隐私政策

生效日期：2026年8月6日
上一版本：2026年7月13日隐私政策

如果你只有一分钟，请阅读这里

这是一份很长的文件，其中有些内容也很枯燥。这是法律精确性所需付出的代价。如果可以，请认真阅读；或者在 Chat 中打开它，让 Phi Browser 中的助手为你总结并回答你的问题。这是 AI 的一个很好的首次用途，而你的隐私值得你花十分钟了解。

我们对你是谁不感兴趣。无论是你浏览了什么、凌晨两点搜索了什么，还是那些你宁愿不让任何人知道的事情，我们都不感兴趣。那是你的，也将始终属于你。我们想做的是打造最好的 AI 浏览器，并让你因为喜欢使用它而留下来。

你不必仅凭信任接受这一点，因为我们的业务并不依赖于你是否“有趣”。我们不出售广告。我们不出售个人数据。我们不会使用你的内容训练 AI 模型；坦率地说，原因是：训练一个模型需要一整批我们并不拥有的 GPU，以及一笔我们无力承担的账单。我们是做浏览器的人。我们做的是浏览器。相比让广告商为获得你而向我们付费，我们更希望你为一个更好的浏览器向我们付费。

如果我们想要你的秘密，你就会有麻烦。我们不想要，所以你不会有麻烦。但意图是我们能向你提供的最薄弱保障，良好意愿从未阻止过数据泄露，也从未阻止过日志外泄。真正能够阻止这些事情的，不是承诺，而是构建出来的机制：哪些东西我们从不收集，哪些东西永远不会离开你的 Mac，一个开关实际会关闭什么，以及任何信息只会存续多短的时间。这正是本文其余部分所阐述的内容，也是你应当据此监督我们的标准。

本隐私政策涵盖什么？

在 Phinomenon Inc.，我们在构建 Phi Browser 时始终将用户隐私放在心上。本政策以通俗语言说明我们收集哪些个人数据、为何收集、与谁共享、保留多久，以及你对这些数据享有哪些权利。它是一份透明度文件：描述我们的做法，并不是一份你通过使用 Phi 即表示“接受”的合同。无论本文写了什么，隐私法律赋予你的权利始终存在。

是否登录由你选择。 首个界面会提供“不登录也能体验 Phi”：选择该选项后，Phi 就是一款普通浏览器，没有账户、没有 AI、没有记忆、没有侧边栏聊天，也没有 Phi Link，而本政策所述的大多数事项根本不会发生。登录或创建账户后，你将获得 AI 浏览器，AI 功能会随之开启，因为账户正是为此而设。你仍然可以通过一个设置将这些功能全部关闭。

本隐私政策涵盖我们在你使用 Phi Browser 及相关服务时对所收集个人数据的处理方式，包括我们的账户服务（account.phibrowser.com）、AI 服务（ai-service.phibrowser.com）、连接器服务（ai.phibrowser.com），以及我们的域名 phibrowser.com、phi.cc 和 phi.to；这些服务均由 Phinomenon Inc. 运营。Phi 的网络流量中还会出现另外三个主机名，它们也受本政策约束：g.phibrowser.com，用于接收下文所述的产品衡量数据（我们自行托管的分析服务）；ota.phibrowser.com，用于提供 Phi 应用程序更新；以及 sentinel.phibrowser.com，用于提供 Phi Sentinel 的组件更新。一般而言，“个人数据”是指能够识别你身份或与你相关的任何信息。本政策不涵盖我们不拥有或不控制的公司的做法，也不涵盖不受我们管理的人员的做法。

我们一直在努力改进 Phi，这意味着本隐私政策可能不时发生变化。当我们作出重大变更时，我们会提前在网站上发布通知或向你发送电子邮件；如果法律要求我们就你的数据的新用途取得同意，我们会向你征求同意，而不会擅自推定你已同意。

我们不收集什么，以及我们绝不会做什么？

在列出我们收集的内容之前，以下是更重要的清单，这些内容根本不会传到我们这里：

• 你访问的页面和你的浏览上下文。 你的浏览活动留在你的浏览器中。
• 你的提示词、你的 AI 对话以及 AI 给你的回复。 当你通过 Phi Cloud 使用 AI 功能时，为回答请求所需的内容会发送给处理你请求的模型提供商，该提供商可能是 OpenAI、Google、Anthropic 或 SpaceXAI，也可能是我们某个开放权重模型的托管方。内容只会经过，不会由我们保留；我们的中继服务不会保留请求或响应的任何副本，包括日志中的副本。这些提供商默认不会使用 API 流量训练其模型；凡提供商提供额外的禁止训练控制，我们均已将其启用。该等处理构成你与提供商之间的关系，我们则作为促成方。
• 你的浏览器记忆。 Phi 对你浏览活动的记忆在你的设备上创建并存储，且始终属于你。我们不会收集或上传这些记忆；请参阅“Phi 的 AI 产品和功能是什么？”。
• 通过 Phi Link 产生的聊天日志。 对于我们的官方 Telegram 机器人，我们仅作为纯代理：消息被传递，但绝不会被缓存或存储。使用你自己的机器人时，流量根本不会经过我们。

对于我们确实持有的数据，以下是我们绝不会做的事情：

• 我们绝不会为了金钱向任何人出售你的个人数据。
• 我们不会在 Phi Browser 内向你展示广告，Phi Browser 本身也不使用广告 Cookie 或跟踪器。
• 我们绝不会使用你的内容训练 AI 模型。
• 我们不会与数据经纪商或广告网络共享数据。唯一的例外是我们公共网站上的广告转化像素，它用于衡量某个广告是否促成了下载，并且只会在你同意后加载；请参阅“Cookie 和类似技术”。
• 我们不会根据产品衡量数据为你建立广告或行为画像，也不会使用这些数据对你作出自动化决策。下一节所述的匿名基线数据只会被计数，不会被用于画像。

