生效日期：2026-10-31
运营者：Zhang Yuanyi（个人开发者，所在地：日本）
服务端点：
| 端点 | 地址 |
|---|---|
| 官网 | tomoshi.app |
| 词典站 | dict.tomoshi.app |
| 网关 | api.tomoshi.app |
| 数据分发 | data.tomoshi.app |
| 语音内容分发 | tts.tomoshi.app |
联系方式：support@tomoshi.app
Tomoshi 是一款日语学习词典应用，有桌面版、移动版与配套浏览器扩展（下称「本应用」）。本政策说明本应用处理哪些数据、哪些数据会离开你的设备、发送给谁、保留多久，以及你如何控制。
三者的数据处理规则一致，仅个别功能因平台而异——全局快捷键取词与浏览器扩展是桌面版独有，系统备份是移动版独有，应用自身的更新在移动版由应用商店负责。凡因平台而异之处，文中均逐处注明。官网（tomoshi.app）的数据处理在第 7 节单独说明。
我的总原则:本地优先、数据最小化。本应用不要求账号——登录是可选的，只用于生词本云同步（见 2.8 与 2.9）;不投放广告，不嵌入任何第三方统计/分析工具（如 Google Analytics），不出售或向第三方共享你的数据用于营销。
1. 保留在你设备上的数据
以下数据存储在你的设备本地，不会上传给我（生词本在你登录并开启云同步后除外，见 2.9）:
- 词典查询与浏览:查询本地词典数据库完成，查了什么词不会发送到任何服务器（触发云端功能时除外，见第 2 节，均有明确说明）;
- 搜索历史:永远只在本地，不随任何功能上传（包括云同步，见 2.9）;
- 生词本、复习进度与阅读位置:默认只在本地;只有在你登录并由此开启云同步后，才会按 2.9 所述同步到你所在服务区域的服务器;
- 应用设置;
- 剪贴板读取（仅桌面版）:全局快捷键取词会读取剪贴板文本用于本地查询，该文本不会自动上传;
- 浏览器扩展（仅桌面版）:扩展只与你设备上运行的 Tomoshi 桌面应用通信（本机回环地址），不直接连接任何外部服务器。
卸载应用或在应用内删除（历史/生词本支持逐条与全部清除）即彻底删除，我无从恢复——因为我从未拥有过这些数据。
系统备份（仅移动版）:Android 与 iOS 的系统备份功能会把上述设置与学习数据（生词本、历史、复习进度）复制到你自己的云备份空间（Google Drive / iCloud），以便换机时恢复。那是你与设备厂商之间的关系，我既不经手也无法访问;词典数据（可重新下载）与匿名设备标识（见 2.1）已显式排除在备份之外。是否启用系统备份由你在设备的系统设置中控制。
生词本自动备份（仅 iOS 版）:在系统备份之外，iOS 版每天会把生词本（含复习进度，不含查询历史）另存一份到你自己的 iCloud 云盘中本应用的文件夹（「文件」App → iCloud 云盘 → Tomoshi，保留最近 7 天），以便你删除应用后重装时手动导入恢复。这些文件同样只在你的设备与你的 iCloud 账户之间流转，我既不经手也无法访问;未登录 iCloud 或对本应用关闭 iCloud 云盘时，此功能自动停用。你可随时在「文件」App 中删除这些备份文件。
2. 联网功能与发送的数据
本应用的云端功能经由我自营的网关服务器（api.tomoshi.app）提供。各功能发送的内容、目的与留存如下。
2.1 匿名设备标识
首次使用云端功能时，应用会向服务器注册一个随机生成的匿名设备标识，用于每日用量配额管理与滥用防护。它不含、也无法反推出你的姓名、邮箱或设备硬件信息;我没有把它与任何真实身份关联的手段。
2.2 云端语音合成（发音朗读）
