1. 工作原理
对 Brainpercent 法律文件的每次重大修改都会在此页面上记录，包括日期、受影响的文件、修改类型和一段摘要。这是仅追加记录 — 历史条目从不编辑或删除。
重大修改（费用、争议解决、您的核心权利或实质性披露义务的修改）会向所有注册用户触发提前 30 天的电子邮件通知，外加产品内持续横幅。非实质性修改（澄清、印刷更正、新的可选功能）在发布时生效，并在此处记录而无需单独通知。
2. 2026 变更
首次发布。披露了处理者类别，并链接至 /legal/subprocessors。列举了 GDPR 第 13 条权利。SCC 依赖于跨境传输。保留表。72 小时违规通知承诺。
首次发布。14 天冷静期退款窗口。服务故障 72 小时按比例退款。AI 输出所有权流转。可接受使用列表。特拉华州适用法律 + AAA 仲裁，放弃集体诉讼。欧盟/英国/瑞士/加州/澳大利亚消费者豁免。12 个月责任上限。
首次发布 Brainpercent 会员计划条款。20% 经常性佣金，12 个月归属窗口，每月 Stripe Connect 付款，最低 50 美元，新账户 7 天冷却期。
首次发布。在支付、基础设施、AI 提供商、通信和分析方面命名了 14 个子处理者。
首次发布。符合欧盟 AI 法案第 4 条（AI 素养）和第 50 条（透明度）。使用的 AI 模型列表、已知局限性、验证指南、禁止的高风险用途。
首次发布。Brainpercent 预先签署 GDPR 第 28 条 DPA。附录 1（处理详情 + 数据类型 + 子处理者）+ 附录 2（技术和组织安全措施）。SCC 依赖于跨境传输、72 小时违规通知、终止后 90 天删除、审计权。
所有 v2.0 / v1.0 法律文件已推广到 https://brainpercent.app 生产环境。Cookie 横幅现在通过 Consent Mode v2 主动门控 Google Analytics 和 Microsoft Clarity。注册中强制执行年龄 + 条款复选框。GDPR 第 15 条自助数据导出已发布（7 天签名 URL、JSON 存档）。每日违规检测 cron 处于活动状态，带有 Discord webhook 警报。
已检测服务器端产品分析（analytics_events 表，仅追加，RLS 仅管理员）。记录生命周期事件：signup、signin、first_chat_message、project_created、first_article_generated、first_social_generated、first_publish、purchase_completed、subscription_started、subscription_canceled、credit_purchased。GDPR 第 17 条删除通过 user_id 上的 ON DELETE SET NULL 处理。
所有法律页面现在以 12 种非英语语言（he/ar/ru/es/fr/de/pt/it/zh/ja/ko/hi）呈现本地化的界面和正文内容。中间件透明地重写 /{locale}/legal/* + /{locale}/privacy + /{locale}/terms。每次非英语访问都会显示琥珀色的"英语版本权威"横幅。每页添加了 hreflang + JSON-LD WebPage/BreadcrumbList 用于 AI 引擎索引。
全面重写以与服务条款 v2.0 保持一致：14 天冷静期退款窗口、服务故障 72 小时按比例退款，并取消此前从退款中扣除的支付处理费。
首次发布。记录我们设置的每个 Cookie、同意类别、Google Consent Mode v2 默认值（在授予前为拒绝）、Microsoft Clarity 仅在横幅同意后加载，以及页脚中的 Cookie 偏好设置控件。
首次发布。定义生成和发布内容的禁止内容与行为、平台滥用规则和执行步骤。
首次发布。安全措施的公开概述：TLS 1.2+、静态 AES-256 加密、Postgres 行级安全、Stripe PCI DSS 一级、最小权限访问和 72 小时违规通知。
