PixOnDeck 隐私政策

最后更新：2026年9月24日

本政策说明 PixOnDeck 如何为 https://pixondeck.com（“本站”）及 PixOnDeck Chrome 扩展（合称“服务”）处理个人信息。

1. 适用范围与服务可用性

PixOnDeck 由一位位于香港、以 PixOnDeck 为商号的个人独资经营者运营。隐私相关请求可发送至 privacy@pixondeck.com。

PixOnDeck 提供视觉配方库、浏览器端图片与视频工具、账户和已保存作品、托管图片与视频生成、积分功能及可选的邮件订阅。Chrome 扩展通过你的 PixOnDeck 账户提供图片反推提示词分析，可选择使用 PixOnDeck 积分，或在启用时使用自己的 API 凭据（BYOK）。功能是否可用取决于服务及账户设置；预览或禁用的控件并不表示该功能已开放。

以下各节说明在你使用已启用的托管生成、积分或结账功能时适用的额外处理。我们不出售个人信息，不投放定向广告，也不使用跨站广告追踪器。

2. 我们处理的信息

• 免费图片工具使用的文件： 为图片放大、压缩、调整尺寸、格式转换或背景移除工具选择的图片，在你的浏览器本地处理。图片字节及本地生成的结果不会发送至 PixOnDeck 服务器。浏览器仍会请求运行工具所需的页面、模型、运行时及编解码器资源；交付这些资源时，可能处理下文所述的常规托管与安全数据。
• 托管邮票边缘工具： 此工具会将你选择的图片发送至 PixOnDeck，在服务器端转换。输入在内存中处理，生成的 PNG 私密存储在你的账户下。此工具与上述纯浏览器工具不同。其已保存输出不适用下文的生成历史删除控件；如需删除，请联系 privacy@pixondeck.com。
• 账户信息： 如果你通过 Clerk 创建账户，我们会收到账户标识符，以及电子邮箱、姓名和头像等个人资料。Clerk 负责处理身份验证凭据。
• Deck 信息： 对于已登录用户，我们会处理保存至 Deck 的技能卡标识符。浏览器也可能保留本地 Deck 选择。
• 候补名单与电子简报信息： 我们收集你提交的电子邮箱，以及角色、兴趣、来源页面、语言地区或所选技能等可选信息。
• 生成内容： 当托管生成已启用且你使用该功能时，我们会处理你的参考图片、视频或音频（如支持）、提示词、所选配方、模型选择、宽高比、分辨率、时长及其他生成设置，以及生成结果。请勿上传政府签发的身份标识信息、医疗或生物识别记录、其他高度敏感信息、儿童图片，或你无权处理的第三方素材。
• Chrome 扩展内容： 当你选择网页图片或上传文件进行图片反推提示词分析时，扩展会在本地准备最长边不超过 480 像素的上传图片。在 PixOnDeck 积分模式下，扩展会将此处理后的图片及图片尺寸发送至 PixOnDeck，PixOnDeck 再通过 OpenRouter 将图片发送至所配置的 OpenAI 模型以生成提示词。原始源图片不包含在此次反推分析上传中。生成的提示词及你选择发送至本站的文本也会被处理。账户标识符、身份验证／会话信息及积分余额用于支持登录、授权请求与积分结算。扩展不会记录浏览历史，也不会自动提交你浏览的图片。
• Chrome 扩展 BYOK： 当你选择 BYOK 时，扩展会使用你的 API 密钥和所选模型，将处理后的图片及分析指令直接发送至你配置的 HTTPS API 端点。PixOnDeck 不会收到该密钥，也不会在其服务器上处理 BYOK 分析请求。端点运营者会收到你的图片、请求、API 凭据及常规连接信息，并适用其自己的收费、保留及数据使用政策。BYOK 分析需要登录 PixOnDeck，但不消耗 PixOnDeck 积分。将生成的提示词复制到其他服务属于单独操作，受该服务的规则约束。
• 已保存提示词： 当你将提示词保存至素材库时，PixOnDeck 会在你的账户下存储提示词文本、标题、图片尺寸、时间戳及可选的压缩缩略图，以供跨设备访问。这适用于积分模式及 BYOK 模式的提示词。保存操作不会上传原始图片或 BYOK API 密钥。免费素材库每个账户最多可保存 100 条提示词。
• 生成与积分元数据： 我们处理账户 ID、生成与客户端请求 ID、所选技能及模型、状态、阶段、错误及耗时信息、预留或退回的积分、存储对象引用、供应商报告的成本，以及可用时的供应商生成 ID。生成历史可在 D1 中将提示词文本和设置与生成元数据一起存储。源媒体字节与这些数据库记录分开保存；积分账本条目记录账务活动。
• 支付与账务信息： 如果已启用付费套餐，我们会处理账户 ID、套餐及价格标识符、积分数量、美元金额与币种、Stripe 结账、支付、事件、退款及争议标识符、支付状态、时间戳，以及只追加的积分账本条目。PixOnDeck 是销售方和商户。Stripe 作为我们的支付处理商，处理结账联系信息、账单及支付方式信息。PixOnDeck 不会收到或存储完整卡号。我们读取带签名的 webhook 正文以验证事件并进行持久化处理；请求结束后，PixOnDeck 不会有意保留原始 webhook 正文。
• 通信： 我们保留你就支持、版权、账单、法律或隐私请求发送的消息。
• 技术与使用数据： 托管和安全系统可能处理 IP 地址、浏览器及设备详情、语言、访问页面、时间戳、基于 HMAC 的假名化标识符、限流桶，以及运营、安全和汇总产品分析所需的有限交互事件。我们不会有意在应用分析表或限流表中存储原始 IP 地址。为防止重复领取新用户积分，我们还会存储基于 HMAC 的标识符，其来源为你已验证的电子邮箱、邮箱域名及第一方随机浏览器标识符，并关联成功发放积分的记录。在防止重复领取所需期间，这些假名化记录会与积分账本一起保留。

