隐私说明

1. 当前版本处理哪些数据

当前版本没有云端账号、没有服务端对话数据库。你在网页里产生的数据，主要通过浏览器 localStorage 保存在本机：

本页面不使用 Cookie、广告 SDK 或第三方分析 SDK；只使用一个会话级 sessionStorage 键记录本次会话是否已看完开场。页面的静态资源由你打开它的服务器提供；如果你通过第三方静态托管访问，托管方可能按其自身政策记录 IP、时间等访问日志。

2. API Key 的边界（两把独立 Key）

Key 从 localStorage（勾选“记住 Key”）或 sessionStorage（未勾选）读取：硅基流动 Key 只放入发往 api.siliconflow.cn 的请求头，DeepSeek Key 只放入发往 api.deepseek.com 的请求头。两把 Key 不混用；未勾选时关闭标签页即清除。两把 Key 不混用、不互相发送。当前版本没有本网页自己的服务器来接收、转发、记录或保存 Key。

积分池与人工补充：积分池是所有房间共用的一份余额；房间侧栏只显示本房贡献，设置里显示逐笔来源。人工额外发现提交后会发送给硅基流动的审核模型一次（原文/原句/类别/说明），审核通过才写入本机账本并 +3；审核不通过或演示模式不发放。结果只保存在 metacog_state_v1，不上传到本网页自己的服务器。

• 保存后只显示掩码，不回显完整 Key；
• Key 不写入画像、对话、报告或任何导出文件；
• 不要使用公共 CORS 代理，也不要把 Key 放进 URL、截图或代码仓库；
• 建议使用专用测试 Key，并在硅基流动后台设置消费上限。

3. 第三方与数据共享

当你发起一次 AI 对话时，浏览器会把以下内容直接发送给硅基流动：

• 你的 API Key（用于鉴权）；
• 当前房间的系统提示词、画像摘要与最近的对话消息（不含 CoT 思考过程；超过约 12k token 估算时会在浏览器本地截断较早消息）。

当你使用「外部寻宝」提交审计时，粘贴的外部对话文本会额外发送给硅基流动一次，用于识别可定位的疑点；这段原文不会进入当前房间的 Agent A 上下文。

长文本质检 / STT：选择文件时，文件只在浏览器本地读取，不会上传；点「开始质检」后，文本会发送给硅基流动一次。返回的 Markdown 报告与结构化计数（字数、疑点数、核对数、参考解法次数）保存在 metacog_state_v1（最多 8 份），原文不写入本地存储；报告只在本机，可复制或下载。免费报告只给异常提示，不提供正确答案，也不判定讲者说错。点「兑换参考解法」时，会把报告中的疑点摘录与雷达提示（不重发长文原文）发送给硅基流动一次，用于生成实质修正；修正文本存本机，整份都无法给出确切出处时不扣分。若你填写「参考错误清单（Ground Truth）」，勘误表只用于本次扫描，不写入本地存储；扫描时与正文一起发送给 SiliconFlow 一次，报告只保存 GT 命中/漏抓计数，不保存勘误表原文。 若你配置了 DeepSeek Search Key，长文扫描前会在本地抽取最多 3 条候选句（数字/人物/术语）发给 api.deepseek.com/v1/tools/search，只取网页摘要作为外部核验；不发送长文全文、不发送 SiliconFlow Key。无 Key 或搜索失败则跳过。搜索摘要与引用可能进入报告并保存在本机。

语音转写（STT）：实时录音、拖拽音频或点击选择音频时，音频只在浏览器内存中暂存；点转写后通过 FormData 直接发送给硅基流动 /v1/audio/transcriptions 一次，不经过本页运营方服务器、不写入磁盘。转写结束立即丢弃音频对象并清空文件输入；只把文本填入长文输入框。单次限制 ≤20MB、≤10 分钟；转写超时 180 秒。所选 STT 模型 ID 存在本机 metacog_stt_model，不含音频。录音需要浏览器麦克风权限；麦克风只在 HTTPS 或 localhost 下可用，HTTP 线上环境请用文件上传。

