隐私政策

浏览器内视频处理

人像、绿幕与背景更换工具在当前浏览器内处理所选视频和音频。GIF 工具也在本机处理动画帧，替换背景图片同样留在浏览器内。这些流程不会上传素材、发送给推理供应商或存入网站数据库。人像工作流会从本站下载模型与运行文件；颜色色键工具无需人像模型。处理 worker 的模型遥测和外部请求会被阻止。

本次任务和结果保留在页面内存中。取消会停止处理，刷新或关闭页面会清除任务与结果。下载的文件保存在你的设备上，由你自行管理。

网站请求与偏好

托管服务会接收普通网站请求，包括 IP 地址、浏览器请求头和所请求的 URL，以交付网页、模型与运行文件。这些请求不包含你为本机处理选择的视频、音频、GIF 或替换图片。托管日志取决于实际部署的托管配置。

语言和主题偏好可能保存在 Cookie 或本地存储中，你可以通过浏览器设置清除。公开工具不启用广告或客服插件。当前仍在完成商户审批和付款验证，尚未开放公开购买；下述付款信息处理适用于结算开放后。

可选的 Google 登录

你无需账户即可使用工具。如果选择 Google 登录，Google 会向我们提供你的账户标识、姓名、邮箱、邮箱验证状态和头像。账户与会话记录保存在新加坡托管的 PostgreSQL 数据库中。登录记录可能包含 IP 地址、浏览器信息及语言。身份验证 Cookie 用于保持登录，退出登录会结束该会话；用于身份验证的 OAuth 令牌在存储时会加密。

我们仅申请基本身份信息权限，不申请 Gmail、云端硬盘或媒体文件访问权限。登录不会上传所选素材，也不会把编辑素材保存到账户；必要的任务 ID 与次数记录会按下文说明关联到账户。页面展示的账户信息会从 Clarity 会话回放中遮蔽。账户记录在账户存续期间保留，会话记录用于身份验证。如需删除账户，请发送邮件至 contact@cutoutup.com。你也可以在 Google 账户设置中撤销授权；撤销授权本身不会删除 CutoutUp 账户。

购买与付款记录

结算开放后，当你选择购买浏览器包月权益时，Waffo 提供托管结算页面与支付服务。为创建购买并核对交易，我们向 Waffo 发送内部账户标识、订单编号、商品与数量、价格与币种，以及验证该笔购买所需的商品绑定信息。我们不会向支付供应商发送所选素材、文件名或媒体哈希。

你在托管结算页面填写的付款与账单等信息由 Waffo 及其支付处理机构处理。CutoutUp 不接收或存储完整银行卡号或安全码。我们的服务器通过签名通知与经过身份验证的付款查询接收付款状态，并保存订单及付款编号、购买权益所属账户、金额与币种、供应商返回的税费信息、付款与退款状态，以及相应的次数调整记录。这些记录用于确认付款、避免重复发放次数、重新登录后恢复购买权益，以及处理退款、争议和支持请求。

必要的订单、付款与权益历史独立于可选行为统计保存。行为统计的 90 天保留期限不会删除这些历史记录。我们按提供购买权益、核对交易、处理退款或争议及履行适用记录保存义务的需要保留这些记录；本政策不承诺资金记录的固定删除期限。如需提出隐私或账户删除请求，请联系 contact@cutoutup.com。拒绝可选统计不影响购买或这些必要记录。

网站统计

我们仅在主动同意后使用 Google Analytics 4（GA4）统计网站访问与工具使用，不因地区而默认开启。主动同意前，不加载 GA4，也不发送测量请求，包括无 Cookie 请求。Microsoft Clarity 同样需要主动同意。滚动、未选择或点击「暂不选择」都不会授权统计。这些服务可能接收已清理的公开页面地址、浏览器与设备信息、大致位置及交互数据，并使用 Cookie 或类似标识符。广告相关三项授权、广告个性化和 Google signals 均保持关闭。

地区策略检查只读取 Cloudflare 在服务端提供的国家代码；此检查不会采集、保存或转发你的 IP，也不会把国家返回浏览器，其结果不代替你的同意。托管服务和已授权的第三方请求仍使用正常网络传输。你可以随时从页脚的「统计偏好」分别更改 GA4、Clarity 和可选来源分析。浮动提示提供允许、拒绝和「暂不选择」操作；滚动超过一屏后折叠为小型偏好按钮，折叠不会保存授权选择。撤回会停止后续追踪并清理本站可控的当前 GA 测量 ID Cookie；已传送数据适用供应商的保留与删除流程。

Clarity 还会使用页面布局、点击和滚动等交互数据，生成使用报告、热力图与会话回放。会话回放重建的是网站交互，不是你所选视频或音频的录制。

每个素材工作台（包括文件名、素材信息、背景设置及输入与输出预览）都已设置 Clarity 内容遮蔽。我们不会向这两项统计服务发送所选视频、音频、GIF、替换图片、解码后的画面或导出文件。处理 worker 使用独立策略，只允许下载本站资源。网站统计不会改变素材的处理位置。

