Echo One 隐私说明

更新日期：2026 年 7 月 15 日

Echo One 用于在 YouTube 页面上提供英语学习辅助，包括双语字幕、逐句学习、听写练习，以及受邀内测用户可用的 Ask / Friend AI 功能。插件只在支持的 Echo One 网站页面和 YouTube 页面运行。

我们处理哪些数据

• 本地学习数据：学习进度、听写答案和检查结果、界面偏好、匿名设备 ID、临时视频打开意图，以及当前页面中的 Ask / Friend 会话。
• 账号与权限：用户主动登录后，经 Google 验证的邮箱、Google 提供的稳定账号标识（subject）、邀请与权限状态，以及账号创建、更新和最近成功登录时间。
• 权限审计记录：邀请、激活、撤销、过期和人工修复的时间、来源、受控操作方标识和原因，用于解释权限变化、处理支持请求和保护账号安全。
• 字幕与视频上下文：当前视频 ID、标题、英文字幕片段及其时间信息，用于字幕翻译、FullStop 标点恢复和 Ask / Friend 回答。
• 用户主动提交的内容：Ask / Friend 的文字问题、浏览器语音识别生成的文字，以及反馈表单内容。
• 必要的用量元数据：功能类型、请求状态、provider、耗时、token 或字符用量、音频大小、视频 ID，以及经过 hash 处理的用户、设备或网络标识。

本地存储与 Google 登录

本地学习数据和界面偏好保存在 chrome.storage.local，通常会一直保留到用户清除扩展数据或卸载 Echo One。当前视频的 Ask / Friend 会话主要保存在页面内存中，刷新或关闭页面后会结束。

Echo One 使用 Chrome Identity 获取 Google 登录授权。Echo One 不把 Google access token 写入本地存储或长期数据库；需要调用受保护接口时，插件临时向 Chrome Identity 请求 token，由 Chrome 管理自己的授权缓存，Echo One 后端完成即时验证后不保存该 token。Echo One 不接收 Google 密码。退出登录会清除 Chrome 的授权缓存和 Echo One 的本地账号权限状态，但不会自动删除本地学习记录或服务器中的账号与权限记录。

账号与邀请制

当用户主动点击“登录/注册”时，Echo One 后端验证 Google token、允许的 OAuth client、Google 稳定账号标识和已验证邮箱。服务器使用托管 PostgreSQL 保存最小账号、邀请、权限和权限审计记录，使邀请能够自动激活、撤销、过期和恢复，并让字幕 AI 翻译、Ask 与 Friend 使用同一套权限判断。

账号数据库不保存 Google access token、refresh token、Google 密码、姓名、头像、YouTube 账号、字幕、Ask/Friend 问题或回答、语音转写或麦克风音频。当前版本不包含公开支付系统，也不建立云端学习档案、生词本或复习记录。

字幕翻译与 FullStop

当用户开启双语字幕或学习模式时，插件会把待翻译的英文字幕片段、视频 ID 和匿名设备 ID发送到 tryechoone.com。服务端根据功能和权限使用 Microsoft、Google 或 DeepSeek 的翻译/AI 服务，并把结果返回插件。DeepSeek 等服务端凭据只保存在服务端，不会放入扩展代码。

没有标点的英文自动字幕会先发送到 tryechoone.com/api/punctuation，再由受保护的 Google Cloud Run FullStop 服务恢复标点。扩展不会直接连接 FullStop Cloud Run 地址。

Ask / Friend AI 功能

受邀用户主动使用 Ask 或 Friend 时，插件会把用户问题、视频 ID、标题、当前及附近字幕和最近同视频问答上下文发送到 Echo One 后端，再由 DeepSeek 生成回答。Echo One 不建立长期对话数据库；请求内容用于生成当次回答，页面中的连续对话在页面刷新或关闭后结束。AI provider 可能按照其自身服务条款处理请求。

Friend 的语音输入使用 Chrome/浏览器提供的 SpeechRecognition。Echo One 收到的是识别后的文字，不主动接收或保存原始麦克风音频。Echo One 1.0 发布包不包含 Gemini Live 客户端，也不会把麦克风原始音频流发送到 Gemini Live。

语音回答与 TTS

Friend 需要朗读回答时，AI 回答文本会发送到 Echo One 的 Google Cloud Run TTS 网关，再由 Google Cloud Text-to-Speech 生成音频。音频返回插件播放；Echo One 不建立用户语音回答音频库，也不把 Google 密码、完整浏览历史或无关页面内容发送给 TTS。

基础设施与第三方处理方

Echo One 使用 Vercel 托管网站和 API，使用位于美国东部（美国弗吉尼亚州北部）的 Neon PostgreSQL 保存最小账号与权限记录，使用 Upstash Redis 保存短期额度/防滥用计数，使用 Google Cloud Run 执行独立加密的账号权限数据库备份并将密文保存到美国东部的私有 Google Cloud Storage，使用 Google Cloud Run 和 Google Cloud Text-to-Speech 提供 FullStop 与 TTS，使用 Microsoft、Google 和 DeepSeek 提供翻译或 AI 回答，并使用 Resend 接收用户主动提交的反馈。这些服务只接收完成对应功能所需的数据。

