隐私政策
本政策说明 still.fail 托管服务会收集哪些个人信息、怎么用、交给谁、存多久，以及你有哪些权利。请仔细阅读，特别是加粗的部分。
1. 谁在处理你的信息
still.fail 由一位位于中国大陆的个人开发者运营（下称“我们”）。关于个人信息的任何问题和请求，请发邮件到 hi@still.fail。
2. 本政策适用于哪些服务
本政策适用于我们运营的 still.fail 托管服务，包括 still.fail 官网、网页版（app.still.fail）、公开分享页（share.still.fail）、预览页（preview.still.fail），以及连接这些服务时的桌面应用和 Android 应用（合称“本服务”）。测试渠道 youdid.wtf 也适用本政策。
以下情况不适用本政策：
- 你自己机器上的 station：station 运行在你自己（或你所在 workspace 成员）的电脑或服务器上，聊天记录、文件和 agent 的工作都保存在那里，由你和你的 workspace 控制，我们无法访问；
- 别人用 still.fail 开源代码自己部署的服务；
- 你在 station 上使用的第三方服务，例如 Claude、ChatGPT/Codex、Slack、GitHub。它们适用各自的隐私政策。
3. 先说最重要的：聊天内容不存放在我们这里
still.fail 的 agent 运行在你自己的 station 上。你的设备和 station 之间是端到端加密的直接连接；直连不通时，会经过中继服务器转发，中继只转发加密数据，看不到内容。我们的服务器不保存你的聊天内容、附件和文件。
有两个例外，内容会经过或保存在我们这里：
- 推送通知：为了在你的设备上弹出通知，station 会把聊天标题、发言人名字和消息的前 140 个字经我们的服务器转发给 Google 的 Firebase 云消息（Android）或你浏览器的推送服务（网页）。我们只转发，不保存这些文字；
- 问题反馈：你或你的 station 上的 agent 主动提交的问题反馈（标题、描述、上下文和日志）会保存在我们的服务器上，用于排查问题。
公开分享的聊天也保存在发布者的 station 上，访问者的浏览器通过加密连接直接从 station 读取。分享链接中 # 后面的密钥不会发送到我们的服务器。
4. 我们收集哪些信息
- 账号信息：用 Google 登录时，你的 Google 账号标识、邮箱、名字和头像链接；用邮箱验证码登录时，你的邮箱。另有账号的创建时间、最近活跃时间，以及套餐、资格和封禁状态；
- 登录会话和设备：设备或客户端的名称、会话的创建和到期时间、设备首次和最近在线的时间；
- workspace 信息：workspace 名称、成员和角色、邀请（包括被邀请人的邮箱）、邀请码，以及加入的 station 的名称、图标、版本和在线时间；
- 推送令牌：你的设备或浏览器为接收通知而登记的令牌或推送地址；
- 问题反馈：见第 3 节；
- 网络和日志信息：访问本服务时的 IP 地址、请求路径、时间和浏览器信息（User-Agent），记在 Cloudflare 的请求日志中；中继服务器能看到连接的 IP 地址、节点公钥和流量大小。为防止滥用，我们用加盐哈希后的 IP 地址和邮箱来限制登录频率；
- 使用统计和错误信息：网页版和 Android 应用会向 PostHog 发送操作事件、次数、耗时、程序错误和调用栈，网页版还会录制会话回放（页面上所有文字、输入内容和图片在录制时就被遮盖）。这些数据只以你的账号 ID 标识，不附带邮箱和名字。你可以在应用的设置中关闭“发送使用统计和错误报告”，关闭后这台设备不再向 PostHog 发送任何数据。客户端、station 和服务器还会向 Axiom 发送请求链路追踪，包括账号 ID、会话 ID、请求路径和耗时。这些统计和追踪不包含聊天文字、文件名、提示词、agent 输出和对话标题。链路追踪用于排查故障和性能问题，不受这个开关影响。station 的错误日志只有在 station 的使用者开启后才会发送，默认关闭。
still.fail 官网（still.fail）本身不使用统计工具。
5. 我们怎么使用这些信息
- 让你登录，识别你的账号、设备和 workspace，让你的设备找到并连上你的 station；
- 发送登录验证码和通知；
- 执行套餐额度，防止滥用和攻击，保障账号安全；
- 排查故障，了解功能的使用情况，改进本服务；
- 回复你的问题和请求，履行法律义务。
我们不出售你的个人信息，不用它投放广告，也不用你的数据训练 AI 模型。
6. Cookie 和本地存储
- 登录过程中使用一个 10 分钟有效的 Cookie，用于安全地完成登录；
