1. Who we are
Personal information handler: (), unified social credit code .
For anything concerning personal information protection, contact . The same address reaches the person responsible for personal information protection.
This policy covers the AI WorkDeck website, desktop application, Office add-ins and related services. It exists in Chinese and English; in the event of any discrepancy, the Chinese version prevails.
2. What we collect
We collect on a "no more than needed" basis. The table sets out what we collect, why, and on what basis.
| Context | Information | Purpose | Basis |
|---|---|---|---|
| Registration | Username, email, password, display name, bio (optional) | Create and identify your account, account recovery, public profile | Necessary to enter into and perform the contract |
| Staying signed in | Session token (in the awd_session cookie) | Maintain your session | Necessary to perform the contract |
| Password storage | Salted scrypt hash only | Verify your password | Necessary to perform the contract |
| Top-ups and payments | Order number, WeChat Pay transaction ID, payer WeChat openid, amount, status, timestamps | Take payment, reconcile, handle refunds and disputes | Contract + legal obligation (tax and bookkeeping) |
| Wallet and transactions | Balance, ledger entries, purchases, entitlements, creator earnings | Accounting, entitlement checks, settlement | Necessary to perform the contract |
| Account keys | SHA-256 hash and prefix only; no plaintext retained | Authenticate the desktop application | Necessary to perform the contract |
| AI credit | Runtime key issued by the upstream model provider (stored encrypted), quota limit and usage | Provision and meter your AI credit | Necessary to perform the contract |
| Plaza submissions | The Skill or plugin you submit and your author identity | Review, publication, distribution, settlement | Necessary to perform the contract |
| Desktop telemetry | Random install identifier (UUID), app version, whitelisted event names, a conversation sequence key, a small set of non-sensitive attributes | Measure activity and feature use, diagnose crashes | Your consent (can be switched off) |
| Platform-sourced external services | The content each call requires (the image to recognize, a search query, a company name, a ticker, a search term, meeting audio), plus one ledger entry containing no content (service, quantity, amount, timestamp) | Call the vendor on your behalf and meter the usage | Necessary to perform the contract (your call is the request) |
| Server logs | Timestamp, request path, status code, IP address | Security, troubleshooting, attack mitigation | Reasonably necessary security maintenance + legal obligation |
About telemetry: the IP address of a telemetry request is used in memory for rate limiting only and is never written to the database. Nothing records a link between the random install identifier and your account, so we cannot trace telemetry back to a person.
3. What we do not collect
The document and AI-conversation statements below concern local desktop use. The Office/WPS add-in processes documents and conversations through our hosted backend, as explained in clauses 6 and 8. Otherwise, we do not actively collect the following:
- Your documents, case files or project files and their contents — the desktop application is local-first and these stay on your device. When you hand a specific piece of content to a specific external service (an image to text recognition, a recording to transcription): we then relay the part of it that the call requires to the vendor. Apart from meeting audio held briefly, we retain none of it (see clauses 6 and 8);
- Your desktop AI conversations — the desktop application talks to the model provider directly; hosted processing and retention for the Office/WPS add-in are covered separately in clauses 6 and 8;
- Sensitive personal information such as phone numbers, ID numbers, facial images or fingerprints;
- Location, contacts, call logs, messages or photo libraries;
- Your browsing outside this service — we run no third-party analytics or advertising SDK.
We do not use any of your content to train models, and we do not sell personal information.
5. Como usamos as informações
- Operação do serviço: identificação de contas, verificação de direitos de acesso, liquidação de cobranças e entrega do que você comprou;
- Segurança: detecção de inícios de sessão anômalos e abusos, limitação de taxa, mitigação de ataques e diagnóstico de falhas;
- Melhoria do produto: estatísticas agregadas de telemetria anônima mostrando quais recursos são utilizados e em que pontos as pessoas desistem;
- Obrigações legais: manutenção de registros exigidos por normas fiscais, contábeis e de segurança cibernética;
- Comunicação com você: alterações no serviço, incidentes de segurança e mudanças nos termos.
Não usamos as informações para nenhuma outra finalidade. Se algum dia for necessário, pediremos seu consentimento separadamente. Não realizamos tomada de decisão automatizada e não usamos informações pessoais para mensagens direcionadas ou precificação diferenciada.
6. Divulgação e terceiros
Destinatários das solicitações de IA dos suplementos. As solicitações dos suplementos oficiais chegam ao backend em nuvem do AI WorkDeck, depois à OpenRouter e, em seguida, ao provedor de inferência que atende ao modelo selecionado. Os desenvolvedores de modelos disponíveis incluem DeepSeek, Z.ai, Moonshot AI, Alibaba/Qwen, Anthropic, Google, OpenAI e xAI. O desenvolvedor de um modelo e seu host de inferência podem ser diferentes, dependendo do roteamento. As solicitações incluem a pergunta atual, o histórico de conversa necessário, o documento atual e as referências selecionadas pelo usuário. A OpenRouter e cada provedor de inferência têm suas próprias políticas de retenção, treinamento e localização de processamento; nossa regra de processamento transitório não garante retenção zero por terceiros. Consulte a lista de provedores da OpenRouter (https://openrouter.ai/providers/) e a política de privacidade da OpenRouter (https://openrouter.ai/privacy/).
