1. 适用范围与责任主体
本隐私政策适用于 FaceEnjoy 的移动应用、网站、API、账号服务、购买、支持渠道及相关服务（统称“服务”）。本服务面向中国大陆以外的国际市场，并不面向中国大陆发行。
个人信息处理责任主体为你下载本 App 的 App Store 或 Google Play 商品页面中列示的 FaceEnjoy 开发者或发行者（“FaceEnjoy”或“我们”）。你可以通过 support@faceenjoy.com 联系我们。如商店页面除 FaceEnjoy 品牌外还列示了自然人或法律实体，该自然人或实体即为相应商店地区的签约运营者。
2. 我们处理的信息
我们仅处理为提供、保护、支持和改进服务而合理需要的信息，具体取决于你使用的功能。
- 账号与恢复信息：内部用户 ID、支持编号、匿名账号状态、你自愿绑定的已验证恢复邮箱、账号创建和更新时间、加密会话凭据，以及设备恢复凭据的单向哈希。在支持的 Android 设备上，App 会通过 HTTPS 将 App 签名范围内的 Android 标识发送至 FaceEnjoy API，并在服务端转换为带密钥的单向哈希，用于重装恢复和防止重复领取欢迎奖励；我们不持久保存原始 Android 标识。App 还会使用 Google Block Store 保存随机的 128 位恢复令牌，并启用其云备份选项；备份是否可用取决于设备及系统备份设置。该令牌是账号恢复凭据，不是照片或人脸特征。
- 设备与技术信息：App/构建版本、操作系统、设备型号、语言、时区、IP 地址或其加盐哈希、User-Agent、随机安装标识、请求编号、诊断事件以及安全和限流记录。
- 照片与创作内容：你选择用于换脸的来源图和目标图、本地创作的换脸结果，以及使用 Android AI 生图时的提示词、所选模型与画面比例、生成图片和任务记录、供应商原始图片链接和／或图片数据（如 Base64）、恢复图片副本、作品编号，还有你自愿随反馈提交的图片或文字。
- 设备端处理的人脸数据：iOS 上的 Apple Vision 或 Android 上的 Google ML Kit 会检测人脸边界框，以及左眼、右眼、鼻子、左嘴角和右嘴角共 5 个关键点坐标。本地人脸引擎可能仅为完成你请求的合成而创建临时数值型人脸特征。
- Google ML Kit Android SDK 诊断信息：Google 会收集设备制造商和型号、操作系统版本及构建、可用的机器学习硬件加速器、应用包名和版本、每次安装的标识、性能指标、图片格式和分辨率等 API 配置、输入与输出大小、功能版本、事件类型和错误码。Google 将这些信息用于诊断和使用情况分析，并通过 HTTPS 加密传输。这类 SDK 诊断收集与照片及人脸数据的设备端处理相互独立。
- 内容安全信息：图片摘要、检测范围、审核服务及策略版本、服务商请求编号、风险判断、标签和置信度，以及反馈原因。
- 购买与权益信息：商店商品、平台、订单和交易编号、购买时间、订阅状态和续费周期、退款或撤销信息、积分余额及明细，以及 Apple 或 Google 返回的验证数据。我们不会收到完整银行卡号。
- 支持与反馈信息：邮件往来、反馈详情、你提交的内容编号或网址、支持与反馈编号、你选择发送的设备诊断信息，以及反馈处理记录。
- 本地设备数据：语言、同意状态、安全会话令牌、缓存模型、本地作品引用、临时图片及设备上的其他设置。
3. 设备端换脸
人脸检测、关键点处理、临时人脸特征提取和换脸合成都在你的设备上完成。iOS 上的 Apple Vision 或 Android 上的 Google ML Kit 会检测第 2 节所述的人脸边界框和 5 个关键点坐标。App 与原生人脸引擎仅交换本地文件路径，FaceEnjoy 不会仅为了完成换脸而把来源图或目标图上传至 FaceEnjoy 生成服务器。
FaceEnjoy 不会将这些人脸数据用于识别或验证个人身份、建立人脸识别档案、投放广告或训练 FaceEnjoy 模型。临时处理缓冲区在使用后释放，但有容量限制的设备端缓存可能跨任务保留人脸边界框和关键点。原生引擎也可能保留最近使用的来源图片及衍生特征以供复用，直至来源被替换、引擎被释放或 App 进程结束。这些缓存仅保留在设备上。关键点缓存会在达到容量限制、内存压力或生命周期清理时被移除；iOS 还会在缓存清理时移除超过 2 小时未使用的条目。App 管理的临时图片和预览文件会在被释放或替换时删除；超过 24 小时且未在使用的文件会在下次清理（例如 App 启动）时被移除。App 关闭期间不会执行清理。
