隐私政策

生效及最后更新：2026 年 10 月 21 日

本隐私政策说明 Hangzhou Origin Gravigation Technology Co., Ltd（以下简称“运营方”）如何为 Erase iOS App、云端处理 API 与支持页面处理信息。如有隐私问题或请求，请发送邮件至 support@erasephoto.com。

1. Erase 处理的信息

• 账户与身份信息：用于匿名账户的 Supabase 用户 UUID、匿名状态、认证会话；如有设置，还包括显示名称、头像、语言与 Pro 权益状态。
• 用户媒体与编辑输入：照片、视频、图片尺寸与媒体类型，画笔或套索轨迹、蒙版、选中区域和工具参数。本机“美化”和“添加水印”在设备上完成；云端工具会把必要媒体与编辑输入发送至 Erase API 及对应 AI 处理商。
• 任务与结果：任务 UUID、账户 UUID、任务类型、状态、时间戳、处理商请求 ID、次数成本、错误或取消状态、生成图片或视频、缩略图与私有存储引用。返回 App 的结果链接是 1 小时后失效的签名 URL。
• 购买与奖励：Apple 与 Superwall 提供的商品和权益 ID，购买、续费、取消、到期、恢复、交易与原始交易 ID；次数账本；激励广告事件 UUID、广告位 ID、发放来源与时间戳。
• 推送与设备信息：Expo 推送 token、平台、token 更新时间与归一化后的语言偏好；诊断信息附带的 App 发布版本元数据；Cloudflare 为传输与保护请求可能处理的 IP 地址、User-Agent 等网络信息。为限制激励广告 fail-open 滥用，Erase 会在限流计数器中短期保存 Cloudflare 可信客户端 IP 的 SHA-256 指纹，而不保存原始 IP。为执行每日激励广告上限，App 会发送设备应用供应商标识符（iOS）或 Android ID 的 SHA-256 哈希；Erase 只在每日计数器中保存该值与客户端 IP 的加盐哈希，不保存原始标识符或 IP。
• 本地数据：认证会话、语言和偏好、次数/订阅缓存、每个已保存编辑上下文最多 5 张历史图片、继续编辑所需的原图/结果副本，以及临时导出或下载文件。它们会保留在设备上，直到 App 或账户数据被清理、操作系统清除临时缓存，或你删除账户。

2. 使用目的

我们使用这些信息来认证用户、执行所请求的编辑、创建并私密交付结果、展示作品、执行输入/限流/次数/权益规则、处理取消与恰好一次退款、恢复购买并同步订阅状态、发送所请求的完成通知、发放激励广告次数、防范欺诈/重放/滥用、诊断故障、响应支持和隐私请求，以及遵守法律。

3. 处理商与数据去向

• Cloudflare 托管公开网站与 Worker API，转发请求并提供网络和安全控制。
• Supabase 提供认证、Postgres 数据库，以及存放账户结果与缩略图的私有 uploads 存储桶。
• PostHog 为产品与收入分析接收 seo:<uuid> 形式的假名化落地页访客 ID、落地页路径、$pageview 事件，以及归因后的付费笔数与金额。
• FAL 为云端检测、移除物体/水印、移除背景、高清化、去 AI 化图片编辑及视频处理接收媒体，并在需要时接收蒙版或编辑指令。对于去 AI 化，Erase 会把原图直接发送给 FAL，由 GPT Image 2 执行编辑。
• Erase GPU 服务器（为 Erase 运行的服务器）为云端检测、移除物体/水印、移除背景及高清化接收媒体，并在需要时接收蒙版或编辑指令，处理后将结果返回 Erase API。
• OpenAI 在结果交付前接收每张云端生成图片结果的缩小副本，用于自动安全检查（色情内容与儿童安全信号）。Erase 不会随之发送任何账户标识。根据 OpenAI 的 API 条款，这些数据不会用于训练其模型。
• OpenRouter 仅在调用可选的 OpenRouter 文本生成 API 时接收文本提示词及相关文本请求数据。去 AI 化不使用 OpenRouter，Erase 不会把源图发送给 OpenRouter。
• Superwall 接收 Erase 账户 UUID、付费墙 placement/上下文，以及购买或权益事件，用于展示付费墙、恢复购买和同步 Pro 状态。
• Apple 与 StoreKit 处理 App Store 购买、订阅管理、恢复与退款申请。运营方不会收到完整的支付卡信息。
• Google AdMob 提供激励广告并处理广告/设备信号及广告互动。为完成服务端奖励验证，Erase 会把一次性、不透明的奖励会话 UUID 同时作为 user_id 与 custom_data 发送给 Google，不会发送稳定的 Supabase 账户 UUID。Google 回传广告位数字后缀、奖励值、回调时间、交易 ID、不透明会话值、签名与验签 key ID；Erase 再由会话映射到账户，校验签名和精确会话绑定，并记录交易/会话结果以防重复发放。只有在两个条件同时成立时，Erase 才会向 AdMob 请求个性化广告：Google 的同意流程允许个性化广告，且在 iOS 上你在 App Tracking Transparency 弹窗中允许了跟踪。其余任何情况（包括尚未作答）都请求非个性化广告。在 iOS 上，ATT 弹窗出现在首次激励广告播放前而非启动时，之后每次播放广告前都会重新读取你的当前选择；在适用 Google 同意流程的地区，其表单会先于 ATT 出现。
• Expo Push Service 接收推送 token 与通知载荷，用于发送任务完成通知。

