Shello 隐私政策
简而言之：我们收集您的账户信息、上课对话记录，以及一份帮助导师把您教得更好的学习者档案。课程由我们核查过数据保留条款的 AI 服务商处理；除非您主动选择加入，对话内容绝不会用于训练模型。没有广告，不出售数据，没有第三方跟踪器。您随时可以导出全部数据。删除账户会立即清除您的个人信息；之后我们只保留匿名化的对话记录，因为让导师进步的是这些记录，而不是您本人。
我们收集什么
- 账户基本信息：您的邮箱地址，以及您设置的显示名称（如有）。
- 上课对话记录：您与导师对话的文字内容。
- 您的学习者模型：您学过哪些概念、对每个概念表现出多少理解，外加一份导师每节课前都会读、用来按您的情况调整教法的特质档案：您的节奏、您喜欢多具体的讲解、您遇到困难时的反应，以及您告诉过我们的任何目标。
- 使用记录：为了计费准确和控制成本，我们会记下代您发起的每一次 AI 调用用了多少 token、花了多少钱。这些记录不含您的对话内容，只有关于该次调用的元数据。
- 使用与回访事件：由我们自己记录的、您何时打开 Shello 又何时回来的记录，只用来衡量产品是否真的有效（例如第 4 周回访率和留存率）。我们没有为此使用第三方分析服务商，Shello 之外也没有人看得到这些数据。
您的上课内容如何处理
Shello 的导师基于 AI 语言模型运行。为了生成回复，您的对话会被发送给托管该模型的公司（下称“模型托管商”）。下面具体说明我们对这些数据会做什么、不会做什么。
我们的主要托管商是 Fireworks AI，运行的是 DeepSeek 模型。Fireworks 默认采取零数据保留的做法：它不会持久存储您的提示内容；就连用来让回复更快、更便宜的短时缓存，也只存在于易失性内存中几分钟（按我们自己的测量，大约 15 分钟）就会消失。Fireworks 不会用您的对话来训练 DeepSeek 或任何其他模型。截至 2026-08-15，我们已在自己的账户上直接核实了这些条款。
如果主要托管商不可用，一节课可以转由同一个 DeepSeek 模型接手，只是改在另一家基础设施托管商上运行；在更糟的情况下，则转由 Anthropic 的 Claude 接手。切换只会在两节课之间发生，绝不会在一节课进行中发生：对话绝不会因为换了模型而中途被打断。
Anthropic 的 Claude 在启用时，还用于几项特定的内部功能：以练习用的对话记录测试和评分导师的教学质量；在您删除账户时执行对话记录的匿名化改写（见下文“删除您的账户”；那一步确实会处理您真实的对话内容，只做一次，目的是从中去除您的个人细节）；以及充当上文所述那个较差但安全的备用方案。同样的“不用于训练”规则适用于以上全部。
在每一家托管商，除非您明确选择加入，您的对话内容绝不会用于训练任何 AI 模型。这是我们一贯的承诺，不是服务商的默认设置；我们正是为此才选择了条款允许我们守住这个承诺的托管商。
我们不做什么
没有广告。我们不会把您的个人信息卖给任何人，不论出于任何理由。没有第三方跟踪或广告 Cookie。
登录，以及您的登录状态存放在哪里
您用邮箱收到的登录链接登录：没有密码，也就没有密码可以泄露。登录之后，您的登录令牌存放在您的设备本地：在手机上存于操作系统的安全凭据存储区，在使用需登录的网页版应用时则存于浏览器的本地存储。每次请求时它会随之发回我们的服务器，用来证明是您本人；它不是跟踪 Cookie，也没有别的东西会读取它。我们的登录系统也会像任何认证系统一样，随每次登录记下标准的技术数据，即您的 IP 地址和浏览器／设备类型，用于检测滥用等安全目的。
日志
我们的服务器不会把个人信息写进日志。提示内容，也就是发往和来自 AI 模型的文字，只会在我们自己的开发环境记录，生产环境绝不会。这是一条硬性的工程规则，不是政策上的愿望。
您的数据：先导出，想删就删
随时导出
