法律

隐私政策

2026年10月21日

本隐私政策说明 Kerna sp. z o.o.（“Kerna”“我们”）在您使用适用于 Gmail 和 Microsoft Outlook 的 Kerna 邮件插件、网站（kerna.io）及相关服务（合称“服务”）时，如何收集、使用、存储和披露信息。访问或使用我们的服务，即表示您同意本政策所述的做法。

1. 数据控制者

负责处理您个人数据的数据控制者为 Kerna sp. z o.o.,这是一家根据波兰共和国法律注册的公司,注册地址位于 Warszawska 40/2A, 40-008 Katowice, 波兰。公司在波兰国家法院登记处注册,KRS 编号为 0001203068,税号 (NIP) 为 9542897132。

如有任何数据保护相关的咨询,您可以通过以下方式联系我们:privacy@kerna.io

2. 我们收集的信息

我们仅收集验证您身份、提供服务和管理订阅所需的最少信息。

2.1 账户与认证数据所有用户身份验证均通过 Google 或 Microsoft 登录完成。我们不创建、不管理、也不存储密码。您登录时，我们会存储：您的电子邮件地址；显示名称（您在我们的网站上或在 Outlook 中登录时 Google 或 Microsoft 提供的名称，否则为根据您的电子邮件地址生成的名称）；您的 Google 或 Microsoft 账户标识符，用于在另一个账户提供相同地址时识别您的账户；您使用哪些平台以及注册方式；您的账户创建时间以及您在每个平台上最近一次使用 Kerna 的时间；以及您是否已同意接收营销邮件、是否已收到我们的欢迎邮件。这些数据用于识别您的账户并将其与您的计划关联。

2.2 订阅与账单数据所有金融交易均由 Stripe, Inc. 处理。Kerna 不收集、传输或存储信用卡号码、账单地址或安全码（CVC/CVV）。我们仅存储对您的 Stripe 客户和订阅的引用、您的订阅状态（如活跃、已取消）、计划级别和账单周期日期。这些数据存储在 Google Cloud Firestore 中。您在我们网站上订阅时，我们还会记录所接受的数据处理协议版本及接受时间。

2.3 使用指标我们统计每个用户和团队使用的 token（AI 处理单位），以执行计划限制，并在插件中和我们的网站上显示使用情况。我们还会按月统计您使用每项功能的次数，并附上节省时间的估算值，这些统计与您的电子邮件地址一起存储，以便向您展示；我们还会按第 2.6 节所述记录使用事件。错误和性能报告见第 6 节中的 Sentry 条目。上述数据均不包含邮件内容。

2.4 您在 Kerna 中的设置和创建的内容我们存储您的设置（界面语言和回复语言、语气、摘要长度、提取选项以及 AI 披露设置）以及您在 Kerna 中编写的内容：您的自定义提示（对于团队负责人和管理员，还包括与团队共享的提示）、您的“智能焦点”（Smart Focus）列表，以及分流类别及其描述，包括为共享邮箱选择的类别，这些类别与该邮箱的地址一起存储。我们还会存储 Kerna 在您翻译的邮件中最近一次检测到的语言。在 Gmail 插件中，您在“收件箱整理”中标记为 VIP、“静音”或“低优先级”的发件人地址会与您的账户一起存储，直至您将其移除；您标记为“完成”的邮件的标识符也同样存储，这些标识符在 30 天后失效，并在您下次打开“收件箱整理”时被移除；其中不存储任何主题或内容。在 Outlook 加载项中，这些数据保留在您的设备上（见第 9.3 节）。

2.5 欢迎、早期访问和联系记录当您首次使用 Kerna 插件，或通过我们网站上的早期访问表单或联系表单提交电子邮件地址时，我们会存储您的电子邮件地址、时间及其来源（Gmail、Outlook 或我们的网站）。我们使用它向您发送欢迎邮件、就产品可用性与您联系或回复您的询问。

2.6 分析与哈希标识符为了分析使用情况并改进我们的服务，您每次使用某项功能时，我们都会记录一个使用事件；Outlook 加载项还会记录您使用了其中哪些界面和按钮。事件记录所使用的内容、您的计划、您的界面语言和所涉及的语言、输入长度、所用 token、处理时间以及发生时间。每个事件都以您电子邮件地址的带密钥哈希（HMAC-SHA-256，密钥仅保存在我们的服务器上）存储，而不是以您的电子邮件地址本身存储。由于该哈希仍可间接识别您，我们将其视为个人数据。事件在 90 天后删除；当您行使删除权时，我们会删除所有与您相关联的事件。

2.7 我们发送给您的电子邮件我们通过 Brevo 向您发送电子邮件（见第 6 节）。为此，Brevo 会保存您的电子邮件地址以及第 6 节中为 Brevo 列出的账户信息。对于其发送的每封邮件，Brevo 会记录邮件是否送达、是否被打开以及哪些链接被点击。我们仅将这些信息用于了解哪些邮件有用。

