隐私政策
更新日期：2026 年 9 月 30 日
本政策说明 JUJU Living 在提供生活秘书服务时如何处理信息。
我们访问和处理的信息
根据用户主动提供及授权的范围，我们可能处理账户标识、秘书偏好、日程、提醒、待办和 OAuth 授权令牌。对于 Google Calendar，我们申请 calendar.events 权限，并可能访问用户日历事件的标题、开始与结束时间、地点、备注、提醒、参与者及事件标识，以完成事件查询、创建、修改、删除和冲突检查。我们不申请 Gmail、Google Drive 或完整日历管理权限。
使用目的
Google 用户数据仅用于提供和保护用户主动请求的日历管理功能、展示执行结果、排查安全或服务故障，以及提供用户要求的删除恢复保护。为改进秘书质量，系统还可能保存触发报错、未成功回复或用户明确负面反馈时的少量脱敏文字片段；这些样本不会用于训练第三方通用模型。JUJU Living 不使用 Google 用户数据训练、微调或改进任何通用或个性化 AI/ML 模型，也不允许服务提供方将这些数据用于上述目的。我们不出售用户个人信息，不将 Google 用户数据用于广告、信用评估或建立广告画像。
数据共享、转移与披露对象
为了提供用户主动请求的功能，JUJU Living 可能向以下服务提供方传输或披露必要的最少数据：（1）Google，用于 OAuth 授权和 Google Calendar API 操作；（2）DigitalOcean，作为我们的云服务器托管和唯一外部 AI 推理处理服务商，通过 DigitalOcean Gradient AI Platform 的 Serverless Inference 接口 https://inference.do-ai.run 运行秘书服务并理解、生成日程操作及回复；（3）用户主动连接的微信、企业微信、QQ 或飞书，用于接收用户指令并将日程查询或操作结果返回给该用户。这些服务提供方只能为提供相应服务而处理数据，并受各自条款和隐私政策约束。
当前通过 DigitalOcean Serverless Inference 使用的模型端点包括：OpenAI openai-gpt-oss-120b、智谱 AI glm-5.3-flash 与 glm-5.3，以及 DeepSeek deepseek-v4-pro。JUJU Living 不会把 Google 用户数据直接发送给这些模型创建者。根据 DigitalOcean 的 AI 数据隐私说明，DigitalOcean 不保存托管模型的输入或输出，不使用客户数据训练或微调模型，也不会把这些数据发回原模型创建者用于训练。JUJU Living 未以自托管或离线方式运行上述模型；当前生产环境的外部 AI 推理均经由 DigitalOcean。
除此之外，我们不会向广告平台、数据经纪商或信息转售商共享、出售或出租 Google 用户数据。仅在用户明确同意、为安全调查所必需、法律要求，或企业合并/收购且取得适用的明确同意时，才可能进行其他披露。
人工访问
我们不会让工作人员例行读取用户的完整聊天记录或 Google Calendar 数据。仅为分析自动标记的问题样本、处理用户明确提出的支持请求、调查安全事件或滥用、遵守法律要求，或使用去标识化和汇总数据进行内部运营时，才允许经过授权的必要人员访问最少范围的数据。
质量改进样本
质量改进默认仅记录报错、未成功回复或用户明确表示“不对”“仍然失败”等情况前后的少量文字片段，以及场景、模型、耗时和错误类型。系统会自动遮盖常见邮箱、手机号、密码、验证码、密钥、令牌和长号码；不保存图片、文件或完整长期聊天。脱敏问题样本保存不超过 30 天，每位用户可直接在秘书对话中要求关闭或重新开启。关闭后只保留对话次数、Token 用量和不含对话正文的错误代码。
保存与安全
OAuth 令牌保存在每位订阅用户各自隔离的凭证目录中。我们采用访问控制、加密传输、最小权限和独立用户目录保护数据。日历事件通常按需实时处理；为防止误删和排查操作，系统可能保存最少量操作记录或删除备份。秘书维持对话连续性所需的短期上下文仅保留最近少量消息；质量改进样本最长保留 30 天。
订阅到期、数据保留与账户注销
订阅到期后，账户进入 7 天到期通知期。此期间聊天入口只用于提示续费、账户注销及数据保留选择，不再执行日程、提醒或其他秘书任务，也不调用付费模型。通知期结束后聊天实例会停止连接。
若用户未续费，账户将在服务到期 90 天后自动注销。自动注销将永久销毁该用户实例中的长期和短期记忆、会话、待办、提醒、日历授权令牌、聊天凭据、个人配置及相关实例文件，无法恢复；法律要求保留的最少账务或安全记录除外。用户可以在注销前通过订阅服务渠道申请立即注销，或选择仅将秘书长期档案和记忆保留一年。选择保留记忆时，聊天和日历凭据、短期会话、日志及运行缓存仍会在到期 90 天后销毁；以后恢复服务需要重新绑定聊天入口和日历。记忆保留期届满后仍将自动注销，如需继续保留，应在届满前再次联系服务方。
撤销授权和删除数据
用户可随时在 Google 账号的“第三方应用和服务”中撤销 JUJU Living 的访问权限，也可通过订阅服务渠道申请访问、更正、导出或删除其个人数据、OAuth 令牌、日历操作记录和删除备份。用户可以联系服务方立即注销账户，无需等待 90 天。撤销或删除后，秘书将无法继续访问对应日历。
Google API Limited Use
JUJU Living 对从 Google API 接收的信息的使用和转移将遵守 Google API Services User Data Policy，包括 Limited Use 要求。
English summary for Google users and reviewers
JUJU Living accesses Google Calendar event data only after the user grants the calendar.events scope. We process event titles, times, locations, descriptions, reminders, attendees, and identifiers only to list, create, update, delete, and check conflicts for events at the user's request.
