本《隐私政策》说明 ShelfPic（"我们"或"我方"）在您访问 shelfpic.com（"本网站"）或使用我们的 AI 电商视觉内容平台及相关服务（"本服务"）时如何收集、使用、共享、保留与保护您的个人信息。
ShelfPic 是一家在美利坚合众国特拉华州注册的公司。就欧盟/英国《通用数据保护条例》（"GDPR"）、加州《消费者隐私法》（"CCPA"，经《加州隐私权法》"CPRA"修订）以及其他司法管辖区的对等法规而言，ShelfPic 在与本服务有关的个人信息处理中担任数据控制方，但对您上传的内容除外（在此情形下我们担任数据处理方，您为控制方）。
本隐私政策通过援引方式并入服务条款。本文中使用的首字母大写术语，未另行定义的，具有服务条款中赋予的含义。
本隐私政策适用于：
本隐私政策不适用于：
您可就任何与隐私相关的咨询，包括第 10 条所述权利的行使，通过 [email protected] 联系我们的数据保护官。
我们以三种方式收集个人信息：
(a) 账户信息。 当您注册账户时，我们收集：
(b) 订阅与计费信息。 当您订阅或购买加购包时，我们的支付处理方（当前配置支持 Creem、Stripe 与 PayPal，具体取决于结账可用性）直接收集支付信息。我们不在服务器上存储完整卡号、有效期或 CVV/CVC 码。 我们可能从支付处理方接收并存储：
(c) 用户上传内容。 当您向本服务上传图像、视频、音频、提示词文本、品牌资产、参考媒体或其他材料时，我们按第 2.4 条所述接收并存储该内容。
(d) 通信。 当您通过支持、销售或反馈渠道联系我们时，我们接收：
(e) 促销与调研回复。 当您回应调研、参与 Beta 项目或与促销功能交互时，我们收集您选择提供的信息。
当您与本服务交互时，我们的系统自动收集某些技术与使用信息。
(a) 网络标识符。
user 表（最近已知 IP）与 session 表（每会话 IP）。IP 地址用于安全（欺诈检测、账户滥用检测、地域合规）、法律合规与汇总分析。session 表中。(b) 设备与浏览器信息。
(c) 使用数据。
(d) Cookies 与类似技术。 完整 Cookie 列表与我们使用的类别详见第 7 条与我们的 Cookie 政策。
(e) 诊断与错误报告。 当本服务遇到错误时，我们可能收集堆栈跟踪、错误代码与最少必要的上下文以诊断与解决问题。我们将尽合理努力在存储前从诊断中清除个人信息。
(a) OAuth 提供商。 当您选择通过 Google、GitHub 或我们提供的其他 OAuth 提供商登录时，该提供商与我们共享您授权的数据范围，通常包括：电子邮件、姓名、头像 URL 和稳定的用户标识符。我们不接收您的提供商密码。
(b) 支付处理方。 我们从 Creem、Stripe、PayPal 等支付处理方接收关于结账状态、订阅状态、续订结果、退款、退单与支付失败的交易记录、客户引用、元数据与 webhook 事件。
(c) AI 提供商。 当 AI 提供商完成您的生成请求时，我们接收生成的输出与结算积分所需的任何诊断元数据。我们不从 AI 提供商接收关于其他用户的个人信息。
(d) 分析、广告、联盟与客户支持提供商。 如您已同意非必要 Cookie 或类似技术，我们可能从网站配置的提供商接收分析、广告转化、联盟归因与支持聊天信号，例如 Vercel Analytics、Google Analytics、Microsoft Clarity、Plausible、OpenPanel、Google AdSense、Affonso、PromoteKit、Crisp 与 Tawk。
(e) 反欺诈与安全提供商。 我们可能从 Cloudflare（机器人管理、DDoS 防护）接收关于尝试访问本服务的 IP 地址或会话的风险信号。
我们将以下内容存储在 Cloudflare R2 或其他已配置的 S3 兼容对象存储中：
我们将相关元数据存储在 PostgreSQL 数据库（Supabase）中，包括：
用户上传内容与 AI 生成内容在本服务界面中按账户范围隔离，除通过明示共享功能（如可用）外，不会有意向其他用户列示。某些媒体可能通过带有不可猜测路径的公开 URL 或提供商托管 URL 交付，以便 AI 提供商、浏览器与下载工具读取。您应将这些 URL 视为敏感信息，除非您希望接收者访问该媒体，否则请勿共享。
