1. 适用范围与角色
本隐私政策说明 AnRouter 服务运营方（以下简称“AnRouter”或“我们”）在您使用 AnRouter 网站、控制台、托管推理 API、文档、支付功能或支持渠道（合称“服务”）时如何处理信息。本政策应与我们的服务条款一并阅读。
当您代表组织使用 API 时，该组织通常负责决定提交哪些数据，并对数据的合法收集和使用负责。AnRouter 仅按照本政策及双方书面签署的数据处理协议，为提供服务而处理这些数据。本政策不替代您作为个人信息处理者、数据控制者或企业依法应履行的义务。
“个人信息”指能够单独或结合其他信息识别或合理关联到自然人的信息；“API 对话内容”的定义见下文。
2. API 内容留存与有状态 Responses
AnRouter 不在处理完成后留存无状态 API 请求内容。
我们不会将 API 对话内容用于训练、微调、评估或改进任何 AI 模型；生产诊断按设计不记录提示词、上传内容或模型响应。
API 对话内容包括提示词、消息、系统指令、上传的文本、文件、图片或音频、用于嵌入或重排序的源数据、工具参数与工具结果，以及模型生成的响应；不包括第 3 节列出的有限用量和安全元数据。
Chat Completions、Messages 及其他无状态请求只会在完成校验、格式转换、路由、重试、流式传输和响应交付所必需的瞬时内存或短生命周期请求缓冲区中处理。处理完成或失败后，相关缓冲区会被清除且不会进入备份。
有状态 Responses 例外。对于支持 AnRouter 有状态 Responses 的模型，除非请求明确设置 store:false，Responses 请求可进入加密的续接状态存储。我们仅为支持 previous_response_id 保存该请求的输入与模型输出。该状态与账户及 API 令牌绑定，静态加密，受容量和续接深度限制，且最迟在创建后 24 小时自动过期；不用于分析、广告、客服或模型训练，也不进入应用备份。
设置 store:false 会阻止 AnRouter 创建该本地续接状态；之后的请求也无法通过 previous_response_id 依赖该响应。此控制仅适用于 AnRouter 系统，所选模型执行环境可能有第 6 节所述的独立留存或缓存规则。
如果您主动把提示词、输出、截图或文件粘贴到联系表单、邮件或工单中，该副本将成为“支持数据”，并按照第 7 节保留，不再适用 API 通道的留存承诺。
合法有效的要求可能要求我们披露实际保留的数据，但无法要求我们提供从未存储的无状态 API 对话内容或已经过期的有状态内容。
3. 我们收集和保留的其他数据
账户与联系数据
- 用户名、邮箱、密码哈希、账户分组、偏好设置、API 密钥标识与状态，以及管理组织或账户所需的信息。
- 您主动通过联系、支持、隐私、安全或企业渠道发送的消息与文件。
- 推荐码、邀请人与受邀人归因、奖励状态、转移记录，以及运营推荐计划所需的反欺诈信号。
账单与交易数据
- 订单与交易编号、金额、币种、状态、套餐、订阅状态、额度余额、推广或推荐奖励余额及相关会计记录。
- 当支付服务商托管结算页面时，完成交易所需的支付凭证由支付服务商接收；AnRouter 无需从该托管流程取得完整银行卡信息。
API 用量与安全元数据
- 请求标识、时间戳、API 路径、请求模型、Token 或计量单位数量（包括模型执行环境报告的缓存读取与缓存写入用量）、延迟、响应状态、流式状态、错误类别、路由或渠道及扣费金额。
- IP 地址、用户代理、认证事件、速率限制事件及保护账户和基础设施所必需的其他安全信号。
网站分析与广告衡量数据
- 公开网站的页面浏览记录、来源页、由 IP 地址推断的大致位置、浏览器与设备类型，以及第 8 节所述第三方工具设置的标识符。该类数据仅涉及公开网站，且从不包含 API 对话内容。
用量元数据只描述请求，不包含 API 对话内容。我们的诊断信息按设计不包含提示词、上传内容或模型响应。
4. 我们如何以及为何使用数据
- 提供服务，认证账户与 API 密钥，路由请求，计算用量并交付响应。
- 处理购买，管理额度和订阅，对账并保存依法所需的会计记录。
- 防止欺诈与滥用，执行服务限制，调查仅含元数据的错误，并保护用户与基础设施。
- 处理支持和隐私请求，发送交易、安全、账单或重大服务通知。
- 履行法律义务，提出、行使或抗辩法律请求。
- 使用不包含 API 对话内容的运行数据或汇总统计规划容量并提高可靠性。
依适用法律，上述处理可能基于履行我们与您的合同、遵守法律义务、运营和保护服务的合法利益，或在法律要求时基于您的同意。我们不出售个人信息，不将 API 对话内容用于广告，也不将其用于模型训练。
