隐私政策

1. 关于本政策

本政策说明以 Callingual 名义经营的 Angry Pixie Electronics LLC（“Callingual”、“我们”）通过 Callingual 网站和网页应用（“本服务”）收集哪些个人信息、如何使用这些信息以及与谁共享。本政策适用于账户持有人及其呼叫的人（“对方”）。

2. 摘要

• 对话不会录音。我们不存储音频，也不存储双方相互所说内容的文字记录或译文。语音在通话进行时处理，之后即被丢弃。在双方接通之前，您对 Callingual 本身所说的话（例如菜单回答）会以文本形式保留一年，用于查找和修复故障（第 3 条）。
• 我们只保留运营您的账户、收取通话费用和防止滥用所需的信息。
• 我们不出售个人信息，不展示广告，也不使用广告追踪器或第三方分析工具。
• 银行卡付款由 Stripe 处理，此前的额度购买由 Paddle 处理。我们绝不会获得您完整的卡号。

3. 我们存储的内容

您的账户

• 您的电子邮件地址、姓名和语言。
• 您的电话号码（验证后），以及验证时间。
• 账户的创建时间以及您接受条款的时间。
• 您的账单信息：Stripe 所描述的您保存的银行卡（品牌、后四位和发卡国家/地区），以及它是否通过了美国银行卡核验；您未结算的通话和每次从该卡扣款（金额、税费、Stripe 发票，以及是否已付款、失败或需要确认）；退款和付款争议；此前购买的额度（每次购买及其 Paddle 交易、金额、剩余额度和过期时间）或免费赠送的额度；以及您的低余额警告金额。
• 您的 Stripe 客户标识符；如果您此前购买过额度，还包括您的 Paddle 客户标识符。

通话

每通电话的：时间、接通时长、结果、费用和费率、对方所在国家/地区、两种语言、您输入的对方姓名、对方号码的后四位，以及对方完整号码的单向密钥哈希值（用于在不存储号码的情况下执行每日通话限制）。另有一份诊断日志，记录两个号码的后四位、语言、结果、时长以及每句译文的时间信息，不含任何话语内容。

电话拨入

如果您开启电话拨入：开启状态、您电话 PIN 码的单向加盐哈希值（绝不存储 PIN 码本身）、设置时间、连续输错 PIN 码的次数以及随之而来的锁定、电话拨入通话使用哪个额度，以及播报您的话所用的声音。您为电话拨入保存的联系人会连同其姓名、完整电话号码、语言和声音以及您最后一次呼叫的时间一起保留，直到您删除联系人或账户。当有人拨打电话拨入号码时，我们使用来电号码查找账户，并限制一个号码可以拨入或登录失败的频率（为此仅以密钥哈希值存储）。您账户的每次电话拨入登录、PIN 码错误和拒绝都会连同来电号码一起记录，并在账户页面上向您显示；此日志保留 90 天。您为选择呼叫对象所说的话由我们的语音识别服务商识别，语言名称可能会发送给 Anthropic；这些内容会以去除数字后的文本形式保留（见下文“您对 Callingual 说的话”）。PIN 码只能通过键盘输入，绝不会被记录。

身份验证

如果您选择在控制面板中验证身份（这会解除新账户的使用限额，并提高银行卡的扣款金额），Stripe Identity 会在 Stripe 自己的页面上核验带照片的身份证件和自拍。证件和自拍发送给 Stripe，而不是我们：我们只接收并保存结果（已验证、待处理或失败，失败时附 Stripe 的原因代码）、每次验证的标识符及其开始时间。我们绝不会获得证件、照片，或证件上的姓名及其他信息，也不保存其中任何内容。Stripe 根据其自己的隐私政策处理这些信息。验证记录会随您的账户一并删除。

通话说明

如果您为即将呼叫的人播放说明，我们会根据您的姓名、公司通话时的公司名称以及将呼叫对方的号码生成其音频，并将该音频保留最多 30 天，以便无需重新生成即可再次播放。每次播放都会计入每小时限额（使用您账户 ID 的带密钥哈希值，保留一小时），并为核算我们的成本而记录（时间、类型和朗读的字符数）。对方的电话号码仅用于选择要读出的来电显示号码，不会被存储。

对方邀请链接

如果您为对方生成邀请链接，我们会存储您的姓名和语言、对方的姓名、完整号码和语言，以及对方在页面上的回应（接受、拒绝或屏蔽）、回应时间和页面显示所用的语言。链接本身仅以哈希值存储。

