隐私政策
生效日期： 2026 年 8 月 26 日
最近更新： 2026 年 10 月 23 日
主体： Enid Ltd（“CastReader”或“我们”）
服务： CastReader 移动 App、浏览器扩展、castreader.com 网站及 api.castreader.ai 生产 API（合称“本服务”）
本政策说明 CastReader 会处理哪些数据、处理原因以及你可以做出的选择。数据处理方式取决于具体工作流：部分提取在设备本地完成；语音、账户、文档、解读和私人声音克隆则需要服务端处理。
1. CastReader 提供什么
CastReader 为受支持的网页、书籍、PDF、DOCX、EPUB、图片或截图以及粘贴文字提供朗读和 Read & Explain 工作流。文档可以从你的设备导入；如果你主动选择连接账户，也可以从 Google Drive、Dropbox、Microsoft OneDrive 等云存储服务导入。官方平台包括 iPhone 和 iPad、Android、Chrome、Edge，以及部分网页账户或上传流程。
CastReader 不绕过 DRM、付费墙、来源权限或访问控制。你只能提交自己有权访问和处理的内容。
2. 我们处理的数据
2.1 账户数据
部分免费浏览器朗读无需账户即可开始。购买或管理 Pro，以及让 Pro 权益在支持的平台保持一致时，必须使用邮箱登录。根据登录提供方，我们可能处理：
- 账户 ID 与提供方 ID；
- 邮箱地址；
- 登录提供方返回的显示名称和头像；
- 认证会话与安全元数据；
- 订阅状态与账户—设备关联。
这些数据用于登录、账户安全、权益判断、客户支持和跨平台 Pro 一致性。Pro 绑定登录邮箱，而不是只绑定匿名设备。
2.2 设备与产品分析
CastReader 可能生成随机设备标识，并处理安装、会话开始、朗读开始或结束、功能使用、进入价格页、结账进度和错误等产品事件。事件属性可能包括 App 或扩展版本、来源平台、内容类型、粗粒度网站域名、漏斗 ID 和非敏感诊断信息。
我们用这些信息运营服务、排查故障、衡量产品漏斗、防止滥用并改进受支持流程。分析事件不会有意包含你正在阅读的完整正文。
通过 Google API 获取的数据不适用本节。Google Drive 的文件内容、文件名、文件标识、文件夹路径、搜索词和 Drive 账号标识，绝不会进入分析、漏斗衡量或增长指标。详见 §2.6。
可选的 iOS 安装统计
对于使用国际服务线路且符合条件的新安装，CastReader 可以使用 Google Analytics for Firebase 和 Google Ads，衡量哪些广告带来了 App 安装和首次打开。只有你允许 Apple 的跟踪权限后，才会开启 Firebase 数据采集。拒绝权限不会限制朗读、解读或其他 App 功能。中国服务线路不启用这项统计。
开启后，Google 会收到随机生成的 App 实例标识、App 和设备的技术信息（例如 App 版本、操作系统、语言和设备型号）、根据网络信息推算的大致位置，以及首次打开、会话、基本使用情况和经过验证的 App 内购买等事件。经你允许，我们还会统计粗粒度的朗读与解读进度、登录成功、付费页展示和结账结果。登录不等于新注册，试用或结账成功也不等于实际付费收入。购买事件可以包含商品、价格和币种，不会发送银行卡信息。这些事件可关联到 Google Ads，用于衡量广告效果。CastReader 不会向 Firebase 发送你的账号标识、邮箱、阅读正文、书名、来源网址、导入文件、录音或已关联书架的数据。通过 Google API 获取的数据仍受 §2.6 约束，不用于广告衡量。
此接入不采集 Apple 广告标识符（IDFA）或供应商标识符（IDFV），且关闭广告个性化。Apple 还可以通过 SKAdNetwork 单独提供保护隐私的聚合安装归因，无需跟踪权限；这些报告不包含你的 CastReader 账号或阅读内容。