我们收集哪些个人数据？

你向我们提供的数据：

关于这一整个类别，我们想直白说明：这是你在知情情况下交给我们的数据。我们提出请求，你作出回答；对于运行你的账户并非严格必要的任何信息，你都可以拒绝提供，而 Phi 仍会继续运行。这里没有任何内容是在你不知情的情况下被获取的。

• 账户或联系数据（仅当你创建账户时）： 登录是可选的。如果你选择创建账户，我们会收集你的电子邮件地址、密码、显示名称、头像、用户 ID、你通过注册年龄门槛提供的出生年份（仅当仅凭年份无法确定你是否为成年人时，我们才会要求提供完整出生日期），以及邀请和激活状态等相关账户记录。我们的身份验证服务由 Auth0（Okta, Inc.）运营，其持有的数据范围仅限于此：你的登录凭据以及刚刚列出的账户记录。显示名称由你自行决定：它可以是任何内容，我们不要求它必须是你的真实姓名。如果你使用社交账户登录，所带入的姓名仅作为初始值，你可以在设置时立即更改，也可以在之后随时更改。Auth0 绝不会持有你的支付卡详细信息、浏览历史或 AI 对话。如果你选择无需登录即可探索 Phi，则不会存在这些数据，因为你没有账户。

• 支付数据： 如果你选择购买付费功能，我们会收集支付卡类型和账单详细信息等支付数据。支付数据主要由我们的支付处理商 Stripe 处理和存储。

• AI 使用计量： 当你通过 Phi Cloud 使用 AI 功能时，我们会针对每次请求记录所使用的模型、Token 数量以及由此产生的成本。这是计量数据，而非内容：其中绝不会包含你提出的问题或模型给出的回答。我们收集这些数据，是因为模型 Token 会给我们的免费产品带来真实成本，而这些数据使我们能够在防止滥用的同时继续提供免费层级（请参阅我们的使用条款中的公平使用条款）。这些数据记录在由我们自行托管于自身基础设施上的 Langfuse 中，因此不会有第三方接收这些数据。

• AI 和上下文数据：由你创建，保存在你的设备上。 你的 AI 记忆、智能体状态、上下文，以及 AI 功能的输入和输出均存储在你的机器上。我们不会收集或存储它们。对于智能体功能，我们的服务器仅保留精简的任务元数据，即运行了哪项任务、运行时间及其状态，绝不包括任务内容或你的记忆。如果你使用 Phi Cloud，为回答请求所需的内容会传输给模型提供商以生成响应，但不会由我们保留（请参阅“Phi 的 AI 产品和功能是什么？”）。

• 连接器和同步数据： 如果你通过 ai.phibrowser.com 上的连接器管线连接第三方账户（例如电子邮件、文档或其他服务），我们会存储访问该账户所需的 OAuth Token，以及你选择连接的内容的同步副本。你可以随时断开连接器；断开后，我们会立即撤销并删除 OAuth Token，并删除同步副本。

• Phi Link（消息配对）： Phi Link 将 Telegram 等消息应用与 Phi 连接起来。它有两种形式，具有不同的隐私影响，因此我们分别说明。

  • 我们的官方 Telegram 机器人： 我们会存储将你的聊天与你的 Phi 关联起来的配对记录，并作为双方消息传输的代理。代理的含义非常明确：内容只会经过并被传递，我们不会缓存或存储经由该代理传输的聊天日志。
  • 你自己的 Telegram 机器人： 你也可以创建自己的机器人；在这种情况下，流量将直接在 Telegram 的服务与你的 Phi Browser 之间传输，完全不会经由我们路由。该关系受你与 Telegram 之间的 Telegram 条款约束；我们只是使这种连接成为可能。

• 反馈： 你点击“向 Phi 发送反馈”按钮、回答调查或评价 AI 响应时发送的内容，包括你选择添加的任何附件。

我们自动收集的数据：

• 产品衡量，由一个开关控制：“帮助改进 Phi 的功能和性能”。该开关控制两项内容：详细使用统计信息和崩溃报告。在这两项内容之下，有一小部分匿名基线数据始终运行。我们进行衡量，是因为否则我们无法知道哪些功能值得继续开发，哪些功能正在不知不觉地浪费你的时间。

  • 开启时。 通过 Chromium 内置遥测功能收集详细使用统计信息，并向 Sentry（Functional Software, Inc.）发送崩溃报告：堆栈跟踪、设备和操作系统信息、日志摘录，以及发生故障的进程的内存快照。崩溃转储会捕获故障发生时内存中的内容，因此可能偶然包含页面内容片段或你输入的文本。我们查看这些数据仅为寻找故障原因，而非其他目的；我们将其保留 90 天；在你登录期间，这些数据会带有你的账户标识符（Auth0 subject ID；Auth0 持有你的登录凭据以及你选择的显示名称，但绝不会持有支付详细信息）。
  • 关闭时。 从关闭时刻起，上述两项收集都会停止。此后，崩溃只会产生一个数字，除此之外不会产生任何内容：我们只知道发生了一次崩溃，不知道你当时在做什么、屏幕上显示了什么，也不知道内存中有什么。
  • 为什么值得保持开启崩溃报告。 崩溃报告决定了我们只是知道某个东西坏了，还是能够知道它为什么坏了。那些真正会毁掉浏览器使用体验的故障（例如导致标签页丢失或窗口卡死的故障）几乎总是发生在我们没有的机器上，并处于我们无法复现的状态，而堆栈跟踪是我们唯一能够获得的见证。如果你希望 Phi 变得更加稳定，这是你能够交给我们的最有用的信息。我们宁愿坦率地向你提出请求，也不愿把这个开关藏在你找不到的地方。
  • 永远不会关闭的基线。 只有计数，除此之外没有任何内容：有多少次安装启用了某项功能，以及有多少次使用了该功能。例如，将 Phi 设置为默认浏览器、使用空间、使用个人资料；我们今后构建的功能也会以同样方式进行计数。这些数据会发送至 PostHog。每一项都只是一个不附带任何标识符的数字，因此它们都不是个人数据，也无法追溯到你。无论开关处于哪种状态，我们都不会为你建立画像、出售任何数据，或尝试查明你是谁。
  • 为什么基线始终保持开启： Phi 是免费的，并且始终都会有免费层级。但对我们而言，这并非没有成本：AI Token 会产生真实费用，无论某项功能最终是否对任何人有价值，我们每个月都要支付这笔账单。少量匿名计数使我们能够了解该功能是否有价值，以及下个月应当把资源投入到什么地方。对于我们免费提供的产品，这是我们所请求的一点微小回报。
  • 如果你想要一款完全不会联系我们的浏览器，你可以拥有它。 macOS 客户端依据 Apache License 2.0 开源，因此你可以从源代码自行构建，并在我们的祝福下获得完全不会联系我们的浏览器。只是请注意，此后它将独自运行：没有我们提供的更新、没有 Phi Cloud、不会使用由我们付费的 AI Token，而且一旦出现故障，除非你自己修复，否则它会一直保持故障状态。这是一个合理的选择，我们不会劝阻任何人。如果你更愿意让我们完成这些工作，交换条件就是：我们负责保持其运行、修补并承担费用，而作为回报，我们需要充分了解它的运行情况，以便让它持续良好运行。