已屏蔽的号码

如果对方在通话中按 3，或通过电子邮件要求我们屏蔽，我们会存储其号码和屏蔽时间，以确保 Callingual 不再为任何人呼叫该号码。如果对方在邀请页面上选择“屏蔽”，我们会将其号码和屏蔽时间与创建该邀请的账户一起存储，使该账户无法再呼叫该号码。

登录

• 登录会话：存储在 Cookie 中的随机令牌，我们仅以哈希值存储，并记录会话开始、最后使用和结束的时间。
• 您的密码，仅以加盐的 scrypt 哈希值存储。如果您开启两步验证：身份验证器应用的密钥（加密存储）、您的恢复码（仅以哈希值存储），以及您登录过的浏览器（一个仅以哈希值存储的随机值）。密码重置链接仅以哈希值存储，30 分钟后失效。
• 通过电子邮件发送的一次性验证码，仅以哈希值存储（短信验证码由 Twilio 保存），以及接收验证码的地址或号码。
• 邀请链接，仅以哈希值存储，以及受邀的电子邮件地址。
• 您的 IP 地址和电子邮件地址，短期保存，用于限制可请求的验证码数量。

公司账户

对于公司账户：公司名称、账单地址和税号、成员及其角色和每月上限、邀请（电子邮件地址、角色和发送时间；链接仅以哈希值存储）、公司的额度和购买记录及购买人，以及公司账户的变更日志（谁在何时做了什么）。当成员的通话由已验证的公司付款时，在对方接受之前，会向对方说出公司名称和成员姓名。

公司验证：为确认是否可以向成员呼叫的人说出公司名称，我们会保留公司的域名、证明方式（发送到工作邮箱的验证码，或 DNS 记录）、接收验证码的工作电子邮件地址、证明时间和必须重新检查的时间、我们对名称的审核及其结果（批准时记录播报的确切名称，拒绝时记录原因），以及对方屏蔽或举报由该公司付款的通话的次数。验证码本身在使用或过期之前仅以单向哈希值保存。我们使用这些信息防止他人声称代表其并不代表的公司来电；这些信息在公司账户存在期间保留，其历史记录是公司变更日志的一部分（第 9 条）。

公司账户关闭后，其成员将被移除，待接受的邀请会在过期后删除，其验证也随之结束，因此其他公司可以验证同一域名。其通话和账单记录按第 9 条规定的期限保留，原所有者可在 90 天内下载其使用情况报告。如果我们转移公司账户的所有权，新所有者可以像任何所有者一样查看公司的记录。

对于成员由公司付款的每通电话，公司的所有者和管理员可以看到：日期和时间、成员的姓名和电子邮件地址、所拨号码的后四位、目的地国家/地区、结果、接通时间、计费分钟数和费用（也可作为电子表格下载），以及每个成员本月的消费。他们看不到成员由自己额度付款的通话、对方的姓名、完整号码或语言，也看不到通话中所说的任何内容（我们不保留，见第 4 条）。成员只能看到自己的公司通话。成员退出后，其之前的公司通话仍保留在公司记录中。

自动充值（此前的设置）

自动充值已不再提供，也不会产生新的扣款。如果您此前开启过该功能，我们会保留您选择的额度包、阈值和每月上限，您同意的确切条款、其版本、您同意的时间和同意时使用的 IP 地址，保存您付款方式的 Paddle 订阅，以及每次充值（时间、金额以及是否已扣款）。

您对 Callingual 说的话

为查找和修复故障，我们会保留 Callingual 在通话中所说内容的文本记录，以及双方接通之前呼叫者对 Callingual 本身所说内容的文本记录：电话拨入菜单中的回答和选择、对方关于语言和对提示的回答，以及您在支持热线上所说的话。数字序列、用英语说出的数字和电子邮件地址会在文本存储之前删除，PIN 码和通过键盘输入的号码绝不会存储。双方接通后记录即永久停止：双方相互所说的任何内容都不会保留。我们还会保留每次通话的服务事件，例如时间、静音、重试和错误，其中不含任何话语。两者都与通话关联，仅我们的网站管理员可以查看，并在一年后删除。

推荐计划

如果您打开推荐链接，我们会记录此次访问并设置 cl_ref Cookie（第 8 条）。如果您通过推荐链接或代码创建账户，我们会记录推荐您的人、该链接以及其提供的任何折扣。如果您加入推荐计划，我们会保留您的链接及其代码、标签、访问次数和注册次数，您接受的协议版本以及接受时间、IP 地址和浏览器，从每位被推荐客户的银行卡扣款中赚取的佣金，以及向您支付的款项。付款通过 Stripe Connect 进行：Stripe 收集您的身份、银行和税务信息，并在需要时出具税表；我们保留您的 Stripe 账户 ID 及其状态。推荐人只能看到每位被推荐客户的编号、注册日期和带来的佣金，绝不会看到姓名、电子邮件地址、电话号码或通话。

