隐私政策

1. 我们是谁

FluentDojo（fluentdojo.com）由 DUOCODE TECHNOLOGY（马来西亚，商业注册号 LA0087244-A）运营。本政策说明我们在你使用 实时英语陪练服务时如何收集、使用与保护你的个人数据。对数据处理有任何疑问或请求，请联系 contact@fluentdojo.com。

2. 我们收集哪些数据

• 账号数据：注册时提供的邮箱地址、加密存储的密码，以及你可选填写的昵称。
• 语音与画面：在你主动开启麦克风（及可选的摄像头）后，你的语音（及画面）会被实时采集，用于与 AI 对话、发音评测与课堂互动。这些数据流式处理；我们不会在你未开启设备时进行任何录制。
• 练习内容与学习进度：对话记录、练习答案、评测得分、错误卡片与复习计划，用于向你展示历史记录并驱动个性化复习；另包括通话复盘里识别出的文字、会议助手里的会议文字记录与小结、你上传的资料，以及你创建的会议智能体和练习场景。
• 手机 App 里的地点类别：只有在你允许位置权限后，App 才会在手机上判断你所在地点的类型（如咖啡馆、车站）。我们只收到这个类别，收不到坐标。详见第 3A 节。
• 手机号：只用短信验证码登录时，我们收到你的手机号码（中国大陆号码）。不保存验证码本身（验证码由阿里云生成和校验）。
• 联系与客服：你通过联系表单留下的姓名、邮箱和留言。你举报 AI 教练的某条回复时，举报也通过同一个表单发送，并附上那条回复的原文。页面角落的「反馈」按钮把你填入的内容（以及附带的截图）发送到我们自己的反馈服务 Agentic CS（agenticcs.net）；登录时还会带上你的账号 ID、邮箱和显示昵称以便回复，未登录时带的是一个随机生成的浏览器标识（见第 5 节）。
• 技术数据：为维护服务安全与稳定所必需的日志（如 IP 地址、请求时间、账号编号、错误信息）。

3. 数据如何流向第三方服务

为提供服务，我们把实现某项功能所必需的数据交给以下服务商处理。我们不出售你的数据，也不允许服务商用它向你投放广告。凡是服务商提供了「不用你的数据训练模型」的选项，我们都已选择不参与。

