1. 简介
本隐私政策说明 LIA 这一开源个人 AI 助手如何收集、使用和保护你的个人数据。LIA 由一名独立开发者开发和运营，是一个采用 AGPL-3.0 许可证的开源项目。
LIA 目前免费提供。你可以通过 https://lia.jeyswork.com 使用应用。完整源代码公开可用，你可以随时审查自己的数据如何被处理。
本政策适用于 LIA 的托管实例。如果你部署自己的实例（自托管），你可以控制其运行，并需要评估适用于自身用途的数据保护义务；本政策并不直接适用。不过，我们仍建议你将它作为评估的起点。
使用 LIA 即表示你已阅读并理解本政策。如果你不接受这里所述的条款，请不要使用本服务。
2. 收集的数据
LIA 处理以下类别的数据，以提供服务及你选择使用的可选功能：
用户账户数据：
- 电子邮件地址（唯一标识符）
- 名字和姓氏
- 密码（通过 bcrypt 哈希处理，绝不以明文存储）
- 语言偏好和时区
- 用户角色（普通用户或管理员）
对话数据：
- 你与助手之间交换的消息
- 规划系统生成的执行计划
- 智能体执行操作的结果（邮件搜索、创建日程等）
- 以检查点形式保存在 PostgreSQL 中的对话历史
- 你为个性化助手而提供的记忆、偏好、文档及其他内容
第三方服务连接数据：
- 使用 OAuth 的服务的访问令牌和刷新令牌，包括 Google Workspace 和 Microsoft 365
- Apple iCloud 等连接器的应用专用密码或其他凭据，以及你配置的提供商 API 密钥
- 这些已存储的秘密信息使用 Fernet 加密（AES-128-CBC，配合 HMAC-SHA256 认证）
可选功能数据：
- 你保存的家庭地址，以及你授权访问的浏览器位置；记住最后已知位置也需要你主动启用。这些位置字段经过加密，记住的位置会替换之前的位置，不形成位置历史，关闭该选项时会将其删除
- 语音、会议或多模态请求中使用的音频、转录文本，以及图像或文档
- 你选择连接数据源并使用健康功能时涉及的健康测量数据
使用数据：
- 汇总的运行指标（请求数量、响应时间）和按账户记录的使用情况
- 每次会话消耗的 LLM token 计数
- 带有秘密信息和个人内容脱敏控制的技术错误日志；可选诊断追踪的范围另行界定，详见下文
LIA 不收集的数据：
- 使用通行密钥（passkey）时由你的设备保存的生物识别认证模板
- 应用之外的浏览数据
- 广告画像或定向投放数据
3. 数据处理的法律依据
下表列出了托管服务依据《通用数据保护条例》（GDPR）采用的法律依据：
| 处理活动 | 法律依据 | 理由 |
|---|---|---|
| 创建和管理账户 | 履行合同（第 6.1.b 条） | 提供服务所必需 |
| 与助手对话 | 履行合同（第 6.1.b 条） | 服务的核心功能 |
| 连接第三方服务（Google、Apple、Microsoft） | 明确同意（第 6.1.a 条） | 你主动选择连接每项服务 |
| 向 LLM 提供商发送数据 | 履行合同（第 6.1.b 条） | 助手运行所必需 |
| 技术日志和指标 | 合法利益（第 6.1.f 条） | 维护服务的安全性和可靠性 |
| 语言偏好 Cookie | 同意（第 6.1.a 条） | 保存你的语言选择 |
对于以同意为依据的数据处理，你可以随时撤回同意，这不会影响撤回之前已进行的数据处理的合法性。
4. 托管与数据位置
托管实例的基础设施：
LIA 官方实例自托管在由开发者管理的一台物理服务器上。账户、对话和检查点等持久化应用数据存储在法国。
- 数据库：PostgreSQL，用于持久化存储（账户、对话、检查点）
- 缓存：Redis，用于会话和临时缓存
- 反向代理：Cloudflare Tunnel，用于安全的 HTTPS 访问
- TLS 证书：由 Cloudflare 自动管理
公开演示媒体：
预览图片和视频可以直接从运营者配置的静态媒体服务加载。在官方实例中，演示内容发布在公开的 GitHub release 中，并通过其基础设施分发。加载这些文件时，媒体服务会收到请求通常包含的技术信息，例如 IP 地址和浏览器请求头。这些媒体展示虚构示例，与 LIA 存储的个人内容相互独立。
国际数据传输：
当你与 LIA 交互时，请求所需的数据可能被传输给模型、语音、虚拟形象、搜索或其他服务的提供商，具体取决于你使用的功能和配置。这些提供商可能在欧盟以外设有服务器，尤其是在美国和中国。详情见“LLM 提供商”一节。