• IP/设备数据： 自动收集的你的 IP 地址、设备 ID、macOS 版本和浏览器版本。这些信息单独来看都无法说明你是谁。 IP 地址只是请求的来源位置，设备 ID 是一个随机字符串，版本号就是版本号。我们将其用于两个目的：一是维护服务安全，即发现滥用、规避速率限制和欺诈；二是以汇总方式了解用户实际使用哪些 macOS 和浏览器版本，以便我们支持正确的版本。第二种用途与基线中的其他计数一样。我们不会尝试通过这些信息查明你是谁，相关日志保留 30 天。欧洲法律仍将 IP 地址视为个人数据，我们也同样如此，因此我们在这里明确列出，而不是悄悄遗漏。

哪些信息是必需的，哪些是可选的：

• 账户本身是可选的。 你可以在首个界面选择“不登录也能体验 Phi”，并无限期将 Phi 作为普通浏览器使用，完全无需提供账户数据。在该模式下，AI 功能、记忆、侧边栏聊天和 Phi Link 均需要账户，因此不可用。
• 拥有账户所必需的信息： 你的电子邮件地址和密码（或社交登录）是创建并保护 Phi 账户所需的合同必要信息。如果你不提供这些信息，我们无法为你创建账户。
• 使用付费功能所必需的信息： 如果你购买付费功能，支付数据是履行合同所必需的信息。没有这些数据，我们无法处理购买，但免费功能仍然可用。
• 账户为你提供的内容： AI 功能。登录即表示你选择使用这些功能，而一个设置可以再次将它们全部关闭。
• 在你采取行动之前保持关闭： 数据连接器和消息配对（Phi Link）在你连接账户或配对频道之前不会执行任何操作。你的姓名和头像、调查回复以及营销电子邮件同样都是可选的。如果你从不提供这些信息，唯一后果是相应的特定功能无法使用；Phi 的其他任何方面都不会降级。
• 年龄是我们唯一必须询问的信息。 你提供给我们的数据并非任何具体法律所明确要求，但我们只被允许向成年人提供 Phi，而履行这一要求的唯一方式是在其他任何事项之前询问你的年龄。这就是年龄门槛最先出现，以及我们仅要求提供出生年份的原因。

关于其他人的数据的说明（如果你不是 Phi 用户）： Phi 用户可能会同步或中继包含你个人数据的内容，例如你与该 Phi 用户之间的对话、该 Phi 用户收到的你发送的电子邮件，或提及你的文档。你并未选择这样做，因此以下说明你所处的情况：

• 我们可能持有的有关你的信息： 你的姓名、电子邮件地址、用户名或账号、通信本身的内容，以及同步或中继材料中恰好包含的任何其他内容。其中可能偶然包含敏感详细信息，例如电子邮件中提到的健康事项或政治观点。我们不会主动寻求任何这些信息，不会利用其为你建立画像，并且仅会将其作为 Phi 用户选择同步的内容中不可分割的一部分进行处理。在此类内容传输至我们时，我们依据的是该内容由你明显公开，或处理该内容对于交付 Phi 用户所请求的功能而言严格必要；我们不会对其进行任何进一步处理，并会在删除连接器或配对时将其删除。
• 我们从何处获得这些信息： 来自 Phi 用户连接的第三方账户或配对的消息频道，而非直接来自你。
• 我们如何处理这些信息： 仅用于向启用连接器或中继功能的 Phi 用户提供该功能。除此之外没有任何其他用途。当 Phi 用户移除连接器、移除配对或删除账户时，这些信息会被删除。
• 为什么你没有收到我们的通知： 我们与你没有任何关系，除通过数据本身之外，也没有可靠方式联系你，因此逐一联系你将是不可能或不成比例的。本政策即为向你提供的通知。
• 我们的合法处理依据： 我们在提供 Phi 用户所请求的连接器和中继功能方面的合法利益。Phi 用户决定开启某项功能本身并不能构成处理你数据的合法依据，因此我们将处理严格限制在交付该功能所需的范围内，不作任何其他用途。
• 你的权利： 你无需等待 Phi 用户采取行动。你可以写信联系我们（请参阅联系信息），直接行使你的权利，包括删除权。由于我们没有为你持有账户，我们会要求你提供足以验证你身份并找到你数据的信息，例如内容中出现的账号或电子邮件地址，并且绝不会要求超过必要范围的信息。

