1. 适用范围与处理主体
本政策适用于 NexusFlow 网站、开发者控制台、API、客服与相关服务。湖北月升数字科技有限公司是 NexusFlow 的运营主体。 对我们为账户管理、计费、安全和法定合规目的自主决定处理方式的信息，我们是个人信息处理者； 对企业客户通过 API 提交并由我们按照其指示处理的个人信息，我们通常作为受托处理者。
2. 我们处理的信息
- 账户信息：邮箱、昵称、密码哈希、企业资料、联系人及您主动提供的信息。
- 认证与安全信息：API Key 的掩码和哈希、会话标识、登录记录、IP 地址、设备与浏览器信息。
- API 内容：您或您的终端用户提交的请求、附件、提示词，以及上游模型返回的响应。
- 用量与性能数据：模型、Token、请求时间、费用、延迟、错误、速率限制及路由状态。
- 交易信息：充值金额、订单号、支付状态、账单与发票资料。支付账户的完整敏感凭证通常由支付服务商处理。
- 沟通信息：工单、邮件、问题反馈及与客服的沟通记录。
3. 处理目的
我们仅在合理、必要范围内将信息用于：
- 创建和维护账户，签发与验证 API Key；
- 转发 API 请求、返回模型响应并提供模型路由与故障排查；
- 计算用量、扣减余额、完成支付、对账、开票和审计；
- 防止欺诈、滥用、网络攻击、密钥泄露及其他安全事件；
- 提供客户支持、发送服务通知并改进可靠性与用户体验；
- 遵守法律法规、监管要求及有权机关的合法要求。
在法律及适用上游条款允许的范围内，我们不会超出提供 NexusFlow 服务所必需的范围，使用您的 API 请求或响应训练我们的自有模型。
4. 处理依据与客户责任
我们根据履行服务协议、取得的同意、履行法定义务以及保障网络与交易安全所必需的合理目的处理信息。 当您通过 API 提交其他自然人的个人信息时，您应确保具备适用法律要求的合法性基础，完成必要告知并在需要时取得有效同意。
除非已采取适用法律要求的额外保障措施，请勿通过本服务提交不必要的敏感个人信息。请在业务可行时进行去标识化、最小化处理， 并避免在提示词中放入密码、支付凭证、身份证件号码或其他不需要由模型处理的高风险信息。
5. 共享、委托处理与上游服务商
我们可能仅在提供服务所必需的范围内向下列接收方提供信息：
- 上游 AI 模型与基础设施服务商：处理请求、生成响应、提供算力、存储或网络能力。
- 支付、邮件与客户支持服务商：完成充值、通知、工单及相关业务。
- 专业顾问与关联主体：在承担不低于本政策保护义务且确有必要知悉时处理。
- 有权机关或交易承接方：法律要求，或合并、重组、资产转让时依法进行必要披露。
我们会对受托方进行合理审查，通过合同、安全措施和权限控制限制其处理目的。我们不会出售您的个人信息。
6. 跨境处理
NexusFlow 聚合多个模型。您选择的模型、服务区域或上游服务商不同，API 请求和响应可能在您所在地以外的司法管辖区处理。 我们将在模型页面、控制台、订单或其他书面文件中提供合理可得的数据流向信息，并根据我们的法律角色履行跨境处理义务。
企业客户应根据自身数据来源、用户范围和处理目的完成必要的告知、同意、安全评估、标准合同、认证或其他合规程序。 如需确认特定模型的处理区域，请在投产前联系我们。
7. 保存期限与删除
我们仅在实现本政策所述目的所需的最短合理期限内保存信息，并综合考虑账户状态、争议处理、安全审计、财税与其他法定保存要求。 不同模型的上游保留规则可能不同，我们会尽合理努力向企业客户提供相关信息。
账户注销或委托处理关系终止后，我们将依照法律、双方约定及有效请求删除、匿名化或返还相关信息； 依法需要继续保存的部分将被隔离，仅用于法定目的，保存期限届满后删除或匿名化。
8. 安全措施与事件通知
我们采用访问控制、传输加密、密码与 API Key 哈希、日志审计、速率限制、异常检测、备份及最小权限等措施保护信息。 但互联网服务无法保证绝对安全，您也应妥善保管账户和密钥，限制生产环境权限并及时轮换泄露凭证。
发生或疑似发生个人信息泄露、篡改或丢失时，我们将及时开展调查、处置和减损；对企业客户受托处理的数据， 我们将在发现后二十四小时内提供初步通知，并持续更新合理可得的影响与处置信息。依法需要通知个人或主管机关的，我们将履行相应义务。
9. 您的权利
在适用法律规定的范围内，您可以请求查阅、复制、更正、补充或删除个人信息，撤回基于同意的授权，注销账户， 或要求我们说明处理规则。企业终端用户针对客户业务数据提出请求时，我们可能将其转交相应企业客户处理。
为保护账户安全，我们可能在处理请求前核验身份。法律另有规定、请求明显不合理，或可能损害他人合法权益时，我们可能依法限制或拒绝请求并说明理由。
10. Cookie 与本地存储
我们使用必要的 Cookie 或本地存储维持登录会话、保存基础偏好并保障安全。您可以通过浏览器设置清理或限制这些技术， 但禁用必要 Cookie 可能导致登录、控制台或部分安全功能无法正常使用。
11. 未成年人
本服务主要面向具备相应民事行为能力的开发者和组织。未成年人应在监护人同意和指导下使用。 如您发现未成年人在缺乏必要授权时向我们提供了个人信息，请联系我们处理。
12. 政策更新与联系我们
我们可能因服务、法律或安全要求更新本政策。涉及处理目的、信息种类、保存期限、跨境传输、第三方共享或您的权利等重大变更时， 我们将通过网站、控制台或您预留的联系方式提前通知，并在法律要求时取得同意。
如需行使权利、咨询数据流向或报告安全问题，请发送邮件至 support@nexusflow.hk。