- 网页版把登录凭据和应用数据存在浏览器的 IndexedDB 中，把界面偏好（主题、侧栏宽度等）存在 localStorage 中；
- 网页版的 PostHog 统计会在浏览器中保存自己的标识，以及你是否关闭了统计。
我们不使用第三方广告 Cookie。
7. 我们把信息交给谁
为提供本服务，我们委托以下服务商处理部分个人信息。它们只按我们的要求处理，用于下表所列的目的：
| 服务商 | 所在地 | 用途 | 涉及的信息 |
|---|---|---|---|
| Cloudflare, Inc. | 美国，全球网络 | 托管网站、服务器和数据存储，请求日志，发送验证码邮件，中继服务器 | 第 4 节中服务器保存的全部信息、请求日志、连接元数据 |
| Google LLC | 美国 | Google 登录；Android 推送（Firebase 云消息） | Google 账号信息、推送令牌和通知文字 |
| 你的浏览器的推送服务（如 Google、Mozilla、Apple） | 因浏览器而异 | 网页推送通知 | 推送地址和加密后的通知内容 |
| PostHog, Inc. | 美国 | 使用统计、错误追踪、会话回放 | 账号 ID、使用事件、错误信息、遮盖后的会话回放 |
| Axiom, Inc. | 美国 | 请求链路追踪 | 账号 ID、会话 ID、请求路径和耗时 |
| 阿里云 | 中国北京、中国香港 | 中继服务器，改善中国大陆的连接 | 连接元数据（IP 地址、节点公钥、流量大小），不含内容 |
除此之外，只有在法律法规要求、执法或司法机关依法要求，或为保护你、其他用户或公众的生命财产安全确有必要时，我们才会披露你的信息。workspace 的其他成员能看到你的名字、邮箱和头像。
8. 个人信息出境
由于上表中的 Cloudflare、Google、PostHog、Axiom 位于中国大陆以外，你的账号信息、设备和 workspace 信息、推送通知文字、使用统计、错误信息和日志会传输到中国大陆以外（主要是美国）存储和处理，用于第 5 节所列的目的。你可以按第 10 节的方式，向我们或这些接收方行使你的权利。境外接收方的联系方式见各自的官网。你登录并使用本服务，即表示你同意上述出境传输；如不同意，请不要使用本服务。
9. 我们保存多久
- 登录验证码：10 分钟，用完即删；
- 登录会话：最长 30 天，连续 7 天不用即失效；
- 邀请：7 天；
- 推送令牌：退出登录或设备不再接收时删除；
- 账号、workspace 和 station 信息：在你使用本服务期间保存，注销账号或删除 workspace 时立即删除；
- 问题反馈：问题处理完后视需要保存，注销账号时一并删除，你也可以随时要求删除；
- 请求日志、使用统计和链路追踪：分别按 Cloudflare、PostHog、Axiom 的保留期限保存，到期自动删除。
法律法规要求更长保存期限的，从其规定。
10. 你的权利
你有权查阅、复制、更正、补充、删除你的个人信息，有权要求我们解释说明个人信息处理规则，有权撤回同意和注销账号。
- workspace 的所有者可以在应用中删除 workspace；
- 注销账号：在应用的账号设置中选择“注销账号”。注销后，你的账号信息、登录会话、推送令牌和问题反馈立即删除；只有你一个人的 workspace 一并删除；你所在的其他 workspace 会把你移除。如果你是某个还有其他成员的 workspace 的唯一 owner，需要先把 owner 转给别人或删除这个 workspace。注销无法恢复；
- 关闭使用统计：在应用的设置中关闭“发送使用统计和错误报告”；
- 其他请求也请发邮件到 hi@still.fail。我们会在 15 个工作日内答复。
你的聊天记录和文件在你的 station 上，可以直接在那里查看、导出和删除。
11. 安全
设备和 station 之间的通信是端到端加密的，网站全程使用 HTTPS，登录凭据只保存哈希，服务器访问受到严格限制。但没有绝对安全的系统；如果发生个人信息安全事件，我们会按法律要求通知你并采取补救措施。发现安全漏洞，请按 SECURITY.md 私下报告。
station 上运行的 agent 拥有该机器上对应系统账号的权限。请在你信任的机器和账号上运行 station。
12. 未成年人
本服务面向 16 周岁以上的用户。如果你未满 16 周岁，请不要使用本服务。如果我们发现在未取得监护人同意的情况下收集了不满 14 周岁儿童的个人信息，会尽快删除。
13. 本政策的变更
我们可能会更新本政策，更新后发布在本页并修改生效日期。重大变更（例如新增第三方服务商或改变使用目的）会在应用中或通过邮件提前告知你。