我们如何使用个人数据？

• 向你提供 Phi：

  • 创建和管理你的账户。
  • 处理付费功能的购买。
  • 提供 AI 研究、自动化、记忆、文档生成和翻译功能。
  • 同步并中继你连接的数据源和频道。
  • 欺诈防护、安全和调试。

• 改进 Phi：

  • 内部分析、测试、研究和产品开发。
  • 诊断崩溃和错误。
  • 识别使用趋势，以改善用户体验。

• 与你保持联系：

  • 回复支持请求。
  • 向你发送有关 Phinomenon Inc. 的更新或新闻（仅在你已给予我们许可的情况下）。

Phi 的 AI 产品和功能是什么？

登录后，Phi 的 AI 功能会开启，你可以随时通过一个设置将其全部关闭。开启后，这些功能由 Phi Sentinel 进行编排。Phi Sentinel 是 Phi Browser 的一个独立组件，仅在 AI 功能启用时激活。Sentinel 是一个小型菜单栏应用程序，用于监管 Phi 在你机器上运行的 AI 服务：它管理本地进程，作为任何敏感操作的权限门控（屏幕捕获、文件访问及类似操作均由 Sentinel 引导，并仅限于你选择的文件夹），同时承载下述所有功能的设置。

之后，你可以通过两种方式运行 AI，这两种方式具有截然不同的隐私特征。你也可以混合使用两者。

• 选项 1：Phi Cloud。 我们通过服务提供来自 OpenAI、Google、Anthropic 或 SpaceXAI 的模型，以及经过选择的开放权重模型。其背后的模型容量由我们从 OpenAI 和 OpenRouter 购买。

  • 内容只会经过，不会留下。 你的输入、必要的上下文和模型输出会传输给处理你请求的模型提供商。每个提供商均根据其自身 API 条款处理该内容，你对特定模型的使用也受这些条款约束。我们在该交换中充当中介：我们不会保留内容，只会记录上述计量数据（模型、Token 数量、成本）。对于此项中继，我们作为你的处理者：按照你的指示传输你要求我们传输的内容，并且不保留任何内容。AI 提供商依据其 API 条款对其自身处理活动担任独立控制者。
  • 公平使用。 由于 Token 会给免费产品带来真实成本，Phi Cloud 受我们的使用条款中的公平使用限制约束。我们通过计量数据而非内容执行这些限制。

• 选项 2：私有 AI。 如果你不希望我们参与其中，可以在 Sentinel 中启用 私有 AI，并使用你自己的 AI：

  • 你自己的 API 密钥，来自你自行选择的供应商。请求随后会根据你与该供应商之间的协议，直接从你的机器发送给该供应商。我们不是该关系的一方，也不会收到内容或计量数据。
  • 你自己的模型。 Sentinel 可以在同一台 Mac 上运行模型（在 Apple Silicon 上，它会监管用于聊天、后台记忆任务和嵌入的 OpenAI 兼容本地服务器，并将其绑定至 127.0.0.1，因此只有你的机器可以访问）；它也同样支持用于 MLX 模型的 LM Studio 或 Ollama，无论它们运行在这台 Mac 上，还是运行在你网络中的自有 AI 设备上。只要 Phi 能够访问该端点，模型位于何处由你决定；在这些模式下，你自行管理 AI 基础设施。任何内容都不会发送给我们，也不涉及任何账户。

你的记忆属于你。 Phi 对你浏览活动的记忆在你的设备上生成和存储，并将始终属于你。我们不会收集它，不会上传它，它也不属于上述任何一个选项的一部分。它也不是一个黑箱：你始终可以查看其中的内容、编辑它、删除条目或将其彻底清除，因为它就存储在你自己的磁盘上。Phi 以隐私为中心并坚持本地优先，而这正是该原则最清晰的体现。

我们主动阻止你的秘密进入其中：AI Guardrail。 仅仅存储在本地本身并不足够，因为浏览器会看到一些你绝不会选择保留的内容。因此，Phi Sentinel 会运行一个 AI Guardrail，这是一个在你自己的 Mac 上运行的模型，会在任何内容写入记忆之前检查传入文本。如果它发现凭据，就会直接拒绝该次写入：API Token 和授权值、密码、私钥、加密货币助记词、包含凭据的数据库连接字符串、密码哈希值，以及恢复代码或备用代码。Phi 在向你显示生成的问候语之前也会执行同样的检查，因此露骨内容和敏感浏览活动不会重新出现在你的屏幕上。

关于这一机制，有四件事比功能本身更重要：

• 它绝不会离开你的 Mac。 被检查的文本会通过本地连接发送至你自己机器上的服务。它不会发送给我们、Phi Cloud 或任何模型提供商。屏幕截图根本不会发送给该服务。
• 它绝不会编辑你的数据。 不会进行遮盖，也不会静默清理。一次写入要么完全按原样保留，要么整体被拒绝，因此 Phi 不会悄悄改写你对自己行为的记录。
• 它不会记录发现了什么。 不记录匹配的文本，不记录页面地址、标题或搜索查询，也不记录文本中的位置。我们能看到的仅仅是 Guardrail 允许、拒绝或无法运行的次数，而不会看到与任何内容有关的信息。
• 它会刻意保留普通个人信息。 姓名、电话号码、电子邮件地址、地点和日期是使记忆具有实用价值的信息，因此它们会被允许通过。该功能针对的是秘密，而不是你的生活。

它是第一道防线，而不是唯一一道防线。 这里的保护采用分层结构，Guardrail 是最接近你的那一层：完全在本地运行，在任何内容写入前执行，并且是三个保护层中唯一在你自己的机器上运行的一层。在它之上，Phi Cloud 会对其处理的请求应用自己的在线 Guardrail，这属于托管 AI 服务的标准做法。再往上一层，每个模型都带有其供应商在模型中构建的安全和对齐机制。总共有三层，而最接近你数据的那一层绝不会向外发送信息。

