隐私政策

数据控制者为 Bx Labs，一家法国一人简化股份有限公司（SASU），注册资本 1,000 欧元，在巴黎商业和公司注册处（RCS）登记，注册号 108 596 651，注册地址为 9 rue des Colonnes, 75002 Paris, France（法国巴黎）。

如对您的数据有任何疑问，请发邮件至 contact@bxlabs.ai。

您使用本服务时，我们会处理以下数据：

• 电子邮箱地址和账户标识符（注册、登录、沟通）
• 接听方的电话号码和整蛊电话的剧本
• 通话的录音和自动生成的文字记录，以及浏览器内试玩的剧本、所选声音和文字记录（见下文）
• 您的点数和购买记录（付款本身由 Stripe 处理：我们永远不会收到您的银行卡号）
• 根据您的 IP 地址推断出的国家（而非 IP 地址本身），用于显示并收取适用于您所在国家的价格：它不会保存在您的账户中；只有两个字母的国家代码会随付款附在 Stripe 上，若享受优惠的地区价格，还会发送至 Bx Labs OS（见第 6 条）
• 仅在您同意后：访问量统计和广告 Cookie（见第 4 条）
• 仅在您另行同意后：使用情况统计、点击热图和会话录制，其中文字和输入内容均被遮蔽（见第 4 条）
• 页面浏览量统计，不使用 Cookie（见第 5 条）
• 注册和购买信息，发送至我们的内部跟踪工具（见第 6 条）

通话录音和文字记录。通过 PrankCall AI 拨打的每一通电话都会被录音（双方的声音：AI 的声音和接听者的声音），并自动转写为文字。浏览器内试玩不录音，但会保存其剧本、所选声音和文字记录。这些录音、文字记录和剧本在您的账户存续期间一直保存，并随账户一并删除。Bx Labs 可能出于审核目的（遵守使用条款、防止滥用）以及客户支持目的访问这些内容，每一次访问都会留有日志。您可以在通话记录中重听和下载自己的通话。

• 提供服务——账户、通话、点数、与账户相关的邮件：履行合同（GDPR 第 6(1)(b) 条）
• 开票和会计：法定义务（第 6(1)(c) 条）
• 内容审核和防止滥用：正当利益（第 6(1)(f) 条）
• 访问量统计以及注册和销售跟踪（第 5 条和第 6 条）：正当利益（第 6(1)(f) 条）
• 访问量统计和广告 Cookie（第 4 条）：您的同意（第 6(1)(a) 条），您可以随时撤回
• 体验改进——使用情况统计、点击热图和会话录制（第 4 条）：您的同意（第 6(1)(a) 条），与上一项同意相互独立，您可以随时撤回

在您通过横幅接受之前（点击“接受”，或勾选“访问量统计和广告”），我们不会设置任何统计或广告 Cookie。仅在您同意后，我们才会加载：

• Google Analytics 4（访问量统计）和 Google Ads（转化统计），由 Google Ireland Limited 提供；
• 如适用，Meta 像素（Meta Platforms Ireland Limited）和 TikTok 像素（TikTok Technology Limited），用于衡量我们的广告活动效果。

如果您拒绝，以上脚本一个都不会加载。您的选择会在名为“cookie-consent”的 Cookie 中保存六个月，期满后会再次询问您。您可以随时通过每个页面底部的“管理 Cookie”链接修改选择：撤回同意后，这些服务将被关闭，其 Cookie 也会被删除。

体验改进。仅在您于横幅中另行同意后（勾选“体验改进”），我们才会统计网站的使用情况以便改进网站。所用工具为 Umami，这是一款开源工具，由 Bx Labs 自行托管在位于法国的 Amazon Web Services 上（巴黎区域，eu-west-3）：任何数据都不会传输到欧盟以外，也不会交给任何其他第三方。我们收集：页面浏览（不含参数和锚点的地址、上一页、页面标题、语言、屏幕尺寸、设备类型、浏览器和操作系统，以及根据 IP 地址推断的国家和城市，IP 地址本身不保存）、点击和滚动（点击热图），以及您的会话录制（页面的展示过程，每页最长 10 分钟），其中所有文字和所有输入内容均被遮蔽；敏感区域（剧本、被叫号码、文字记录、通话记录和录音、电子邮箱地址）完全不会被录制。Umami 不设置 Cookie，但其脚本会在您的设备上读写数据：它们仅在您同意后加载，且永远不会在移动应用中加载。法律依据：您的同意（GDPR 第 6(1)(a) 条）；对访问量统计和广告的同意不涵盖此目的，反之亦然。保存期限：会话录制 90 天，统计数据（页面浏览、点击、滚动）13 个月。您的选择会在名为“ux-consent”的 Cookie 中保存六个月。通过“管理 Cookie”撤回同意后，统计会立即停止（页面将重新加载）。

