隐私政策

1. 我们是谁及如何联系我们

ONTHEBIAS, Inc.（"ONTHEBIAS"、"我们"）是一家特拉华州公司，在 onthebias.co 和 app.onthebias.co 运营 ONTHEBIAS 设计平台。对于通过本服务收集的个人数据，我们是数据控制者，但在 DPA（见下文）使我们成为您的处理者的情形下除外。有关隐私问题、数据主体请求或 DPA 请求，请发送电子邮件至 info@onthebias.co.

邮寄地址： ONTHEBIAS, Inc., c/o Registered Agent, State of Delaware（完整注册地址可应要求通过 info@onthebias.co 获取）。

2. 我们收集什么

我们收集四类数据：

• 账户信息 - 电子邮件、姓名、头像、工作区名称、电话（可选）、首选语言，以及您订阅时的账单地址。在您注册时或之后在应用内提供。
• 设计内容 - 系列、画布状态、OBIE 聊天消息、生成的效果图、平面草图、技术包、您上传的品牌素材、素材库收藏、您发送给供应商的询价和消息。
• 使用遥测数据 - 页面浏览、功能使用、错误跟踪、设备/浏览器类型、IP 地址（写入时截断），以及营销归因 Cookie（见 Cookie 政策）。用于运行和改进产品。
• 商业数据 - 订阅级别、积分余额和历史、已下订单、已接受报价、发票和付款。付款卡号本身由 Stripe 处理，绝不会接触我们的服务器。

我们不出售个人数据，也不为第三方自身的广告或营销目的与其分享个人数据。

3. 我们如何使用

• 运行平台并提供您所注册的功能。
• 通过 Stripe 处理付款并将市场款项转付给供应商。
• 发送交易性电子邮件（注册确认、密码重置、订单更新、推荐通知）。未经明确自愿加入，我们不会向您的地址开展营销活动。
• 通过汇总的、去标识化的使用分析改进产品。
• 检测和防止欺诈、滥用、抓取、安全事件及违反本条款的行为。
• 遵守我们的法律义务（税务记录、制裁筛查、对合法请求的回应）。

4. 法律依据（GDPR / UK GDPR）

对于欧盟、欧洲经济区、英国和瑞士的用户，我们依据 Article 6 GDPR 所依赖的法律依据为：

• 合同的履行 - 为提供您所注册的服务、处理付款并履行您下达的订单。
• 正当利益 - 为保障服务安全、防止欺诈和滥用、了解汇总的产品使用情况，以及传达运营更新。我们会将这些利益与您的权利进行权衡，您可随时通过发送电子邮件至 info@onthebias.co 提出反对。
• 同意 - 用于营销电子邮件、非必要 Cookie（分析和广告）、欧盟/欧洲经济区/英国/瑞士/巴西的 Meta 像素，以及任何未来的自愿加入 AI 训练计划。您可随时撤回同意，不影响撤回前处理的合法性。
• 法律义务 - 为遵守税务、会计、制裁及其他适用法律。

5. AI 训练

您的设计内容不会被用于训练我们拥有的任何模型，我们也不允许我们的第三方 AI 提供商使用您的内容训练其模型。我们仅为在当下完成您所请求的生成，在其无训练商业 API 下将您的提示词和上传的图像发送给 AI 提供商（Anthropic、Google）。我们今后可能提供单独的、按工作区的自愿加入计划，让您同意将您的内容用于训练 ONTHEBIAS 拥有的模型，以换取特定的权益。任何此类计划仅限自愿加入，可随时撤销，并在同意时明确标注。

6. 次级处理者

我们依靠以下提供商来运营本服务。每一方仅接收执行其任务所需的数据，且每一方均受包含符合 GDPR 的数据保护条款的书面协议约束。

• Supabase - 数据库、身份验证、文件存储（美国区域）
• Vercel - 托管、边缘网络（全球）
• Stripe - 付款和市场付款（美国）
• Anthropic、Google - AI 生成（仅提示词/输出，无训练商业 API）
• Liveblocks - 实时画布和评论（美国）
• Resend - 交易性电子邮件（美国）
• SerpAPI - 技术包 BOM 的图像搜索（美国）
• AWS S3 - 旧版素材库素材存储（us-east-2）
• Trigger.dev - 长时间运行生成的持久化任务编排（美国）
• Sentry - 错误跟踪和性能监控（美国）
• Google Cloud Run - AI 生成的后备计算（美国）
• Meta - 广告衡量，仅在您同意营销时进行；转化事件在您的电子邮件经哈希处理后发送

7. 次级处理者变更

上述列表截至本页面顶部的最后更新日期为最新。当我们新增一个处理个人数据的次级处理者时，我们会更新此列表，并在变更生效前至少 30 天在应用内通知工作区管理员。如您反对新的次级处理者，而我们无法合理地满足该反对，您可终止订阅并就任何未使用的预付期获得按比例退款。