支持请求

当您向我们发送支持请求时（联系我们页面的表单或 账户 → 支持请求 下的表单），我们会保留您的姓名、电子邮件地址、页面语言、您填写的内容以及我们的回复。登录状态下发送的请求会关联到您的账户，因此我们的支持人员在回复时可以查看您的余额、近期通话、电话拨入设置和公司账户。未登录状态下发送的请求不会关联到任何账户，即使某个账户使用相同的电子邮件地址也是如此。

网络服务器日志

我们的服务器可能会记录请求的技术细节，例如 IP 地址、时间、请求的地址和浏览器，以保障本服务的安全并查找错误。

4. 我们不存储的内容

不存储通话音频，也不存储对话的文字记录或译文。双方相互所说的话在通话进行时发送给我们的语音和翻译服务商（第 7 条），Callingual 不会保留。我们无法回放或提供对话记录。呼叫者在接通之前对 Callingual 本身所说的话会以文本形式保留（第 3 条，“您对 Callingual 说的话”）。

5. 如果您接到了电话

• 账户持有人输入了您的姓名、号码和语言。我们呼叫您时，您会听到其姓名（如果通话由已验证的公司账户付款，还会听到公司名称）以及通话由 AI 翻译，并由您选择是否接受。通话记录会注明播放的是哪个版本的提示。
• 如果您拒绝或未接听，通话即结束。账户持有人会听到您未接受；但不会被告知您是否屏蔽了他们。
• 要停止 Callingual 对您号码的所有来电，可通过电子邮件把号码发给我们（第 11 条）。在 Callingual 来电时按 3，会停止该来电者以及该通话计费的公司的来电；在邀请页面上选择“屏蔽”会停止发送该邀请的账户的来电。通话期间，您可以按 *7 举报该通话。屏蔽或举报会与通话一起记录，并计入该通话计费的账户和公司。
• 对方可以位于价格页面上列出的任何国家/地区，目前为：美国、加拿大、墨西哥、英国、法国、西班牙、意大利、荷兰、德国、日本、爱尔兰、葡萄牙、比利时、奥地利、瑞士、波多黎各、哥伦比亚、巴西、韩国和中国香港特别行政区。无论对方身在何处，本政策都适用。

位于欧洲经济区、英国或瑞士的对方

• 以 Callingual 名义经营的 Angry Pixie Electronics LLC 是本政策所述有关您的信息的控制者。联系方式：support@callingual.com。
• 我们使用您的号码、账户持有人输入的姓名和语言以及您的回应，来拨打账户持有人请求的电话、保障本服务的安全（通话限制和屏蔽）以及用于账单记录。法律依据是我们和账户持有人拨打一通您可以接受或拒绝之电话的正当利益。
• 只有在您按 1 之后才开始翻译。按 1 即表示您同意在通话进行时由我们的语音和翻译服务商（第 7 条）处理您所说的话。您可以随时挂断电话以撤回同意。
• 您在对话中所说的任何内容都不会被录音或保留（第 4 条）。您在接通之前对 Callingual 的回答（例如您的语言以及您是否接受）会以文本形式保留一年（第 3 条）。我们保留的通话信息（第 3 条：您号码的后四位、完整号码的单向哈希值、您所在的国家/地区、语言、账户持有人输入的姓名、结果和时长）按第 9 条所述保留。屏蔽记录会一直保留，直到您要求我们解除。
• 您的信息在美国处理（第 14 条）。您享有第 11 条所述的权利，并可以向您居住或工作所在地的数据保护机构投诉。

6. 我们如何使用信息

• 创建和运营您的账户、为您登录并验证您的电话号码。
• 拨打并翻译您请求的通话。
• 从您的银行卡扣除通话费用，显示您未结算的通话、扣款、收据和任何剩余额度，执行使用限额以及（如您要求）身份验证，并处理退款和付款争议。
• 发送服务邮件：登录验证码、此前购买的额度到期前 30 天的提醒、您的银行卡扣款失败时的通知、公司账户邀请，以及有关这些政策或本服务的通知。
• 防止滥用：通话和消费限制、屏蔽号码、在播报前验证公司名称以及调查滥用举报。
• 使用上述诊断日志、服务事件以及呼叫者对 Callingual 所说的话查找并修复故障。
• 履行法律、税务和会计义务。