未经同意时，网站只使用运行所必需的存储：您的登录会话（Supabase），以及记住您选择的“cookie-consent”和“ux-consent”这两个 Cookie。如果您通过推广链接访问，其 utm_source、utm_medium 和 utm_campaign 标签只有在您同意后才会保存在您的浏览器中（localStorage），用于衡量我们推广活动的效果；未经同意时，这些标签仅在您创建账户时从页面地址中读取（第 6 条）。同样，您的访问来源（来源网站和着陆页，均不含参数）只有在您同意后才会保存在您的浏览器中（localStorage，30 天）；未经同意时，这些信息仅在访问期间保留在当前打开的页面中，不会向您的浏览器写入任何内容。撤回同意会将其删除。

基于同一项同意，我们还会统计注册、登录、使用工作室、浏览器试玩和通话、结账以及录音回放的各个步骤和结果；包括其耗时、真实的页面性能（Core Web Vitals）和技术错误的类别，但不包括错误信息或堆栈跟踪。对于已登录的账户，我们会使用 SHA-256 根据账户标识符生成一个假名，以便统计一段时间内的回访情况。Umami 永远不会收到您的姓名、电子邮箱地址、电话号码、剧本、音频、文字记录或身份验证令牌。这些统计数据和假名同样保存 13 个月，您撤回此项同意后即停止收集。

我们会统计本网站的页面浏览量。该统计在服务器端进行，覆盖所有访客：不使用任何 Cookie、任何本地存储，也不在页面中运行任何脚本。为此不会在您的设备上写入或读取任何内容，因此在这一方面无需征得同意（法国《信息与自由法》第 82 条）。该统计独立于 Google Analytics（第 4 条）。

会被读取但绝不会被发送或保存的内容：您的 IP 地址和用户代理（user agent）仅用于计算下文所述的指纹，并随请求结束而丢弃。绝不会发送的内容：完整的网址及其参数（唯一的例外是推广标签 utm_source、utm_medium、utm_campaign、utm_content 和 utm_term，前提是地址中带有这些标签）、将您带到本站的页面路径（仅保留其域名），以及任何比国家更精确的位置。

每次页面浏览会发送以下内容：

• 日期（UTC）和发送时间；
• 下文所述的每日指纹；
• 页面路径，仅限于已发布页面列表中的路径；
• 来源类型（搜索引擎、社交网络、AI 助手、其他网站、站内链接、无），以及在相关时仅发送其域名；
• 如有，页面地址中的推广标签（utm_*）；
• 国家，以两位字母代码表示；
• 设备类别（桌面设备、手机、平板、机器人）。

每日指纹是对您的 IP 地址、用户代理、每天更换的盐值以及本站域名进行哈希运算（SHA-256）的结果。它仅用于统计一天内的独立访客数，无法跨天或跨网站追踪您。某一天的指纹保存至其后第二天结束（D+2），随后由每天 03:15（UTC）执行的清理任务删除——即最迟在记录后 76 小时内删除。此后只保留汇总数据（访问次数、每日独立访客数、页面、来源、国家、设备），这些数据均不涉及任何个人。

接收方：Bx Labs，在其内部工具 Bx Labs OS 中接收并汇总这些浏览数据，该工具由 Convex 托管在欧盟（爱尔兰）。法律依据：正当利益（GDPR 第 6(1)(f) 条），即统计我们自己网站的访问量——不做用户画像、不投放广告、不与任何第三方匹配数据。您无需写信给我们即可提出反对：如果您的浏览器发送了全球隐私控制（Sec-GPC）或请勿跟踪（DNT）信号，您的访问将完全不会被统计。

