RootCard 词汇翻转卡
隐私政策
RootCard 是一款由个人开发者维护的免费单词记忆工具，运营者所在地为中国北京。 我们仅收集为你提供账号与云端同步服务所必需的信息，绝不出售你的个人信息。 本政策说明我们收集哪些信息、如何使用与保护，以及你享有哪些权利。
一、我们收集哪些信息
- 账号信息：用户名、邮箱、密码。密码经 bcrypt 不可逆哈希后存储，我们无法看到也无法还原你的明文密码。
- 学习数据：你导入的词库、学习进度、收藏的单词、主题（深色/浅色）偏好，以及 AI 接口配置（接口地址、模型名等）。
- AI 接口密钥（API Key）：默认仅保存在你当前浏览器会话中、绝不上传；只有当你主动勾选「记住我的 Key」时，才会经 AES-256-GCM 加密后存储于服务器。
- 自动产生的信息：找回密码时生成的邮箱验证码（临时）；以及为防止滥用而对访问 IP 做的频率计数（仅临时存于服务器内存）。
二、我们为什么收集，以及如何使用
- 邮箱：① 作为注册与登录的账号标识；② 在你使用「找回密码」时接收验证码。我们不会用你的邮箱发送营销或推广信息。
- 学习数据与配置：用于实现云端同步，让你在更换设备或浏览器登录后，恢复自己的词库与学习进度。
- 密码：仅用于校验登录身份。
- IP 频率信息：仅用于限制注册、登录、发送验证码的频率，防止恶意滥用。
三、我们是否向第三方共享
除以下为实现功能所必需的情形、以及法律法规要求外，我们不会向任何第三方出售或共享你的个人信息：
- 邮件服务商：当你使用「找回密码」时，我们通过第三方邮件服务（网易 163 邮箱 SMTP）向你的邮箱发送验证码，此时你的邮箱地址会交由该服务用于投递邮件。
- AI 服务商（DeepSeek 或你自行填写的 OpenAI 兼容接口）：使用「AI 记忆联想 / 生成例句 / AI 转换」等功能时，相关单词文本会发送给该 AI 服务商。分两种情况：① 你已自带 API Key时，文本由你的浏览器直接发送给服务商并使用你自己的 Key，不经过 RootCard 服务器；② 你未配置 Key、使用有限的「免费体验额度」时（仅限「记忆联想 / 例句」），请求会经 RootCard 服务器中转、由我们用本站的 Key代为调用——此时服务器仅传递该单词及其释义、不存储该文本内容，仅记录你账号已用的免费次数用于额度控制。无论哪种情况，请你同时阅读并遵守相应 AI 服务商的隐私政策。
四、我们保存多久
- 账号与学习数据：在你的账号存续期间持续保存；你注销账号后，相关数据将被删除。
- 邮箱验证码：10 分钟内有效，逾期自动失效。
- IP 频率计数：仅存于服务器内存，服务重启即清空，不做长期留存。
五、我们如何保护你的信息
- 密码以 bcrypt 哈希存储，不可逆、不保存明文。
- 如你选择「记住 Key」，API Key 以 AES-256-GCM 加密存储，加密密钥与密文分离存放。
- 全站采用 HTTPS 加密传输；后端服务仅监听本机回环地址、经 Nginx 反向代理，不直接对公网暴露。
- 登录态以 JWT 令牌维持，默认有效期 30 天。
六、你享有的权利
依据《个人信息保护法》，你有权对自己的个人信息行使以下权利：
- 查阅、复制你的个人信息；
- 更正、补充不准确或不完整的信息；
- 删除你的个人信息、注销账号；
- 撤回你此前给予的同意。
你可通过下方联系方式与我们联系以行使上述权利，我们将在合理期限内处理。
七、如何联系我们
如对本隐私政策或你的个人信息有任何疑问，请通过以下方式联系：
八、政策更新
我们可能适时更新本政策。重大变更将在本页面公示，并更新顶部的「最近更新」日期。继续使用 RootCard 即表示你接受更新后的政策。