点击发音按钮时，被朗读的词或例句文本与所选音色会发送到服务器以合成语音。语音由 Microsoft Azure AI Speech 合成（见第 5 节）。合成结果按文本内容缓存以便复用，缓存不关联设备标识——无法从缓存反查「谁朗读过什么」。音频文件本身可能由内容分发网络（tts.tomoshi.app）就近提供；该请求只标识所请求的音频内容，同样不携带设备标识。
2.3 AI 解析
以下情形中，**你查询的文本（词或句子）**会发送到服务器，由大语言模型生成解析:
- 你主动点击「AI 解析」等按钮;
- 你输入的搜索词未命中本地词典时，应用会自动发起 AI 解析（桌面版通过全局快捷键取词的剪贴板文本除外——那需要你手动点击才会发送）。
模型推理由第三方大模型服务完成：直连 OpenAI 官方 API;来自中国大陆、香港与澳门的请求则改为直连 DeepSeek 官方 API——OpenAI 不向这些地区提供服务。请求来自哪个地区，由服务器按连接判断到国家/地区一级（同 2.6），见第 5 节。为节约重复生成，解析结果会进入共享缓存约 90 天:缓存以查询文本本身为键，不关联设备标识;命中缓存的查询不会再次发送到模型服务商。
主动分享:你明确点击分享/共享按钮以换取额度时，该次解析的授权记录会与你的匿名设备标识关联留存（用于计分与撤回)，这是唯一把「内容」与「设备」相关联的情形，且仅在你主动操作时发生，可在应用内撤回。
2.4 用户反馈（你主动提交）
通过应用内反馈入口提交的内容（报错的词条、你填写的描述）连同应用版本、操作系统类型和匿名设备标识发送给我，用于处理反馈。保留最长 180 天后自动删除。
2.5 崩溃与错误报告（自动，可关闭）
为了发现并修复缺陷，应用在崩溃或出现内部错误时会自动向我发送一份技术报告。
- 发送的内容:程序错误消息与调用栈、错误发生位置（代码文件/行号）、线程名、发生时刻、应用版本、操作系统类型（如 windows/macos/android）、匿名设备标识（见 2.1）。
- 明确不包含:你查询的任何词句、剪贴板内容、生词本/历史等任何输入与学习数据，也不包含姓名、邮箱、IP 地址、硬件序列号等身份信息。
- 发送时机:程序崩溃时报告先保存在本地，下次启动时发送;界面内部错误实时发送。每次会话有去重与数量上限，不会重复刷送。
- 接收方:仅发送到我自营的服务器（
api.tomoshi.app)，不经过任何第三方错误收集服务（如 Sentry）。 - 保留期:最长 180 天后自动删除。
- 如何关闭:设置 → 通用 → 诊断 → 关闭「自动发送崩溃报告」。关闭后立即生效，本地暂存的未发送报告也会被丢弃。关闭不影响任何功能。
2.6 服务器日志与用量统计
我的服务器为排障与容量规划记录技术元数据:请求的接口、时间、状态码、延迟、缓存命中与限流结果、模型档位、粗粒度地区（国家/地区级），以及匿名设备标识。这些日志与统计中永远不含你查询的内容——这是架构层面的约束，不是事后过滤。逐请求日志保留约 7 天，聚合统计保留约 3 个月。
与任何互联网服务一样，服务器在处理请求时会接触你的 IP 地址，用于注册环节的频率限制与滥用防护;上述国家/地区级的粗粒度地区也由它推导（由 Cloudflare 在边缘节点完成，见第 5 节），用于容量规划与就近选路。IP 地址本身不写入日志与统计，不与查询内容关联，不用于识别或追踪个人——保留的只有粗到国家/地区一级的归属，无法据此定位或识别任何人。
系统本导入计数:你第一次在某台设备上导入一本系统本时，本应用会向我的服务器发送一次请求，内容只有这本系统本的编号——不含账号、设备标识或你的任何其他数据，也不含你在系统本里学了什么。服务器只为每本系统本累计一个总数（导入过它的设备数），并以「已在 N 台设备上导入」的形式显示给所有用户、用于给系统本排序;这个总数无法追溯到任何人或任何设备，长期保留。同一台设备对同一本只报一次（是否报过记在你的设备上），删除系统本不会被统计。
2.7 更新检查