Necessary data may be processed by Google for OAuth and Calendar API operations; by DigitalOcean as our cloud-hosting provider and sole external AI-inference processor, through DigitalOcean Gradient AI Platform Serverless Inference at https://inference.do-ai.run; and by the chat service selected by the user (WeChat, WeCom, QQ, or Feishu) to receive commands and return results. We do not sell Google user data or share it with advertising platforms, data brokers, or information resellers.
The model endpoints currently used through DigitalOcean Serverless Inference are OpenAI openai-gpt-oss-120b, Zhipu AI glm-5.3-flash and glm-5.3, and DeepSeek deepseek-v4-pro. JUJU Living does not send Google user data directly to those model creators. DigitalOcean states that it does not store hosted-model inputs or outputs, use customer data to train or fine-tune models, or send that data back to original model creators for training. JUJU Living does not operate these models in a self-hosted or offline capacity; production external AI inference is routed through DigitalOcean.
JUJU Living does not use Google user data to train, fine-tune, or improve any generalized or personalized AI/ML model, and does not permit its processors to use the data for those purposes. Redacted diagnostic excerpts described above are used only for service debugging and human quality review, never for model training.
Human access is prohibited except with the user's affirmative consent for a specific support request, for security or abuse investigation, to comply with law, or for properly aggregated and de-identified internal operations. Users may revoke access in their Google Account and may request deletion through their JUJU Living service channel.
For service improvement, JUJU Living may retain small redacted excerpts for up to 30 days only when a request errors, produces an unsuccessful reply, or receives explicit negative feedback. Common credentials and identifiers are automatically masked; images, files, and complete long-term chat histories are excluded. Users may disable this feature through their secretary at any time.
After a subscription expires, the account enters a seven-day notice-only period and then its chat instance is disconnected. Unless renewed, the account is automatically deleted 90 days after expiry. Deletion permanently removes the subscriber instance, memories, sessions, tasks, reminders, calendar tokens, chat credentials, preferences, and related files, except for minimal records required by law. Users may request immediate deletion or a one-year memory-only retention period. Under memory-only retention, chat and calendar credentials, short-term sessions, logs, and runtime caches are still destroyed after 90 days; reconnecting those services is required after renewal.
JUJU Living's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.