隐私政策
最近更新：2026年10月12日
Amux 收集哪些信息、如何使用与保存，数据流向哪些第三方，以及你可以如何行使权利。
本政策由 Amux AI（以下简称「我们」或「Amux」）发布，说明我们在你使用 Amux 服务时如何收集、使用、共享与保护信息。就本政策所述的个人信息处理活动，数据控制者为 SentenceEnd Inc.（注册于美国怀俄明州）。
Amux 是一个大模型 API 网关：请求会按配置转发给上游模型供应商，再将结果返回给调用方。由于 Amux 处于调用链路中，部分数据会经过我们的系统。
1. 我们收集哪些信息
账户信息
注册与登录需要邮箱。使用 Google 或 GitHub 登录时，我们从对方获取邮箱与头像。
我们不收集密码——登录通过邮箱验证码或第三方授权完成。
组织账户还包含组织名称、行业、规模与账单邮箱等你主动填写的信息。
API 密钥
密钥以信封加密的方式存储，因此你可以在控制台的密钥页面再次查看完整密钥，无需重新生成。
解密仅在你主动查看时发生，且该操作会被记入审计日志。少量在可取回存储上线之前签发的历史密钥只保留哈希与前缀，无法再次查看完整内容。
调用数据
每次调用都会记录元数据：时间、模型、供应商、协议、token 用量、耗时、状态码与失败原因。
成功的文本与对话类调用，请求与响应正文不被记录。 提示词与模型输出在转发完成后不落盘，我们保存的只有上述元数据。
失败的调用会被抽样留存，仅用于排查问题。 调用因请求本身的问题（例如参数有误、上游无法读取你提供的图片地址）或 Amux 自身故障而失败时，我们可能保存这次请求的请求体、部分请求头与上游返回的错误信息，具体如下：
- 同类错误每小时只抽取少量样本，不是每次失败都保存；
- 内联的图片、音视频等二进制内容不保存，只记录其类型与大小；请求中的图片地址等文本按原样保存；
- API 密钥等鉴权凭据不保存：鉴权请求头不记录，请求体中疑似凭据的内容会被遮盖；模型的响应正文不保存；
- 因上游供应商故障导致的失败，只保存上游返回的错误信息，不保存请求体；
- 样本只有经授权的 Amux 工作人员在排查问题时可以查看，每次查看都记入审计日志，保留不超过 15 天。
不希望某次请求被留存时，可以在请求中带上请求头 x-amux-omit-request: true，该请求失败时将不保存请求体。
图像与视频等异步生成任务的处理方式不同，见第 3 节；控制台操练场中的会话内容会被保存，见下。
操练场会话
控制台的操练场是一个会话式界面，你在其中发出的消息与模型的回复会保存在你的账户下，以便刷新页面或稍后回来时仍能查看。
会话内容仅对你自己以及具备相应权限的工作区管理员可见。你可以随时删除单轮对话或整个会话。
不希望留存的内容请通过 API 直接调用，而不是在操练场中输入。
账单与用量
为出账与对账，我们长期保留聚合后的用量记录与交易流水。这部分数据即使在你删除明细日志之后仍然保留——没有它，历史账单无法复现。
支付所需的信息（账单抬头、地址、税号、发票邮箱）由你主动填写。我们不接触也不存储你的完整银行卡号，卡片信息由支付渠道直接收集与保管。
技术信息
访问网站时的 IP 地址、浏览器标识，以及少量 Cookie 与浏览器本地存储（逐项列于第 8 节）。我们不使用广告类追踪技术。我们使用 Google Analytics 衡量网站使用情况，它属于需要你同意的类别，详见第 8 节。
调用侧还会记录客户端 IP、User-Agent 与请求进入的网关域名，用于排障与风控。
站内搜索词
站内搜索词会被记录，用于改进文档覆盖与搜索质量。记录内容仅包括去标识化的搜索词本身、语言、结果条数，以及是否点开了结果，并按天聚合统计；不记录搜索者身份、IP 地址或逐条搜索流水。
疑似凭据的搜索词会被整条丢弃，邮箱地址会被脱敏，这两项清洗优先在浏览器端完成。
工单内容
你提交的工单内容与附件由我们保存，用于处理你的请求。请勿在工单中提交你不希望我们看到的敏感信息。
2. 我们如何使用这些信息
| 目的 | 涉及的数据 |
|---|---|
| 提供服务 | 账户信息、API 密钥、调用数据 |
| 计费与出账 | 用量记录、交易流水、账单信息 |
| 安全与风控 | 技术信息、调用元数据、审计记录 |
| 客户支持 | 账户信息、工单内容、调用记录 |
