Museme（"我们"）运营位于 museme.ai 的网站。本服务由美国怀俄明州（Wyoming）的有限责任公司 CEDARLIGHT LABS LLC 运营，并由其按本政策负责处理您的个人数据。本文档说明我们收集哪些数据、为何需要这些数据，以及您所拥有的选择权。每当您访问我们的网站、下单或通过任何渠道与我们互动时，本政策均适用。
生效日期： 2026 年 11 月 6 日（改动见文末「政策更新」）
下单、退款、礼品卡和使用本服务的规则，见我们的服务条款。
当您使用 Museme 创建定制艺术绘本时，您会自愿与我们分享以下信息：
- 孩子的姓名和年龄 — 用于画册个性化定制和优化您的订购体验。
- 照片 — 您上传的图片，供我们的系统生成艺术肖像画页。
- 电子邮箱 — 以便我们发送订单确认、物流更新，以及回复您的咨询。
- 收货信息 — 您的姓名、邮寄地址和联系电话，在结算时收集，用于完成订单配送。
您浏览网站时，我们的服务器会自动记录一些技术信息：
- 浏览器与设备数据 — 包括浏览器类型、屏幕分辨率、操作系统和设备型号。
- 访问日志 — 您浏览的页面、时间戳、来源网址和 IP 地址。注册账号时，我们会把注册时的 IP 地址与账号一并保存。
- 性能指标 — 页面加载时间和错误报告，帮助我们维护稳定的服务。
- 必要 Cookie — 维持网站正常运行，包括保持登录状态、记住语言偏好以及保障结算安全。这类 Cookie 没有它网站就无法工作，因此不单独征求同意。
- 分析 Cookie（Google Analytics） — 按您所在地区而定：
- 欧洲经济区、英国、瑞士：默认关闭。 您首次访问时我们会在页面底部询问，只有您点击「接受分析 Cookie」之后才会启用。您选择「只用必要的」，Google Analytics 就不会在您的设备上存储 Cookie。
- 其他地区（包括美国）：默认开启，用于统计访问量。您随时可以点每个页面底部的「Cookie 设置」，选择「只用必要的」关闭它。
- 您属于哪一类由 Google 根据 IP 地址判断。您的选择保存在本机浏览器里；清除浏览器数据后恢复您所在地区的默认设置。我们在任何地区都不使用广告 Cookie。
- 产品分析与会话回放（PostHog） — 我们用 PostHog 了解访客在网站上的使用路径：打开了哪些页面、点了哪些按钮、下单表单在哪一步被放弃。开启时，PostHog 还可能录下会话回放（鼠标移动、滚动、点击），帮我们找出页面上让人困惑的地方。
- 它看不到的内容： 回放中，所有输入框里填写的内容都会被遮挡；照片上传区域、孩子的照片和画册页面、页面上显示的姓名都会被屏蔽或遮挡。订单页、画册预览（studio）、礼品卡兑换页、礼品卡页面和感谢页、登录相关页面以及所有账号页面完全不录回放。
- 事件里有什么： 去掉了个人信息的页面地址、您选择的语言和寄送国家，以及购物车里有几本书这类简单事实。订单相关事件用单向生成的代码代替订单号，绝不包含您的邮箱、姓名或孩子的名字。
- 欧洲经济区、英国、瑞士： 您回答横幅之前 PostHog 不会加载（是否询问按浏览器时区判断）。您接受分析 Cookie 后按上述方式工作；选择「只用必要的」，PostHog 不在您的设备上存储任何内容、不录回放，只做匿名的访问计数。
- 其他地区： 与 Google Analytics 一样默认开启。在「Cookie 设置」里选择「只用必要的」，就改为同样的匿名、无 Cookie 计数。
- PostHog 的数据存放在美国（PostHog US Cloud）。
- 制作您的艺术绘本 — 您的照片经由 AI 模型处理，为您的定制画册生成艺术肖像画页。
- 订单履约 — 印刷、包装并将画册寄送至您提供的地址。
- 支付处理 — 通过我们的支付服务商安全地完成订单扣款。
- 客户沟通 — 发送订单状态更新、回复咨询。
- 服务改进 — 在允许分析 Cookie 的前提下，分析汇总的使用模式，提升网站性能和用户体验。
我们不会将您的照片用于营销、广告或任何与制作画册无关的用途，也不会用它训练我们自己的模型。
孩子的照片是我们服务的核心，以下是它的完整去向，请您在上传前了解：
- 照片通过加密连接（TLS）传输，存储在 Cloudflare R2 对象存储中。
