简短版：没有账号时，你的词和设置留在你的浏览器里；发出去的只有要翻译的那个词。一旦登录，你的词汇（连同它们出自的字幕句子）、练习答案和使用事件会同步到我们的数据库，AI 功能则把相关部分发给 Google 的 Gemini API。没有任何东西被出售，而且你可以要求把它们全部删掉。
1. 谁负责
依 GDPR 第 4 条第 7 款以及土耳其第 6698 号个人数据保护法（KVKK），控制者是 Murathan Bakti。
- 邮箱： contact@wordmi.com
- 设立地： Türkiye
2. 扩展做什么，在哪里做
扩展只在 netflix.com 和 www.youtube.com 上运行，别处一概不运行。它读取平台为你正在播放的片子或视频提供的字幕轨，同时显示其中两条，并让上面一行的词可以点击。在 YouTube 上，它以与播放器相同的方式，向 YouTube 自己的字幕服务请求该视频的字幕；当视频没有你的语言的字幕时，这也包括 YouTube 的自动翻译。它不读取你的 Netflix 或 Google 登录凭据、支付信息、观看历史，也不读取你访问的任何其他网站。它不下载视频或音频，也不把字幕文件保存到你的设备上。
3. 不注册账号使用
账号是可选的。没有账号时，我们的服务器上什么都不存。 你选的语言、外观设置、保存的词、它们出自的句子以及你的复习计划，全都存在浏览器的本地存储里。尚未发送的练习答案和使用事件也在同一处等待。
有一个例外：要告诉你一个词是什么意思，就得把这个词发给翻译服务；如果你开启了直译模式，当时屏幕上的那行字幕也会一并发出。无论你是否登录，这都会发生（见第 6 节）。
首次登录时，该浏览器里积累的词和待发送的记录（最多 500 条使用事件和 2,000 条练习答案）会上传到你登录的账号。
4. 登录之后我们处理什么，依据什么法律基础
| 数据 | 为什么 | 法律基础 | 保留期限 |
|---|---|---|---|
| 邮箱地址 | 用于识别账号并发送登录验证码 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 密码，仅以加盐哈希形式存储 | 用于验证你的身份。登录时它会经过我们的服务器函数进行校验；明文不会存储在任何地方 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 手机号码：用邮箱和密码注册时必填；用 Google 登录时不会索取 | 为找回你的账号而保存。验证码发到你的邮箱，而不是这个号码；我们不会向它发短信，也不会拨打它 | 正当利益（GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f） | 直到你删除账号 |
| 显示名称与头像 | 用于在应用内标识你；显示名称也会出现在排行榜上。若你用 Google 登录，两者都由 Google 提供；头像也可以自己上传 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 个人资料：你的母语、在学的语言、水平、每日目标、学习目的和兴趣 | 用于让练习和 AI 的回答贴合你 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 已保存的词：词本身、译文、语言对、它出现的那句字幕、你当时在看的片子或视频的名称和 id，以及其中的位置 | 这就是产品本身：你据此学习，而句子正是让词记得住的东西 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除该词或账号 |
| 间隔重复状态：重复次数、间隔、难易系数、下次到期日、遗忘次数以及你完整的作答历史 | 用于决定何时再次向你展示每个词 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除该词或账号 |
| 练习记录：题型、题目、你输入或选择的答案、是否正确、作答用时、使用提示和退格键的次数、题目打开期间你是否离开过标签页；口语题中则是浏览器识别出的文本（不是录音） | 用于给你的进度评分、调整难度，并让 AI 导师看到你卡在哪里 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 使用事件：保存和删除词、学习会话的开始和结束、达成每日目标、水平变化、你把光标移上去却没有保存的词及其次数（附片子的名称和 id）、你要求讲解的句子、对场景链接和升级按钮的点击、扩展的版本 | 让 AI 导师和报告能够了解你；了解产品的使用情况并发现同步错误 | 正当利益（GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f） | 直到你删除账号 |
