隐私政策
完整的子处理者列表、安全措施和预填的数据处理协议集中在一个页面： 子处理者与安全
数据控制者
TerraLab SAS（SIREN 编号：104 501 861，巴黎工商注册处），注册地址位于 173 rue de Courcelles, 75017 Paris, France，是您个人数据的数据控制者。如有任何隐私相关问题，请通过 yvann.barbot@terra-lab.ai 与我们联系。
我们收集的数据
根据您与我们服务的交互方式，我们会收集以下类别的个人数据：
账户数据
电子邮件地址，在您通过魔法链接身份验证创建账户时收集。
支付数据
支付处理完全由我们的支付处理商负责。我们绝不会存储或访问您的信用卡详细信息。
AI Edit
您选择的区域、您的提示词以及任何参考图像都会被发送用于生成，同时还会发送该区域的位置和范围、其坐标系以及您使用的底图。生成过程由我们位于美国的图像生成合作伙伴 fal.ai 执行，并遵循标准合同条款。合作伙伴仅使用地图区域、提示词和参考图像来生成您的结果，并会在 30 天内删除它们。您自己的生成内容会保留在我们位于法国的服务器上的历史记录中，直到您删除它们或删除您的账户；专业版用户可以在设置中将期限设为 30 天、90 天或 1 年。我们保留这些内容，以便您可以回来查看，也便于我们为您提供支持。我们目前不会使用这些内容训练模型；如果这一点发生变化，我们会先更新本政策并提供设置开关。
AI Segmentation，在您自己的计算机上
您分割的任何内容都不会离开您的计算机。插件仍会检查您的许可证，并发送下述诊断信息。安装设备端模型时，会从其发布者和常用 Python 软件包网站下载模型，方式与任何 Python 工具相同。
AI Segmentation，云端 AI 点击
每次点击都会将点击位置周围的一小块影像发送到我们位于欧盟的服务器，并返回轮廓。在免费版中，我们会在欧盟基础设施上保留该区域的技术副本 12 个月，以衡量和改进检测质量；它绝不会向您显示，您可以通过账户设置或电子邮件提出反对。专业版完全不会写入副本。当您保存对象时，我们会在欧盟基础设施上存储您保留的轮廓及其覆盖的区域，以便为您提供支持并核对账单。账户删除时会删除这些数据，也可应请求提前删除；专业版则会在您在设置中选择的期限到期时删除。您的项目和文件仍保留在您的计算机上。
AI Segmentation，自动检测
一次运行会发送您选择区域的瓦片、您输入的对象、您绘制的任何示例、区域本身的轮廓，以及用于定位它们的坐标和坐标系。该过程在我们位于欧盟的服务器上运行。我们保留瓦片和结果，以便为您提供支持、核对账单并衡量检测质量；详细掩膜在归档 12 小时后从我们的数据库中移除。当您按下完成时，您保留的多边形也会发送给我们。
AI Agent
一次运行会发送您的请求、您附加的任何图像、您在插件设置中保存的指令、记忆笔记和个人资料、同一对话中的早期消息、其执行的 QGIS 操作的结果，以及插件构建的当前工程描述：工程文件路径、地图范围、CRS 和比例尺，以及每个图层的名称、类型、CRS、要素数量、字段名称和范围；对于前八个图层，还会发送一个示例要素的属性值、您最近的五次 Processing 运行和最新的三条 QGIS 警告。图层内容和文件会保留在您的计算机上，图层数据源中的密码等机密信息会在任何内容离开您的计算机前被遮蔽。面板连接时还会发送您的激活密钥，我们仅以哈希形式存储，同时发送您计算机的哈希、插件和 QGIS 版本、您的操作系统及语言。当您请求开放数据时，插件会直接查询持有该数据的服务：该服务会看到您的 IP 地址和查询，但绝不会看到您的请求文本。运行由我们部署在欧盟 Microsoft Azure（West Europe）上的智能体服务器处理。在 Free 套餐中，我们会在巴黎的数据库以及智能体服务器上的诊断文件中保留对话、步骤和工具调用 90 天，以便您重新打开对话，也便于我们调查您报告的问题。检查点和撤销依赖您自己计算机上保存的副本。无论哪个套餐，插件都会将完整对话写入您自己的计算机，因此无论我们保留什么，您的历史记录都归您所有。在 Free 套餐中，我们还会阅读对话内容，以修复错误答案、损坏的工具或故障模式；插件设置中的“帮助改进 AI Agent”开关可免费停止此操作，且不会改变其他任何内容。Pro 套餐完全不会存储对话记录，因此没有可读取的内容：运行仅保留其摘要和计数器。运行记录保留 365 天，请求文本在 90 天后清空，以便我们统计额度和账单。Azure OpenAI 会在我们位于欧盟数据区域的自有 Azure 资源上处理每次运行。它不会使用这些数据进行训练。根据 Microsoft 的标准条款，提示词和补全内容可能会为滥用监控保留最多 30 天；我们已申请豁免该监控，获批后会更新本政策。
