隐私政策

01 我们与你的组织：谁是谁

Whitewater OS 是一款面向企业（B2B）的多租户服务。每一个工作区都归属于某个组织。组织管理员负责控制该工作区：邀请与移除成员、分配角色与权限、配置功能、管理账单，并可以导出或归档该组织的数据。

对于你的组织放入服务中的业务内容（项目、任务、会议、指标、目标、文档及类似记录），由该组织决定这些数据为何及如何被使用，我们则为该组织处理这些数据以提供服务。如果你是某个组织的成员，希望访问、更正或删除该组织工作区中的内容，应首先联系你所在组织的管理员，因为控制权在他们手中。账户层面的请求（例如删除你的个人账户）由我们直接处理，详见第 9 节。

你可以用同一个账户加入多个组织。每个组织的工作区都彼此隔离：一个组织的成员无法看到另一个组织的数据。

02 我们收集哪些信息

账户与个人资料信息。创建账户时：你的姓名、电子邮箱地址与密码（仅以安全哈希形式存储，我们无法读取原文）。可选信息：你上传的头像，或登录提供方给出的头像。如果你使用 Google、Microsoft 或 GitHub 登录，我们会从该提供方获取你的姓名、电子邮箱地址与头像。如果你注册了通行密钥（passkey），我们会存储该通行密钥的公开凭据（不包含任何能让我们在其他地方冒充你的信息）。出于安全考虑，我们会记录邮箱验证状态与登录方式的变更。

组织内容。你组织的成员在服务中创建的业务记录：项目、任务、评论、上传的文件、会议议程与纪要、记分卡指标与录入数据、目标、优先事项、愿景规划、组织架构图与席位权责、周期性工作看板、问题、要闻，以及邀请信息（其中包含被邀请人的电子邮箱地址）。组织还可能记录关于成员的管理性数据：例如，管理员可以录入成员的时薪，用于估算会议成本；这类数据由组织录入、归组织所有，服务会限制组织内谁可以看到它。

AI 功能内容。当你使用 AI 智能助手或教练功能时，我们会收集你发送的消息、你在 AI 对话中附加的文件，以及生成的回复与文档。这类内容具体流向何处，详见第 5 节。

账单信息。付款由 Stripe 处理。银行卡与账户信息由你直接在 Stripe 托管的页面中输入，绝不会经过我们的服务器。我们会存储你所在组织的订阅状态、方案、席位数量、Stripe 客户/订阅标识符，以及（针对按量计费的 AI 使用）一份用于计算使用费用的用量台账，其中记录 token 数量与模型标识符（不含对话内容本身）。

技术、安全与使用记录。会话数据（通过会话 Cookie）；作为登录与请求处理一部分的 IP 地址与浏览器用户代理（user-agent）信息；创建组织时根据 IP 推算出的时区建议；重要操作（登录、权限变更、管理操作）的审计日志；组织记录的修改历史；邮件投递日志（我们发送了什么、发给了谁、是否投递成功）；以及 AI 使用计量记录。这些数据的存在是为了安全地运行服务，并为组织提供可追溯的问责记录，而不是为了对你进行画像分析。

支持沟通记录。如果你联系支持团队（包括通过产品内的工单功能），我们会收到你的消息、姓名与邮箱，以及关于你所在组织和应用版本的基本背景信息，以便我们提供帮助。

我们目前不收集的信息：服务目前不运行任何广告追踪器、第三方分析 SDK，或任何形式的跨站追踪。详见第 6 节。

03 我们如何使用信息

我们将上述信息用于：

• 提供并运行服务：验证你的身份、渲染你所在组织的工作区、同步数据、提供 AI 功能，以及存储文件。
• 保障服务安全：验证邮箱、检测并防范滥用与未经授权的访问（包括在注册与重置密码时使用 Cloudflare Turnstile 机器人防护）、在敏感操作前要求二次验证，并维护审计记录。
• 准确计费：通过 Stripe 管理试用、订阅、席位数量，以及经同意后按量计费的 AI 使用。
• 与你沟通：事务性邮件（验证、密码重置、安全提醒、账单通知），以及你可以按类型自行控制的通知邮件（第 9 节）。
• 为你提供支持：回应支持请求。
• 监控并提升可靠性：通过运行日志、错误捕获与任务监控来发现故障。这是关于系统本身的基础设施遥测数据，而不是关于你的行为分析。
• 遵守法律：税务、会计与法律义务。