- 照片会被发送给第三方 AI 服务处理，这是生成画页的必要步骤。目前涉及的服务见下一节。
- 图片以不可猜测的链接形式提供访问。 我们不会公开这些链接，但链接本身即是访问凭证 —— 任何拿到完整链接的人都可以查看该图片，无需登录。请不要把这些链接转发给您不希望看到照片的人。
- 保留期限：您上传的原始照片，在订单送达、发货或取消满 90 天后自动删除。 这由每日运行的清理任务执行，不依赖人工操作。删除之后，这张照片无法再用于重新制作或修改画册。
- 已制作完成的画册页面不在上述删除范围内 —— 它们是您购买的作品，我们保留它们，以便您随时登录查看自己的画册。如果您希望连同画册页面一并删除，请来信告知。
- 您可随时联系我们，要求提前删除照片。
要画出一眼就能认出是您家孩子的画，我们必须分析孩子的面部。有些法律（例如美国伊利诺伊州《生物识别信息隐私法》）把从面部得出的信息视为生物识别信息，所以我们在这里把实际做法讲清楚。在上传任何照片之前，我们会请您勾选确认：您是孩子的父母或监护人（或已获得其同意），并同意这项分析。我们会记录您同意的是哪一版文字、在什么时间同意的。
- 我们得出什么。 由下文列出的图像处理服务商根据照片生成的一段文字描述，内容是孩子可见的外貌特征，例如脸型、发型、肤色、眼睛颜色。部分图像生成模型在绘制画页时，也会在内部计算面部的数值表示。我们不保存这些数值表示，也绝不使用照片或由照片得出的任何信息来识别孩子的身份。
- 用来做什么。 只用于制作您订购的这本书：让每一幅画里的孩子都像您家孩子。由照片得出的任何信息，都不会用于广告，不会出售、出租或交换，也不会为了任何其他目的用来训练模型。
- 谁能看到。 只有「第三方服务」表格中标明可以看到「孩子的照片」的服务商，以及负责制作和检查您画册的 Museme 工作人员。
- 保存多久。 原始照片在订单送达、发货或取消满 90 天后删除（见上文）。文字特征描述是画页制作过程的一部分，随已完成的画册页面一起保存，画册页面删除时一并删除；您可以随时要求删除。各服务商按其自身条款处理照片，详见下文。
- 不同意或改变主意。 如果您不同意，请不要上传照片 —— 没有这项分析，我们无法制作这本书。您可以随时要求我们删除照片、特征描述和画册页面。
为交付产品，我们与以下服务商合作。除分析服务外，其余均为提供服务所必需：
| 服务商 | 用途 | 会接触到 |
|---|
| Cloudflare | 网站托管、数据库、图片存储 | 全部数据 |
| fal.ai | AI 图像生成 | 孩子的照片 |
| Segmind | AI 换脸（备用通道） | 孩子的照片 |
| Google（Gemini API） | AI 图像生成 | 孩子的照片 |
| Google（账号登录） | 您选择用 Google 登录时 | 您的邮箱与头像 |
| Google Analytics | 访问统计 | 浏览行为（欧洲经济区、英国、瑞士仅在您同意后） |
| PostHog（美国） | 产品分析与会话回放 | 浏览行为与经过遮挡的会话回放（欧洲经济区、英国、瑞士仅在您同意后） |
| Stripe | 支付处理 | 您的支付信息 |
| Resend | 发送邮件 | 您的邮箱 |
| 印刷与物流合作伙伴 | 生产与配送 | 最终画稿与收货地址 |
关于支付：我们绝不在自有服务器上存储您的完整卡号，卡号信息直接传输至符合 PCI 标准的支付合作伙伴。
关于 AI 服务商：您的照片受这些服务商各自的条款与隐私政策约束，他们各自保留数据多久，我们无法代为承诺或保证。我们只能承诺我们这一侧的处理方式，即本政策所述。如果您不希望照片被发送给第三方处理，请不要使用本服务 —— 我们目前没有可以完全在本地完成制作的方案。
我们不会为了任何第三方的自身营销目的而出售、出租或交换您的个人信息。
您的数据可能被存储或处理在您所在国家/地区以外的区域。上述服务商分布在不同司法管辖区。在发生此类跨境传输时，我们会确保采取充分的保障措施 — 包括与服务商签订合同承诺 — 以依照适用的数据保护法律保护您的信息。
- 账户与订单数据 — 在您与我们保持活跃关系期间保留，另加税务、会计或法律义务所要求的额外时间。
- 您上传的原始照片 — 订单送达、发货或取消满 90 天后自动删除；您也可以要求提前删除。
- 已完成的画册页面 — 长期保留，以便您随时登录查看。您可以来信要求删除。
