隐私政策

我们保存什么

• 账户：你的电子邮件地址和显示名称，以及密码（由 Supabase Auth 处理）或已关联的 Google 身份。
• 登录会话：你登录的每个浏览器或设备的用户代理（user agent）、IP 地址和登录时间。账户设置页会显示这些信息，并可让你退出其他会话。
• 企业和工作空间：企业名称，以及你填写的行业、规模、联系人和标志；企业的工作空间；成员及其角色；以及企业邀请过的电子邮件地址。
• 你交给 AI 员工的内容：任务消息、你上传的文件，以及你为 AI 员工保存的知识。
• AI 员工产出的内容：回复，以及生成的 Word、Excel、PowerPoint 和 PDF 文档。
• AI 员工读取的网页：AI 员工为任务读取的公开网页，我们都会保存一份副本，作为任务历史的一部分。能查看该任务的人都能看到它读过哪些网页。
• 用量：AI 工作消耗的 token 数和估算费用，以及企业使用的文件存储量。WorkPier 目前没有计费或支付功能，因此我们不收集支付卡信息。

Cookie 与跟踪

我们只设置保持你登录所需的 Cookie。它们是设在我们 API 主机上的 httpOnly Cookie，在你持续使用 WorkPier 期间会续期，30 天未访问则失效。如果你选择 Google 登录，会再设置一个 Cookie，用于保护该次登录，有效期 10 分钟。

我们不使用分析、广告或跟踪脚本。如果你选择连接 Google Drive，授权会打开 Google 和 Nango 页面，文件选择器（Picker）会加载 Google 的脚本并访问 Google 服务。这些服务在中国大陆可能无法访问。浏览器的本地存储会在你的设备上保存你的语言、所选工作空间和未发送的任务草稿。

我们如何使用这些资料

我们使用你的资料来运行 WorkPier：让你登录、显示企业的工作内容、让 AI 员工完成你交办的任务、发送账户邮件（注册、重设密码、邀请和安全验证码）、保障服务安全并限制滥用（例如同一 IP 地址的重复请求），以及回复支持请求。账户邮件还包括：WorkPier 员工锁定你的账户时的通知；以及 AI 点数通知，企业点数快用完或已用完时发给企业所有者，我们批准或拒绝增加点数的申请时发给所有者和管理员。点数通知会写明企业名称和点数余额，或我们对申请的答复。

我们不出售个人资料，不展示广告。WorkPier 不会使用客户内容训练 AI 模型。

服务供应商及其所在地

• Supabase：数据库、登录和文件存储，位于新加坡。
• 阿里云：运行应用程序的服务器，位于新加坡。
• Cloudflare：提供网站访问，并在你的浏览器与我们的服务器之间传输流量。
• Microsoft Azure OpenAI：运行 AI 模型，因此你的任务消息和文件会发送给它。我们的 Azure 资源位于东南亚区域（新加坡），但部署类型为 Global Standard，所以微软可能在其运行该模型的任何区域处理请求，而不只是新加坡。Azure 的默认内容过滤器会检查每个请求和回复，并可能加以拦截。微软声明，不会使用 Azure OpenAI 的提示和输出来训练其模型。如果 AI 员工配备代码工具，任务的文件会存放在 Azure 的临时工作区，供该工具打开；工作区在运行结束时删除，最迟在最后一次使用 20 分钟后过期。
• 通过 Azure 使用的 Bing 网络搜索：AI 员工研究公开问题时可以搜索网络。AI 员工根据你的任务撰写搜索查询，因此查询可能包含任务中的字词。搜索查询会离开 Azure 所在区域，按 Bing 自己的条款和《微软隐私声明》处理。
• 公开网站：能读取网页的 AI 员工，可能会打开你的任务提到的或搜索找到的公开网页。请求由 WorkPier 的服务器直接发往该网站，标明来自 WorkPier 的网页读取程序，不带你的任何 Cookie 或登录信息。该网站会看到网页地址（其中可能包含任务中的字词）和我们服务器的 IP 地址。网页内容会和任务的其他内容一起发送给 Microsoft Azure OpenAI。
• Resend：从其东京区域发送我们的电子邮件，因此会收到每位收件人的电子邮件地址和邮件内容。
• Google：如果你选择 Google 登录，我们会收到你的电子邮件地址和 Google 账户 ID。连接 Google Drive 是另一项独立选择，详见下文。
• Nango Cloud：处理 Google Drive 授权、凭据续期，并代理已授权的 Drive 请求。它会收到关联你的 WorkPier 用户及企业的连接标识。其资料处理方式见下文。

