隐私政策

版本 1.1 · 更新日期：2026年10月19日 · 生效日期：2026年10月16日

本政策说明 MiraDay 如何处理个人数据。我们的个人信息声明（亦称“个人信息处理告知”或“候选人隐私告知”）详细说明我们对 F2D 中职业资料的处理。

概览

我们是谁。 Forward AI Labs, Inc.（“MiraDay”“我们”）提供 MiraDay。MiraDay 是一款面向全球的人才智能产品，部署在 miraday.ai 网站，专为企业内部招聘团队和猎头公司打造，重点支持高管、管理层及技术类核心岗位招聘。

我们如何处理数据。我们管理账户、运营 F2D（Fast to Data），并按客户指示处理客户数据。F2D 是我们的招聘数据基础设施，汇集职业资料、公司信息和职位信息。我们的角色取决于具体活动（第1.2节）。

职业数据贡献。在正常使用过程中，客户工作空间内新添加或更新的、符合条件的职业信息字段将纳入 F2D，并可能与其他客户共享，供招聘使用（第2.4节）。已连接账户的数据和被排除的内容不会纳入贡献范围。

您的权利。您可通过隐私中心、隐私请求页面或privacy@miraday.ai询问您的数据、行使适用权利及管理营销选择（第5章）。

查找适用于您的内容

MiraDay 用户及客户联系人。本政策涵盖您的账户、对服务的使用以及与我们的互动。第1.4节及第2.1节说明工作空间隔离和组织访问。审查我们的处理或安全安排的客户，亦可查阅数据处理附录（DPA）。

候选人及其他专业人士。对于我们的 F2D 处理，请阅读第2.3节、第2.4节及个人信息声明。对于按雇主或招聘人员指示处理的数据，适用其隐私告知；第2.2节说明我们如何协助。这两种情况可能分别适用于您数据的不同副本，即使您同时也是 MiraDay 用户，也可能如此。

网站访客。第2.5节、第5章及Cookie 政策说明网站数据及选择。

1. 关于 MiraDay 及本政策

1.1 MiraDay 及我们的角色。 Forward AI Labs, Inc.提供 MiraDay。为自身独立目的处理数据时，我们作为控制者；依据 DPA 按客户以可留存形式记录的指示处理个人数据时，我们作为处理者。

有关隐私问题或请求，请使用privacy@miraday.ai或上述隐私页面。完整联系方式见第11章；处理地点见第9章。

1.2 我们的角色取决于具体活动。个人工作空间的客户为个人；组织工作空间的客户为组织。我们的主要角色如下：

活动

我们的角色

2. 我们收集的个人数据及其来源

2.1 用户：您的账户及使用 MiraDay 时产生的信息。当您创建账户或使用服务时，我们收集：

账户及身份数据。您提供的姓名、工作邮箱、密码哈希值、职位、公司、头像、时区及语言。组织管理员邀请您时，可提供您的姓名及邮箱。

组织数据。工作空间名称、邀请、成员资格、角色、权限及席位分配，由组织管理员提供或通过组织使用生成。

账单数据。我们从您及 Stripe 处取得的套餐、各工作空间的 Credits 余额及使用记录、发票、账单联系人、卡类型及末四位号码。完整卡号直接提交至 Stripe，我们从不保存。

使用及产品数据。您使用服务时产生的功能使用事件、浏览页面、点击、会话时长及错误报告。在适用情况下，搜索、提示词、任务及相关记录按客户指示处理。

内容及输出结果。文档和文件，包括职位描述及报告；频道消息、笔记、评估标准及联系草稿；已保存搜索、模板、客户创建的 Skill 及工作流指令；使用相关功能时的语音输入、上传音频及转写文本；任务输入及生成结果。这些由您提供或由服务生成。按指示处理的内容、输出结果及相关记录中的个人数据适用第2.2节。

通信。您提供的支持工单、与我们团队的聊天、问卷回复及 AI 输出结果反馈。

技术数据。来自设备的IP地址、设备、操作系统、浏览器、由IP推导的大致位置及 Cookie 标识符。详见 Cookie 政策。

诊断数据可能包括标识符、功能事件、错误、性能数据及必要且经授权的任务内容；不必要的登录凭据及无关内容不包括在内。

法律不要求您提供个人数据。创建账户需要您提供姓名和工作邮箱，提供付费套餐还需要账单资料；如果缺少这些必需信息，我们将无法提供相关服务。其他信息为可选。组织访问您的信息的安排见第1.4节。

