隐私政策

最后更新：2026年9月29日

本政策说明您使用 origozero.ai 网站（以下简称“初开”）、浏览器版和桌面版的 Zero 游戏引擎，以及为二者提供支持的 ZeroMind 服务时，OrigoZero 会收集哪些信息、为什么收集、还有谁能看到、保存多久，以及您可以对此做些什么。本政策按软件目前的实际行为撰写。软件如以对您有影响的方式发生变化，本页面也会随之更改。

责任主体

本服务由 OrigoZero Oy, Espoo, Finland（以下简称“OrigoZero”或“我们”）运营。我们是本政策所述个人信息的控制者。如有任何与本政策有关的事项，包括与您的数据有关的请求，请使用您账号上的邮箱地址发送邮件至 admin@origozero.com。

我们收集哪些信息

账号信息。 用户名和密码（仅以哈希值形式存储）。可选提供的信息：邮箱地址（及您验证该地址的时间）、昵称、简短的个人简介、人称代词、头像图片、3D 虚拟形象描述和个人主页颜色。如您注册机器人，其账号会带有机器人标记以及与您账号的关联。

登录服务商。 如您使用 Google 或登录页面上列出的其他服务商登录，该服务商会告诉我们您在该服务商处的标识符，以及该服务商为您保存的邮箱地址，我们会存储这两项信息。该服务商还会向我们提供您资料中的名称和头像；我们不会存储它们，也不会将它们用作您的昵称。服务商自身就该次登录记录了什么，受其自身政策约束。

内容。 世界、资源、资源包、提交、评论、投票和评价，以及您放到平台上的任何其他内容。世界具有以下三种可见性之一：

• 公开。 任何人都可以按照您发布时选择的许可查看、玩、Fork 这个世界，以及引入其中的零件。搜索引擎和 AI 系统可以读取它。
• 仅链接可见。 任何持有链接的人都可以打开和玩这个世界。它不会出现在列表、搜索和站点地图中，但它并非私有：被分享或被猜中的链接都能打开它。
• 私有。 只有您、您邀请的人以及我们的管理员可以打开它。我们仅为运营本服务、修复您报告的问题或在法律要求时访问私有世界。

智能体、机器人和已连接的 AI 客户端。 如您注册机器人或将 AI 智能体连接到您的账号，它的操作会连同使其能够操作的密钥和令牌一起记录在您的账号下。如您通过我们的登录流程将第三方 AI 客户端（例如 Claude 或 ChatGPT）连接到您的账号，在其保持连接期间，该客户端的运营方会收到该客户端代表您读取和写入的一切内容，包括您私有世界中的内容。只要客户端持续使用其访问权限，它就保持连接：每个访问令牌的有效期为 1 小时，每个刷新令牌为 30 天，按时刷新的客户端会获得新的令牌。出现以下任一情况时，其访问权限终止：连续 30 天未刷新、客户端自行交还其令牌或您删除账号。设置中目前还没有列出或断开客户端的选项；在设置提供该选项之前，请发送邮件至 admin@origozero.com，我们会为您断开连接。

与内置智能体的对话。 您发送给内置智能体的消息、您附加的图片和文件、智能体的回复、它的工作笔记，以及它在您的世界上运行的工具的输入和输出，由对话主机存储，以便对话可以从中断处继续。这些内容会一直保存，直到您删除该对话或删除账号；届时，对话主机会删除该账号拥有的所有对话及其消息、附件和回复。这一删除目前还不涉及主机在对话之外保存的内容：智能体运行的工具的输入和输出记录、随对话保存的笔记，以及智能体在主机上您的工作区中写入的文件。我们打算将这些内容也一并删除，做到之后会更新本页面。

错误报告和反馈。 当您从网站、引擎或编辑器插件发送错误报告或反馈时，我们会存储您写的内容，以及您的账号、报告涉及的世界、报告来源的网络地址和您的浏览器或引擎版本。报告可能会被复制到 GitHub 上的公开 issue 中；副本包含文字内容和世界，绝不包含您的网络地址或邮箱。您删除账号时，存储的报告会随之删除。已发布到 GitHub 上的副本会保留在那里，因为它是缺陷的公开记录，且不再包含您的账号或地址。

