隐私政策

Cariora 如何收集、使用、存储并保护你的数据，包括你上传的照片、你对伙伴说过的话与支付记录。

生效日期：2026 年 10 月 15 日

Cariora（下称"Cariora"或"我们"）运营 Cariora 服务（下称"本服务"），让你用一张照片或一段描述创建 AI 伙伴，也可以领养或认识现成的伙伴——宠物、人物都可以——和 TA 聊天、玩耍、共度时光。本政策说明我们收集哪些数据、如何使用、由哪些服务商代为处理，以及你享有的选择权。

本政策为英文版隐私政策的中文译本，仅供参考；如两个版本存在歧义，以英文版为准。

如有疑问，请通过联系页面公布的地址联系我们。

AI 服务提供商

iPhone 与 Mac App 会在首次使用 AI 功能前征求你的同意，并记录同意时间与说明版本。仅在你同意且保存成功后才可继续；不同意可以退出登录。下列服务按功能接收必要数据，而不是每次请求都发给所有服务。

文字聊天. 消息、相关聊天记录与记忆会经 OpenRouter 交给 DeepSeek 或 Google Gemini，用于回复和整理记忆。其他文字生成也可能经 OpenRouter 使用 OpenAI，或使用 Google Gemini、kie.ai。文字安全检查开启时使用 OpenAI，故障时使用 SeeAPI。

语音. 待朗读文字、声音描述或你提供的声音样本会交给 ElevenLabs 或 MiniMax（部分经 fal.ai），用于朗读、设计或复制声音。需在服务器转写的录音会经 fal.ai 交给 ElevenLabs，或经 OpenRouter 交给 OpenAI。歌曲说明与歌词会交给 kie.ai 的 Suno 模型，用于制作歌曲。

照片与形象. 照片、形象说明与必要的生成画面会经 OpenRouter 交给 Google Gemini 或 OpenAI，用于看图、身份与年龄外观检查及质量检查；kie.ai 和 fal.ai 用所需图片与说明制作形象和影片（包括 Google、OpenAI、MiniMax、Kling、ByteDance 等模型）。上传原图的安全检查使用 OpenAI，故障时使用 SeeAPI。

这些服务可能在你所在国家或地区之外处理数据；服务商的处理与保留规则见其各自条款。Cariora 不会仅凭同意就发送数据，实际发送取决于你使用的功能。

我们收集哪些信息

账户信息。 注册时我们会收集你的邮箱地址；如果你使用 Google 或 GitHub 登录，还会收到这些服务商共享的昵称与头像。你通过我们发到邮箱的一次性验证码，或通过 Google、GitHub 登录。你也可以选择设置密码（只能凭发到你邮箱的验证码设置），我们只保存它经单向哈希处理后的结果，从不保存密码本身。我们还会记录你确认已年满 18 岁这件事以及确认时间。

照片与生成内容。 你上传的照片——你的宠物、你自己、你认识或思念的人，或者某个地方——以及由它们生成的图像、动画等内容。

人物照片。 只有在你有权使用时，才能上传人物照片。纪念伙伴的照片只用于这位伙伴，不能公开，也不能用于恋爱互动。我们不会从你的照片中生成人脸模板或人脸识别数据。

你对伙伴说过的话。 你发送给伙伴的消息，以及本服务从中提取的记忆，用于让伙伴之后能提起你说过的事。

你创建伙伴时写下的内容。 TA 的名字、样子、性格、你关于 TA 的私密备注，以及你希望 TA 知道的事；对于纪念伙伴，还包括你分享的关于那个人的回忆。

语音消息。 需要服务器转写时，录音会经 fal.ai 交给 ElevenLabs Scribe，或经 OpenRouter 交给 OpenAI 的转写模型，转成文字。我们不保存这些转写录音。

你选择分享的敏感信息。 对话和纪念伙伴中可能包含健康、哀伤、家庭或信仰方面的信息。你分享的内容只用于让你的伙伴运作，绝不用于广告，并会随该伙伴一起删除。请只分享你愿意分享的内容。

