一、适用范围与核心原则
本政策适用于 TokenFlow 的官方网站、云端仪表盘、API、设备授权流程、公开 embed、小组件预览、管理后台及我们后续提供的相关线上服务。
TokenFlow 的核心原则是最小必要：我们只处理提供账号、同步、统计、展示、安全和支持所需的信息。TokenFlow 的设计目标不是上传您的 prompt、AI 回复、源代码、项目文件、对话正文或文档内容。
如果某个客户端、脚本或第三方集成被错误配置并上传了不应上传的内容，请立即停止同步并联系我们处理。
二、我们收集的信息类别
账号与身份信息：当您通过 GitHub 或 Google 登录时，我们可能接收并保存邮箱地址、显示名称、头像 URL、登录提供方、提供方用户 ID、账号创建时间和更新时间。我们可能使用已验证邮箱将同一用户的 GitHub 与 Google 登录关联到同一 TokenFlow 账号。
认证与安全信息：我们保存会话 token 哈希、OAuth state、设备绑定验证码状态、设备 token 哈希、API key 哈希、key 前缀、后四位、权限范围、创建时间、最后使用时间和撤销时间。我们不会在服务端保存完整明文 API key、设备 token 或会话 token。
设备信息：当您绑定设备时，我们可能保存设备名称、平台、设备 ID、创建时间、最后同步时间和撤销时间。
AI 使用元数据：TokenFlow 会接收 agent 或来源名称、模型名称、时间桶、输入 token、缓存输入 token、输出 token、reasoning token、缓存创建 token、总 token、估算或记录成本、定价状态、按日快照和聚合统计。
浏览器本地设置：仪表盘可能在本地保存语言、主题、只读 embed token 等偏好。只读 embed token 用于生成公开嵌入链接，您应像公开访问凭证一样谨慎处理。
基础设施元数据：托管和安全服务可能处理 IP 地址、User-Agent、请求时间、请求 URL、错误事件和安全事件，用于交付、调试、保护和运营服务。
支持沟通信息：当您通过邮件或其他方式联系我们时，我们会处理您主动提供的邮箱、消息内容、日志、截图和问题上下文。
三、我们不会主动收集的内容
TokenFlow 不需要也不会主动收集 prompt 文本、AI completion 文本、源代码内容、项目文件、文档内容、完整对话记录、支付卡信息、精确地理位置、政府身份证件号码、生物识别信息、健康信息或儿童个人信息。
请不要在设备名、API key 名称、support 邮件或公开 embed 文案中放入敏感信息、密钥、客户资料、商业秘密或第三方个人信息。
四、我们如何使用信息
我们使用信息来提供 TokenFlow 账号、登录、设备绑定、API 鉴权、用量同步、仪表盘展示、热力图、图表、成本估算、公开 embed、管理后台和技术支持。
我们使用信息来保护服务安全，包括识别异常访问、撤销泄露凭证、防止滥用、排查故障和维护系统稳定性。
我们可能基于聚合或去标识化数据改进产品体验、理解功能使用情况和优化性能。我们不会将 TokenFlow 用量元数据出售给第三方，也不会把它用于跨站广告画像。
五、共享、委托处理与公开披露
我们不出售个人信息。我们仅在提供服务、获得您的授权、遵守法律、保护安全或完成您主动公开分享的场景下共享信息。
服务依赖的第三方包括 Cloudflare Workers 和 D1 等基础设施服务，GitHub 与 Google 等登录服务，以及未来可能接入的邮件、错误监控、支付、客服或安全服务。第三方只能在其服务目的范围内处理必要信息。
如果您发布公开 embed URL，任何获得该 URL 的人都可能看到对应的聚合用量信息。公开 embed 是您主动选择的披露行为，我们无法控制第三方页面、缓存、截图、fork 或搜索结果中已经公开的信息。
我们可能在法律程序、监管要求、安全事件、权利保护或合并、重组、资产转让等情况下披露必要信息，并会在合理范围内要求接收方继续保护相关信息。
六、跨境处理
TokenFlow 面向不同国家和地区的用户。您的信息可能由我们、基础设施服务商、登录提供方或支持人员在您所在国家或地区之外处理。
如果适用法律要求，我们会采用合理的跨境保护措施，例如合同义务、供应商安全评估、访问控制和最小必要处理。
如果您所在地区对跨境处理有特殊要求，可以通过隐私邮箱联系我们了解当前处理方式。
七、保存期限与删除
我们仅在实现本政策所述目的所需期间保存信息，除非法律、安全、反滥用、争议处理或运营原因需要更长时间保存有限记录。
会话记录会在配置的会话期限后失效；OAuth state 和待绑定设备记录是短期记录；账号、设备、API key 和用量元数据会在账号有效期间保存，或在删除请求处理后删除或匿名化。
撤销设备或 API key 会阻止后续访问，但历史用量记录可能继续保留，直到账号级删除请求被处理。删除方式见《数据删除说明》。
八、安全措施
我们采取 HTTPS/TLS、HTTP-only 会话 cookie、token 哈希存储、API key 分权限、设备撤销、管理访问限制、托管平台访问控制等措施保护信息。
没有任何在线服务可以保证绝对安全。请妥善保管 GitHub/Google 登录账号、浏览器会话、设备 token、API key 和公开 embed URL。如发现泄露，请尽快撤销相关凭证并联系我们。
九、您的权利与选择
您可以退出登录、撤销设备、删除或撤销 API key、移除公开 embed URL、停止同步客户端，或通过隐私邮箱请求访问、更正、删除、导出、限制处理或说明信息处理规则。
如果您位于中国大陆，您可能享有知情、决定、查阅、复制、更正、补充、删除、撤回同意、注销账号、限制或拒绝处理等权利。如果您位于欧盟、英国、瑞士、加州或其他有隐私法律的地区，您也可以按照当地法律行使访问、删除、更正、可携带、反对处理、撤回同意或投诉等权利。
隐私请求请发送至 privacy@renaissancemind.ai。为了保护账号安全，我们可能需要验证您对账号的控制权后再处理请求。
十、未成年人、政策更新与联系方式
TokenFlow 面向开发者、研究者和成人用户，不面向儿童。我们不会有意收集儿童个人信息。
我们可能随产品、法律或基础设施变化更新本政策。重大变更会通过网站、仪表盘、仓库文档或其他合理方式提示。
隐私问题请联系 privacy@renaissancemind.ai。服务和账号问题请联系 support@renaissancemind.ai。