2.8 Outlook 共享邮箱中的团队状态（团队计划）当您的团队在 Outlook 共享邮箱中使用 Kerna 时，我们会存储对话分配给了哪位团队成员、对话状态（例如待处理、等待中或已完成）、谁在 Kerna 中开始撰写回复，以及 Kerna 自行更改状态时的更改原因（例如因为客户已回复），并记录最近一次更改的时间。当团队成员在 Kerna 中打开该对话、整理结果或团队列表时，Kerna 会通过读取对话中的最新邮件来检查此类更改；它不会在后台进行检查。上述每条记录均以共享邮箱地址和 Outlook 的对话标识符来识别；不存储任何邮件内容、主题或发件人。我们还会存储哪些团队成员曾通过 Kerna 打开该共享邮箱，以及他们最近一次打开的时间，以便在分配对话时将他们作为可选成员列出。对话被标记为已完成时，Kerna 会为共享邮箱中该对话的邮件添加 Outlook 类别 Done (Kerna)，并在对话被重新打开时移除该类别。团队负责人还可以为共享邮箱设置自动分配规则。每条规则指定一个或多个须全部满足的条件（整理类别、发件人电子邮件地址或域名、主题或正文中的字词、收件人地址的一部分、附件或高重要性），以及应接收匹配对话的团队成员。当团队成员的 Kerna 在整理结果中或在该成员打开对话时读取到一个尚无人分配的对话，Kerna 会根据这些规则检查对话中的最新邮件，仅在有规则需要在正文中查找字词时才读取该邮件的正文；如有规则匹配，则分配该对话，并记录此次分配是由规则完成的。正文在内存中进行比较，不会被存储。状态记录会在对话被标记为已完成 90 天后删除，否则在最后一次更改一年后删除；团队成员在某个邮箱下的条目会在其最近一次通过 Kerna 打开该邮箱 180 天后删除，或在其离开团队时删除。自动分配规则会一直保留，直至团队负责人对其进行更改；团队成员离开团队时，会被移出这些规则。当团队成员开启“将分配给我的邮件放入 Microsoft To Do”（该设置随其账户保存）时，记录还会注明当前的分配已添加到其 To Do 中，以确保只添加一次；任务本身会创建在该成员自己的 Microsoft To Do 中，并附带会话主题和指向它的链接。记录还会保存该任务在该成员 To Do 中的标识符，以便对话被标记为已完成时由 Kerna 将其勾选为完成；之后该标识符即被删除。

2.9 将邮件数据发送到其他系统（发送到…）如果您的团队负责人（如您不属于任何团队，则为您本人）在 Outlook 加载项的“发送到其他系统”中设置了目标，我们会存储该目标的名称、其接收的数据类型（例如订单或投诉）、其网址、使用自定义字段时的字段列表、是否读取附件、其值将被翻译成的语言（如有）、签名密钥、创建者及创建时间，以及最近一次发送的时间和结果。当用户对某封邮件选择“发送到…”时，Kerna 会读取该邮件；如果目标设置为读取附件，还会读取最多三个 PDF、Word、Excel 或 CSV 附件；随后，在完成第 4.4 节所述的脱敏处理后，由我们的 AI 推理提供商提取该目标的字段，并在选择了语言时将其描述性文本翻译成该语言。用户在发送前会查看这些值并可加以修改。然后，Kerna 将这些值连同邮件的主题、发件人姓名和地址（除非目标设置为不包含这些信息）、接收时间、邮件标识符、邮件所在的邮箱、在 Outlook 中打开该邮件的链接以及发送这些值的用户的电子邮件地址仅发送到该网址。接收服务由您的团队而非 Kerna 选择和控制；它不是我们的数据处理者，其自身的条款和隐私政策适用于其接收的数据。请求完成后，Kerna 不会保留提取的值或邮件内容。每次发送时，我们会保存一条日志记录：目标、发送者、发送时间、是否送达以及接收服务的响应代码。日志不包含任何邮件内容、主题或值，每条记录在 90 天后删除。

2.10 团队如果您创建或加入团队，我们会存储该团队及其所有者、其成员以及受邀加入者的电子邮件地址（以及邀请人和邀请时间）、每位成员的角色、token 限额和使用量、团队设置、与团队共享的提示以及团队的分流类别。受邀者会在 Kerna 中看到邀请，我们不会向他们发送电子邮件。邀请会一直保留，直至被接受、拒绝或撤回。

3. 我们不收集的信息

Kerna 不会将以下任何内容写入其数据库、日志或备份。如果其中某些内容为使插件正常运行而被短暂保存，第 4 节会说明保存在何处以及保存多久：

电子邮件正文、主题或标题
已处理邮件的发件人或收件人电子邮件地址，但您选择放入 Gmail 收件箱整理规则中的发件人地址以及第 2.4 节和第 2.8 节所述的共享邮箱地址除外
附件内容、文件名或其他附件元数据
AI 生成的摘要、回复、翻译或草稿
用户触发操作期间访问的日历事件内容、联系人详情或电子表格数据
账户密码，或 Google 或 Microsoft 的访问令牌或刷新令牌（Kerna 为代表您在 Outlook 中执行操作而获取的令牌仅保存在服务器内存中，见第 4.1 节）

4. 我们如何处理邮件内容

Kerna 不存储您的邮件内容。邮件内容仅在您使用某项功能时被读取，仅用于生成您的结果，绝不会写入我们的数据库、日志或备份。这是一项基本架构原则，而非可配置的设置。