3. 我们如何使用信息及其原因

我们使用信息来验证账户身份；同步 Deck；提供你请求的图片反推提示词分析、生成及私密结果交付；预留、结算或退回积分；创建并核对已启用的购买、退款、拒付及其他必要支付调整；处理你请求的候补名单或电子简报订阅；保障服务安全并运营服务；防止滥用和重复计费；诊断故障；开展有限的汇总使用统计；回复通信；执行条款；以及遵守法律。

对于欧洲经济区（EEA）或英国的用户，适用的法律依据可能包括：为所请求的账户、生成、积分及购买功能履行合同；为电子简报营销取得同意；为安全、防欺诈、服务可靠性、支持及有限汇总分析实现合法利益；以及为账务、税务、支付争议、退款、拒付和依法要求的请求履行法律义务。

4. 服务供应商与其他接收方

我们仅披露实现相关功能所合理需要的信息：

OpenRouter 与下游模型端点可能采用不同的数据保留及使用政策。PixOnDeck 不会使用生成内容或扩展图片反推提示词内容训练自己的模型，但除非产品明确说明并落实该设置，我们不承诺每个所选第三方端点均实行零数据保留。Stripe 根据其自身隐私声明及法律义务处理结账和支付信息。

我们也可能在法律要求时、为保护权利或安全，或作为业务转让的一部分披露信息。我们不会为定向广告出售、出租或披露个人信息。

5. 媒体与记录保留

• 普通生成任务的工作输入和请求封装会在最终成功或失败后安排从私密 R2 中删除，必要时重试清理。配方会话参考素材及尚未关联视频任务的上传文件适用下述单独期限。
• 生成历史会保留提交的提示词和设置，直至你删除记录。服务器端参考图片仅为执行生成任务而临时存储，任务结束后删除；清理失败时会安排重试。浏览器可能保留按账户隔离的本地参考图缓存，用于重复生成，有效期为 24 小时，最多 20 张图片／50 MB。过期条目会在下次访问缓存时移除；清除浏览器网站数据也会移除这些条目。缺失或过期的参考图必须重新上传。我们不保留服务器端参考图库。生成结果最长可用七天。删除历史记录会移除其保存的提示词／设置、媒体及该浏览器中对应的本地参考图缓存；运营账务记录会保留。
• 成功生成的结果通常可用七天。实际删除可能在后续清理运行时完成。失败、被过滤或不可用的部分结果会在任务终结清理时删除。
• 媒体删除后，生成元数据、支付记录及只追加的积分账本仍可能按需保留，用于运营账户、防止重复扣费或滥用、核对供应商成本、维护账务及税务记录、处理退款或拒付、解决争议和履行法律义务。这些记录包含运营标识符及金额，不包含源图片或生成图片字节。
• 配方会话状态及参考媒体的有效期为 24 小时，并由后续定期清理移除。它们可能在同一会话的各步骤之间保留。尚未关联已提交任务的视频参考上传文件有效期为两小时，之后清理。
• 账户及 Deck 数据会在提供账户功能所需期间，以及账户关闭后的合理期间保留，并受安全、法律及备份要求约束。
• 取消订阅会停止电子简报营销，但不一定删除联系人记录。我们可能保留订阅状态、同意记录及最少必要的退订抑制记录，以遵守并证明已落实退订。你可以另行请求删除不再需要的信息。
• 通信及运营日志仅在支持、安全、分析、争议处理或法律合理需要的期间保留。已删除数据在被覆盖前，可能仍在有限的备份或灾难恢复周期内保留。

Chrome 扩展记录

• 云端保存的提示词及其私密缩略图会保留至你删除；它们与保留七天的本地最近任务历史分开。移除本地最近任务不会移除其云端保存副本。移除已保存提示词会将其从云端素材库移除，并安排删除其缩略图，必要时重试清理。根据托管供应商的备份保留规则，数据库恢复副本可能暂时保留已删除记录。卸载扩展不会删除云端保存的提示词。

