PRIVACY & DATA

先说清楚，资料会去哪里

Moonwish 支持匿名创作。登录不等于同意上传，本机资料和私有云副本分开管理。但“保存在本机”不代表生成过程完全离线：你提交的创作文字会经 Moonwish 服务器和当前配置的 AI 服务处理。

基于当前代码更新：2026 年 8 月 15 日

匿名优先

不登录也能开始普通绘本创作；需要账户的家庭资料不会因此成为创作前提。

上传要由你触发

登录不会搬走本机资料。照片进入私有云前，还需要本人或监护人的明确确认。

控制不收费

本机清理、云端导出与删除入口不与订阅或生成额度绑定。

这份说明覆盖什么

这是依据当前 Moonwish 开源代码整理的产品数据说明，用来解释不同功能的数据流和已知边界。它不是法律意见、合规认证或对所有第三方服务留存策略的保证。

部署状态按具体站点核实

当前 Moonwish 站点已经完成私有云 migration、RLS、私有 Storage、双账户隔离和合成记录双写验收；同一账户两台真实设备的完整 UI 闭环仍待最终确认。其他自托管部署不能直接沿用本站的验收结论。

会处理哪些资料

实际处理内容取决于你使用的功能。普通创作、成长记录、家庭角色、家庭声音、邮件订阅和公开分享是彼此独立的操作。

资料类别	示例	用途	保存或处理位置
创作输入	名字或昵称、故事想法、年龄段、语言、风格及你主动填写的个性化细节	生成故事、插图与朗读内容	发送到 Moonwish 服务器，并由当前部署配置的 AI 服务处理
当前设备资料	最近绘本、成长记录、成长照片、朗读缓存、偏好和分享删除凭据	在本浏览器继续阅读、编辑或清理	浏览器的 IndexedDB、localStorage 或缓存；不会因登录自动上传
账户资料	登录邮箱、账户标识、保存与同步偏好	登录、读取本人云端档案和执行账户控制	当前部署配置的 Supabase 认证、数据库与私有存储
主动选择的私有云资料	孩子档案、家庭角色、绘本、成长记录、照片和家庭声音元数据	跨设备查看、家庭角色复用、导出和删除	只有在相应功能中主动保存或逐项导入后，才进入私有云空间
防滥用信号	IP，以及浏览器端由随机 ID 和部分浏览器／设备特征生成的散列标识	限制免费生成频率、阻止自动化滥用	服务器会再组合散列后用于限流；不用于建立孩子画像
邮件与客服内容	你主动订阅的邮箱、确认状态，以及主动发给在线客服的消息	发送已确认订阅的邮件，或回复支持请求	邮件服务和客服服务；登录本身不会触发订阅或打开客服

本机资料与私有云是两份副本

当前设备

最近绘本、成长记录和成长照片可以保存在当前浏览器中。清理浏览器、切换设备、无痕模式或浏览器存储失败，都可能让这些本机资料无法恢复；本机保存不等于服务器备份。

私有云档案

登录后，系统仍不会自动上传既有本机内容。导入界面默认不选中任何项目，用户可以逐项选择；导入后本机副本继续保留，本机和云端也可以分别删除。

照片有更严格的门槛

家庭角色照片或成长照片进入私有云前，界面要求确认自己是照片中的本人或其监护人、已获得明确授权，并同意相应用途。登录状态本身不代替这项确认。

AI 生成并不是完全离线

故事想法、名字或昵称、年龄段、语言和你主动填写的细节会发送给服务器及当前配置的文本生成服务。
页面场景描述会发送给当前配置的图片生成服务；供应商可能随部署设置和故障切换而变化。
成长记录中的现场照片用于本机记录，不会随成长记录草稿进入故事生成接口。
家庭角色照片是另一条私有流程：只有明确授权并主动上传、选择角色时，才可能作为绘图参考交给配置的图片服务处理。
家庭声音复刻需要单独录音和授权，声音样本会发送至阿里云百炼创建家庭私有 voice_id。

请尽量使用昵称，并只填写生成故事真正需要的信息。不要在故事提示中加入证件号码、住址、学校班级、医疗记录或其他不必要的敏感资料。

分析、防滥用与客服

访问分析

访问分析默认关闭。只有当前设备明确允许后，Vercel Analytics 才会记录绘本馆、每日灵感、隐私说明等公开内容页的基础访问；首页创作、成长记录、家庭角色、账户、登录和公开分享页均通过路由白名单与事件 URL 过滤器阻止记录和发送。如果已在公开页加载分析脚本后通过站内链接进入敏感页面，脚本文件可能暂时保留到刷新页面，但自动追踪已关闭，敏感页面事件仍会被过滤。 Microsoft Clarity 会话回放目前暂停接入，不会因为环境变量存在而加载。

当前设备的访问分析选择

拒绝或尚未选择都不会影响绘本生成、登录、私有云、下载、分享或客服功能。

当前设备：正在读取设置…

设置只保存在当前浏览器；清理浏览器数据后会恢复为默认关闭并再次询问。

防滥用

免费生成会使用 IP 和浏览器散列标识进行限流，并可在生产环境要求 Cloudflare Turnstile。当前浏览器散列由随机浏览器 ID、User-Agent、语言、屏幕尺寸、色深、时区和 CPU 并发数等信号生成；它用于额度和滥用控制，不用于推断孩子性格、能力或兴趣画像。

在线客服

Tawk.to 不会在页面打开时自动加载；只有用户主动打开在线客服后才加载。请不要在客服消息中发送儿童真实照片、声音样本、登录链接、访问令牌或其他不必要的私密资料。

可能参与处理的服务

只有在对应功能被启用或用户主动使用时，相关服务才会参与。不同自托管部署可能更换或停用这些服务。

服务	当前代码中的用途与边界
Supabase	登录、数据库、私有文件存储和公开分享存储；是否启用取决于部署配置。
已配置的 AI 服务	处理故事、插图或朗读请求。文本和图片供应商会随部署配置及故障切换策略变化。
阿里云百炼	仅在用户明确进入家庭声音复刻流程并同意后，处理声音样本和私有 voice_id。
Vercel Analytics	默认关闭；当前设备明确允许后，只统计公开内容页面的基础访问。
Microsoft Clarity	当前暂停接入，不加载会话回放脚本；页面保留全局遮罩标记作为未来重新评估时的安全默认。
Tawk.to	只有用户主动打开在线客服后才加载，处理用户在客服窗口中提交的内容。
Resend	处理主动提交并完成确认的每日灵感邮件订阅与投递。
Upstash / Cloudflare Turnstile	在启用时用于请求限流、验证码与防滥用校验。

查看、导出与删除

未登录用户可以在成长书架查看本机成长档案保存字段与用途，并在浏览器内导出 ZIP；导出不会上传本机资料。
本机成长档案可以设置保留期限偏好并预览到期内容，但不会自动删除；删除到期内容或全部档案需要再次确认。
当前设备的普通绘本、成长记录、照片缓存和相关凭据仍可分别查看或清理。
登录用户可以在“数据与隐私”中导出可读取的云端账户资料和文件，并可删除单个孩子档案或全部云端档案。
本机清理与云端删除是两项独立操作；退出登录也不会删除任一处资料。
这些数据控制入口不收费，也不应被订阅状态或剩余生成次数阻挡。

Moonwish 管理范围内的删除不能保证同步删除第三方已经依法或按其配置保留的安全日志，也不能删除分享接收者自行保存的副本。家庭声音等外部服务资源的清理还可能需要异步完成。

管理本机成长档案打开数据与隐私设置阅读儿童与家庭数据说明