Não fornecemos suas informações pessoais a terceiros, exceto nos seguintes casos:
| Destinatário | Informações | Finalidade | Localização |
|---|---|---|---|
| Tenpay Payment Technology Co., Ltd. (WeChat Pay) | Número do pedido, valor, descrição do item | Recebimento de pagamentos, reembolsos, conciliação | China Continental |
| OpenRouter, Inc. | O conteúdo que você envia para a IA; a chave de cota emitida para você | Roteamento de chamadas de modelos, medição de uso | Estados Unidos |
| GitHub, Inc. | Dados de requisições de rede ao baixar instaladores | Hospedagem de instaladores e código-fonte aberto | Estados Unidos |
| Alibaba Cloud Computing Ltd. | Dados técnicos em nível de servidor e rede | Hospedagem e aceleração de rede | China Continental + nó em Singapura |
| Alibaba Cloud (Tingwu) | O áudio da sua reunião e sua transcrição | Transcrição de fala e separação de falantes | China Continental |
| Alibaba Cloud (OCR) | A imagem que você envia para reconhecimento | Reconhecimento de texto em imagem | China Continental |
| Bocha (busca na web) | Sua consulta de busca | Retorna resultados de busca na web | China Continental |
| Qichacha | O nome da empresa ou o código de crédito social unificado que você pesquisa | Retorna dados de registro de empresas | China Continental |
| Tushare | O código de negociação (ticker) e os campos que você consulta | Retorna dados de valores mobiliários e financeiros | China Continental |
| PKULaw | Seu termo de busca de legislação e jurisprudência | Retorna resultados de legislação e jurisprudência | China Continental |
Como fluem os seis serviços fornecidos pela plataforma. As últimas seis linhas correspondem aos fornecedores por trás do nível "fornecido pela plataforma": nós compramos deles em seu nome, portanto você não precisa de uma chave própria, e o conteúdo exigido por cada chamada é repassado ao fornecedor por meio de nossos servidores e debitado do seu saldo. Todos os seis estão dentro da China continental, portanto esse nível não envolve transferência transfronteiriça. Não registramos, armazenamos nem usamos para treinamento o que repassamos; a única exceção é o áudio de reuniões, que fica temporariamente em nosso armazenamento de objetos para que o serviço de transcrição possa lê-lo e é excluído assim que a transcrição termina (ver cláusula 8). Qualquer um deles pode ser trocado, em Configurações → Serviços da Plataforma no aplicativo de desktop, por uma chave própria (o aplicativo então fala diretamente com o fornecedor, sem passar por nós) ou desativado completamente.
Para onde o conteúdo de IA realmente vai merece uma observação. A conexão direta do desktop descrita abaixo não se aplica ao suplemento do Office/WPS, que utiliza a rota hospedada estabelecida nesta cláusula. Quando você usa o canal de IA da plataforma no aplicativo de desktop, seu conteúdo vai diretamente da sua máquina para a OpenRouter e nunca passa por nossos servidores — nós apenas emitimos a chave de cota e não podemos ver suas conversas. Quando você usa o recurso "Redação de Skill assistida por IA" do site, o texto que você digita é repassado à OpenRouter pelo nosso servidor. Em ambos os casos, o conteúdo sai da China continental.
Também poderemos divulgar informações quando a lei exigir: em cooperação com autoridades judiciais ou administrativas, quando necessário para proteger o interesse público ou interesses vitais de alguém, ou quando você próprio tiver tornado a informação pública. Em caso de fusão, cisão ou transferência de ativos, transferiremos as informações pessoais junto com o negócio, informando-lhe previamente o nome e os dados de contato do destinatário; o destinatário deverá continuar a honrar esta política ou obter novamente o seu consentimento.
7. Transferências fora da China continental
Dada a arquitetura descrita acima, suas informações são transferidas para fora da China continental nos seguintes casos:
- O conteúdo enviado pelo canal de IA da plataforma, pelo suplemento do Office/WPS ou pelo recurso de redação de Skill assistida por IA do site vai para a OpenRouter, Inc., nos Estados Unidos, para inferência e medição de uso;
- O download do instalador do desktop envia sua solicitação para a GitHub, Inc., nos Estados Unidos;
- Visitantes fora da China continental são atendidos por um nó de cache em Cingapura, que busca do servidor de origem em Pequim.
Os seis serviços fornecidos pela plataforma não saem do país. Os fornecedores por trás do reconhecimento de texto, busca na web, dados de registro de empresas, dados de valores mobiliários e financeiros, busca de legislação e jurisprudência e transcrição de reuniões estão todos dentro da China continental (ver cláusula 6). O conteúdo desse nível nunca sai do território chinês, e nenhum consentimento transfronteiriço separado é exigido para ele. Os três casos listados acima constituem o conjunto completo de transferências.