诊断信息，全部三个插件
全部三个插件会报告错误、插件和 QGIS 版本、您的操作系统以及您使用的功能，并将其关联到您的账户，以便我们修复您遇到的问题。它们绝不会发送您的影像、坐标、图层名称或完整文件路径。您可以在每个插件的设置中关闭这些功能，在一个插件中关闭后，三个插件都会关闭。
订阅数据
激活密钥、订阅状态、每个计费周期的使用量以及产品信息。
分析数据（经同意）
经您同意，我们会收集网站使用数据，包括产品和账户页面上的页面浏览量、点击互动和会话录制。您可以随时拒绝分析 cookie。
错误跟踪
插件和网站产生的错误会记录在我们自己的事件日志和分析工具中，两者都位于欧盟，保存 12 个月，以便我们修复这些错误。此处理基于我们维护服务质量的合法利益。
插件注册
当您注册免费插件时，我们会收集您的电子邮件地址，以提供支持和更新。
免费网页工具
格式转换器（KML、KMZ、GPX、GeoJSON、CSV、Shapefile）、坐标与 MGRS 转换器以及 ogr2ogr 命令生成器完全在您的浏览器中运行：您在其中打开的文件和坐标绝不会发送到我们的服务器。如果您通过链接导入文件，您的浏览器会直接从您所选的网站获取该文件，该网站会看到您的 IP 地址。建筑物轮廓和建筑物高度工具会将您绘制或查看的区域以及您输入的任何地名发送到我们的服务器。地名和 OpenStreetMap 查询运行在我们位于欧盟（Azure，West Europe）的自有地理编码和 Overpass 服务器上。其余部分由我们的服务器向开放数据服务发出请求：IGN Géoplateforme、Microsoft 和 Google 的开放建筑物数据集，以及我们位于欧盟的 Overture Maps 副本。这些服务仅从我们的服务器接收区域或地名，绝不会收到您的 IP 地址。我们不会存储这些请求；我们的托管服务商会将响应缓存最多 7 天，以便下次更快地加载同一区域。底图和卫星影像由您的浏览器从我们位于欧盟的自有服务器（Azure，West Europe）加载，法国航拍照片则来自 IGN Géoplateforme；二者都会看到您的 IP 地址。部分工具会将您输入的内容保留在页面地址中，以便您分享链接；如果您接受了分析类 Cookie，该地址将成为我们记录的页面浏览数据的一部分。
网站互动数据
当您与我们的网站互动时，我们可能会收集大致位置（国家、城市）、设备信息（操作系统、浏览器类型）和浏览行为，以改进我们的服务。
设备识别
为保护许可证并保持免费计划的公平性，我们的插件会创建一个技术设备标识符：
- 一个假名化代码：即插件存储在您 QGIS 设置中的随机值，或您操作系统的机器标识符，经单向哈希计算得出。我们永远不会收到底层值、您计算机的名称、其硬件或您的文件。由于它可以识别出特定的一台计算机，我们将其视为个人数据。
- 用于检测在不同人之间共享的激活密钥，并统计每台计算机的免费计划使用量，以确保同一台计算机上的额外账户不会增加免费使用量。付费密钥可在您使用的每一台设备上使用。
- 对于每个插件，我们还会记录一台计算机上使用了哪些账户，以及每个账户在该计算机上首次和最后一次出现的时间。每个插件中，只有最近 60 天内在一台计算机上处于活跃状态的前两个免费账户能继续免费使用；付费账户和曾经的付费账户始终不计入，且一个账户在该计算机上闲置超过 60 天后会作为新账户重新开始计算。这样可以将共用同一台计算机的免费账户关联起来。我们仅为此使用最近 60 天的出现记录，并在账户最后一次出现在该计算机上 60 天后删除这些记录。如果您删除一个在最近 60 天内处于活跃状态的免费账户，我们会为那台计算机保留一个假名标记（计算机代码、插件和日期，与您的账户或邮箱无任何关联），该标记会保留其位置，直到最后一次使用后满 60 天再删除。曾被用于滥用免费方案的计算机可被排除在免费使用之外；我们会在排除期内一直保留该排除，并可应要求进行审查。
- 法律依据：我们防止欺诈和滥用免费计划的合法利益（GDPR 第 6.1.f 条及序言第 47 段），以及履行您的订阅合同（GDPR 第 6.1.b 条）。
- 我们保留每台计算机的免费使用计数 60 天，并保留被拒绝的免费运行记录 90 天。如果您与他人共用一台计算机（如实验室、教室），或认为某项限制有误，请写信给我们：我们可以进行审查，并为该计算机提供专属配额。您也可以通过电子邮件对此处理提出异议。
