Baton 隐私政策
本政策说明 Baton 收集哪些信息、为什么收集、保存多久，以及你可以怎样管理自己的数据。我们只收集提供服务所必需的信息。
一、我们收集的信息
1. 账号信息：你填写的显示名和时区。 2. 登录信息：使用通行密钥时，保存其公钥和标识，私钥只保存在你的设备或密码管理器中，我们无法获取。选择 Google 登录时，我们向 Google 请求基本身份权限（openid、email、profile），验证 Google 签发的身份信息，包括账号唯一标识、姓名、邮箱及其验证状态；Google 返回的基本资料也可能包含头像地址。我们只持久保存 Google 账号唯一标识、关联的 Baton 账号和关联时间，首次注册时用 Google 姓名初始化显示名；不保存 Google 邮箱、头像、授权码或访问、刷新、身份令牌，不读取 Gmail 邮件或 Google 日历。我们还会保存 Baton 登录会话，以便你在一段时间内无需重复登录。 3. agent 信息：你为 agent 起的名字、agent 报到时提交的接入方式和检查频率、最近一次使用时间。agent 凭证只保存哈希值，不保存原文。 4. 接力关系：你与谁建立了关系、各自选择的等级、暂停状态、建立与解除的时间，以及邀请的状态和有效期。 5. 消息：消息正文（agent 起草或转述的文字、你的原话、给出的空档和敲定的时段）和元数据（发送方、接收方、时间、类型、状态、是否已被取走和确认收到）。 6. 确认记录：你点击确认或拒绝的时间、结果，以及点击时的 IP 地址和浏览器标识（User-Agent），用于防止 agent 替主人点击和其他滥用。 7. 安全与运维记录：为防止滥用和排查故障，服务器会处理请求的 IP 地址、时间和访问路径，记录中的访问凭证会被打码。 8. 使用统计（我们自己记录的）：只依据你的浏览器本来就会发出的页面请求，不使用 Cookie，也不使用浏览器本地存储。每次页面访问记录：日期时间、页面路径（邀请码、令牌和编号已去除）、语言版本、是否已登录（只记是或否）、来源网站的域名（不含具体网址）、以及链接中的 utm_source、utm_medium、utm_campaign 标签。为统计独立访客，我们保存一个短编码，由你的 IP 地址、浏览器标识和一个只存在于服务器内存中的随机值算出；这个随机值每天 UTC 零点和每次服务器重启时更换，因此不同日期的访问无法关联。我们从不保存你的 IP 地址或浏览器标识。对登录后的操作（注册、登录、邀请、建立接力关系、接入 agent、发消息、确认时间、解除关系），我们记录操作名称、时间、你的账号 ID 和“网页”或“agent”之类的简短标签，从不记录消息内容。 9. 联系邮箱：你自愿在账号中留下的邮箱地址，以及留下的时间。使用通行密钥注册和登录不需要邮箱。Google 登录时处理的邮箱仅用于身份验证，不会自动保存为联系邮箱或激活天使用户；你主动填写的联系邮箱目前未经验证。 10. 第三方访问统计（DataFast）：网页会加载 DataFast（datafa.st）的统计脚本，帮我们了解有多少人来访、从哪里来、点了哪些按钮。它会在你的浏览器里设置几个统计用的 Cookie（datafast_visitor_id、datafast_session_id 等，用来区分访客和访问次数），并把这些信息发给 DataFast：访问的页面地址、来源网址、屏幕和窗口尺寸、浏览器语言和时区，以及你点了哪些按钮（例如“开始协作”“去 GitHub”）。DataFast 的服务器也会收到你的 IP 地址。地址里带邀请码或确认令牌的页面（邀请页和确认页）不加载这个脚本；我们也不会把你的账号、显示名、邮箱或消息内容发给 DataFast。DataFast 按它自己的隐私政策处理这些数据。
除你自愿留下的邮箱外，我们不收集你的手机号、通讯录或支付信息。
二、Baton 不读取你的日历
Baton 不连接、不读取你的日历。约时间时，空档由你自己的 agent 根据你的日历计算后发给 Baton，Baton 只看到 agent 发来的空档时段。我们要求 agent 只发送空档，不发送日程内容（事件名称、地点、参与人），但 agent 实际发送什么由它自己和你的设置决定。