应用会定期向我的分发服务器（data.tomoshi.app）请求一个静态清单文件，以检查词典数据包（及桌面版应用自身）是否有新版本。这是一次普通的文件下载请求，不发送匿名设备标识、查询内容或任何学习数据;与任何网络请求一样，服务器在处理时会接触你的 IP 地址（同 2.6）。移动版应用自身的更新由应用商店负责，应用只检查词典数据包。
2.8 账号与邮箱（仅用于生词本云同步）
本应用的全部功能无需账号即可使用。只有当你想让生词本在多台设备之间同步时，才需要以邮箱验证码登录——这是本应用唯一收集邮箱的情形，且只在你主动点击「邮箱登录」并输入邮箱时发生。
- 收集的信息:你输入的邮箱地址。验证码邮件由我的服务器经 Cloudflare 的邮件发送服务发出（见第 5 节），邮件内容只有验证码;不发送营销邮件。
- 用途:仅用于登录时的身份核验、识别你的账号（同一邮箱对应同一账号），以及把你各台设备上的生词本关联到同一份云端副本（2.9）。不与你的查询内容关联——服务器日志与用量统计中不含邮箱（同 2.6）。
- 存储方式:邮箱在服务器上加密保存，日常业务只使用其不可逆的哈希值做账号查找。邮箱不保存在你的设备上，应用内只显示脱敏形态（如 so***@example.com）。
- 登录状态:登录后，2.1 所述的匿名设备标识会与你的账号关联，有效期 30 天，到期自动续期。「退出登录」即在本设备解除关联并停止同步，本地生词本保留。
- 使用日期:服务器随账号记录最近两次使用本服务的日期（只到日，按 UTC 计，不含时刻），在你登录后同步生词本时更新，每个账号每天最多记一次。它只用来统计每天有多少个账号在使用这一个汇总数字，不与查询内容关联，不用于分析你个人的使用习惯，也不用于画像或推荐;2.9 所列的生词本与复习进度不参与这项统计，服务器日志中也不含账号标识。它是账号记录的一部分，注销时一并删除。
- 保留期与注销:邮箱与账号记录保留至你注销账号为止。你可随时在应用内「我的 / 设置 → 账号 → 注销账号」注销，注销即时生效:服务器立即删除你的邮箱、账号记录与生词本云端副本（2.9），无法恢复;本地的生词本、历史等数据不受影响。再次登录会创建新账号。
2.9 生词本云同步（登录后才有）
登录（2.8）后，本应用会把生词本（你收藏的词条、语法点与 AI 解析，以及你写的备注）及其复习进度（掌握程度、复习间隔、下次复习时间、复习与听词训练的次数，以及每张卡的评分历史）同步到你所在服务区域的服务器（国际区域存放于 Cloudflare D1，见第 5 节），以便你在另一台设备登录同一账号后取回同一份生词本。要点:
- 搜索历史永不上云:同步范围只有生词本及本节列出的几项学习数据;查询记录、搜索历史与 AI 解析缓存不在其中，仍只保存在本机（第 1 节）;
- 触发时机:登录后自动进行——启动后、你改动生词本几秒后、回到前台时与每半小时各一次，也可在账号区手动触发。不登录就不会发生任何同步;
- 复习进度是学习行为数据:它能反映你的学习习惯，与生词本内容一同存储于服务器，用于在你的设备之间同步;此外我只会对它做不指向任何人的汇总统计（例如每天有多少个账号在复习、有多少个账号连续复习了几天），用来改进复习功能——统计结果里不出现任何账号，不用于分析你个人的学习习惯，也不用于画像或推荐。其中的评分历史只记每次评分的档位与距上次复习的天数（不记具体时刻），用来在你换设备后仍能按同一份记录安排复习间隔。同一类的还有每天已复习的张数（按日期与设备各记一个数字，用来让各设备共用同一份每日复习额度与连续天数）和你设置的每日复习上限，也随生词本一起同步;
- 阅读位置:「日语阅读」里每篇作品你上次读到第几段（只记作品标识与段落序号），也随生词本一起同步，用来在另一台设备上接着读。它能看出你读过哪些作品，只用于在你的设备之间同步，不用于任何分析（包括上面那种汇总统计）、画像或推荐;