开启真 Agent B 时，你的问题与 Agent A 的回答会再发送给硅基流动一次，用于 B 的独立复核；纯净模式下 B 仍可能被调用，用来抓 A 的真实幻觉。关闭、演示模式或没有 Key 时不发送。设置页“刷新可用模型”会携带当前 Key 请求 /v1/models，但不会发送对话内容。

人工额外发现审核：你提交额外发现时，原文/原句/类别/说明会再发送给硅基流动的审核模型一次；只有审核通过才发积分。审核不通过或演示模式不发送/不发放。

Markdown 图片：Agent A 回答中的远程图片默认只显示占位，不会自动请求；点击“加载图片”会先弹出 IP 风险确认；只有你再次确认后，浏览器才会向图片站请求，图片站可能看到你的 IP。页面已设置 no-referrer，但不会隐藏 IP。data:image 本地图片不会联网。

硅基流动与 DeepSeek 作为模型/搜索服务提供方，会按照各自隐私政策和条款处理这些数据。你可以查看其官网政策。除此之外，当前版本不向广告商、数据商或其他第三方出售或共享你的对话。

报告与对话导出由浏览器在本地生成；导出文件不含 API Key，也不含 CoT 思考过程（CoT 只在本机当前房间折叠展示）。CoT 是模型返回的推演文本，可能包含错误或未经核实的假设，不应直接当作事实。

报告生成：不保存 Key 时，报告完全由本地模板和结构化计数生成。保存 Key 后点「生成报告」，会把一份只包含结构化计数的 Prompt（房间陷阱/核实/重置计数，外部寻宝命中/漏判/兑换次数，长文素材字数、疑点数、核对数、参考解法次数与类型分布）发送给硅基流动一次，用于生成「文本质检分析」段落；不发送对话正文、长文原文、CoT 或 Key。模型生成失败时保留本地模板。

4. 保存期限与删除

• 本地画像、对话、积分、账号资料默认一直保存在你的浏览器里，直到你主动删除；
• 顶部「重置当前房间」只清当前对话；输入框上方「新建对话」会把当前段落存入本机历史再开新段；「历史对话」可切回；设置里的「清空所有房间对话」只清消息与历史；
• 「清除全部本地数据」会删除画像、房间、对话、积分、Key 和本地账号；
• 外部寻宝的「长文档案」可单独「清空」；它只存报告与参考解法文本，不存原文；
• 「保存对话」由你主动导出 Markdown 文件，文件保存在你的设备上，由你自行管理。

当前版本没有云端副本，因此不存在“服务器端保留期限”；未来启用云端账号后，会在账号页明确展示云端保存期限与删除方式。

5. 安全边界

这个版本是原型，不是生产级安全产品：

• CSP 已有 meta 与 serve.py HTTP 头（frame-ancestors / Trusted Types / img-src），但仍是原型级配置，不等于生产级安全认证；动态内容虽然使用 textContent，仍不能宣称绝对安全；
• 积分和陷阱判定在客户端，DevTools 可以修改；
• 模型回答可能包含错误，这是训练设计的一部分，不应被当作事实建议；
• 医疗、法律、金融等专业问题请咨询有资质的专业人士。

6. 你的权利

• 查看：画像、房间、积分、账号资料都在本机，可通过界面查看；
• 导出：当前房间可通过「保存对话」导出 Markdown；
• 删除：可按房间、所有房间对话或全部本地数据删除；
• 撤回：删除本地数据即删除对应本地资料；未来云端账号和数据贡献会提供单独的撤回入口。