8. 国际数据传输

ONTHEBIAS 位于美国，我们的大多数次级处理者也位于美国。当我们将个人数据从欧洲经济区、英国或瑞士传输至美国或其他辖区时，我们依赖欧盟委员会的标准合同条款（SCCs）、英国国际数据传输附录及等效的瑞士文书，并在必要时辅以补充性技术和组织措施。适用于您与我们关系的 SCCs 副本可通过发送电子邮件至 info@onthebias.co 获取。

9. 保留

我们仅在上述目的所需的期间内保留个人数据：

• 账户和设计内容 - 在您的账户处于活动状态期间。账户删除后，我们会在 30 天内移除设计内容，备份除外（在标准备份轮换中清除，最长 90 天）。
• 商业记录 - 发票、付款、订单历史和税务记录保留最长 10 年，以履行会计和税务义务。
• 使用遥测数据和日志 - 最长 24 个月，之后汇总或删除。
• 营销同意记录 - 在您订阅期间以及您最后一次互动后 3 年内保留，以便我们能够证明我们获得了您的同意。
• 安全和防欺诈记录 - 在保护本服务所需的期间内保留，通常不超过 3 年。

10. 您的权利

视您居住地而定，您对您的个人数据享有以下部分或全部权利：

• 访问权 - 请求我们持有的关于您的个人数据副本。
• 更正权 - 更正不准确或不完整的个人数据。
• 删除权 - 请求删除（受法律保留义务约束）。
• 限制权 - 要求我们停止为特定目的处理您的数据。
• 可携权 - 以机器可读格式接收您所提供的数据副本，或在技术上可行时要求我们将其传输给另一控制者。
• 反对权 - 反对基于正当利益的处理，并随时反对直接营销。
• 撤回同意 - 在处理基于同意的情况下，随时撤回同意。
• 投诉 - 向您当地的数据保护机构提出投诉。在欧盟，即您的国家监管机构；在英国，即信息专员办公室（ico.org.uk）。

如需行使任何权利，请发送电子邮件至 info@onthebias.co，并提供足够详细的信息以便我们识别您和您的请求。我们将在 30 天内回复，对于复杂请求可依 GDPR 允许延长 60 天。除非请求明显无根据或过度，否则不收取费用。工作区管理员也可直接从应用中删除单个系列 + 画布数据。

11. Cookie

我们使用一个会话 Cookie 进行身份验证，并使用一个小型偏好 Cookie 来记住您的活动工作区。我们还加载 Meta（Facebook/Instagram）像素来衡量我们的广告，并在您的电子邮件先经哈希处理后向 Meta 发送转化事件（注册、订阅）。此项默认开启，您可随时通过管理 Cookie 链接选择退出；在欧盟、欧洲经济区、英国、瑞士和巴西，我们仅在您选择加入后才加载它。请参见我们的 Cookie 政策 以获取完整列表。

12. 儿童

本服务并非面向 16 岁以下儿童，我们不会在知情的情况下收集 13 岁以下（或在以 16 岁为适用数字同意年龄的辖区中为 16 岁以下）儿童的个人信息。如您认为某位儿童向我们提供了个人数据，请发送电子邮件至 info@onthebias.co，我们将予以删除。

13. 美国各州隐私权（加利福尼亚州及其他州）

如您是加利福尼亚州居民，您依据《加利福尼亚州消费者隐私法》（经 CPRA 修订）享有权利 - 包括知情权、删除权、更正权，以及退出出售或分享个人信息的权利。我们不会按 CCPA 所定义的方式出售或分享个人信息。弗吉尼亚州、科罗拉多州、康涅狄格州、犹他州、得克萨斯州、俄勒冈州、蒙大拿州及其他设有综合性隐私法的美国各州的隐私法下亦提供类似权利。请通过发送电子邮件至 info@onthebias.co 行使这些权利。

14. 欧盟代表

ONTHEBIAS 目前未依据 Art. 27 GDPR 在欧洲联盟设立指定代表。欧盟用户可将所有数据保护请求和投诉发送至 info@onthebias.co，并向其国家监管机构提出。我们正在委任 Art. 27 代表的过程中，一旦完成即会在此列出该代表。

15. 安全

我们采用行业标准的技术和组织措施来保护个人数据，包括传输中加密（TLS 1.2 或更高版本）、数据库和文件存储的静态加密、基于角色的访问控制、用户数据的行级安全、审计日志记录以及定期漏洞扫描。没有任何系统是完全安全的。如我们察觉到影响您个人数据的泄露，我们将依法律要求通知您和适用的监管机构。

16. 变更

我们可更新本政策。重大变更将在其生效前至少 30 天通过应用内公布并向活动账户发送电子邮件，但法律要求较短期限的情形除外。变更生效后继续使用即表示您接受更新后的政策。可应要求通过 info@onthebias.co 获取先前版本。