- 传输与存储:经 TLS 加密传输，在服务器上以平台的静态加密存储;云端副本只与你的账号关联，不进入任何共享缓存，也不向其他用户展示;
- 保留期:保留至你注销账号为止，注销即时删除云端副本（2.8）。退出登录只停止同步、不删除云端副本，再次登录即续用;
- 可携带:你随时可以在「设置 → 生词本 → 导出」把整本生词本导出为 JSON 文件。
3. 我不做的事
- 不要求账号，不收集姓名、电话等身份信息;邮箱只在你主动登录（2.8）时收集;
- 不嵌入第三方广告或统计/分析 SDK;
- 不出售、出租数据，不与第三方共享数据用于营销;
- 不读取与取词无关的浏览器浏览记录（扩展仅在你触发取词时工作）。
4. 数据保留一览
| 数据 | 存储位置 | 保留期 |
|---|---|---|
| 词典查询、历史、生词本、设置 | 仅本地（移动版可经系统备份进入你自己的云备份，我无法访问，见第 1 节） | 由你控制，随时可删 |
| 匿名设备标识与配额计数 | 服务器 | 配额计数按日滚动;服务器不保存设备清单，标识仅出现在日志/统计/授权记录中，随各自留存期删除 |
| 语音合成缓存（不关联设备） | 服务器 | 长期（内容寻址，无身份） |
| AI 解析共享缓存（不关联设备） | 服务器 | 约 90 天 |
| 分享授权记录（关联设备，你主动触发） | 服务器 | 与共享缓存同周期，可撤回 |
| 邮箱（加密）与账号记录（仅登录，见 2.8） | 服务器 | 至你注销账号为止，注销即时删除 |
| 生词本云端副本（含复习进度与阅读位置;登录后，见 2.9） | 服务器 | 至你注销账号为止，注销即时删除 |
| 用户反馈 | 服务器 | 最长 180 天 |
| 崩溃与错误报告 | 服务器 | 最长 180 天 |
| 系统本导入计数（每本一个总数，不关联设备与账号，见 2.6） | 服务器 | 长期 |
| 服务器日志 / 聚合统计（元数据，含国家/地区级粗粒度地区，不含 IP 本身） | 服务器 | 约 7 天 / 约 3 个月 |
5. 数据托管与外部处理方
我不「共享」数据给第三方，但以下基础设施与模型服务在提供功能时会受托处理相应数据:
| 处理方 | 处理内容 | 目的 |
|---|---|---|
| Cloudflare, Inc. | 全部服务器请求与官网访问（网关部署在 Cloudflare Workers，官网部署在 Cloudflare Pages，见第 7 节）；账号与生词本云端副本的存储（Cloudflare D1，见 2.8、2.9）；登录验证码邮件的发送 | 托管、分发、存储与邮件发送 |
| Microsoft（Azure AI Speech） | 被朗读的词句文本 | 语音合成 |
| OpenAI | AI 解析的查询文本（缓存未命中时;来自中国大陆、香港、澳门的请求除外） | 生成解析内容 |
| DeepSeek（深度求索） | AI 解析的查询文本（仅限来自中国大陆、香港、澳门的请求，缓存未命中时） | 生成解析内容 |
| Name.com, LLC（Titan Email） | 你发往 support@tomoshi.app 的来信;用户反馈与崩溃报告的提醒邮件副本（2.4、2.5） | 我的邮箱托管 |
AI 解析直连 OpenAI 官方 API 生成;来自中国大陆、香港与澳门的请求改为直连 DeepSeek 官方 API 生成，两者之间不互为回退。发送给模型/语音服务商的文本不附带你的设备标识;各处理方按其服务条款处理数据;我选择的接口均为 API 用途，不用于其模型训练的默认承诺以各服务商当时条款为准。
6. 你的选择与控制
- 关闭崩溃报告:设置 → 通用 → 诊断（见 2.5）;
- 不使用云端功能:不点击发音与 AI 解析即不触发相应上传;不登录就不会发生生词本同步;词典查询、生词本、复习等核心功能完全离线可用;