首次使用时，App 可能下载人脸引擎模型文件。在 Android 版中，成功的换脸结果会自动保存在 App 私有存储中，并列入“我的作品”；保留这份私有副本不需要点击“保存”。只有你主动点击“保存”，结果才会写入系统相册；只有你主动点击“分享”，结果才会通过系统分享面板传递给其他 App。私有副本会保留到你删除作品、清空本地作品或移除 App 数据；已导出的副本需要从设备中另行删除。云端内容安全检测和自愿反馈属于下文说明的独立处理活动。
4. 云端内容安全检测
本节说明设备端换脸所用的可选云端检测。Android AI 生图必须执行的安全审核见第 5 节。FaceEnjoy 可能在换脸前检测用户选择的自定义目标图。只有当你主动举报本地生成的换脸结果，并同意针对该次举报单独展示的披露时，该结果图才会接受检测。来源图和 App 内置示例图片不在检测范围内。发送任一图片之前，App 都会指明接收方为 Alibaba Cloud Green，说明具体图片和处理目的，并征求你的许可。如果你拒绝，图片不会上传，该次操作也不会继续。
上传前，App 会移除元数据，并对相应的自定义目标图或经用户同意举报的结果图副本进行缩放和压缩。App 先向 FaceEnjoy API 申请短期且受限的上传授权，再将最小化副本直接上传至 Alibaba Cloud 位于新加坡的临时对象存储。图片字节不会经过或保存在 FaceEnjoy 的 Vercel 应用服务器或应用数据库中。
Alibaba 临时图片通常保留约 30 分钟。为避免重复检测并保护服务，FaceEnjoy 可能将单向图片摘要、上传会话元数据和标准化检测结果保留不超过 7 天。
如果你主动提交审核反馈，我们会保存审核结果、原因、App 和设备信息、来源 IP、User-Agent，以及由托管服务商根据来源 IP 推断的大致国家、地区、城市、坐标和时区。我们不会请求设备 GPS。只有你明确添加图片时才会上传附件，附件在私有 Cloudflare R2 中保留不超过 30 天。
5. Android 版云端 AI 生图与在线模板
AI 生图和在线模板库已在 Android 版提供，当前 iOS 版均不提供。你在 Android 版选择 AI 生图时，App 会显示独立披露，并在发送请求前征求你的同意。FaceEnjoy 会将提示词、所选模型、画面比例、请求编号及必要技术信息发送至 FaceEnjoy 服务器，并转交 ModelVerse 或该次请求所选的模型提供商。除非你有权提供，请勿在提示词中填写个人、机密或第三方信息。
每次 AI 生图请求都须经过 FaceEnjoy 服务端内容安全审核。未被本地检查拒绝的提示词，会在生成前发送至新加坡的 Alibaba Cloud Green 进行自动文本检测。服务商返回图片后，FaceEnjoy 会在服务器上移除图片元数据、缩放和压缩，再将得到的 JPEG 发送至新加坡的 Alibaba Cloud Green 临时对象存储，在交付前进行自动图片检测。审核拒绝、结果不确定或审核失败时，不交付图片。这些检查是使用云端 AI 生图的必要环节，与换脸自定义目标图的可选检测许可相互独立。如不希望接受该处理，请不要提交 AI 生图请求，或撤回 AI 生图同意。
成功生成的图片文件会私密保存在 Cloudflare R2，通常可使用 3 天；下载链接的有效期更短。完整提示词和 AI 生图的单次审核记录在 30 天后进入定时脱敏或移除范围；作品仍在删除后的 7 天排查保留期内，或关联请求仍待存储清理时，会延后处理。有限的任务编号、摘要和结算记录可能因安全、计费、争议和审计目的继续保留。删除单个作品会立即将其从可见历史中移除并停止用户下载。尚未删除或进入清理流程的云端图片，自首次删除起私密保留 7 天，用于故障排查和内容安全调查，期满后安排物理删除。期间仅授权工作人员可访问，访问会记录审计；重复删除不会延长保留期。删除账号会停止访问并安排图片清理，不适用这段 7 天作品保留期。打开“我的作品”或保存、分享生成图片时，App 可能建立设备内的私有副本，并在云端副本过期后继续使用。清空本地作品会移除这些私有副本和本地作品引用，但不会删除云端记录或已导出到相册的照片。之后再次打开“我的作品”时，可用的云端作品可能重新下载。
