EvidencePilotEvidencePilot 隐私说明
会员合同版本：2026-08-21-membership-v1 隐私补充版本：2026-09-04-desktop-privacy-v2 更新日期：2026 年 9 月 4 日
一、提供服务所必需的信息
为提供注册、登录、手机验证、会员、额度和任务服务，平台会处理账号标识、邮箱或手机号、验证结果、登录状态、会话记录、会员期限、实时额度、任务编号、用量记录，以及防止滥用、保障账号与服务安全所必需的审计记录。短信验证码用于完成当次验证，发送及校验过程会保留必要的安全记录。安全审计与计费记录不属于下文所述的可选产品分析或可选诊断数据。
创建订单后，平台还会处理订单号、套餐、金额、订单状态、创建与确认时间、支付宝交易号，以及退款或发票申请所需的信息。这些记录用于支付核验、会员开通、对账、争议处理、退款、开票和安全审计。
二、支付宝付款
个人会员订单会跳转至支付宝页面完成付款。为创建和核验交易，平台会向支付宝发送订单号、订单金额、商品说明及必要的商户和应用标识，并通过服务器接收支付宝返回的交易状态和交易标识。支付密码及完整银行卡信息由支付宝处理，EvidencePilot 不接收这些付款凭证。
浏览器从支付宝返回时，订单页只查询服务器记录，不在本地直接修改会员状态。只有服务器核验支付宝异步支付通知后，订单状态和会员权益才会更新。
三、本地项目文件与科研数据
项目目录、PDF、数据表和产物默认保留在用户设备。软件只在用户授权的范围内访问文件；需要写入时使用任务专用的结果目录，避免以原始输入文件作为输出目标。NGS 本地预检以只读方式检查用户明确选择的文件，不默认上传文件内容，也不在原始数据目录内生成分析结果。
完成用户主动选择的模型推理、联网检索或远程计算时，只发送实现该任务所必需的文本片段、参数、文件或上下文。界面会在适用时提示相关权限、风险或外部处理边界；用户可以取消任务或撤销目录授权。
四、第三方处理
注册、短信登录和手机绑定时，页面会调用 Cloudflare Turnstile 完成人机验证，Cloudflare 会处理完成挑战所需的网络和浏览器安全信号；服务器只接受与当前操作和本站域名匹配的短时验证结果。短信验证码由阿里云号码认证服务发送和校验。人机验证与短信服务不会接收用户的科研项目文件。
根据用户选择和任务路由，必要内容还可能发送给支付宝、模型服务商、搜索服务、文献数据库或远程计算服务商。使用自有模型密钥时，相应调用还受用户与密钥提供方之间的条款约束。平台不会把科研原始文件用于对外出售。
五、可选产品分析与错误诊断
桌面端的“产品分析”和“错误诊断”是两项相互独立、默认关闭的选择。用户主动开启产品分析后，软件才会发送受限的使用事件，例如应用版本、macOS 主版本、处理器架构、用户旅程步骤及其结果和耗时区间、稳定版更新检查结果。用户主动开启错误诊断后，软件才会发送组件、执行阶段、预定义错误类别及是否可恢复等受限字段。
这两类可选事件不包含提示词、任务正文、模型回答、科研数据、文件名、文件路径、附件内容、邮箱、手机号、访问令牌、原始命令、原始异常、堆栈或稳定设备标识。上传时使用当前登录账号完成去重、保存期限控制和用户主动删除，不另行采集设备标识。事件结构使用固定字段，不接受自由文本。待发送事件在本机加密保存，最多保留 200 条，超过 7 天不再发送。关闭任一选项会清除该类别尚未上传的事件；用户还可在设置中删除已上传的可选事件。关闭这些选项不影响账号、安全、计费和核心任务功能。
六、浏览器与桌面端本地存储
网页会在当前浏览器会话中保存登录令牌和待确认订单号，用于保持登录状态、从支付宝返回后查询订单，以及避免用户在状态未确认时重复付款。桌面端会使用系统安全存储保护必要的登录凭证和用户明确选择的本地设置。用户退出登录、退出全部设备、关闭相应会话或清理浏览器数据后，相关记录会按其用途被移除或失效。
七、安全与保存
平台采取传输加密、访问控制、路径校验、密钥隔离、最小权限、受限执行和审计记录等措施。注册、登录和短信防刷计数使用经密钥处理的短期标识，不在应用层限流键中写入明文邮箱、手机号、设备标识或 IP 地址；反向代理和第三方安全服务仍可能按安全与合规需要保留必要网络日志。任何系统都无法承诺绝对安全；用户不应上传无权处理的个人敏感信息、未脱敏病历或受限制数据。
账号、订单、支付核验、退款、发票和必要安全审计记录会按照服务、争议处理和合规需要保存。可选产品分析和错误诊断数据与必要安全审计记录分开识别：产品分析和错误诊断分别以 90 天、30 天作为过期清理阈值。服务启动或收到遥测请求时会分批清理过期数据，停服或低活动期间物理删除可能滞后；用户主动删除时可提前清除。依法必须保留的交易与安全记录，可能在账号删除后继续保存至法定或必要期限届满。
删除可选数据时，桌面端同时关闭这两项上报并清空待发队列，再次开启需要重新同意。为拦截迟到或重试的旧批次，服务端短期保存每个账号的一条删除边界记录，仅包含删除时间、授权时间水位及授权证明的校验值，不保留事件正文。该记录在 7 天 5 分钟后过期，并在后续服务启动或遥测请求的限量清理中移除；旧版客户端或时钟偏差较大的设备可能需要等待 5 分钟或校正系统时间后才能重新上报。
八、用户选择与权利
用户可通过支持渠道申请查询、更正或删除账号信息，也可在桌面端分别开启、关闭或删除可选产品分析和错误诊断数据，选择仅使用本地功能、配置自己的模型密钥、停止任务或撤销项目目录授权。停止提供必要的账号、安全验证或订单信息，可能导致登录、购买、会员开通、模型推理或远程计算功能无法使用。
九、联系与更新
隐私问题、数据权利请求和安全反馈请通过支持页面公布的渠道联系。说明发生实质变更时会更新版本号和日期。