- 退出登录 / 注销账号:「我的 / 设置 → 账号」（见 2.8）。退出登录即停止同步、本地生词本保留;注销即时删除邮箱、账号记录与生词本云端副本;
- 导出生词本:「设置 → 生词本 → 导出」，整本导出为 JSON 文件，随时可携带;
- 删除本地数据:应用内清除历史/生词本，或卸载应用;
- 反馈与询问:通过应用内反馈入口或 support@tomoshi.app 联系我。
7. 官网与词典站
以上各节说明的是桌面应用、移动应用与浏览器扩展;官网（tomoshi.app，含各下载页）与词典站（dict.tomoshi.app，可公开浏览的静态词典页）的数据处理单独且简单，如下:
- 托管与分发:官网部署在 Cloudflare Pages 上，词典站由 Cloudflare Workers 与 R2 提供（均见第 5 节）。与访问任何网站一样，Cloudflare 在响应请求时会处理你的 IP 地址等连接信息，用于内容分发与安全防护;我不会在此之外记录或使用访客的 IP;
- 访问统计:官网与词典站各自使用一个 Cloudflare Web Analytics 站点了解访问量。它不使用 cookie，不做跨站跟踪，不建立个人画像;页面加载时你的浏览器会向 Cloudflare 发送所访问的页面地址、来源页、浏览器与设备类型等技术信息，我只能看到聚合后的统计数字（应用内除 2.6 所述的系统本导入计数外没有任何统计，见第 3 节）;浏览器时区位于欧洲的访客不加载这段统计脚本（见第 11 节）;词典站没有表单;
- 本地偏好与查询记录:界面语言偏好（简/繁）只保存在你浏览器本地（localStorage），不上传;词典站把你在站内查过的词（查询文本与所打开的页面）同样只保存在你浏览器本地（最多 5000 条），用于首页「最近查询」与「查询记录」面板，不上传、不与 Tomoshi 应用同步，你可以在「查询记录」里逐条删除或一键清空;两站自身都不设置任何 cookie。
8. 面向日本用户的说明（外部送信規律）
依《電気通信事業法》外部送信規律的要求，本应用与官网自你的设备向外部发送的信息、目的与接收方已在第 2 节与第 7 节逐项列明，汇总如下:
| 发送的信息 | 触发时机 | 接收方 | 目的 |
|---|---|---|---|
| 朗读文本、音色 | 点击发音 | 自营服务器（经 Microsoft 合成） | 语音合成 |
| 查询文本 | AI 解析（含词典未命中时自动触发） | 自营服务器（经 OpenAI 生成;中国大陆、香港、澳门经 DeepSeek） | 生成解析 |
| 匿名设备标识 | 各云端请求 | 自营服务器 | 配额与防滥用 |
| 反馈内容、版本、系统类型 | 你主动提交 | 自营服务器 | 处理反馈 |
| 错误栈、版本、系统类型 | 崩溃/内部错误（可关闭） | 自营服务器 | 缺陷修复 |
| 更新检查请求（不含设备标识与查询内容） | 定期自动 | 自营分发服务器（data.tomoshi.app） | 检查词典数据与应用更新 |
| 系统本编号（不含设备标识与账号） | 在本设备第一次导入某本系统本 | 自营服务器 | 统计各本的导入设备数（见 2.6） |
| 官网与词典站访问信息（页面地址、来源页、浏览器类型等） | 浏览官网或词典站页面 | Cloudflare（Web Analytics） | 访问量统计 |
| 邮箱 | 你主动点击邮箱登录 | 自营服务器（验证码邮件经 Cloudflare 发送） | 登录核验（见 2.8） |
| 生词本、复习进度与阅读位置 | 登录后自动（见 2.9） | 自营服务器 | 跨设备同步 |
9. 未成年人
本应用面向一般语言学习者，不针对儿童设计，不会在明知的情况下收集儿童的个人信息。
10. 政策变更