6. 模型执行、提示词缓存与线路隐私
AnRouter 提供托管式 AI 推理服务。您的 API 对话内容会在由您选择或路由配置选定的模型执行环境中处理。模型执行可能使用位于其他国家或地区的计算、托管与网络基础设施，其留存规则、安全系统和法律义务可能有所不同。
AnRouter 的留存控制仅适用于 AnRouter 控制的系统。只有当所选线路、模型文档或书面企业协议明确注明时，才视为基础设施层或端到端零数据留存。不将内容用于训练的承诺，并不必然等于完全不存储内容。
提示词缓存。当模型或线路支持提示词缓存时，其执行环境可能在规定期限内创建并保留全部或部分提示词的缓存表示。缓存读取与缓存写入用量可能单独报告和计费。AnRouter 会记录缓存用量元数据用于计费，但不会把执行环境缓存视为 AnRouter 的有状态 Responses 存储。除非所选线路的缓存保留条款符合您的要求，否则请勿对敏感数据使用提示词缓存。
如您的工作负载包含受监管、机密、生物识别或高度敏感的数据，请只使用明确符合您保留期限和地域要求的线路，或在提交前联系企业支持。向模型提交他人的数据前，您有责任取得法律要求的告知与同意。
7. 按数据类别确定的保留期限
- 无状态 API 对话内容：请求处理完成后不由 AnRouter 留存。瞬时请求缓冲区会在处理完成或失败时清除，且不会备份。
- 有状态 Responses 内容：除非通过
store:false禁用存储，加密续接状态最多保留 24 小时；到期自动删除且不进入备份。 - API 用量元数据：仅在展示用量、对账计费、调查欺诈或滥用、解决争议和履行法律义务所需期间保留。期限取决于账户活动、争议与拒付窗口、安全需要以及强制性会计或法律期限；不包含对话正文。
- 账户与推荐数据：在账户或推荐关系有效期间保留，之后仅在关闭账户、防止欺诈、解决争议及履行法律义务所需范围内保留。
- 账单与交易记录：按照税务、会计、支付、反欺诈及其他适用法律要求的期限保留。
- 支持数据：在解决请求、维护服务记录和保护合法权利所合理需要的期限内保留。请勿向客服发送 API 密钥或不必要的对话内容。
- 安全日志：仅在调查滥用和保护服务所合理需要的最短期限内保留；如涉及正在进行的调查、争议或法律要求，可延长保留。
备份可能在正常轮换完成前包含已保留的账户、账单、支持、推荐或元数据记录，但不包含无状态 API 对话内容或有状态 Responses 历史。法律保全只适用于已经保留的数据，不会重建已过期或从未存储的 API 内容。
9. 您的选择与隐私权利
根据您所在地区的法律，您可能有权知情、访问、更正、删除、限制或反对处理、取得可移植副本，在处理基于同意时撤回同意，以及退出符合条件的个人信息出售或共享；您也可以向所在地数据保护主管机关投诉。
您可以在控制台更新部分账户数据，也可以通过联系表单或第 13 节邮箱提交请求。我们可能验证您的身份，并在法律允许的情况下限制或拒绝请求，包括保护他人、保存交易记录或防止欺诈。
无状态 API 对话内容不会在处理完成后保留。有状态 Responses 历史会在 24 小时保留期届满时自动删除；设置 store:false 可阻止创建该状态。由于状态经过加密并与发起请求的账户及令牌绑定，与其有关的请求可能需要提供响应 ID 并完成账户验证。
10. 安全
我们会采用与服务性质相适应的技术和组织措施，包括传输加密、访问控制、凭据保护、数据最小化、将对话内容与保留的用量元数据分离，以及对临时有状态 Responses 历史实施静态加密。
任何互联网服务都无法保证绝对安全。请妥善保管密码和 API 密钥，不要将密钥写入公开或客户端代码；如支持权限限制，请按需配置；密钥泄漏时应立即吊销。如怀疑未授权访问，请联系我们。
如涉及已保留个人信息的安全事件依法需要通知，我们会进行评估，并依适用法律或书面企业协议要求通知受影响人员和主管机关。
11. 跨境处理
模型执行、托管、网络、支付、邮件和支持运营可能在您所在国家或地区之外处理数据。适用法律要求传输保障时，我们会采用或要求相应的合法机制。只有在线路明确说明或书面企业协议约定时，我们才保证特定的数据驻留地区。
12. 未成年人与政策变更
本服务面向企业和开发者使用，不面向未满 18 周岁的人士。如您认为未成年人未经适当授权提供了个人信息，请联系我们，以便核查并采取适当措施。
随着服务、基础设施或法律变化，我们可能更新本政策，页面顶部日期标识当前版本。如变更会实质降低隐私保护或改变已保留个人信息的用途，我们将在法律要求的情况下，于生效前通过网站、控制台或账户联系方式通知。
13. 联系我们
如需提交隐私、账户、删除、企业数据处理或安全请求，请通过以下方式联系我们：