草案 v0.1 · 非法律意见
隐私政策
网关处理哪些数据、数据流向何处，以及我们刻意不保留什么。
草案，非法律意见。 本页描述 tokencoup 已交付代码当前的实际行为，不构成具有约束力的正式政策。运营主体、注册地、生效日期、数据保留期限与联系方式均未确定。服务尚未上线收款，目前也没有从真实线上服务收集个人数据。正式上线前须由持牌律师审阅。
一、适用范围
tokencoup 运营一个静态 AI 智能体目录站，以及架在百度千帆前面的 Token 网关。本说明覆盖网关部分（API Key、用量计量、计费）。目录页为静态页面：无账号、无登录、无 Cookie、无统计脚本、无广告追踪。
请勿把本页当作最终隐私政策。在运营主体与法律依据确定之前，所有待定项都应视为尚未解决。
二、网关处理哪些数据
| 数据 | 示例 | 存储 | 用途 |
|---|---|---|---|
| 网关 API Key | rf_… | 网关数据库内仅存 SHA-256 哈希 | 鉴权 |
| Key 元数据 | owner、套餐、状态、创建时间 | 网关数据库 | 套餐限额、吊销 |
| 订阅与用量台账 | Token 数、时间戳、模式、版本、计费金额 | 网关数据库 | 配额、计费、对账 |
| 审计日志 | 版本、模式、key id、Token 数 | 服务端标准输出 | 运维、滥用检测 |
| 千帆 Key（模式 A） | 你自己的千帆 key | 不存储，转发给上游 | 请求转发 |
| 支付 / 银行卡信息 | — | 未收集 —— 支付尚未接入 | — |
| Cookie / 分析数据 | — | 静态页无 | — |
审计日志不含 prompt 内容，也绝不会出现在 API 响应里。请求体会透传给千帆；国际版下 tokencoup 不做持久化。
三、处理目的
- 鉴权请求并关联套餐。
- 按网关 key 限流（60 秒滑动窗口）。
- 对模式 B 的成功响应计量与计费。
- 用量台账与发票对账。
- 防滥用、排查失败或异常调用。
拟采用的法律依据（待律师确认）：履行合同（提供你所订阅的网关服务）与合法利益（安全与防滥用）。若以同意为依据，将单独征求并可撤回。
四、数据流向
| 组件 | 角色 | 位置 | 说明 |
|---|---|---|---|
| Cloudflare Pages | 静态站托管 | 全球边缘 | 仅提供页面，不接触网关请求体 |
| Cloudflare AI Gateway | 仅国际版路径 | Cloudflare 边缘 | collect_logs=false —— 不存请求/响应体 |
| 百度千帆国际版 | 国际版上游 | 海外节点 —— 区域待核实 | 接收你的请求体 |
| 百度千帆国内版 | 国内版上游 | 中国大陆 | S2 闭合路径，仅国内版 |
| GitHub | 目录数据来源 | 公开仓库 | 仅公开仓库元数据 |
千帆国际版的实际数据驻留区域尚未核实。它是 S1 设计唯一的事实依赖，上线前必须在控制台确认。见跨境传输说明。
五、国内版
国内版全程在中国大陆境内，上游为千帆国内版端点，不经 Cloudflare 边缘。当前 gateway/config.py 中 log_prompt 为 true —— 本版开启了 prompt 日志。
待复核项。
COMPLIANCE_C2.md 建议国内版 log_prompt=false，但已交付配置实际为 true。这一冲突必须在上线前解决并更新本页；请勿把本页视为国内版日志策略的最终结论。六、保留期限
尚未确定保留计划。C2 方案建议计费元数据保留 30 天，而用量台账须保留到足以支撑发票、退款与税务审计。最终期限取决于运营主体及其法域，会在上线前公布。
七、安全措施
- 网关 key 以单向哈希存储，明文仅在创建时展示一次。
- 凭证文件位于
secrets/，已被.gitignore排除，不入库。 - 千帆 key 只转发，不写入数据库。
- 所有公开端点通过 HTTPS 提供。
- Key 版本校验阻止国内版 key 服务海外请求。
这是参考实现。尚未完成渗透测试、权限审查与事件响应预案。
八、你的权利
依据你的所在地法律，你可能有权访问、更正、删除、限制处理、导出个人数据、反对处理，以及向监管机构投诉。因账号系统尚未上线，目前没有自助通道。
联系方式：待指定。 在从真实线上服务收集个人数据之前，会公布数据请求邮箱与响应流程。
九、未成年人
服务不面向未成年人，目前也没有年龄核验机制。最低年龄与处理流程将在上线前定义。
十、变更与联系
本草案将被经审阅的正式政策替代，届时会载明生效日期、法律主体名称、注册号、联系地址与变更记录。重大变更会在生效前公告。