我们绝不出售个人信息，不会为跨情境行为广告而共享个人信息，也不会使用客户内容构建广告画像。

04 AI 功能与你的内容

服务中的 AI 功能（智能助手“Miranda”、教练角色，以及 AI 辅助起草）由 Anthropic 的 Claude 模型通过 Anthropic 的商用 API 提供支持。当你使用某项 AI 功能时：

• 回答你所需的内容会被发送给 Anthropic 处理：你的消息、助手代你检索的相关工作区上下文，以及你在 AI 对话中附加的文件（附件会被传输至 Anthropic 的文件处理 API）。
• AI 使用的是你自己的权限，而非更高的权限：它只能读取、并（在获得你明确确认后）更改你本人有权读取或更改的内容。
• Anthropic 作为我们的服务提供商，依据我们与其签订、并纳入 Anthropic 现行《商业服务条款》的协议来处理这些内容，以提供该功能。根据这些条款，通过 Anthropic 商用 API 提交的内容不会被用于训练 Anthropic 的模型。我们在此援引 Anthropic 的条款：其现行文本请查阅 Anthropic 公开发布的商业条款。这些是 Anthropic 对我们作出的合同承诺，而非我们就 Anthropic 内部系统所作出的独立保证。
• 出于计费与平台保护限额的需要，我们会记录 token 数量、模型标识符与使用事件。这些计量记录不包含对话内容本身。
• AI 对话历史会存储在你的账户中，方便你回顾此前的对话；你可以删除对话，且当你的账户被删除时（第 9 节），这些对话也会一并移除。

AI 功能只有在用户主动调用时才会运行。如果你所在的组织不使用 AI 功能，其内容就不会被发送给 Anthropic。组织管理员还可以通过服务的权限控制，按成员限制 AI 访问权限。

05 我们与谁共享信息（分处理方）

我们仅会在以下情形下共享个人信息：与代表我们运营服务的服务提供商共享（详尽列于下表）；与你所在的组织共享（你的工作区内容与成员身份记录，会依据组织设置的角色与权限对该组织可见）；作为企业交易（合并、收购或资产出售）的一部分共享，此时本政策将继续适用于此前收集的数据，除非另行通知你；或在法律要求时共享（除非法律禁止，我们会将执法要求通知受影响的客户）。

登录提供方（由你选择）。如果你使用 Google、Microsoft 或 GitHub 登录，该提供方会验证你的身份，并向我们提供你的基本资料（姓名、邮箱、头像）。你与该提供方的关系受其自身隐私政策约束；它是依据你的指示行事，而不是我们的分处理方。

基础设施监控。我们使用一项外部的可用性监控服务，用于检测我们的公开接口是否正常响应。该服务不会收到任何个人数据。

当我们的分处理方清单发生变化时，我们会更新此表；重大变更将依据第 12 节的规定予以公告。

06 Cookie 与追踪

截至本版本，服务使用了以下技术：

• 一个会话 Cookie（由我们的身份验证系统设置），用于保持你的登录状态。它是必需的，没有它服务将无法运作。
• 在注册与重置密码表单上使用的 Cloudflare Turnstile，它可能会设置自己的技术状态，用于区分真人与机器人。
• 用于界面偏好设置（例如主题）的 本地浏览器存储，这些数据保留在你的设备上。

截至本版本，以上就是完整清单。服务目前不嵌入任何广告追踪器、第三方分析工具、社交媒体像素，或会话回放工具，也不会跨其他网站追踪你，因此当前没有可供你关闭的追踪功能：无论你的浏览器是否发送“请勿追踪”（Do Not Track）或全球隐私控制（Global Privacy Control）信号，服务的行为都完全一致（并且由于我们不出售也不共享个人信息，这些信号不会为我们施加任何我们尚未履行的额外义务）。

