隐私政策

Nessie 处理哪些个人数据、出于何种目的，以及你可以要求我们对这些数据做什么。

本页面为译文，便于你以自己的语言阅读。如与英文版本有出入，以英文版本为准。

本文为草稿。它描述的是软件目前的实际行为，但尚未经律师审阅，Nessie 也尚未正式上线。

1. 自行托管还是 Nessie Cloud——这一点最先要弄清

Nessie 有两种形态，二者在隐私方面完全不同。在阅读其他内容之前，请先弄清你所了解的是哪一种。

• 自行托管。你在自己的基础设施上运行 Nessie。你的组织是其中一切数据的控制者。UnlikeOtherAI 无法访问你的实例，不从中接收任何内容，也不代表你处理任何个人数据。本政策描述的是软件的行为，以便你自行撰写自己的政策；它不会使我们成为你的处理者。
• Nessie Cloud。由我们运行。对于你的组织放入其中的个人数据，我们依照你的指示，作为处理者行事；你的组织是控制者。对于我们以自身名义处理的少量数据——账户管理、计费、支持往来和本网站——我们是控制者。本政策其余部分均针对 Nessie Cloud。

关于自行托管的情形，有一点需要说明。Nessie 是与其他服务通信的软件，因此你的实例会连接到你配置它去连接的任何服务：模型服务商、邮件服务商、搜索或浏览器服务。这些是你自己的合作关系，不受我们控制，也不在本政策的范围之内。

2. 我们是谁

UnlikeOtherAI s.r.o.，一家在捷克共和国注册的公司。关于本页的任何内容，请通过 hello@nessie.works 联系我们。

Missing: the company registration number (IČO) and the registered office address.

Missing: whether a data protection officer has been appointed, and their contact details if so. Nobody is named as DPO today.

Missing: the effective date of this policy.

3. 我们处理哪些个人数据，以及数据从何而来

身份信息，来自 UnlikeOtherAI SSO

Nessie Cloud 没有密码，也没有注册表单。你通过 UnlikeOtherAI SSO 登录，它是确认你的身份、你所属组织以及你所在团队的权威来源。Nessie 不创建账户，不允许你设置密码，并会拒绝更改你头像的请求，因为你的头像保存在 UnlikeOtherAI 中。你的姓名、电子邮件地址和个人资料均在那里更改。

Nessie 确实保留了其中一部分信息的副本，我们宁可如实说明，也不愿声称没有。其数据库保存了你稳定的 UnlikeOtherAI 主体标识符，旁边还有你的电子邮件地址、显示名称和头像 URL 的缓存镜像，这样显示上百行聊天记录时无需上百次查询就能呈现姓名。该镜像明确不具有权威性：没有任何环节会凭空生成值，也没有任何环节会把你的更改写回其中；每当你登录、切换团队或刷新会话时，它都会根据身份提供方经过验证的声明重新同步。你所在组织的实时成员名册会在显示时从 UnlikeOtherAI 读取，所经过的短期缓存绝不会被用来决定谁可以看到什么。彻底移除这些镜像字段属于已列入计划的工作，尚未完成。

我们还会持久保存：你所在组织和团队的 UnlikeOtherAI 标识符、你在其中的成员身份和角色，以及一份加密的 UnlikeOtherAI 刷新凭据和本地会话记录，以便你保持登录状态，也便于在退出登录时一次性撤销所有尚未失效的令牌。

你和同事放入 Nessie 的内容

消息、对话串和私信；文件和附件；知识库文档；任务、项目和频道；智能体的名称、角色和指令；你的状态和偏好设置。其中任何内容都可能包含关于你、你的同事或第三方（例如你的客户）的个人数据——这完全取决于你的组织写入了什么。

你的智能体在工作中接触到的数据

这一部分最值得关注，因为智能体能触及的范围比聊天应用更广。

• 已连接的邮箱。如果有人连接了邮箱——无论是个人邮箱还是团队共用地址——智能体就可以读取并代其发送邮件。来自已连接账户的邮件是从你的服务商处实时读取的：Nessie 保存凭据和审计记录，不导入邮件本身，断开连接后也不会留下任何复制的往来邮件。例外是你连接到 Clients 收件箱的邮箱，例如 sales@ 或 support@：在那里，你要求把对话与每位客户的记录保存在一起，因此 Nessie 会复制该邮箱的邮件，并附带一定限度的更早历史。无论哪种情况，在智能体处理某封邮件期间，该邮件的内容都在 Nessie 中，并会被发送给模型。所有给该邮箱写信的人都会受到影响，而他们从未同意过这一点。
• 托管的智能体邮箱。部署也可以改为给智能体分配其专属地址。发往该地址的邮件会存储在 Nessie 中：邮件会被解析，附件会被存储，而原始邮件会在一段可配置的时间（除非运营方更改，默认为 30 天）后从入站存储桶中删除。
• 网络与浏览器。智能体可以抓取网页、执行搜索并操作真实的浏览器会话。用户可以出借一个限定于指定网站的私有浏览器给智能体，最长十五分钟。Nessie 还会为智能体浏览器最后停留的每个标签页保留一张小型截图，以便产品展示——这意味着这些图像可能包含已登录页面的内容。
• 已连接的工具。你连接的 MCP 服务器、日历和其他集成会把数据返回到智能体的上下文中，这些数据会与其他所有内容一并发送给模型。