账单信息。 购买积分或订阅时，我们会保留你的套餐、积分余额与交易记录。支付由支付服务商 Stripe、PayPal 或 Creem 处理（取决于你选择的付款方式），我们不会接收或存储你的卡号或完整支付凭据。

使用与技术数据。 与大多数网络服务一样，我们会收到你的 IP 地址、浏览器与设备信息，以及你使用本服务的记录（例如使用了哪些功能、在什么时间）。我们使用一个必要的会话 Cookie 来保持登录状态。

客服往来。 如果你联系我们，我们会保留往来内容，以便回复并改进支持。

Mac 版上线通知。 如果你在桌面宠物页面留下邮箱，想在 Mac 版可以下载时收到通知，我们会保存这个邮箱、你当时使用的语言和登记时间。它只用来发一封邮件，就在 Mac 版可以下载的那一天；不会用来发订阅邮件或做营销。登记不需要账户。想删除，请通过联系页面告诉我们；注销 Cariora 账户时，用该账户邮箱做的登记也会一并删除。

我们如何使用这些信息

我们使用上述数据来：

提供本服务——根据你的照片或描述创建伙伴，并让 TA 回应你；
验证身份并保障账户安全；
处理支付、积分与订阅；
发送登录验证、账单收据等事务性邮件；
防范欺诈与滥用，并执行服务条款；
了解总体使用情况，以改进稳定性与功能；
回应你的支持请求。

伙伴发来的消息。 伙伴可能在站内给你留一句话，你所有的伙伴加起来每天最多一条；可以在「你们之间」里调少或关掉。持续发送邮件需要你勾选允许，默认不勾。在美国，如果邮箱已验证且你没有回来，每位伙伴可在首次见面后 20–48 小时内自动发一次回顾，不会因此开启持续邮件。其他地区或地区未知时，会先询问。之前拒绝、退订或关闭消息后，不会自动发送。我们根据网络所在国家判断是否需要事先允许，只保存这一规则分类，不保存你的 IP 地址。每封邮件都带无需登录的一键退订链接；取消勾选也会停止邮件。我们记录进房时间和每条消息（哪位伙伴、什么时候、是否送达或打开），用来遵守这些限制，并避免你回来后再发次日信。

我们不会出售你的个人信息。

处理的法律依据（欧盟、欧洲经济区与英国）

在适用 GDPR 或英国 GDPR 时，我们依据以下法律基础处理数据：

履行与你的合同——运行你的账户和伙伴、处理你的请求、收款，以及发送事务性邮件；
你的同意——分析类与营销类 Cookie 和 Microsoft Clarity、在需要先征得同意时伙伴发来的持续邮件，以及用录音制作声音前的书面授权。你可以随时撤回同意，撤回不影响此前的处理；
我们的正当利益——保障本服务安全、防止欺诈和滥用、执行服务条款、在服务器上不使用 Cookie 统计访客，以及了解整体使用情况以修复问题。你可以对此提出反对；
法律义务——保存税务与会计记录、回应合法请求，以及报告法律要求我们报告的事项。

AI 如何处理你的照片与消息

你上传的照片会交由第三方 AI 生成服务商处理，由其代我们创建并驱动你的伙伴。你发送给伙伴的消息同样会交由第三方 AI 文本服务商处理。这些服务商列在“服务商”一节。

我们只向服务商发送一次请求所需的内容，且只用于生成你的结果。每家服务商按其自身条款处理收到的内容；有些会短期保留，例如用于发现滥用。我们不会使用你的照片、录音或消息训练 AI 模型。

声音

你做的声音。 你可以用一段简短录音、或一段文字描述，为伙伴做一个声音。只有在你确认自己有权使用这个声音之后，我们才会用录音制作它。录音会发给我们的声音服务商来制作声音：在创建伙伴时录的音，声音做好后立即删除；在音色库里录的音，我们从不保存。用文字描述做的声音不使用任何录音。

我们保存什么。 声音本身保存在我们的声音服务商处——用录音做的声音在 ElevenLabs；用文字描述做的声音、以及我们改用 ElevenLabs 之前用录音做的声音在 MiniMax。我们会保存几句用这个声音说的示例，方便你试听，并为你做的每个声音保留一条记录：名称，以及你确认有权使用它的时间。