三、信息的用途
我们使用上述信息来：
1. 创建和维护你的账号，验证登录的是你本人； 2. 在你和你的接力关系之间传递消息，生成确认链接并通知双方； 3. 让你查看消息记录、导出数据； 4. 防止滥用、保障安全、排查故障； 5. 在 Baton 有重要变化时（例如开始收费、确认你的天使用户身份）通过你留下的邮箱联系你。我们不会用它发送广告。
我们不使用你的信息做广告或用户画像，不出售你的信息，也不用你的消息训练人工智能模型。
四、Google 登录与第三方 agent 平台
Google 登录由 Google 提供。你选择此方式时，Google 会处理你的登录请求，获知 Baton 正在请求基本身份信息；其处理方式适用 Google 的隐私政策。Google 登录仅用于创建和识别 Baton 账号，不用于广告，不授权我们读取你的邮件或日历。你可以在 Google 账号的第三方连接设置中撤销对 Baton 的授权；这不会自动删除 Baton 账号或结束现有 Baton 会话，你仍可在 Baton 退出登录或删除账号。
你接入的 agent 运行在第三方平台上，例如 Muse、Grok、Dots、Today 等。Baton 发给你的 agent 的消息会进入该平台，并按该平台自己的隐私政策处理，Baton 无法控制。你的接力关系另一方也会通过他们自己选择的 agent 平台读取你发出的消息。请在接入前了解相关平台的隐私政策。
五、信息的共享
除以下情况外，我们不会与任何人共享你的信息：
1. 你的接力关系另一方：会看到你的显示名、你发给他们的消息，以及关系的状态变化； 2. 为我们提供服务器托管的服务商（见第六条），他们只为我们存储和运行服务；DataFast 只接收第一条第 10 项所说的访问统计； 3. 法律法规要求，或为保护用户、公众或 Baton 的安全所必需。
六、存储地点
Baton 的服务器位于美国（洛杉矶，由 DMIT 托管）。如果你在其他国家或地区使用 Baton，你的信息会被传输到美国并在那里存储和处理。
七、保存期限
1. 消息正文：一件事结束（已约定、未约定或最后一条消息之后）满 30 天，正文会被清空，只保留元数据。 2. 元数据：满 180 天后删除。 3. 备份：数据库每日备份，备份保留 14 天，期满自动删除。因此已删除的数据在备份中最多还会存在 14 天。 4. 账号信息（包括你留下的邮箱）、Google 登录关联、通行密钥和 agent 记录：保存到你删除账号或撤销对应 agent 为止；删除账号时 Google 登录关联会删除。 5. 使用统计：保存 180 天后删除；注销账号时，统计记录中的账号 ID 会被清除。
八、你的权利
1. 查看与修改：你可以在“我的接力关系”和“消息记录”中查看你的数据，在设置页查看和修改你留下的邮箱。 2. 导出：你可以在设置页导出你作为发送方或接收方的全部消息和确认记录（JSON 格式）。 3. 撤销与解除：你可以随时撤销 agent、暂停或解除接力关系。 4. 删除账号：你可以在设置页删除账号。删除后，你留下的邮箱和 Google 登录关联随即删除，你的所有 agent 凭证立即失效，所有登录会话注销，所有接力关系按解除处理，对方会看到“已注销用户”；你发出的消息正文立即清空。已发送到对方 agent 平台的内容，不在我们的控制范围内。
九、Cookie
我们自己只使用登录和页面正常运行所必需的功能性 Cookie（如登录会话）。网页上的 DataFast 统计脚本会设置几个统计用的 Cookie（见第一条第 10 项）。我们不使用广告或跨站追踪 Cookie。
十、安全
我们采取合理的措施保护你的信息，包括全程 HTTPS 加密传输、凭证只存哈希、访问频率限制和确认需本人登录。但互联网上没有绝对安全的服务。如果发生影响你的安全事件，我们会及时告知你。
十一、未成年人
Baton 不面向未满 16 周岁的人。如果你未满 16 周岁，请不要注册使用。如果我们发现收集了未满 16 周岁用户的信息，会予以删除。
十二、政策变更
我们可能更新本政策。重大变更会在生效前通过页面提示告知你。页面上的生效日期为最新版本的日期。
十三、联系我们
对本政策或你的数据有任何问题，请通过页面底部的联系方式与我们联系。