1. 谁处理您的信息
本政策适用于层绘 LumePly 官网账户、Photoshop 插件和相关云端服务中的个人信息处理。运营和个人信息处理主体为杭州象阔科技有限公司，个人信息保护联系邮箱及受理入口：support@lumeforth.com；
我们说明为实际功能处理哪些信息、为什么处理、向谁传输、保存多久以及如何行使权利。对尚未启用的功能，只有在正式启用并完成所需告知和合法处理条件后，才按对应范围处理信息。您可以在提供可选信息前作出选择。
2. 信息清单、目的和处理基础
我们根据不同操作分别确定合法处理基础：账户及您主动请求的服务，限于订立、履行服务合同必要的处理；法律规定的记录和保护措施，限于履行相应法定义务；可选设置或额外用途，在需要时取得您的自愿、明确同意。依法需要单独同意、监护同意、专门告知或影响评估的，另外办理，不能由一个注册勾选概括代替。
| 场景 | 处理的信息 | 用途、必要性和选择 |
|---|---|---|
| 邮箱注册和登录 | 邮箱地址、验证码核验状态、验证时间、内部账户编号、注册时间、条款及隐私版本与确认时间 | 验证邮箱控制权、创建及保护账户、发送必要安全通知、保留确认事实。邮箱是当前注册必需信息；浏览公开介绍页无需提供邮箱。不收集手机号用于新注册。 |
| 出生日期 | 新用户提供的出生年月日、确认时间及年龄门槛通过记录 | 用于判断注册年龄和提供相关服务。通过年龄校验并注册成功后与账户一同保存；未通过者不创建账号或保存完整生日。已有账号无需补填。生日不公开展示，仅本人可查看及申请更正、导出或删除；不用于营销短信。未来生日活动仅在访问官网时展示，当前尚未提供活动功能。 |
| 可选资料和安全设置 | 自愿填写或服务端随机生成的称呼、邮箱变更时间；自愿设置的恢复证明及状态 | 称呼用于显示，未填写时生成稳定随机称呼并允许本人修改；恢复证明用于账户恢复。称呼和恢复码非首次注册必填；更换邮箱需完成原邮箱和新邮箱验证，无法访问原邮箱时通过支持渠道处理。 |
| 推荐与准入 | 您填写的推荐码、来源关系、您的可分享码、资格与奖励记录 | 执行实际公布的推荐及内测资格规则、防止同一活动重复领取。不公开被推荐人的联系方式，不将推荐码当作营销授权。推荐码选填；内测准入单独判断。 |
| 登录安全和插件连接 | 请求 IP 及用于限流／风险判断的摘要，客户端类型、设备显示名称、安装标识摘要、会话和可信设备编号、创建／使用／失效时间、失败事件、浏览器连接请求及批准状态 | 认证、限制滥用、撤销会话、将本次浏览器操作安全连接到指定插件。当前风险机制并非完整的位置追踪、SIM 回收识别或第三方反欺诈系统。 |
| 图像修改及扩图 | 您提交的原图或操作所需图像区域、上下文像素、选区蒙版、局部修改提示词、尺寸和处理参数；生成结果、任务编号、供应商任务编号、状态、时间和积分流水 | 上传、校验、必要转换、调用对应模型、返回并允许再次领取结果、避免重复扣分及核查故障。扩图接口不发送文字提示字段；不因使用插件便上传整个电脑或所有 Photoshop 文件。 |
| 支持、申诉及工单 | 您主动提交的联系方式、问题正文、补充、附件、处理状态和必要回复 | 核实账户归属、解决问题和反馈进度。请只提供必要材料；当前申请收集或状态页面不等于运营人工恢复机制全部就绪。 |
| 数据权利申请 | 本人核验结果、导出／删除／注销请求编号、范围、状态、时间、必要处理回执及文件摘要 | 防止他人取得您的资料、处理申请及证明执行结果；内部对象定位不作为普通下载内容。当前部分自助功能未在生产启用，不影响您依法提出请求。 |
| 付费、退款和发票申请 | 订单商品、金额、积分批次、会员起止时间、付款／退款状态和渠道回执；您申请开票时提供的抬头、税号等必要项目 | 用户可使用已开放的微信、支付宝付款及邮件申请退款；记录用于交易、履约、原路退款及必要财务事项。支付密码和银行卡完整信息由支付渠道处理，我们不因收款而取得这些信息。开票通过支持邮箱申请，尚非自动开票。 |
当前新注册要求设置密码，支持邮箱验证码登录和密码重置。服务器保存随机盐、不可逆密码散列及格式与归一化版本，不保存可直接读出的密码。历史账户的随机占位字段不视为已设置的可登录密码，不擅自改变旧格式。 密码、验证码和恢复凭据不进入普通数据导出。
