BoxBox 隐私政策

更新日期：2026 年 11 月 4 日 · 适用于 BoxBox 官网版与 Mac App Store 版

1. 运营者与适用范围

BoxBox 由Flash Life Technology Limited提供。官网版 Bundle ID 为 app.boxbox.mac，Mac App Store 版 Bundle ID 为 app.boxbox.mac.appstore。本政策同时说明两个分发渠道；某项处理只会在你实际使用对应功能时发生。

2. 我们处理哪些数据

• 文案运营历史与反馈：生成的模型文案保存在 BoxBox 独立文案数据库，记录随机文案 ID、文案正文、场景、角色、语言、已核验事实类别、模型、生成时间、接口返回的输入和输出 Token 用量，以及用户是否喜欢；服务端另保存账号与授权的 HMAC 摘要用于归属和删除，不向模型发送这些摘要。未返回用量时标为未知，不记为零。历史只允许授权运营后台查看，不包含精确工作统计、聊天正文、提示词、代码或路径。普通请求只生成一次，不做第二次模型审核，不额外联网计数；请求体和输出长度、调用次数受限，费用预留属于估算而非账单封顶。用户侧反馈按钮后续开放，只提交该账号对应的文案 ID 和喜欢状态，不上传任意反馈正文。对应授权撤回或账号删除后，生成的文案和好评状态继续保留作运营素材，只移除账号及授权关联、更换原请求的文案 ID，将原精确请求时间降为 UTC 日期并清空逐次 Token 用量；不再保留谁生成或喜欢了这条文案的记录。文案素材不自动按固定天数到期，备份副本按独立备份保留及删除对账规则处理，不能承诺立即物理删除。运营故障诊断仅保存接口编号、模型、生成或审核阶段、受限错误代码及时间，不保存供应商错误原文或密钥。另记录文案接口返回的逐次输入和输出 Token 用量，包括无效输出；未返回的用量标为未知。这些全局调用记录不保存账号或授权摘要，属于文案服务用量，不是你本机 AI 工具的 Token 账本。
• 候选后台的文案预算与删除：为限制生成调用及费用，当前本地候选代码在独立 SQLite 数据库中持久保存由账号派生的 HMAC 摘要、按 UTC 日统计的预留调用次数、按 UTC 月统计的预留次数和金额，以及场景、类型和下次允许请求的时间；另有全局预留汇总、后台配置及管理员操作审计。账号摘要仍可能与账号关联，不属于匿名数据。当前候选尚未实现这些账号限额和冷却记录的自动到期删除。候选代码设计在完成账号删除前清除对应的在线个人限额和冷却记录，保留不按账号删除的全局预留汇总；备份、副本和删除补偿路径仍须验证，尚不能承诺固定的保存或删除期限。以上仅描述本地候选代码，尚未部署或完成验收。
• 候选删除保护：候选设计在处理账号删除前，于文案数据库保存该账号的 HMAC 摘要作为删除准备标记，阻止为该账号新注册文案授权或发起生成。删除失败或结果不确定时标记保留，不自动到期；仍能登录原账号时可重试删除，登录和账单仍按现有规则处理。完成删除时拟清除该账号的标记；备份和恢复对账仍须验证，不能承诺副本删除期限。该标记不发送给模型服务商，本功能尚未部署或验收。
• 个性化 AI 文案（默认关闭）：该功能默认关闭，仅在你主动同意新版说明后使用。App 将本机核验的工作状态或周期事实类别、场景、角色和语言发送至 BoxBox，由 Cloudflare Workers AI 托管的 OpenAI 开放权重模型 GPT-OSS 20B 生成短句。模型由 Cloudflare 运行，文案请求不发送至 OpenAI 官方 API。精确工作时长、次数和百分比只在本机组合展示；不上传聊天正文、用户提示词、代码、标题、项目路径或原始账本。类别、生成内容与请求时间可能透露工作习惯，账号服务及网络设施可能处理账号或连接元数据，因此不是匿名处理。