第零世界隐私政策

测试稿：本页内容尚未定稿，不构成正式协议或政策。〔待填〕处为待补充的信息。

• 适用范围：第零世界微信小程序、第零世界电脑端（DS Bot 插件里的「第零世界」页、第零世界 DSH）、第零世界平台和网站 0shijie.cn。
• 运营者：〔待填：运营主体全称〕（下称「我们」）。注册地址：〔待填〕。
• 个人信息保护联系邮箱：〔待填〕。
• 更新日期：〔待填〕。生效日期：〔待填〕。

一、要点

1. 你的聊天正文和记忆保存在你自己的电脑上，平台不保存。
2. 你和他人的一对一消息、文件使用端到端加密。平台只转发和暂存密文，无法读取内容。
3. 平台保存这些个人信息： a. 微信 openid； b. 你自愿填写的找回邮箱； c. 你自愿设置的所在城市； d. 联系人关系； e. 你公开的 Card； f. 设备和运行状态等不含正文的记录。
4. 你选用的 Agent（如 DeepSeek Harness、Codex、Claude Code）在你的电脑上运行。Agent 会把内容发给它自己的模型服务商，这部分由你和该服务商之间的约定管理，不受本政策约束。
5. 我们不出售个人信息，不做广告推送，不做个性化广告。

二、我们收集的信息和用途

2.1 登录小程序

1. 你用微信登录小程序时，我们通过微信接口获取你在本小程序下的 openid，用来识别你的设备登录。
2. 我们不获取、不保存微信的 session_key 和 unionid，也不获取你的微信昵称、头像和手机号。
3. 一个微信号可以创建多个身份。我们不把身份和你的微信实名信息关联。

2.2 身份和设备

1. 你创建身份时，设备在本地生成密钥。平台保存： a. 身份号； b. 各设备的公钥、设备类型（手机、电脑核心或 Agent）、是否通过适配器接入； c. 设备的授权和撤销记录。
2. 私钥只保存在你的设备上，平台不接触私钥。
3. 有 ANS 名字的其他用户可以查询你的设备目录。他们能看到你的设备数量、设备类型和是否使用适配器，用于给你发送加密内容。

2.3 找回身份

1. 你可以自愿绑定一个找回邮箱，或生成恢复码。
2. 绑定邮箱时，我们保存邮箱地址，并向它发送验证码。恢复码只保存不可逆的摘要。
3. 一个邮箱只能绑定一个身份。
4. 找回身份时，我们通知你的旧设备和原邮箱，等待 24 小时后才生效。旧设备可以在等待期内拒绝。
5. 发送邮件使用的服务商见第五节。

2.4 联系人、Card 和发现

1. 联系人关系。 平台保存谁和谁是联系人、联系请求、拉黑和担保记录，不含聊天内容。这些记录用于「你可能认识的人」、三人担保和联系频率限制。我们不读取你的手机通讯录。
2. Card。 Card 分两份： a. 公开 Card：任何第零世界用户都能看到； b. 联系人 Card：只有你的联系人能看到。 你决定每份 Card 写哪些内容。
3. 同城。 a. 你可以自愿设置所在城市。平台只保存城市名称和代码，不保存经纬度。 b. 平台可以按你访问时的网络地址推荐一个城市，推荐时不保存网络地址。你确认后才保存。 c. 「被发现」默认关闭。你开启后，才会出现在同城列表里；同城列表只显示同样开启了「被发现」、并且公开了 Card 的用户。
4. 你可能认识的人。 平台只按共同联系人和已验证的介绍关系推荐。你可以让某个人不再出现在你的推荐里。
5. ANS 名字。 如果你在 ANS 注册了名字并绑定到身份，平台从 ANS 接收这个名字的变化，并在 Card 上显示。

2.5 一对一消息和文件

1. 消息和文件在发送设备上加密，分别加密给对方的每台设备。平台只保存密文和投递所需的元数据：发送方、接收方、消息编号、时间和大小。
2. 平台无法解密消息和文件内容。
3. 单个文件最大 25 MB，每条消息最多 5 个文件。所有收件设备取走后，或满 30 天后，平台删除文件密文。
4. 小程序发送文件时，使用微信的「从聊天记录选择文件」接口，只读取你选中的文件。

2.6 手机和电脑之间的状态

1. 你的电脑（核心）和手机通过平台同步运行状态。平台保存运行状态、请求记录和审批状态，不保存聊天正文。
2. 因此平台能看到你在什么时间运行了 Agent、运行是否结束、有没有待审批的请求。
3. 电脑关机时，手机只能显示状态和手机本地缓存的正文。

2.7 本人通知

1. 平台保存通知的编号、类型、原因、相关联系人、打开、更新、已读和关闭时间，不保存通知标题、详情和消息正文。
2. 你订阅后，平台通过微信订阅消息提醒你。提醒是固定文字，不含消息内容。同一身份 10 分钟内最多提醒一次。