我们也会坦率说明本地这一层无法做到什么。它读取的是文本，因此，如果某个秘密仅存在于图像中，它无法识别。如果检查无法在规定时间内完成，写入将继续进行而不是失败，因为一个缓慢的过滤器绝不能成为导致你的行为记录丢失的原因。并且，它会有意允许普通个人信息通过。请将其视为一道强大的第一防线（我们自费运行它，是因为我们认为它应该存在），而不是秘密绝不可能进入你磁盘的保证。

你的控制权： 你可以在 Phi Browser 设置中关闭 AI 功能（这也会停用 Sentinel），可以断开单个连接器和配对，并可以随时从机器中删除本地 AI 数据。如需查看或编辑 Phi 记住的内容，请在 Phi 中打开记忆页面。我们服务器上唯一与 AI 相邻的数据，是上述连接器和 Phi Link 章节中所述的数据，以及精简的智能体任务元数据。

我们与谁共享个人数据？

我们不出售你的个人数据。我们仅向下述接收方或你授权的其他方披露这些数据。并非所有接收方都具有相同角色，我们会如实描述每一方，而不会将它们全部冠以相同标签。

我们的处理者。 以下提供商根据我们的书面指示，并依据其与我们签订的数据处理协议处理个人数据：

Stripe（支付）。 Stripe, Inc. 处理你的支付和账单数据（由 Stripe 直接收集）。根据 Stripe 的服务条款，Stripe 在部分处理活动中担任我们的处理者，而在其他部分则担任独立控制者（例如欺诈防范、合规以及改进其自身服务）。Stripe 自身的隐私政策适用于由其控制的处理活动。

独立控制者。 以下接收方至少会对部分处理活动自行决定其目的和方式。对于该等处理，它们并非依据 DPA 行事的我们的处理者，其自身隐私政策适用于相关处理：

我们会保持此列表为最新状态。当我们新增或更换处理个人数据的服务提供商时，我们会更新本政策，并会就重要变更向用户发送电子邮件。我们的工具会随产品一起变化；对于已经停止使用的服务，我们会将其停用并删除其中的数据。这里有一个值得直白说明的商业逻辑：我们不会为未使用的服务付费，而当我们停止付费时，其中的数据也会随之删除。

在你控制的情形下，或在法律强制要求的情形下，你的数据也可能会传递给其他方：

你的 Phi 记忆会在你自己的机器上作为 MCP 服务器公开，因此如果你愿意，可以将其与其他 AI 工具共享。如果你这样做，这是你的行为和决定，并非我们的披露。除此之外：

• 你授权的各方： 你通过 Phi 与之互动的第三方，或者你使用社交登录创建账户时涉及的第三方。
• 法律义务： 法律或法院命令要求时，或者为了保护 Phinomenon Inc. 或我们用户的权利和安全。
• 业务转让： 如果 Phinomenon Inc. 发生合并、收购或破产，你的数据可能会转让给新的所有者。在你的数据适用不同的隐私政策之前，我们会通知你。

如何删除或导出你的数据？

删除你的账户和数据，是你可以在 Phi 内自行完成的操作。 前往设置，然后进入更多浏览器设置，再点击你与 Phi下的你的姓名，最后选择删除账号和数据。路径就是这样。你无需向我们发送电子邮件、填写表格或请求被遗忘：该按钮会完成这一切。

删除账户将永久移除账户及与其一同存储的数据，且无法撤销。在我们这一侧，这涵盖每个系统：你的 Auth0 账户记录、PostHog 中的分析事件、Sentry 中的崩溃报告、连接器数据和 OAuth Token（我们也会将其撤销）、消息配对记录和中继内容、我们在服务器端持有的智能体元数据，以及不受法定保留要求约束的支付数据。你的 Phi 记忆不在该清单中，因为它从未存在于我们的服务器上：它存储在你的 Mac 上，并会在你将其移除或移除 Phi 时消失。我们会向处理者发出相应的删除指示；如数据保留章节所述，已删除数据会在 90 天内从备份中自然淘汰。

卸载和删除账户是两件不同的事，而你很可能需要同时进行两者。

卸载会清理你的 Mac。 Phi 自带卸载程序，你无需自行寻找。将 Phi 拖入废纸篓后，Phi Sentinel 会检测到，并询问是否移除 Phi 遗留的内容：浏览器和 Sentinel 的 Phi 应用程序支持目录与缓存目录，以及已下载的任何本地 AI 模型。你也可以直接从 Sentinel 启动卸载程序。它会询问你要移除哪些内容，而不会擅自决定，并且只会处理属于 Phi 的目录。

卸载不会关闭你的账户。 这只是本地清理，因此账户以及上述所有内容仍会由我们保留，直到账户本身被删除。如果你已经卸载，现在又想删除账户，请重新安装 Phi，登录同一账户，并使用上述按钮。先卸载不会导致任何内容丢失，也没有完成账户删除的截止期限。

如果你从未登录，我们这一侧就没有任何需要删除的内容。 没有账户，我们根本不会持有任何与你有关的账户数据；唯一痕迹是前文所述的短期服务器日志，它们会在 30 天内自动到期。你的数据位于你的 Mac 上，移除 Phi 即会移除这些数据。

导出你的数据。 欧洲法律赋予你以可携带形式接收个人数据的权利，我们正在将其开发为一项自助导出功能，用于打包你的数据并通过电子邮件发送给你。该功能上线后，会与删除功能出现在同一个设置页面。在此之前，请联系我们（请参阅联系信息），我们会为你整理数据包。

国际数据传输

Phinomenon Inc. 位于美国，上述服务提供商主要在美国处理数据。Telegram 是一个例外：它是一项拥有自身全球基础设施和自身隐私政策的独立服务；你通过已配对 Telegram 频道交换的消息由 Telegram 依据其自身条款处理，而此处所述的传输保障适用于我们自己的处理者，不适用于 Telegram。如果你从欧洲经济区、英国或瑞士使用 Phi，你的个人数据会传输至美国。