模型仅生成一次，不做第二次模型审核。等待输入、审批和失败等重要通知依据本机状态显示，不等待模型；事实不足或服务不可用时使用本机文案。AI Gateway 的正文日志与缓存关闭，Cloudflare 仍可能处理网络元数据，执行位置由其网络调度决定。关闭立即停止本机新请求并丢弃迟到回复，已发送的请求可能继续处理；服务确认撤回后停止该授权的新生成。旧同意不能授权新模型，旧授权仍可撤回。另行开启的时间线与陪伴同步遵循各自规则。如日后更换服务商或扩大上传范围，会另行说明并征得同意。BoxBox 文案及好评的留存规则见本说明相应章节。原生自动化测试与预览不会读取或修改正式文案授权账本，也不会自动替你撤回正式授权。收起或切换文案界面不等于撤回同意：已发出的请求可在当前登录与同意仍有效时完成并暂存在本机内存，供重新打开时显示。网络中断或重新启动后，相同账号、授权和事实类别可取回仍在有效期内的已保存文案，不重新调用模型、不增加生成额度；关闭文案功能或切换账号仍会清除本机缓存并阻止旧回复显示。
• Codex 官方重置公告：后端与自动采集已部署并启用；旧来源模式约每60秒向 codex-resets.com 条件校验公开状态和执行记录，包括Tibo等作者公开推文的引用；304复用缓存，429/503、Retry-After、失败退避及上游缓存可延长实际延迟。首次建立静默基线，不补弹历史公告；支持版本的 App 只自动连接 BoxBox 自己的服务器，不连接 codex-resets、X 或 twimg。作者显示名、handle、去除t.co短链的公开摘录、从摘录选取的一句重点原文、发帖时间及自有头像 URL/SHA256 纳入 BoxBox 签名；核查依据与管理员审计仍不下发。服务器仅一次获取已配置的作者公开头像或接收管理员上传，存于自有服务器；App 校验哈希、格式与尺寸后私有缓存，失败显示首字母占位。本机提前重置检测复用现有额度采样并只读取认证文件元数据作为变化边界，不读凭据正文、不增加 OpenAI 请求、不上传个人额度；检测去重摘要仅在本机保存。点击来源或署名链接会由浏览器打开第三方站点，该站点按其政策处理连接信息。本公告拉取无需登录，不要求账号、设备标识、任务或额度数据，不额外上传个人数据；使用统计遵循本政策的独立规则。管理台手工录入及撤回作为纠错兜底；公告、撤回和审计历史长期保留，纳入加密备份。请求来源仅用于进程内短时随机密钥摘要限流，不保存本接口原始 IP 应用请求日志；网络设施仍按本政策处理连接信息。BoxBox 签名不是 OpenAI 签名，公告不证明每个账号已恢复额度。客户端接入仍需配置并发布支持版本。免费双作者采集（2026-11-06修订）：服务器通过 api.fxtwitter.com（FxEmbed 免费公开接口）读取 Tibo（@thsottiaux）及 Andrew Ambrosino（@ajambrosino）的公开帖子和回复，无需 X 登录、Cookie、API 密钥或付费接口。仅请求这两个固定公开账号，按账号约每5分钟检查，遵守缓存、Retry-After 和失败退避；不承诺即时或完整覆盖。固定作者数字ID、署名、原帖链接和时间须一致；只根据本人原文中的明确 Codex/ChatGPT Work 重置声明及明确适用人群生成公告，不采纳转发、引用正文、提问、预测或含糊简写。两人独立保存公开帖子ID检查点、公告摘录与异常状态；普通帖子正文仅处理期留内存，不持久保存整条时间线。首次建立静默基线，旧帖不补弹；同一原帖沿用公告编号，管理员纠错和撤回优先。新源公告标为 BoxBox 采集，不能冒称 Codex Resets 提供。服务器从已核对作者信息取得公开头像URL，优先使用既有200像素缩略图，经原有图片大小、格式、尺寸与哈希校验后按作者分别存储来源URL、摘要和自有头像；同一来源版本只抓取一次，版本变化才更新，缓存复用前重验本机图片。头像暂时不可用时保留公告并显示首字母，不串用另一人的照片。App 仍只自动连接 BoxBox 服务器，不连接 FxEmbed，不上传个人额度、任务、身份或凭据。旧 codex-resets 来源仅供管理员明确切回，不同时采集。