Nessie 保存的关于所发生事件的记录

• 审计记录。每一项控制平面操作都会被记录：由谁执行（人员、智能体或服务）、做了什么、针对什么、成功还是被拒绝及原因、请求 ID，以及（如可获得）IP 地址和浏览器 user-agent。该记录只能追加，并链接到每个组织各自的哈希链中，因此任何篡改都能被发现。密钥、凭据和完整的请求正文被有意排除在外。
• token 成本账本。每次模型调用都会记录服务商、模型、token 数量和估算成本，并归属到某个组织、团队、项目、频道、智能体和人员。
• 存储核算，以便随时掌握每个组织和每个人的存储用量。
• 会话和设备记录：经过哈希处理的会话令牌和刷新令牌、有效期、客户端类型和 user-agent，以及（如果你使用移动端或桌面应用）推送令牌。
• 故障诊断。托管应用会报告未捕获的 JavaScript 故障，包含标准错误类别和构建文件坐标。它不会发送错误消息、堆栈内容、页面 URL、对话内容，也不会发送 Nessie 的用户或组织标识符。iOS 和 Android 版本还使用原生崩溃报告，收集崩溃跟踪信息以及设备和安装元数据。

由你的内容衍生的数据

为了让智能体能够回忆信息并使搜索可用，Nessie 会把文本转换为数值向量（嵌入），并存储在其数据库中。这涵盖智能体记忆、知识库内容以及你的搜索查询本身。生成向量需要把文本发送给嵌入服务商。如果没有配置嵌入服务商，回忆和搜索将退回到普通的关键词匹配。

本网站

关于偏好设置 Cookie、分析功能以及用于首页标题的本地国家查询，请见第 9 节。

4. 我们为何处理这些数据，以及依据何种合法性基础

如果你的组织是控制者，那么将某个人的数据（例如客户的电子邮件）放入 Nessie 的合法性基础，应由你的组织而非我们来确立。

我们不出售个人数据，也不会利用你的内容向你投放广告。

5. 还有谁能看到这些数据

模型服务商——最重要的一项

智能体运行时，对话内容会被发送给语言模型。也就是说，消息、相关文件、它正在处理的邮件以及它所调用工具的结果都会离开 Nessie，到达你的部署所配置的模型服务商。不发生这一过程，就无法运行智能体。

具体是哪家服务商取决于配置。Nessie 可以与其代码中列明的一小组固定服务商通信，也可以与运营方指定的任何兼容 OpenAI 的端点通信，个人用户还可以连接自己的 AI 订阅，让其智能体在自己已付费的账户上运行。在 Nessie Cloud 中，调用会经由 UnlikeOtherAI 运营的网关路由，网关将其连同已签名的信息一并转交给上游服务商，这些信息标明该调用来自哪个组织、团队、人员、智能体和运行。网络搜索和深度研究也经过同一网关。

Nessie Cloud 使用多家推理服务商，用于聊天和嵌入，并在成本和质量之间进行选择。其中一些位于欧盟之外。组织将能够在 Admin 中选择其智能体可以使用哪些服务商：仅限西方服务商、仅限欧洲服务商、仅限中国服务商，或不设偏好——此时由 Nessie 为每项工作选用效率最高的服务商。

Missing, and required before launch: the providers in each group, whether any of them may use traffic for training, and the date the regional choice is available in Admin.