登录邮箱在身份实现中加密存储，并以专门摘要用于查重；摘要、账户编号和脱敏显示仍可能关联到个人，不因此成为匿名信息。验证码核验保存摘要，必要的待发送内容在发送流程中受加密保护；验证码发送及服务商回执需要分别记录，不把“已受理”视为本人已阅读。
我们不以本政策获得广告画像、批量通讯录、持续精确位置、公开展示素材或模型训练的概括授权。若以后拟增加用途，应先说明范围、必要性及选择方式，并依法取得相应授权。拒绝非必要处理不应妨碍与之无关的基本功能。
3. 图片和提示词如何流转
当您主动提交任务时，插件按操作提取图像及蒙版并上传到私有对象存储。服务端仍需读取、校验及转换必要图像，再向对应模型服务提交所需素材和参数；生成结果经校验保存后供本人领取。因此，“直传存储”不代表图片完全不经过我们的服务器。
当前局部修改使用即梦／火山引擎，存储使用腾讯云 COS。阿里云百炼扩图尚未开放；不能将待开放功能写成当前会发生的传输。不是默认失败后自动把相同素材转交所有厂商。具体接收方和处理范围见下一节。
我们处理您提交的内容是为完成所请求服务，不因提交而取得素材的所有权或公开传播许可。不把您的输入和输出用于我们的独立模型训练、营销展示或出售；如拟另作这些用途，必须另行建立合法依据与明确的可选授权。即梦／火山引擎的标准专用条款约定不将输入和输出用于模型训练或优化，但书面授权、排查问题、法律要求及内容审核等约定情形除外。 这不等于第三方从不留存数据；其处理还适用即梦AI服务专用条款。
图片和自由文本可能包含人脸、证件、健康、金融、位置、儿童等信息。我们不因提供普通图像功能便将其作为身份识别或建立人脸库；但上传内容若涉及敏感个人信息，仍需核对具体目的、充分必要性、个人权益影响及合法授权。普通上传动作不能替代依法应取得的单独同意。相关专门处理机制未落实前，请勿向测试服务提交此类素材。
4. 第三方接收方和处理方式
我们按您使用的具体功能向下列接收方提供必要信息；不会仅因注册便把图片同时发送给所有模型厂商。云服务及模型能力通过厂商官网标准服务采购。
| 接收方及功能 | 必要信息和目的 | 处理范围与说明 |
|---|---|---|
| 腾讯云计算（北京）有限责任公司：SES邮件、COS及云计算 | 注册及登录邮箱、验证码参数及必要安全通知；账户服务数据、图片、蒙版、结果、必要请求元数据和加密备份 | 支持验证、计算、私有存储和灾备；标准服务协议。不以验证码作营销；当前注册不调用短信服务。 |
| 北京火山引擎科技有限公司：即梦AI局部修改 | 必要原图、蒙版、提示词、图像参数和模型任务标识 | 用于生成与查询任务，适用即梦AI服务专用条款及火山引擎服务条款。 |
| 微信支付／财付通支付科技有限公司 | 所选商品、订单编号、金额及付款退款所需交易参数；向我们返回支付状态、渠道交易编号和必要付款方标识 | 仅在您选择微信支付及相关退款时处理；财付通隐私政策。 |
| 支付宝 | 所选商品、订单编号、金额及付款退款所需交易参数；向我们返回支付状态、渠道交易编号和必要付款方标识 | 仅在您选择支付宝及相关退款时处理；支付页面展示相应支付服务主体和隐私规则。支付密码与完整银行卡资料由渠道处理。 |
阿里云百炼扩图目前未开放，不属于当前图像传输接收方；启用前另行告知实际主体、数据范围和适用规则。Adobe Photoshop是您另行使用的宿主软件，插件在本机读取操作所需图像并写回结果；Adobe自身处理适用其规则，本表不表示我们向Adobe后端发送您的层绘邮箱或任务素材。
对受我们委托处理的信息，应以合同明确目的、期限、信息种类、安全及返还／删除要求，监督其处理，不允许超出约定用途或未经许可转委托。对依法属于向其他个人信息处理者提供的信息，应告知具体接收方并依法取得单独同意；不能只因叫“服务商”就一律认定属于委托处理。
不会因注册或本政策将您的个人资料默认公开或出售。依法须向主管机关提供时，应核验权限和范围，仅提供必要信息。发生经营主体变更涉及资料转移时，依法说明接收方并要求继续履行义务；改变用途依法另行处理。
5. 保存期限与删除边界
出生日期在账户存续期间保存，用于上述服务；账户注销完成时按个人资料清理规则删除。生日不作为依法留存的订单、退款或财务记录的必要字段，不随财务记录长期保存。备份中的生日适用本政策的备份轮转和恢复后删除重放规则。本人可在账户中心查看；如需更正，请联系 support@lumeforth.com 核验后办理。
