PRIVACY & VOICE CONSENT
隐私与声线授权说明
生效日期：私测版草稿，待执业律师审核后确定 · 本稿依据 2026 年 9 月 7 日的产品实际行为起草
一、这份说明管什么
本说明适用于 LuxPix 网站与私人工作室，说明我们收集哪些个人信息、为什么收集、存放在哪里、交给谁处理， 以及你如何撤回同意、删除数据与注销账号。LuxPix 与 SagePix 是两个独立产品，不共享用户、数据库、存储桶与素材。
我们不出售个人信息，不做用户画像广告，也不会在未获你单独授权的情况下把你的作品或素材用于案例宣传。
二、我们收集什么，每一项用来做什么
LuxPix 不做无目的收集。下面逐项列出实际写入数据库或对象存储的内容，以及它在制作流程里的具体用途。
- 邮箱：用于无密码登录（我们向你的邮箱寄出一次性登录链接，一小时后失效）、订单与交付通知， 以及你行使查阅或删除权利时的身份核对。我们目前不发送营销邮件。
- 人脸参考照片，单个作品最多 12 张：用于让导演与画面模型认出作品里的人物， 在不同镜头之间保持同一个人的长相、发型与气质一致。没有它，成片里的人不会是你们。
- 每张照片的日期、地点与回忆描述：用于把散落的照片排成真实时间线， 并把“这张照片背后发生了什么”写进剧本。地点与日期是你自愿填写的，可以留空。
- 声纹授权录音：用于两种情形——把你的原声直接用作片尾收尾，或在你单独授权后训练声线模型， 由该模型生成旁白或歌声。录音同时充当授权证据，因为你需要在录音里朗读一句授权口令。
- 五段故事回答：开场记忆、最珍惜的细节、关键节点、对未来的心愿、想说的最后一句话。 这是导演整理记忆手稿、写诗与写旁白的原始材料。
- 作品设置：作品标题、收件人称呼、关系阶段、场合、期望交付日期、画风、表达形式（旁白电影或故事歌曲 MV）、 诗体、音乐情绪与声音模式。用于确定制作路线与风格。
- 交易信息：订单编号、影点数量、金额、币种、订单状态，以及支付服务商返回的支付与结账标识。 用于影点入账、对账、退款与拒付处理。我们不接触也不保存你的完整银行卡号、有效期、CVV 或支付密码， 这些由支付服务商直接处理。
- 技术与安全记录：写接口的限流计数（计数键中含你的账号标识，最长保留一天后自动清除）、 服务器与平台侧的访问日志。用于防止滥用与排查故障。
三、关于敏感个人信息的单独告知
人脸照片与声纹录音属于生物识别信息，是敏感个人信息。我们在这里单独向你说明，而不是把它混在上面一段里带过。
处理的必要性。LuxPix 做的是真实记忆作品，不是虚构创作。没有人脸参考，画面里的人物就只是长得像的陌生人； 没有本人声音，旁白或歌声就无法是“你的声音”。这两类信息是实现你所选功能的必要条件， 而不是为了增强体验附带收集的。
对个人权益的可能影响。人脸与声纹具有唯一性与不可更改性，一旦泄露或被滥用， 可能被用于伪造身份、深度伪造视频或语音诈骗，且无法像密码那样重置。请你在提供之前认真评估这一风险。
我们采取的针对性措施。照片与录音存放在两个私有存储桶中，不生成任何公开链接； 数据库启用行级安全策略，按账号隔离，你的素材对其他用户不可见；下载交付文件时只签发有效期 300 秒的临时链接； 生成侧的工作机是私有基础设施，永远不会拿到浏览器端的登录凭证。
拒绝提供的后果。你可以不提供人脸照片或声音，此时相应的功能无法进行——真实人物作品需要至少两张参考照片， 本人声线的旁白或歌声需要一份对应用途的授权录音。但这不影响你浏览网站、登录账号或使用其他不依赖这些信息的功能。
本节所述的处理，需要你的单独同意。在创作流程中，我们会在上传素材与录制授权之前再次单独征求你的确认， 而不是靠一次笼统的勾选覆盖全部。你随时可以按第九节撤回。
四、声线授权的边界
声线克隆是本产品风险最高的一环，因此它在代码层面就被限制住了，而不是仅靠条款约束。
- 只能克隆你自己的声音。授权记录中的“声音本人”字段被强制等于当前登录账号， 数据库策略不接受把其他人登记为被克隆对象的写入。我们不接受公众人物、未成年人或来源不明的第三方声线请求。
- 需要完成签名挑战。系统会生成一句包含随机口令的授权语，并用绑定到你账号的签名令牌保护它， 有效期 30 分钟。你需要由声音本人朗读这句话并录音，录音与授权记录一同保存，作为授权证据。
- 旁白与歌声是两个独立的授权用途。授权记录里保存的是一个用途集合，取值只能是“旁白”与“歌声”之一或两者。 你同意用自己的声音做旁白，不等于同意用它演唱；提交制作时，系统会按本次作品实际需要的用途逐项核对， 缺少对应用途的授权就无法开拍。
- 授权范围限于单个项目。每一份授权都写死为“仅限该项目”，不会被复用到你的其他作品， 更不会用于训练面向其他用户的通用声音模型。
- 惊喜不是绕过授权的理由。表白、求婚、婚礼或生日惊喜都不构成使用他人肖像或声音而未获授权的例外。
- 当前状态。截至本稿起草时，本人声线的旁白与歌声克隆链路尚未接入，界面上会提示该选项不可用。 在这些能力开放之前，不存在实际的声纹克隆处理。
五、人工智能生成内容的披露