上述部分供应商可能在新加坡以外处理资料。

Google Drive 资料

Google Drive 是可选来源。WorkPier 申请 drive.file 权限，只访问你明确为 WorkPier 选取的文件，不扫描你的整个云端硬盘。连接账户不会自动选取文件，也不代表授权定时职责。我们保存所连接的账户身份，以及所选文件的标识、名称、类型和访问资料，并将其关联到你的 WorkPier 用户和企业。

你为普通任务选择文件时，我们为该任务读取文件。你将文件保存到定时职责时，是授权在你的权限和连接仍有效期间，为该职责的后续期次读取文件。这项选择不授权其他任务使用该文件；为普通任务选文件也不会创建持续运行的职责。用于 AI 工作的文件内容会按上文说明发送给 Microsoft Azure OpenAI。

我们保留任务实际采用的文件版本作为任务历史，适用下文相同的企业和工作空间访问权限及永久删除规则。断开连接不会删除任务历史。选取或绑定文件不等于允许在这些规则之外永久保留副本。

我们使用或共享通过 Google API 获取的资料时，遵守 Google API Services User Data Policy，包括其中的 Limited Use（有限使用）要求。我们用这些资料提供你选择的功能，不用于广告、出售或训练通用 AI 模型。运营后台不会展示你的 Drive 原文件正文或连接凭据。

Nango Cloud 如何处理 Drive 连接

Nango Cloud 保存和续期经过加密的 Google 凭据。所选文件的请求及响应经其代理传输至 WorkPier。Nango 从美国运营，并列明使用位于美国的 AWS 托管服务；其公开文档没有说明我们账户的具体存储区域。我们不承诺连接器资料只留在新加坡。

根据 Nango 公布的政策，代理请求和响应的正文不会存入日志；请求元数据会写入日志，敏感标头会被遮盖。操作日志保留 15 天，审计记录默认保留一年。连接删除成功后会先变为不可访问，31 天后永久删除凭据、配置和元数据。日志和审计记录按各自期限到期。这是 Nango 公布的保留期限，不代表 WorkPier 承诺立即彻底清除资料。

断开 Google Drive

断开后，WorkPier 停止未来使用该连接，但不会将你退出 WorkPier。Nango 删除完成不证明 Google 授权已撤销。清理失败或结果未知时会保持待处理，不会报告为已完成。你也可以在 Google 账户设置中管理 WorkPier 的访问权限。

在 UAT 测试环境，当前政策是删除保留的 Nango 连接，不向 Google 撤权：Google 授权仍然保留。这避免了通过未经验证的撤权流程影响其他授权。

生产环境的政策是使用独立的 Drive 项目，先撤销 Google 授权，再删除 Nango 凭据。如果撤权会影响另一个有效连接，我们必须先说明影响并取得确认。生产环境的 Drive 连接在该撤权流程实现并通过验证前保持不可用。仅在本地断开绝不代表 Google 授权已完全撤销。

谁能看到你的资料

在企业内部，每个人能看到什么取决于其角色和工作空间权限。其他企业看不到你企业的资料。浏览器不会直接访问我们的数据库：每个请求都经过我们的服务器，由它先确认你的身份。

WorkPier 员工使用内部控制台为客户提供支持，例如暂停某个账户。他们的操作会记录在审计日志中，我们保存三年。如法律要求，我们可能披露个人资料。

保存与删除

在你删除资料或要求我们删除之前，我们会一直保存。在 WorkPier 中你可以：

• 永久删除已归档的任务或项目。其对话、上传的文件、文档和保存的网页会从我们的数据库中删除，后台作业会删除已存储的文件。保留的内容有：你保存的知识（它保存有文件的独立副本）、定时任务的运行记录、用量和费用数字，以及一条只含编号和数量、不含任何内容的删除记录。
• 停用知识条目；它的历史版本会保留。
• 退出企业，或移除成员。企业会保留该人曾是成员的记录。

用于限制滥用的计数会在其时间窗口结束后不久删除。其他事项，包括删除你账户的资料，请发送电子邮件至 support@workpier.ai。

你的选择

你可以要求我们提供我们持有的你的个人资料副本、更正这些资料、删除这些资料，或撤回你对我们使用这些资料的同意（撤回后我们可能无法继续提供服务）。请发送电子邮件至 support@workpier.ai。

儿童

WorkPier 面向企业，不适合 18 岁以下人士使用。如果你认为有儿童向我们提供了个人资料，请联系我们。

变更与联系方式

当我们的做法改变时，会更新本页及其日期。如有隐私问题或资料请求，请发送电子邮件至 support@workpier.ai。你使用 WorkPier 时同样适用服务条款。