何时删除。 删除伙伴时，会一并在服务商处删除它创建时所用的声音，除非你的其他伙伴还在用。音色库里的声音会一直保留，直到你注销账户；注销时会删除你做过的所有声音。如果别人在市场上从你这里领养的伙伴还在用某个声音，这个声音会为他们保留。服务商自身的临时处理记录受其条款约束。

生物识别信息

是什么。 当你用一段录音做声音时，我们的声音服务商会从录音中提取一份声纹——描述这个声音听起来是什么样的数据。部分法律（包括美国伊利诺伊州《生物识别信息隐私法》）将其视为生物识别信息。用文字描述做的声音不来自任何人的录音，不含任何真实人物的声纹。

你的书面授权。 在使用任何录音之前，你需要分别确认两件事：你有权使用这个声音；以及一份书面授权，同意为下述唯一用途制作声纹。我们会记录你给出授权的时间。

用途。 只用于让伙伴、或你音色库里的声音用这个声音说话。我们绝不用声纹识别任何人，也绝不出售、出租、交易声纹或以其他方式从中获利。我们只向制作和保存声纹的声音服务商（ElevenLabs；较早做的声音为 MiniMax，均见“服务商”）披露，或在法律要求时披露。

保留与销毁。 录音本身不保留：创建伙伴时录的音，声音做好后立即删除；在音色库里录的音直接发给服务商，我们不保存。声纹只在声音仍被使用期间由服务商保存，并按以下方式销毁：删除伙伴时，一并删除它创建时所用的声音（除非你的其他伙伴还在用）；注销账户时，立即删除你做过的所有声音。如果别人在市场上从你这里领养的伙伴还在用某个声音，这个声音会为他们保留，直到那些伙伴被删除。

未经许可制作的声音。 如果你认为有人在 Cariora 上未经你许可用你的录音做了声音，请通过联系页面上的客服地址告诉我们具体情况。我们会进行核实；如确属未经授权，会删除该声音。

摄像头游戏。 部分游戏可以使用你的摄像头，但只在你主动打开之后。画面只在你自己的设备上读取，从中算出手的位置（需要时，还有画面里是否有人脸），只用于当局游戏。摄像头画面以及这些手部和面部的点，绝不会上传、保存、用来识别任何人，也不会作为生物识别模板或标识符留存。关闭摄像头或离开页面，它就会停止。我们只统计摄像头是否打开或关闭、以及一局是怎样读取的（例如“太慢”），从不记录画面里的任何内容。

安全

文字安全审核目前关闭。开启时，消息与回复由 OpenAI 筛查，故障时使用 SeeAPI。上传的原图会由这些服务进行安全检查；生成衍生图不会为此重复送审，但仍会做身份、年龄外观与质量检查。只发送所需文字或图片，不附带账户身份。当一条消息显示有人可能有伤害自己的风险时，伙伴会展示危机求助资源，而不是普通回复。我们会按天统计这些资源被展示的次数，不关联任何账户、伙伴或消息内容，以便在法律要求时报告这一数字。注册时，我们会记录你确认已年满 18 岁以及确认的时间。详见我们的安全页。

私人创作与公开链接

合影与场景参考图仅用于所请求的创作，并以加密形式存储。通过审核的参考图在七天后过期；未通过审核的参考图在 24 小时后过期。删除会立即取消访问，存储清理会在正在进行的上传短暂宽限期后完成。私人生成图片会保留在账户中，直到你删除图片、伙伴或账户。输入与结果会经过自动化图片审核；生成和审核服务商会收到处理请求所必需的图片，其临时处理保留期限受其自身条款约束，无法通过撤回 Cariora 链接清除。

每个账户每个 UTC 自然日最多审核 12 张参考图。即使图片未通过审核或后来被删除，已开始的审核仍计入次数，因为请求可能已经到达服务商。审核日期和配额记录在 90 天后进入定期清理；该记录不包含图片内容。