2.2 代表客户处理的个人数据。客户上传、导入、输入或采集有关候选人、授权用户、招聘联系人、推荐人及其他人士的数据。这可能包括简历、申请、面试笔记和反馈、邮件及附件、插件捕获、音频及转写，以及第2.1节所述任务内容和输出结果。我们依据 DPA，按相关客户以可留存形式记录的指示处理这些数据，包括托管其保存在工作空间中的 F2D 数据。

联系您或收到您申请的雇主或招聘人员，是其处理活动的控制者，并负责其告知及招聘决定。如果您不确定哪一客户持有您的数据，可询问我们；在法律允许的情况下，我们会告知您是哪一客户。有关该客户处理活动，请联系该客户；发送给我们的请求会在无不当延误的情况下转交，并按 DPA 要求提供协助。除非获得授权或法律要求，我们不会代客户决定如何答复。

贡献符合条件的数据，是第2.4节及 DSA 规定的一项独立活动，不会使原始工作空间内容失去 DPA 保护。返还和删除按第7章处理；AI 处理按第3.2节处理。

2.3 F2D 中的候选人。本节涵盖我们对职业资料的独立处理，无论其来自公开来源、数据提供商、客户贡献还是插件。F2D 还汇集公司和职位信息。本节及个人信息声明涵盖职业资料和相关公司或职位记录中的个人数据；不属于个人数据的信息不在其适用范围内。个人信息声明为这些个人信息提供详细告知。

职业资料数据。资料可包含以下职业信息字段类别，受适用的来源及字段限制。并非每份资料都包含每个字段。

类别

职业资料字段

职业身份及资料链接

姓名及公开职业资料标识符或网址

任职经历

现任及过往职位、雇主、部门和任职日期

教育背景及资格

教育背景、专业资格及认证

技能及专长

专业技能、语言及专业领域

工作所在地及公开成果

城市或地区层面的工作所在地，以及公开职业出版物、成果或作品集的链接

工作联系方式

合法取得的、供个人以职业身份使用的工作邮箱及工作电话号码

我们采用适当技术措施区分工作和私人联系方式；无法确定其属于哪一类的字段，不符合贡献或交付条件。

来源及使用。 F2D 使用公开职业信息来源、授权数据提供商、符合条件的客户贡献数据及插件采集。每条路径均适用自身的来源许可、字段限制以及告知和权利保障，具体见个人信息声明。

我们作为独立控制者，为第3章所述目的处理 F2D，并按 DSA 向客户共享允许的资料用于招聘。准确性及保留见第7章；权利见第5章。我们不将特殊类别、刑事犯罪或儿童数据纳入 F2D，也不使用服务推断敏感或受保护特征。客户控制的内容依据 DPA 按合法指示处理。

候选人告知。我们负责自身 F2D 处理所要求的告知，主要在存在合法送达渠道时通过电子邮件进行，详情见个人信息声明。我们将记录通知、送达及所依赖的任何例外。对于从本人以外的来源取得的个人数据，我们会按照适用于相关处理活动的数据保护法律履行告知义务，包括欧盟《通用数据保护条例》（EU GDPR）和英国《通用数据保护条例》（UK GDPR）各自第14条规定的要求。所需信息须在取得数据后的合理期限内提供，最迟不超过一个月，并视情况最迟在首次通信或首次披露时提供。暂不交付不会消除更早的告知期限；将数据写入 F2D 不会重新起算该期限。

当个别告知不可能实现或涉及不成比例的付出时，适用例外须有记录在案的评估及保障，包括公开可用的信息和权利渠道。缺少邮箱、规模或成本本身均不构成一概适用的例外。既未完成所需告知，也没有依法适用且已记录的例外时，我们不会交付记录。有效异议、限制及屏蔽继续阻止其覆盖范围内的处理。

2.4 客户数据贡献。

客户工作空间内符合条件的职业信息字段将通过贡献通道纳入 F2D。本节说明哪些数据可以贡献、我们如何独立使用这些数据，以及双方各自的角色；服务条款和 DSA 规定相应的贡献及共享义务。

