CreateX 隐私政策

01适用范围与角色

本政策适用于本服务的全部功能（对话与 AI 助理、工作与任务、会议、文件、汇报、组织洞察、自动化、邮件、管理后台）以及本网站。

企业客户通过管理员为员工开通账号并决定组织架构、角色权限与功能开关；我们按企业客户的指示和本政策处理数据。对本网站访客的少量数据，我们是控制者。

02我们收集的信息

我们仅收集提供本服务所必需的信息，主要包括：

• 账号信息：企业管理员录入的姓名、企业邮箱、手机号、部门、职位与直属上级关系；您自行设置的头像与个人偏好。
• 业务内容：您在本服务中创建或产生的对话、任务、日程、会议信息、会议录音与转写文本、会议纪要、汇报、文件及其元数据。
• 邮件数据：当您或企业管理员将企业邮箱接入本服务时，所接入邮箱的连接凭据、邮件内容与附件。
• 第三方会议平台数据：当您授权连接 Zoom 或腾讯会议时，我们获取该平台返回的授权令牌、您的平台用户标识，以及您通过本服务创建的会议的基本信息（会议号、链接、时间）和会议结束后的云端转写文本。
• 技术信息：登录 IP 地址、浏览器类型、访问时间、请求日志与错误日志，用于安全防护与故障排查。
• 用量信息：AI 功能的调用次数、消耗额度与所用模型，用于企业计费与用量展示。

本网站仅使用一枚用于记住语言选择的 Cookie，不使用第三方广告或行为追踪 Cookie。

03信息的使用方式

• 提供并维护本服务的各项功能，包括在您的授权范围内由 AI 助理为您查询和整理信息。
• 生成 AI 内容：将当次任务所需的上下文发送给模型供应商以生成回复、纪要、任务草稿等。我们不会使用您的任何数据训练或微调模型。
• 身份验证、权限控制、账号安全与滥用防范。
• 按企业客户的要求进行计费、用量统计与对账。
• 响应您或企业客户的支持请求。
• 遵守适用法律与监管要求。

04第三方平台集成（含 Zoom 与腾讯会议）

本服务可与第三方平台集成。集成仅在您或企业管理员主动授权后启用，且仅申请实现相应功能所需的最小权限。

• Zoom：用于在本服务中创建 Zoom 会议、读取您创建的会议信息，以及在会议结束后获取云端录制的转写文本以生成纪要。我们存储授权令牌（加密）、您的 Zoom 用户标识、会议号与会议链接、转写文本。我们不会代您加入会议，不会读取与本服务无关的会议或录制内容。
• 腾讯会议：用途与数据范围同上，通过腾讯会议开放平台的授权接口实现。
• 企业邮箱：按您配置的连接方式读取邮件与附件，以支持邮件整理与附件入库。
• 企业自建工具（MCP 服务）：由企业管理员配置，本服务仅按企业的授权调用。

您可以随时在「个人设置 · 会议设置」中断开 Zoom 或腾讯会议的连接，断开后授权令牌立即删除；您也可以在对应平台的应用管理页面撤销授权。通过 Zoom 应用市场卸载本应用时，我们会收到 Zoom 的反授权通知，并在 10 天内删除与该授权相关的令牌与平台用户标识。已生成的会议纪要属于企业客户的业务记录，按第 5 节的规则保留或删除。

05数据存储、保留与删除

• 数据传输：为实现相应功能，数据仅在必要范围内传输至模型、语音识别与第三方会议平台等服务商处处理；我们要求这些服务商按不低于本政策的标准保护数据。
• 保留期限：在企业客户的服务期内保留；企业客户可随时删除或导出其数据。服务终止后，我们在 30 天内删除企业客户的全部业务数据，法律要求保留的除外。
• 备份：数据库每日备份，备份副本按 7 天、4 周、6 个月分级保留后自动销毁。
• 会议录音：原始录音在转写完成并生成纪要后，按企业客户的设置保留或删除。

06安全措施

• 全站 HTTPS（TLS）加密传输。
• 企业之间的数据在数据库层通过行级安全策略强制隔离。
• 密码以 argon2id 加盐哈希存储；登录设有尝试次数限制。
• 第三方授权令牌与接入凭据以 AES-256-GCM 加密存储，任何界面不回显明文。
• 文件通过短时效的授权链接访问；文件、会议、任务等对象仅对相关参与人可见。
• AI 助理完全继承您的权限，且所有写入类操作均需您确认后执行。

没有任何系统能保证绝对安全。如发生涉及个人信息的安全事件，我们将依法及时通知企业客户和受影响的用户。

07您的权利

根据适用法律（包括香港《个人资料（私隐）条例》以及中国内地《个人信息保护法》等），您对个人信息享有以下权利：

• 访问与复制：查阅我们持有的您的个人信息并获取副本。
• 更正：您可在「个人设置」中修改个人资料；其他信息可请求企业管理员或我们更正。
• 删除：请求删除您的个人信息；企业客户可通过管理后台删除员工账号与相关数据。
• 撤回授权：随时断开第三方平台连接或撤回其他授权。
• 导出：企业客户可请求导出其业务数据。
• 投诉：向我们或有管辖权的监管机构投诉。

由于本服务由企业客户为其员工开通，部分请求需经企业客户确认后处理。我们会在收到请求后 30 天内答复。

08未成年人

本服务面向企业员工，不面向未成年人。如果我们发现在未获得监护人同意的情况下收集了未成年人的个人信息，将尽快删除。

09本政策的更新

我们可能不时更新本政策。重大变更时，我们会在本服务内或通过企业管理员通知您，并更新页首的生效日期。继续使用本服务即表示您接受更新后的政策。