1. 数据控制者
EPTA5 INC SAS, Bureau 326, 78 avenue des Champs-Élysées, 75008 Paris, France · RCS Paris 103 825 956 · SIRET 103 825 956 00016
数据保护官（DPO） : dpo@epta5.com
2. 我们收集的数据
身份数据
- 姓名、电子邮箱、居住国家/地区
支付数据
- 银行卡信息完全由 Stripe 处理，绝不存储在我们的服务器上
- 交易记录、账单信息
- 用于试用：由 Stripe 提供的银行卡指纹（同一张卡对应同一标识，不包含卡号）
使用数据
- 连接日志、活动记录
- 终端偏好设置、已保存的关注列表、分析历史
- BRAIN AI 查询：由我们的服务器转发至托管 AI 模型的提供方；我们保留技术日志（日期、令牌数量、费用、响应时间），不含您的消息内容
技术数据
- IP 地址、浏览器、操作系统、设备类型
- Cookie 及类似的跟踪技术（参见Cookie 政策）
3. 我们处理您数据的原因
- 提供服务：账户管理、终端访问
- 改进服务：分析、修复缺陷、性能优化
- 沟通联络：交易类邮件、可选的新闻订阅（基于同意）
- 法律与税务合规：会计记录、欺诈防范
- 安全：访问控制、滥用检测
- BRAIN AI：生成您所请求的回答，执行您方案的使用限额
- 每人一次试用：核实同一电子邮箱或同一张银行卡此前未曾用于试用
4. 法律依据（GDPR 第 6 条）
- 履行合同，为提供您所订阅的服务
- 明确同意，用于营销沟通和可选 Cookie
- 合法利益：安全、反欺诈、产品改进
- 法律义务：会计、税务记录
- BRAIN AI：生成您所请求的回答，依据为履行合同；请求技术日志（您方案的使用限额、费用监控、安全）以及使用您自有密钥所发请求的每月计数（使用统计），依据为合法利益
- 试用：将试用限制为每人一次的合法利益（核对电子邮箱和银行卡指纹）
5. 保存期限
- 活跃账户 · 在整个合同关系存续期间
- 已关闭账户 · 自最后一次互动起最长 3 年
- 账单记录 · 10 年（法定要求，法国《商法典》）
- 连接日志 · 最长 12 个月
- 分析类 Cookie · 最长 13 个月（CNIL 指引）
- BRAIN AI 技术日志 · 13 个月（日期、任务、模型与托管方、令牌数量、费用、响应时间，绝不包含消息内容）
- 使用自有密钥的 BRAIN AI 请求计数 · 每月一个数字，不含任何内容；与您的账户数据一同保存，如您要求删除账户则予以删除
- 银行卡指纹（试用） · 由 Stripe 保存在您试用订阅的记录中，只要该记录存在即一直保存；目前未设置自动删除
6. 第三方处理方及其他接收方
- Stripe：支付处理（欧盟和美国；欧盟-美国数据隐私框架，适用时辅以标准合同条款）
- Cloudflare：托管、CDN、安全（美国和欧盟；欧盟-美国数据隐私框架，标准合同条款作为备用）
- Resend (Plus Five Five, Inc.)：服务类邮件，例如登录验证码和订阅相关消息（公司位于美国，邮件从爱尔兰发出；欧盟-美国数据隐私框架，辅以标准合同条款）
- OpenRouter, Inc.：将 BRAIN AI 查询路由至托管 AI 模型的提供方（美国，欧盟标准合同条款）。该模型为 DeepSeek V4 Flash，是由 DeepSeek 发布的开放权重模型。它运行于位于美国的白名单托管方（DigitalOcean、DeepInfra、Parasail、CoreWeave），这些托管方由 OpenRouter 依据相同条款聘用为其次级处理方，并采用零数据留存：您的消息仅用于生成回答，不会被存储或用于训练。对于网络检索，请求中还包含 OpenRouter 从 Perplexity 获取的检索结果（见下文）。不会向 DeepSeek 或中国发送任何内容。
- Cloudflare AI Gateway：BRAIN AI 查询的中转与计量（Cloudflare 全球网络，包括美国和欧盟；欧盟-美国数据隐私框架，标准合同条款作为备用）；仅记录元数据，不记录消息内容
- Perplexity AI, Inc.（美国）：网络检索，仅用于检索请求（RESEARCH EXT）。对于此类请求，OpenRouter 会通过 Perplexity 的搜索 API（Search API）执行一次检索，检索内容仅为您所查询资产的名称。在请求发出之前，EPTA5 的服务器会删除其他所有内容，包括您的消息、姓名、电子邮件地址和账户标识。Perplexity 返回公开网页的标题、链接和摘录，AI 模型据此撰写报告。传输依据：欧盟标准合同条款（控制者至处理者模块），以及针对自英国传输的英国附录（UK Addendum），均载于 EPTA5 与 OpenRouter 之间的协议；此外，Perplexity AI, Inc. 已获得欧盟-美国数据隐私框架及其英国扩展（UK Extension）认证。上文所述的零数据留存不涵盖这一步骤：OpenRouter 表示，Perplexity 适用其自身的数据保留政策；而 Perplexity 针对其搜索 API 的条款允许其为自身商业目的（包括改进和开发其产品与服务）保留、复制、分发和使用检索查询及检索结果，且未规定任何保存期限。请勿在检索请求中包含任何个人信息。
使用您自有密钥的 BRAIN AI
如果您接入自己的 OpenAI、Google 或 Anthropic 密钥，您的消息及随附的 EPTA5 上下文将直接从您的浏览器发送至该提供方（美国），并受其自身条款和隐私政策约束。EPTA5 不会收到这些内容，EPTA5 引擎的保障措施（白名单托管方、零数据留存）也不适用。使用 Google 密钥时，请使用付费密钥：在 Google 的免费层级下，Google 可能使用您的消息改进其产品，且可能由人工审阅。EPTA5 仅统计您每个自然月发出的请求数量，不含其内容，用于 BRAIN AI 的使用统计；该计数不会限制您的请求。
向 EEA 以外的每项数据传输，均依据上文为各接收方注明的依据：经认证的美国公司适用欧盟-美国数据隐私框架（欧盟委员会实施决定 (EU) 2023/1795），其他情况适用欧盟标准合同条款（欧盟委员会实施决定 (EU) 2021/914）。对于自英国的传输，由数据隐私框架的英国扩展或上述条款的英国附录发挥相同作用。如需获取这些保障措施的副本，请写信至 dpo@epta5.com。
7. 您在 GDPR 下的权利
您可以随时行使以下权利：
- 访问权 · 获取您数据的副本
- 更正权 · 更正不准确的数据
- 删除权 · “被遗忘权”
- 限制权 · 限制处理
- 可携权 · 以结构化格式接收您的数据
- 反对权 · 反对某些处理（尤其是营销）
- 撤回同意 · 针对任何基于同意的处理
请将您的请求发送至 dpo@epta5.com。我们将在 30 天 内回复。
8. Cookie
必要 Cookie 无需征得同意。分析类和功能类 Cookie 需要您在首次访问时通过横幅给予明确同意。完整详情请参见我们的Cookie 政策。
9. 未成年人
EPTA5 面向 年满 18 周岁 的用户。我们不会在知情的情况下收集未成年人的数据。如您认为我们已收集，请联系 dpo@epta5.com.
10. 监管机构
您可以向法国数据保护机构提出投诉：CNIL · 3 place de Fontenoy, 75007 Paris。
11. 更新
我们可能会更新本政策。重大变更将通过电子邮件通知并在本页面公布。上方的"最后更新"日期始终反映当前版本。