| 你与 AI 导师的对话 | 以便对话能从中断处继续 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除该会话或账号 |
| AI 为你生成的内容：练习题组和报告 | 以便你重新打开过去的报告，并统计你的每日额度 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 分数与用量计数器：你的排名分数、游戏等级、套餐名称，以及 AI 用量的每日和每周计数器 | 用于生成排行榜并执行 AI 功能的用量上限 | 履行合同（GDPR 第 6 条第 1 款(b) · KVKK 第 5 条第 2 款c） | 直到你删除账号 |
| 验证码与受信任设备记录：发到你邮箱的 6 位验证码的哈希；记住此浏览器的令牌的哈希、你的浏览器标识（user agent）以及最后使用时间 | 用第二步保护邮箱加密码的登录；并在 30 天内不在同一浏览器再次索要验证码 | 正当利益（GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f） | 验证码有效期 10 分钟，设备令牌有效期 30 天；记录本身会保留到你删除账号 |
| 限流计数器：按邮箱地址、按账号 id 以及按请求来源的 IP 地址统计的尝试次数 | 限制密码尝试和验证码发送以防暴力破解；统计每日对话额度 | 正当利益（GDPR 第 6 条第 1 款(f) · KVKK 第 5 条第 2 款f） | 计数窗口从 15 分钟到 24 小时不等。超过一天的计数器会被自动删除；触及上限的计数器会保留到同一键值再次被使用为止 |
扩展里没有广告，也没有第三方的分析 SDK 或追踪 SDK。上述使用事件只写入我们自己的数据库。我们不为营销给你画像，也不为你建立广告身份。
5. AI 功能
导师对话、练习题组、句子讲解、词在句中的意思、报告以及 AI 字幕翻译，由 Google 的 Gemini API 生成。为了作答，我们只发送答案所需的那部分数据：涉及的词及其出自的句子、你的练习答案和使用事件的摘要、你的个人资料（显示名称、水平、目标、学习目的、兴趣），以及你输入的消息。字幕翻译时会发送视频的字幕文本和名称。你的邮箱地址和手机号码不会被发送。
在这件事上 Google 作为我们的处理者行事。依 Gemini API 的付费条款，我们发送的内容不会用于训练 Google 的模型。你保存的词也会由同一个 API 转成数值向量（嵌入），以便找出相关的词。
听力题与口语题
听力题与口语题中的句子由 Google Cloud Text-to-Speech 朗读。该服务只收到句子的文本和语言；不会发送你的账号 id。生成的音频文件保存在一个共享的、可公开读取的缓存里，以免同一句话被重复生成；缓存记录中不含账号 id。为执行用量上限，我们按账号统计每日字符数。若该服务无法连接，则由浏览器自带的语音朗读句子。
口语题只在你按下麦克风按钮时、并经过浏览器的权限提示后才使用麦克风。把语音转成文字的是浏览器自带的语音识别功能（Web Speech API）：音频不会到达扩展，也不会到达我们的服务器，我们也不保存它。 在 Chrome 中，这项识别在服务器端进行：音频会发往 Google 的语音服务以供识别。到达我们这里的只有识别出的文本，它会随你的练习记录一起保存。
6. 翻译
当你把光标移到某个词上或点击它时，这个词和语言对会发往 Google 翻译；若第一次请求失败，则发往 MyMemory（Translated s.r.l.）。这个词周围的句子不会发给这些服务。当直译模式开启而 AI 翻译不可用时（例如你没有登录），当时屏幕上的那行字幕也会以同样的方式翻译。这些请求不携带你的账号标识。MyMemory 可能会把提交的文本留在其公开的翻译记忆库里，因此不要去点敏感内容。
如果你已登录，当你把光标在某个词上停留片刻时，这个词会连同它所在的那句字幕发到我们的服务器，再由服务器发给 Gemini，以找出它在这句话里的意思。“讲解句子”按钮也以同样的方式发送句子。
三类 AI 结果（整条字幕轨的翻译、词在句中的意思、句子讲解）会保存在我们服务器上的共享缓存里，好让下一个人不必重新生成同样的内容。缓存保存的内容是：字幕翻译为译出的各行和片子的 id，词义为这个词和句子，句子讲解为这句话；三类都保存内容的指纹、AI 的回答，以及最先请求它的账号 id。保存账号 id 是为了统计每日用量上限。缓存只向其他用户返回译文或讲解；是谁请求的，不会展示给任何用户。
7. 排行榜对其他用户可见
如果你已登录，你的显示名称、语言水平、游戏等级和分数对其他已登录的 Wordmi 用户可见。 你在排位测试中答满至少 20 题之后才会进入排行榜。你的邮箱地址、手机号码、保存的词和对话历史，从不出现在那里。