使用数据。 共四类：

• 请求日志。 本服务会记录对它的每个请求，内容包括所调用的路由、结果、耗时、请求和响应的大小、发出请求的账号和已安装引擎、请求来源的网络地址，以及浏览器或引擎版本。前端网关会为每个页面记录相同的信息，包括所请求的完整地址（因此，您在网站搜索框中输入的搜索内容也会出现在该日志中）。保存 30 天。
• 参与度测量。 世界保持打开的时长、引擎是否完成加载、访问了哪些页面，以及一次会话用了多少轮对话、多少积分。这些测量带有一个随机标识符，该标识符只在一次页面浏览期间存在，不会存储在您的浏览器中。它们还会记录您的网络地址所属的国家或地区、您的浏览器首选的语言，以及页面显示所用的语言；您注册、每轮对话、发布和购买时，也会记录这三项。国家或地区是在我们自己的服务器上，根据我们保存在那里的国家或地区列表查得的，与测量一起存储的只有其两位字母代码，绝不包括网络地址。这些测量不包含您输入的任何内容。保存 90 天。
• 访客计数。 为了统计有多少人访问本网站（无论是否登录），服务器会将您的网络地址和浏览器的版本字符串转换成一个简短代码。在同一天内，您每次访问得到的代码都相同（我们按 UTC 计算日、周和月），每周和每月也各有一个代码；在其他任何一天、一周或一个月中，您得到的代码都不同。每个代码都由一个只在其对应的日、周或月内存在的随机密钥生成。该时段结束时，我们会删除密钥；我们把密钥保存在一个单独的数据库中，我们的常规备份不包含该数据库。没有密钥，任何人（包括我们）都无法推算出某个代码来自哪个地址，也无法将它与您在其他时段的代码对应起来。有两点限制：已删除的密钥可能会留在我们服务器上的数据库文件中，直到数据库覆盖该空间为止，但它绝不会被复制到服务器之外；在我们为维护而手动复制整个数据库的少数情况下，该副本会包含当时正在使用的密钥，并与我们的其他备份一起保存。地址和浏览器字符串不会与代码一起存储，也不会为此在您的浏览器中存储任何内容。您登录时，您的访问会带有相同的代码，因此，您在同一天、同一周或同一个月内从同一地址和浏览器在未登录状态下的访问，可以与您的账号对应起来。如您的浏览器发送 Global Privacy Control 信号，则不会生成代码：该次访问仍会记录在上述参与度测量中，只是不带代码。保存 90 天，与其所属的测量数据相同。
• 游玩记录。 当您在登录状态下打开世界时，我们会记录您打开了它以及打开的时间，以便您的个人主页和推荐功能可以使用这些信息。随账号一起删除。

世界中的游戏状态。 您玩的时候，世界的实时状态、您的位置和各个世界的存档数据由多人联机服务（SpacetimeDB 和中继服务器）保存在您的账号下，这样世界可以在不同会话之间保留它们，并与同一世界中的其他玩家共享。我们的在线人数统计显示一个世界中有多少人，只以数字形式保存，不含名字。

邮箱。 如您向我们提供邮箱地址，我们会用它来验证账号和发送密码重置链接。我们不发送营销邮件。

桌面版引擎。 已安装的 Zero 引擎每次启动时都会检查更新，方式是向 origozero.ai 发送其版本号和一个随机的、每次安装各不相同的标识符。它会把您的会话令牌、一个安装标识符和它自己的签名密钥保存在您电脑上的一个文件中，连同日志、缓存和您打开的世界一起，存放在您的用户目录下。这些本地文件中的任何内容都不会由引擎自身上传；在您卸载引擎后，它们仍会留在您的电脑上，直到您将其删除（服务条款说明了它们的位置）。当您使用引擎内的 AI 智能体，而该智能体是您电脑上的一个独立程序时，该程序在您电脑上的自身设置可能会被更改，以便引擎与其通信。

浏览器中的设备权限。 世界可以向您的浏览器请求使用麦克风、蓝牙、剪贴板和指针锁定。声音和设备数据都保留在您设备上的引擎内，除非某个世界自己的脚本把它们发送到别处（见“世界就是程序”）。

世界就是程序。 世界的脚本可以连接由世界作者选择的、互联网上的其他服务器；在桌面版上，还可以打开网络连接和串口连接。世界向这些服务器发送什么，由其作者决定，而不是由我们决定，本政策不涵盖这些内容。请玩您信任的作者制作的世界。

我们不在网站上收集付款信息。付费套餐通过邮件办理，并在网站之外开具账单，因此不会有任何银行卡号经过本服务；我们会保留您写信给我们时所用的邮箱地址和您提供的账单信息（见“保存期限”），套餐本身记录在您的账号上。