你可以在 CastReader 设置中关闭“分享广告效果统计”，也可以在 iOS 设置中撤回跟踪权限。关闭后将停止后续 Firebase 采集，不影响订阅，也不会删除此前已处理的聚合报告。有关适用的访问或删除权利，你可以联系我们。Google 根据其隐私政策处理衡量数据；另见 Google 如何使用来自 App 的数据。
2.3 阅读与解读内容
为了完成你主动发起的请求，相关内容可能需要被处理，以进行文字提取、OCR、语音合成、同步高亮或生成解读。根据平台与来源：
- 部分页面提取或 OCR 可以在设备本地完成；
- 生成语音所需文字会发送到 api.castreader.ai；
- 当工作流需要稍后访问、历史、进度或删除控制时，上传文件或书架记录可能被保存；
- Read & Explain 会把相关原文和指令发送给所配置的模型服务。
CastReader 默认不会把私人用户内容变成公开 SEO 页面，也不会用私人阅读内容建设公共音色目录。可用性、存储和删除方式因工作流而异；对应产品界面和支持团队可以说明某个项目可用的控制方式。
2.4 音色偏好与私人声音克隆
预设音色选择、收藏和最近使用记录会根据客户端存储在设备本地或已登录账户中。
私人声音克隆通过专用网页工具向已登录账户提供。所有已登录的免费和 Pro 用户都可创建多个私人声音，并播放每个声音的服务端固定试听；任意文字生成、朗读和解读需要 Pro（包含有效 trialing 试用状态），并共享每会员月度周期 120 分钟（7200 秒）额度。该流程会处理：
- 通过浏览器麦克风直接录制的 3–30 秒参考声音；公开流程不支持上传现成音频文件；
- 用户明确确认自己拥有该声音，或已取得所需权利和授权；
- 仅归属该账户的克隆 ID、生命周期状态、参考哈希和授权版本；
- 使用本人克隆声音或已接受的 Voice Gift 发起的语音生成请求。
参考录音在进入对象存储前使用 AES-256-GCM 加密，存储对象只包含密文，并通过已认证账户进行访问校验。账户可以列出、试听、选择和删除自己的多个私人克隆。私人克隆不会加入公共音色目录，也不会作为公开页面被索引。创建、删除和固定试听不消耗 120 分钟应用额度；删除其中一个声音不影响其他声音。额度记录只计算成功生成的音频真实时长，并通过幂等键避免重复扣除；失败、取消、超时或质量拒绝不扣额度，缓存音频重播也不会再次扣除。
全球区与中国区的用户、登录、账户、数据库、对象存储和算力线路完全隔离；声音数据与权益不会跨区同步。
Voice Gift 让在世的声音本人授权他人将自己的声音用于私人、个人用途。当前网页流程中，已登录的请求者可创建开放邀请链接，无需指定邮箱。尚未完成的邀请在创建 48 小时后失效。受邀者可作为访客，通过麦克风录制 5–60 秒声音，收听固定试听，并明确授权后发送。打开链接或收听试听本身不构成授权。请求者不会成为声音所有者；请私下分享邀请链接。
为提供此流程，CastReader 会处理参考录音及其哈希值、请求与授权标识、相关账户 ID、个人文本转语音用途、同意版本、令牌哈希值及各阶段的时间记录。浏览器会保存私人交付回执和撤销凭证。旧版绑定邮箱的流程还会处理邮箱地址、单向哈希值和脱敏形式，用于身份核对与通知；当前访客流程不要求填写邮箱。
授权通常持续有效，直至被撤销。邀请的 48 小时有效期不等于声音授权期限。旧版客户端可能使用 7、30 或 90 天到期的授权。撤销授权、接收者移除、删除源音色或授权到期，都会终止相应访问。获赠声音始终属于私人声音，不会加入公开目录。
CastReader 当前不支持逝者声音重现。请勿上传逝者录音或尝试重现其声音。亲属关系、持有旧录音或一般录音授权，均不能替代此类流程所需的专门授权。
