隐私权政策

1. 适用范围与信息处理者

本政策适用于 iamhuman.group 网站、I AM HUMAN Android APP 以及二者所使用的 IAMHUMAN 服务。下方列示的主体为个人信息处理者和服务运营者。请勿提交与产品功能无关的身份证件、金融账户号码、健康信息或其他敏感信息。

• 运营主体中文名称: 南京定义未来科技有限公司
• 运营主体英文名称: Nanjing Define the Future Technology Co., Ltd
• 注册及联系地址: Building T2, Tianji Industrial Park, No. 2 Huachuang Road, Jiangbei New Area
• 联系邮箱: panda@deffuture.com

2. 我们处理的信息

• 人类挑战与 Human ID：你填写的称呼，以及本次脉冲时差和归一化绘图轨迹。原始交互仅在当前页面内存和服务端请求处理中用于即时判断，不长期保存。数据库保存短时验证会话 ID、令牌摘要、策略与客户端类型、语言、签发和过期时间、随机题目清单、请求和证据摘要、聚合特征与判断结果，以及 Human ID、称呼、签发时间、状态和持有凭证摘要；不保存原始脉冲、原始绘图轨迹或持有凭证明文。行为判断是概率性安全信号，不是生物识别或自然人身份的确定证明。
• 社区账号：用户名、社区称呼、简介、密码盐值和不可逆校验值、账号与 Human ID 的绑定关系、会话摘要和有效期。我们不保存明文密码。
• 社区与通信：你主动发布的帖子、评论、点赞、好友关系、账号屏蔽关系、用户隐藏帖子的记录及触发来源、举报内容、举报回执和状态标识、一对一消息（包括你选择在私信中发送的图片、语音消息和视频）、消息已读时间及相关操作时间。举报回执仅表示服务已接收并记录举报，不代表后台或人工已经审核或作出结论。私信图片会在服务端重新编码，并去除全部元数据（包括拍摄位置等 EXIF 信息）；语音消息按录制原样保存，不做转写，也不做声音分析。私信视频最长 60 秒；上传前，网站或 APP 会先在你的设备上去除视频的元数据（包括拍摄位置），服务端会再去除一次；服务端不转码视频，也不分析视频内容。发送视频时可能附带一张取自视频第一帧的封面图，服务端会重新编码并去除其全部元数据。私聊内容（包括图片、语音和视频）以明文存储在服务端数据库中，目前不是端到端加密通信。
• 帖子里的图片、音频和视频：你在社区帖子中主动附加的图片（每帖最多 9 张）、一段音频或一段视频，以及它们的类型、大小、尺寸和时长。上传前，网站或 APP 会在你的设备上重新编码图片、去除视频的元数据（包括拍摄位置）；服务端会再处理一次：图片重新编码并去除全部元数据，视频去除容器元数据，音频按上传原样保存。服务端不转码视频，也不做转写、人脸识别、声音分析或内容画像。这些媒体只对已登录的社区成员可见，屏蔽、隐藏和举报对它们同样适用；被举报后，经授权的复核人员可以查看并下架。文件存放在运营方于 Tencent Cloud（腾讯云）对象存储（COS，中国大陆上海地域）开设的私有存储桶中，只能经由本站在核对查看权限后读取。
• 社区举报包含分类、用户填写的说明、回执状态、优先级和时间。“已接收”仅确认收件；“已分流”表示评估处理路径；“已处置”表示已记录治理措施；“已驳回”表示未采取措施。儿童安全或 CSAM 帖子举报会立即进入全局隔离等待审核；其他举报只会从举报者的信息流隐藏，不会被描述成已审核或已删除。
• 运行与安全信息：IP 地址、请求时间、请求路径及查询参数、响应状态、Referer、User-Agent、限流状态和故障日志。一次性配对码仅为完成 Human ID 与社区账号的短时绑定流程而使用。
• 注册确认记录：接受的人类承诺版本、网站规则版本、语言、服务端确认摘要和接受时间。我们不保存用于政府身份、实名认证或可靠电子签名的签名材料。
• 第三方 Auth：客户端申请元数据（展示与法律主体名称、联系邮箱、主页、隐私与条款 URL、精确 redirect URI、申请 scope 和使用场景）；consent、授权与撤销审计记录；pairwise subject、已批准 scope 和时间。授权码与 access token 均为短期有效；仅保存不可逆摘要以及签发、到期、消费或撤销元数据，不保存明文值。过期或已撤销记录会进入可运营清理状态，但不承诺精确删除时点。