• 文案授权与撤回：候选实现会在 Mac 私有文件保存账号摘要、随机授权摘要及待撤回状态，不保存账号凭据或精确工作统计。BoxBox 服务保存账号和授权的 HMAC 摘要及授权状态；授权摘要不发送给 OpenAI。关闭开关会立即停止本机新请求并丢弃迟到回复；只有服务确认撤回后，服务才保证不再为该授权启动新的生成或审核。离线或未确认时，待撤回摘要保留并等待原账号联网重试，期间不能重新开启；退出、切换账号或重启不会自动清除。服务端撤回记录用于防止迟到请求恢复授权，当前不自动到期，设计为随账号删除清除；备份恢复须先核对撤回状态，尚未完成验证。已发送给服务商的数据不能保证立即撤回。
• 微信登录与账号关联：仅在服务已配置且你主动授权后，后端向微信交换一次性授权码，处理当前应用的 OpenID、可用时的 UnionID、昵称和 HTTPS 头像地址，用于登录或主动绑定；不读取聊天、通讯录、性别或地区，不按昵称自动合并账号。缺少 UnionID 时仅以当前应用的 OpenID 识别，不同应用或标识可用性变化不保证属于同一 BoxBox 账号。微信 access_token 和 refresh_token 仅在本次后端请求的内存中短暂处理，用完丢弃，不存储、不交给官网或 Mac。身份标识、昵称、头像地址及关联时间保存至你在官网解绑或删除账号；解绑须保留另一种登录方式，账号显示名称可能沿用已有昵称并随账号删除清除。授权 state 仅保存摘要，5 分钟有效且回调只能认领一次；官网使用 Cookie/CSRF 绑定原浏览器，Mac 使用一次性票据与本机临时验证值完成登录。安全审计仅记录操作类型、账号与时间，不记录微信令牌；审计及法定交易记录沿用本政策的账号删除与保留规则。
• 账号与登录：当你选择 Apple 或 Google 登录时，我们处理第三方返回的稳定账号标识，以及其在授权范围内提供的邮箱、邮箱验证状态、显示名称和头像地址。BoxBox 还会生成账号 ID、公开 BoxBox ID、登录会话及安全令牌。访问令牌通常最长有效 15 分钟，刷新会话通常最长有效 30 天；普通 App 退出会清除本机登录并撤销当前刷新会话，已签发的短期访问令牌可能继续有效至原到期时间，最长 15 分钟；网页退出会删除对应的服务器网页会话。管理员强制下线或冻结账号会阻断该账号原有的登录会话和派生网页凭证。
• 官网会话与 App 交接：登录官网后，服务器通过 Secure、HttpOnly、SameSite Cookie 维持短期网页会话，并使用随机防跨站请求令牌保护修改操作。从 App 打开官网时，服务器签发短时、一次性的交接凭证；凭证使用后或到期即失效。长期 App 访问令牌和刷新令牌不会放进网址、浏览器存储或网页脚本可读区域。浏览器账号与 App 账号不一致时，我们处理两者最少量的显示信息，以便你明确选择。