我们依赖的其他方

• 托管——Scaleway 和 Hetzner 等欧洲托管服务商，逐项服务选用。见第 6 节。
• 身份——UnlikeOtherAI SSO，它保存你的账户、个人资料和组织成员关系。
• 支付——你的订阅和账单由 UnlikeOtherAI 处理，银行卡付款由 Stripe 处理。Nessie 本身不存储银行卡信息、订阅或发票。
• 功能所需的服务。托管的智能体邮箱通过 Amazon SES 收发邮件。智能体的电话号码、通话和短信通过 Twilio 运行。Facebook 和 Instagram 的消息与评论通过 Meta 的官方 API 到达。云浏览器会话运行在 Browserbase 上。在应用中与你的助手进行语音通话时，会在你的设备与 Google 之间建立直接的音频连接；听写的消息则由 Google Speech-to-Text 通过我们的网关转写。智能体记忆由 remember.ninja 保存，这是我们自己运营的记忆服务。会议链接由你的组织选定的服务商生成——Google Meet、Jitsi 或 Microsoft Teams。移动端通知经由 Apple 和 Google 的推送服务发送，其中携带的是内部引用而非消息内容。
• 故障报告。经过净化处理的托管应用 JavaScript 错误会发送到 Sentry 的欧盟数据区域。原生 iOS 和 Android 崩溃报告会发送到 Google Firebase Crashlytics。这些服务商可能会处理传送和归类报告所需的网络和设备元数据。我们不会有意将 Nessie 的对话内容附加到这些报告中。
• 使用情况统计。Nessie 应用按天统计打开了哪些区域以及少数几项操作是否成功，不附带任何内容；国家信息从连接中读取后即被丢弃，每日合计数据会发送到 Google Analytics。你可以在 Your settings → Profile → Help improve Nessie 下关闭它。为了在你首次访问时选择语言，应用会向 GeoJS 查询你连接所在的国家。
• 你自行连接的任何服务——你的邮件服务商、你的 MCP 服务器、你自己的 AI 账户，以及 HubSpot、Mailchimp、LinkedIn 或 Xero 等服务。这些是你自己的合作关系，适用其服务商的政策。

Missing: a proper sub-processor list — every processor by legal name, what it does, where it processes data, and a way to be told before we add one. The list above is based on the current implementation, not a maintained register.

在法律要求时，以及向负有保密义务的专业顾问，我们也会披露个人数据。

6. 你的数据位于何处，以及向欧盟境外的传输

Nessie Cloud 运行在欧洲的托管服务商上——Scaleway、Hetzner 等。我们选用其中每一家提供的最佳服务，因此产品的不同部分可能运行在不同的服务商上，但全部位于欧洲。

有一种重要情形下，你的内容不会停留在这一范围之内：智能体运行时，请求会发送给模型服务商，而该服务商可能在欧盟境外处理。搜索、浏览器会话、语音通话以及你自行连接的任何服务也是如此。自行托管能让你掌控存储，但本身并不改变这一点——模型调用仍然会离开你的场所。

Missing: the transfer mechanism relied on for each non-EU processor — standard contractual clauses, an adequacy decision, or something else — and the transfer impact assessment behind it.

7. 我们保存多久

坦率地说：Nessie 没有自动的保留或删除计划。内容会一直保留，直到有人删除。审计记录被有意设计为只能追加，目前根本不会删除，因为防篡改日志的全部意义就在于条目不能悄无声息地消失。产品中没有自助数据导出，也没有自助删除组织的功能；当你要求我们导出或删除时，我们会手动处理。

我们能在代码中指出的例外情况：

• 托管智能体邮箱的原始入站邮件，在邮件导入后，会于一段可配置的时间（默认为 30 天）后从存储桶中删除。
• 临时的私有浏览器授权最长在十五分钟后失效。
• 身份缓存仅保存在内存中，在数秒或数分钟后过期；它们绝不是持久存储。
• Firebase 表示，Crashlytics 会将崩溃跟踪信息及相关安装标识符保留 90 天，之后开始清除。Sentry 的事件保留期取决于我们欧盟组织所配置的套餐。
• 断开已连接的邮箱后，不会留下任何复制的往来邮件，因为本来就没有保留。连接到 Clients 收件箱的邮箱中的邮件，会作为对话历史保留，直到被删除。

Missing: actual retention periods for content, audit entries, ledger entries, session records and backups, and a period after an account or organisation closes. We will not publish numbers the software does not enforce.

8. 如何保护数据

具体而言，且仅限代码中确实存在的措施：

• 密钥绝不会以明文形式存放在数据库中。客户密钥存入专用密钥库；若未配置密钥库，Nessie 会拒绝保存，而不是退回到明文存储。个人 AI 订阅凭据存入另一个独立的密钥库，因此限定于其中一个的身份无法读取另一个。刷新凭据、连接器令牌和推送密钥以 AES-256-GCM 信封的形式存储，使用可轮换的、带版本的密钥环。
• 密钥材料不会交给模型。智能体可以知道某个密钥存在，并被允许使用它，但其值绝不得进入提示词、工具参数、工具结果、记忆、嵌入、日志或通知。智能体永远不会被授予泄露密钥的权限。
• 扫描器会拒绝包含凭据的消息，既在编辑框中检查，也在服务器端再次检查，并且能够追溯清除已发布的凭据——包括从该消息所生成的智能体记忆中清除。
• 审计记录可检测篡改，按组织用 SHA-256 串成链，事后可以验证。
• 智能体只能看到授予它的内容，而且智能体读取过什么会限制谁可以阅读它的回答，因此来自私有来源的材料无法被“洗白”后进入公开房间。
• 出站请求锁定 IP，并在每次重定向时重新验证，因此由模型或用户提供的地址无法被重定向到内部基础设施。
• 上传照片中的位置元数据会被去除（EXIF 和 GPS），在文件存储的唯一环节进行，除非组织将其关闭。
• 所有数据在传输中均已加密，访问权限按角色在组织、团队和项目层级划定范围。