LuxPix 的诗词、画面、音乐、旁白与成片由生成式人工智能辅助完成，并经人工质量门与终审。 创建作品时，你需要明确确认已知悉这一点，这项确认会与作品一同保存。交付页与作品说明中会标示内容为 AI 辅助生成。 我们会为叙事补充过渡与场景化的想象，但不会把未经你确认的事件写成真实经历。 你不得利用本服务冒充他人、误导公众或侵害他人权利。
六、数据存放位置与跨境传输
LuxPix 使用独立的 Supabase 项目存放账号、数据库与私有存储，该项目部署在新加坡区域（ap-southeast-1）； 网站与接口运行在 Vercel 平台上，可能由其位于中国境外的节点提供服务。这意味着：如果你在中国境内使用本服务，你提交的信息（包括人脸照片与声纹录音）会被传输至中华人民共和国境外并在境外存储与处理。
我们在此如实告知这一事实。跨境提供个人信息（尤其是敏感个人信息）需要向你单独告知境外接收方的名称与联系方式、 处理目的与方式、信息种类，以及你向境外接收方行使权利的方式，并履行法定的跨境合规程序。 相关信息与合规路径的具体安排，将在律师审核后于本节补齐。
七、我们委托的第三方
下列服务商在为我们提供服务的范围内处理你的信息。我们只提供实现功能所必需的最少字段。
- Supabase：账号认证、数据库与私有对象存储。它承载本说明第二节列出的全部内容，存放于新加坡区域。
- Vercel：网站与接口的运行平台，处理访问请求与平台日志。
- Dodo Payments：结账与收款。创建结账会话时，我们会向它提供订单编号、你的账号标识、邮箱与账户显示名； 你的支付方式与账单信息由它直接向你收集，我们无法看到。它按签名回调把付款结果通知我们。
生成侧的工作机——诗词与礼卡渲染、画面、音乐、歌声、旁白与合成——是我们自己的私有基础设施或尚未接入的服务商。截至本稿起草时，这些生成链路均未接入生产环境，制作能力处于关闭状态。在任何一条链路正式启用、并因此涉及把你的素材提供给新的服务商之前，我们会更新本说明并重新取得你的同意。
八、保存期限
账号存续期间，我们保存你的作品与素材，以便你随时回看、续章或重新下载。 你删除某个作品时，该作品的素材、故事回答与声线授权一并删除；你注销账号时，全部个人内容按第九节删除。
例外是交易记录。会计档案、税务申报与反欺诈、拒付抗辩要求我们在法定期限内保留交易流水， 因此这部分记录在账号注销后不会被物理删除，而是做匿名化处理：切断与你本人的关联，只保留金额、币种、状态与时间等财务事实。 具体保留年限以适用的会计与税务法规为准，待律师确认后填写。
九、你的权利与行使路径
你对自己的个人信息享有知情、决定、查阅、复制、更正、删除、注销账号与撤回同意的权利。 其中查阅、更正、删除作品与注销账号可以在页面上自助完成，不需要联系客服排队；复制转移与投诉走下面写明的邮箱通道。
- 查阅与更正：登录后在作品页查看已提交的故事与素材；草稿阶段可以修改每张照片的日期、地点与回忆说明。 素材不支持单张删除——要撤下某张已保存的照片，需要删除整份草稿（见下一条“删除与注销”），注销账号则删除全部数据。
- 撤回同意：删除对应作品即撤回该作品的照片使用与声线授权。授权范围本身就限定在单个作品内。
- 复制与转移：需要一份完整的数据副本时，发邮件到 hello@luxpix.ai，我们会在十五个工作日内提供。
- 删除与注销：在账号与数据页面可以自助注销。注销会删除你的作品、故事回答、导演整理出的事实、上传素材、声线授权与授权录音、交付文件与制作事件记录， 同时清理两个私有存储桶中属于你的全部文件，并删除账号本体使会话失效。计费记录按第八节匿名化保留。删除不可撤销，我们没有回收站，也没有可供还原的备份。账户内剩余的影点在注销时作废。
- 投诉：对我们的处理有异议，可发邮件到 hello@luxpix.ai。你也有权向履行个人信息保护职责的部门投诉举报。
十、未成年人
LuxPix 提供成长路线（含出生、成长、生日与毕业等场合），这类作品通常涉及儿童的照片与经历。不满十四周岁的未成年人的个人信息属于敏感个人信息，必须由其父母或其他监护人提交并同意。提交此类作品，即表示你声明自己是该未成年人的监护人，或已取得监护人的明确同意，并有权提供相关照片与信息。 我们不面向未成年人独立提供服务，也不接受未成年人本人注册。监护人可随时按第九节要求删除相关信息。
十一、安全措施
上传素材与交付文件存放在私有存储桶中，没有公开访问地址；数据库按账号启用行级安全策略； 下载链接为短时效签名链接；服务端密钥仅存在于服务器环境，永不下发到浏览器； 影点余额的每一次变动都会在同一事务内写入账本，只有经过签名验证的支付回调才能为你入账。 尽管如此，没有任何系统能保证绝对安全。发生个人信息泄露、篡改或丢失时，我们会按法律要求通知你与监管部门。
十二、变更与联系
本说明发生实质变更时，我们会在页面上更新生效日期；涉及新的处理目的、新的信息种类或新的接收方时， 我们会重新取得你的同意。个人信息保护相关事宜，联系邮箱：hello@luxpix.ai。