Pepys 如何收集、使用与保护你的数据
2026/08/01
本隐私政策说明你在 Pepys 设计与打印手帐页面时，我们如何处理信息。Pepys 区分三种存储场景：未登录的 Guest Draft（访客草稿）、已登录的本地 Project（本地项目）和已登录的云端 Project（云端项目）。三者的保留方式和 跨设备能力不同。服务使用还须遵守可接受使用政策。
Pepys 由 Chao Wang 以个人经营者身份运营。本服务只面向年满 18 岁的用户。
Pepys 不会存储你的 AI 类别、心情、时长、可选背景、生成 Prompt 或生成历史并将其 作为用户内容。当前结果只存在于浏览器状态，直到你复制、替换、离开页面，或把它 交给浏览器本地编辑器。
每次尝试生成时，Waffo 会对选择项和可选背景进行输入扫描，并在结果展示前对候选 Prompt 进行输出扫描。OpenRouter 把请求发送给 DeepSeek V4 Flash 模型，并由上游 推理服务商处理。即使 Pepys 不保留输入或输出，这些处理方仍会收到完成各自服务 所需的数据。
Pepys 要求 OpenRouter 在支持时拒绝数据收集。该偏好会限制可用路由，但不保证 上游服务商的保留行为。请勿在可选背景中填写姓名、联系方式、健康信息、财务信息 或其他敏感个人数据。
根据你和服务商所在的位置，Waffo Pancake、OpenRouter、其上游推理服务商与其他 已披露服务商的处理可能构成国际传输。列出这些名称只为说明独立服务角色，不表示 其赞助、背书或官方运营 Pepys。
Pepys 在浏览器中处理你选择的原始照片。抠图、裁剪和打印标准化也在本地完成。 我们不保存原始照片文件。处理后的结果称为打印素材；它依据 Project 存储模式 保留在本地，或明确上传到云端。
浏览器本地处理不等于可靠保管。请把原始照片保留在自己掌控的位置，以便浏览器 清除网站数据或设备遗失后重新选择。
Guest Draft 是 Pepys 八个本地内容页面使用的未登录工作状态。页面配置、处理后的 照片和背景 Blob 保存在同一浏览器和设备的 IndexedDB 中。标签页级会话标识让同一 标签页在刷新后恢复草稿；登录后，同一浏览器可用不含内容的交接 ID 恢复。网址中 不会出现照片、回答、任意 Prompt 文字或 Project JSON。
每个标签页只保留一份活动 Guest Draft。重置、清除本地内容， 以及完成已记录的登录导出会删除对应草稿和本地素材。记录带有 24 小时到期检查， 但关闭标签页或浏览器后，不可访问的网站数据仍可能保留，直到 Pepys 再次遇到过期 记录或浏览器自行清除。浏览器存储不是备份。在共享设备上离开前，请使用“清除本地 内容”；需要时还应清除浏览器网站数据。
本地 Project 需要登录。Project 配置会保存到 Pepys，但处理后的照片和背景字节 仍保存在当前设备的 IndexedDB 中，并按用户和 Project 区分。新 Project 默认使用 本地打印素材。Pepys 可能请求浏览器提供持久存储，但浏览器可以拒绝，而且持久 浏览器存储仍不是备份。
退出登录不会清除本地 Project 素材。另一台设备可以取得已保存的配置，却无法取得 这些本地字节；缺失素材需要在那台设备重新关联。在 Journal 列表删除 Project 时， 只会清除执行删除操作的当前设备上的对应本地空间。Pepys 无法从当前设备远程清除 另一台设备上的本地素材。注销账号会删除服务器持有的账号与 Project 数据，但无法 触及设备上的 IndexedDB；请在每一台共享或曾经使用的设备上分别清除本地网站数据。
云端 Project 会把 Project 配置和处理后的打印素材都保存到 Pepys 管理的存储中， 从而支持登录后的跨设备使用；原始照片文件仍不会上传或保留。已有云端 Project 继续保持云端模式。本地转云端时，系统先上传并验证全部所需打印素材，再提交新模式； 云端转本地时，系统先下载并验证素材，删除云端副本前还需要确认。
移除云端打印素材后，它会立即退出用户素材用量，并进入 7 天清理宽限期。注销账号 会立即删除服务器持有的 Project 和云端打印素材，不等待宽限期。服务端导出文件只 为本次响应生成，不作为可重复取用的照片备份保留。
Google 或 GitHub 登录可立即继续；邮箱注册需要先验证。完成邮箱验证后，请回到 原来的设备和浏览器，让 Pepys 使用不含内容的交接 ID 恢复 Guest Draft 和本地照片。 在另一台设备打开验证链接不会转移浏览器本地内容。
登录不会自动创建 Project，也不会立即开始下载。草稿恢复后，你还需要确认所请求 的无水印 PNG、PDF 或打印输出。
登录后的浏览器导出成功时，Pepys 保存一份不含创作内容的收据，其中只有用户 ID、 搜索任务 ID、模板 ID、页面规格、输出类型、语言、可选的稳定 Prompt ID 或布局 ID、 带签名的来源枚举与时间戳。签名来源记录只允许批准的来源、搜索引擎、落地页、语言 和首次接触字段，不保存原始搜索查询或完整来源网址。
收据绝不包含照片字节、任意 Prompt 或回答文字、Project JSON、日记内容或任意搜索 查询。自定义产品衡量事件也必须遵守相同的稳定 ID 和枚举边界。
八个本地内容页面、Journal 编辑器路由和所有 AI Prompt 生成器路由禁用第三方分析与会话回放， 因为这些位置可能显示本地手帐内容或生成结果。生产环境中的其他页面仍可能加载已配置的分析服务，因此 Pepys 不声称所有页面上的服务商绝不观察页面内容。修改这项说明前，必须重新核对 当前服务商配置和隐私路由排除范围。Cookie 详情请查看 Cookie 政策。
AI Prompt 生成器的第一方产品衡量遵守无内容边界：只允许稳定的事件名称与枚举， 不得包含可选背景、生成 Prompt、供应商原始响应、Cookie 值或 IP 地址。这不构成 对全站已配置分析服务的保证。
Pepys 不会把新手包申请邮箱加入营销联系人或销售线索数据库。Resend 代表我们处理 交付邮件，并可能依据其服务保留设置保存邮件投递日志。
我们使用信息来运行服务、保存你选择的存储模式、渲染与导出页面、执行配额和限流、 处理支付以及发送必要账号通知。申请新手包只触发一封交付邮件，不会订阅营销邮件。 我们不出售你的个人信息。
服务器数据使用加密传输和受控访问存储。浏览器本地素材依赖浏览器和操作系统隔离， Pepys 不提供应用层加密。任何传输或存储方式都无法保证绝对安全。
依据所在地区法律，你可能有权访问、更正、导出或删除 Pepys 持有的个人数据。你可 在设置中注销账号并删除服务器数据、联系我们协助行使适用权利，或申诉 AI 安全 判定。Pepys 无法远程检查或清除另一台设备的 IndexedDB，因此浏览器本地数据需要 在相关设备上分别清除。
我们可能不时更新本政策。重大变更会在本页公布并更新日期。
支持、隐私、账单、安全举报与申诉统一使用受监控邮箱 support@pepys.page。严重安全举报的目标是在 24 小时 内完成复核；普通举报和申诉的目标是在五个工作日内完成复核。这些是复核目标， 不保证特定处理结果。