未经必要权利和明确授权，请勿提交他人的声音。不得使用 CastReader 冒充、欺骗、诈骗他人，或把合成语音虚假归因于他人。
2.5 支付
支付服务商取决于你的订阅渠道。网站购买由 Stripe 处理；在 Mac App Store 版 CastReader for Safari 应用内购买的订阅由 Apple 通过 App 内购买处理。支付服务商按其隐私条款处理付款方式；CastReader 不接收或存储完整银行卡号。
为向同一个已登录的 CastReader 账户提供和维持 Pro 权益，我们会收到套餐、订阅状态、交易标识与日期，以及服务商提供的有限账单信息。对于 Apple 购买，Mac 应用会将 Apple 签名的交易和与账户关联的标识发送给我们的服务器，用于验证、归属检查、续订、恢复购买和撤销处理。Apple 负责管理 Apple 订阅的账单信息。
2.6 Google Drive 数据（有限使用）
连接 Google Drive 完全可选，使用 CastReader 不以此为前提。当你主动选择连接时，CastReader 申请 https://www.googleapis.com/auth/drive.readonly 权限，且只用于一个目的：让你在 CastReader 内浏览和搜索自己的 Drive、选择一个文档，并打开它进行朗读或 Read & Explain。
CastReader 对通过 Google API 获取的信息的使用与向任何其他应用的传输，均遵守 Google API 服务用户数据政策，包括其中的有限使用（Limited Use）要求。
对通过 Google API 获取的数据，具体而言：
- 我们仅将其用于提供和改进你明确请求的面向用户的浏览、导入、朗读、高亮与解读功能。
- 我们不将其用于广告、再营销或任何形式的个性化、定向广告。
- 我们不将其用于开发、改进或训练通用的、非个性化的人工智能或机器学习模型。
- 我们不出售这些数据，也不将其用于产品分析、漏斗衡量、增长指标、市场营销或用户画像。
- 我们仅在为提供你所请求的功能所必需的范围内传输这些数据——你打开的那份文档的文字会发送给我们的语音与解读处理方，用于为该文档生成音频和解读——或为遵守适用法律，或在获得你明确的事先同意后作为并购交易的一部分。这些处理方受合同约束，不得将数据用于训练其自有模型，也不得用于响应你请求之外的任何目的。
- 我们的员工不会读取你的 Google Drive 数据，除非：你为自己发起的具体支持请求给予明确同意；出于安全目的（例如调查滥用）；或法律要求。确需此类访问时，我们会尽可能使用聚合或去标识化的数据。
CastReader 只申请只读权限，绝不会在你的 Google Drive 中创建、修改、重命名、移动、删除或上传文件，也不会对你的 Drive 做后台同步、内容索引或自动扫描。
CastReader 不会在服务器上保存 Google Drive 原始文件的字节。CastReader 文库中的 Drive 项目在设备本地只保存为一个引用（已连接的账号、文件标识和版本号）以及标题等基础元数据；再次打开时会重新从 Google Drive 下载到你的设备。
你可以随时在 CastReader 内解除 Google Drive 关联，这会撤销授权并删除设备上保存的令牌与缓存元数据。你也可以随时在 myaccount.google.com/permissions 撤销 CastReader 的访问权限。
3. 浏览器与移动端权限
CastReader 只请求已安装平台所需权限。例如：用户主动发起提取时访问当前浏览器标签页；扩展存储用于保存设置；用户主动录制声音参考时使用麦克风；选择导入内容时访问照片或文件。你安装的具体版本会通过操作系统或浏览器权限界面展示所请求权限。