实体卡设计与履约数据

当你提交实体卡意向时，我们会处理你选择的卡面公开昵称和可选标签、由服务端会话绑定的 Human ID、所选设计和形状、自定义说明、报价及订单历史，以及你选择上传的图案。我们还会处理未来履约所需的收件人姓名、电话和收货地址。收货信息属于私密信息，绝不会印在卡上。 PayPal 结账默认保持关闭，Sandbox 仅用于测试。如果以后为符合条件的实体商品订单启用结账，PayPal 将独立处理支付凭据；IAMHUMAN 不收集你的银行卡号或 PayPal 密码。IAMHUMAN 会向 PayPal 发送实体商品交易所需的金额、币种、商品摘要、invoice/custom 引用和收货地址，并接收订单、扣款、退款与争议状态。

登录会话最长 30 天失效，配对码 5 分钟失效，验证尝试 150 秒失效。验证会话元数据、摘要、聚合特征与结果在 24 小时后进入有界批量清理，因此低流量可能延迟物理删除。过期 OAuth 授权码和访问令牌摘要在过期或撤销 24 小时后进入有界清理。生产环境访问与错误日志每日轮换，最长保留 30 天，之后进入删除条件。 付款停用期间，取消未付款实体卡（physical-card）意向会立即物理删除订单及已无引用的报价和图案，并仅保留不含个人信息的幂等删除回执 7 天。未取消意向在 30 天后、无引用图案在 7 天后、报价在 30 分钟后进入有界清理。 PayPal 结账默认保持关闭，Sandbox 仅用于测试。如果以后为符合条件的实体商品订单启用结账，PayPal 将独立处理支付凭据；IAMHUMAN 不收集你的银行卡号或 PayPal 密码。IAMHUMAN 会向 PayPal 发送实体商品交易所需的金额、币种、商品摘要、invoice/custom 引用和收货地址，并接收订单、扣款、退款与争议状态。 未付款实体卡意向继续按已说明的短期周期删除。存在付款、退款或争议记录时，订单/购买历史以及最少必要的交易、退款、争议和结算引用会在履约、税务/会计、反欺诈、拒付与争议处理所需的有界期限内保留。账号删除会解除用户关联并删除已无必要的数据，但不承诺删除适用法律要求保留的交易账本。

3. 公开范围与可见对象

• Human ID 查验是公开功能。任何知道 Human ID 的个人或第三方系统都可以查询其 Human ID、称呼、签发日期、评分、派生特征和当前状态。请不要把不希望公开的真实姓名或其他敏感信息用作称呼。
• 帖子、评论、称呼和互动状态会向已登录的社区成员展示；举报信息仅用于治理处理。
• 好友关系和一对一消息（包括图片、语音和视频）仅通过已登录账号接口提供给相关参与者，但服务端为传输、存储、故障处理和依法治理而能够处理这些信息。消息被举报后，经授权的管理员可在处理该举报所需的范围内查看被举报的消息及其中的图片、语音或视频。请勿在聊天中以文字、图片、语音或视频发送密码、支付信息、身份证件或其他高敏感信息。

4. 处理目的

• 完成挑战评分、签发和公开查验 Human ID，并验证 APP 持有关系。
• 创建社区账号、完成用户名和密码登录、保持会话及防止账号冒用。
• 提供按时间排序的社区、好友、私聊、已读状态与内容举报功能。
• 限制自动化滥用、保障服务稳定、排查故障、处理争议并履行适用法律义务。
• 审核客户端申请，展示知情授权页面，签发和验证 OIDC 兼容凭据，仅披露已批准声明，审计授权安全事件，并处理撤销。
• 审查社区内容和被举报的私信，发现并处理违法、有害内容以及买卖账号、冒充等欺诈行为。