• 可选使用统计与来源归因：官网已停止可选访客与来源归因，不再创建浏览器统计标识、发送关联事件或生成安装来源链接。旧浏览器中仍可恢复的统计凭据只用于请求删除旧关联记录；失败或断网时保留待删凭据，在后续访问或恢复联网时重试。基础浏览汇总继续遵守原有关闭选择。App 使用统计为独立功能：在支持此规则且配置了统计服务的新版 App 中，新安装以及此前未作选择的用户更新后默认开启，并会看到统计提示。提示在前台解锁状态下持续可见约 5 秒或点击“开启”后才开始发送；提示未能展示或选择关闭时不发送。已有明确开启或关闭的选择继续保留。开启时以随机安装标识发送首次观测、有效活动时间、版本和渠道，用于活跃与留存；你可以在“设置 → 隐私 → 帮助改进 BoxBox”随时关闭。另有独立、默认关闭的“统计 BoxBox 运行状态”开关，旧同意不会自动开启。开启后，App运行且Mac未睡眠时约每5分钟发送运行事件；空闲、锁屏、岛收起或没有AI任务也计入，不读取键鼠或解锁状态。该功能使用独立随机安装凭据，只发送事件去重ID、运行事件及发生时间、版本和渠道，不关联账号、硬件、来源或任务内容。后台以近15分钟事件统计运行中，另按滚动7×24／30×24小时去重；不能判断未卸载或全量安装数。运行记录最多保留90天；关闭该开关停止发送、清空待发队列并请求删除，离线保留撤回凭据重试，迟到请求保护和备份轮换同本节规则，不影响原活跃统计。历史归因窗口为 30 天，单设备链接 24 小时失效，UTM 只接受字母、数字、短横线和下划线。统计不含完整网址、硬件指纹、原始 IP、AI 任务、对话或代码，不向广告平台发送数据。历史购买来源仅关联服务端已核验订单；明细和逐日活动最多保留 90 天，首次观测与归因摘要在参与期间保留，连续 90 天未活动清除。关闭会停止发送、清空待发队列并请求删除相应在线记录及来源关联；断网时重试删除，删除完成前显示等待状态。已核验的财务记录仍按交易规则保留，备份删除随轮换完成。
• 明确确认的推广、内容奖励与合作结算：这与已经停止的官网匿名访客归因不是同一件事。你主动确认推荐来源、提交原创内容、申请创作者或渠道合作时，我们保存账号标识、公开短码、确认时间、你提交的公开链接和指标、审核状态，以及订单上不可变的来源快照。管理员也可按线下合作约定使用已有 BoxBox ID 直接开通推广合作；我们保存公开名称、佣金条款及管理员操作记录，管理员开通不表示伙伴已在线确认条款。证据截图只供本人和获授权的运营查看，不进入公开页面。渠道只能看到自己的订单概要和佣金状态，看不到买家的邮箱、设备或支付原文。佣金、结算和已核验付款按财务记录保留；删除账号时清除不再需要的申请资料、截图和公开名称，不删除已经形成的付款、应付佣金和已登记结算。生产环境在对应功能开关打开前不会启用这些新入口。当前没有对外公布的固定保留年限，测试环境使用独立数据库。
• 官网页面与入口点击统计：为了解官网页面的使用情况，我们按日汇总每次公开页面加载，以及下载、Discord 社群和给 hello@boxbox.work 写邮件入口的点击次数。基础汇总只保存日期、事件类型、页面和语言及其合计次数，另保存随机事件去重回执，用于 48 小时内避免重复计数，过期回执在后续事件请求时清理；基础汇总不设置分析 Cookie 或访客标识，不在统计中保存账号、原始 IP、邮件正文或原始网址。经签名的来源 IP 仅在请求处理时用于生成内存中的轮换 HMAC 限速键，源站 Nginx 对该接口关闭访问日志。页面浏览量不是独立访客数；入口点击数不代表安装包下载完成、已加入 Discord，或邮件已发送及送达。
• Cloudflare 网站访问与性能统计：官网同时启用了 Cloudflare Web Analytics，由 Cloudflare 注入浏览器统计脚本，处理页面路径、来源页面及加载、渲染和交互性能指标。根据 Cloudflare 的说明，该统计不记录网址查询参数，不使用 Cookie 或浏览器持久存储。这是独立于上述 BoxBox 自有按日汇总的官网统计，不读取 Mac 上的 AI 对话或代码。
• 可选统计的防滥用：增长采集与撤回接口在独立增长数据库中保存操作范围、按固定 60 秒窗口轮换的来源 HMAC 摘要、计数、窗口及到期时间，也保存必要的总量计数。这些限流记录不保存原始 IP、AI 对话或代码；计数跨进程和重启保留，以防绕过限制。