2.4.1 符合贡献条件的数据。只有第2.3节及 DSA 附件1所列职业信息字段类别中，符合条件、以结构化形式保存且与招聘相关的字段值，才可纳入贡献范围。我们排除：

完整简历、附件、文件、截图及页面捕获；面试录音及转写文本。

客户笔记、私人标签、评估、评分及面试反馈；消息、提示词、任务指令及招聘决定。

薪酬、登录凭据、密码及客户机密商业信息。

私人邮箱及电话、家庭住址或精确地址、照片、出生日期和年龄。

特殊类别、刑事犯罪或儿童数据，以及揭示或推断这些类别的字段。

已连接账户内容、提取字段及其他衍生数据，即使某字段列于白名单。

即使数据公开可见，也仍须遵守排除规则、来源限制及个人权利要求。从符合条件的公开或获许可来源独立取得相同字段值时，须另行记录。字段及来源规则必须与个人信息声明保持一致。

2.4.2 使用及角色。个人和组织工作空间均适用贡献规则。贡献范围限于相关条款生效后，在正常使用过程中新添加或更新的、符合条件的字段。不设单独的贡献开关，亦不授权对未变更的历史记录进行批量贡献。

我们使用符合条件的贡献数据核验和维护 F2D，并向其他客户提供获准用于招聘的资料。客户必须为其披露具备合法依据和来源许可。我们依据 DSA 作为独立控制者，处理我们对 F2D 的收录和使用；原始工作空间内容不会因此被移动或删除，仍受 DPA 保护。自独立目的开始之时起，我们自身的法律义务即适用，甚至早于字段写入 F2D。客户协议并非候选人的同意。

在入库及交付前，我们将落实来源及字段限制、开展质量检查，并采取有效的屏蔽措施。匹配到有效屏蔽规则的记录不予纳入或交付；如果尚不能确定数据是否符合条件，或存在相互冲突的限制，须在入库前解决。模型使用遵循第3.2节。

贡献数据遵循第2.3节的候选人告知要求，以及第5章的权利和受影响副本安排。

2.5 网站访客、Cookie 及类似技术。我们收集技术及使用数据，包括IP地址、浏览器、设备、来源页面、浏览页面及页面停留时间。Cookie 及类似技术，包括在使用时的网络信标或像素标签，可在您的设备上存储或访问信息。表单收集您提交的信息。

法律要求同意时，我们会在使用相关技术前取得同意。您可接受或拒绝可选技术，在提供分类选择时选择类别，并随后通过适用的网站控制变更或撤回选择。撤回不影响此前合法处理。非必要的会话回放受适用同意要求约束；我们将防止其记录密码或支付字段输入。Cookie 政策说明技术、用途、到期时间及选择，与第3.2节的交互元数据分析分别说明。

2.6 已连接账户（Google、Microsoft）。您可授权连接Google Workspace或Microsoft 365，以使用与任务相关的邮件功能。我们按以下方式处理已连接账户数据：

访问及使用。访问限于您授权连接时显示的权限及所启用的工具。我们可准备、发送或转发消息，以及阅读或概述任务相关消息、邮件线程和附件。数据仅用于提供和改进您连接该账户时所要使用的面向用户的功能。

存储及共享。保存的内容属于相关频道所在工作空间中的客户个人数据，适用第9章的保障。内容、从中提取的字段及其他衍生数据均不会贡献至 F2D。不用于广告；披露限于经授权的功能、适用提供商要求或法定义务。

模型训练。已连接账户数据绝不用于训练、微调或改进我们自身或第三方 AI 或机器学习模型，无论是原始、汇总、匿名化还是衍生形式。第三方 AI 提供商不得为训练而保留该数据。

人工访问。仅在事先取得您对查看特定邮件、文件或其他数据的明确同意，或相关访问为安全或滥用调查或遵守法律所必需时，我们才允许人工访问。

断开连接及现有任务。您可通过可用的连接管理功能断开账户连接，或撤销第三方授权；撤销后我们停止相应访问。切换工作空间或结束成员资格，本身不会断开账户层面的连接，也不会停止其原频道中的现有任务，包括插件任务。任务数据及 Credits 仍归属于原工作空间，但受合法访问限制、删除指示及权利保障约束。已保存内容按客户指示、提供商限制及第7章处理；断开连接本身不会删除另一客户工作空间的内容。