账号与权限数据可能因此在美国处理。扩展与 Echo One API 之间使用 HTTPS；Neon 说明其公开网络连接使用 TLS 1.2 或更高版本，静态数据使用 AES-256 加密。Echo One 不把数据库凭据放入扩展，也不允许扩展直接连接数据库。

保留时间

• 浏览器本地学习数据：保留到用户清除扩展数据或卸载。
• 页面内 Ask / Friend 会话：保留到页面刷新或关闭。
• 翻译内存缓存：通常不超过 24 小时。
• Redis 额度和防滥用计数：通常不超过 3 天；只保存计数和加盐 hash，不保存原始邮箱或原始 IP。
• 生产 API 运行日志：当前通常约 1 天；日志设计为不包含完整字幕、完整问题、完整回答、token、API key、原始邮箱或原始 IP。
• 有效账号身份：在用户仍有有效或待处理关系，或继续成功登录 Echo One 时保留；账号没有有效权限或待处理邀请且连续 12 个月没有成功登录后，删除直接身份信息。
• 待处理邀请：保留到邀请被接受、撤销或过期。
• 已撤销、已过期或未接受的邀请：90 天后删除原始邮箱，只在审计期限内保留不直接识别用户的记录。
• 已撤销或过期的权限记录：保留 12 个月用于权限和支持调查，随后删除其个人关联。
• 权限审计记录：通常保留 12 个月；收到经过验证的账号删除请求后，会立即删除或匿名化其中可识别用户的关联。
• 用户反馈：通常最多保留 90 天；尚未解决的安全或支持事项可能保留更久，处理完成后删除。
• 数据库恢复历史：从在线数据库删除的数据可能在受保护的恢复历史中继续存在，最长不超过生产数据库当时实际配置的恢复窗口。邀请制内测使用 Free 方案时，该窗口最长约 6 小时；在自动支付前升级 Launch 后，可配置最长 7 天。窗口到期后，数据随恢复历史失效。
• 独立加密逻辑备份：生产账号与权限数据库每天生成一次标准 PostgreSQL 逻辑备份，并在上传前使用仅由 Echo One 控制的密钥完成认证加密；私有 Google Cloud Storage 只保存密文，配置为 7 天后删除。备份可能暂时包含数据库中的同一组最小账号、邀请、权限和审计记录，但不包含 Google token、密码、字幕、问题、回答、转写或音频。

反馈

用户主动提交反馈时，Echo One 会接收反馈文字，并可能附带提交来源、当前页面 URL、页面标题、视频 ID 和插件版本，用于定位问题。反馈不会自动包含字幕全文、听写答案、截图、完整浏览历史或 Google token。

权限用途

storage 用于保存本地学习数据和权限状态；identity 用于用户主动发起的 Google 登录；YouTube 站点权限用于识别当前视频、读取可用英文字幕轨并显示学习 UI；tryechoone.com 权限用于字幕、登录权限、翻译、FullStop、Ask / Friend 和反馈接口；Google Cloud Run TTS 权限只用于 Friend 语音回答。发布包不请求浏览历史、标签页列表或后台网络拦截权限。

访问、退出与删除

用户可以在 Echo One 菜单退出登录，清除扩展本地数据，或卸载扩展。退出登录只结束当前设备上的 Echo One 登录状态，不等于删除服务器账号。

如需删除服务器账号，用户应从登录 Echo One 时使用的邮箱发送邮件到 liuc41199@gmail.com，并按回复再次确认请求。确认后，Echo One 会撤销有效权限，删除直接账号身份、邀请和权限记录，并删除或匿名化保留审计记录中的用户关联。删除的数据可能在受保护的数据库恢复历史中继续存在，但不会超过当时实际配置的恢复窗口（邀请制 Free 阶段最长约 6 小时；升级 Launch 后最长 7 天），并可能在独立加密逻辑备份中保留至该备份最长 7 天后到期；如果在此期间执行恢复，Echo One 会在重新开放写入前重新执行仍相关的删除请求，不会用备份撤销有效删除。

用户也可以通过同一邮箱要求删除反馈或询问数据处理情况。Echo One 当前没有云端学习历史，因此没有需要导出的云端学习档案。

有限使用承诺

Echo One 对通过 Chrome 扩展权限和 Google API 获得的信息的使用，遵守 Chrome Web Store User Data Policy（包括 Limited Use 要求）。这些数据只用于提供和改进用户主动使用的 Echo One 功能、保障安全与防止滥用、处理用户主动提出的支持请求，以及遵守适用法律。

Echo One 不出售用户数据，不向数据经纪商或广告平台转移数据，也不使用这些数据投放个性化、重定向或基于兴趣的广告。除用户明确要求的支持、必要的安全调查、法律要求，或依法使用的匿名汇总内部运营信息外，Echo One 不允许人工读取用户内容。

Chrome Web Store Limited Use

The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

未来更新

如果未来增加云端生词本或复习记录、公开支付、更多 AI provider、新的数据用途或新的音频处理能力，本说明和 Chrome Web Store 隐私申报会在功能上线前同步更新；本说明不会被解释为对这些未来功能的提前授权。