为排查生成、下载和内容安全问题，FaceEnjoy 会根据供应商返回格式，在 Supabase 私有数据库中保存原始图片链接和／或图片数据（如 Base64）。留存在图片下载、解码和精简处理之前进行，因此可能包含后续下载失败或未通过安全审核的结果。记录还包括关联任务、用户和供应商请求编号及必要诊断信息。授权工作人员可从留存数据恢复图片，或重试下载原始链接用于排查；这不代表图片获准向用户交付。原始结果及其恢复图片副本共用自首次保存原始结果起固定 7 天的访问有效期。删除作品、删除账号或恢复图片均不会重新计时，也不会立即移除这份独立记录。期满后停止工作人员访问并安排定时删除；失败会重试，物理删除可能因此延迟。保存链接不会延长供应商链接的有效期，也不保证一定能够恢复图片。
服务商返回有效图片后，FaceEnjoy 会登记并在私有 Cloudflare R2 中保存一份独立的精简 JPEG 副本，用于故障排查和内容安全调查，包括随后未通过安全审核的图片。该副本自登记起保留 7 天，不属于用户作品，仅授权工作人员可通过有审计的后台访问。删除作品或账号不会立即删除这份独立排查副本，也不会延长其保留期；副本按原有 7 天期限清理。期满后停止工作人员访问，并开始定时物理清理；清理失败会重试，因此物理删除可能延迟。服务商未返回有效图片时，不会建立图片排查副本。
阿里云官方说明，用于检测的本地图片临时上传文件通常保存约 30 分钟，并由供应商管理的临时存储生命周期清理。FaceEnjoy 不将审核完成或上传凭证到期视为图片已经物理删除的证明。该临时存储与 FaceEnjoy 的交付图片、供应商原始结果及安全排查副本相互独立，各自适用本政策所述保留期限。
我们与服务商仅为提供和保护你请求的功能而使用这些输入与输出。我们不会将提示词、所选换脸照片、人脸数据或生成图片用于广告、出售、画像或训练 FaceEnjoy 模型，服务商也不得将其用于未经授权的模型训练。
浏览 Android 在线模板库时，App 会向模板服务商发送素材包编号、App 语言、分类和分页信息；服务商也会收到 IP 地址等标准网络信息。模板图片会下载到你的设备以供浏览和使用。仅浏览模板不会把你的来源人脸照片发送给模板服务商。如果你举报模板，我们会收到模板编号及你选择提交的反馈。
6. 使用目的与法律依据
我们使用信息来创建和恢复账号、提供设备端换脸及 Android 版云端 AI 生图、验证购买、维护积分与订阅、交付设备端人脸引擎模型文件和 Android 在线模板、保存偏好、防止欺诈和滥用、审核内容、诊断故障、回复支持请求、履行法律义务，以及建立、行使或抗辩法律权利。
在适用法律要求法律依据的地区，我们依据履行与你的合同、你的同意、法定义务，以及安全运营、支持和改进服务的合法利益处理信息。基于同意的处理可以被拒绝或撤回，但相应可选功能可能无法使用。我们不会将个人信息用于第三方广告或跨情境行为广告。
7. 服务提供商与披露对象
我们仅在运营服务、遵循你的指示、完成交易、保护用户或遵守法律所需的范围内披露信息。具体公司实体和处理地点可能因平台和请求时可用的基础设施而异。
服务商代表 FaceEnjoy 处理个人信息时，我们要求其采用相同或等效的合同与技术保护。Alibaba Cloud Green、ModelVerse 及 Android 版所选 AI 模型提供商不得将从 FaceEnjoy 收到的数据用于广告、出售、画像或未经授权的模型训练。
- Supabase：身份验证、账号记录、关系数据库、邮箱验证基础设施，以及用于排查的 AI 生图原始图片链接和／或图片数据及恢复图片副本的私有存储。
- Vercel：网站与 API 托管、请求交付、安全控制和基于 IP 的大致位置标头。
- Cloudflare R2：私密保存 Android 版 AI 生成图片，通常供用户使用 3 天；在图片清理前删除作品的，剩余云端图片自首次删除起私密保留 7 天，用于故障排查和内容安全调查。独立的安全排查副本（包括审核失败图）自登记起保留 7 天，删除作品或账号不会立即移除该副本。可选的内容审核反馈图片附件保留不超过 30 天。
- Alibaba Cloud Green：在临时对象存储中直接接收最小化的自定义目标图副本，或经单独同意的举报结果图副本，并进行内容安全检测；当前使用新加坡服务端点。此外，也会接收通过本地检查的 AI 生图提示词及精简生成 JPEG，在新加坡执行必要的自动文本和图片安全审核。