4.1 内存中处理当您触发 AI 操作（例如摘要、回复、翻译、撰写、提取、“收件箱整理”、附件分析或“发送到…”）时，该操作所需的文本会通过加密连接发送至我们的 AI 推理提供商（第 6 节列出了其中可能包含的内容）。为了让您能在不同界面之间切换并返回某个结果，Kerna 会在服务器内存中短时间保留工作副本：在 Gmail 插件中，结果、草稿、撰写表单以及“收件箱整理”列出的邮件（发件人、主题和预览）在最后一次更新后保留约 30 分钟；在团队的共享邮箱中，对话最新邮件的主题和发件人保留几分钟。为代表您执行操作而获取的 Microsoft 访问令牌和刷新令牌也仅保存在服务器内存中。内存中保存的任何内容都不会写入磁盘，并会在上述期限结束或服务器重启时被丢弃。Outlook 加载项则会将部分结果保存在您自己的设备上（见第 9.3 节）。

4.2 无后台处理Kerna 仅在您使用时才执行操作。它不会在后台扫描、索引、监控或归档您的收件箱、日历、联系人或任何其他邮箱数据，也没有任何计划任务读取您的邮箱。在 Outlook 加载项中，您选择的邮件会被载入您设备上的 Kerna 面板，以便您按下按钮时即可使用；只有在您使用某项功能时，它才会被发送给 Kerna。在团队的共享邮箱中，在 Kerna 中打开邮件、整理结果或团队列表时，还会检查所显示对话的最新邮件，以使其团队状态保持最新（见第 2.8 节）。

4.3 不用于模型训练您的数据绝不用于训练、微调、再训练或改进任何人工智能或机器学习模型——无论是由 Kerna、OpenAI、Google 还是任何其他方运营的模型。您的输入在您的特定请求会话中保持私密。

4.4 推理前的脱敏处理在将邮件文本发送给我们的 AI 推理服务提供方之前，Kerna 会将其能识别格式的支付卡号、IBAN 和波兰银行账号、波兰 PESEL 号码以及美国社会安全号码替换为占位符。这一操作在 Kerna 自身的处理环节完成，因此这些号码不会到达服务提供方，且无法关闭。它适用于您所操作的邮件或对话、“收件箱整理”读取的主题和预览，以及“发送到…”或“使用附件回复”所使用的附件。其他个人数据，例如姓名、电子邮件地址、电话号码和邮寄地址，不会被移除，并按原样发送。对于通过“附件”功能读取的文件，不进行脱敏处理，以便从中提取账号等信息；对于您自己编写的文本，例如指令、提示以及您要求 Kerna 改进或翻译的草稿，也不进行脱敏处理。

5. 我们如何使用您的信息

我们将第 2 节中描述的信息用于以下目的：

验证您的身份并维护您的会话
提供、运营和改进服务
管理您的订阅、处理账单事件并执行计划限制
在插件和控制台中显示您的使用统计和偏好
发送事务性通信（如订阅确认、账单收据）
发送帮助您使用 Kerna 的服务邮件：注册时的欢迎邮件、介绍各项功能的简短指南，以及在您一段时间未使用 Kerna 时偶尔发送的提醒。您会收到其中哪些邮件，仅取决于您的注册时间、所使用的平台以及您上次使用 Kerna 的时间
回复您的支持或联系询问
检测、预防和解决技术问题、滥用或安全事件
发送有关新功能、产品更新和使用提示的营销通讯 — 仅当您已提供明确同意时,您可以随时通过每封此类邮件中的退订链接撤回该同意
遵守适用的法律义务

我们不向任何第三方出售、出租或转让您的个人信息。我们不将您的数据用于广告、画像或自动化决策。上述服务邮件基于我们帮助您使用所注册服务的正当利益而发送（《通用数据保护条例》（GDPR）第 6 条第 1 款第 (f) 项）。每封此类邮件都附有退订链接。退订即行使您的反对权：我们将停止发送此类邮件，您的账户不受影响。

