这份政策管什么
这份政策适用于 Kotolog 的 iPhone 版、网页版、桌面版、命令行和 MCP，也适用于这个网站。Kotolog 由周磊（Zhou Lei）以 Minerei 品牌在日本个人运营（下面写作「我们」）。
运营者的实际联系地址可通过下方邮箱提出有效请求获取，我们会依法及时提供；不在网页公布私人住址。联系邮件由运营者通过 Gmail（Google）接收处理。网页版和 TestFlight 共用现有测试账号和数据。
Kotolog 现在是公开测试，功能在变，这份政策会跟着改。有重要变化时，我们会事先在 App 里或用邮件告诉你。
我们不投放广告，不用统计分析工具，也不出售你的数据。
我们存了什么
- 账号：邮箱、你起的名字、时区、头像。密码只保存不可还原的摘要。用 Apple 或 Google 登录时，保存它们给的账号标识、邮箱和名字。
- 你写进来的内容：待办、日程、记录、空间、白板、例行事项，你上传的照片和文件，以及和コトちゃん 的对话，包括她为了回答而读到、查到的内容和她给出的提案。
- 登录和设备：每次登录的记录（哪一端、浏览器或 App 的标识、IP 地址），以及让你不用反复登录的设备凭据。
- 推送：你打开提醒后，保存这台设备的推送标识、设备型号、语言、时区和 App 版本。
- 你连上的外部账号：见下面「连接外部账号」。
- 共享空间：成员、角色和邀请。
- 谁写的：每条待办和记录都记着是你写的、コトちゃん 写的，还是外部 AI 工具写的，以及从哪一端写的。
- 运行记录：服务器日志里有请求的路径和 IP 地址，用来排查问题和防止滥用，不记录登录凭据和请求正文。
用来做什么
- 让你登录，并在你的设备之间同步内容。
- 显示「现在」、日历这些页面，到点推送提醒。
- 在你向コトちゃん 提问时生成回答。
- 防止滥用，排查故障。
コトちゃん 和 AI 模型
- 打开对话不会把任何东西发出去。只有你发出一条消息，或者你设的例行事项到了时间，才会开始一次运行。
- 一次运行会把这些发给模型服务商：你的消息和这段对话，她的角色设定和你的名字，以及她为了回答而读到的内容。她会读相关的空间、待办、日程和记录；你允许她读的日历（标题、时间、地点）；你正看着的白板。她只读你个人的内容，不读共享空间里的内容。
- 你上传的图片，会交给模型读出其中的文字。
- 例行事项里由她做的部分每天按时运行，只查公开的信息。
- 对话保存在你的账号里，方便你回来接着聊。归档的对话按 30 天保留周期由清理任务删除。
- 现在用的模型服务商是 DeepSeek，通过 Cloudflare AI Gateway 转发。模型服务商可能依其政策保存和处理请求；我们没有取得第三方零保留或不训练的专项保证。服务商怎么保留和使用收到的内容，以它自己的条款为准。我们自己不用你的内容训练模型。应用请求指示 Cloudflare AI Gateway 不保存请求/响应正文并跳过缓存；网关仍可保留模型、状态、用量等元数据，目前按最多 100,000 条日志循环保留，没有固定按天到期的设置。这不等于模型服务商零保留。
- 网页搜索：已启用，使用 Tavily。开启时，发给搜索服务商的是她写的一句查询，不是你的原话，但其中可能带有你问题里的词。
连接外部账号
- Google 账号：只读。我们读取你选中的日历和其中的日程（过去 30 天到未来 180 天），保存日程的标题、说明、地点、时间和参加人数，不保存参加者的地址。你允许コトちゃん 读日历时，日程的标题、时间和地点会随你的提问发给模型服务商。断开连接时，我们会请 Google 撤销授权，并删除保存下来的日历和日程；你已经变成自己内容的日程和记录会留下。通过 Google API 获得的信息及其向其他应用的传输遵守 Google API Services User Data Policy，包括 Limited Use 要求。我们不将这些数据用于广告或通用模型训练；仅在你授权的功能范围内处理与传输。
- GitHub：只读。读取你选中的仓库里的 issue、文件路径这类信息。断开后凭据会清除。
- 按地址订阅的日历：我们的服务器按你给的地址去取日历内容。
授权凭据和订阅地址都加密保存。
共享空间里别人能看到什么
- 成员能看到这个空间里的全部内容。
- 成员之间能看到彼此的名字（没起名字时是邮箱 @ 前面的部分）、角色、加入时间，谁创建、修改、完成了哪一条，以及彼此把哪件事排在哪一天。
- 拿到邀请链接并登录的人，在加入前能看到空间的名字、邀请人，以及成员的名字和角色。