- ModelVerse 及 Android 版所选 AI 模型提供商：处理 AI 生图请求中的提示词、所选模型与画面比例、请求编号、必要技术信息和生成结果。
- Apple 和 Google：App 分发、应用内购买、交易验证、订阅生命周期、退款和商店记录。
- Google ML Kit（Android）：设备端人脸检测，以及接收第 2 节所述的 SDK 诊断和使用情况分析信息。
- Google Block Store（Android）：保存随机账号恢复令牌，并在设备及系统备份设置支持时进行云备份，以便在重装或设备迁移后恢复账号。在 App 内删除账号时，FaceEnjoy 会通过 Block Store 请求移除旧令牌；账号删除后，服务端恢复凭据也会撤销，因此残留的备份令牌不能恢复已删除的账号。如果你继续使用 App，它会创建新的访客账号，并可能保存新的恢复令牌；通过网站删除账号无法直接清除设备的 Block Store 存储。
- 包括 FaceEnjoy 与 ModelHubRouter 域名在内的模型和内容交付服务商：提供设备端人脸引擎文件及 Android 在线模板库内容。
- 在法律允许并采取适当保障措施的情况下，向专业顾问、监管机构、法院、执法机关，或合并及资产转让中的继受方披露。
8. 不出售、不做定向广告或隐蔽追踪
FaceEnjoy 不出售个人信息，不为跨情境行为广告共享个人信息，也不使用第三方广告 SDK。当前 App 没有集成独立的通用分析或崩溃报告 SDK，但 Google ML Kit 仍会收集第 2 节所述的 SDK 诊断和使用情况分析信息。如果数据收集方式发生变化，我们会在收集新增数据前更新本政策和相应商店隐私披露。
网站可能使用必要的运营存储及 Vercel Speed Insights 了解汇总性能。我们不使用广告 Cookie。你访问页面时，浏览器和托管服务商仍会收到 IP 地址、User-Agent 等普通网络信息。
9. 跨境处理
FaceEnjoy 及服务提供商可能在你居住国以外处理信息，包括美国、新加坡及服务商运营所在的其他地区，这些地区的数据保护法律可能不同。
在法律要求时，我们会采用合同承诺、合法传输机制、访问限制、加密和数据最小化措施保护跨境信息。你要求我们提供全球托管功能时，即理解本政策所述技术处理可能跨境进行，但这不会影响你依法不可放弃的权利。
10. 保留与删除
我们仅在提供服务、维护安全和交易完整性、解决争议及履行法律义务所合理需要的期间内保留信息。不同数据的期限如下。
- 设备端人脸数据：临时处理缓冲区在使用后释放。有容量限制的人脸边界框和关键点缓存可能跨任务保留，并在达到容量限制、内存压力或生命周期清理时被移除；iOS 还会在缓存清理时移除超过 2 小时未使用的条目。原生引擎可能保留最近使用的来源图片及衍生特征，直至来源替换、引擎释放或进程结束。
- App 管理的换脸临时输入与预览文件：被释放或替换时删除。超过 24 小时且未在使用的文件会在下次清理（包括 App 启动）时被移除；App 关闭期间不会执行清理。已保存结果会保留到你从 App 或设备中删除。
- Alibaba Cloud Green 临时检测图片：通常约 30 分钟。
- Android 版 AI 生成图片的云端副本：通常可使用 3 天。删除作品后立即隐藏并停止用户下载；尚未进入清理流程的剩余云端图片自首次删除起私密保留 7 天，用于故障排查和内容安全调查，授权后台访问会记录审计。期满后停止排查访问并启动定时清理；清理失败会重试，物理删除可能因此延迟。删除账号时安排清理，不延长保留 7 天。设备内的私有副本会保留到你删除该作品、清空本地作品或移除 App 数据，可能在云端过期后继续保留。
- 独立的 AI 生图安全排查副本：自登记起保留 7 天，包括审核拒绝图。删除作品或账号不会延长或立即移除该副本。期满后停止工作人员访问，定时执行物理清理；清理失败会重试。
- AI 生图供应商原始结果及恢复图片副本：自原始结果首次保存至私有数据库起，具有固定 7 天的访问有效期。包括图片链接和／或 Base64 等图片数据，即使后续下载失败或审核拒绝，也可能已留存。删除作品、删除账号或恢复图片均不会延长或立即移除这些独立记录。期满后停止工作人员访问并安排物理删除；清理失败会重试，实际删除可能延迟。供应商原始链接可能更早失效。
- AI 生图安全请求的完整提示词和审核事件：在 30 天后进入定时脱敏或移除范围；作品仍在删除后 7 天保留期或关联请求仍待存储清理时延后处理。有限请求编号、摘要和结算记录另行保留。