• 阿里云百炼（新加坡，通义千问等模型）：实时语音识别、AI 对话与回复、写作批改、练习生成，以及会议助手的建议和小结。它收到你的语音、你写的文字、对话和会议内容；不用于训练，调用内容最多保留 30 天。
• Cartesia（美国）：AI 教练的语音合成。它收到 AI 教练要说的文字；我们已在账号里关闭「用于模型训练」，其隐私政策未写明保留天数。
• Deepgram（美国）：练习房里每轮发言的整句识别、会议助手的实时语音识别、整段录音的识别；有道和腾讯云都无法评测时，也由它把朗读录音转成文字。它收到你在练习房里的语音、这种情况下的朗读录音，以及会议或录音中的语音（会议里可能包括其他参会者的声音）；我们的每次调用都选择不参与模型改进，音频和识别文字处理完即不保留，只保留不含内容的调用记录 90 天。
• 网易有道、腾讯云（中国境内）：发音评测。它们收到你的朗读音频和参考文本；按各自政策只在完成评测所必需的最短时间内保存，未写明天数；腾讯云的接口说明写明音频默认不存储。
• 我们自建的模型网关（美国），以及它转发到的 Anthropic（Claude）和 Microsoft Azure OpenAI（GPT；Azure 暂时不可用时改走 Neon AI Gateway）：会议助手的实时建议、翻译和会议小结。它们收到会议文字记录和你交给会议智能体的资料。网关不记录对话内容，只记用量（模型、字数、费用）；Anthropic 不用于训练，30 天内删除；Azure OpenAI 不用于训练，为防滥用最多保存 30 天；Neon AI Gateway 为防滥用最多保存 30 天。
• Stripe：网站上的会员付款与订阅管理（手机 App 内不提供购买）。它收到你的邮箱、昵称和付款信息（付款信息由 Stripe 直接收集，我们看不到卡号）。删除账号时，我们会让 Stripe 删除你的客户资料（邮箱、昵称、保存的付款方式）；已开出的发票和付款记录（上面印有当时的邮箱和名字）由 Stripe 按财务与税务规定保留。
• Cloudflare：网站的网络加速与防护、联系表单的人机验证（Turnstile），以及存放我们的加密备份。它收到你的 IP 地址和访问请求；备份是我们用自己的密钥加密后的文件，Cloudflare 无法读取。Turnstile 收到的信号只用于识别机器人和改进识别，不用于广告。
• Amazon Web Services（新加坡）：托管我们的服务器和数据库，存放我们保存的全部数据（加密传输，数据库只在内部网络可达）；保留期由我们控制，见第 6 节。
• 阿里云号码认证服务-短信认证（中国境内）：用于中国大陆手机号（+86）的短信验证码登录，以及只用短信登录的账号删号时的验证码。它收到你的手机号，用我们签名下的短信把验证码发给你，并校验你输入的验证码是否正确；验证码本身由阿里云生成和保存，我们不保存验证码。发送记录见第 6 节。
• Zoho Mail / ZeptoMail：发送验证码和找回密码邮件、转发联系表单留言。它收到你的邮箱地址和邮件内容；发信记录（收件人、主题、投递状态）保留 60 天，邮件正文默认不保存。
• Agentic CS（我们自己的反馈服务，agenticcs.net）：页面角落的「反馈」按钮。它只收到你主动提交的内容，以及登录状态下你的账号 ID、邮箱和显示昵称。
• LanguageTool（我们自托管）：写作语法检查，文本不离开我们的服务器。
• Mac 小助手「听取会议对方声音」：你开启后，在 FluentDojo 上有会议进行时，会议软件（Zoom、Teams、Lark、微信）播放的声音会实时发送给 Deepgram（英文会议）或阿里云 DashScope（中文会议）做语音识别。我们不保存这段音频，保存的只是会议的文字记录与小结。

在 iPhone 上使用「到店提醒」时，判断地点类型所用的地图查询由苹果的 Apple 地图完成（见第 3A 节）。

数据所在地：我们的服务器和数据库在新加坡。实时语音识别和大部分 AI 回复由阿里云新加坡处理；练习房里每轮发言的整句识别由美国的 Deepgram 处理；语音合成、会议语音识别和部分会议建议由美国的服务商处理，会经过我们在美国的模型网关；发音评测由有道和腾讯云在中国境内处理；用于大陆手机号登录的短信验证码由阿里云号码认证服务在中国境内处理。数据库的加密备份由我们自己的备份服务器（位于中国境内）取出、加密后存放在 Cloudflare。

3A. 手机 App 与定位

FluentDojo 的 iPhone、Apple Watch 和安卓 App 显示的就是本网站，账号和数据与网站相同。App 在网站之外只多做一件事：到店提醒——当你到达某个地方（如咖啡馆、公司、车站），给你推荐一段 1 分钟的、和这类地方相关的英语练习。