• BYOK API 密钥在当前浏览器会话期间保留于扩展会话存储中，不会同步至你的 Google 账户，也不会由 PixOnDeck 存储。你可以在 BYOK 设置中清除密钥。端点、模型及模式偏好保存在本地。网页内容脚本无法读取这些凭据。BYOK 与积分模式任务历史共用按账户隔离的本地工作区，保留期限为七天，上限为 140 个任务。关闭面板可能中断 BYOK 请求；供应商仍可能处理请求或收费，扩展不会自动重试。

• 按账户隔离的任务历史、提示词草稿、缩略图、原始图片及处理后的图片副本存储于本地扩展存储中，有效期为七天。过期记录在后续使用和清理时移除，并不保证在到期的确切时刻通过后台删除。扩展每个账户最多保留 140 个任务标签页。删除任务会移除其对应的本地图片缓存。

• 所选网页图片 URL 可能暂时保留在扩展会话存储中，以恢复待处理的选择。超过一小时的待处理选择会在处理时被拒绝并清除。这不是浏览历史记录流。

• 在 PixOnDeck 积分模式下，处理后的图片会临时存储于 PixOnDeck 基础设施中以运行分析，并在成功或失败后安排删除，必要时重试清理。服务器端反推提示词内容及编辑后传递至本站的内容在 24 小时后过期。过期会阻止访问；实际清理可能在后续维护运行时完成。

• 运营任务元数据、供应商使用量／成本凭证及积分账本记录可能为可靠性、防滥用及账务目的而保留。删除本地任务不会删除必要的服务器账务记录。第三方供应商的保留期限仍受上述政策约束。

6. Cookie 与本地存储

本站还使用有效期最长一年的第一方 pixondeck_visitor Cookie，用于使用统计和防滥用中的访客识别。登录时，使用事件可能与你的账户标识符关联；未登录时，则可能与访客 Cookie 派生的假名化标识符关联。标识符经过哈希处理并不意味着这些记录一定匿名。

我们使用必要的会话 Cookie 进行账户身份验证，并使用有限的浏览器存储保存偏好和本地 Deck 状态。第一方安全 Cookie 会记住一个随机浏览器标识符，最长一年，以限制跨账户重复领取新用户积分。它不会收集硬件指纹，也不会跨其他网站追踪你。清除该 Cookie 会从浏览器移除浏览器标识符，但不会删除现有账户或积分记录。安全供应商可能使用短期令牌。启用 Stripe 结账时，Stripe 可能依其自身隐私声明，在结账中处理必要的 Cookie 及技术数据。OpenRouter 请求在服务器之间发出，不会向本站添加 OpenRouter 浏览器追踪器。我们不使用广告 Cookie。

Chrome 扩展使用共享的 PixOnDeck／Clerk 登录会话及必要的身份验证存储。其网页内容脚本不会收到会话令牌。网站权限用于启用图片选择控件，并获取你明确选择的图片，包括托管于其他域名的图片。你可以在 Chrome 中限制网站访问权限，改用文件上传。扩展任务记录及本地图片副本与本站的本地存储分开；清除扩展数据或移除扩展会删除这些本地记录。

7. 国际传输

供应商可能在美国、欧洲或其运营的其他国家处理信息。在有要求时，供应商或其他责任方可能依据充分性决定、标准合同条款、欧盟—美国数据隐私框架或其他合法传输机制。存储位置提示或网络位置并不保证所有处理都发生在同一国家。

8. 安全

我们采用合理的技术与组织保障措施，包括加密传输、经身份验证的账户路由、私密对象存储、限定范围的密钥存储、请求大小限制、限流及只追加的账务控制。任何在线服务都无法保证绝对安全。

9. 儿童

本服务不面向未满 16 岁的儿童，或其居住地规定的更高最低年龄以下人士。请勿向托管生成或图片反推提示词分析上传儿童图片。如果你认为有儿童提交了个人信息，请联系 privacy@pixondeck.com。

10. 你的权利

视居住地而定，你可能有权请求访问、更正、删除、限制处理、反对处理或数据可携带，撤回同意，或向监管机构投诉。请发送邮件至 privacy@pixondeck.com。我们可能在处理前核实你的身份，并将在适用法律规定的期限内回复。

如果必须为账务、税务、支付、防欺诈、安全、拒付、争议或其他法律目的保留记录，删除和限制处理的权利可能受到限制。Stripe 对部分结账和支付记录独立行使控制权；你也可以直接向 Stripe 行使适用权利。

加利福尼亚州及其他适用美国州的居民可行使当地隐私法律赋予的权利。我们不出售个人信息，也不会为定向广告共享个人信息。你可以联系我们，行使适用于你的任何权利。

11. 变更与联系

我们可能随服务变化更新本政策。在合理需要时，我们会公布重大变更。

• 隐私请求：privacy@pixondeck.com
• 一般联系：hello@pixondeck.com
• 网站：https://pixondeck.com