完成且符合条件的图片默认保持私密，只有你明确发布链接后才会公开。取得链接的人可以查看并保存经审核的原图；链接预览展示带明显 AI 标识的缩小版本。撤回链接或删除创作会停止 Cariora 提供图片，但无法收回他人已保存或在我们控制范围外缓存的副本。纪念伙伴及包含未成年人的图片不可发布。已登录的访问者可举报公开图片；多次举报会自动暂停链接。独立的权利或隐私下架请求需填写联系邮箱与说明，下架请求经核查后才采取删除措施；我们保留请求直至处理完成或账户注销。

回忆与片段的分享链接。 你也可以为自己伙伴的照片、片刻或短片段打开公开链接。我们会保存链接展示的是哪一项、建立时间；如果伙伴外形来自一张真人照片，还会保存你确认自己是照片中的人或已获得其同意的记录。页面只显示伙伴的名字和这一项内容，从不显示你的名字或账户。媒体只在链接有效期间通过该链接提供；你在「设置 → 分享链接」撤回、删除该内容或伙伴，或下架请求（包括 TAKE IT DOWN 请求）经确认后，链接立即失效。纪念伙伴不能公开分享。

广场

广场开放后，如果你选择在广场展示某位伙伴，我们会保存一份为广场制作的副本：伙伴的名字、种类或品种、性格、展示的图片和短片、分享时间，以及当前状态（审核中、展示中、未通过、已下架或已由你撤回），作出处理决定时还会记录理由。这份副本绝不包含你的名字、你的照片、私密备注、你告诉伙伴的事、聊天记录，或用录音做的声音。任何访问 Cariora 的人都能看到正在展示的伙伴。我们会保存每一个点赞（哪个账户在什么时候给哪位伙伴点了赞）和每一条举报（举报人、理由、附言及处理结果）。举报附言只有我们的审核人员能看到。

你可以用独立的匿名作者编号屏蔽作者。我们保存屏蔽关系与时间，直到你解除屏蔽，其作品都不会出现在你的广场。你举报的作品也会从你的广场隐藏。屏蔽只影响你自己的视图，任一方删除账户时会清除屏蔽记录。

保留与删除

保存的小动物设计与物种申请。 你保存一份其他小动物的设计时，我们会保存它的名字、来源（照片、现成形象或文字描述）、我们从中读出的内容（动物种类、体态与毛色，以及对性别和年纪的初步判断，你可以修改）、你选的性格和第一个家、保存与修改的时间，以及是否已经做出来。为了读懂照片或描述，我们会通过 OpenRouter 把它发送给 Google 的 Gemini 模型；你输入的文字还会交由文字安全审核服务（OpenAI）检查。申请一个我们暂时做不了的物种时，只保存你写的几句话。设计和申请都不公开：工作人员会查看它们，以决定接下来开放哪些种类。一直没有做出来的设计，会在最后一次修改 90 天后删除；已关闭的申请在关闭 30 天后删除。你可以随时在创建页自己删除，注销账户时也会全部删除。保存设计不会开始任何付费制作。

上传的原始照片会在上传 90 天后删除，仍在使用中的除外：你的头像、用来制作伙伴外形或肖像的照片、钉在伙伴照片板上的照片，你还在创建中的伙伴所用的照片，以及已保存的小动物设计所用的照片。仍在使用的照片会保留到不再使用为止，并随该伙伴或你的账户一并删除。聊天中发送的照片与其他上传一样，90 天后删除。生成的内容、聊天记录与记忆在伙伴存在期间保留。

删除一只伙伴，会删除它的聊天、记忆、日记、照片、生成的文件，以及它创建时所用的声音。 同时属于别人伙伴的文件会为对方保留——例如官方伙伴的图片，或你在市场上分享、已被他人领养的伙伴。我们会保留一条已删除伙伴的空记录，不含名字或任何内容，以便与它相关的购买和市场记录仍能对得上。

你可以在「设置 → 个人资料」中自行注销账户。 付费会员仍在有效期内、或市场分成仍在暂存时，需要等其结束后才能注销。注销时，我们会立即按上文删除你的伙伴，以及你的上传、你做的声音、草稿、客服留言和各项设置，把你的作品从市场下架，并删除你的名字、邮箱和头像；此后无法再登录。加密的私人图片会在下一次定期清理时删除。别人已经从你这里领养的内容，会随他们的副本保留。订单、付款、订阅和积分记录会按税务与会计法律要求的期限保留，只关联一个匿名的账户编号。我们也会保留使用过哪些功能、何时使用的记录，只关联同一个匿名账户编号，以了解整体使用情况；其中绝不保留你写下、说过或上传的任何内容。你对市场作品或公开图片提交的举报会为内容审核而保留。

