隐私政策
一句话概括：Chillin 是个人自建、自用的数字花园。你写下的内容存放在你自己名下的 Cloudflare 账户里，不出售、不共享、不做广告画像、不用于训练模型。你随时可以导出或删除。
1. 这份政策管什么
本政策说明 Chillin 数字花园（以下简称「本服务」）在你使用网页版 PWA 与微信助手时，收集哪些信息、为什么收集、存放在哪里、保留多久，以及你有哪些权利。本服务由个人开发者自建自用，不面向公众提供商业服务。
2. 收集哪些数据
| 类别 | 具体内容 | 用途 |
|---|---|---|
| 账户 | 用户名与口令（口令以 PBKDF2 加盐哈希存储，服务端不保存明文）、会话令牌 | 登录与身份校验 |
| 你写下的内容 | 周记、随手记、笔记、收藏链接、提示词、阅读进度与书籍信息 | 个人知识管理、检索与 AI 回响 |
| 媒体文件 | 你主动上传的图片、封面等 | 随内容一起展示 |
| 微信助手记录 | 你发给助手账号的消息、助手回复、以及你明确要求「记住」的个人档案条目 | 让助手理解上下文、回答你的提问 |
| 健康打卡 | 你主动记录的步数、睡眠、中高强度时长、心率、体重等 | 仅用于回显与汇总；本服务不提供医疗建议 |
| 设备与运行信息 | 通知订阅端点（用于发送你开启的提醒）、必要的请求日志（时间、接口、结果） | 保障服务可用性与安全审计 |
本服务不使用第三方统计、广告或行为追踪脚本，也不读取你的通讯录、照片库以外的文件或剪贴板内容。
3. 数据存放在哪里
- 服务端：Cloudflare 平台——静态页面托管于 Cloudflare Pages，接口运行于 Cloudflare Workers，结构化数据存于 Cloudflare D1，媒体文件存于 Cloudflare R2。这些资源位于本服务所有者本人的 Cloudflare 账户下。
- 你的设备上：网页版会把内容缓存在浏览器 IndexedDB / localStorage，并注册 Service Worker 以支持离线使用；登录凭证以 HttpOnly Cookie 形式保存，页面脚本无法读取。
- 传输：所有请求均通过 HTTPS 加密；口令校验使用恒定时间比较以抵御时序攻击。
4. 我们不会做的事
- 不出售、出租或与第三方共享你的内容；
- 不使用你的内容做广告投放或用户画像；
- 不使用你的内容训练第三方模型；
- 不擅自把内容发布到公开渠道。
5. 第三方服务
为实现功能，本服务会在必要范围内调用以下第三方，仅传递完成该次请求所需的最小内容：
| 第三方 | 触发时机 | 传递内容 |
|---|---|---|
| Cloudflare（Pages / Workers / D1 / R2） | 始终 | 托管与存储本服务的全部数据 |
| DeepSeek / Cloudflare Workers AI | 仅当你主动使用「AI 回响」「问答」「联网检索」时 | 你的问题与检索命中的内容片段 |
| 微信（ClawBot 助手通道） | 仅当你向助手账号发消息时 | 你发送的消息内容 |
| 网页搜索服务（如 Jina） | 仅当你明确要求联网查询时 | 你的检索词 |
| 小米运动健康云服务 | 仅在（未来）你完成 OAuth 授权后 | 只读拉取你授权范围内的健康数据，不回写 |
上述第三方各自的数据处理规则由其隐私政策约定。你可以随时停止使用相关功能，从而不再产生对应传递。
6. 保留与删除
内容保存在你的账户下，直至你主动删除。为保证多设备一致，删除采用「软删除 + 同步墓碑」机制：删除标记会同步到各端并从界面与检索中移除。你可以随时停止使用本服务，并删除我们在 Cloudflare 账户中的数据；如需协助删除，请通过下方方式联系。
7. 你的权利
- 查看与更正：在应用内随时查看、编辑全部内容与「关于我」档案；
- 导出：应用内提供数据备份与导出；
- 删除：应用内删除单条或全部数据；
- 撤回授权：可随时关闭通知订阅、解除微信助手绑定，或在对应的第三方平台（例如小米运动健康 App）撤销数据授权；
- 提问：对数据处理方式有疑问，可通过下方方式联系。
8. 安全措施
- 口令 PBKDF2 加盐哈希（迭代 60 万次），恒定时间比较；
- 会话令牌与服务端密钥仅存于加密的 HttpOnly Cookie 与 Worker 密钥中；
- 接口按账户隔离并做速率限制，审计日志记录关键写操作；
- 渲染前对用户内容做白名单清洗，防止脚本注入。
请注意：没有任何系统能保证绝对安全。请妥善保管你的口令。
9. 未成年人
本服务不面向未成年人，也不会有意收集未成年人的个人信息。
10. 政策变更
本政策如有更新，将修改本页顶部的生效日期。继续使用即表示接受更新后的政策。