AI伴学隐私政策
杭州万物生色科技有限公司（地址：浙江省杭州市临安区锦城街道横潭村观锦街372号，邮箱：support@gaoerji.net）运营 TubePal AI。本政策说明本应用实际处理的数据。
我们处理的数据
- 账号：用户主动选择 Google 登录后，Firebase Authentication 处理账号标识、邮箱、显示名称和头像。业务数据库只保存由 Firebase UID 单向派生的内部标识，不保存原始 UID、邮箱或头像。
- 伴学记录：问题、AI回答、YouTube 视频 ID/标题、播放时间戳、语言、模型、缓存来源和错误状态保存在 Cloud Firestore，用于跨设备历史、缓存和服务恢复。
- 语音：只有用户主动开始语音会话时才访问麦克风。Gemini Live 模式把实时音频直接发送至用户选择的 Gemini 服务；项目网关不保存原始音频、PCM 或 AEC 数据。本地离线识别启用时，音频仅在设备处理。
- 个人 API Key：BYOK 密钥由 Android Keystore 加密保存在设备，只发送到用户选择的官方 AI 服务端点，不上传到我们的网关、Firebase 或 Firestore。
- 搜索与播放：搜索词通过我们的 HTTPS 网关发送至 YouTube Data API。视频由可见的官方 YouTube IFrame 播放器播放；应用不下载视频、不提取音轨、不绕过 DRM。
- 诊断：Google Play 版本使用 Firebase Crashlytics 处理崩溃、ANR、应用版本和必要的设备诊断标识，用于稳定性修复。
目的、共享与跨境处理
我们仅为登录、播放与搜索、AI伴学、历史同步、安全防滥用、故障诊断和用户支持处理数据。数据会按功能发送给 Google Firebase、YouTube、Gemini，以及用户主动配置的 AI 提供商。Firestore 的项目区域为美国洛杉矶（us-west2）；AI 提供商可能在其全球基础设施处理请求。各提供商也受其自身条款和隐私政策约束。
我们不出售个人数据。支持广告的 Play 版本使用 Google AdMob 与 UMP；根据适用的同意选择和广告配置，SDK 可能处理广告/设备标识、IP 地址推断的大致位置、广告展示与互动、诊断数据。可在设置中的“广告隐私选项”查看或调整可用选项。我们不会把问答内容、麦克风音频或 Gemini Key 作为广告定向参数发送。
去除 APP 广告通过 Google Play 一次性购买，没有自动续费。购买 token 只通过加密网络交给服务器和 Google 验证，服务器保存 token 哈希、商品、购买与权益状态和核验时间；不保存银行卡资料或明文购买 token。购买与账号通过哈希标识绑定，防止跨账号冒领。删除账号会删除私人权益记录，但不会删除 Google Play 订单或自动退款。
保存、安全与用户选择
账号和私人伴学记录保存到用户删除账号。滚动式安全日志通常不超过30天。与个人账号无关的公开视频章节、概念、公式和画面描述缓存可继续保留，供其他用户复用。我们使用 TLS、Firebase ID token、最小化数据库规则、Android Keystore 和受限服务器凭据保护数据。
用户可关闭麦克风、本地离线识别、本地 TTS，可删除本地 API Key，可在设置中退出或删除账号。账号删除会移除 Firebase Authentication 用户及其私人 Firestore 对话、问题、回答、额度和会话绑定，并清理设备本地历史、待同步数据和密钥。
儿童、权利与联系
本服务不面向13岁以下儿童独立使用；未成年人应在监护人指导下使用。用户可通过账号删除页请求访问、更正或删除相关数据。我们可能为履行法律义务、解决争议或防止滥用保留最少必要记录。
TubePal AI Privacy Policy
TubePal AI is operated by Hangzhou Wanwushengse Technology Co., Ltd. We process Google/Firebase sign-in data after consent; study questions, answers, YouTube identifiers and timestamps in Cloud Firestore; microphone audio only during a user-started voice session; and crash diagnostics through Firebase Crashlytics. BYOK credentials stay encrypted on the device and are sent only to the selected official AI provider. We do not capture or download YouTube media, sell personal data, or store raw microphone audio on our gateway. Firestore is located in us-west2 (Los Angeles). Users can sign out, remove local keys, or delete their account and private study records. De-identified public-video knowledge may remain. Contact support@gaoerji.net or use the account deletion page.
Ad-enabled Play builds use Google AdMob and UMP. Subject to applicable consent and configuration, these SDKs may process advertising/device identifiers, approximate location inferred from IP, ad impressions/interactions and diagnostics. Use Advertising privacy options in Settings to revisit available choices. We do not send your questions, microphone audio or Gemini key as ad-targeting parameters. See Google’s privacy policy.
The ad-free upgrade uses a one-time Google Play purchase with no automatic renewal. Purchase tokens are transmitted over encrypted connections to our verification gateway and Google; our private records retain a token hash, product, purchase/entitlement status and verification time. We do not store card details or plaintext purchase tokens. A hashed account identifier binds the purchase to your account. Account deletion removes private entitlement records, but does not erase your Google Play order or automatically issue a refund.