你上传的头像不会显示在排行榜上，但它存放在可公开读取的存储空间里：任何知道其地址的人都能打开它，而这个地址包含你的账号 id。
我们这样做，依据的是让练习更有动力这一正当利益（GDPR 第 6 条第 1 款(f)）。你有权依第 21 条提出反对： 写信到 contact@wordmi.com，我们会把你从排行榜移除，而不在其他方面限制你的账号。
8. 我们与谁共享
我们不出售你的数据，不与广告商或数据经纪商共享，也绝不用于评估信用或放贷。我们不把它用于任何与教你语言无关的目的。涉及的第三方只有让产品得以运转的服务商；他们依 GDPR 第 28 条作为处理者行事。
| 接收方 | 用途 | 所在地 |
|---|---|---|
| Supabase Inc. | 数据库、身份验证、文件存储（头像、朗读音频），以及 AI 功能背后的服务器函数 | 美国公司；数据位于项目所配置区域的 AWS 基础设施上 |
| Google LLC（Gemini API） | 导师、练习题组、讲解、词义、报告、字幕翻译与嵌入 | 美国公司；全球基础设施 |
| Google LLC（Cloud Text-to-Speech） | 朗读听力题与口语题中的句子（仅句子的文本和语言） | 美国公司；全球基础设施 |
| Google LLC（Google 翻译） | 单词的翻译；直译模式下为屏幕上的那行字幕 | 美国公司；全球基础设施 |
| Translated s.r.l.（MyMemory） | 上述请求失败时的备用翻译 | 意大利（欧盟） |
| Google LLC（使用 Google 登录） | 仅在你选择这种方式时：由 Google 验证你的身份；你的姓名、邮箱地址和头像来自 Google | 美国公司；全球基础设施 |
| 我们的邮件服务商 | 投递登录与两步验证的验证码 | 按该服务商自身的基础设施 |
除此之外，只有在法律强制时（法院命令或明确的法定要求），我们才会披露数据。
9. 跨境传输
由于这些服务商在全球运营，你的数据可能在 Türkiye 境外以及欧洲经济区之外（包括美国）被处理。向我们位于美国的处理者的传输，依据 GDPR 第 46 条第 2 款(c) 下欧盟委员会的标准合同条款，并已并入这些服务商的数据处理条款。就 KVKK 而言，在没有其他依据适用时，跨境传输依据第 9 条下你的明确同意。
10. 保留与删除
你的账号以及与之绑定的一切会一直保留，直到你删除它们。扩展里没有自助删除账号的按钮；要删除账号，请写信到 contact@wordmi.com。账号被删除后，你的词、复习历史、练习记录、使用事件、对话线程、个人资料、头像、手机号码和邮箱地址会在 30 天内被移除。 备份会在此后不久按其自身周期滚动淘汰。
共享缓存里的译文、词义和讲解也服务于其他用户，因此会留在缓存中。只存在你浏览器里的数据，会在你卸载扩展或清空其存储时被移除。
11. 你的权利
依 GDPR（第 15 至 22 条）与 KVKK（第 11 条），你有权知道我们持有什么、获取副本、要求更正、要求删除、限制处理或提出反对、要求可携带，以及随时撤回任何同意，而不影响此前合法的处理。
你可以随时在学习页面自行把词导出为 JSON，无需向我们申请。其余事项请写信到 contact@wordmi.com。我们在 30 天内答复（KVKK：30 天；GDPR：一个月，请求复杂时可再延长两个月），并且免费。
12. 向监管机构投诉
如果你认为我们处理你的数据有失当之处，请先告诉我们，我们更愿意把它改好。你也可以向土耳其的 Kişisel Verileri Koruma Kurumu（KVKK） 投诉；若你在欧洲经济区，则可向你居住或工作所在地的监管机构投诉。
13. 我们如何保护
流量走 HTTPS。密码由我们的身份验证服务商仅以加盐哈希形式存储。每一张表都启用了行级安全，因此一个账号只能读到属于自己的行。登录与验证码发送都有针对暴力破解的限流。用邮箱和密码登录时，如果来自我们不认识的浏览器，则需要第二步：一个发到你邮箱的验证码。
没有系统是绝对安全的。若某次泄露可能危及你的权利，我们会按 GDPR 第 33 条的要求在 72 小时内通知监管机构，并在第 34 条要求时直接告知你。
14. 儿童
本扩展不面向 13 岁以下的儿童，我们也不会明知而收集他们的数据。若你认为有儿童创建了账号，请写信到 contact@wordmi.com，我们会删除它。
15. 自动化决策
AI 功能生成建议与讲解，复习算法决定何时再次向你展示某个词。二者都不会对你产生法律效果或类似的重大影响，因此这不构成 GDPR 第 22 条意义上的自动化决策。
16. 变更
若本政策的变更影响到我们收集什么或谁会收到，我们会更新顶部的日期，并在变更生效前通过邮件告知账号持有人。
17. 联系方式
数据保护相关问题、访问请求与删除请求：contact@wordmi.com。