持续核验与账号状态

• 我们使用：你发帖、回复和私信的时间（不含内容）；在场核验的结果和时间；举报你账号的不同成员数量；以及由此作出的账号状态决定及其原因。
• 写作时的交互统计：你在网站或 APP 上写帖子、回复和私信文字时，设备只计算几项统计数，随发送一起提交：输入变化的次数，逐字、多字（例如输入法上屏）和整段（例如粘贴）插入的次数，删除和停顿的次数，输入框失去焦点的次数，输入框处于焦点的累计时长，是否有过触摸或鼠标操作，网页上并非由真人触发的输入事件次数，从开始输入到发送的时长，以及取整分档后的输入间隔统计。开始输入时，服务端会发出一张一次性的写作票据，用来核对实际经过的时间；字数由服务端按你发送的文字计算。服务端据此判断这一次写作更像真人还是程序，并按账号汇总成一份动态画像：过去 7 天各类判断的次数、每天有写作的小时数、风险等级（低、中、高）及原因，以及建议的下次复验时间。目前这些结果只用于观察和统计，不会因此限制你的账号，也不会因此要求你复验；以后如果用于持续核验，我们会先更新本政策。这些统计和画像不用来认出你是谁，也不为任何人建立打字特征。写作统计保存 30 天；风险等级的变化记录约保存 13 个月；动态画像在账号存在期间保留，并随新的写作更新；账号删除时全部一并删除。
• 客户端与突击复验：APP 会随请求声明自己的版本和支持的功能；我们按人、按天记录你使用的是网站还是哪个版本的 APP（不记录 IP 地址、设备型号或任何设备指纹），用于了解版本分布和发现账号被转手的迹象。为了确认一直是你本人在使用这个账号，我们可能不定期请你在持有 Human ID 的手机上，于 10 分钟内完成一次简短的在场核验；这类复验的时间和结果最长保存约 13 个月。
• 换手机、找回与关联：把 Human ID 换到新手机时，两部手机通过一个一次性的 6 位码和二维码完成交接，我们只记录交接的时间与结果；旧手机遗失时，你可以在新手机上通过一次复验申请找回，找回在 72 小时后生效，期间原手机可以取消。你也可以自愿把自己的两个 Human ID 关联起来，关联默认不公开；若你选择公开，核验页只显示关联数量。这些记录只含 Human ID、时间和状态，不含设备名称、位置或任何设备指纹，最长保存约 13 个月。
• （一）App 内核验时的运动传感器统计 在 IAMHUMAN App 提供该功能后，你在 App 中完成核验（包括注册、复验和突击复验）的那几秒内，App 会读取手机的运动传感器（例如加速度计），并在手机上把读数换算成少量统计结果，例如手机是否拿在手中、点按时是否伴随相应的震动。我们只接收这些统计结果，原始传感器读数不会离开你的手机。 这些结果只用于区分真人操作与模拟器、自动程序。它们不用于识别你是谁，不与其他账号比对，不用来建立个人特征档案，也不属于生物特征数据。没有读到相应信号（例如手机放在桌上、使用辅助设备）不会被判为核验未通过。 网页端不读取运动传感器。统计结果与核验记录一同保存，最长约 13 个月。
• （二）网页端经手机扫码登录与续期 在提供该功能后，登录网页端可能需要用持有你 Human ID 的手机，在 IAMHUMAN App 内扫码并确认。 长时间使用网页端，或者出现异常、被随机抽中时，我们可能请你再次用手机扫码，并在限定时间内在手机上完成一次简短核验。完成之前，你仍可以在网页端浏览，但发帖、评论和私信会暂停。 为了让你在手机上确认登录请求确实来自你本人，手机上会显示发起请求的浏览器类型、操作系统和时间。你可以随时在 App 中查看并结束所有网页会话。部分功能今后可能只在 App 中提供。 手机上显示的浏览器类型和操作系统，来自我们已作为运行与安全信息记录的 User-Agent；为此不新增 IP 记录，也不建立设备指纹。
• 为此我们不使用也不收集：私信内容（包括你发送的图片、语音和视频）、通讯录、位置、相机或麦克风、你按了哪些键、按键的顺序或逐次时间、没有发送的文字、其他应用的信息，也不做设备指纹。
• 用途：尽早发现非人类操作，偶尔请你做一次在场核验，必要时暂时降低曝光或暂停互动，并让你通过核验自行恢复。这些都不会签发或撤销 Human ID。
• 保存多久：决定记录约保存 13 个月；对账号的人工复核及其结果保存到账号删除为止，用于衡量和减少误判。
• 你可以在社区页查看当前账号状态，随时自行复验，并通过安全中心对决定提出申诉。