- 仅在必要期限内保留，然后在您删除账户时或应要求自动删除；上述假名标记除外，该标记在最后一次使用 60 天后删除。
ChatGPT 及其他 AI 助手中的 TerraLab 应用
TerraLab 应用让 ChatGPT 等 AI 助手可以查找地点、提取开放地图数据、读取高程并转换 GIS 文件。使用它无需 TerraLab 账户。本节仅涵盖助手调用该应用时发生的情况。
- 我们接收的内容: 您要求助手处理的地名、地址、坐标、区域和文件，以及助手在每次调用时发送的经哈希处理的用户级标识符。如果助手未发送标识符，我们会改用调用方 IP 地址的哈希值。
- 目的: 仅用于回应您的请求。我们不会将这些数据用于任何其他用途。
- 我们记录的内容: 每次调用，应用会记录工具名称、状态、耗时和结果数量，但不记录您的查询、文件或 IP 地址。为地图数据提取提供服务的开放数据服务会在其技术日志中保留所请求的区域（坐标边界框）30 天，且不含任何用户标识符。
- 速率限制: 经哈希处理的标识符（或经哈希处理的 IP 地址）最多在服务器内存中保留约两分钟，用于限制每分钟的调用次数，随后即被丢弃。它绝不会写入磁盘。
- 文件: 上传的文件以及从您提供的链接获取的文件仅在内存中处理，不会保留。不会存储任何下载文件：下载链接中包含生成该文件的请求，每次打开链接时都会重新生成文件。与您共享下载链接的任何人都可以重新生成同一文件。
- 处理方: Microsoft Azure（West Europe 区域）托管该应用和我们的开放数据服务。地名和地址会发送到同样托管在 Azure 上的我们自有地理编码器；法国地址还会发送到 IGN Géoplateforme 地理编码器以优化结果。对于法国地块查询，当我们自有的地籍副本没有结果时，地块坐标可能会发送到 IGN API Carto 服务。高程图块读取自 Amazon Web Services 托管的 Copernicus DEM 副本。对话中的地图直接从 IGN 加载航空影像。当您提供链接时，文件将从该链接的主机下载。从该应用指向 terra-lab.ai 的链接带有活动标签（utm），以便我们统计来自该应用的访问量。
- 我们绝不会做的事: 我们不会出售这些数据，不会将其用于广告，也不会用其训练 AI 模型。
- 联系与删除: 如需提问或请求删除，请发送邮件至 yvann.barbot@terra-lab.ai。
处理数据的法律依据
我们基于以下法律依据处理您的数据：
- 履行合同（GDPR 第 6.1.b 条）：提供我们的服务、管理您的订阅并处理付款。
- 同意（GDPR 第 6.1.a 条）：用于分析 cookie 和会话录制。您可以随时撤回同意。
- 合法利益（GDPR 第 6.1.f 条）：用于安全、服务改进以及与账户关联的插件遥测。
- 合法利益（GDPR 第 6.1.f 条），改进产品：在免费版中，我们会保留云端 AI 点击区域的技术副本 12 个月，以衡量和改进检测质量，并读取保留 90 天的 AI Agent 对话，以修复错误答案、损坏的工具和失败模式。您可以免费反对其中任一项，通过插件设置或电子邮件即可，拒绝不会改变服务的其他任何内容。专业版账户不适用于这两项：不会写入技术副本，也绝不会为此读取对话。我们目前不会使用客户数据训练模型；如果这一点发生变化，我们会先更新本政策并提供设置开关。
- 合法利益（GDPR 第 6.1.f 条），免费网页工具：响应您询问的区域或地名，并按 IP 地址统计请求次数 65 秒，以保护这些工具免遭滥用。
服务提供商与数据传输
我们使用第三方服务提供商来运营我们的平台：
| 服务 | 地点 |
|---|---|
| 数据库和身份验证 | 欧盟 |
| 支付处理 | 国际 |
| AI 图像生成（AI Edit） | 美国（fal.ai，标准合同条款，输入内容保留约 30 天） |
| AI 检测（AI Segmentation） | 欧盟（我们自己的基础设施） |
| AI Agent 语言模型 | 欧盟（Azure OpenAI，欧洲数据区域；已申请滥用监控豁免） |
| AI Agent 服务器 | 欧盟（Microsoft Azure，West Europe） |
| 图像存储 | 欧盟 |
| 网站托管 | 国际（函数在巴黎运行；欧盟-美国数据隐私框架） |
| 产品分析 | 欧盟 |