6. 第三方数据处理者

我们使用以下第三方服务运营 Kerna。每个数据处理者仅接收执行其功能所需的最少数据。

提供商	用途	共享数据
OpenAI	AI 推理（GPT 模型系列，包括 GPT-6）	仅在您触发 AI 功能时，接收该功能所需的文本：您所操作的邮件或对话，包括其中人员的姓名和地址及其日期；您选择的附件及其文件名；“收件箱整理”扫描中邮件的发件人、主题和预览；您要求 Kerna 改进或翻译的草稿；以及您的指令和提示。金融标识符会先被替换（参见第 4.4 节）；其他个人数据按原样发送。通过加密连接发送，在内存中处理以生成您的结果，根据我们的零数据保留（Zero Data Retention）条款不予保留（见下文），也不用于训练任何模型。请求中不附带任何账户标识符或账单数据；您本人的姓名和地址仅在其出现在邮件内容中时才会包含在内。
Stripe	支付处理	用于客户识别的电子邮件地址。所有支付详情直接由 Stripe 处理。
Google Cloud 和 Firebase	插件服务器托管（Cloud Run，比利时）、数据库（Firestore，华沙）、网站托管和登录，以及保护网站免受自动化滥用（App Check 与 reCAPTCHA Enterprise）	第 2 节中描述的账户数据、设置和其他记录。我们的插件服务器按第 4.1 节所述在内存中处理邮件内容；服务器日志不包含任何邮件内容。您登录网站后，reCAPTCHA Enterprise 会接收有关您的浏览器、设备以及页面使用情况的信息（包括您的 IP 地址），以确认请求来自我们的网站而非自动化脚本（见第 9.2 节）。这是一项全球性的 Google Cloud 服务，因此这些信息可能会依据 Google Cloud 数据处理条款中的标准合同条款在欧洲经济区以外处理。
Google Analytics	网站分析	匿名聚合网站使用数据。须经同意（见第 9 节）。
Sentry (Functional Software, Inc.)	错误跟踪与性能监控	用于识别用户的带密钥哈希、错误消息和堆栈跟踪、来自我们服务器的性能数据（路由、耗时、AI 模型名称和 token 数量），以及来自 Outlook 加载项的错误报告。请求正文、查询字符串、可识别身份的请求标头以及网址中的电子邮件地址会在发送前被移除。不传输任何电子邮件内容、收件人或主题行。数据存储在欧盟境内。
Brevo (Sendinblue SAS, France)	向您发送我们的电子邮件（欢迎邮件、功能指南、提醒）	您的电子邮件地址、注册所用平台（Google 或 Microsoft）、界面语言、计划、账户创建日期、最后使用日期，以及您是否同意接收营销邮件。Brevo 所发送邮件的送达、打开和点击记录（见第 2.7 节）。不含姓名、不含邮件内容，也不含您邮箱中的任何内容。数据存储在欧盟境内。

我们与 OpenAI 的协议还额外包含零数据保留（Zero Data Retention）条款：Kerna 为 AI 推理传输的内容会从 OpenAI 的滥用监控日志中排除，并在您的请求处理完毕后不予保留，符合 OpenAI 的各端点的默认数据使用政策。

7. 符合 API 服务规范

Kerna 对从 Google API 和 Microsoft API 获取的信息的使用和传输将符合《Google API 服务用户数据政策》（包括限制使用要求）以及《Microsoft API 使用条款》。

根据限制使用要求，我们声明如下：

限定用途：我们仅将通过 Google API 获取的数据用于提供和改进应用程序界面中显著展示的面向用户功能：阅读、摘要、翻译、回复、撰写、重写邮件和附件以及从中提取信息；收件箱整理和跟进追踪；检查您的日历是否存在冲突，并在您要求 Kerna 建议其他时间时查找空闲时间，以及在您添加收件人时搜索您的联系人；以及在您要求时，根据这些内容创建日历事件（如您选择，可附 Google Meet 链接和您勾选的邀请对象）、任务、联系人和 Google Drive 文件，补全您已有联系人缺少的信息，并以“接受”“暂定”或“拒绝”回复您收到的日历邀请。我们不将 Google API 数据用于任何其他目的。
禁止传输：我们不向第三方出售、出租或传输 Google API 数据。我们不使用 Google API 数据投放广告。通过 Google API 获取的邮件内容仅在满足用户触发的特定功能请求时传输至我们的 AI 推理提供商（OpenAI），且仅发送该功能所需的文本。您账户的电子邮件地址仅与第 6 节所列的数据处理者共享，并仅用于该节所述的目的。
禁止员工访问：我们不允许人工读取通过 Google API 获取的用户数据，但以下情况除外：(a) 获得用户对特定消息的明确同意（如应用户请求提供技术支持）；(b) 出于安全目的（如调查滥用行为）确有必要；或 (c) 遵守适用法律的需要。
数据最小化：我们仅为第 8 节所述的功能请求访问权限，第 8 节说明了每项权限的使用方式。
Microsoft API：通过 Microsoft Graph 和 Microsoft 登录访问的信息（您的邮箱以及您可以打开的共享邮箱中的邮件、附件、日历、联系人、人员、任务和类别，以及您的基本账户资料）仅用于提供 Kerna 的功能。邮件内容会针对您触发的操作发送给我们的 AI 推理提供商，且不会写入我们的数据库；我们仅存储第 2.4、2.8 和 2.9 节所述的标识符。这些信息绝不出售，也不用于广告或模型训练；除您对某封邮件选择“发送到…”时发送至您团队设置的目标外（见第 2.9 节），不会转让给其他第三方。我们的使用符合《Microsoft API 使用条款》以及 Microsoft 365 应用认证要求。

8. 平台权限

Kerna 在其支持的每个平台上请求以下权限。每项权限仅在您使用 Kerna 期间使用：即您触发某项功能时，或在团队的共享邮箱中，您在 Kerna 中打开邮件或列表时（见第 4.2 节）。任何权限都不会被后台任务使用。

Google 账号 — 登录 (userinfo.email)—确认您的身份并读取您登录时使用的邮箱地址。

Gmail — 运行加载项 (gmail.addons.execute)—在 Gmail 中运行 Kerna 面板。该权限本身不提供任何邮件访问。

Gmail — 当前邮件操作 (gmail.addons.current.message.action)—让 Gmail 在您使用面板时将您当前打开的邮件提供给 Kerna。Kerna 不通过该权限读取或更改邮件；它通过下方的“读取”权限读取邮件。