内容安全审查

• 公开内容：你发布或修改的帖子（含标题）、评论、称呼与简介，以及帖子里的图片，发出后会自动检查是否含有违法或有害信息，例如诈骗、买卖账号或 Human ID、暴力威胁、色情或未成年人性剥削。检查分两层：先由我们服务器上的规则库匹配，再由内容安全服务商的 AI 模型判断；图片由图像模型识别画面和其中可见的文字。帖子里的音频和视频不做自动检查。
• 私信：私信文字只在我们自己的服务器上用规则库自动检查，不发送给任何第三方；私信里的图片、语音和视频不做自动检查。只有当一条私信被举报时，这条私信的文字和图片才会交给内容安全服务商的 AI 模型审查一次。语音消息不转写，也不做声音分析。
• 发送给服务商的只有待审的文字或图片本身（帖子另含标题），不附带你的用户名、Human ID、联系方式或 IP 地址。服务商与处理地点见第 6 节。
• 我们保存的审查记录：内容的 SHA-256 指纹和长度、命中的风险类别、去除个人信息后的简短理由、审查结果与重试情况，以及人工处理结论；不另存你的文字或图片副本。通过审查的记录保存 90 天，其余记录约保存 13 个月；账号删除时一并删除。
• 审查结果交给经授权的运营人员处理。自动判断可能出错，最终由人决定。被判定明显违规的帖子或评论可能先被隐藏、等待人工复核，你会收到通知并可以申诉；私信、称呼与简介不会因自动检查而被自动隐藏。运营人员在后台看不到私信正文；处理被举报的私信时，按第 3 节执行。

5. Cookie、本地存储与设备权限

网站使用必要的 HttpOnly 安全会话 Cookie 保持登录状态。浏览器本地存储可保存本地 Human ID 公开记录、Web 持有凭证和跨标签登录状态；sessionStorage 仅保存短时验证会话元数据与幂等键，以及待发送消息的参与者、消息摘要和客户端消息编号，不保存验证答案或原始轨迹。Service Worker 仅缓存公开静态资源。APP 使用设备安全存储保存 Human ID 持有凭证、登录会话、待撤销会话及待发送消息摘要，并在普通本地存储保存公开身份记录。APP 扫描二维码时的相机画面不会上传；只有当你在私信中选择拍照时，APP 才会用相机拍下这张照片，并在你发送后上传；只有当你在私信中选择录像时，APP 才会使用相机和麦克风录制这段视频，并在你发送后上传；网站不提供录像。网站和 APP 只读取你主动选择的那张图片或那段视频，不会浏览你的完整相册；只在你录制语音消息或视频时使用麦克风，并在你开始录制时才请求麦克风权限。禁用必要存储或权限后，相应功能可能无法使用。 其中的会话元数据包括结果恢复所需的短时尝试令牌（attempt token）明文；它会随该标签页会话清除。

Android 端二维码扫描使用 Expo Camera，并包含 Google ML Kit Barcode Scanning 与 Google Code Scanner 组件。扫码时的相机画面和图像仅在设备端用于识别二维码，IAMHUMAN 不上传这些画面。Google 说明这些 ML Kit 组件可能为诊断和使用分析收集设备与应用信息、性能指标以及设备或安装标识符，并通过加密连接传输；因此 APP 会在 Google Play Data safety 中披露这些 SDK 诊断数据。