- 访问日志与分析数据 — 由 Cloudflare、Google Analytics 与 PostHog 按其各自的保留政策处理；我们自己不额外长期留存服务器访问日志。
根据您所在司法管辖区的法律，您可能享有以下权利：
- 查阅 — 要求获取我们持有的您的个人数据副本。
- 更正 — 要求我们更新不准确或不完整的数据。
- 删除 — 要求我们删除您的个人数据（受我们可能承担的法定保留义务约束）。
- 限制处理 — 在特定情况下要求我们限制对您数据的使用方式。
- 数据可携带 — 以结构化、机器可读的格式接收您的数据。
- 反对 — 退出某些类型的数据处理。
目前这些权利均通过邮件行使 —— 网站上还没有自助的导出或删除账户功能。请发送邮件至文末地址，我们将在 30 天内回复。
说清楚这一点很重要：本服务的核心功能就是处理儿童的个人数据 —— 孩子的姓名、年龄和照片。
这些数据不是由孩子提供给我们的，而是由下单的成年人（父母、祖父母或其他送礼人）提供的。使用本服务即表示您确认：您是该儿童的父母或监护人，或者您已获得他们的同意来上传这张照片并下这个订单。
我们不向儿童直接营销，也不在网站上设置面向儿童的账号注册。
如果您认为有人在未获得适当授权的情况下上传了您孩子的照片，请立即与我们联系，我们会删除相关数据并告知处理结果。
我们采用行业标准做法来保护您的数据，包括加密数据传输、安全云存储和访问控制。但任何系统都无法做到绝对安全，我们无法保证万无一失的保护。请一并参阅上文关于图片链接的说明。
为了送达礼物和回答相关问题，我们会保存买家邮箱、收件人姓名与邮箱、可选的留言和送达日期。兑换码本身只以哈希和加密形式保存。礼品卡的购买、兑换和退款规则见服务条款。
随着我们业务实践的演变或法律法规的变化，我们可能会修订本政策。重大变更将在我们的网站上进行公示。本页面顶部的"生效日期"始终反映最新版本。
2026 年 11 月 6 日修订说明。 隐私政策和服务条款拆成了两个页面：本页是隐私政策，服务条款单独成页。现在注明：本服务由美国怀俄明州的 CEDARLIGHT LABS LLC 运营并负责处理您的数据，并补充了联系用的邮寄地址。礼品卡的规则移到了服务条款，礼品卡相关数据的处理方式仍写在这里。收集哪些数据、如何使用，都没有变化。
2026 年 11 月 5 日修订说明。 新增「照片中的面部特征」一节，说明我们从孩子面部得出什么、用来做什么、谁能看到、保存多久。现在上传照片前，我们会请您勾选确认：您是孩子的父母或监护人（或已获得其同意），并同意这项分析；我们会记录这次同意。
2026 年 10 月 31 日修订说明。 新增 PostHog，用于产品分析与会话回放。它与 Google Analytics 遵循同一个同意选择，从不录制订单页、画册预览和账号页面，回放中会遮挡输入框、照片和姓名。
2026 年 10 月 29 日修订说明。 Google Analytics 改为只在欧洲经济区、英国、瑞士先征得同意；其他地区默认开启，可通过每个页面底部的「Cookie 设置」关闭。
2026 年 10 月 13 日修订说明。 我们逐条核对了本政策与系统的实际行为，更正了以下不符之处：
- 原文承诺照片「90 天后永久删除」，但当时并没有任何自动删除机制，照片是长期保留的。我们已实现每日自动清理，该承诺现已生效。
- 原文称分析 Cookie 可由您「在浏览器中调整」，实际上 Google Analytics 是默认开启的。现已改为默认关闭、询问后才启用。
- 原文称 AI 服务商「不会在任务完成后保留您的数据」。我们无法代第三方作出这一保证，已改为如实说明并列出具体服务商。
- 原文称日志与分析数据「在 12 个月内匿名化」，我们并没有这样的处理流程，已据实改写。
- 原文未说明图片以不可猜测的链接公开提供，现已补充。
- 原文的儿童隐私表述容易被理解为我们不持有儿童数据，与本服务的实际功能不符，已重写。
如有疑问、顾虑或数据权利相关的请求，请通过以下方式联系我们：
CEDARLIGHT LABS LLC（Museme 的运营方）
邮寄地址：5830 E 2nd St, Ste 7000 #39581, Casper, WY 82609, USA
网站：museme.ai
邮箱：support@museme.ai