我们按实现具体目的所必要的最短时间保存信息。法律有明确义务的，按相应类别和起算规则保存，不能将“可能有用”“便于对账”作为全部数据无限期留存的理由。
| 类别 | 保存规则及确定方法 | 到期、注销或请求后的处理 |
|---|---|---|
| 已保存生成结果 | 保存完成起 7×24 小时可取回；再次领取不延期，显示确切截止时间 | 到期立即停止正常领取，后台异步清理，失败需重试。文档中的八天对象生命周期是孤立文件兜底，不扩大七天取回窗口，也不证明所有副本准时消失。 |
| 上传原图、蒙版和校验输入 | 按分类清理规则，任务可靠终态后24小时；未绑定或创建前中断材料以服务端登记形成起24小时 | 在途、未知结果、有效上传授权和必要读写活动保护。到期停止普通使用并异步删除，未知历史起点及未核定副本先核实，不承诺所有字节在同一时刻物理消失。 |
| 导出下载包及暂存 | 后台 ZIP 设计为自申请起 24 小时可下载；正式入口目前关闭，导出副本不延长源结果有效期 | 到时拒绝下载；清理须考虑已开始的准备／下载、失败重试和失联副本，不能承诺所有字节在同一时刻物理消失。 |
| 账户资料、联系方式和安全凭据 | 在维持有效账户与您选择的安全设置所必要期间；会话和可信设备各有失效／撤销时间 | 不因会员到期或退出登录删除正常账户。 |
| 提示词与普通任务记录 | 成功提示词随保存结果7天；失败或取消提示词可靠终态后7天。普通任务资料在可靠终态且结算完成后180天 | 清除正文与不必要元数据；对账必须的编号和账务关联骨架按其实际类别受限保留，不重复发奖或扣分。随机编号或身份摘要仍可能是个人信息，不宣称已匿名化。 |
| 普通工单及附件 | 可靠结案后正文1个日历年，附件30天 | 在途处理、有效读写和具体未了争议保护；法定或具体争议材料只保留必要部分并登记依据、期限和复核，不永久保留全部工单。 |
| 订单、退款、发票及会计档案 | 普通业务资料在权益结束且款项结清较晚时间后3年；无权益订单以可靠关闭且结清较晚时间起算。实际会计档案另按法律类别核定，不把每条业务记录视为必须保留30年 | 注销不影响依法必须保留的最小财务资料；不相关联系方式和自由文本应另行清理，访问限于合法用途。 |
| 法定相关网络日志 | 按实际适用类别至少6个日历月；期满无其他依据时清理 | 与普通频率计数分开，不把日志期限套到全部图片或提示词。 |
| 当前共享普通灾备 | 当前账户库已纳入加密备份；与运维看板共用的备份前缀已设置创建起30天生命周期。旧灾备、历史版本及其他副本仍须分别核对，不能据此承诺全部副本最多30天 | 备份不可用于日常处理；恢复先在隔离环境重放最新删除和安全撤销，再开放服务。共享备份不误删其他项目，完整全量及连续binlog链在替代恢复点验证前保留。 |
七天是结果及成功提示词的普通期限，不代表全部副本已在第七天物理消失。历史数据、第三方副本与共享备份需要分别处理。 尚未完成范围核对的历史副本限制访问和使用，逐项核定形成时间、保留依据和清理范围，不将其用于新的业务目的。提供或委托处理的必要记录、影响评估及法定财务档案按实际类别处理，不据其期限保留全部业务正文。
6. 存储地域和境外提供
当前生产账户服务器、数据库、私有图片存储和新云备份部署在腾讯云上海地域；邮件服务使用腾讯云SES。必要运维可能使用受限的加密恢复资料及设备副本，历史副本与第三方自身的处理地域仍需分别核对，不能把主服务器所在地视为全部处理链的所在地。
如确需向境外提供个人信息，应事先核对合法处理基础及适用出境条件，说明境外接收方、联系方式、目的、方式、信息种类及权利途径，依法取得必要单独同意并完成影响评估和适用手续。免予某项出境评估、标准合同或认证不等于免除告知、安全保护及其他依法适用义务。未落实前不新增相应出境处理。
7. Cookie、本地存储与安全
账户网页使用必要的认证和安全 Cookie，维持会话与限制未经授权访问；插件采用宿主的安全存储保存其登录凭据，并按 API 环境隔离。浏览器与插件会话用途不同，连接请求不应自动把普通浏览转为插件授权。您可退出登录、清除浏览器数据或使用实际提供的设备撤销功能；清除必要 Cookie 后可能需要重新登录。
账户入口使用以下必要存储，不将这些项目用于广告画像：
| 名称／位置 | 用途与期限 | 清理方式 |
|---|---|---|
| `__Host-lumeply` Cookie | 网页登录会话，按服务端会话到期时间失效；当前默认30天，可提前撤销 | 退出登录或清除网站数据；服务端撤销后即使保留Cookie也不能继续认证 |