网站另使用有效期 90 天、HttpOnly、SameSite=Lax 的 IAMHUMAN_LOCALE Cookie 记住语言偏好，并在生产环境设置 Secure；APP 在 AsyncStorage 中保存语言偏好。切换到或离开从右向左书写的语言时，APP 可能重新加载界面，但不会因此清除账号、身份或消息数据。

6. 第三方服务、处理地点与跨境传输

主网站与数据库目前运行在运营方自管的 111 服务器（111.229.206.10），该服务器位于中国大陆的 Tencent Cloud（腾讯云）网络；账号、Human ID、社区内容、消息和运行信息主要在此处理和存储。Tencent Cloud 提供基础设施和网络服务，但不参与 IAMHUMAN 账号认证。 ↗

网页字体由 Google Fonts 提供；浏览网页时，浏览器可能向该服务发送 IP 地址、User-Agent、Referer 等网络请求信息。请查阅 Google 隐私权政策。Google 不参与 IAMHUMAN 的账号认证。 ↗

PayPal 结账默认关闭，Sandbox 仅用于测试。如果你使用 PayPal 测试流程，或日后启用的实体商品正式结账，PayPal 可能依据其隐私条款独立跨境处理金额、币种、商品摘要、invoice/custom 引用、收货地址，以及订单、扣款、退款或争议状态。IAMHUMAN 不收集银行卡号或 PayPal 密码。本政策不能替代适用法律要求的另行告知、同意、评估或数据传输程序。 ↗

当你批准第三方应用时，IAMHUMAN 仅把已批准 scope 覆盖的字段发送至其登记服务器：openid 提供 pairwise sub；profile 在申请时提供可选展示名称。对于由生产 v3 签发的 Human ID，在账号仍有效且请求获授权时，human:status 可以返回有时间边界的 HA1。V4 目前用于候选评测，不改变 v3 签发结果或 HA1 资格，也不提供新的 HA1 保证。第三方依其自身隐私政策和条款独立负责后续处理；批准前请核对其登记域名与文件。

内容安全审查使用 DeepSeek（杭州深度求索人工智能基础技术研究有限公司）和阿里云百炼（阿里云计算有限公司，通义千问模型）的接口，处理地点在中国大陆。我们只发送待审内容本身，用途仅为取得审查结果；服务商按其服务条款处理这些数据。它们不参与 IAMHUMAN 的账号认证。