Sentry 诊断：Sentry 已启用用于故障诊断。它会接收崩溃、错误、性能追踪、仅标识组件名和源文件且不含输入内容的触摸面包屑，以及可能包含商品 ID 和错误信息的购买流程面包屑。服务端错误事件可能包含匿名 Supabase 用户 UUID、请求路由和 Cloudflare cf-ray 请求 ID；移动端 Sentry 事件也会与同一个匿名 Supabase 用户 UUID 关联，并标记为匿名用户分群。我们仅将这些信息用于诊断可靠性及购买后权益未到账等故障，不用于产品分析。

4. 出售、广告与跟踪选择

我们不会出售用户媒体或个人信息，也不会用用户媒体建立广告画像。激励广告是可选路径：你可以使用初始次数、观看一条激励广告增加 1 次，或购买 Pro。拒绝 ATT 权限不会移除核心编辑功能；Apple 与 AdMob 仍可能在无需跟踪授权的范围内处理有限的设备、网络、防欺诈与情境广告信息。你可在 iOS 设置中更改跟踪权限。

5. 保留期限

• 请求体、蒙版与轨迹：运营方在内存中处理，不会在请求结束后把它们作为独立数据库记录持久保存。 例外：如果某次处理最终失败，我们会将该次请求的输入图片和蒙版保留最多 7 天，仅用于排查故障和改进服务，到期后自动删除；这些内容不会用于其他目的，也不会提供给处理该请求所必需的服务方之外的第三方。各处理商仅可能按自身服务条款保留其实际收到的请求数据：FAL 可能收到云端编辑媒体；OpenRouter 只接收适用的可选文本生成请求数据，不接收去 AI 化原图。
• 成功作品、生成媒体、缩略图与任务记录：保存在私有 Supabase 存储与账户数据库中，直至你删除 Erase 账户。Erase 不是永久备份，请保留原图与导出副本。
• 签名结果 URL：1 小时后失效；底层私有文件会保留至账户删除。
• 提交前取消意图：10 分钟后清除。非视频图片任务处理超过 15 分钟会失败并退款；视频任务对账在 1 小时处理截止时间后停止。
• 限流计数器：fail-open IP 哈希 scope 与请求计数属于短期运维记录，由共享的过期限流清理删除；这些记录不保存原始 IP。
• 账户、次数、订阅、激励广告事件与推送 token：在 Erase 账户存在期间保留。推送服务报告 token 已失效时会将其删除。
• 账户删除恢复状态：仅在自动清理尚未完成时保留。调度任务会重试清理，并在私有文件已删除且 Supabase 身份确认不存在后删除恢复记录。
• Webhook 完整性记录：账户删除时会清空账户标识与处理商载荷；为防止重复处理及证明系统完整性，可能保留处理商事件 ID、事件类型、处理状态、时间戳与错误状态。
• Apple 购买记录与处理商副本：由 Apple 或相应处理商依据其法律义务和保留政策独立保留。
• 因儿童安全被标记的结果：如果某个结果被标记为可能涉及对未成年人的性剥削，我们可能会在履行法定报告和保存义务所需的期限内保留该结果及相关账户记录，即使账户已删除。

6. 安全与私有访问

云端 API 需要 Supabase bearer token；任务按账户 UUID 隔离；结果文件存放在私有存储桶，并通过短期签名 URL 交付；服务密钥只保存在服务端。任何存储或传输方式都不可能绝对安全，请勿上传你无权发送给上述处理商的媒体。

7. 删除与隐私请求

在 Erase 设置中选择“删除账户”，可删除 Supabase 身份、账户资料、作品与结果文件、任务/次数/订阅副本/激励广告记录、推送 token，以及该设备上的编辑上下文；清理失败会自动重试。删除 Erase 不会取消 Apple 订阅、删除 Apple 交易历史或发起 Apple 退款，请另行在 App Store 中管理。

你也可以发送邮件至 support@erasephoto.com，在适用时请求访问、更正、删除、限制、反对或可携带副本。只需提供查找请求所必需的账户邮箱或匿名账户 UUID；请勿发送用户媒体、密码或支付凭据。处理前我们可能需要核验你对账户的控制权。

8. 跨境处理、儿童与政策变更

上述处理商可能在你所在国家或地区之外处理信息，相应传输适用其合同与法律保障。Erase 不面向低于其所在地可独立同意数据处理最低年龄的儿童。如你认为儿童在没有有效授权的情况下提交了数据，请联系我们。

因产品、处理商、保留规则或法律变化，我们可能更新本政策。重大变化会在此发布新的生效日期，并在适当时通过 App 告知。

9. 联系方式

运营方：Hangzhou Origin Gravigation Technology Co., Ltd
邮箱：support@erasephoto.com
支持：Erase 支持

使用邮箱、Apple 或 Google 登录时，Erase 与 Supabase 处理已验证身份、邮箱（包括 Apple 中转地址）、供应商标识及会话，用于绑定账号和同步网页与 App 权益。激活 AppSumo 时，Erase 与 AppSumo 交换授权凭据，保留许可标识、档位、状态及最少事件记录，以验证、绑定和撤回权益。删除 Erase 账号会清除有效许可绑定；最少许可和事件记录保留用于防欺诈及验证后恢复，不保留已删除账号身份。登录身份与许可凭据不会发送至广告分析。