- 现在还不能移除成员、更改角色或退出共享空间。放东西进去之前请想好。
- 资料、日历、外部来源、例行事项和コトちゃん 仍然是各人自己的，不随空间共享。
推送通知
提醒的通知上有待办的标题、它排在哪天和哪天截止，以及空间的名字。通知经 Apple 的推送服务送到你的设备。
我们用到的服务
这些服务会经手一部分数据，只用来完成它们那部分工作：
- 托管和数据库：Railway（接口、后台任务和数据库），Vercel（网页版，服务器在新加坡）。
- 文件存储：Cloudflare R2（头像、附件原件，以及加密的备份）。
- 邮件：Resend。只发验证邮件和重置密码的邮件，会收到你的邮箱地址。
- 推送：Apple。
- App 分发和在线更新：Apple TestFlight，Expo。
- 错误上报：Sentry，只在 iPhone 版。发送崩溃和错误信息，不带账号信息，接收地在美国。
- AI 模型和网页搜索：见上面「コトちゃん 和 AI 模型」。
- 登录：Apple、Google，在你选择用它们登录时。
- 语音输入：iPhone 上的听写用的是系统自带的语音识别。
这些数据存放和处理的地区：账号和主要内容存于 Railway 的新加坡数据库，接口和后台任务也在新加坡。Web 使用 Vercel 的新加坡函数与全球内容分发网络；文件和加密备份使用 Cloudflare R2，由其分布式基础设施处理，我们不承诺固定存放在单一国家。Cloudflare、DeepSeek、Tavily、Resend、Apple、Expo、Sentry 和 Google 等可能在其他国家处理相应数据，包括美国，以及 DeepSeek 政策所述的中国。跨境处理只用于上述功能，并受相应服务商的政策和适用法律约束；你可联系运营者询问具体接收方及保护措施
网页版和这个网站
- 网页版用几个 cookie 保持登录：登录会话（最长 90 天）、让你不用反复登录的设备凭据和上次登录的邮箱，以及登录跳转时短暂用到的标记。它们都由我们自己设置，网页里的脚本读不到，不用于跟踪。
- 浏览器的本地存储里放着外观、布局和没写完的草稿。
- 官网介绍页不设置额外的 cookie；它与网页版共用域名，已登录时首页会读取登录会话并进入「现在」。官网没有统计脚本。页面的字体从 Google Fonts 加载，你的浏览器会因此向 Google 发出请求。
保存多久，怎么删
- 待办、日程和记录现在只能归档，不能逐条删除。空间可以归档，也可以永久删除：永久删除一个空间时，里面的待办和日程一起删除，记录移到你的默认空间。共享空间被永久删除时，里面的内容全部删除。
- 通知记录保留 30 天。
- 登录会话 7 天不用就失效，最长 90 天；设备凭据最长 180 天。
- 备份：每晚一份加密备份，按天的保留 35 天，每月一份保留 400 天。从线上删掉的内容，要等备份过期才从备份里消失。
- 测试期间我们会保留你的数据，不会为了发新版本而清空。
- 现在产品里还没有「删除账号」和「导出数据」的入口。想删除账号或拿到你的数据，请写信到
parz1zhou@gmail.com，我们以收到请求后 7 天内回复为目标；核实身份和请求范围后通常在 30 天内处理。删除账号后，通常在上述处理期内从线上清除账号关联的个人数据；为法律义务、安全或争议处理确需保留的部分会说明原因和期限。备份不逐条改写，残留副本按 35 天日备份、最长 400 天月备份的周期自然到期；如需恢复备份，会重新落实已确认的删除请求。
安全
- 数据传输全程使用 HTTPS。
- 密码用 Argon2 生成不可还原的摘要；登录会话和邀请链接也只保存摘要。
- 外部账号的授权凭据和订阅地址用 AES-256-GCM 加密保存。
- 接口有请求频率限制。
- 没有哪个系统能保证绝对安全。发现问题请写信告诉我们。
你可以做什么
- 在产品里查看和修改你的内容。
- 断开外部账号，关闭提醒。
- 写信要求查看、更正、导出或删除你的数据。
- 依据适用法律，你可请求披露、更正、停止使用或删除个人数据，或撤回以同意为基础的处理；涉及他人权利、法定义务等限制时，我们会说明理由。先联系运营者，也可向日本个人信息保护委员会（PPC）或你所在地有管辖权的数据保护机关投诉
未成年人
公开 Beta 仅面向 18 岁及以上用户。我们不以未满 18 岁的人为服务对象；如发现收集了其个人数据，请联系运营者核实并安排删除，法律要求保留的部分除外。
联系我们
parz1zhou@gmail.com