生产 TTS 与声音服务使用 api.castreader.ai；权威网站、账户、分析和支付页面使用 castreader.com。
4. 我们如何使用数据
我们处理数据用于：
- 提供语音、提取、高亮、进度、解读、账户与私人声音功能；
- 认证用户并保持 Pro 权益一致；
- 处理付款和管理订阅；
- 保护服务、执行频率限制并防止欺诈或滥用；
- 排查可靠性和兼容性问题；
- 回复支持请求；
- 履行法律义务并执行服务条款。
我们不出售个人数据或私人阅读内容，也不把私人阅读内容或私人克隆声音用于广告。
本节列举的用途针对 CastReader 数据的一般情形。通过 Google API 获取的数据适用 §2.6 中范围更窄的有限使用条款；两者不一致时，以 §2.6 为准。
5. 服务提供商
我们会使用基础设施、认证、支付、分析、语音和模型处理服务商。它们只接收完成所请求功能所需的数据，并按其条款和我们适用的协议进行处理。公开的关键依赖包括处理网站支付的 Stripe、处理 App Store 订阅的 Apple，以及所选语音或解读流程所需的模型和基础设施服务商。
通过 Google API 获取的数据，仅按 §2.6 所述，共享给完成你对该份文档所发起请求所必需的语音与解读处理方，不会共享给分析、广告或市场营销服务商。
6. 存储、保留与安全
我们根据工作流使用 HTTPS 传输、访问控制、账户所有权校验和相应运营保护措施。私人声音参考录音在进入对象存储前会被加密。任何系统都无法保证绝对安全。
保留时间取决于处理目的：
- 认证、订阅、授权、安全和交易记录会根据账户运营及法律义务保留；
- 分析和运营日志按产品、安全和可靠性需要保留；
- 上传项目、历史与进度记录根据工作流及其删除控制保留；
- 私人克隆声音及其有效参考数据会保留至用户删除、账户关闭，或因安全及法律原因需要继续保留。主动系统中的删除不一定会立即清除加密备份；
- Voice Gift 授权和邀请记录会在其有效生命周期内保留，并根据授权、安全、防滥用和法律义务继续保存。取消邀请、撤回、接收人移除、到期或删除源音色后，相应活动访问会终止，即使授权记录仍需保留；
- Google Drive 的访问令牌与刷新令牌仅存储在你的设备上，会在你解除 Google Drive 关联、授权被撤销或卸载 App 时删除。Drive 原始文件字节不会在我们的服务器上保留；为朗读而下载的副本存放在你设备上受保护的临时目录中。
7. 你的选择与权利
根据所在地区，你可能拥有访问、更正、删除、限制或导出个人数据的权利。你还可以：
- 无需注册即可使用受支持的免费浏览器工作流；
- 退出登录或解除账户—设备关联；
- 清除本地 App 或扩展存储；
- 在对应客户端删除受支持的上传项目或私人克隆声音；
- 通过当前客户端提供的操作移除收到的 Voice Gift；如没有相应入口，可联系支持人员协助取消请求或撤销授权；
- 在 App 内解除已连接的云盘账号，或在 myaccount.google.com/permissions 撤销 CastReader 的 Google 访问权限；
- 通过账户页面和 Stripe 管理或取消网站订阅，或在 Apple 账户的订阅设置中管理或取消 Apple 订阅；
- 联系我们申请账户或隐私协助。
处理请求前，我们可能需要验证你的身份。
8. 儿童隐私
CastReader 不面向 13 岁以下儿童，或用户所在司法辖区规定的最低年龄。我们不会在明知其无法合法同意时为儿童创建账户。如果你认为儿童不当提供了个人数据，请联系我们。
9. 跨境处理
CastReader 及服务提供商可能在你所在国家或地区以外处理数据。法律要求时，我们会采用适当的跨境保护措施。
10. 政策变更
产品、法律或服务商发生变化时，我们可能更新本政策。更新日期会在本页公布，并在法律要求时提供额外通知。
11. 联系方式
如有隐私问题或请求：