我们未来可能会引入产品分析或遥测功能，以了解并改进服务。如果我们这样做，会先按照第 13 节所述的通知流程，发布带有新版本号的本政策更新，说明将收集哪些数据、你拥有哪些选择，然后才会将其适用于你。

07 数据存放位置；国际使用

我们是一家美国公司，服务也在美国境内运营。应用数据、上传的文件与备份均存储于我们服务商位于美国境内的区域；请求在传输途中可能会经过 Cloudflare 的全球边缘网络。

如果你在美国境外访问本服务，你的信息将被传输至美国并在美国处理，而美国的隐私法律可能与你所在司法辖区的法律有所不同。我们目前在欧盟或英国境内既未设立机构，也未指定代表。若我们的分处理方提供公认的数据传输保障机制（例如欧盟-美国数据隐私框架认证，或标准合同条款），我们会在与其签订的协议中依赖这些保障机制。受欧盟/英国数据保护法约束的组织，在采用本服务前应自行评估美国境内处理是否满足其要求；我们在本政策中如实描述我们的实际做法，以便这一评估能够基于真实信息作出。

08 我们保留数据多久

• 活跃与逾期未续费的组织：只要组织的工作区还存在，数据就会被保留。如果订阅逾期未续，工作区会变为只读，但数据会被保留：不会因未付款而删除任何数据，导出功能依然可用。我们不会按任何自动排期删除组织数据：删除只会在组织明确请求时发生，或者在终止后按下文所述由我们自行决定。
• 依你的请求删除：组织管理员可以删除（归档）该组织。此操作适用30 天恢复窗口期，在此期间可依请求恢复该组织。窗口期结束后，该组织的数据（数据库记录、上传的文件，以及为 AI 处理而传输给 Anthropic 的文件）即符合永久删除条件，任何有效订阅也会随之取消。下文所述的 90 天保证不适用于你已要求我们删除的数据。
• 终止或关闭之后：如果你的订阅或协议因你自己提出的删除请求以外的原因而终止，我们保证该组织的数据在终止后至少90 天内仍可被检索（只读、且可导出）。超过 90 天后，数据可能在我们自行决定的任何时间被删除；我们不承诺具体的删除日期，数据可能会一直保留，直到被删除或组织主动请求删除为止。
• 账户删除：详见第 9 节（不受上述内容影响；用户层面的删除请求经核实后会被执行）。
• 备份：我们的数据库由 CockroachDB Cloud 每日备份，备份最长保留 30 天，因此已删除或已清除的数据，可能会在到期失效之前的备份中继续留存一段时间。上传的文件存储于单一区域，且不会被单独版本化或备份；删除文件即意味着彻底删除。
• 邮件记录：投递日志会被保留，用于运营层面的故障排查。退订与退信抑制记录（弹回或已退订的地址）会被保留，以便我们持续尊重这些设置。
• 审计与变更日志：在组织存续期间会被保留，作为其问责记录。
• 账单与用量台账记录：会按税务、会计与争议解决义务所需的期限予以保留，即便在账户被删除之后也是如此（原因见第 9 节说明）。