政策更新时，我会更新本页并注明生效日期;涉及新增数据收集的实质性变更会在应用内显著提示。
11. 面向欧洲经济区、英国与瑞士用户的说明
本节依《通用数据保护条例》（GDPR）、英国 GDPR 与瑞士《联邦数据保护法》的要求，对位于欧洲经济区（EEA）、英国或瑞士的用户补充说明。前面各节同样适用于你;本节只补充这些法律额外要求说明的事项。
11.1 控制者与代表
- 数据控制者:Zhang Yuanyi（个人开发者，所在地：日本），联系方式 support@tomoshi.app。
- 欧盟 / 欧洲经济区、英国与瑞士代表（GDPR 第 27 条、英国 GDPR 第 27 条、瑞士《联邦数据保护法》第 14 条）:我已指定 Data Protection Representative Limited
（trading as DataRep）为上述三地的代表。你可以通过以下任一方式经 DataRep 联系我:
- 电子邮件:datarequest@datarep.com，邮件主题请注明「Tomoshi / y1z」;
- 网页表单:https://www.datarep.com/data-request ;
- 邮寄:欧盟 / 欧洲经济区——DataRep, 77 Camden Street Lower, Dublin, D02 XE80, Ireland;英国——DataRep, 107-111 Fleet Street, London, EC4A 2AB, United Kingdom; 瑞士——DataRep, Leutschenbachstrasse 95, Zurich, 8050, Switzerland。DataRep 在每个欧盟成员国以及挪威、冰岛都设有收件地址，寄往你所在国的地址同样可以（可通过上面的表单或邮箱询问）。
- 邮寄时收件人请写「DataRep」而不是「Tomoshi」，否则信件可能无法送达;请在信中写明涉及的服务是 Tomoshi。为保护你的数据，处理请求前可能需要核实你的身份。
你可以就本政策涉及的任何事项联系我，也可以联系上述代表。与个人数据无关的问题（如功能、账号使用、报错）请直接联系 support@tomoshi.app——代表只受理个人数据相关的请求。欧盟《数字服务法》下的法定代表见使用条款第 15 条。我没有指定数据保护官（DPO）——本服务的核心活动不涉及大规模、系统性的监控，也不处理特殊类别数据，不属于 GDPR 第 37 条要求指定的情形。
11.2 处理目的与法律依据
| 数据（见相应小节） | 目的 | 法律依据 |
|---|---|---|
| 匿名设备标识与配额计数（2.1） | 提供你请求的云端功能、每日用量配额与滥用防护 | 履行合同（第 6(1)(b) 条）;滥用防护为正当利益（第 6(1)(f) 条：保障服务安全与公平使用） |
| 被朗读的文本（2.2） | 语音合成 | 履行合同（第 6(1)(b) 条） |
| AI 解析的查询文本（2.3） | 生成解析 | 履行合同（第 6(1)(b) 条） |
| AI 解析共享缓存（2.3） | 避免重复生成、控制成本 | 正当利益（第 6(1)(f) 条）;缓存不关联设备与账号 |
| 分享授权记录（2.3） | 为你主动的分享计分、支持撤回 | 履行合同（第 6(1)(b) 条） |
| 邮箱、账号记录与生词本云端副本（2.8、2.9） | 登录与跨设备同步 | 履行合同（第 6(1)(b) 条） |
| 账号使用日期（2.8） | 统计每日使用账号的总数 | 正当利益（第 6(1)(f) 条：了解服务规模;只到日、只产出汇总数字） |
| 复习进度与每日复习张数（2.9） | 不指向任何人的汇总统计，用来改进复习功能 | 正当利益（第 6(1)(f) 条：改进复习功能;只产出汇总数字，结果中不出现任何账号） |
| 用户反馈（2.4） | 处理并回应你的反馈 | 正当利益（第 6(1)(f) 条） |