Gmail — 读取当前邮件 (gmail.addons.current.message.readonly)—让 Gmail 在您使用面板时将您当前打开的邮件提供给 Kerna。Kerna 不通过该权限读取或更改邮件；它通过下方的“读取”权限读取邮件。

Gmail — 读取 (gmail.readonly)—为 Kerna 的每项功能读取当前打开的邮件、其所在会话及附件。在您运行“收件箱整理”时，列出您所选文件夹或标签中的邮件并读取其发件人、主题和预览，读取您的标签名称，并为“等待他人”读取您已发送的邮件。

Gmail — 撰写 (gmail.compose)—在撰写窗口中创建草稿。Google 对该权限的官方标签更宽泛：“管理草稿并发送邮件”。Kerna 仅用它创建草稿，从不用于发送。

Google Calendar — 日程 (calendar.events)—与下方的日历读写权限 (calendar) 一同请求；Kerna 创建日程时使用的是该日历权限。

Google Calendar — 读写 (calendar)—读取您日历的时区，在“提取”找到的日期所在时间检查是否有日程，以便 Kerna 提醒您存在冲突；在您要求 Kerna 建议其他时间时，读取您未来两周的忙碌时间；并在您选择添加时创建该日程（Kerna 已添加过的除外）。选择“添加并附 Google Meet”时，该日程会附带 Google Meet 链接，您在“邀请参加会议”中勾选的人会被添加为邀请对象，并由 Google 日历向他们发送邀请。当“提取”发现邮件是日历邀请时，Kerna 会在您的日历中查找该日程以显示您的回复；当您点击“接受”“暂定”或“拒绝”时，Kerna 会在日历中记录您的回复，随后由 Google 日历将回复发送给组织者。

Google Tasks — 读写 (tasks)—在您提出要求时，根据待办事项、“智能焦点”结果或“收件箱整理”中的邮件创建任务。根据邮件创建的任务会带有邮件中找到的截止日期和指向该邮件的链接。

Google Contacts — 读写 (contacts)—在您提出要求时，保存在邮件中找到的联系人，并在您于“撰写”中添加收件人时搜索您已保存的联系人。“保存此会话中的所有人”会保存会话中的每个地址。如果某人已在您的联系人中，Kerna 会读取您的联系人以找到此人，只补充其条目中缺少的信息（电话号码、公司、职位或姓名），不更改其他任何内容，而不会重复保存。

Google Drive — 应用文件 (drive.file)—写入提取结果导出目标的 Google 表格或 Google 文档。该权限仅涉及 Kerna 自己创建的文件，绝不涉及您云端硬盘中的其他内容。

Microsoft Outlook — 读取 (Mail.Read)—当您使用 Kerna 功能时读取邮箱中的邮件：为摘要、回复、提取、“附件”和“发送到…”读取整个会话及其附件；当您运行“收件箱整理”或“等待他人”时读取您的收件箱和已发送邮件（发件人、主题和简短预览），包括检查会话中是否有后续回复；以及在“选择邮件”（Pick emails）中，读取您最近的收件箱邮件和与您输入的搜索内容匹配的邮件；以及当您在 Kerna 中回复会议请求时，读取该邮件所属的日历事件；以及在使用“保存此会话中的所有人”时，读取会话中邮件的发件人和收件人。

Microsoft Outlook — 读写 (Mail.ReadWrite)—当您在“收件箱整理”中执行相应操作时，将邮件标记为已读、将其移至“存档”，以及为邮件添加或移除 Kerna 自己的类别。回复和新邮件是通过加载项的项目权限（见下文）放入 Outlook 撰写窗口的，而不是通过此权限。

Microsoft Outlook — 日历 (Calendars.ReadWrite)—当您选择安排日程时，检查冲突并根据邮件中找到的日期创建事件；在您要求 Kerna 建议其他时间时，读取您未来两周的忙碌时间。除非您在使用“添加并附 Teams”时在“邀请参加会议”中勾选了人员，否则 Kerna 不会邀请任何人；勾选后，由 Exchange 从您的日历向他们发送邀请。选择“添加并附 Teams”时，该事件会附带您的日历所提供服务的在线会议链接（工作或学校帐户为 Microsoft Teams）。当您对会议请求点击“接受”“暂定”或“拒绝”时，Kerna 会在您的日历中记录您的回复，并由 Exchange 将其发送给组织者。

Microsoft Outlook — 任务 (Tasks.ReadWrite)—在您提出要求时，根据行动事项、“智能焦点”结果或“收件箱整理”中的邮件创建 Microsoft To Do 任务。根据邮件创建的任务会带有邮件中找到的截止日期和指向该邮件的链接。在共享邮箱中，如果您开启“将分配给我的邮件放入 Microsoft To Do”，Kerna 会在您打开 Kerna 时，把分配给您的会话连同主题和链接添加到您自己的 To Do 列表。其中某个对话被标记为已完成时，Kerna 会将对应的任务勾选为完成。