对于位于欧洲经济区、英国或瑞士的用户，我们根据 GDPR 第 6(1) 条下的一项或多项法律依据处理您的个人信息：
当履行您通过接受服务条款签订的合同所必需时，我们处理您的数据，包括：
我们在合法利益不被您的基本权利所凌驾时依此依据处理，包括：
您可依据第 10 条对合法利益处理提出异议。
我们在以下情况下依赖同意：
您可随时撤回同意，不影响在撤回前进行的处理的合法性。
我们处理您的数据以遵守法律义务，包括：
在罕见情况下，我们可能为保护重大利益而处理个人数据，例如向当局报告对生命或安全的紧迫威胁。
我们将收集的个人信息用于以下目的：
我们不根据 GDPR 第 22 条意义内的仅自动化处理对您作出产生法律或类似重大效果的决定。决定是否允许某次生成的 AI 内容审核是一项安全控制，而非产生该等效果的决定。如未来我们引入任何此类自动化决策，我们将依据第 13 条提供额外的透明度、保障与质疑该决定的权利。
我们仅与下列各方就所述目的共享您的个人信息。我们不以金钱对价出售您的个人信息。如果已启用的广告、分析或联盟技术可能被 CCPA/CPRA 视为用于跨情境行为广告的“共享”，我们将其视为非必要技术，并且仅在您接受非必要 Cookie 后加载。我们也按第 16 条所述尊重 Global Privacy Control。
下列次级处理方会根据您的账户功能或网站配置代表我们处理您的个人信息。在适用情况下，我们会寻求签订数据处理条款，包括用于国际转移的标准合同条款（SCC）。
| 次级处理方 | 用途 | 数据类别 | 地点 |
|---|---|---|---|
| Supabase / PostgreSQL | 主数据库与应用记录 | 账户、会话、计费元数据、生成、聊天、积分记录 | 美国 |
| Cloudflare R2 / S3 兼容存储 | 对象存储与媒体交付 | 上传文件、生成输出、缩略图、提供商输出副本 | 全球边缘 |
| Vercel | 应用托管与边缘网络 | 请求元数据与所有在途数据 | 全球边缘 |
| Cloudflare | 机器人管理、DDoS 防护、CDN | IP 地址、User-Agent、请求元数据 | 全球边缘 |
| Creem、Stripe、PayPal | 结账、支付处理、订阅计费 | 邮箱、姓名、处理方侧支付详情、订单元数据 | 美国/全球 |
| KIE、Replicate、Fal | AI 图像、视频、音频与创意生成 | 提示词文本、上传内容 URL、参考媒体、参数 | 美国/全球 |
| OpenAI / OpenRouter | 提示词增强、聊天、模型路由 | 提示词文本、聊天消息、设置、推理/搜索选项 | 美国/全球 |
| Google（Gemini） | 多模态模型访问 | 提示词文本、用户上传内容、参考媒体、参数 | 美国/全球 |
| Google OAuth / GitHub OAuth | 联合身份认证 | 邮箱、姓名、个人资料 URL、OAuth 标识符 | 美国/全球 |
| Resend | 交易性与生命周期电子邮件 | 邮箱地址、邮件内容、投递元数据 | 美国/全球 |
| Vercel Analytics、Google Analytics、Microsoft Clarity、Plausible、OpenPanel | 分析与产品性能 | Cookie ID、路由使用、设备/浏览器元数据、交互遥测 | 美国/全球 |
| Google AdSense | 广告与转化衡量（如启用） | Cookie ID、广告交互与转化元数据 | 美国/全球 |
| Affonso / PromoteKit | 联盟归因与推荐追踪 | 推荐 ID、邮箱或账户归因元数据、转化事件 | 美国/全球 |
| Crisp / Tawk | 客户支持聊天（如启用） | 聊天消息、邮箱或联系方式、设备/请求元数据 | 美国/全球 |
我们将在新增或变更次级处理方时更新本表。重大变更通过本隐私政策至少提前三十（30）天公布，并在合理情况下通过应用内通知。
