数据说明

存在哪

你写的每一段、当时的心情、地点、你讲述时的原话、你传的照片和缩略图，都在写入之前就在我们的服务器上加密了（AES-256-GCM，每一对有自己的密钥）。数据库在美国。

谁能看到

只有你们两个人。你的人物卡对方永远看不到。没有别人，没有训练，没有出售。

twin 开口时发生什么

twin 只在回忆里说话：听你讲的时候只问；把你讲的整理成你的话，并对照原话检查有没有多出来的东西；回答 TA 关于你某一段的一个问题时，只用你那一段里的原话，没讲到的就说还没讲到那儿。每次只把这一段的相关内容和你的说话习惯发给模型提供方（Anthropic，我们用的模型公司；只收到当次需要的那几句，不拿去训练；它一般 30 天内删掉，只有内容违反它的使用规定或法律要求时才会留得更久），从不发整个回忆库。

照片

照片在你手机上就去掉了拍摄信息（设备、坐标），只留下画面；日期和地点会先问你要不要用。存下来的是加密文件。我们不做人脸识别，也不会用到任何做人脸识别的库。

地图

回忆页上的地图底图来自 OpenStreetMap 的服务器：加载时，他们的服务器会看到你的 IP 地址和地图显示的那一片区域。你输入地点去找的时候，请求先经过我们的服务器再到 OpenStreetMap 的 Nominatim，所以离开的只有你输入的那几个字。地点本身在我们这里是加密存的。

点「用现在的位置」时（第一次手机会先问你允不允许），手机给出的坐标经我们的服务器送到 OpenStreetMap 的 Nominatim，换回一个地名；这次查询的结果我们的服务器只在内存里留最多一天，不写进数据库。不点，就不会读你的位置。回忆存下时，地名和坐标（地图上的针）跟回忆一起加密保存。

谁替我们运行

网站跑在 Vercel 上，数据库是 Neon，照片文件存在 Vercel Blob（存进去之前已经加密）。信由 Resend 发出，它会看到收件地址和信里的字。模型是 Anthropic 的，地图和地名来自 OpenStreetMap，见上面两节。

暂停和删除

暂停：TA 立刻见不到你的 twin，什么都不删，随时可以打开。永久删除：24 小时内，你的人物卡、你讲过的每一段、你传的照片和缩略图、你的 twin 说过的所有话、以及由这些算出来的索引，从服务器上彻底删除。如果你选了把回忆留给 TA：你的 twin 和它说过的话照样删除；你讲过的原话和照片留给 TA，标了只存着的那些不留，一起删除。不是隐藏，是删除。

我们不会

不读你的聊天记录，不从别处抓数据，不用你的东西训练模型，不做人脸识别，不给你们以外的任何人看。

我们只记两类数字：用了多少次（时间和类型），和每次调用模型花了多少 token。这些数字里没有内容。