| 排查调用失败 | 失败调用的抽样样本（请求体、部分请求头、上游错误信息） |
| 服务改进 | 聚合统计、站内搜索词 |
| 履行法律义务 | 财务记录、必要时的日志 |
我们不使用你的请求或响应内容训练任何模型，除上游推理与第 1 节所述的失败调用排障外，也不将其用于任何其他目的。
3. 你的提示词会去哪里
请求内容会被转发给你所选择或路由命中的上游模型供应商，并受该供应商自身的隐私政策约束。模型目录标注了每个模型对应的供应商，便于你按需锁定或规避特定供应商。
生成类任务
与文本调用不同，出图与出视频的提示词、参考素材与生成参数会随任务一起保存。
原因是这类任务为异步执行：结果在数分钟到数十分钟后取回，而取回、重试与计费争议的处理都依赖这份输入。它们按第 5 节的期限清除。
生成产物的存储
生成的产物与你上传的参考素材存放在公开可读的对象存储上。地址不可猜测（包含随机标识），但取得地址的人无需登录即可访问。
⚠️ 不要将其视作私密存储，也不要将地址转发给不应看到内容的人。产物会被定期清理，清理后地址失效。
4. 我们与谁共享
我们不出售你的个人信息。以下情形会发生共享：
| 接收方 | 共享内容 | 目的 |
|---|---|---|
| 上游模型供应商 | 请求内容与必要参数 | 执行推理 |
| 支付渠道 | 账单信息、交易金额 | 处理支付与开具票据 |
| 云服务与基础设施提供商 | 托管中的数据 | 运行服务 |
| 邮件服务提供商 | 邮箱地址与通知内容 | 发送账户与账单通知 |
如需完整的子处理者清单，可联系 support@amux.ai 索取。
此外，在法律法规要求、主管机关依法要求，或为保护我们与他人的合法权益所必需时，我们可能披露相关信息。
发生业务合并、收购或资产转让时，相关信息可能作为交易资产的一部分转移；我们会在转移前通知你。
5. 我们保存多久
| 数据 | 保留期 |
|---|---|
| 调用元数据 | 长期保留，供对账、用量统计与争议处理之用；我们会定期评估并清理不再需要的记录 |
| 文本与对话调用的请求 / 响应正文 | 成功的调用不记录；失败调用的抽样样本（不含响应正文）保留不超过 15 天 |
| 生图 / 生视频的提示词、参数与素材引用 | 默认保留 30 天，之后清空；任务记录本身保留 |
| 操练场会话内容 | 由你自行删除前一直保留 |
| 聚合用量与账单流水 | 长期保留（法定财务记录要求） |
| 审计记录 | 2 年 |
| 工单与附件 | 工单关闭后保留，供后续查询与争议处理之用；我们会定期评估并清理 |
| 站内搜索词 | 按天合并计数，无明细流水 |
| 账户信息 | 账户存续期间 |
6. 跨境传输
我们自有的服务与存储位于美国境内。 使用本服务即意味着你的数据可能被传输至你所在的国家或地区之外，并在当地接受处理。
上游模型供应商的处理地点由各供应商自行决定，我们不对其作统一说明。模型目录标注了每个模型对应的供应商，你可以查阅该供应商的隐私政策了解其数据处理与存储地点；对处理地点有要求时，可以在账户或密钥上指定供应商，把请求限定在你已经评估过的那几家。
经你同意启用的网站分析由 Google LLC（美国） 提供并在美国处理。就该项处理我们是数据控制者、Google 是数据处理者，我们已与其签署数据处理条款；Google 通过欧盟—美国数据隐私框架（DPF）认证。
我们会按适用法律的要求，为跨境传输采取相应的保障措施。
7. 我们如何保护
API 密钥与上游凭据加密存储，传输全程使用 TLS。访问生产数据的权限按最小必要原则授予，并留有审计记录。
没有任何系统能够保证绝对安全。 若发生确认影响到用户数据的安全事件，我们会在适用法律要求的时限内尽快通知受影响用户。
8. Cookie 与本地存储
我们使用的 Cookie 与浏览器本地存储分为三类：必要、功能与分析与性能。其中没有广告类：本站未接入任何广告服务，也不向广告网络共享数据。
必要
此类无法关闭，亦无需征询同意。在浏览器中予以阻止将导致你无法登录。
| 名称 | 用途 | 存续 |
|---|---|---|
| 登录会话 | 维持你的登录状态 | 会话有效期内 |
NEXT_LOCALE | 记录你选择的界面语言 | 关闭浏览器即失效 |