当第三方网站或连接服务控制其自身处理时，该处理适用其隐私告知。服务条款说明连接服务角色；我们聘用的提供商仍受我们适用的 DPA 及隐私义务约束。

MiraDay 使用从Google API取得的信息时，遵守Google API服务用户数据政策，包括其中的Limited Use（受限使用）要求。

2.7 MiraDay 浏览器插件。插件与您的账户关联；在您登录期间，仅在您主动启用插件的页面上运行。其读取页面内容，并可能捕获截图，以提取资料、填写表单或执行您请求的任务。插件不收集一般浏览历史，并在您退出登录或禁用插件时停止。

所有插件活动都会记录在日志中，包括访问的页面、执行的操作和时间戳，以便复核并调查错误或滥用。敏感操作须经您确认。对话输入框旁的 Stop（停止）按钮会停止当前一轮对话及其任务，包括插件任务；不会撤销已完成的操作或断开连接。

捕获至客户频道的内容，依据 DPA 按该客户指示处理。直接为我们自身独立 F2D 目的进行的采集属于控制者处理，遵循第2.4节的来源、字段、告知及权利保障。从客户采集的内容中进一步贡献数据时，仅限符合条件的结构化字段；完整截图和页面捕获不会纳入贡献范围。按服务条款，禁止在受限网站使用插件；当前名单可向 support@miraday.ai 索取。临时捕获、保存内容及日志按第7章处理。插件权限及安装披露将与本节保持一致。

3. 我们如何使用您的信息及合法依据

3.1 目的及合法依据。下表涵盖 MiraDay 作为独立控制者的目的。客户依据 DPA 自行确定其指示处理的合法依据。同意我们的服务条款，并非候选人的同意。下表所引条文均指适用的欧盟 GDPR 或英国 GDPR 条文。

目的及数据

合法依据及相关利益

账户、订阅及支持管理：账户／联系资料、各工作空间的账单及使用记录、发票和通信

必要时履行与个人的合同（第6(1)(b)条）；为非合同客户的人员提供和管理组织服务的合法利益（第6(1)(f)条）；必需税务／会计记录的法定义务（第6(1)(c)条）

F2D 采集、核验、维护及交付，包括符合条件的贡献数据，以及支持招聘用途的人才、公司、劳动力市场及薪酬研究：相关职业信息字段及来源／交付记录

促成相关招聘机会及维护准确职业资料的合法利益（第6(1)(f)条），并采取来源、字段、告知及权利保障

独立 F2D 匹配、排序及画像分析：合法持有的职业信息

为人工招聘审阅展示相关信息的合法利益（第6(1)(f)条），受第3.2节约束

候选人告知、权利处理及屏蔽：必要标识符、联系方式、限制及问责记录

适用法定义务（第6(1)(c)条）；在必要时支持合法透明度、落实权利及防止被禁止重新入库的合法利益

评估及改进我们的匹配／排序模型：仅限独立取得的公开／获许可 F2D 字段

在来源许可及第3.2节数据用途限制范围内，评估招聘相关性、准确性及偏差的合法利益（第6(1)(f)条）

安全、防止欺诈／滥用及执行规则：必要技术、账户及安全信息

保护服务及人员的合法利益（第6(1)(f)条）；适用法定义务。按客户指示处理的记录仍受 DPA 约束

服务分析及功能改进：不含客户／已连接账户内容的交互元数据，以及适当汇总或去标识化的使用统计

维护及改进服务的合法利益（第6(1)(f)条）；非必要 Cookie 或类似技术要求同意时，依据同意

MiraDay 营销：工作联系人、表单及相关交互数据

在允许时依据合法利益；适用电子营销或隐私法律要求时取得同意。适用退订及异议权

遵守法律及法律主张：相关、必要信息

法定义务（第6(1)(c)条）；确立、行使或抗辩法律主张的合法利益（第6(1)(f)条）

对于基于合法利益的处理，我们评估目的、必要性及与个人利益的平衡。保障包括限制数据及访问、来源和字段限制、准确性及保留复核、告知及权利处理，以及适当安全措施。所需的兼容性评估及数据保护影响评估（DPIA）须在相关处理开始前完成。按客户指示进行的联系与我们的营销及 F2D 告知不同；客户自行确定其合法依据及电子通信合规安排。同意可按第5章撤回。