| 崩溃与错误报告（2.5） | 发现并修复缺陷 | 正当利益（第 6(1)(f) 条：保障应用稳定）;只在崩溃时发送、不含查询内容，可随时在设置中关闭 |
| 服务器日志与粗粒度地区（2.6） | 排障、容量规划与就近选路 | 正当利益（第 6(1)(f) 条） |
| 更新检查请求（2.7） | 检查词典数据与应用更新 | 正当利益（第 6(1)(f) 条：及时提供修复与数据更新） |
| 系统本导入计数（2.6） | 显示各本系统本的导入设备数并据此排序 | 正当利益（第 6(1)(f) 条：帮助用户挑选系统本）;请求不含设备标识与账号，只产出每本一个总数 |
| 官网与词典站访问统计（第 7 节） | 了解访问量 | 正当利益（第 6(1)(f) 条）;浏览器时区位于欧洲的访客不加载统计脚本，对你通常不发生 |
提供上述数据不是法定或合同上的义务:不使用云端功能、不登录，词典查询、生词本与复习等核心功能照常可用，只是相应的云端功能无法提供。本服务不进行 GDPR 第 22 条意义上的自动化决策（包括画像）。
11.3 跨境传输
我位于日本。欧盟委员会已认定日本对个人数据提供充分保护（2019 年充分性决定），英国同样承认这一认定;瑞士尚未把日本列入其认可的充分保护国家名单。第 5 节所列处理方中位于其他国家或地区的，传输依据如下:
- Cloudflare, Inc.（美国，全球网络）:欧盟–美国与瑞士–美国数据隐私框架（DPF）认证，以及其数据处理附录中的标准合同条款（SCC，含英国附录与适用于瑞士的条款）;
- Microsoft（Azure AI Speech）:语音合成在 Azure 的日本区域进行;Microsoft 另有欧盟–美国与瑞士–美国数据隐私框架认证，其数据处理附录对从欧洲经济区、英国与瑞士向外的传输适用标准合同条款;
- OpenAI:依其数据处理附录，来自欧洲经济区与瑞士的数据交由 OpenAI Ireland Limited（爱尔兰）处理，再向欧洲以外传输时依据标准合同条款或充分性决定;来自英国的数据由 OpenAI OpCo, LLC（美国）依标准合同条款及英国附录处理;
- Name.com, LLC（美国，提供 Titan Email 邮箱）:其客户数据处理附录中的标准合同条款;
- DeepSeek（中国）:只服务来自中国大陆、香港与澳门的请求（见 2.3）。来自欧洲经济区、英国与瑞士的请求不会转交 DeepSeek——即使 OpenAI 暂不可用，这些请求的 AI 解析也会直接失败，而不是回退到中国境内的服务商。请求来自哪个地区按 2.6 所述的国家/地区级粗粒度地区判断，判断不出时同样不回退。
如需相关保障措施的副本，可来信索取。
11.4 保留期
各类数据的保留期见第 4 节。
11.5 你的权利
在适用法律规定的范围内，你有权:
- 访问我持有的你的个人数据，并获得副本;
- 更正不准确的数据;
- 删除你的数据——账号与生词本云端副本可在应用内即时注销删除（2.8）;
- 限制处理;
- 数据可携——生词本可随时在应用内导出为 JSON 文件（第 6 节）;
- 反对基于正当利益的处理——例如关闭崩溃报告（2.5）;
- 撤回同意——撤回不影响撤回之前基于同意所做处理的合法性。
行使上述权利请发信至 support@tomoshi.app。我会在收到请求后一个月内答复，必要时可依法延长两个月并告知你原因。由于大部分数据只关联匿名设备标识，我可能需要你提供能定位这些数据的信息（例如你的登录邮箱）;无法把某项数据与你对应时，我会如实告知。
你还有权向数据保护监管机构投诉——在欧洲经济区，可向你惯常居住地、工作地或涉嫌违法行为发生地的监管机构投诉;在英国是信息专员办公室（ICO）;在瑞士是联邦数据保护和信息专员（FDPIC）。
本政策的简体中文版本为原始版本。