• 创建 OAuth 登录请求的防滥用：为限制异常 OAuth 登录请求的创建，我们保存按短期窗口轮换的来源 HMAC 摘要、限流计数、窗口和到期时间，以及全局总量计数。此类限流记录不保存原始 IP，不关联账号或 AI 对话；跨进程及服务重启保留这些计数，以避免反复创建登录请求绕过限制。
• 其他网页防滥用记录：网页会话、登录入口、App 交接、账单管理、礼品和订单操作还会在数据库中保存来源地址、账号或网页会话的 HMAC 摘要（可组合生成）、操作类型、窗口计数及到期时间。这些摘要可在不同窗口保持一致；限流记录不保存原始 IP，不包含 AI 对话或代码。
• 官网订单与付款：为创建、核验、恢复和退款订单，我们处理 BoxBox 账号、服务端商品与可启用的 Mac 数量、订单及 Paddle 客户、交易和订阅标识、测试或生产环境、商品、币种、税前金额、税费、应付总额、付款与退款状态、时间、签名摘要及必要的对账字段。Paddle Billing 是官网购买启用后的唯一结账及收款服务商，并作为名义商户（Merchant of Record）处理银行卡号、支付账号、支付密码等付款凭据，以及适用税费、账单与收据；BoxBox 不接收或保存这些付款凭据。Paddle 实际展示的付款方式取决于国家或地区、币种、浏览器、设备、交易类型及其审批状态，未显示的方式不可用于该笔交易。
• App Store 交易：使用 Mac App Store 版购买时，Apple 负责付款。我们不接收银行卡号或 Apple 账户密码。Pro 购买与恢复由本机 StoreKit 核验，不要求登录 BoxBox。你登录 BoxBox 后，为同步账号宠物资格，客户端会提交 Apple 签名交易；为核验资格、退款处理和防止重复发放权益，我们处理商品标识、交易标识、原始交易标识、购买与撤销时间、价格与币种、签名交易及订单绑定状态。历史交易还可能包含 App Account Token。
• 设备授权：为将 Pro 授权启用到指定 Mac，我们处理随机设备标识、设备显示名称、设备公钥、账号关联、分配和释放时间。设备私钥保存在本机钥匙串，不上传到 BoxBox 服务器。
• 本机任务与 AI 工具数据：BoxBox 可在你的 Mac 上读取受支持工具提供的任务状态、必要的任务或会话标识、项目显示信息、待确认问题和回复结果，以展示任务并执行你明确选择的操作。完整提示词、代码、命令、工作目录和 AI 会话正文不会上传到 BoxBox 账号服务器。
• 火箭先生试用与领取：Direct 版向所有用户提供独立的 15 天火箭先生免费试用，并以设备公钥记录窗口，防止重装或换号后重复领取；到期未永久领取时回收火箭先生，橘猫仍永久免费。可信的 Grok 或 Cursor 成功任务完成时，App 可向账号服务提交关联账号和设备的最小签名证明：随机证明 ID、工具类别、完成时间、设备 ID 与签名，用于去重并核验永久领取资格。原始任务或会话 ID、标题、提示词、回复、代码、命令和工作目录不上传。未登录时证明暂存于本机私有队列，登录或联网后补交；在线任务证明随账号删除，防止重复试用的设备摘要按本政策保留。
• 宠物商城免费领取与星星：Direct 版免费红帽须登录后在官网商城主动领取。我们保存账号、商品、领取请求引用和时间，并签发账号宠物权益，供同一账号的其他 Mac 同步。重复请求按原引用核对，不扣 Box币、不写金额流水；免费领取不受钱包欠款或消费冻结限制。删除账号时删除免费领取记录与对应宠物权益。本机原有红帽选择不作为拥有证明。App Store 版红帽仍直接免费可选，不读取账号来决定红帽资格。商城只读取火箭先生的服务端资格状态；网页不会完成领取。商城预留的星星余额固定为 0、功能关闭，商品星星价格为空；当前不采集使用时长或任务数来发放星星，也不提供与 Box币或充值互转。