我们采用标准方式确保这些传输合法：上述每个提供商均根据一份书面数据处理协议受聘，该协议包含欧盟委员会的标准合同条款，这是将个人数据传输至欧洲以外地区的法律机制。如果某个提供商还通过了欧美数据隐私框架（EU-US Data Privacy Framework）认证，该认证同样适用。Phinomenon 本身并未通过该框架认证，但这不会改变你所获得的保护，因为无论如何，合同条款均涵盖这些传输。你可以联系我们，索取相关保障措施的副本。

Cookie 和类似技术

我们的公共网站 phibrowser.com 使用 Cookie、像素标签和本地存储。我们将这些技术分为以下类别：

• 严格必要： 网站运行所必需。这些技术始终处于启用状态。
• 分析： 帮助我们了解访问者如何使用网站。我们使用 Google Analytics（Google LLC）和 PostHog（PostHog, Inc.）。
• 广告衡量： 使我们能够衡量广告是否有效，例如哪些广告活动促成了下载。此功能使用由我们正在投放广告活动的平台提供的转化像素，记录页面浏览和下载事件，并与该平台共享这些事件以进行归因。平台可能会随时间变化；目的不会变化。

广告衡量仅在你接受后运行。 只有在你通过 Cookie 设置接受后，才会设置广告像素；拒绝则会阻止其运行。我们自己的分析不包含广告标识符，也不会用于跨其他网站跟踪你。你可以随时通过 phibrowser.com 页脚中的 Cookie 设置链接更改选择，也始终可以在浏览器中移除或阻止 Cookie。

这些技术仅用于我们的网站。Phi Browser 本身不使用广告 Cookie。请注意，Phi Browser 确实会按照上文所述发送产品分析和崩溃报告；这些数据与网站 Cookie 相互独立，并受上述章节约束。

Phi 在你的 Mac 上请求的权限

macOS 权限是授予整个应用程序的，因此你看到的提示往往比我们实际使用该权限的范围宽泛得多。我们宁愿逐项解释，也不愿让提示文字替我们说明。

• 完全磁盘访问权限。 Phi 请求此权限仅用于在设置期间从 Safari 导入你现有的数据（书签、历史记录及类似数据）。macOS 没有为读取另一个浏览器的配置文件提供范围更窄的权限，因此其显示的提示涵盖范围远超我们的实际使用范围。

  • 它是可选的。 如果你拒绝授予，或授予后又撤销，Phi 仍会正常运行；你只是无法使用 Safari 导入功能。
  • 我们不会读取你的“邮件”数据库、“信息”、“时间机器”备份，或该权限在技术上能够访问的任何其他文件。 导入功能只会读取你要求我们导入的浏览器数据，不会读取任何其他内容。上述其他文件均不会被我们读取、复制、传输或存储。
  • 你可以随时在系统设置、隐私与安全性、完全磁盘访问权限中撤销该权限。

• 从其他浏览器导入。 从 Chrome、Arc 或书签文件导入不需要完全磁盘访问权限。

• 其他权限（例如通知、麦克风、摄像头或屏幕录制）只会在你使用需要这些权限的功能时请求，并由 macOS 按照通常方式处理。

密码和智能体保险库

Phi 没有自己的密码管理器，这是我们有意作出的决定。 Chromium 自带一个密码管理器，而我们将它移除了。单独来看，它只能在本地使用：无法在你的设备之间同步，没有泄露监控，也没有任何机制检查某个密码是否已经出现在数据泄露中。真正使其具备实用价值的部分是 Google Password Manager 和 Chrome Sync，而这些是 Google 自己的服务，Google 已于 2021 年 3 月将它们限制为仅供 Google Chrome 使用。任何第三方浏览器都无法提供这些服务。我们宁愿移除一个功能不完整的密码管理器，也不愿提供它并让你误以为自己已经得到充分保护。

所以，请使用一个真正的密码管理器。 如果你没有强烈偏好，iCloud 密码 已经安装在你的 Mac 上，可以在你的 Apple 设备之间同步，并会对已泄露密码发出警告。如果你已经使用 1Password、Bitwarden、Dashlane 或其他任何产品，请继续使用；它们的扩展程序可以像在其他浏览器中一样在 Phi 中运行。

无论你选择哪一个，你的密码都不属于我们。 我们不存储、不同步、不查看你的密码，也不会将其发送至任何地方。密码管理器是另一家公司提供的独立产品，其如何处理你的数据受该公司的隐私政策和条款约束，而非本政策。我们只提供它运行所在的浏览器，仅此而已。

智能体保险库。 Phi 包含一项可选功能，用于解决一个特定问题：当 AI 智能体代表你执行操作时，有时会遇到登录页面，而如果没有保险库，另一种做法就是由你将密码粘贴进聊天中。除非你主动开启，否则该功能处于关闭状态；其工作方式如下：

• 保险库属于 Bitwarden，而不是我们。 你登录的是你自己的 Bitwarden 账户。Bitwarden 是该服务的提供商，其自身条款和隐私政策适用于该服务。 你可以选择用于存储保险库的服务器：bitwarden.com（美国）、bitwarden.eu（欧盟），或你自行托管的 Bitwarden。该选择决定你的保险库存储在何处以及受哪一地区的法律管辖，因此值得你有意识地作出选择，而不是直接接受默认值。如果你自行托管，你的保险库也绝不会经过 Bitwarden 的服务器。
• 你的保险库绝不会传输给我们。 其中任何部分都不会发送给 Phinomenon、由我们存储，或通过我们的服务同步。我们绝不会看到你的主密码。
• Phi 本身不持有密钥。 保险库在一个独立的辅助进程中解锁，已解锁的密钥和所有保险库解密操作都留在该进程中，而不会进入浏览器。两者通过一个在文件系统中没有名称的私有通道通信，因此你 Mac 上的其他任何程序都无法连接该通道；你的会话则保存在 macOS 钥匙串中，并锁定至 Phi 自身的签名。
• 智能体每次只能获得一个凭据，而且只有在你允许时才会获得。 它绝不会收到整个保险库，也不会收到保险库所含内容的列表。它会在需要某个凭据的当下提出请求，你批准该请求后，访问行为会被写入一份你可以查看的审计日志。