• 位置权限是可选的。iPhone 上，「到店提醒」默认关闭，只有你在 App 里打开后才会请求位置权限，你可以随时在 App 的「我在…」里关掉；安卓上，App 首次打开时会请求位置权限，你可以不允许，之后也可以随时在系统设置里收回。没有位置权限也能正常使用 App 的全部练习功能，也可以在「我在…」里手动选择你在哪里。
• 后台使用位置。为了在你没打开 App 时也能发现你到了一个新地方，「到店提醒」需要「始终允许」使用位置。iPhone 上，App 使用系统的「到访」功能，只在你到达或离开一个地方时被系统唤醒；安卓上，App 在后台大约每 15 分钟在手机上读取一次位置。
• 坐标不离开你的手机。你的坐标只在手机上用来判断「这是什么类型的地方」：iPhone 会把坐标交给苹果的 Apple 地图，查询附近的地点类型（这次查询由苹果处理，适用苹果的隐私政策）；安卓不使用任何地图或地点服务，App 在手机上比较你标记过的「家 / 公司 / 学校」，或按到达的时间段推断类型，你标记的地点只加密保存在手机上。
• 我们只收到类别。App 发给我们的只有地点类别（如「咖啡馆」）、当地时间（几点、星期几）、界面语言和 App 平台（iPhone 或安卓），用来挑选练习卡片。我们不保存这个类别：服务器只为防止滥用记一个「这个账号今天取过几次卡片」的计数，两天后自动过期；挑出的卡片内容对所有用户相同。
• 通知在手机上生成。提醒是 App 在手机上发出的本地通知，我们不使用推送服务。Apple Watch 只从你的 iPhone 接收最新一张卡片，自己不联网、不使用位置。
• 华为手表。FluentDojo 的华为手表（HarmonyOS）App 显示安卓 App 发来的最新一张练习卡片（标题、第一句、场景说明和练习页链接）；还没连上手机时，只显示几张固定的示例卡片。你在手表上选择到手机上开始时，它只把这张卡片对应的练习页告诉手机。卡片经手机上的华为运动健康 App 和华为 Wear Engine 在你的手机和手表之间传递（由华为处理，适用华为的隐私政策）。手表 App 自己不联网、不使用位置，只在手表上保存最新一张卡片，你选「稍后」即删除。
• App 里的网页读不到位置。App 禁止它显示的网页调用浏览器定位，所以网站本身从不拿到你的位置。
• App 里不做访问统计。第 5 节所说的 Umami 访问统计只在浏览器访问网站时运行，手机 App 里不加载。
• 麦克风只在你在练习房点「开始听」、或使用朗读和会议功能时使用，与网站相同。

4. 我们如何使用数据

• 提供并改进实时对话、评测与学习功能；
• 保存你的学习历史与进度，供你随时查看；
• 保障服务安全（如防滥用、排查故障）。

我们不会出售你的个人数据，也不会将其用于第三方广告。

5. Cookie 与本地存储

我们在你的浏览器 localStorage 中保存登录令牌（access/refresh token）以维持登录状态，并可能 保存界面偏好设置。这些仅用于功能所需，不用于跨站跟踪。清除浏览器数据即可移除。

网站访问统计由我们自托管的 Umami 提供：它不写入任何 cookie，不设置跨站标识符，只记录聚合的页面访问量。我们不使用 Google Analytics，也不使用任何第三方广告跟踪工具。

「反馈」按钮（第 2 节）只在未登录时写入一条本地存储 agentic-feedback-anonymous-id——由你的浏览器随机生成的标识，让回复能找到同一个浏览器。它不写入 cookie，同样不用于任何跨站跟踪。

试用模式（无需注册即可练习一次）会在你的浏览器中保存两样东西：一枚由服务器签发、短期有效的匿名试用令牌，以及一个随机生成的设备标识——它存在的唯一目的，是让每日试用名额属于你这台设备，而不是与同一网络下的所有人共用。该设备标识在你的设备上随机生成，不来自你的任何个人信息或硬件特征，也不会与任何账号关联。它不构成账号，不含你的任何身份信息，过期或清除浏览器数据后即失效。

试用期间被保存下来的只有对话本身（你所说内容的识别文本与 AI 教练的回复），保存在一个一次性的匿名标识下，并在该次试用创建满 30 天后由我们的服务器自动删除。发音评分只在页面上实时显示，不写入我们的数据库；试用也不会生成错句卡片或任何学习记录。因为没有账号，这些数据不会与你的身份关联；删除后也无法找回。

FluentDojo 的手机 App 里不加载这项统计。手机 App 会在手机的系统安全存储（iPhone 钥匙串、安卓 Keystore 加密存储）里保存一份你的登录状态，只存在这台设备上、不随备份转移，用于在后台为你取练习卡片；你在 App 里退出登录或删除账号后会一并清除。