| 事务性电子邮件 | 美国（欧盟-美国数据隐私框架） |
| 速率限制 | 欧盟（爱尔兰） |
| 开放数据查询（免费工具） | 欧盟及国际 |
| 地图底图 | 欧盟 |
| 网站受众统计 | 国际（欧盟-美国数据隐私框架） |
| 网站翻译 | 国际 |
我们的部分服务提供商在国际范围内运营。对于任何跨出欧盟的数据传输，我们都会确保采取适当的保护措施，包括在适用情况下采用标准合同条款（SCC）。
数据保留期限
我们仅在必要期限内保留您的数据：
- 账户数据：直到您请求删除账户。
- 支付数据：根据我们的支付处理商政策和法律义务保留。
- 插件影像（AI Edit 输入、输出和参考图像；AI Segmentation 输入瓦片及返回的检测掩膜）：在您账户存续期间存储于欧盟基础设施。账户删除时删除，也可应请求提前删除；专业版则在您在设置中选择的期限到期时删除。
- 云端 AI 点击区域（AI Segmentation 半自动）：作为欧盟基础设施上的技术副本保留 12 个月，以衡量和改进检测质量，专业版账户除外。您可以通过设置或电子邮件提出反对。您保存的轮廓以及每个轮廓覆盖的区域，会在您账户存续期间保留在欧盟基础设施上。账户删除时或应请求提前删除。悬停预览绝不会存储。
- 使用记录：在订阅期间以及之后 12 个月内保留，用于账单核算。AI Agent 会将运行记录和连接记录（插件和 QGIS 版本、操作系统、语言、哈希后的密钥和计算机）保留 365 天，并在 90 天后清空请求文本。
- 每台计算机的免费使用计数：60 天。被拒绝的免费运行记录：90 天。
- 每台计算机上出现过的账户：在账户最后一次出现在该计算机上后 60 天删除。被删除的免费账户留下的假名标记：在最后一次使用后 60 天删除。因滥用而被排除在免费使用之外的计算机：在排除措施存续期间保留。
- 分析数据：最长保留 25 个月。
- 免费网页工具：您在浏览器工具中打开的文件和坐标绝不会到达我们。发送到建筑物工具的区域和地名不会由我们存储；缓存的响应会在 7 天内过期。速率限制计数器：65 秒。
- 免费版和专业版并列。专业版是付费方案，并包含私密层级。
- 技术副本（点击区域、瓦片、运行导出）：免费版保留 12 个月以衡量检测质量，可在设置中选择退出；专业版从不写入。
- AI Agent 文字记录：免费版 90 天；专业版从不存储：运行仅保留其摘要和计数器。
- 运行日志：免费版 12 个月；专业版 90 天。
- 产品分析：免费版与账户关联的使用数据，可选择退出；专业版仅保留生命周期和计数，不保留内容。
- 您的历史记录：免费版直到您删除它或删除账户；专业版由您在设置中选择，30 天、90 天、1 年或直到您删除它。
- 产品改进：免费版可能会衡量技术副本并读取 AI Agent 对话，可在 AI Agent 设置中或通过电子邮件免费拒绝；专业版从不进行。
Cookie 使用说明
我们的网站使用 Cookie 及类似技术：
严格必要类 Cookie
用于身份认证会话及错误追踪的 Cookie。这些 Cookie 是网站正常运行所必需的，不需要征得同意。
分析类 Cookie（需经同意）
用于了解访问者如何使用我们网站并改善用户体验的分析类 Cookie。这些 Cookie 仅在您通过我们的 Cookie 提示栏表示同意后才会启用。
您可以通过 Cookie 提示栏管理您的 Cookie 偏好设置。
您的权利（GDPR）
根据《通用数据保护条例》（GDPR），您享有以下权利：
- 访问权: 获取您个人数据的副本
- 更正权: 更正不准确的数据
- 删除权: 请求删除您的数据
- 限制处理权: 限制对数据的处理
- 数据可携权: 以可携带格式获取您的数据
- 反对权: 反对基于合法利益进行的处理
您可以随时从仪表盘的账户部分下载我们持有的关于您的个人数据副本（数据可携权，GDPR Art. 20）。该文件为 JSON，指向已存储图像的链接在 24 小时内保持有效。如需行使任何其他权利，请通过 yvann.barbot@terra-lab.ai 联系我们。我们将在一个月内回复，对于复杂请求可延长两个月（GDPR Art. 12(3)）。
您还有权向法国数据保护主管机关（CNIL）投诉，地址：3 place de Fontenoy, 75007 Paris，网站：www.cnil.fr。
政策更新
本政策可能会根据我们实践方式或法律要求的变化而更新。重大变更将通过邮件通知已注册用户。
最近更新时间: 2026年10月1日