我们不会将您的信息用于广告或用户画像。

7. 谁处理数据

我们仅在以下情况下共享个人信息：与下列服务商共享，由其代表我们处理以运营本服务；法律要求时，或为保护他人或我们的权利、人身安全或安全时；以及在本服务被出售或合并时，按照本政策与继任者共享。

Stripe 根据其自己的隐私政策，在其银行卡页面（Stripe Checkout）上收集银行卡信息，在其验证页面（Stripe Identity）上收集身份证件，并可能在那里设置自己的 Cookie。Paddle 根据其自己的隐私声明保存此前购买的记录。

8. Cookie

本服务设置以下 Cookie，均为登录所需：cl_session 保存您的登录会话（脚本无法读取）；cl_in 仅用于告知网站菜单您已登录；cl_dev 记住此浏览器曾登录过您的账户，以便我们在新浏览器上要求通过电子邮件发送的验证码（保留 400 天）；cl_step 保存未完成的登录步骤 15 分钟。cl_session 和 cl_in 在会话结束或您退出登录时失效。我们不使用任何分析、广告或追踪 Cookie。 cl_ref 保存您打开的推荐链接及打开时间，为期 30 天，以便您创建的账户记在分享该链接的人名下。

9. 我们保留多长时间

• 账户信息：在您的账户存续期间保留。
• 登录会话在最后一次使用 30 天后结束（通过邀请开始的会话为 90 天）。一次性验证码 10 分钟后过期。会话、已发送验证码和邀请的记录在其结束或过期一年后删除。
• 通话记录：对方的姓名、对方号码的后四位和密钥哈希值、语言、诊断日志（包括对方听到的是哪个提示）以及通话的使用次数统计，在通话一年后删除。保留的是该通话的账单记录：通话时间、时长和结果、目的地国家/地区、费率、费用以及付款的账户或公司。
• 账单记录（如上所述的通话、从您银行卡的扣款、额度、购买、退款、拒付，以及包含您所同意条款的自动充值）：出于税务目的保留七年，账户删除后亦然，之后删除。您关闭的自动充值记录在关闭七年后删除。
• 对方邀请页面及对方的回应：邀请生成一年后删除。
• 我们管理员的操作记录、公司账户的变更记录以及收到的付款通知记录：一年。
• 用于限制登录验证码和电话拨入通话的计数：最多两天。
• 网络服务器和服务日志：最多一年。
• 呼叫者对 Callingual 说的话以及通话的服务事件：一年，之后删除。
• 已屏蔽的号码：直到号码所有者要求我们解除屏蔽。
• 计入账户或公司的对方屏蔽和举报：一年。
• 支持请求：最后一条消息之后或请求关闭后保留一年，然后删除。
• 电话拨入设置和联系人：直到您更改或删除它们，或删除账户。

10. 删除您的账户

您可以在“账户”中删除账户。届时我们会删除您的电子邮件地址、姓名、语言、电话号码、会话、验证码和身份验证记录。未使用的额度将被放弃。通话记录会作为账单记录保留，但不含您的账户信息和您输入的对方姓名；额度记录也会作为账单记录保留，但不含您的账户信息。对方邀请记录不与账户关联，不会随账户一并删除。Stripe 和 Paddle 会保留其自己的付款记录。

11. 您的选择和权利

您可以在“账户”中查看和更改您的姓名、语言和电话号码，并在控制面板中查看您的通话和扣款。根据您居住的地区，您可能有权要求访问、更正或删除您的个人信息，反对我们使用这些信息的方式，限制其使用，或获取其副本。对方也可以就账户持有人输入的有关他们的信息提出同样的要求。写信至 support@callingual.com。我们可能需要确认请求来自您本人。

12. 安全

与本服务的连接均经过加密。密码仅以加盐的 scrypt 哈希值存储；登录令牌、一次性验证码、恢复码、密码重置链接和邀请链接仅以哈希值存储；通话记录中不存储对方的完整号码。没有任何在线服务是绝对安全的；如果我们得知您的个人信息遭到未经授权的访问，我们会通过电子邮件通知您。

13. 儿童

本服务不面向 18 岁以下的人。我们不会故意收集儿童的个人信息。如果您认为有儿童拥有账户，请联系我们，我们会将其删除。

14. 数据在何处处理

我们在美国存储数据。如果您在美国境外（包括作为对方），您的信息会被传输到美国并在美国处理。我们的服务商可能会根据其自己的保护措施在其他国家/地区处理这些信息。

15. 本政策的变更

我们可能会更新本政策。重大变更生效前，我们会通过电子邮件通知账户持有人，上方的“最后更新”日期也会随之更改。