Microsoft Outlook — 联系人 (Contacts.ReadWrite)—保存在邮件中找到的联系人，并在您于“撰写”中添加收件人时查找您的联系人。“保存此会话中的所有人”会保存会话中的每个地址。如果某人已在您的联系人中，Kerna 会按地址查找此人，只补充其条目中缺少的信息（电话号码、公司、职位或姓名），不更改其他任何内容，而不会重复保存。

Microsoft Outlook — 用户 (People.Read)—在您于“撰写”中搜索收件人时，推荐与您共事的人员。

Microsoft Outlook — 邮箱设置 (MailboxSettings.ReadWrite)—当您在“收件箱整理”中开启“在 Outlook 中标记邮件”（Label messages in Outlook）时，Kerna 会将其自己的彩色类别（名称为“Kerna: ...”）添加到您的 Outlook 类别列表中，或更正其颜色，以便标签以彩色显示。Kerna 不会读取或更改任何其他邮箱设置。

Microsoft Outlook — 共享邮箱读取 (Mail.Read.Shared)—读取组织已授予您访问权限的共享或委派邮箱中的邮件：您正在处理的邮件；当您将该邮箱纳入“收件箱整理”时，其收件箱和已发送邮件；以及具有团队状态的对话中的最新邮件，以便团队列表显示其主题和发件人。Kerna 不会扩大您的权限：它只能打开您在 Outlook 中本就能打开的内容。

Microsoft Outlook — 共享邮箱读写 (Mail.ReadWrite.Shared)—在您已获授权的共享或委派邮箱中：将邮件标记为已读、将其移至“存档”，以及添加或移除 Kerna 的类别，包括在团队标记为已完成或被重新打开的对话上添加或移除 Done (Kerna)。

Microsoft 账户 — 登录 (User.Read)—标准的 Microsoft 登录权限。Kerna 从您的登录令牌中读取您的姓名和电子邮件地址。

Microsoft 账户 — 登录 Kerna (openid, profile, offline_access, access_as_user)—标准的 Microsoft 登录权限。这些权限用于确认您的身份，并让 Kerna 在您使用期间续期其访问权限，而无需您重新登录。在我们的服务器上，由此获得的令牌仅保存在内存中；在 Outlook 中，Microsoft 的登录库会在浏览器中保存您的会话（见第 9.3 节）。

Microsoft Outlook — 加载项项目访问 (ReadWriteItem)—在您选择时，读取 Outlook 中当前打开的邮件，并将回复或新邮件放入撰写窗口。

通过这些权限读取的内容仅用于您所请求的操作。这些内容不会写入我们的数据库、日志或备份；工作副本按第 4.1 节和第 9.3 节所述保存在内存中或您的设备上。此外，Kerna 会存储第 2 节所述的标识符和设置：对于 Gmail 的“收件箱整理”，您标记为 VIP、“静音”或“低优先级”的发件人地址以及您标记为“完成”的邮件的标识符（第 2.4 节）；共享邮箱的团队状态（第 2.8 节）；以及“发送到…”记录（第 2.9 节）。您还可以选择将邮件数据发送到您团队设置的目标（见第 2.9 节）。对于您所在组织尚未授予您访问权限的邮箱，Kerna 无法访问。Kerna 不发送邮件：在 Outlook 上完全不请求发送权限；在 Gmail 上，允许插件把草稿写入您撰写窗口的那项权限范围被 Google 描述为可管理草稿并发送电子邮件；Kerna 只用它来创建草稿，绝不用于发送。当您在 Kerna 中以“接受”“暂定”或“拒绝”回复日历邀请时，由您的日历将回复发送给组织者，与使用邀请本身的按钮相同。同样，当您添加带 Google Meet 或 Teams 的会议并在“邀请参加会议”中保留勾选的人员时，由您的日历向他们发送邀请。

9. Cookie 与分析

9.1 网站分析（kerna.io）我们的网站使用 Google Analytics 4 统计页面浏览量、会话和流量来源。法律依据是您依据《通用数据保护条例》（GDPR）第 6 条第 1 款第 (a) 项作出的同意，并结合 ePrivacy 指令第 5 条第 3 款。在您于 Cookie 横幅中接受之前，不会加载任何 Google 脚本，也不会向 Google 发送任何数据，包括您的 IP 地址。如果您拒绝，或始终未对横幅作出回应，则完全不会发出任何分析请求。

9.2 本网站的 Cookie 与存储仅在征得您同意后设置：_ga（Google，最长 2 年），用于区分不同访问者；以及 _ga_[measurement ID]（Google，最长 2 年），用于保存本媒体资源的会话状态。如果您拒绝，这两者都不会被设置。始终存在，因为没有它们网站就无法运行：locale（Kerna，1 年），用于记住您所选择的语言；以及一条关于您 Cookie 选择的小型记录（Kerna，6 个月），这是我们能够尊重拒绝决定的唯一方式。Firebase Authentication 会在您的浏览器中保留其会话存储。Firebase SDK 会在每个页面上启动，因此无论您是否登录，该存储都会被创建；只有在您登录后，其中才会保存会话。Firebase 还会保留一条小型诊断记录，说明该页面使用了哪些 Firebase 服务。您登录后，本网站还会从 Google 加载 reCAPTCHA Enterprise，以便我们的函数区分来自本网站的请求与自动化脚本（Firebase App Check）。为此，Google 可能会设置 _GRECAPTCHA Cookie（最长 6 个月），Firebase 会在您的浏览器存储中保留一个短期有效的 App Check 令牌。未登录的访问者不会加载 reCAPTCHA。这些属于严格必要的项目，依据 ePrivacy 指令第 5 条第 3 款无需征得同意。