• 时间线与陪伴记录同步（可选）：此功能默认关闭，不要求 Pro。你在账号页主动开启后，App 会约每 60 秒及手动同步时向同一账号服务上传已记录的工作区间起止时间、完成时间、工具类别、用于分组和去重的摘要，以及角色标识和已记录的陪伴起始日期，供同一账号在其他 Mac 开启同步后恢复。摘要与账号关联，并非匿名数据。不上传原始任务或回合编号、提示词、代码、会话标题或正文、待答问题或草稿；也不将这些统计作为付费、奖励或试用资格的证明。旧本机历史首次只归属一个账号，不同账号使用独立本机账本。宠物自定义名称仍只保存在本机。
• 额度读取：用量读取默认开启，可在“设置 → 额度与交互”关闭；Claude 钥匙串读取，以及“读取 Claude 桌面版缓存里的用量”，都另需你单独开启，且默认关闭。总开关关闭后完全不读。开启桌面缓存读取后，只读 Claude 桌面版本机缓存里它已经获取的用量正文，只解析用量数据并丢弃响应头，不读对话、Cookie、本地存储、IndexedDB 或登录凭据，也不自己请求 claude.ai。打开 Claude 桌面版的使用情况页时，可只读界面上的额度数字，不点击、不滚动、不读对话。额度只保存在本机，不上传。BoxBox 仍可从受支持工具的本机登录记录读取所需凭据，并直接向该工具自己的服务查询额度；相关凭据和额度也不会发送给 BoxBox 账号服务器。
• WorkBuddy 个人积分：用量读取开启时，仅核对本机当前国内个人账号的登录信息和退出标记。非加密兼容登录向腾讯 WorkBuddy 的积分服务 copilot.tencent.com 发送查询所需的已有登录令牌、用户标识与账号域；受保护登录由用户安装的本地扩展调用 WorkBuddy 自身的积分服务，仅通过本机验证通道返回账号绑定摘要与余额。BoxBox 不解密受保护登录，不支持企业、国际或自托管账号，不发送会话、任务内容，不另存原始响应或凭据。关闭读取、退出或切换账号后撤下旧结果。
• Grok Bot 当前会话与回答：当前会话读取默认关闭，与你的额度读取设置分开。开启后只在本机读取当前账号选中会话的公开对话、原生问题和本机审批信息，不枚举其他账号或历史会话，不读取密码、隐藏推理和草稿。只有你在岛内主动提交原生选择题答案时，才通过原应用，或向 Grok Bot 客户端使用的 api2.cursor.sh 发送题目标识与所选答案；直接请求复用已核对同账号的本机 Cursor 登录。工作状态使用同一厂商服务的只读状态流，仅订阅当前 Bot 标识并采用其工作状态，不发送聊天正文或控制指令；服务返回的其他 Bot 状态及记录引用立即丢弃，关闭开关即取消。令牌、答案和会话不会发给 BoxBox 服务器。本机审批当前只展示并返回原工具，不代替你授权。
• WorkBuddy 岛内交互：岛内交互默认关闭，与积分读取独立控制；两者共用用户安装的随包本地扩展。启用交互后仅转发原生待处理问题或本次操作审批；你主动点击后，才将单选、多选、自由回复、允许一次或拒绝一次交回原工具，不设置持续授权，不提交支付、计划或凭据，不传给 BoxBox 服务器。账号、会话、问题或连接变化后旧请求不可复用；送达不确定不自动重试。当前适配 WorkBuddy 5.5.6 与 5.6.2。
• 本机偏好与记录：界面、角色、提示音、通知、任务卡、会话恢复和工作统计等记录首先保存在你的 Mac 上，直到你在 App 中清除、删除相应文件或移除 App 的沙盒容器。退出账号不会删除独立账本；关闭历史同步不会删除已有本机或云端记录。