除非我们另行提供单独、明确的选择加入，否则我们不会有意使用您的用户上传内容或 AI 生成内容训练 ShelfPic 自有基础模型。AI 提供商会依据其自身条款和我们适用的商业安排处理您的提示词、媒体 URL、设置与输出。若某一提供商提供不训练、减少保留或企业隐私控制，我们会尽商业上合理努力为生产流量启用。我们不声明每个第三方提供商都提供完全相同的控制。
如提供商立场或我们的配置以实质影响用户数据的方式变更，我们将更新本隐私政策并依据第 14 条通知您。
如我们参与合并、收购、融资、重组、破产或全部或部分资产出售，您的个人信息可能作为交易的一部分被转让。我们将要求任何继承方遵守本隐私政策的承诺，并将数据控制的任何重大变化通知您。
在我们善意认为披露必要时，我们可能在未经您同意的情况下披露您的个人信息：
经您事先同意，我们可能为任何其他目的共享您的个人信息。
我们可能与任何人为任何目的共享汇总的、去身份化信息（无法合理重新识别的数据），包括基准测试、研究、营销或行业报告。
ShelfPic 总部位于美国，我们的主要次级处理方将数据存储于美国或运营全球边缘网络。如您位于美国境外，您的个人信息将被转移至美国及其他我们次级处理方运营所在的国家处理。
对于从欧洲经济区、英国或瑞士向美国或其他第三国转移，我们依赖：
我们持续关注跨大西洋数据转移的演变性指引（如《欧盟-美国数据隐私框架》），并将相应更新我们的转移机制。
在 GDPR 与监管机关指引要求时，我们进行转移影响评估，以评估目的地国家的法律与政府访问的实际风险。我们的当前评估是，合同保障、加密与每请求有限数据暴露的组合提供了充分的保护水平。
我们目前不在我方次级处理方运营所在区域以外提供数据驻留。如您所在司法管辖区要求您拟上传的数据类别本地驻留，您应在订阅前评估本服务是否符合您的义务。
我们按 Cookie 政策所述使用 Cookie、Web 存储与类似技术。类别包括：
详情与 Cookie 偏好管理说明详见 Cookie 政策。
我们仅在本隐私政策所述目的所必需的期限内保留个人信息，受下列具体保留规则约束。如多条规则适用，我们保留至最长适用期限。
如我们收到法律保全令或预期诉讼，我们可能依法将保留延长至上述期限之外。
我们认真对待您个人信息的安全，并采用业界标准的技术与组织措施。
即使有强有力的技术与组织措施，没有系统是不可攻破的。您在安全方面扮演关键角色：
根据您的司法管辖区，您对个人信息享有特定权利。我们在全球范围内尊重已被认可的数据主体权利，在法律未严格要求的范围内尽合理努力履行。
依据 GDPR 第 13-22 条，您享有下列权利：
依据 CCPA 与 CPRA，您享有下列权利：
如您所在司法管辖区的法律提供类似权利（例如加拿大 PIPEDA、巴西 LGPD、南非 POPIA、新加坡 PDPA、澳大利亚《隐私法》、中国 PIPL、阿联酋《个人数据保护法》），我们在法律要求的范围内尊重该等权利，并在不严格要求的范围内尽最佳努力对等履行。
如需行使上述任何权利：
您可授权代理代表您提交请求。我们要求：
我们可能拒绝无法提供该等授权的代理提交的请求。
我们对标准权利请求的履行不收费。对于明显无依据或过度（特别是反复）的请求，我们可能依 GDPR 第 12(5) 条与对等规定收取合理费用或拒绝处理。
本服务不面向 13 岁以下儿童（或您司法管辖区适用的更高最低年龄，例如某些欧盟成员国为 16 岁）。我们不会在知情情况下收集 13 岁以下儿童的个人信息。
如您是父母或法定监护人，且您认为 13 岁以下儿童向我们提供了个人信息，请通过 [email protected] 联系我们，我们将采取措施从系统中删除该信息。
我们遵守美国《儿童在线隐私保护法》（"COPPA"）。如我们获知未经可验证的父母同意从美国 13 岁以下儿童处收集了个人信息，我们将及时删除该信息。
账户注册包括您年满 18 周岁的声明，与服务条款一致。我们不提供单独的儿童账户流程。
我们已实施事件响应计划，以检测、控制、调查与修复涉及个人信息的安全事件。
发生可能对自然人的权利与自由构成风险的个人数据泄露时，我们将依 GDPR 第 33 条，在获知泄露后72 小时内通知主管监管机关。如无法在 72 小时内通知，我们将记录延迟原因。
如泄露可能对您的权利与自由构成高风险，我们将依 GDPR 第 34 条毫不延迟地通知您。通知将通过您账户预留的邮箱发送。