9.3 邮件插件Kerna 插件不设置任何 Cookie，也不加载任何第三方跟踪或广告脚本。Outlook 加载项从 Microsoft 加载 Microsoft 的 Office 库，并从 jsDelivr 内容分发网络加载 Microsoft 的登录库和 React 库；与您从中加载文件的任何服务器一样，jsDelivr 会接收到您的 IP 地址。为了正常运行，Outlook 加载项会在您设备上的浏览器存储中保存数据：某封邮件的结果（一小时）、回复和撰写草稿（24 小时）、整理结果（24 小时）、未答复的整理条目及其主题、发件人、日期和 Kerna 的简短摘要，以及您标记为“完成”的邮件的标识符（30 天），Kerna 已添加标签的邮件的标识符、您的整理发件人规则、已保存的提取模板、最近使用的共享邮箱和显示偏好，以及在回复窗口打开时的几分钟内，您正在回复的邮件。每个条目过期后，会在 Kerna 下次在该设备上打开时被移除。Microsoft 的登录库会在浏览器中保存您的会话。此类存储对于您所使用的功能是严格必要的，“删除我的数据”会清除您使用该功能的设备上属于 Kerna 的那部分存储。两个插件都会按第 2.6 节所述记录使用事件，Outlook 加载项中的错误会报告给 Sentry（见第 6 节）。如果您在“撰写”中使用语音输入，由您浏览器自带的语音识别将语音转换为文本；视浏览器而定，这一过程可能由浏览器的开发商（例如 Google 或 Microsoft）完成，Kerna 仅接收文本。

9.4 更改或撤回您的选择请使用任意页面页脚中的「Cookie 设置」链接。撤回只需一次点击，与接受完全一样。在那里拒绝还会删除已存储在您设备上的 Google Analytics Cookie，因此撤回会移除该标识符，而不仅仅是停止新的收集。您的选择存储在您的设备上，并会在六个月后再次向您征求；如果此处所述的目的发生变化，则会更早征求。

9.5 Google 接收哪些数据，以及数据流向何处在已对分析给予同意的情况下，Google Analytics 由 Google Ireland Limited 提供，数据可能依据 Google 数据处理条款中所载、并经我们接受的标准合同条款传输给位于美国的 Google LLC。该媒体资源在配置上未启用 Google Signals，也未启用广告功能：在我们的代码中，广告同意信号被设置为「拒绝」（denied）且从不授予，因此分析数据不会用于广告个性化或再营销。数据保留 14 个月。

10. 数据安全

我们采用行业标准的技术和组织措施保护您的数据：

所有传输中的数据使用 TLS 1.2 或更高版本加密。
Firestore 中所有静态数据使用 Google Cloud 管理的 AES-256 加密。
API 密钥和秘密不存放在源代码中，而是在部署时通过 Google Cloud Secret Manager 和加密的服务配置提供给我们的服务。
生产系统访问仅限于经授权的人员，使用基于角色的访问控制。
Firestore 安全规则阻止来自浏览器的所有写入，并将已登录用户可读取的内容限制为其本人及其团队的记录。来自插件的请求仅读写在您通过 Google 或 Microsoft 登录时所识别的用户和团队的记录。少数受密钥保护的管理员功能允许经授权的员工查询或更正账户。
您登录后，网站会使用 Firebase App Check 与 reCAPTCHA Enterprise 向我们的函数证明每个请求均来自该网站（见第 6 节和第 9.2 节）；缺少此证明的请求可能会被拒绝。
为防止服务被滥用，我们以您的账户标识符或 IP 地址的带密钥哈希为键，统计每分钟的请求数；每个计数器会自动删除，通常在一天之内。
我们不在数据库、日志或备份中存储邮件内容，因此敏感数据暴露的攻击面在架构上已最小化。

尽管我们实施了强大的安全措施，但没有任何系统是完全安全的。如发生影响您个人数据的数据泄露，我们将按照 GDPR 第 33 条的要求，在 72 小时内通知您和相关监管机构。

11. 国际数据传输

Kerna 总部位于欧盟（波兰）。我们的插件服务器运行在位于比利时的 Google Cloud 上，您的账户数据存储在位于波兰华沙的 Google Cloud Firestore 中。

部分数据处理者——包括 OpenAI 和 Stripe——可能在美国处理数据。所有此类国际传输均符合 GDPR 第五章的要求。我们通过与每个数据处理者签订的数据处理协议中的标准合同条款（SCC）提供充分保障。Sentry（Functional Software, Inc.）是一家美国公司：我们发送给它的错误报告存储在其欧盟数据区域，Sentry 可依据 EU-U.S. Data Privacy Framework 从美国访问这些数据，并以标准合同条款作为备用保障。