您随时可以在应用里把自己全部数据的完整副本导出为 JSON 文件：不用等，也不用提交客服工单。我们宁可您带着数据离开，也不要您走不了。
删除您的账户
删除由您自行操作，在应用里完成，分两个阶段进行。
第一阶段每次都会立即、完整地完成。我们会永久删除您的登录认证记录、特质与关系档案、闪卡、笔记与划线，以及您正在读的章节版本。您的邮箱和显示名称会换成一个随机、无意义的标识符。每个概念您答对什么、答错什么的文字小结（像“x² 求导算对了，但说不出答案代表什么”这一类）也在这里删除；那些原本就是写给您看的记录，会随您一起离开。
第二阶段把您的上课对话记录匿名化，而不是删除。原因直说如下：导师是用模拟学习者的练习对话来调校的，不是用您的；但匿名化后的真实对话记录，是我们核查教学是否有效的依据，也是这个项目长期积累下来的记录。所以我们不销毁它们，而是改写：由 AI 程序而不是人来做，在上文所述的其中一家模型托管商上运行，并受同样的“不用于训练”条款约束，目的是去掉姓名、地点和其他涉及个人的内容，同时完整保留教学内容。改写完成后，您的账户就不可逆地去标识化了：从匿名化的对话记录，没有任何路径可以回溯到您。底层那份结构化的学习证据记录（哪个概念、哪一类证据、什么时候、是通过导师教学还是自行阅读达成）会保留，因为导师系统和留存研究都建立在它上面；它已与您的身份脱钩，无法追溯到您。计费账目（用了多少 token、花了多少钱）会为财务记账而保留，只关联到匿名化后的账户，再也不会关联到您的名字。
如果匿名化这一步无法马上完成（系统限制、临时故障），第一阶段照样会完整完成，不会有任何东西半途暴露在外。您只需再要求一次：同一个删除请求会接着把工作做完。它的设计是能够重试，而不是做到一半就停在那里。
第零阶段留存研究
如果您是 Shello 第零阶段测试用户组的一员，您的学习成果正在被测量；这个测试存在的目的，就是回答“它到底有没有真的教会什么”这个问题。这项测量依据的是另一份单独、明示的同意，是在招募您加入测试用户组时获得的，并没有藏在这份政策里。这项研究的数据只由我们自己持有：我们不会与任何外部研究伙伴或服务商共享，也不会从他们那里获取。
这项测量的一部分是模式分配。在您参与测试期间，章节会以不同的模式打开——有的以导师对话开始，有的以正文开始——这样两种学习方式才能被公平地比较。章节以哪种模式打开从来不是强制：切换只需一步，您的选择永远优先；分配结果和您的选择都会作为研究的一部分被记录。
您的权利
不论您身在何处，您都可以要求我们：
- 查看我们持有您哪些个人信息（查阅权）
- 获取一份副本：已可自行操作，见上文“导出”
- 更正任何有误的内容
- 删除您的账户和个人信息：同样可自行操作，见上文
对欧盟／欧洲经济区和英国的学习者，这些对应到您在《通用数据保护条例》（GDPR）第 15 至 17 条下的权利。如果 Shello 日后在中国大陆推出服务，它会以完全独立的部署运行，并受中国《个人信息保护法》（PIPL）规范；两边之间不会有任何学习者数据跨境流动，这是设计使然。这项服务目前并不存在。
凡是应用里不能自行完成的事项，请联系我们：[联系邮箱]。
对象与年龄
Shello 面向的是成年人，以及自主选择学习的年龄较大的学生。它不面向儿童；如果您未满 13 岁，请不要使用。这是本测试阶段的最低年龄；个别司法管辖区可能要求更高的年龄，会在法律审阅后确定。儿童版产品或许有一天会出现，但今天没有；它会需要自己的同意机制和自己的一版政策。
上传书籍（稍后推出）
Shello 最终会让您上传自己的书，让导师依据它们来教。这项功能尚未上线，但我们现在就先把规则说清楚，在它推出之前：您上传的任何内容，都严格只属于您。它只会为了向您提供服务而处理；不论在代码里还是其他地方，都没有任何路径能让另一个账户读取它。这由数据库本身强制执行，而不只靠应用逻辑。
这是谁在运营，以及该找谁
Shello 由 [运营主体] 运营，受 [管辖法律] 管辖。关于这份政策或上文任何内容的问题：[联系邮箱]。