如果你从未启用智能体保险库，上述任何事项都不会发生，也不会建立任何 Bitwarden 连接。

数据安全

我们力求通过一套组织和技术安全措施保护你的个人数据，包括传输中加密、访问控制、静态加密、最小权限访问，以及定期进行依赖项和漏洞审查。但是，任何通过互联网传输数据的方法都无法做到 100% 安全。你应当通过选择强密码并限制他人访问你的设备来帮助保护你的数据。

如果你认为自己发现了 Phi 中的安全漏洞，请向我们报告（请参阅联系信息）。

数据保留

我们仅在实现本政策所述目的所必需的期限内保留个人数据。我们的标准保留期限如下：

这些期限是我们的默认运营期限；如果法律要求我们将某些内容保留更长时间（例如财务记录），则适用法定期限。

备份： 我们的系统按照轮换计划进行备份。当数据从实时系统中删除后，它会在 90 天内自动从备份中自然淘汰。备份不会用于恢复你已经删除的数据，但在系统发生故障后恢复整个系统时，已删除数据可能暂时重新出现；在这种情况下，我们会再次将其删除。

当我们删除你的账户时，我们也会根据与上述处理者签订的数据处理协议，指示它们删除其代表我们持有的相关个人数据。

儿童个人数据

Phi 仅面向成年人。我们不会故意收集 18 岁以下儿童的个人数据，Phi 也不以他们为目标；上述注册年龄门槛会拒绝任何未满 18 岁的人创建账户。如果我们得知自己收集了 18 岁以下儿童的个人数据，我们会尽快删除该信息。如果你认为发生了这种情况，请写信联系我们（请参阅联系信息）。

美国各州隐私权

如果你居住在美国某些州（例如 California、Colorado、Connecticut、Texas、Utah、Virginia 及其他州），你对自己的个人数据享有特定权利。

• 访问： 你有权确认我们是否正在处理你的数据，并访问其副本。
• 删除： 你可以要求我们删除所收集的个人数据。你也可以在 Phi 中自行完成；请参阅“如何删除或导出你的数据？”。
• 更正： 你可以要求我们更正不准确的个人数据。
• 可携带性： 你可以要求以机器可读格式获取你的数据副本。
• 限制敏感个人信息的权利： 在我们处理敏感个人信息（例如账户登录凭据）的范围内，我们仅使用这些信息提供服务；你可以要求我们限制任何其他用途。
• 不受歧视： 我们绝不会因你行使任何隐私权而歧视你（例如降低服务质量或收取更高费用）。
• 授权代理人： 你可以指定授权代理人代表你提交请求；我们会验证代理人的授权和你的身份。
• 全球隐私控制（GPC）： 某些浏览器会自动发送“不要出售或共享我的数据”信号。我们尊重该信号。 如果你的浏览器发送 GPC，我们会将其视为你选择退出广告衡量，以及退出为跨情境广告而进行的任何共享，你无需采取其他任何操作。你仍然可以手动设置偏好，并且你自行作出的选择优先于该信号。

对遭拒请求提出申诉的权利（Colorado、Connecticut、Virginia、Texas 及其他提供申诉权的州）。 如果我们拒绝处理你的请求，我们会以书面形式说明原因。你可以通过回复我们的答复，或在收到答复后的合理期限内以“Privacy request appeal”为主题写信给我们，对我们的决定提出申诉。我们会在你所在州法律要求的期限内以书面形式答复申诉，并说明作出决定的理由。如果我们驳回你的申诉，我们的答复将包含联系你所在州 Attorney General 的方式（例如通过 AG 的在线消费者投诉门户），供你提交投诉。

California 披露（CCPA/CPRA）。 在此前 12 个月内，我们直接从你处、自动从你的设备处，以及从你连接的第三方来源收集了以下类别的个人信息：你连接的第三方账户（连接器同步）、你配对的消息平台（Telegram 中继），以及社交登录提供商；这些信息用于“我们如何使用个人数据？”中所述的业务目的，与“我们与谁共享个人数据？”中列明的接收方共享，并按照数据保留表保留：

“出售”或“共享”： 我们绝不会出售你的个人数据，也不会以其换取任何金钱。我们需要指出一个技术细节：美国某些州的法律对“共享”的定义非常宽泛，以至于运行广告像素也会被视为共享，即使没有出售任何内容也是如此。这是本政策中唯一可能落入该定义的事项；它只会在你接受 Cookie 后发生，并且你可以随时将其关闭。你可以随时通过我们网站页脚中的 “Do Not Sell or Share My Personal Information”链接、在同意横幅中拒绝 Cookie，或让浏览器发送 GPC 信号来选择退出；我们会自动尊重该信号。

如需行使这些权利，请联系我们（请参阅联系信息）。

欧洲数据主体权利（欧盟、英国和瑞士）

如果你居住在 European Union、United Kingdom 或 Switzerland，你依据 GDPR、UK GDPR 和 Swiss FADP 享有相关权利。Phinomenon Inc. 是你个人数据的控制者。