根据我们的零数据保留（Zero Data Retention）条款，为 AI 处理而发送的邮件内容不会被 OpenAI 保留，Kerna 也不会将其写入自己的数据库或日志。这大大降低了涉及通信内容的任何国际数据传输的风险状况。

12. 数据保留

数据类别	保留期限
邮件内容（已处理）	不会写入我们的数据库、日志或备份。服务器内存中的工作副本：Gmail 插件中约 30 分钟，共享邮箱为几分钟。Outlook 加载项：保存在您的设备上，视条目而定，从几分钟到 30 天不等（见第 9.3 节）。
账户数据（邮箱、姓名）	保留至您使用“删除我的数据”（立即生效）或要求我们删除（30 天内）。卸载插件不会删除这些数据；如果您再次使用 Kerna，将沿用同一记录。使用“删除我的数据”后再次使用 Kerna，将创建新的记录。
订阅与账单数据	订阅活跃期间保留。账单记录因税务合规保留 7 年。
使用指标（token 计数）	当期 token 计数：每个账单周期重置。每月使用次数统计：保留至您删除数据。在免费方案下，使用“删除我的数据”后，当月的 token 计数会保留到该月月底，以您电子邮件地址的带密钥哈希（而非地址本身）为键，这样删除并重新创建账户不会重置免费额度。
您在 Kerna 中的设置和创建的内容（2.4）	保留至您更改或移除它们，或删除您的数据。Gmail “完成”列表：每个条目在 30 天后失效，并在您下次打开“收件箱整理”时被移除。
分析数据（GA4）	根据 Google Analytics 默认配置保留 14 个月。
插件使用事件（带密钥哈希，2.6）	90 天后删除。
欢迎、早期访问和联系记录	保留至您删除数据或要求我们删除。
电子邮件联系人记录（Brevo）	账户活跃期间保留。删除账户时会自动从 Brevo 中删除。如果您退订，该记录仅为确保我们不再向您发送邮件而保留。
Outlook 共享邮箱中的团队状态	对话状态：在对话被标记为已完成 90 天后删除，否则在最后一次更改一年后删除。曾通过 Kerna 打开共享邮箱的人员记录：最近一次使用 180 天后删除，或在该人员离开团队时删除。自动分配规则：保留至团队负责人更改为止；团队成员离开团队时，会被移出这些规则。以上所有数据均随团队所有者的账户一并删除。
“发送到…”目标及发送日志	目标设置：保留至该目标被删除，并随团队所有者的账户（或不属于任何团队的用户的账户）一并删除。发送日志：每条记录在 90 天后删除；如果团队成员在仍属于团队期间删除其数据，其日志记录会提前删除。
团队成员资格和邀请（2.10）	在您属于该团队期间保留，或保留至邀请被接受、拒绝或撤回，并随团队所有者的账户一并删除。

13. 您在 GDPR 下的权利

如果您位于欧洲经济区（EEA），您根据《通用数据保护条例》享有以下权利：

访问权: 您可以请求获取我们持有的关于您的个人数据副本。

更正权: 您可以请求纠正不准确或不完整的个人数据。

删除权: 您可以请求删除您的个人数据（「被遗忘权」）。您可以随时通过 Gmail 或 Outlook 中 Kerna 设置里的“删除我的数据”，或我们网站上的账户页面自行删除。删除立即生效，并且在 Outlook 加载项中还会清除该设备上的 Kerna 存储。如果您有付费订阅，请使用我们网站上的账户页面，该操作同时会取消订阅。您也可以通过 privacy@kerna.io 向我们提出请求，我们将在 30 天内删除您的数据。

限制处理权: 在某些情况下，您可以请求限制对您个人数据的处理。

数据可携权: 您可以以结构化、常用、机器可读的格式请求您的个人数据。

反对权: 您可以反对将您的个人数据用于特定目的。

撤回同意权: 在处理基于同意的情况下（如分析 Cookie），您可以随时撤回同意，不影响撤回前处理的合法性。

如需行使任何上述权利，请通过 privacy@kerna.io 联系我们。我们将在 30 天内回复。如对我们的回复不满意，您有权向当地数据保护监管机构投诉。在波兰，这是个人数据保护局局长（UODO）。

14. 儿童隐私

我们的服务不面向 16 岁以下的人士。我们不会故意收集儿童的个人数据。如果我们得知我们已收集 16 岁以下儿童的个人数据，我们将采取措施及时删除这些信息。如果您认为我们收集了儿童数据，请通过 privacy@kerna.io 联系我们。

15. 本政策的变更

我们可能会更新本隐私政策以反映我们的做法、技术或法律要求的变化。我们将通过在此页面发布更新后的政策并更新上方的「生效日期」来通知您重大变更。对于影响我们处理您数据方式的重大变更，我们将通过插件或电子邮件提供显著通知。我们建议您定期查看此页面。变更后继续使用服务即表示接受更新后的政策。

16. 联系我们

如对本隐私政策或我们的数据实践有任何问题、疑虑或请求：

数据控制者: Kerna

地点: 波兰卡托维兹

隐私咨询: privacy@kerna.io

一般咨询: contact@kerna.io

2026年10月21日

阅读我们的服务条款