我们为何使用这些信息及其法律依据

根据欧盟数据保护法，每一项使用都以下列三种法律依据之一为基础：与您订立的合同（您注册使用的服务）、我们的正当利益或您的同意。

用途	数据	法律依据
让您登录并维护您的账号	账号信息、会话、登录服务商标识符	合同
按您选择的可见性存储和展示您的内容	内容、游戏状态	合同
回复您与内置智能体的对话	对话消息、附件、智能体处理的世界	合同
让智能体、机器人和已连接的客户端代表您行事	它们的密钥、令牌和操作	合同（应您的要求）
让内容可以被找到：描述和搜索索引	公开、仅链接可见和私有世界及其中资源的文字内容，该世界已选择退出的除外（见下文 Gemini）	正当利益：维护一个可正常使用的目录，并让制作私有世界的人能够搜索它
保持本服务正常、安全运行：发现滥用、限制不当使用、调试	请求日志、参与度测量、错误报告	在安全性和可靠性方面的正当利益
了解产品的哪些部分有人使用	参与度测量	在改进本服务方面的正当利益
就您的账号与您联系	邮箱	合同
发送邮箱验证和密码重置邮件	邮箱	合同

我们目前不就任何事项征求同意，因此这里没有任何内容以同意为依据。如我们将来增加需要同意的内容，我们会事先征求您的同意，您也可以随时撤回该同意。

还有谁能看到您的数据

我们使用少数几家服务商来运营本服务。每家服务商只会收到其工作所需的信息。

• 托管和文件存储。 Hetzner，位于欧盟：运行本服务的服务器位于芬兰，存放文件的对象存储位于德国。您下载的文件（例如封面和世界内容）由该对象存储提供，它能看到下载者的网络地址。
• 域名服务。 Cloudflare 仅提供 DNS。它不位于网站前端，也看不到您的流量。
• 登录服务商。 Google，以及登录页面上列出的任何其他服务商，仅在您选择使用其登录时。
• 事务性邮件。 Resend，用于发送验证邮件和密码重置邮件，位于美国。
• 对话模型。 您发送给内置智能体的消息，由通过 OpenRouter（美国）访问的大语言模型回答。每一轮都会发送截至当时的完整对话、您的附件、智能体的指令，以及它运行的工具的输入和输出，其中可能包括它正在处理的世界中的文件。OpenRouter 背后的模型由我们选择，并且可能变化；在撰写本政策时，该模型由 OpenAI 运营。我们使用这些服务商面向企业的接口，并受其企业条款约束。
• 描述和搜索索引。 Google 的 Gemini 模型（美国）根据公开、仅链接可见和私有世界及其中资源的文字内容生成描述和搜索索引。之后，公开或仅链接可见世界的内容可以被任何搜索的人找到（仅链接可见的世界本身不会被列出或宣传）；私有世界的内容只能被能编辑该世界的人找到（其所有者和维护者，以及该世界所属组织的所有者和维护者）。回收站中世界的文字内容不会被发送。世界的维护者可以随时让该世界退出搜索索引：之后其文字内容不再被发送，已编入索引的内容也会被移除。重新加入，或将世界移入回收站后再恢复，会改变此后纳入范围的内容。
• 搜索引擎。 当您发布、更改或取消发布公开世界时，我们会将其地址通知搜索引擎，使其索引保持最新。
• 已连接的 AI 客户端。 您连接到账号的任何第三方客户端，如上文所述，在其保持连接期间。

位于美国的服务商在欧洲经济区以外处理数据。在我们依赖位于美国的服务商时，此类跨境传输以该服务商的标准数据保护条款为依据。

我们不出售您的数据，也不与广告商共享您的数据。我们不使用您的数据训练 AI 模型；据我们所知，按照我们使用这些服务商所依据的条款，我们的服务商也不使用您的数据训练 AI 模型。

Cookie 和浏览器存储

我们不使用跟踪类 Cookie，我们的页面也不会设置任何他方的 Cookie。我们自己的页面只从我们这里以及上文所述的 Hetzner 对象存储加载脚本、样式、字体和图片，且不嵌入其他公司的框架。其他用户撰写的内容是例外：世界的描述或资源的 README 可以包含托管在网上任何地方的图片，您的浏览器会从该托管方获取图片，托管方因此会看到您的网络地址。这与世界自己的脚本可能发起的对外联系属于同一类（见“世界就是程序”）。

我们设置的 Cookie 仅在您通过服务商登录期间出现，两个都用于保障该次登录的安全：

• cb_oauth_state：在您开始通过服务商登录时设置，保存一个经过签名的令牌，用于将服务商的回复与您的浏览器绑定。有效期为 10 分钟，登录完成后即删除。
• cb_oauth_pending：仅在通过服务商登录会创建新账号时设置，将服务商提供的您的身份信息带入注册步骤。有效期为 10 分钟，注册完成后即删除。

其他所有内容都保存在您的浏览器存储中，您可以随时在浏览器中清除：

• 您的会话令牌和刷新令牌，用于保持您的登录状态；
• 您选择在浏览器中还是在桌面版引擎中打开世界；
• 您是否关闭了桌面版引擎卡片；
• 您在每个世界中最后打开的是哪个对话；
• 您登录期间，在“创作”页面写下但尚未发送的想法的文字（恢复后立即删除）；
• 引擎对世界内容、模型和已编译着色器的缓存，使您打开过的世界下次加载得更快。