连接 Google Workspace、Apple iCloud 和 Microsoft 365 也会与这些提供商的服务器交换数据，并受其各自隐私政策的约束。
5. 数据安全
LIA 实施多层安全架构，旨在保护各个阶段的数据：
BFF（Backend-for-Frontend）架构： 应用会话使用 HttpOnly Cookie。连接器的长期凭据以及模型或虚拟形象的 API 秘密信息在服务器端管理。部分语音和虚拟形象连接会在浏览器中使用临时会话凭据。交互式 Google Maps 在经过身份验证的启用操作后，也会接收一个浏览器 API 密钥；该密钥需要在提供商侧设置限制和适当配额。
敏感数据加密：
- 已存储的连接器凭据、提供商秘密信息和指定的位置字段使用 Fernet 加密（AES-128-CBC + HMAC-SHA256 认证）
- 密码通过 bcrypt 哈希处理（自适应成本因子）
- 访问托管应用时使用 HTTPS；内部连接和备份的保护取决于部署方式
这种字段级加密并不会加密数据库中的每一列。服务器可以读取对话以进行处理，对话并非端到端加密。能够访问数据库和加密密钥的运营者可以访问已存储的数据；这些访问和备份的安全性也取决于实例的运营管理。
个人信息和诊断： 脱敏控制保护技术日志，但不会自动匿名化发送给模型的上下文。你的消息及已连接服务中的相关内容可能包含请求所需的个人信息。如果启用了 LLM 追踪，诊断工具还可能保留模型的输入、输出和关联账户的元数据。运营者必须配置这些数据的访问权限、托管和保留方式。
会话和身份验证：
- 用户会话存储在 Redis 中，并自动过期
- 身份验证依赖安全 Cookie（HttpOnly、Secure、SameSite）
- 客户端 JavaScript 无法读取应用会话的 HttpOnly Cookie；已启用的浏览器语音或虚拟形象会话所使用的临时凭据具有不同的用途
人机验证（可选）： 当运营者启用时，注册、登录和重置密码页面会运行 Cloudflare Turnstile。它在 Cloudflare 提供的框架中分析你浏览器的技术信号，以区分真人与脚本，然后把一个一次性令牌交给页面，由 LIA 的服务器向 Cloudflare 验证。LIA 不保存这些信号，也不会为此设置任何 Cookie；Cloudflare 按其自身的隐私政策处理这些信号。
安全日志： 技术日志使用结构化 JSON 格式（通过 structlog），并通过规则省略引用的用户内容，对识别出的秘密信息和个人信息进行脱敏。这些控制并不意味着所有诊断存储都是匿名的。
命令与私密续接
密钥、文件选择、账户连接和浏览器授权通过操作专用的安全界面完成，而不是由模型构造参数。命令绑定账户及其授权上下文，写入前会再次检查权限和资源版本。命令内容加密并不代表整个服务对运营者不可见；消息和运行所需数据仍受本页所述限制。
6. LLM 提供商
LIA 使用多家大型语言模型（LLM）提供商来处理你的请求。提供商的选择取决于实例配置和任务类型：
| 提供商 | 总部 | 在 LIA 中的用途 |
|---|---|---|
| OpenAI | 美国 | 用于对话和规划的 GPT 模型 |
| Anthropic | 美国 | 用于对话和分析的 Claude 模型 |
| Google（Gemini） | 美国 | 用于多模态处理的 Gemini 模型 |
| DeepSeek | 中国 | 高级推理模型 |
| Qwen（阿里巴巴） | 中国 | 语言处理模型 |
| Perplexity | 美国 | 增强型网页搜索 |
| Ollama | 取决于配置的端点 | 配置为本地服务时，在本地服务器上进行模型推理 |
向 LLM 提供商传输的内容：
- 你的消息内容
- 保持回复连贯所需的对话上下文
- 相关的工具结果（邮件内容、日程详情、文档等），其中可能包含个人数据
语音、会议、图像以及可选的会说话虚拟形象功能，还可能传输各自提供商所需的音频、文本或图像。所选功能和路由决定哪些服务会收到这些数据。
凭据的使用方式： 连接器凭据和提供商密钥用于向相应服务进行身份验证，不会作为对话内容添加到模型提示词中。请避免在消息中输入密码或其他秘密信息：你提供的内容可能成为发送给提供商的请求的一部分。
提供商的承诺： 数据是否用于训练、保留多久以及如何进行其他处理，取决于提供商、产品、账户设置及适用的合同或隐私政策。请查看你启用的每项服务的相关条款；LIA 无法代表这些提供商作出普遍适用的“不用于训练”保证。