- 可选审核反馈图片附件：不超过 30 天。
- 内容安全图片摘要、标准化检测结果和上传会话元数据：不超过 7 天。上传授权会更早到期，过期上传会话记录由定期清理任务移除。
- App 审核会话遥测：通常 90 天。
- 过期身份验证限流记录：限流窗口结束且清理任务运行后通常会被移除。
- Android 防重复欢迎奖励记录：带密钥的设备或恢复令牌单向哈希、平台、记录状态、奖励发放时间及记录时间，可能在删除账号后继续保留，以防重复领取奖励。账号删除会移除旧账号关联，但不会立即抹除这类有限的反欺诈记录。记录自最近一次登记或更新起最长保留 7 年，并由定期任务清理；它与用于恢复有效账号的凭据相互独立。
- 账号、有限 Android AI 任务及结算记录、权益、反馈和运营记录：在账号有效期间保留，之后仅因安全、支持、争议、审计或法律需要继续保留。
- 购买、退款、反欺诈、税务和审计记录：在合理需要或法律要求时最长 7 年。Apple 和 Google 会依据其政策保留各自的商店记录。
- 本地照片、导出结果、下载文件和系统备份：直至你从设备或相应平台账号中删除。
11. 你的选择与隐私权利
根据所在地法律，你可能有权了解或访问我们持有的信息、取得可携副本、更正、删除、限制或反对处理、撤回同意、退出出售/共享/定向广告或特定画像，以及对被拒绝的请求提出申诉。FaceEnjoy 当前不出售信息，也不用于定向广告。
你可以在“设置 > 隐私与数据”中拒绝或撤回自定义目标图的云端内容安全检测同意。在 Android 版，你还可以单独拒绝或撤回 AI 生图同意。撤回会阻止相应的未来云端处理；再次请求前，FaceEnjoy 会重新询问。针对用户主动举报的换脸结果，App 会在每次举报时单独请求许可；你可以拒绝且结果图不会发送。这些选择不会撤销此前的合法处理，不会自动删除 FaceEnjoy 或服务商按上述保留期限已留存的记录，也不会删除你的本地作品。
你还可以拒绝照片权限或可选反馈、删除本地作品、Android AI 生成作品和本地文件、在 Apple 或 Google 账号设置中取消订阅；并在 App 内或 faceenjoy.com 的账号删除页面申请删除账号。删除账号不会自动取消商店订阅，也不会删除已经导出的设备文件。
如需行使其他权利，请尽可能使用账号绑定邮箱向 support@faceenjoy.com 发信并说明请求。我们可能在处理前验证你的身份和授权。当地法律允许时，你可以委托授权代理人。我们不会因你行使隐私权而歧视你。
12. 儿童与青少年
本服务不面向 13 周岁以下儿童；如当地法律规定更高最低年龄，则以该年龄为准。低于最低年龄者不得创建或使用账号。未达到所在地法定成年年龄的用户，应仅在父母或法定监护人许可和监督下使用服务。
不得上传、生成或操纵涉及未成年人的色情、剥削或其他有害内容。如果我们得知违反适用法律收集了儿童个人信息，将采取合理措施删除。父母或监护人可联系 support@faceenjoy.com。
13. 信息安全
我们采用旨在保护信息的措施，包括 HTTPS 传输、私有对象存储、短期签名链接、受限管理访问、数据库行级控制、凭据单向哈希、恢复令牌托管加密、限流和经过验证的商店 Webhook。任何存储或传输方式都无法保证绝对安全。
你应妥善保护设备、恢复邮箱、恢复码和商店账号。如认为 FaceEnjoy 账号或信息遭到泄露，请及时联系我们。
14. 地区性说明
欧洲经济区、英国和瑞士：你可以向当地数据保护机构投诉。基于合法利益处理时，你可以基于自身特定情况提出反对；基于同意处理时，撤回同意不影响此前处理的合法性。
美国：第 2 节列明的信息类别用于第 6 节所述业务目的，并向第 7 节所列服务商类别披露。我们不出售个人信息，也不为跨情境行为广告共享个人信息，不以个人信息换取财务激励。适用州法可能赋予访问、更正、删除、退出、申诉及授权代理人等权利。
其他地区：当地不可排除的隐私与消费者保护继续适用。本政策不限制依法不得放弃的权利。
15. 政策变更与联系方式
我们可能根据服务、服务商或法律变化更新本政策，并会公布新的更新日期。法律要求时，我们会在重大变更生效前提供额外通知或重新征得同意。
问题、投诉和隐私权请求可发送至 support@faceenjoy.com。除非安全支持流程明确要求并说明处理方式，请勿在邮件中附加敏感照片。