AI content need not leave the country. The desktop application lets you configure your own model provider, including mainland providers and fully local models; once you do, AI content no longer passes through OpenRouter. Installers are currently distributed only via GitHub, which cannot be avoided.
As required by the Personal Information Protection Law, we tell you separately the name and contact details of each overseas recipient, the purpose and method of processing, the categories of information involved and how to exercise your rights against that recipient, and we obtain your separate consent. You may withdraw that consent at any time; we will then stop the corresponding transfer, though the related features will no longer work.
8. How long we keep it
Add-in document and conversation retention. Inline document bodies and raw tool arguments/results are used for the current turn and transient memory caches, not stored in the request queue or conversation history. The add-in does not automatically create durable conversation summaries. Queued input bodies expire after at most 30 minutes and may be evicted earlier or lost on restart; a new upload is then required. User messages, AI replies and reasoning remain as conversation history until the user deletes the conversation, with no separate automatic expiry. This includes document text pasted by the user or quoted by the AI. Conversation deletion also removes queue requests and derived summaries and clears document caches; billing usage records remain. Copies already mirrored to a desktop project follow that project's rules and are not remotely erased by deleting the cloud conversation. Earlier versions stored inline bodies in the queue and tool excerpts and summaries in conversation storage. This update removes historical inline bodies from the live request queue. It also removes raw tool excerpts and derived summaries from conversations still identifiable as Office/WPS add-in conversations through their request-source records. Historical conversations without those source records cannot be reliably classified and are not covered by this Office-specific cleanup. Operational backups and material already sent to third parties are separate; this is not a promise of retrospective erasure of every copy.
| Category | Retention |
|---|---|
| Account information | While the account exists; deleted or anonymised within 30 days of closure |
| Session tokens | 30 days, then expire automatically |
| Account key hashes | Deleted on revocation or account closure |
| Orders, ledger and invoicing records | At least 10 years from completion of the transaction (Article 29 of the Detailed Rules for the Implementation of the Tax Collection and Administration Law); closing your account does not shorten this |
| Plaza submissions | Deleted within 90 days of removal; copies already distributed are unaffected |
| Content relayed for platform-sourced calls | Not retained. It passes through our servers only while that call is being made |
| Meeting audio files | Deleted by the program as soon as transcription finishes or the task fails; a 24-hour lifecycle rule on the object storage clears anything missed. The transcript is not kept on our side once returned to the desktop app |
| Anonymous telemetry | 24 months, then deleted on a rolling basis |
| Server logs | 6 months (Article 21 of the Cybersecurity Law requires no less than 6 months) |
Beyond these periods we delete or anonymise. Where the law requires longer, the law governs.
9. How we protect it
- In transit: HTTPS is enforced site-wide;
- Passwords: stored as salted scrypt hashes — we cannot recover your original password;
- Account keys: only the hash and prefix are stored; the plaintext is shown to you once at generation and then exists nowhere in our systems;
- Model keys: stored encrypted;
- Access control: production access is limited to those who need it;
- Durability: financial data is written transactionally and backed up regularly.
No system is perfectly secure. If personal information is leaked, altered or lost in a way that may harm you, we will take remedial action immediately and notify you and the competent authorities as the law requires.
10. Your rights
Under the Personal Information Protection Law you have the following rights over the personal information we handle:
- Access and copy — find out what we hold about you and obtain a copy;
- Correct and supplement — have inaccurate or incomplete information fixed; account details can also be edited yourself;
- Delete — where the purpose is fulfilled, you withdraw consent, or we have processed unlawfully;
- Portability — have your information transferred to another handler you designate, where it meets the conditions set by the national cyberspace authority;
- Withdraw consent — for anything processed on the basis of consent, such as telemetry and cross-border transfers;
- Restrict or object — ask us to limit or refuse particular processing;
- Explanation — ask us to explain this policy and our processing rules;
- Close your account — at any time, after which we handle your information as set out in clause 8.
How to exercise them: edit your details and revoke account keys yourself in your account; for anything else, write to identifying your account and what you want. We may ask you to verify your identity first. We respond within fifteen working days, and will explain if a complex request needs longer.
A close relative of a deceased user may exercise rights of access, copying, correction and deletion over that user's relevant personal information, unless the user arranged otherwise during their lifetime.
11. Minors
The Service is aimed at professionals and is not offered to children under 14. We do not knowingly collect children's personal information. If we find we have collected it without prior guardian consent, we will delete it promptly.
Guardians who become aware of such a case can reach us at .
12. Changes to this policy
We may revise this policy. For substantive changes to purposes, methods or categories of information, we will notify you by website announcement or email before they take effect, and will seek fresh consent where the law requires it.
Earlier versions are available on request by email.
13. Contact and complaints
For any question, comment or complaint about this policy or our handling of personal information, write to . We reply within fifteen working days.
If you believe our processing has harmed your rights and our reply does not resolve it, you may also complain to the local cyberspace, telecommunications, public security or market regulation authorities, or pursue the dispute resolution route set out in the Terms of Service.