3.2 AI、画像分析及模型使用。 AI 功能，包括通过 Agent 团队使用的大语言模型及我们自身的匹配模型，用于理解搜索和任务，按岗位要求匹配及排序资料，概述内容，生成支持招聘的研究、报告及邮件草稿，建议后续步骤，并执行请求的插件任务。

匹配功能会将候选人的职业信息与招聘人员提供的岗位相关要求进行比较。结果及其顺序可能影响资料是否以及何时被审阅。MiraDay 提供建议和支持性信息，供人工审阅；雇主或招聘人员负责其使用、有实质意义的监督及招聘决定。这些建议不保证候选人适合相关岗位。我们不将受保护特征作为条件提供，也不会明知而将其或旨在替代这些特征的标准用作匹配／排序输入。我们评估并监测匹配及排序功能的公平性和偏差，并采取合理措施处理发现的问题。

数据使用及模型训练。可以进行提供服务所必需的 AI 推理。按来源区分的限制如下：

数据来源

允许用途及限制

客户内容、工作空间数据、相关使用／服务记录及输出结果，包括纳入 F2D 后的贡献字段及其副本或衍生数据

仅用于提供服务所需的处理及符合条件的数据贡献。绝不用于训练、微调或改进我们自身或第三方 AI 模型，包括汇总、去标识化或匿名化后。故障排查、任务验证及支持仍限于该客户的服务及合法指示；不得纳入通用评测库或用于无关产品改进

独立取得的公开／获许可 F2D 字段，不包括客户贡献及其衍生数据

在合法来源许可范围内，运行、评估及改进我们自身的招聘匹配／排序模型。不用于通用或基础模型训练，也不用于模型提供商的训练

已连接账户数据及衍生数据

仅用于经授权的连接功能，受第2.6节的禁止训练及其他限制约束

交互元数据及汇总／去标识化的使用统计，不包括客户／已连接账户内容及从该内容衍生的数据

用于服务分析及功能改进，不用于 AI 训练或微调。提示词和任务文本仍属客户内容。去标识化不必然使数据匿名化；适用权利见第5章

经批准的 AI 提供商依据适当合同，为经授权的服务功能处理数据，包括遵守适用的禁止训练及输入／输出保留限制。这些提供商在数据处理中的法律角色，取决于第1.2节所述的具体活动。适用提供商名单及可提供的模型、输入、输出结果、局限和评估信息，可根据情况查阅功能说明文档，或向 privacy@miraday.ai 索取。我们依据 DPA 协助客户，并按服务条款规定通知客户匹配／排序的重大变更。

自动化决定保障。决定是否完全自动化并具有法律效力或类似重大影响，取决于实际流程及有实质意义的人工参与。根据欧盟 GDPR 第22条，此类决定通常受到限制，需要适用例外，例如合同必要性、法律授权或明确同意，以及所需保障。根据修订后的英国 GDPR 第22A至22D条，对于使用非特殊类别数据作出的重大完全自动化决定，在符合法定条件的前提下，可能适用更广泛的合法依据。两套制度对特殊类别数据均有额外限制。在适用情况下，保障包括提供信息、陈述意见、人工干预及质疑决定。第5章说明向我们提出请求，以及我们对客户控制决定的协助。

4. 我们如何共享您的信息

我们为下述目的与以下类别的接收方共享个人数据。共享的信息取决于接收方及相关服务或活动。

客户。我们向客户提供允许的 F2D 职业资料信息，供招聘用途使用，包括特定合法招聘委托。客户对所接收的信息作为独立控制者，受服务条款及 DSA 中的来源和用途限制约束。我们按其指示托管或处理其保存的副本时，适用 DPA。

服务提供商。我们向支持托管、存储、任务执行、连接功能、AI 推理、转写、搜索、文件编辑、诊断、分析及通知的提供商，披露运营服务所需信息。其依据适当合同，在按客户指示提供功能时作为子处理者，在我们的独立活动中作为处理者处理数据。