7. 未成年人

本页面是面向成年人的认知训练原型，不专门面向未成年人。如果你未满 18 岁，请在监护人指导下使用，并避免输入自己或他人的敏感个人信息。

8. 未来云端账号与数据贡献计划（当前未启用）

未来可能上线云端账号、跨设备同步，以及自愿的数据贡献计划。它们不会随当前版本自动开启，也不会用“默认勾选”替你做决定。

8.1 云端账号

如果上线，云端只计划同步画像、对话、报告等训练数据；API Key 仍只保存在浏览器，不进入云端账号数据库。上线前会补充运营主体、存储地域、保存期限和删除方式。

8.2 自愿数据贡献

如果未来邀请你贡献真实对话或反馈，会单独征得同意，并提供分级选择：

• L0 本机：不上传，默认；
• L1 结构化指标：陷阱类型、房间、对/错、耗时，不含对话文本；
• L2 脱敏反馈：你主动写的反馈文本；
• L3 脱敏对话片段：你选中并预览确认后的片段。

你可以拒绝、撤回或删除；不贡献数据不影响正常训练。用于“产品评估”与用于“模型训练”会分开征得同意，不会因为一次反馈就默认授权训练。

9. 升级后的隐私架构（规划中，未启用）

这一节说明：未来接入阿里云后端、云账号、跨设备同步和数据贡献时，计划如何划分数据边界。当前版本没有这些云端服务；最终以上线版本为准。

9.1 计划中的数据流

9.2 云端账号与同步

• 默认仍是本地优先：不登录也能继续训练；登录是可选能力，不是使用前提；
• 同步范围：画像、房间结构、对话、报告、积分与本地账号昵称；是否同步对话全文由用户在首次开启时选择；
• 不同步：API Key、模型请求头、浏览器指纹、完整请求日志；
• 认证：手机号验证码 / 邮箱 / OAuth 至少一种；密码只存哈希，会话有过期与撤销；
• 删除：账号内提供导出、注销、删除云副本；注销后按法律与备份周期清理；
• 冲突：本地与云端都有数据时，优先让用户选择“保留本地 / 使用云端 / 合并”，不静默覆盖。

9.3 数据贡献（L0–L3）

第 8 节已写分级。升级架构会为它增加：

• 同意账本：记录用户同意的级别、版本、时间、撤回时间；默认 L0；
• 上传前预览：用户可以看到将上传哪些字段、哪些已脱敏；L3 必须逐次确认；
• 隔离存储：贡献数据进入独立的私有 OSS 前缀，不与账号主数据混放；
• 用途分离：“产品评估”与“模型训练”分开授权；一次反馈不等于授权训练；
• 保留与删除：为每类贡献数据设定明确保留期限，支持撤回后删除；
• 人工复核：内部评估只由授权人员访问，保留访问审计。

9.4 计划中的安全控制

• 全站 HTTPS / TLS；前端生产环境启用 CSP；
• 阿里云 RAM 最小权限；RDS 与 OSS 不公网裸奔；OSS 私有读、签名 URL；
• 敏感字段加密与密钥管理（KMS）；备份加密；
• 登录限流、验证码、会话过期、异常登录审计；
• 服务端不记录 Authorization、API Key、完整对话正文；错误日志只留请求 ID；
• 上线前做依赖审计、权限复核、渗透测试与安全扫描。

9.5 运营与合规

• 正式上线前补充运营主体、隐私联系邮箱、投诉渠道；
• 如果使用中国大陆节点，按规定完成 ICP 备案与适用的个人信息保护义务；
• 明确云数据库 / 对象存储的地域、保存期限、备份周期与跨境安排；
• 列出阿里云、硅基流动、短信服务等子处理者，并更新第三方清单；
• 建立账号注销、数据导出、删除请求与安全事件响应流程。

10. 政策更新

当前版本是本地原型。若未来上线云端账号、数据贡献或运营主体发生变化，本页会更新版本号和生效日期，并在需要时重新征得你的同意。重大变化不会只靠“继续使用即同意”来掩盖。

11. 联系与运营主体

当前版本是个人原型，尚未设置公开运营主体与隐私联系邮箱；正式对外上线前会在此补充运营主体、联系渠道和投诉方式。

在正式上线前，如果你对这份说明有疑问，请通过项目维护者提供的渠道反馈，不要在公开场合粘贴你的 API Key 或包含个人信息的对话。