| `__Host-lumeply-device` Cookie | 记住当前设备，最长30天且不超过对应服务端期限 | 清除网站数据或使用设备撤销功能 |
| `__Host-lumeply-recovery` Cookie | 继续账号恢复流程，通常49小时，按流程期限设置且最多7天 | 流程取消、完成相关操作或清除网站数据；过期后无效 |
| `lumeply-phone-installation:` 开头的 localStorage 项 | 按账户服务地址区分的随机浏览器安装标识；无自动到期时间 | 清除网站数据；不包含密码、邮箱验证码或登录令牌 |
| `lumeply-plugin-connection:v1:` 开头的 sessionStorage 项 | 继续本标签页的插件连接请求，受服务端请求有效期限制 | 完成／取消连接时清除，或关闭标签页；浏览器恢复标签页时仍以服务端期限为准 |
以上Cookie使用HTTPS、HttpOnly及SameSite限制。尚未开放的完整自助注销流程另有短期回执Cookie，不将其描述为当前已开放功能。用户可清除网站数据，但可能需要重新登录或发起连接。
我们采取与风险相适应的认证、加密、摘要、账户归属检查、访问限制及传输保护，并减少日志中的敏感内容。安全措施不能被解释为绝对无风险保证。发生或可能发生泄露、篡改或丢失，应依法及时采取补救、报告并按要求告知受影响个人。
为防止误操作和盗号，可以进行必要的追加身份核验，并提供原因说明及适当的申诉途径。对个人权益有重大影响的自动化决定，您依法享有说明及相关拒绝权利；当前失败事件限流不代表已部署完整自动反欺诈系统。
8. 您如何行使权利
您可通过support@lumeforth.com请求查阅、复制、更正、补充、删除、限制处理，撤回基于同意的授权、注销账户及要求解释；符合规定条件时可请求转移个人信息。我们应及时受理，核验必要的身份，并说明结果或未能处理的具体理由。由杭州象阔科技有限公司通过上述邮箱人工受理；没有账号或无法登录时也可使用该渠道。完成必要身份核验后，通常在15个工作日内答复处理结果；无法按期完成时说明原因、待处理事项和预计完成时间。不得因线上按钮尚未上线而拒绝受理合理请求。
基础记录导出包括实际可取得的本人账户、业务及安全记录；不包含密码散列、令牌、恢复码、验证码、服务商密钥或其他人的资料。基础 JSON 不包含图片文件；后台 ZIP 设计包含仍可取得的本人图像和公开附件，但尚未在生产开放，超过容量或需要补充范围时，可通过上述邮箱申请人工处理。已经到期或删除的图片不会为了导出重新生成。
您可撤回可选设置或额外用途的同意，不影响撤回前合法处理；如果撤回的是某项功能确需的处理，我们应说明该项功能为何无法继续，并保留无关功能。法定或其他独立合法依据的处理不简单随同意撤回而全部停止，应明确依据与边界。
注销应重新核验本人，说明在途任务、退款等具体待办。无法访问登录邮箱时可通过支持渠道核验身份，不强制先导出或购买服务，不设置没有具体依据的通用等待期。完整自助注销尚未开放，可通过上述邮箱申请并获取处理进度。现有前置检查、账户冻结、文件清理或账务清算不表示全部个人信息已经删除；完成情况以逐项处理回执为准。
完成注销后应撤销访问并删除或依法处理相关信息。法律规定保存期限未满或技术上暂难删除的，限制为存储和必要安全保护，明确类别、依据及期限／复核条件，不再用于营销、正常登录或新生成。您可依法向主管部门投诉或向法院寻求救济，无须以先结束内部申诉为前提。
9. 未成年人、更新和联系
层绘目前向年满14周岁的用户提供注册服务，未满14周岁暂不支持注册。新用户须如实填写出生日期，系统按北京时间判断注册当日是否已满14周岁；出生日期由用户自行提供，不代表已经完成实名或身份核验。14至17周岁用户应在监护人指导下阅读本协议和隐私政策，购买套餐应取得监护人同意。
本政策重大变化应以醒目、可达方式说明。新增用途、种类、接收方或其他依法需要重新同意的处理，先完成相应告知和授权，不把继续使用视为一切用途的同意。旧版应可供核对；纯文字更正不应被用来追溯扩大处理范围。
对本政策或您的资料有疑问、投诉或请求，请联系support@lumeforth.com。正式发布前我们必须核实这个渠道可以收件、核验身份并完成实际处理。