没有任何安全措施是完美的。如果你发现问题，请通过 hello@nessie.works 告知我们。

Missing: whether backups are encrypted and where they are held, and our breach notification commitment — how quickly we tell a customer after we become aware of a personal data breach.

9. Cookie 与本网站

为了选择首页标题，我们的服务器会根据本地数据库核对你连接的 IP 地址所属国家。不会向任何外部地理定位服务发送 IP 地址。查询结果不会保存在你的浏览器中。本产品包含 MaxMind 创建的 GeoLite2 数据，可从 MaxMind 获取，遵循 CC BY-SA 4.0 许可协议。

全部内容如下：

• 你的 Cookie 选择存储在名为 nessie-cookie-consent 的第一方 Cookie 中，设置在 nessie.works 及其子域名上，有效期一年，因此回答一次即可。它只包含一个值——你是否允许分析——不含任何标识符。在 Cookie 被阻止的情况下，浏览器的本地存储中还会保留一份副本。服务器不会读取其中任何一个。
• 偏好设置 Cookie nessie-device-colour 用于记住你在首页上为电脑选择的颜色。它是第一方 Cookie，有效期一年，内容为一个颜色名称。
• 除非你主动开启，否则分析功能处于关闭状态。Cookie 栏提供选择，我们会记住你的答复，而拒绝不会让你付出任何代价。我们的分析工具是 Google Analytics，在本网站上，只有在你允许之后它才会运行。

未经你许可，不会有任何跟踪脚本、广告像素或任何类型的第三方标签。你可以通过页脚中的 Cookie 链接重新打开该栏并改变主意。Nessie 应用发送的使用计数见第 5 节。

Missing: what Google Analytics stores for this website and for how long.

登录产品会设置 Cookie 并存储令牌，这些是保持你登录状态所严格必需的。它们不是可选的，也不会用于跟踪。

10. 你的权利

如果 GDPR 适用于你，你可以要求我们：

• 告知我们持有你的哪些个人数据，并向你提供一份副本；
• 更正任何有误的内容；
• 删除这些数据；
• 限制或反对我们使用这些数据的方式，包括我们基于正当利益所做的任何处理；
• 以机器可读的形式将其转移至另一项服务；
• 在我们依赖同意的情况下撤回同意，对我们而言即分析类 Cookie。

请写信至 hello@nessie.works。我们将在一个月内答复。

有两点需要坦率说明。第一，如果你的组织使用 Nessie Cloud，那么其中内容的控制者是你的组织——因此对于你的消息和文件，我们通常会把你的请求转交给他们，并依其指示处理。直接向他们提出，你会更快得到答复。第二，你的账户本身位于 UnlikeOtherAI SSO 中，因此关于你的姓名、电子邮件地址或个人资料的请求，实际上应向该服务提出；我们会为你指明方向。

Nessie 不会对你作出具有法律效力或类似重大影响的自动化决策。智能体生成草稿、建议和操作；智能体无需人员批准即可做什么，是由你的组织控制的设置。

你也可以向数据保护监管机构投诉——在捷克共和国是个人数据保护办公室（Office for Personal Data Protection），或者是你居住或工作所在的欧盟国家的监管机构。我们希望你先来找我们。

11. 儿童

Nessie 是面向组织的工具，不适用于儿童。我们不会有意通过它处理任何 16 岁以下人员的个人数据，也不会将其任何部分面向儿童。如果你认为某位儿童的数据进入了 Nessie Cloud，请告知我们，我们会将其删除。

12. 本政策的变更

随着产品的变化，我们会更新本页——而且它一定会变化，因为上文有几个部分明确指出某些内容尚有缺失。当某项变更对你产生实质性影响时，我们会明确告知，而不是悄悄修改页面，更新后的版本将注明日期。

Missing: how we notify customers of a material change, and whether earlier versions of this policy will stay available.

13. 联系方式

hello@nessie.works，用于隐私问题、权利请求以及本页的其他任何事项。

Missing: an EU representative under Article 27, if one is required and appointed. None is appointed today.