独立服务提供商。我们与 Stripe 共享处理付款和管理订阅所需的账单及交易信息。其他独立提供商接收履行其职能所需的服务相关信息。数据保护角色取决于实际服务及安排。

授权数据提供商。我们共享为经授权的资料核验或丰富，以及更正、删除或屏蔽协作所需的最少量职业信息及标识符。屏蔽信息限于实施相关限制所必需的信息。

客户选择的人员及服务。根据经授权的客户指示，我们通过导出、转发消息或启用的集成披露选定内容、输出结果及相关数据，但受适用来源及用途限制约束。服务条款说明第三方服务及连接器。

您所在的组织。在第1.4节限制范围内，我们向相关组织及其获授权组织管理员提供成员资格和经授权的组织信息，包括姓名、邮箱、角色、席位状态及可用的组织活动记录。

专业顾问。我们披露取得法律、审计、保险或会计意见所必需的信息，但受保密义务约束。

机关及其他依法获授权的接收方。在法律允许时，我们披露为履行合法义务或要求、确立或抗辩法律主张，或保护权利及安全所需的最少量信息。政府请求按第9.3节处理。

买方或继受方。在合法合并、收购、融资或资产出售中，我们披露相关数据，但受保密、持续保护、所需通知及适用传输保障约束。

相关提供商的身份及功能列于相应名单（包括 DPA 附件3），您可向 privacy@miraday.ai 索取相关名单。各项活动的处理地点及数据保留信息另行提供；子处理者变更遵循 DPA 规定的提前通知及异议程序。

我们也可共享已真正匿名化、以致无法再识别个人的统计资料。可识别或仅经去标识化的信息，仍受适用保障约束，包括第3.2节关于客户数据不得用于训练的限制。

5. 您的权利与选择

5.1 您的权利。在符合适用英国或欧盟法律的条件和例外的前提下，您可行使以下权利。我们负责处理涉及自身控制者活动的权利请求，并协助相关客户处理其负责的请求。

权利

含义

访问

询问我们是否处理您的个人数据，并取得数据及所需信息

更正

要求更正不准确或不完整的数据，并进行所需的接收方协作

删除

在法定条件满足时请求删除；可能保留必要、有限的屏蔽记录或法律记录

限制

在法律规定的情形下，要求限制处理

数据可携带权

满足法定条件时，以结构化、机器可读形式接收您提供且符合条件的数据并进行转移，包括相关处理基于同意／合同且自动进行的情形。不适用于仅基于合法利益进行的 F2D 处理，且不同于一般访问或合同导出

撤回同意

撤回对基于同意的处理的同意，不影响此前合法处理

自动化决定保障

根据第3.2节取得适用信息及保障，包括陈述意见、人工干预及质疑决定

投诉

按第5.5节向我们或主管监管机构投诉

您的异议权。您可反对我们基于合法利益的处理，包括相关 F2D 匹配和画像分析。我们停止受影响处理，除非确立法律允许的优先理由或法律主张依据。针对直接营销的异议，包括被视为直接营销的招聘联系，会使该处理停止。针对特定发件人的退订适用于该发件人及相应范围，不会自动删除每一份独立持有的资料，也不会停止必需的隐私／法律通知。请使用我们的隐私页面、privacy@miraday.ai或相关退订机制。我们记录并实施有效限制，防止被禁止的重新入库。

5.2 账户及通信选择。您可在Settings（设置）中，按服务页面显示的确认步骤自行删除用户账户。可通过可用控制更新账户资料及管理连接，或联系support@miraday.ai获取协助，包括删除账户方面的协助。这些操作仍受第1.4节组织访问限制约束。第3.2节的交互元数据分析不设单独关闭选项；适用隐私权利仍可行使。我们将提供并遵守营销及招聘联系的退订机制。Cookie 控制及 Cookie 政策说明网站选择；个人信息声明说明 F2D 选择。

5.3 提交请求。请使用隐私中心、隐私请求页面或privacy@miraday.ai。我们以与风险相称的方式核验身份，仅请求消除合理疑问所必需的信息；经授权的代表可代您行事。就客户工作空间发出指示，也须具备相应权限：仅有成员身份，并不意味着有权导出或删除全部组织数据。