2.8 举报

1. 你举报他人时，可以在确认后附上最多 20 条带发送方签名的消息。
2. 你附上的消息由平台保存 30 天，用于核实举报，然后删除。
3. 被举报人看不到举报人。

2.9 安全和防滥用

1. 平台按网络地址限制登录和部分请求的频率，用来防止批量注册和刷接口。限流计数不长期保存。
2. 服务器入口的访问日志记录网络地址、访问时间和请求的地址，保存 180 天。依据是《网络安全法》第二十一条要求网络日志留存不少于六个月。
3. 平台的应用日志不记录微信登录凭证、openid、密钥和消息内容。

2.10 电脑端

1. 第零世界电脑端在你的电脑上保存：聊天正文、记忆、定时任务、审批记录、设备私钥和本机控制凭据。
2. 这些数据不上传到平台，除非第 2.6、2.7 条所述的不含正文的状态。
3. 第零世界 DSH 默认关闭遥测，不向我们或上游发送使用数据。
4. 电脑端从 download.0shijie.cn 检查和下载更新。下载服务会记录网络地址和请求的文件，用于分发和安全。
5. 从旧版 DS Bot 迁移记忆时，迁移在你的电脑上完成，不上传到平台。

2.11 小程序使用的手机能力

小程序只在你操作时使用下列能力，不在后台调用：

除扫码外，小程序不使用定位、相机、相册、麦克风和读取剪贴板。

三、我们不收集的信息

1. 你的聊天正文、记忆和文件明文。
2. 你的精确位置（经纬度）。
3. 你的手机通讯录。
4. 你的微信昵称、头像、手机号和 unionid。
5. 你的身份证件等实名资料。

四、保存期限

1. 已结束的请求和运行：结束 30 天后删除平台上的元数据。
2. 长期查不清结果的记录：满 30 天自动归档，归档后元数据再保留 30 天。
3. 联系请求等不含正文的已结束记录：保留 30 天。
4. 设备撤销记录：永久保留，用来防止已撤销的设备被冒用。
5. 文件密文：所有收件设备取走后或满 30 天删除。
6. 举报所附消息：30 天。
7. 找回邮箱、城市、Card、联系人关系：保存到你删除或注销身份。
8. 访问日志：见第 2.9 条。
9. 备份的清除期限：〔待填：上线前确定，见决定 197〕。

五、共享、委托处理和第三方

我们只在下列情况下把个人信息交给第三方。

1. 你选用的 Agent 和它的模型服务商不是我们的受托方。你在电脑上让 Agent 处理的内容，按你和该服务商的约定处理。
2. 法律法规要求，或司法机关、行政机关依法要求时，我们提供能提供的部分。消息和文件是密文，我们能提供的主要是元数据。
3. 如果我们发生合并、分立或转让，接收方继续受本政策约束；改变处理目的时，接收方重新取得你的同意。

六、存放地点和跨境

1. 目前所有第零世界用户都归属中国大陆，平台数据存放在中国大陆。
2. 国际地区（0thworld.org）以后随 APP 上线。上线前，我们更新本政策，说明跨区传输的内容，并另行取得你的同意。

七、你的权利

1. 查看和更正。 你可以在小程序里查看和修改 Card、城市、找回方式和联系人。
2. 撤回同意。 你可以关闭「被发现」、删除找回邮箱、取消订阅提醒、撤销设备。撤回不影响撤回前的处理。
3. 删除和注销。 a. 你可以在小程序「我 → 设置 → 注销身份」用主设备发起注销。发起后有 7 天冷静期，你的任何一台手机或电脑都可以撤销。我们在你发起后 15 个工作日内完成注销。 b. 注销后，我们删除你的找回邮箱、城市、Card、联系人关系、还没取走的消息和文件、通知和运行记录。 c. 身份号的注销标记、设备公钥指纹和设备撤销记录永久保留，用来防止身份号被重新使用、设备被冒用。 d. 你在 ANS 名字上设置的解析目标如果是这个身份号，ANS 清除这个目标。名字仍归你的 ANS 账号。 e. 你电脑上的数据由你自己删除，电脑端提供删除按钮。
4. 获取副本。 你可以申请获取平台保存的你的个人信息副本。
5. 投诉。 你可以联系第一节的邮箱。我们在 15 个工作日内答复。

八、未成年人

1. 不满 14 周岁的未成年人，要在监护人同意后使用第零世界。
2. 我们发现未经监护人同意收集了不满 14 周岁未成年人的个人信息时，删除这些信息。

九、安全措施

1. 消息和文件端到端加密，每台设备一对加密密钥，每 30 天轮换。
2. 设备私钥只在设备上保存。
3. 传输全程使用 HTTPS。
4. 发生个人信息安全事件时，我们按法律要求通知你和主管部门。

十、本政策的更新

1. 我们更新本政策时，在小程序和 0shijie.cn 公布新版本。
2. 重大变化（处理目的、信息种类、第三方或存放地点变化）时，我们在小程序里提示你，并在需要时重新取得你的同意。