3. 随包签名 Hook

完整能力的商店版包含经签名的 BoxBox Hook。Hook 只通过 App Group 目录和经过认证的本机 Unix socket 与 BoxBox 通信，用于接收任务事件、显示待处理问题并把你明确提交的回答送回原工具。它不把 AI 任务内容转发到 BoxBox 服务器。你可以在设置中断开相应工具连接。

4. BoxBox 实时世界（可选）

“参与 BoxBox 实时世界”默认关闭。开启后，App 仅在 Mac 唤醒、解锁且最近有使用活动时发送短期匿名在线状态。请求包含不可逆的短期主体摘要、挑战、租约及心跳令牌；服务端只提供全球在线主体数量，不接收账号、提示词、代码、项目、任务、AI 工具、额度、位置或健康数据。

在线状态仅保存在服务器内存中，最后一次心跳约 180 秒后失效，不写入历史数据库。用于防滥用的来源地址只在内存中生成 HMAC 速率限制键，该接口关闭访问日志。关闭参与后，App 停止心跳并请求离线；无论是否参与，都可以读取汇总人数。

5. 崩溃与故障诊断（可选）

只有构建配置了 HTTPS 诊断端点且你明确开启时，BoxBox 才收集诊断。报告限于匿名安装标识、App 与系统版本、错误类型、经过裁剪和脱敏的原因及调用栈，不包含提示词、代码、账号令牌或任务正文。待发送队列最多 20 份、最长保留 14 天；关闭后会停止收集并删除队列。当前构建未配置端点时不会收集。

6. 服务器与第三方

BoxBox 账号、授权、订单、设备及可选历史同步服务位于华为云中国广州区域，并通过 https://api.mewpow.com/boxbox 提供。官网购买启用后，Paddle Billing 作为名义商户（Merchant of Record）处理结账、付款凭据、适用税费、账单、收据、退款、订阅计费和防欺诈所需数据；该渠道的 BoxBox 商业结算主体为 Flash Life Technology Limited。BoxBox 只在服务端验证 Paddle 发出的付款通知后更新订单、产品权益和已启用的 Mac，不凭网页成功提示直接开通 Pro。账单、收据、订阅管理及 Paddle 当时支持的退款操作通过官网账户页提供的 Paddle Customer Portal 入口办理；若入口未提供某项操作，请联系支持。Apple 处理 App Store 付款和 StoreKit 交易；Apple 或 Google 处理你选择的第三方登录。第三方登录所需的出站网络在部分网络环境中可能经 Cloudflare 网络链路转发。启用的 AI 工具连接可能直接访问相应工具的官方服务，其中 WorkBuddy 积分查询由腾讯处理，Grok Bot 额度、当前工作状态与主动回答请求使用该客户端的 Cursor 服务。第三方按各自政策处理完成这些功能所需的数据。

宠物定制与收购沟通为你主动申请的服务。我们处理你提交的联系资料、宠物资料、可选 Creator Program 意愿及付款交易记录，用于审核、制作、联系与对账。宠物照片保存在 Cloudflare R2 亚太区域私有对象存储，仅以短时授权链接向本人和授权运营人员提供；未完成申请的临时照片设置为 1 天到期并由云端异步清理。删除账号后清除宠物申请中的联系资料及照片，保留必要的交易和审核记录；独立提交的收购沟通资料可联系 hello@boxbox.work 申请删除。这些主动提交的内容与 Mac 本地 AI 对话和代码无关。

BoxBox 官网静态页面由 Cloudflare Pages 提供。访问官网登录、账号、订单或购买接口时，请求会先由 Cloudflare Pages Functions 作为同源代理转发到上述华为云服务；Cloudflare 会为提供网络与安全服务处理连接 IP、请求时间、URL 路径、HTTP 元数据和传输内容，其处理与保留同时受 Cloudflare 适用政策约束。BoxBox 的核心账号、订单、设备授权和结算记录仍保存在华为云中国广州区域，Cloudflare Pages 或 Functions 不是这些业务记录的数据库。为避免所有代理请求共用同一限速来源，Functions 会发送经过签名验证的来源地址；该地址仅用于生成服务端 HMAC 限速键，BoxBox 不在限速记录中保存原始 IP。

Cloudflare Web Analytics 的浏览器性能数据由 Cloudflare 处理，接收数据的最近数据中心可能位于你所在国家或地区之外。其统计范围和处理方式见 Cloudflare Web Analytics 常见问题及 浏览器性能数据说明。