对于我们作为控制者的处理，我们在无不当延误的情况下，通常于一个月内答复。法律允许因复杂性或多个请求而延长时，可最多延长两个月，但须在最初期限内说明。请求免费，除非法律对明显无依据／过度请求或其他适用法定例外允许收费或拒绝；我们会说明决定及投诉权。有关客户控制数据的请求，会在无不当延误的情况下转交，并按 DPA 提供协助。合同规定的清理及外部副本期限，不会延长您的法定期限。第5.4节说明受影响副本及接收方协作。

5.4 权利及受影响副本。我们对 MiraDay 内部受影响的 F2D 来源字段落实有效措施，提供所需接收方通知，并依据 DSA 与客户及上游供应商协作。客户须处理受影响的外部副本及后续接收方，并确认完成或提供有记录的合法例外。客户创建的笔记及真正独立取得的字段由其控制者分别评估；独立持有副本也须履行准确性、告知及权利相关义务。最少量屏蔽记录用于防止被禁止的重新入库（第7章）。

5.5 投诉。请通过隐私请求页面或privacy@miraday.ai联系我们。英国法律要求时，我们在30日内确认收悉、开展调查、告知进展，并在无不当延误的情况下通知结果。必要的投诉及后续记录按第7章保留。您可随时向主管监管机构投诉，无需先完成我们的流程：英国为ICO，欧洲经济区为您惯常居所、工作地点或涉嫌侵权行为发生地的监管机构（监管机构名单）。

6. 安全及数据泄露

我们将实施并维护与处理及风险相适应的措施，包括对传输中的数据和静态存储的数据进行加密、适当身份验证及基于角色的访问、工作空间和频道隔离、监测、事件记录、代码／安全检查、人员保密、提供商保障及受保护的备份／恢复。适用技术与组织措施见 DPA 附件2及 DSA 附件2；可提供的安全及独立鉴证信息可向 privacy@miraday.ai 索取。

对于影响按客户指示处理数据的泄露，我们知悉后在无不当延误的情况下通知客户，并按 DPA 第8章提供可用信息及更新；共享数据事件按 DSA 第10章处理。我们不会等到调查完成或达到监管机构的风险门槛后，才发出所需的当事方通知。对于我们作为控制者的处理，在法律要求时，我们于知悉后72小时内通知监管机构，并在达到适用高风险门槛时，在无不当延误的情况下通知受影响个人，但适用合法例外。我们配合遏制事件、调查及作出所需响应。

7. 数据保留

我们仅为必要且合法的目的保留个人数据，并按照已记录的标准进行复核和删除。按客户指示处理的数据遵循 DPA；独立控制者记录遵循其自身合法目的。退出组织、结束订阅、关闭账户及撤销连接是不同事件。结束某项服务不会自动终止其他服务，也不会自动删除其已保存的数据。

数据

保留及删除

客户个人数据，包括工作空间内容、按客户指示执行的任务、输出结果、已保存连接内容及相关记录

在相关处理服务期间按合法指示处理。服务结束时，按客户选择，在90个日历日内完成返还或删除，包括30日导出窗口、受保护备份及子处理者副本。更早的合法指示和法定期限优先适用（DPA 第6章）

客户个人数据备份

在移除前，限制其日常使用。在持续服务期间，最迟于合法删除指示后90个日历日内移除；处理结束时，适用同一自处理结束起90日的最长期限。更早期限优先；恢复的数据须在使用前重新实施删除／限制指示