这些内容都不会向我们以外的任何人表明您的身份，也都不会用于广告，或用于跨其他网站衡量您的行为。

保存期限

数据	保存期限
账号信息	直到您删除账号
会话令牌	自上次使用起 7 天；刷新令牌 30 天
邮箱验证链接和密码重置链接	分别为 24 小时和 1 小时
您删除的世界	在您的回收站中保留 30 天，期间您可以恢复，之后彻底删除（见下文）
已彻底删除世界的文件内容	在彻底删除后约 2 周内删除，前提是本服务上已没有任何其他内容仍指向这些字节
您删除的评论	立即清空；讨论帖中会保留一个标记为已删除的占位符
请求日志和前端网关的访问日志	30 天
参与度测量	90 天
访客计数背后的密钥	在其对应的日、周或月结束时删除，且不包含在我们的常规备份中；为维护而手动制作的完整副本会包含当天正在使用的密钥（见上文“访客计数”）
游玩记录	直到您删除账号
错误报告和反馈	直到您删除账号，或直到我们将其删除；除此之外没有自动过期
与内置智能体的对话	对话及其消息：直到您删除该对话或账号。随对话保存的工具记录、笔记和工作文件：直到我们将其删除；目前没有自动过期
API 密钥和机器人账号凭据	直到您移除它们或删除账号
登录服务商绑定	直到您删除账号；设置中目前还无法解绑
已连接 AI 客户端的授权	访问令牌 1 小时，刷新令牌 30 天，只要客户端持续刷新就会续期；客户端停止刷新满 30 天、交还其令牌或您删除账号后移除
付费套餐的邮箱和账单信息	在套餐有效期间保存，之后按会计法规要求的期限保存（在芬兰，为自财务年度结束起 6 年）

“彻底删除”的含义。 30 天期满后，该世界及其成员关系、评论、引用以及仅由它使用的资源都会从本服务中删除。一条表明该世界曾经存在的隐藏记录会保留下来。已删除账号所投的票和给出的评价会作为计数保留，不关联任何投票者。

文件内容也会被删除，但会有短暂延迟。文件按其指纹存储，因此发布相同字节的两个世界共享同一份副本；只有在没有任何东西仍指向某个文件时（没有世界、没有提交、没有封面图片、没有头像），该文件才能被删除。一个后台任务会检查这一点，并删除它发现未被使用的字节，通常在彻底删除后约 2 周内完成。这一延迟是安全余量：文件看起来未被使用后仍会保留一段时间，这样如果某个世界其实仍需要它，就能重新取回，而不会丢失。另一个世界仍在使用的文件会被保留，因为删除它会破坏那个世界。

您的权利

您可以随时在设置中查看和更改您的账号信息，也可以删除您自己的世界和内容。

您可以在设置的“Danger zone”部分自行删除账号。删除账号会移除您的用户名、昵称、邮箱、头像、个人简介、会话、密钥、机器人、关注、收藏、游玩记录和成员身份，将您的世界移入回收站（30 天后彻底删除），清除您与内置智能体的对话以及您发送的错误报告和反馈，并且在您的评论原本指向您的地方只留下一条匿名记录。您的投票和评价会被直接删除，而它们所计入的分数会保留总数，因此您投过票的内容都不会改变，也不会有任何信息显示您是如何投票的。删除账号后无法撤销。

如您位于欧盟、欧洲经济区或英国，您还有权要求获取您的数据副本、更正您的数据、删除您的数据、以机器可读的格式接收您提供给我们的数据、限制或反对我们对您数据的处理，以及向您的数据保护监管机构投诉。在芬兰，该机构为数据保护监察员办公室（tietosuoja.fi）。如需提出上述任何请求，请使用您账号上的邮箱地址发送邮件至 admin@origozero.com 联系我们，我们会在 1 个月内处理。您也可以随时通过本服务的 pull 命令和 API 获取您已发布的内容。

我们不会通过自动化方式作出对您产生法律效力或类似重大影响的决定。

安全

密码、密钥和令牌仅以哈希值形式存储。世界的密钥在静态存储时经过加密。本网站仅通过 HTTPS 提供服务。桌面版引擎将您的会话令牌保存在您电脑上的一个文件中，以您的身份运行的其他程序可以读取该文件；请像对待已登录的浏览器一样对待这台电脑。

儿童

本服务不面向未满 13 周岁的儿童，我们也不会在知情的情况下收集他们的数据。注册时我们不要求提供年龄证明；如您认为有儿童创建了账号，请告诉我们，我们会将其删除。

变更

本政策发生变更时，我们会更新页面顶部的日期。对于对您有影响的变更，我们还会在网站上告知。