章正文经我们的 Worker 临时转发到 DeepSeek（China）/ OpenAI（US）等 LLM 服务商完成生成。我们与他们的合约：禁止把转发内容用于模型训练；不与其他客户共享你的数据；保留期限不超过其各自开发者条款规定。切到自定义 API Key 模式可彻底退出此链路（年费独享）。
- 法律强制要求（如法院传票），我们会在合规前提下尽量通知你。
5. 你的权利
- 查看：登录 控制台 即可查看账号与设备列表
- 导出：所有正文 / 模板都在你本机存储中，可在扩展设置 → 数据 中导出
- 删除：邮件 support@docuearn.com，我们会在 7 个工作日内删除你的账号与所有服务端数据
- 解绑设备：在控制台 → 我的设备 中可即时解绑
6. Cookies / 本地存储
docuearn.com 网站：仅使用一个 session cookie 维持登录态，不使用任何第三方追踪 / 广告 cookie。
扩展本地存储：使用浏览器的 chrome.storage.local 存放配置，不会跨站点共享，卸载即清除。
关于扩展权限：旧「AI 选题代笔」功能已下线，扩展不再声明
cookies 权限，也不会读取小红书 / X / Reddit / 知乎等第三方平台的 cookie。
7. 儿童
本服务面向 18 岁及以上的内容创作者，我们不刻意收集任何 13 岁以下用户的数据。
8. 政策变更
如有重大变更（如新增数据收集），我们会通过登录注册时填写的邮箱通知你；非重大变更只更新本页面上方的"最近更新"日期。
9. 联系
有任何隐私 / 数据相关问题，请邮件至 support@docuearn.com。我们承诺 3 个工作日内回复。