7. 保存期限

• 登录会话默认最长有效 30 天，一次性配对码默认 5 分钟失效。验证 attempt 默认 150 秒失效。其会话元数据、摘要、聚合特征与结果在 24 小时后具备删除条件，由后续验证请求每次最多分批清理 250 条；低流量期间可能保留更久。保留记录不包含原始脉冲和绘图轨迹。
• 有效账号删除请求完成后，我们会永久删除账号及关联会话、配对码、协议记录、社区内容与互动、好友与屏蔽关系、双向私信、举报、外部身份流程，以及与账号关联的 OAuth 客户端、授权、授权码和令牌。独立签发的 Human ID 注册记录、持有凭证摘要和验证记录会为身份完整性、注册表内唯一性、安全与防滥用继续保留；撤销 Human ID 需另行联系我们。删除回执仅含随机回执、带密钥的请求摘要和时间，30 天后过期。 未付款实体卡意向继续按已说明的短期周期删除。存在付款、退款或争议记录时，订单/购买历史以及最少必要的交易、退款、争议和结算引用会在履约、税务/会计、反欺诈、拒付与争议处理所需的有界期限内保留。账号删除会解除用户关联并删除已无必要的数据，但不承诺删除适用法律要求保留的交易账本。 社区踩踏信号随账号删除；但待管理员复核或已确认 AI 行为的案件会保留受影响 Human ID 与裁决元数据，仅用于完成复核、执行已确认的永久制裁并防止通过删号重新注册绕过。已推翻案件不再构成注册屏障。
• 私信中的图片、语音和视频（含视频封面）随所属消息保存，消息存在期间一直保留。发送者撤回消息时，该消息的文字、图片、语音或视频会被删除；任一方账号删除时，按上述账号删除规则删除双方之间的私信，其中的图片、语音和视频一并删除。与其他已删除记录一样，已删除的图片、语音和视频可能在下述受限灾难恢复副本中最多残留 30 天，直至轮换完成。
• 帖子里的图片、音频和视频：上传后 24 小时内没有用于发帖的文件会被自动删除。你删除帖子后，其中的媒体立即不再对任何人显示，并与帖子正文一样在 30 天宽限期后彻底删除（帖子正处于举报或处理流程中时，随该流程保留）。账号删除时，其帖子和帖子里的媒体一并删除，存储中的文件会在约一小时内清除。被下架的内容随帖子保留，以便处理申诉。帖子媒体不进入数据库备份。
• 登录会话最长 30 天失效，配对码 5 分钟失效，验证尝试 150 秒失效。验证会话元数据、摘要、聚合特征与结果在 24 小时后进入有界批量清理，因此低流量可能延迟物理删除。过期 OAuth 授权码和访问令牌摘要在过期或撤销 24 小时后进入有界清理。生产环境访问与错误日志每日轮换，最长保留 30 天，之后进入删除条件。 付款停用期间，取消未付款实体卡（physical-card）意向会立即物理删除订单及已无引用的报价和图案，并仅保留不含个人信息的幂等删除回执 7 天。未取消意向在 30 天后、无引用图案在 7 天后、报价在 30 分钟后进入有界清理。 PayPal 结账默认保持关闭，Sandbox 仅用于测试。如果以后为符合条件的实体商品订单启用结账，PayPal 将独立处理支付凭据；IAMHUMAN 不收集你的银行卡号或 PayPal 密码。IAMHUMAN 会向 PayPal 发送实体商品交易所需的金额、币种、商品摘要、invoice/custom 引用和收货地址，并接收订单、扣款、退款与争议状态。
• 已从生产库删除的记录可能在受限灾难恢复副本中最多残留 30 天。这些副本可能包括经校验的压缩数据库逻辑备份（记录 SHA-256 摘要并限制文件权限）和另行存放的加密离线副本；不得把它们恢复到日常服务以重新引入已删除账号，并须依照运营方执行的 30 天轮换到期或删除。 上述最多 30 天的受限灾难恢复备份残留和不恢复到日常服务的规则，也明确适用于已删除的实体卡（physical-card）记录。
• 你可随时在“已授权应用”页面查看并撤销应用未来的访问。撤销会使 IAMHUMAN access token 失效，但不会删除第三方此前已收到的副本。 管理已授权应用

8. 安全措施

我们采用 HTTPS、数据库 TLS、密码和凭证摘要、一次性随机验证会话、防重放、最小权限数据库账号、访问控制、请求限流及受限运维日志。交互判断只能提供概率性风险信号，可能误判；用户可重试新会话，并可使用减少动态效果和键盘描绘等替代交互。我们不以本流程采集面部、声纹、指纹或 DNA。任何网络服务都无法保证绝对安全；发生或可能发生泄露、篡改或丢失时，我们会依法评估、补救和通知。

9. 你的权利

在适用法律范围内，你可以请求访问、复制、更正或删除。APP 账号可通过公开账号删除页面处理，无需重新安装 APP。密码丢失、Human ID 撤销、备份问题或其他权利请求请联系运营方，切勿通过邮件发送密码或持有凭证。 panda@deffuture.com 删除账号

10. 仅限成年人

IAMHUMAN 账号注册和社区参与仅限年满 18 周岁的用户。我们不会明知而向儿童提供账号。如监护人或其他人认为儿童提交了信息，请联系儿童安全负责人，我们会调查并依法删除。 panda@deffuture.com 儿童安全标准

11. 政策更新

功能、处理目的、数据种类、处理地点或第三方服务发生重大变化时，我们会更新本政策，并在网站或 APP 以合理方式提示。涉及依法需要重新取得同意的处理，不会仅以更新页面替代相应程序。