6. 数据保留与删除

账号数据与学习记录在账号存续期间保留。你可以随时在应用或网站里自行删除账号：登录后进入「账号 → 删除账号」，输入密码确认（只用短信验证码登录、没有密码的账号，改为输入我们发到该号码的短信验证码）后，你的账号及全部相关数据会立即删除，无法恢复。

立即删除的：你的账号（邮箱、密码、昵称）和所有设备上的登录；对话记录、练习答案、评测得分、错句卡片与复习记录、学习计划与进度；通话复盘的文字与问题；会议文字记录、小结、你上传的资料和会议智能体；你创建的练习场景。有效会员会同时取消，之后不再扣费；你在我们的支付服务商 Stripe 那里的客户资料（邮箱、昵称、保存的付款方式）也一并删除。删除本身不会退款（退款政策见用户协议）。

按期限消失的：

• 服务器运行日志（含 IP 地址和账号编号）最长保留 30 天；语音服务出故障时另存的诊断记录（含少量日志片段）只用于排查故障，保留到排查结束；
• 进行中的练习会话的临时状态在 1 小时无活动后清除；防滥用的计数在 2 天内过期；
• 删号后，我们会保留你账号编号的哈希值和删除时间 90 天，只用来停止迟到的扣费（比如删号前后在另一台设备上付的款），之后删除；
• 短信登录的发送记录：每次发送验证码（用于登录或确认删号），我们只记录手机号、发送时间、阿里云是否受理、拒绝时的错误码和你输入错码的次数，不存验证码本身；发送记录在 30 天后自动删除，删除账号时也会一并删除你号码的发送记录。
• 因发送量超限而暂存的联系表单留言，最多保存 30 天，之后自动删除；
• 备份：数据库每天备份一次，只用于故障恢复。服务器上的备份保留 14 天；另有一份加密副本存放在 Cloudflare，按最近 30 天每天一份、最近 12 周每周一份保留。因此删除账号后，你的数据最长约 12 周后才会从所有备份中消失。

服务商按自己的规定保留的：第 3 节列出了每家服务商的保留期限。Stripe 只保留以往的发票和付款记录（上面印有当时的邮箱和名字），这是财务与税务规定的要求；已经转发到我们客服邮箱的邮件会留在邮箱里，你可以要求我们删除。

只用短信验证码登录的账号没有密码，改用短信验证码自助删除：同样在「账号 → 删除账号」里获取验证码，输入发到账号手机号的验证码即可。账号和发码记录按同样的方式删除。

你也可以随时发邮件至 contact@fluentdojo.com 请求导出或删除你的账号及全部相关数据，我们会在合理时间内（一般不超过 30 天）完成删除，法律要求保留的除外。

免注册试用没有账号，因此不适用上述规则——它的保留期限见第 5 节。

7. 数据安全

全站使用 TLS 加密传输；密码经不可逆哈希后存储；数据库仅在内部网络可达。尽管如此，任何互联网 传输都无法保证绝对安全，请妥善保管你的账号凭据。

8. 未成年人

本服务面向年满 18 周岁的用户；未成年人应在监护人同意并指导下使用。如你认为我们在未获监护人 同意的情况下收集了未成年人数据，请联系我们删除。

9. 政策变更

我们可能更新本政策，更新后会在本页标注新的生效日期；重大变更会在站内提示。

10. 联系我们

数据主体请求（访问、更正、删除）或任何隐私问题：contact@fluentdojo.com。本政策受马来西亚法律（包括《2010 年个人数据保护法》，即 Act 709，由个人数据保护局 Jabatan Perlindungan Data Peribadi 执行）管辖。

本政策以简体中文、English 与 Bahasa Malaysia 三种语言发布（Notis Privasi — Bahasa Malaysia）。如各语言版本之间存在歧义或冲突，以英文版本为准。