处理的合法依据。 我们仅在具有合法依据时处理你的数据：

• 合同必要性： 账户数据（创建、保护和管理你的账户）、支付数据（处理你的购买），以及 AI 功能，而 AI 功能正是账户存在的目的：登录即表示你请求使用这些功能，因此其依据是我们与你之间的合同，而非你的同意。这包括你调用功能时通过 Phi Cloud 中继的 AI 内容，该内容会为生成响应而传输，但不会被保留。我们不会将这一依据扩大适用于下述可选事项。
• 法律义务： 为税务和会计目的保留支付和交易记录。
• 同意： 只有在你采取行动后才能发生的事项。数据连接器和消息中继（Phi Link）在你连接账户或配对频道之前始终保持关闭。 在此之前，我们会向你说明其中涉及的事项；连接或配对这一行为即表示你同意，断开连接或取消配对即撤回同意。同意也是我们网站上的分析和广告 Cookie，以及营销电子邮件的处理依据。应用内产品分析和崩溃报告通过上述开关运行，该开关位于设置中，你可以随时更改。你可以随时撤回任何同意，且撤回同意应与给予同意同样容易；撤回不影响此前处理的合法性，也不会给你造成任何不利影响，无法继续使用相应功能除外。
• 合法利益： 不属于上述 EEA/UK/Switzerland 范围内的崩溃和诊断数据（我们的利益：修复缺陷并保持 Phi 可靠运行）、在同意不适用时的功能使用数据（我们的利益：了解并改进产品），以及 IP/设备数据和安全日志（我们的利益：保护服务安全并防止滥用）。你可以反对基于合法利益进行的处理（请参阅你的权利）。对于遥测数据，控制方式就是该开关本身：该开关属于该次 Phi 安装，而非你的账户，因此在该安装中关闭开关才会停止遥测。匿名基线不是个人数据，因此其中不存在任何与你相关联、可供你反对的内容。你可以要求我们提供利益平衡评估摘要（请参阅联系信息）。

你必须提供的信息： 请参阅上文“哪些信息是必需的，哪些是可选的”；简而言之，只有最低限度的账户数据（以及购买时的支付数据）是合同所必需的，其他所有信息均为可选；不提供可选数据的唯一后果，是相关功能无法使用。

你的权利。 你有权：

• 访问（Art. 15）： 获得我们处理了哪些与你有关的数据的确认、相关数据的副本，以及数据已被披露给的实际接收方。
• 更正（Art. 16）： 更正不准确的数据。
• 删除（Art. 17）： 删除你的数据。你可以在 Phi 中自行完成；请参阅“如何删除或导出你的数据？”。
• 限制处理（Art. 18）： 在特定情况下要求我们暂停处理你的数据，例如对准确性的争议尚未解决期间。
• 可携带性（Art. 20）： 以结构化、常用、机器可读的格式接收你向我们提供的数据，并在可行时将其传输给另一个控制者。
• 反对（Art. 21）： 反对基于合法利益进行的处理，并可随时反对任何直接营销。
• 撤回同意（Art. 7(3)）： 对任何以同意为依据的处理撤回同意。
• 投诉（Art. 77）： 向你当地的监管机构提出投诉（在欧盟，向你所在成员国的数据保护机构；在英国，向 ICO；在瑞士，向 FDPIC）。我们希望能够先有机会处理你的关切，但你无需在投诉前先联系我们。

其他人的权利（Art. 15(4)、Art. 20(4)）： 由连接器同步的内容和中继消息通常包含你以外其他人的个人数据。当我们处理涵盖此类内容的访问或可携带性请求时，如果披露其他人的个人数据会对其权利和自由产生不利影响，我们会对该等数据进行编辑遮盖或将其排除，并可能以此为由拒绝请求中受影响的部分。我们会告知你是否因此限制了答复，并说明原因。

自动化决策： 我们不会仅基于自动化处理作出对你产生法律或类似重大影响的决定。

我们如何处理请求： 请通过联系信息中的任何地址写信给我们。我们会在一个月内答复（对于复杂请求，可延长两个月；在这种情况下，我们会告知你原因）。行使你的权利不收取费用，除非请求明显缺乏依据或过度（例如重复提出）；在这种情况下，我们可以按照 Art. 12(5) 收取合理费用或拒绝该请求，并说明原因。为验证你的身份，我们只会要求提供与请求及其风险相称的信息（Art. 12(6)），不会要求过度的证明文件。对于访问、更正、限制及类似请求，从你账户所绑定的电子邮件地址发出的请求通常足以满足大多数请求的身份验证要求；对于会导出或删除大量已同步第三方内容（连接器存档、消息中继）的请求，或删除账户的请求，我们还会要求你通过已登录会话或第二次确认流程进行确认，因为身份冒用在此类情况下会造成更严重的后果。对于破坏性或不可逆的请求，尤其是删除请求，我们会采用更严格的验证：通过发送至你账户电子邮件地址的验证邮件流程确认请求（仅在你确认后才执行删除）；如果你的账户仍然存在，我们会要求你在 Phi 中重新进行身份验证；如果我们仍对你的身份存在合理怀疑，我们可能会要求提供与情况相称的额外证据。

我们的欧盟和英国代表： 由于 Phinomenon Inc. 在欧洲境外设立，我们依据 Article 27 在两个地区分别任命了代表，因此你可以在当地提出与本政策有关的任何事项，而无需写信至美国。两名代表均列于联系信息中。是否通过其联系由你选择，并非强制要求。

联系信息

如果你对本隐私政策或你的权利有任何疑问，请联系我们：

电子邮件：

• 一般咨询和安全报告：hi [at] phi.cc
• 隐私咨询和权利请求：privacy [at] phi.cc
• 数据保护联系人：dpo [at] phi.cc

邮寄地址（美国）：
Phinomenon Inc., Attn: Data Protection Contact
324 S Diamond Bar Blvd, Unit Num 717
Diamond Bar, CA 91765, United States

英国代表（UK GDPR Article 27）：
Fyde Innovations Ltd
124 City Road, London, EC1V 2NX, United Kingdom

欧盟代表（GDPR Article 27）：
BizLegal Limited, trading as EU Rep
27 Cork Road, Midleton, Co. Cork, Ireland (company number 635921)
依据 Article 27 被任命为欧盟监管机构和数据主体的法定联系点。对于本政策中的任何事项，直接途径是使用上述电子邮件地址；设立该代表是为了始终提供一个当地联系点。