我们保存哪些数据
- 登录方式
- 你用来登录的 Google 或 GitHub 账号的编号、显示名和邮箱。我们拿不到你的密码。
- 对话
- 你对角色说的话（打字的，以及通话时语音识别出的文字）和角色的回复，你送她礼物后留在对话里的送礼记录，以及「她挂断了电话」这样的记录（送礼记录和这类记录都不会被提炼成记忆）。通话的录音不保存。
- 记忆
- 角色从对话中记下的关于你的事，所有角色共用，你可以在「管理记忆」页查看和删除。
- 制作人档案
- 你设置的称呼、性别、时区和生日（只有月和日）。
- 好感度
- 每位角色对你各有一份好感度，以及有没有在冷却、什么时候解除。你只看得到档位，看不到数值。它不能单独删除，删除记忆也不影响它；删除全部数据时一起删除。
- 礼物
- 你背包里的礼物、重置卡，还有抽奖次数。删除全部数据时一起删除。
- 自带密钥
- 如果你填了自己的 API key，它只保存在你的浏览器里，我们不保存；每次回合或通话时随请求发给服务器，只在处理期间留在内存里，不写入数据库、日志或备份。
- 登录状态和限额的计数
- 让你在各台设备上保持登录的状态，以及最近 24 小时内你发起回合和通话的次数（用于限额）。
- 运行记录
- 每个回合和每次通话是和哪位角色、什么时候、结果如何（成功、失败、被拒绝等）、通话的时长和结束原因（包括角色挂断），判断模型对每个回合的判断结果（这句话让角色开心、不舒服还是没有影响，有没有判为不该说的话或操纵，有没有因此进入冷却），以及其中用了哪些服务和模型、是否用了自带密钥、用量（例如 token 数）、有没有出错和花了多久。不含你说的话和角色的回复，不记密钥，也不记自带 LLM 的服务地址和模型名。满 90 天自动删除。
- 备份
- 以上数据每天加密备份一次，存放在部署者的私有云存储里，每份保留 30 天，用于服务器出故障时恢复。
这些数据会交给哪些第三方处理
- 语言模型服务
- 扮演角色、提炼记忆时，对话内容和相关记忆会发给语言模型服务：你填了自己的 LLM，就发给你选择的服务；没填，就发给部署者配置的服务。
- 判断模型
- 每个回合，你说的话连同最近几个回合的对话会发给部署者配置的判断模型（TypeSafe 的 Jev，经 OpenRouter 等转发；或 Cloudflare 的 Clef），用来判断要不要回忆剧情或查资料，以及这句话让角色对你的好感度怎样变化；通话中角色的回复也会一段段发过去，判断她的情绪。判断模型始终由部署者提供，填了自带密钥也不改变这一点。
- 语音服务
- 通话时，你的声音会发给部署者选择的语音识别服务（Soniox 或阿里云百炼）识别成文字，角色的回复会发给 Fish Audio 合成语音。阿里云百炼不会用你的声音训练模型，但会保存一段时间，存放在中国内地或新加坡，取决于部署者的账号。
- 向量化和重排服务
- 为了在对话中找到相关的剧情和记忆，你说的话和记忆会发给部署者选择的向量化服务（硅基流动或 Google Gemini）和重排服务（硅基流动）。
- 登录服务
- 登录时，Google 或 GitHub 会知道你登录了这个网站。
如果你填了自带密钥，对应的内容会发到你自己选择的服务商，由你和该服务商之间的约定管辖。
管理者能看到什么
- 能看到
- 你的登录方式（Google 或 GitHub、显示名和邮箱）、注册和最后活跃的时间、最近 24 小时到 30 天的回合和通话次数（包括被限额拒绝的）、你的用量里有多少用的是自带密钥、是否被封禁（以及封禁时管理者写的备注），以及有没有单独的限额。
- 看不到
- 你和角色的对话、角色记下的记忆、你的制作人档案，各位角色对你的好感度和冷却，以及你的礼物、重置卡和抽奖次数；好感度只能看到所有用户合起来的统计，管理者也不能调整某一位用户的好感度。
管理者是部署者指定的少数几位用户，在只有他们能进入的后台里管理这个网站。运行记录还会汇总成全站的统计，用来查看各项服务是否正常、有多少人在用、大约花了多少钱。
管理者可以封禁用户，或单独调整某位用户的限额；被封禁的用户不能再登录，进行中的通话会挂断，数据保持原样。
怎样删除你的全部数据
在设置页点「删除我的全部数据」，再确认一次，你的记忆、对话、制作人档案、登录方式、登录状态和限额的计数都会立刻从线上彻底删除（不是标记删除），所有设备都会退出登录；已经做好的备份里的副本，最多 30 天后随备份过期清除。这个浏览器里的自带密钥会在你登出或删除账号时一并清除，其他设备上的需要你在那几台设备上自己删除。之后再用同一个 Google 或 GitHub 身份登录，会是一位全新的用户。
你的运行记录不会随之删除，但不再关联到你，也无法再对应回你，满 90 天后照常删除；这样全站的统计数字不会因为有人离开而变化。管理者也可以应你的要求代你删除，效果完全一样。
被封禁的用户被删除后，我们会保留他用过的登录方式的编号经过加密哈希后的结果（不含名字和邮箱），用来阻止他用同一身份再次登录；这份名单不会过期。
已经发给第三方服务的内容，按各服务自己的政策保存和删除。