临时插件捕获

仅在经授权的提取及任务完成所必需期间保留，随后及时移除。主动保存的内容遵循客户内容规则；完整捕获和截图不会纳入贡献范围

插件活动及其他服务／安全日志

仅用于已记录且必要的服务、安全及问责目的，并采取访问保护措施、遵循合法指示。按客户指示处理的记录仍受 DPA 约束；不再必要时移除，但法定保留要求除外

F2D 资料及来源

在合法招聘所必需且足够准确期间保留。定期及在收到可信更正、权利行动或来源变化时复核；更正或移除不准确、违法、缺乏依据或不必要的字段

屏蔽记录

为遵守有效权利及防止被禁止重新引入所需的最少量标识符和限制。仅用于屏蔽及必要问责，采取访问保护措施，复核并在不再需要时移除；不用于重建资料、招聘或训练

独立的账户管理、支持及投诉

在维护和关闭账户、回应、调查及记录结果所需期间保留，此后仅作必要的法律／问责保留。组织移除与账户关闭分开处理

账单、Credits 核算及发票

为必要管理及适用税务／会计保留，包括必要的索赔期间；随后删除或依法匿名化。DPA 的一般90日期限不适用于这些独立记录

营销联系人及互动

在营销仍合法且必要期间保留；在适用的退出／异议后停止主动营销。仅保留遵守选择所需的最少量退订／屏蔽及合规记录

同意、告知及权利请求记录；网站技术

保留为合法问责所需的最少量记录，不再需要时移除。身份核验材料在核验及必要后续处理后移除，仅保留必需的最少量记录。网站技术用途及到期／存储规则遵循 Cookie 政策和您的选择

生成的摘要和标签遵循底层数据的来源、准确性、保留和权利限制，不能仅因内容由系统生成，就认定其符合贡献条件。仅凭单方面发送跟进消息，不足以成为持续保留独立控制者记录的正当理由。依法必须保留的副本仅限用于该目的。客户处理者副本不会为无关招聘、贡献或训练而保留；删除／返还确认及任何剩余合法副本按 DPA 处理。

8. 儿童

MiraDay 面向成年人，创建账户须年满18岁。F2D 排除年龄及出生日期，因此职业信息来源不会核验每个人的年龄。请向privacy@miraday.ai报告疑似未满18岁人士的资料；我们会调查并移除经确认的数据。客户内容中偶然出现的儿童数据，依据 DPA 按合法指示处理，不符合贡献或模型训练条件。

9. 国际数据传输

9.1 处理及访问地点。数据可在相关经批准的托管、备份、模型、日志、支持或其他提供商及授权人员所使用的国家保存、处理或访问。我们的应用基础设施托管在美国弗吉尼亚州北部的 AWS（us-east-1）；适用的Langfuse Cloud US追踪及诊断数据托管于美国俄勒冈州（us-west-2）。上述地点仅对应列明的组件，并不涵盖所有提供商或访问地点。

如需了解与您数据有关的处理及访问安排，请联系 privacy@miraday.ai。任何受限传输仍受适用 DPA 或 DSA 中的保障及资料填写要求约束。

9.2 传输保障。我们评估每次传输的当事方、角色、国家及访问安排。在有此要求时，我们采用适用的充分性决定或其他合法机制，例如欧盟标准合同条款（SCC）及英国附加协议（UK Addendum），并开展所需评估及采取补充措施。机制或提供商认证仅在其法律适用范围内使用；欧盟及英国要求分别评估。

DPA 及 DSA 分别规定其处理及共享活动的保障措施。提供商及后续传输须有适当的独立安排。您可通过隐私渠道索取信息或保障措施副本。可对机密信息或他人数据作删节，但不得损害您的信息权。

9.3 政府访问。我们审查要求的合法性及范围，实施所需通知及质疑保障，仅披露法律要求的最少量信息。适用的 DPA、DSA、SCC 及英国附加协议义务具有约束力；无法确保适当保护时，暂停受影响传输。我们不授予不受限制的直接或批量系统访问权限。

10. 本政策的变更

我们标明更新版本和日期，并通过隐私渠道提供历史版本及变更摘要。影响用户数据的重大变更，至少于生效前30日通过邮件或服务内通知，除非法律要求其他日期；在该情况下，我们会在实际可行的范围内尽早提前通知。组织通知不替代有关您个人工作空间的通知。

F2D 变更与个人信息声明协调更新；版本号可不同。为新目的处理前，我们重新评估法律条件、提供所需信息并取得任何必要同意。现有告知例外或接受修订服务条款，不会自动授权新目的，也不会追溯授权处理。

11. 联系我们

隐私问题、权利及投诉。 privacy@miraday.ai；隐私中心；隐私请求。

支持及客户指示。 support@miraday.ai，包括账户删除协助。您可在Settings（设置）中自行删除用户账户；隐私指示亦可发送至privacy@miraday.ai。

公司及邮寄地址。 Forward AI Labs, Inc., 710 Lakeway Drive, Suite 200, Sunnyvale, California 94085, United States。

相关文件：服务条款 · 数据处理附录 · 数据共享附录 · 个人信息声明 · Cookie 政策。