Clarity 可能使用第一方、第三方 Cookie 及类似的浏览器存储来关联访问与交互，具体取决于浏览器设置和适用的同意要求。你可以在浏览器中阻止或清除 Cookie 与网站存储；跟踪保护与内容拦截器也可以限制统计采集。供应商的数据处理详情可参阅 Google 隐私政策、Microsoft 隐私声明与 Clarity 数据收集说明。

你的控制权

是否选择文件、开始处理或下载结果，由你决定。你可以随时取消处理，关闭或刷新页面会清除本机任务。已下载文件需在你的设备上自行管理，网站无法替你删除。

政策变更

预览版的数据处理方式发生变化时，我们会更新本页与日期。

联系我们

如对预览版的数据处理有疑问，请发送邮件至 contact@cutoutup.com。

必要的次数与业务记录

服务端签发必要的随机浏览器次数 Cookie，用于识别次数所属主体。服务端保存任务 ID、次数用量、账户归属和购买余额，用于服务运行、避免重复消耗和履行购买。这些记录不依赖可选统计授权。文件重选标识仅存于设备 sessionStorage，账户不保存视频。必要记录不包含所选素材、文件名或媒体哈希。

任务开始和结果记录可以用于聚合业务报表。浏览器上报的成功结果不等于对导出素材的独立验证。订单、已验证付款、退款和权益发放仍是单独的权威业务记录。拒绝统计、Do Not Track（DNT）或 Global Privacy Control（GPC）不影响必要的次数、付款和权益记录。

第一方基础统计

基础统计用于测量公开页面访问、选择文件、开始处理、成功、失败或主动取消，以及下载点击。它独立于 GA4、Clarity 和可选访客追踪，在公开页面上需要单独的主动授权。未选择或暂不选择不会开启采集。基础采集也可以完全关闭，你可以独立拒绝或停止基础统计。DNT 和 GPC 会阻止基础采集。

基础记录使用仅存于当前页面内存中的随机标识，关联本次访问的步骤。页面与任务引用是化名化的技术标识，并不意味着记录属于非个人信息或绝对无法与其他数据关联。基础事件的直接字段不保存账户标识或必要次数 Cookie。处理与下载事件复用现有随机任务 ID；存在相应业务记录时，经过授权的管理员可以通过任务 ID 关联必要任务及账户记录。任务 ID 本身不授予访问其他用户任务或媒体的权限。刷新、打开另一页面或新标签页可以产生新的页面会话。页面会话本身无法识别独立自然人或跨设备用户。

我们仅接受公开页面路径、受限来源与媒介分类、运营者白名单中的活动标签、归并的来源分类、粗粒度浏览器与设备类别、工具与任务引用、时长与分辨率区间，以及固定的错误或阶段代码。为定位失败，还可记录固定分类的处理操作、异常类别、处理模式、引擎、背景类型、输出格式和精细模式重试标记；不会记录原始异常文本或调用栈。不会把所选视频、音频、GIF、图片、解码帧、文件名、原始 user-agent 字符串或原始 IP 地址作为统计字段发送。普通网络请求仍会到达托管服务。为滥用限流，可以仅在安全用途下使用短期轮换的传输 IP 加密摘要；它不作为访客标识，并随短期限流记录清理。

基础事件在内存中排队发送和重试。明确允许基础统计后，有上限的待发送队列还可以在设备 sessionStorage 中保留最多 24 小时，用于失败请求重试；仅配置豁免模式不会开启这种持久队列，停止基础统计会清除待发送事件。待发送记录超过 24 小时后不再用于发送，并在队列再次检查时清理。基础事件的目标保留期限为滚动 30 天。启用内部每日清理计划后，过期记录会分批删除，并进行失败重试与监测；采集时清理和经过授权的管理员维护仍作为补充。等待重试或积压清理的记录可能暂时超过期限。业务历史另行保存，不随统计保留期限删除。统计尽力送达，失败不会阻止处理、下载或购买。

可选统计偏好

GA4、Clarity、第一方长期访客标识和可选来源分析均需要主动同意。旧的明确拒绝继续有效，你可以随后为各服务重新授权。允许基础统计不会开启 GA4 或 Clarity。DNT/GPC 会阻止这两个第三方服务。各服务加载失败相互独立，也不会因此增加第一方采集。即使旧的服务端配置指定豁免模式，公开页面仍要求主动允许基础统计。

可选第一方行为记录保存受限来源、浏览器与设备类别和错误码，目标保留期限为滚动 90 天。已启用的内部每日清理计划或经过授权的管理员维护执行删除，等待重试或清理的记录可能暂时超过期限。仅在该偏好允许时，可选浏览器标识才会保存在你的设备上。登录时向 GA4 发送账户标识还需可选来源分析授权，仅允许 GA4 不会启用它。你可以通过公开页面上的控件更改偏好，也可以在浏览器设置中清理网站存储。已经收集的第三方记录适用供应商的保留与删除流程。撤回统计授权不会删除必要资金和权益历史。