7. 数据保留

• 本机数据由你控制，通常保留到你主动清除或移除相应容器。
• 账号资料、身份关联、有效会话、宠物权益、设备关联、任务证明及主动同步的历史统计在账号存续期间保留；成功删除账号后会从在线业务数据库移除。
• BoxBox 自有官网页面浏览和入口点击的在线按日汇总统计最多保留 90 天；备份中的旧数据可能留到备份轮换。该事件接口和实时世界的限速键及计数仅在内存中短暂保留。
• 可选使用统计的明细与逐日活动最多保留 90 天；首次观测和归因摘要在参与期间保留，连续 90 天未活动后清理。基础官网统计的随机去重回执使用 48 小时窗口，过期后由后续事件请求清理，服务空闲时可能暂留。
• 关闭可选统计并删除已有记录后，为防止迟到请求重新建立已撤回的标识，另保留该随机标识的撤回摘要及到期时间 90 天。首次收到未建档标识的撤回时，只设置 48 小时加 121 秒时钟宽限的短期保护窗口；重复撤回不会延长保留期。到期记录在后续维护时清理，服务空闲时可能暂留，备份副本随轮换清理。撤回摘要不保留已删除的事件明细。
• 可选统计的防滥用计数使用固定 60 秒窗口，窗口结束后不再沿用旧计数；到期记录由后续增长写请求清理，服务空闲时可能暂留，备份副本随轮换清理。
• 创建 OAuth 登录请求所用的来源摘要按分钟窗口轮换，计数在窗口结束时失效；过期记录在后续创建登录请求或网页维护时从在线数据库清理，服务空闲时可能暂留，备份副本随备份轮换清理。
• 其他网页防滥用计数使用 1 分钟窗口，网页登录入口为 10 分钟；窗口结束后不再沿用旧计数。数据库限流记录设置为窗口结束后 60 秒到期，由后续网页请求触发的维护清理，服务空闲时可能暂留，备份副本随备份轮换清理。
• Cloudflare Web Analytics 数据的处理和保留由 Cloudflare 适用政策规定，不适用 BoxBox 自有统计的 90 天上限；BoxBox 不承诺其数据在 90 天内删除。
• 交易、订单、退款、赠礼归属、财务引用和防重复试用摘要，会在履行适用法律义务、处理退款或争议及防欺诈所必要的期间继续保留。我们目前不承诺比这些目的更短的固定删除期限。
• 数据库备份中的已删除资料可能在备份轮换完成前继续存在，无法随在线删除即时逐份抹除。你可以联系支持查询删除请求的处理范围和状态。
• 为避免灾难恢复重新带回已删除资料，我们在独立的 Cloudflare R2 私有日志中保存删除范围、随机账号恢复标识或统计标识的摘要，以及请求日期和恢复批次标识；不保存邮箱、密码、对话、代码或已删除的事件明细。凭据按日保存，每份设置为 200 天到期并由云端异步清理；在另一天重试会产生独立到期的凭据。恢复器只接受 190 天内且有完整删除覆盖的备份。此日志与上述在线 90 天撤回摘要分开，不延长其保留期。

8. 删除账号与其他权利

登录后可前往“设置 → 账号 → 删除账号”。App 会再次确认当前账号；Apple 账号可能需要重新验证，以便先向 Apple 撤销登录授权。成功后会删除云端身份、邮箱、头像、名称、网页会话、App 会话、宠物权益、设备关联、任务证明及历史统计，并释放属于该账号的已启用 Mac。已签发的短时授权可能持续到原到期窗口，最长 60 秒。

删除账号不会删除你 Mac 上的任务记录，不会自动退款，也不会自动取消由 Paddle 或 Apple 管理的服务。官网购买的账单、收据、订阅和 Paddle 当时支持的退款操作应先从官网账户页进入 Paddle Customer Portal 办理；依法需要保留的交易和防滥用记录按上一节处理。若入口或所需操作不可用，请联系支持，我们会核对身份并说明可处理的范围。

9. 安全、儿童与政策更新

我们使用 HTTPS、短期访问令牌、本机钥匙串、设备公私钥和签名权益证明保护数据。BoxBox 是面向开发者和桌面用户的效率工具，不以儿童为目标用户。若数据处理方式发生实质变化，我们会在功能生效前更新本政策和 App Store 隐私披露。

10. 联系我们

运营者：Flash Life Technology Limited
联系 BoxBox（隐私、技术、媒体与商务）：hello@boxbox.work