当您确认注册时，我们会向 Bx Labs 的内部工具 Bx Labs OS（由 Convex 托管于欧盟境内的爱尔兰）发送：您的电子邮箱地址、您的姓名（如已知；否则为邮箱地址中 @ 之前的部分）、您的账户标识符、注册日期以及您的来源：来源网站（不含参数）、着陆页，以及如果您通过推广链接访问，其标签（utm_source、utm_medium、utm_campaign、utm_content、utm_term）；如您同意了 Cookie（第 4 条），还会发送您首次访问时的上述信息。我们还会发送根据您注册时的 IP 地址推断出的国家（绝不发送 IP 地址本身），除非您的浏览器发出了拒绝跟踪的信号（全球隐私控制或请勿跟踪）。当您购买点数时，我们会发送所购买的套餐、点数数量、支付金额及币种。每通电话结束时，我们会发送通话结果（是否接通及原因）、通话时长、被叫国家及其国际区号、消耗的点数，以及被叫号码和整蛊内容的文字，用于客户支持、内容审核和防止滥用（例如多个账户拨打同一号码）。当您登录时，以及在您已登录状态下回访时（每天最多两次），我们会发送登录日期、登录方式（密码、Google、邮件中的链接……）和访问类型（网站或移动应用）；绝不发送您的 IP 地址或浏览器信息。以优惠的地区价格购买时，我们还会发送价格档位、根据您的 IP 地址推断出的国家以及您银行卡的国家（如无，则为账单地址的国家），以发现两者是否不一致；不一致的情况也会记入我们的技术日志（仅含国家代码和价格档位）。

这些数据用于跟踪我们的注册量、销售情况以及推广活动的效果。不会发送任何支付数据（银行卡、IBAN）：支付信息始终留在 Stripe。法律依据：正当利益（GDPR 第 6(1)(f) 条）。这些数据在您的账户存续期间一直保存，您的删除请求（第 9 条）同样适用于这些数据。

我们绝不出售您的数据。您的数据仅会提供给本服务所必需的服务商，由其代表我们进行处理：

• Supabase — 数据库和身份验证，托管于欧盟（法国巴黎）
• Microsoft Azure — 通话服务器和 Azure OpenAI 语音模型，位于欧盟（服务器位于 France Central 区域）
• Twilio — 电话通话的路由和录音
• Stripe — 点数支付（Stripe Payments Europe，爱尔兰）
• Brevo — 发送与账户相关的邮件（法国）
• Vercel — 网站托管（Vercel Inc.，美国）
• Google — Google Analytics 和 Google Ads（Google Ireland Limited），仅在您同意后（第 4 条）
• Meta — Meta 像素（Meta Platforms Ireland Limited），仅在您同意后（第 4 条）
• TikTok — TikTok 像素（TikTok Technology Limited），仅在您同意后（第 4 条）
• Amazon Web Services — 托管 Bx Labs 的使用情况统计工具 Umami，位于法国（巴黎区域），仅在您同意后（第 4 条）
• Convex — 托管我们的内部工具 Bx Labs OS（欧盟，爱尔兰；第 5 条和第 6 条）

当服务商在欧盟以外（尤其是美国）处理数据时，相关传输受欧盟委员会标准合同条款或欧美数据隐私框架（EU–U.S. Data Privacy Framework）的保障。

根据《通用数据保护条例》（GDPR）和法国《信息与自由法》，您享有以下权利：

• 访问您个人数据的权利
• 更正权
• 删除权
• 限制处理权
• 数据可携带权
• 反对基于正当利益进行处理的权利
• 随时撤回同意的权利
• 就您身故后数据的处置作出指示的权利

如需行使上述权利，请发邮件至 contact@bxlabs.ai。如果您认为自己的权利未得到尊重，可以向法国数据保护机构（CNIL）提出投诉，地址：3 place de Fontenoy, 75007 Paris, France，或访问 www.cnil.fr/fr/plaintes。

您可以随时发邮件至 contact@bxlabs.ai，要求彻底删除您的数据。我们将在 30 天内处理您的请求。删除账户时，您通话的录音、文字记录和剧本也会一并删除。与您购买相关的会计凭证将按法律规定的期限保存。

我们采取适当的技术和组织安全措施，保护您的个人数据免遭未经授权的访问、篡改、披露或销毁。

如对本隐私政策有任何疑问，请发邮件至 Bx Labs：contact@bxlabs.ai。