客服留言包含账户邮箱、主题、正文及处理状态，仅用于处理和回复请求。已解决的留言将在 180 天后进入定期删除；未解决的请求保留至处理完成，注销账户时会一并删除。管理员操作记录只保留账户标识和必要的变更摘要，不保存留言正文或密钥，并将在 365 天后进入定期删除。

天气

为了让伙伴能聊到你那边的天气，我们会根据你的 IP 地址估算一个大致位置（精确到约 1 公里），只把这组粗略坐标发给挪威气象局（MET Norway）的天气服务，并且不会保存。你可以在每个伙伴的「你们之间」里关闭这项功能。天气数据来自 MET Norway，采用 CC BY 4.0 许可。

服务商

我们依赖以下服务商运行本服务：

Cloudflare —— 托管和运行本服务
Neon —— 我们的数据库，位于美国
Stripe、PayPal 与 Creem —— 支付处理与账单
OpenAI 与 SeeAPI —— OpenAI 对上传原图做安全检查，并在文字审核开启时检查文字；故障时使用 SeeAPI
Cloudflare Turnstile —— 邮箱登录表单上以及设置密码时的安全验证，用来区分真人和机器人
Cloudflare R2 —— 上传照片与生成内容的存储与分发
Resend —— 事务性邮件发送
MET Norway（挪威气象局） —— 天气预报，仅接收上文所述的粗略坐标
OpenRouter —— 把文字以及请求所需的照片转交给 AI 模型，由这些模型撰写伙伴的回复、读取照片和设计、检查片段，并把语音消息转成文字。我们通过它使用的模型来自 Google（Gemini）、OpenAI 和 DeepSeek
kie.ai 与 fal.ai —— 运行图像、视频、音乐和音效模型，为你的伙伴制作图片、片段和歌曲，模型来自 Kling、字节跳动、Google、OpenAI、MiniMax、Suno 等
Microsoft Clarity —— 仅在你同意分析类 Cookie 后使用，见下文“Cookie 与同意”
Google Fonts —— 提供我们页面上的部分字体，因此你的浏览器加载字体时会把 IP 地址发送给 Google
Google 与 GitHub —— 登录（如果你选择使用）
ElevenLabs —— 让伙伴开口说话，并用录音制作声音，见上文「声音」
MiniMax —— 文字描述的声音、较早用录音做的声音，以及 ElevenLabs 暂时不可用时代为说出这一句

每家服务商仅获得履行其职能所必需的数据。

Cookie 与同意

我们将 Cookie 及类似技术分为三类：

必要类 —— 运行本服务所必需，包括保持登录状态的 Cookie、记录你同意选择的 Cookie、邮箱登录表单上以及设置密码时的 Cloudflare Turnstile 安全验证（只在这些地方加载），以及浏览器里记下的你上次用验证码还是密码登录，好让登录表单直接打开那一步。始终启用，无需同意。
分析类 —— 经你同意分析类 Cookie 后，我们会设置一个第一方 Cookie cariora_ft，保留 30 天。它只记录最早带你来的是哪类网站或链接（例如搜索引擎、社交网站、AI 助手，或链接里的活动名）、你落地的页面类型和日期。如果你同意分析类 Cookie 时所在的页面看不出你是从哪里来的，我们会用下文所述当天在服务器端记下的来源来填写这个 Cookie。你注册账号时我们读取它一次，把这个来源记到你的注册记录上。你可以随时在 Cookie 设置 里撤回同意，撤回后这个 Cookie 会被删除。
分析类（Microsoft Clarity） —— 在同一项同意下，我们会加载 Microsoft Clarity，记录页面的使用过程（点击、滚动、鼠标移动、浏览的页面），生成热力图和会话回放，帮我们找到让人困惑或出错的地方。你在输入框里输入的文字会在离开浏览器前被遮盖。Clarity 会设置它自己的 Cookie（如 _clck、_clsk，最长一年），Microsoft 代表我们按照 Microsoft 隐私声明处理这些数据。撤回分析类同意后，这些 Cookie 会被删除，从下一个页面起停止。
营销类 —— 我们嵌入的第三方服务设置的 Cookie，例如 Google 登录提示。我们不使用广告或联盟归因 Cookie。仅在你同意后加载。