选择本地托管的 Ollama 端点，可以让所选模型的推理留在该端点上。这不会让其他集成也变为本地：已连接账户、网页搜索、远程语音或虚拟形象服务仍可能与各自提供商交换数据。
7. 数据保留
数据保留期限根据数据性质确定：
| 数据类型 | 保留期限 | 理由 |
|---|---|---|
| 用户账户 | 在删除步骤中清除个人内容；账户记录和账单记录保留至各自适用的擦除步骤或保留期限届满 | 服务运行、核算及适用的法律义务 |
| 对话历史 | 直至用户删除或账户删除 | 服务连续性 |
| 加密的连接器凭据 | 直至断开服务连接或删除账户 | 访问已连接服务 |
| 记住的浏览器位置 | 更新时替换，关闭主动启用的记忆选项时删除；位置的时效性限制其使用 | 不建立位置历史的基于位置的请求 |
| Redis 会话 | 根据会话和“记住我”设置自动过期 | 安全性 |
| 技术日志和可选诊断追踪 | 为每个诊断存储分别配置的保留期限 | 诊断与安全 |
| 使用指标 | 为指标存储配置的保留期限；关联账户的记录遵循其文档所述的生命周期 | 使用核算与服务运行 |
账户删除： 你可以向管理员申请删除账户。删除步骤会清除对话、记忆、文档、检查点和已存储连接器凭据等个人内容，但会保留账户记录（包括姓名和电子邮件地址）以及账单记录。后续的擦除步骤会移除剩余的账户记录。审计记录、独立诊断存储、备份以及提供商已经收到的数据，都需要各自的保留与擦除程序；任何一个步骤都不会立即清除所有副本。运营者必须在这些存储中处理适用的数据删除请求。
8. 你的权利
根据 GDPR，你拥有以下权利：
- 访问权（第 15 条）：获取我们持有的关于你的全部个人数据的副本。
- 更正权（第 16 条）：更正不准确或不完整的个人数据。
- 删除权（第 17 条）：请求删除你的个人数据（“被遗忘权”）。
- 限制处理权（第 18 条）：在特定情况下请求限制对你的数据的处理。
- 数据可携权（第 20 条）：以结构化、通用且机器可读的格式接收你的数据。
- 反对权（第 21 条）：反对基于合法利益处理你的数据。
- 撤回同意的权利：可以随时撤回，且不会影响撤回前数据处理的合法性。
要行使这些权利，请通过“联系信息”一节所列地址联系我们。我们会及时答复，不作不必要的拖延，通常在收到请求后的一个月内答复；如有正当理由延长期限，我们会按照 GDPR 第 12 条 的规定告知你。
如果你认为自己的权利未得到尊重，你有权向 CNIL（Commission Nationale de l'Informatique et des Libertés，法国国家信息与自由委员会）或其他有管辖权的监管机构提出投诉。
9. Cookie
LIA 使用数量尽可能少的 Cookie，且仅用于功能性目的：
| Cookie | 用途 | 有效期 | 类型 |
|---|---|---|---|
NEXT_LOCALE | 保存你的语言偏好（fr、en、de、es、it、zh） | 1 年 | 功能性 |
| 会话 Cookie | 维持你的身份验证会话 | 会话持续时间 | 严格必要 |
LIA 不使用的机制：
- 不使用追踪 Cookie
- 不使用广告 Cookie
- 不使用第三方分析 Cookie（Google Analytics 等）
- 不使用追踪像素
- LIA 不使用浏览器指纹识别（第 5 节中可选的人机验证由 Cloudflare 提供）
LIA 使用的 Cookie 要么是服务运行所严格必需的，要么与你的明确选择（语言偏好）有关。根据 ePrivacy 指令，严格必要的 Cookie 不需要事先取得同意。
10. 联系信息
如对个人数据保护、权利行使或本政策有任何疑问，你可以通过以下方式联系我们：
- 电子邮件：[email protected]
- 网站：https://lia.jeyswork.com
- 源代码：GitHub（AGPL-3.0）
数据控制者： LIA 由一名独立开发者运营，该开发者是 GDPR 意义上的数据控制者。
本政策的变更： 本政策可能会更新，以反映服务或适用法规的变化。如果发生重大修改，我们会通过应用通知你。以本文开头的更新日期为准。我们建议你定期查阅本政策。
开源透明性： 作为开源项目，LIA 允许你随时审查源代码，准确核实收集了哪些数据、如何处理这些数据以及数据被发送到哪里。这种彻底的透明性是本项目的一项基本承诺。