Datenschutzerklärung

版本 3.0 · 生效日期：2026 年 10 月 30 日

Cuelumi 由桌面客户端和一台由部署者运营的服务器组成。3.0 起，语音识别、AI 回答、会议记录和账号都在服务器上处理；客户端只负责窗口、采集和展示。服务器运营者就是本告知中的数据处理者，其身份与联系方式应由实际部署方填写为 [运营主体]、[联系邮箱]。

1. 采集什么、什么时候采集

• 麦克风与系统声音：只有在你开始会议后采集。客户端按 40 毫秒一帧（16 kHz、单声道、PCM16）通过加密 WebSocket 发到服务器，再由服务器转发给配置的语音识别供应商。
• 屏幕截图：只有在你打开"提问时附带屏幕"并实际提问时采集。截图只随该次提问上传，用于生成这一次回答。
• 转录与对话：语音识别返回的已确认句子、你的提问、AI 回答、纪要、跟进邮件会作为会议事件保存在服务器。
• 知识库资料：你主动上传的简历、产品资料或话术。服务端提取其中的文字后保存，用于回答时检索相关段落；列表只显示文件名和字数。
• 临时音频（可选）：只有开启"会后区分说话人"时，对方的系统声音会在会议期间临时写入服务器磁盘；会议结束后加密并用于声纹计算，处理完立即删除，最长保留 24 小时。
• 账号信息：邮箱、显示名、密码哈希（PBKDF2-SHA256，加盐）和登录令牌哈希。客户端保存的登录令牌使用 Windows DPAPI 保护。

不采集：通讯录、其他应用内容、键盘输入、鼠标轨迹、摄像头画面。客户端不做截屏以外的屏幕读取。

2. 服务器保存什么、保存多久

当前版本没有按时间自动过期会议的功能。需要缩短留存时，请手动删除会议或账号；运营者也可以按自己的合规要求增加定期清理。

3. 谁会收到数据

• 语音识别供应商：服务器按运营者配置选择腾讯云、阿里云或火山引擎之一，音频实时发往该供应商。供应商可能在你所在地区以外处理数据，其留存与训练政策以该供应商条款为准。
• AI 供应商：提问时，服务器会把问题、相关转录片段、模式指令以及（若开启）本次截图发往运营者配置的 OpenAI 兼容接口。若模型不支持图片，服务器会拒绝带图请求，不会降级发送；若当前模式挂了知识库，还会发送与该问题相关的资料片段。
• 支付服务：只有运营者配置 Stripe 时才启用。银行卡资料由 Stripe 收银台收集，服务器只保存客户/订阅标识、订阅状态和额度流水。
• 日历/邮件服务：只有运营者配置并经由你授权后才连接；邮件只在你主动生成跟进邮件时打开本机邮件客户端或 Gmail 网页。

本项目自身不把会议内容用于训练模型，也不提供遥测、崩溃上报或广告 SDK。第三方供应商是否将数据用于训练，取决于其合同与条款，运营者应在采购时确认。

4. 传输与安全

客户端到服务器使用 HTTPS/WSS；服务器校验 Bearer 令牌，密码与令牌只存哈希；接口有频率限制与租户隔离。这不是端到端加密：服务器在生成回答和纪要时需要读取会议内容。请使用运营者提供的可信服务器地址，不要在共享电脑上保存登录状态。

5. 你的选择与权利

• 开始前告知：客户端首次开始会议会提示告知参会人并取得同意；确认只保存在本机。提示不能代替实际同意，如有人不同意请停止采集。
• 随时停止：控制条的红色计时表示正在采集；Ctrl+Shift+\ 结束会议，结束即停止上传音频。
• 查看与导出：工作台可以查看会议转录、问答和纪要；GET /v1/account/export 可导出当前服务器上的账号与业务数据。
• 删除会议：在工作台删除单场会议，服务器会同时删除其转录、问答和纪要。
• 删除资料：在工作台删除知识库资料会同时删除其文字；删除账号会删除全部会议与资料。
• 删除账号：工作台"设置 → 删除账号"会删除当前服务器数据库中该账号及关联记录，并撤销登录、尝试取消订阅。不含账号标识的每日用量总量会保留，用于防止重复注册绕过服务器额度上限。
• 删除的边界：删除不会自动清除运营者备份、你已导出的文件、其他设备上的副本，也不会撤销第三方支付平台依法保留的账务记录。备份清理期限由运营者在其运维策略中约定。

6. 使用对象与场景

Cuelumi 面向工作场景的成年使用者，不面向未成年人。请只在你有权记录和处理的会议中使用；不要导入或提交无权处理的个人信息、商业秘密或受保密协议限制的内容。

7. 变更与联系

本告知随版本更新。重大变更会在客户端或发布说明中提示。隐私问题、数据访问或删除请求请联系 [联系邮箱]；需要法定名称、地址和数据区域时，以运营者提供的补充告知为准。

English summary

Cuelumi 3.0 is a desktop client plus a server operated by its deployer. During a meeting the client sends 40 ms PCM frames over WSS; the server forwards audio to the configured speech provider (Tencent, Alibaba or Volcano) and stores only confirmed transcript sentences, questions, answers, summaries and follow-up emails. Raw audio, partial captions and screenshots are not persisted. Account data, password/token hashes and usage ledgers are stored until account deletion. The project itself does not use meeting content for model training and ships no telemetry; third-party providers' retention and training terms apply. HTTPS/WSS and tenant isolation are used, but the server can read meeting content (no end-to-end encryption). You can stop recording, delete meetings, export data or delete the account in the app. Deletion does not reach operator backups, exported files or other devices; backup expiry is the operator's responsibility. The service is intended for adult workplace use, not minors. Operator identity and contact must be completed by the deployer.