theme | 记录你选择的浅色 / 深色显示模式 | 本地存储，直到你自行清除 |
amux_consent | 记录你对可选 Cookie 作出的选择 | 180 天 |
界面语言与显示主题归入此类：两者均由你主动选择产生，不含任何标识符，也不用于追踪你的行为。
功能（需要你同意）
在你作出选择之前，此类 Cookie 一律不会写入。 若不予接受，下列偏好仅在本次访问期间有效，关闭标签页后不再保留；网站其余功能不受影响。
| 名称 | 用途 | 存续 |
|---|---|---|
tz | 按你所在时区而非 UTC 显示时间 | 1 年 |
amux_page_size | 记录各列表每页显示条数 | 1 年 |
amux_ws | 记录你上次访问的工作区 | 1 年 |
amux.search.recent | 记录你最近的搜索词 | 本地存储，直到你自行清除 |
amux.notifications.lastSeen | 未登录时记录你已查看的最新公告 | 本地存储，直到你自行清除 |
amux:last-login-method | 记录你上次使用的登录方式 | 本地存储，直到你自行清除 |
分析与性能（需要你同意）
我们使用 Google Analytics 4 了解访客如何使用 Amux、衡量产品使用情况与网站性能。
| 名称 | 用途 | 存续 |
|---|---|---|
_ga | 区分访客 | 2 年 |
_ga_<衡量 ID> | 维持会话状态 | 2 年 |
⚠️ 即使你拒绝分析类 Cookie，你的浏览器仍会向 Google 发送一次不含任何标识符、也不在你设备上写入 Cookie 的信号，其中包含你的 IP 地址、所访问的页面地址与来源页面。我们仅用它估算总体访问量，无法据此识别你本人，也无法把你的多次访问关联起来。你可以通过浏览器扩展或网络层拦截完全阻止该请求。
我们上报的页面地址经过处理：控制台内页中的组织、工作区与工单标识会被替换为占位符（例如 /o/[id]/logs），查询参数除来源归因（utm_*）外一律丢弃，因此筛选条件与搜索词不会被发送。我们也不向该服务发送你的账号标识。
我们已在 Google Analytics 中关闭 Google 信号与广告个性化，不将这些数据用于广告用途。
你的选择
首次访问时我们会征询你的选择，在此之前不会写入任何功能类或分析类 Cookie。你的选择保存 180 天，到期后我们会再次征询；拒绝的记录同样保存 180 天，我们不会在每次访问时重复询问。
你可以随时更改该选择：通过页尾的「管理 Cookie」，或直接访问 Cookie 设置。撤回同意后，上表中已写入的内容将被立即删除。
该选择保存在你当前使用的设备上。登录状态下我们还会把它保存在你的账号里，以便你在新设备上登录时沿用同一选择；两边不一致时以较新的那一次为准。未登录时它只存在于当前设备，更换设备或浏览器、或清除浏览器数据后我们会再次征询。
我们不使用广告 Cookie，也不向第三方广告网络共享数据。
9. 你的权利与选择
- 查看与导出 —— 在控制台查看用量、费用与调用记录
- 删除操练场会话 —— 随时可删除单轮对话或整个会话
- 更正 —— 在设置中修改账户与账单信息
- 删除 —— 可通过工单或邮件申请删除账户。我们采用匿名化方式处理：清除姓名、邮箱与头像，擦除调用记录中的来源 IP，并删除失败调用的抽样样本；交易流水与聚合用量因法定财务留存要求予以保留，届时这些记录不再指向可识别的自然人
- 反对与限制处理 —— 在适用法律赋予你该项权利时，可向我们提出
行使权利请联系 support@amux.ai。我们通常在 30 天内回复；情况复杂时会先行告知并适当延长。
若你位于欧洲经济区、英国或其他设有数据保护监管机构的司法辖区，且认为我们的处理不符合法律要求，你有权向当地监管机构投诉。
10. 未成年人
Amux 面向开发者与企业，不面向未成年人。我们不会有意收集未成年人的个人信息。若发现此类信息，我们会予以删除。
11. 政策变更
政策更新时我们会修改本页顶部的生效日期。涉及实质变化的，会通过邮件或控制台通知。
12. 联系我们
- 隐私相关咨询：support@amux.ai
- 数据保护与合规事务：account@amux.ai
- 运营主体：SentenceEnd Inc.，注册于美国怀俄明州