09 你的权利与选择

以下能力在产品中今天就已经存在；本节描述的是我们实际的做法，而非愿景陈述：

• 访问与可携带性。组织管理员可以从服务中以 JSON 格式导出该组织的完整数据（导出以数据注册表驱动，因此默认包含组织的全部记录；少数服务器内部字段，以及对无薪酬查看权限的调用方而言的薪酬敏感数值，会被排除或做脱敏处理）。个人成员可以在应用内查看自己的个人资料、内容与设置。
• 更正。你可以在“账户设置”中编辑你的姓名、头像、密码与偏好设置。组织内容的更正，由工作区中拥有编辑权限的任何人在工作区内完成。
• 通知选择。通知中心可以让你按类型、按渠道分别开启或关闭通知邮件。账户运作所必需的事务性邮件（验证、密码重置、安全提醒、账单通知）在账户处于活跃状态时无法关闭，因为没有它们服务就无法被安全地运作。我们所有的邮件都从 [email protected] 发出；退订与退信处理会通过抑制名单自动执行并予以尊重。
• 账户删除（“被遗忘权”）。请使用你账户所用的邮箱，发邮件至 [email protected] 提出删除请求。在核实该请求后，我们会删除你在所属的每一个组织中的个人数据：你的个人资料信息、凭据（密码哈希、通行密钥、已关联的登录账户）、会话、成员身份、个人设置、通知、AI 对话与附件（包括从存储与 Anthropic 文件 API 中删除附件文件），以及搜索历史都会被删除，你的账户记录会被简化为一条匿名的“墓碑”记录。有两类信息我们刻意不会删除，我们希望坦诚说明：（1）你在某个组织工作区内撰写的业务记录（任务、评论、会议等）归该组织所有，会被保留下来，署名改为“已删除用户”，你的身份信息会被移除；（2）出于保持已开具发票与组织合规记录完整的需要，账单台账与审计条目会在不含你的身份细节的情况下被保留。
• 投诉。如果你认为我们未能履行上述承诺，请联系 [email protected]，我们会展开调查。加州居民可能还享有第 10 节所述的权利。

如果你的请求涉及某个组织工作区内的内容（而非你的个人账户），我们会将其转交给该组织的管理员处理，因为控制权在他们手中，同时我们会告知你我们已这样处理。

10 美国州级隐私法律（加州及类似法律）

我们认为，我们目前未达到《加州消费者隐私法》（经《加州隐私权法》，即 CPRA 修订）及类似州法律的适用门槛。尽管如此，我们仍然为所有用户切实尊重这些权利的实质内容：

• 知情权/访问权：第 2 节与第 9 节说明了我们收集哪些信息，以及如何获取这些信息。
• 删除权：见第 9 节（账户删除）。
• 更正权：见第 9 节。
• 选择退出出售或共享的权利：我们不出售个人信息，也不为跨情境行为广告而共享个人信息，因此没有实际可供退出的对象。我们从未出售或共享过个人信息，过去 12 个月内也是如此。
• 敏感个人信息：我们不会为需要“限制使用权”（依据 CPRA）的目的而使用或披露敏感个人信息。
• 不得歧视：我们不会因你行使这些权利而对你进行任何歧视性对待。

请求方式：[email protected]。我们会通过你的账户邮箱核实请求。授权代理人可凭授权证明提交请求。

11 安全

我们采取的保护措施包括：传输中加密（TLS）以及由我们的存储服务提供商实施的静态加密；应用程序对每一次数据访问都强制执行租户隔离；组织内基于角色的访问控制，并可对单个成员进行权限覆盖；强制邮箱验证；支持通行密钥，并在安全关键操作前要求升级验证；登录方式变更时发送通知邮件；密钥保存在托管的密钥库中，绝不写入代码；对重要操作进行审计日志记录；以及针对故障与异常的持续监控与告警。

没有任何系统是绝对安全的，我们也不承诺万无一失的安全性。如果我们得知发生了影响你个人信息的安全事件，我们会依据适用法律，在不无故拖延的情况下通知受影响的组织与用户，并告知他们我们目前掌握的情况、我们正在采取的措施，以及他们可以采取的行动。

12 儿童隐私

本服务是面向企业的软件，并非面向儿童设计，也不面向 16 周岁以下的任何人士。我们不会在知情的情况下收集 16 周岁以下儿童的个人信息；如果我们发现自己这样做了，会将其删除。如果你认为某位儿童向我们提供了个人信息，请联系 [email protected]。

13 本政策的变更

本政策带有版本号。随着服务或法律的变化，我们可能会对其进行更新。对于重大变更，我们会在变更生效前至少 30 天，通过邮件或产品内通知的方式告知组织管理员（如变更直接影响到个人用户，也会通知相应用户）。页面顶部的版本号与生效日期，始终标明当前适用的政策版本。生效日期之后继续使用服务，即视为接受该政策；如果服务要求你在产品内重新确认接受更新后的条款，该机制同样适用于本政策。

14 联系方式

Whitewater Intelligence LLC
2965 Flowers Rd S, Suite 250
Chamblee, GA 30341, USA

隐私相关请求与问题：[email protected]