在美国与其他司法管辖区，我们将依适用泄露通知法律（如美国州级法律、适用情况下 FTC 健康泄露通知规则）提供通知。
依法律要求与已知范围，泄露通知将包括：
我们对所有个人数据泄露（包括无需机关或个人通知的）维护内部记录，以证明合规并改进事件响应。
如第 4.7 条所述，我们不对您进行基于仅自动化处理且产生法律或类似重大效果的决定。
我们结合应用检查、AI 提供商安全系统、滥用信号与人工复核，帮助执行我们的可接受使用政策。并非每次上传都会在存储前被预先扫描，提供商侧安全系统也可能在产生输出前阻止或拒绝某次生成。阳性触发可能阻止特定生成，但本身不会终止您的账户。对于反复或严重违规，在可行情况下会先复核再采取账户层面行动（参见服务条款第 11 条与可接受使用政策中的执行流程）。
我们使用自动化信号（IP 信誉、多账户启发式、支付卡速率）标记可疑欺诈。导致账户暂停或终止的确认判定由人工审核，并受您申诉权约束（邮箱 [email protected]）。
我们不使用个人信息设置个性化价格。所有用户对其货币与司法管辖区看到相同的公布套餐价格。
您有权获得人工介入、表达观点并质疑自动化决定（在其产生法律或类似重大效果时）。请联系 [email protected]。
我们可能不时更新本隐私政策。当前版本反映在本页面顶部的 effective_date 与 version 字段中。
对实质影响下列事项的变更：
我们将通过电子邮件向您的注册地址、显著的应用内横幅或两者结合，至少提前三十（30）天通知。
修订后的条款生效日后您继续使用本服务，即构成对修订后隐私政策的确认。如您不同意修订后的政策，您必须停止使用本服务，并可依服务条款第 11 条取消订阅。
非实质性变更（格式、澄清、错别字更正、不改变数据类别或目的的次级处理方列表更新）可于发布后立即生效，无需提前三十（30）天通知。version 字段会因任何变更递增。
对重大历史版本，我们应请求于 [email protected] 维护变更日志。
我们仅在以下情况下发送营销邮件（产品更新、功能公告、偶尔促销）：
每封营销邮件都包含退订链接。点击该链接将在十（10）个工作日内将您从营销列表中移除。您也可通过 [email protected] 来信申请移除。
退出营销不影响交易性邮件（收据、安全通知、支付失败、条款变更）；只要您维持活跃账户，您将继续收到这些邮件。
我们目前不发送营销短信或推送通知。如我们引入此类渠道，将单独获取同意。
除第 10.2 条所述权利外，依据 CCPA/CPRA 对加州居民作出以下披露。
| 类别 | 示例 | 已收集 |
|---|---|---|
| 标识符 | 姓名、邮箱、IP 地址、OAuth ID | 是 |
| 客户记录 | 计费地址、支付方式令牌 | 是 |
| 商业信息 | 交易历史、套餐历史 | 是 |
| 互联网或其他网络活动 | 已查看页面、点击数据、请求日志 | 是 |
| 地理位置数据 | 自 IP 推导的近似位置 | 是（仅粗粒度） |
| 感官数据 | 音/视频（用户上传） | 是（用户上传内容） |
| 专业/雇佣 | 未收集 | 否 |
| 教育 | 未收集 | 否 |
| 推断 | 套餐档位分类、产品分析细分 | 是 |
| 敏感个人信息（CPRA） | 登录凭证、精确位置、种族/族裔 | 有限。我们以哈希/令牌化形式存储认证凭证；如您选择在用户上传内容、提示词、聊天消息或支持请求中包含敏感信息，我们可能处理该等信息。我们不会有意收集精确 GPS 位置。 |
参见第 4 条。
参见第 5 条。
我们不以金钱对价出售个人信息。如果网站启用的广告、联盟或分析技术被视为 CCPA/CPRA 下为跨情境行为广告而“共享”，我们将其视为非必要技术，在法律要求时仅在 Cookie 同意后加载，并尊重 Global Privacy Control 等已认可的退出信号。
参见第 8 条。
加州民法典 § 1798.83（"阳光照射"）允许加州居民请求企业向第三方披露个人信息用于第三方直接营销目的的信息。未经您的同意，我们不向第三方披露个人信息用于其自身直接营销目的。
如有任何与隐私相关的问题、请求或投诉：
如果我们无法解决您的关切，您有权向您当地的数据保护监管机关投诉，尤其是在欧盟/英国/瑞士。
使用本服务即表示您确认您已阅读并理解本隐私政策。