版本 3.0 · 生效日期：2026 年 10 月 30 日
Cuelumi 由桌面客户端和一台由部署者运营的服务器组成。3.0 起，语音识别、AI 回答、会议记录和账号都在服务器上处理；客户端只负责窗口、采集和展示。服务器运营者就是本告知中的数据处理者，其身份与联系方式应由实际部署方填写为 [运营主体]、[联系邮箱]。
1. 采集什么、什么时候采集
- 麦克风与系统声音：只有在你开始会议后采集。客户端按 40 毫秒一帧（16 kHz、单声道、PCM16）通过加密 WebSocket 发到服务器，再由服务器转发给配置的语音识别供应商。
- 屏幕截图：只有在你打开"提问时附带屏幕"并实际提问时采集。截图只随该次提问上传，用于生成这一次回答。
- 转录与对话：语音识别返回的已确认句子、你的提问、AI 回答、纪要、跟进邮件会作为会议事件保存在服务器。
- 知识库资料：你主动上传的简历、产品资料或话术。服务端提取其中的文字后保存，用于回答时检索相关段落；列表只显示文件名和字数。
- 临时音频（可选）：只有开启"会后区分说话人"时，对方的系统声音会在会议期间临时写入服务器磁盘；会议结束后加密并用于声纹计算，处理完立即删除，最长保留 24 小时。
- 账号信息：邮箱、显示名、密码哈希（PBKDF2-SHA256，加盐）和登录令牌哈希。客户端保存的登录令牌使用 Windows DPAPI 保护。
不采集：通讯录、其他应用内容、键盘输入、鼠标轨迹、摄像头画面。客户端不做截屏以外的屏幕读取。
2. 服务器保存什么、保存多久
| 数据 | 是否保存 | 期限 |
|---|---|---|
| 原始音频 | 否。仅在内存中转发，连接结束即释放 | — |
| 未确认的实时字幕（partial） | 否 | — |
| 屏幕截图 | 否。仅在该次请求内使用 | — |
| 已确认转录、提问、回答、纪要、邮件 | 是 | 直到你删除该会议或删除账号 |
| 知识库资料的文字 | 是 | 直到你删除该资料或删除账号 |
| 账号、登录令牌哈希、额度流水 | 是 | 账号存续期间；删号时删除 |
| 访问日志 | 是。只记录方法、路由、状态码、耗时，不含令牌、查询参数和正文 | 随服务器日志策略 |
当前版本没有按时间自动过期会议的功能。需要缩短留存时，请手动删除会议或账号；运营者也可以按自己的合规要求增加定期清理。
3. 谁会收到数据
- 语音识别供应商：服务器按运营者配置选择腾讯云、阿里云或火山引擎之一，音频实时发往该供应商。供应商可能在你所在地区以外处理数据，其留存与训练政策以该供应商条款为准。
- AI 供应商：提问时，服务器会把问题、相关转录片段、模式指令以及（若开启）本次截图发往运营者配置的 OpenAI 兼容接口。若模型不支持图片，服务器会拒绝带图请求，不会降级发送；若当前模式挂了知识库，还会发送与该问题相关的资料片段。
- 支付服务：只有运营者配置 Stripe 时才启用。银行卡资料由 Stripe 收银台收集，服务器只保存客户/订阅标识、订阅状态和额度流水。
- 日历/邮件服务：只有运营者配置并经由你授权后才连接；邮件只在你主动生成跟进邮件时打开本机邮件客户端或 Gmail 网页。
本项目自身不把会议内容用于训练模型，也不提供遥测、崩溃上报或广告 SDK。第三方供应商是否将数据用于训练，取决于其合同与条款，运营者应在采购时确认。
4. 传输与安全
客户端到服务器使用 HTTPS/WSS；服务器校验 Bearer 令牌，密码与令牌只存哈希；接口有频率限制与租户隔离。这不是端到端加密：服务器在生成回答和纪要时需要读取会议内容。请使用运营者提供的可信服务器地址，不要在共享电脑上保存登录状态。
5. 你的选择与权利
- 开始前告知：客户端首次开始会议会提示告知参会人并取得同意；确认只保存在本机。提示不能代替实际同意，如有人不同意请停止采集。
- 随时停止：控制条的红色计时表示正在采集；
Ctrl+Shift+\结束会议，结束即停止上传音频。 - 查看与导出：工作台可以查看会议转录、问答和纪要；
GET /v1/account/export可导出当前服务器上的账号与业务数据。 - 删除会议：在工作台删除单场会议，服务器会同时删除其转录、问答和纪要。
- 删除资料：在工作台删除知识库资料会同时删除其文字；删除账号会删除全部会议与资料。
- 删除账号：工作台"设置 → 删除账号"会删除当前服务器数据库中该账号及关联记录，并撤销登录、尝试取消订阅。不含账号标识的每日用量总量会保留，用于防止重复注册绕过服务器额度上限。
- 删除的边界：删除不会自动清除运营者备份、你已导出的文件、其他设备上的副本，也不会撤销第三方支付平台依法保留的账务记录。备份清理期限由运营者在其运维策略中约定。
6. 使用对象与场景
Cuelumi 面向工作场景的成年使用者，不面向未成年人。请只在你有权记录和处理的会议中使用；不要导入或提交无权处理的个人信息、商业秘密或受保密协议限制的内容。
7. 变更与联系
本告知随版本更新。重大变更会在客户端或发布说明中提示。隐私问题、数据访问或删除请求请联系 [联系邮箱]；需要法定名称、地址和数据区域时，以运营者提供的补充告知为准。
English summary
Cuelumi 3.0 is a desktop client plus a server operated by its deployer. During a meeting the client sends 40 ms PCM frames over WSS; the server forwards audio to the configured speech provider (Tencent, Alibaba or Volcano) and stores only confirmed transcript sentences, questions, answers, summaries and follow-up emails. Raw audio, partial captions and screenshots are not persisted. Account data, password/token hashes and usage ledgers are stored until account deletion. The project itself does not use meeting content for model training and ships no telemetry; third-party providers' retention and training terms apply. HTTPS/WSS and tenant isolation are used, but the server can read meeting content (no end-to-end encryption). You can stop recording, delete meetings, export data or delete the account in the app. Deletion does not reach operator backups, exported files or other devices; backup expiry is the operator's responsibility. The service is intended for adult workplace use, not minors. Operator identity and contact must be completed by the deployer.