如果你通过朋友的邀请链接来到这里，我们会设置一个第一方 Cookie cr_ref，保留 30 天。它只保存这个邀请码，好让你首次付款满足条件后，你和朋友都能拿到邀请奖励；它属于你点开链接想要的奖励，不用于分析，因此不受你的 Cookie 选择影响。

当配置了非必要 Cookie 时，我们会在你首次访问时展示同意横幅。在你选择接受之前，分析类与营销类不会加载任何内容。你可以随时通过页脚的 Cookie 设置 链接更改或撤回选择。

另外，我们会在服务器上统计每天的访客数。这是服务器端的统计：不在你的设备上存储任何内容，也不受你的 Cookie 选择影响。我们的服务器会把你的 IP 地址和浏览器信息换算成一个每天更换的编号，并记下你是从哪类网站或链接来的。我们只保存这个每日编号和来源类别，不保存 IP 地址、浏览器信息，也不保存你来源页面的完整网址。如果你注册账号时没有 cariora_ft Cookie，我们会用这个编号查一次，把同样的来源记到你的注册记录上。这只对同一天（UTC）的访问有效；如果你在 UTC 零点后六小时内注册，前一天的访问也算。

我们尊重浏览器的选择退出信号：如果你的浏览器发送 Global Privacy Control (GPC) 或 Do Not Track，我们会将其视为拒绝非必要 Cookie 的请求，并且不展示横幅。我们不会将你的照片或消息用于广告。

你的权利

根据你所在地的法律（包括 GDPR 与 CCPA），你可能有权访问、更正、导出或删除你的个人数据，并反对或限制某些处理。请通过联系页面公布的邮箱行使这些权利；你也可以在「设置 → 个人资料」中自行下载数据和注销账户。我们会在适用法律规定的期限内回复。我们可能需要确认请求来自你本人，通常请你用账户邮箱回复即可。

撤回同意。 你可以随时撤回任何同意：Cookie 在 Cookie 设置 中撤回，邮件通过退订链接撤回。
如果我们拒绝。 如果我们拒绝某项请求，会告诉你原因；你可以回复要求我们重新考虑。在欧盟、欧洲经济区或英国，你也可以向当地数据保护机构投诉。
美国各州隐私法。 我们不出售你的个人信息，也不为跨情境行为广告而共享你的个人信息。我们按上文所述尊重 Global Privacy Control。在你所在州允许的情况下，你可以委托授权代理人提出请求；你行使权利不会让你受到区别对待。

跨境数据传输

本服务运行在全球云基础设施之上。我们的数据库位于美国，上文列出的服务商会在美国及其他国家处理数据，因此你的数据可能在你所在国家/地区以外被处理。无论在哪里处理，我们都会按本政策所述加以保护。

儿童

本服务仅面向成年人，不面向任何未满 18 岁的人。 每位注册用户都需确认已年满 18 岁，我们也不会在明知的情况下收集未满 18 岁者的个人数据。如果你认为有未满 18 岁的人拥有账户或向我们提供了个人数据，请联系我们，我们会关闭该账户并删除相关数据。

安全

我们通过传输加密、存储与数据库服务商提供的静态加密、10 分钟内失效的登录验证码、可选且只以单向哈希保存的密码，以及仅限运营本服务的人员访问来保护你的数据。没有任何在线服务能保证绝对安全，但我们会以行业标准措施保护你的数据。如果发生影响你个人数据的泄露，我们会按法律要求通知你和有关部门。

政策变更

随着本服务的发展，我们可能更新本政策。我们会在本页发布更新版本；如有重大变更，会在生效前通过邮件或产品内通知你。

联系方式

Cariora —— 本服务的运营方客服邮箱：联系页面