首次发布。说明我们的无障碍标准目标（WCAG）、已知局限性以及如何报告无障碍障碍。
列表从 14 个扩展到 27 个命名供应商（Cloudinary、AWS、HeyGen、Shotstack、Vapi、ElevenLabs、Deepgram、Apollo.io、Telegram、Discord、Upstash、Make.com、WordPress）。OpenAI 条目已更正：直接的 OpenAI API 集成已于 2026 年 6 月移除；OpenAI 模型仅通过间接方式使用（Sora 视频经 GoAPI 网关，语音助手 LLM 经 Vapi）。
第 8 节（Cookie 和跟踪）已更新以反映现行同意系统：GA4 以 Consent Mode 默认拒绝加载，Clarity 仅在横幅同意后加载，页脚提供 Cookie 偏好设置控件，且该节链接到新的 Cookie 政策。非实质性澄清：无需重新接受。
注册同意复选框现在包含明确的年龄确认（美国 13+ / EEA-UK 16+），与隐私政策第 10 节的年龄筛查承诺一致。关于页面的 Google 注册现在也要求勾选条款复选框。
首次发布 /legal/report-content：我们根据欧盟《数字服务法》(DSA) 第 11 条和第 12 条设立的通知与处理机制。为当局和服务接收者设立唯一联系人，并规定了举报非法或侵权内容的流程。
可接受使用政策已更新，明确禁止虚假消费者评论和推荐，符合美国联邦贸易委员会 (FTC) 关于消费者评论的规定 (16 CFR 第 465 部分)。
标注部分已重写，以准确反映欧盟 AI 法案第 50 条。现在明确说明我们今天做到的（仪表板中人类可读的 AI 标签、本透明度页面、会披露自己是 AI 的 AI 助手）、正在进行且目标为 2026 年 12 月 2 日的工作（在生成的图像和视频中嵌入 C2PA Content Credentials 并提供免费验证途径；在此之前输出不带机器可读标记），以及您在第 50(4) 条下的部署者义务。删除了无保留的"我们符合第 50 条"声明。
第 7 条新增"您的透明度义务"小节：用户是欧盟 AI 法案第 50(4) 条及类似法律下的部署者，必须标注 AI 生成的深度伪造内容，必须披露为就公共利益事项向公众提供信息而发布的 AI 生成文本（经人工编辑审核的除外），并必须遵守各平台的 AI 标签规则。仅为补充性澄清：条款仍为 v2.0，无需重新接受。
《条款》第 6 条及《退款政策》中的对应条款已反转：所购积分不再失效（此前为自购买之日起 12 个月）。未使用的积分将无限期保留在您的账户中，按旧条款购买的现有余额同样适用。已应用于《退款政策》的全部 13 种语言。此变更扩大而非削减您的权利，因此属于非重大变更并自发布之日起生效；无需重新接受。
已购买的积分不再过期。条款第 6 节此前规定积分自购买之日起 12 个月后过期，这与 /pricing 和钱包文案等五个公开页面已作出的永不过期承诺相矛盾。该条款现已与承诺一致，退款政策也已同步调整。此变更扩大而非缩减用户权利，因此属于非重大变更，自发布之日起生效；无需重新接受。
条款第 7 条新增「您的品牌、标识与商标」小节（7.2），可接受使用政策在 2.1 增加对应例外。两者均明确：用您拥有的品牌，或您获授权代表的客户品牌生成内容，是本服务的常规预期用途。您声明对所提供的标识享有所有权或授权；我们不核实所有权，也无义务核实；我们不授予我们并不持有的标识上的任何权利；冒充您未代表的品牌仍被禁止。第 9、10、15 条获得对应澄清。此项变更写明此前未写明的许可，并澄清第 9、15 条本已施加的义务，因此属非实质性变更，发布即生效；无需重新接受。
供应商披露已更正为现行技术栈：fal.ai 是图像、音频和视频引擎。OpenAI 不是 Brainpercent 的 API 供应商。GoAPI 仅为残留工具集（不是产品媒体引擎）。Inngest 被列为后台任务编排方。Stripe 同时是欺诈、AML 及其自身产品目的的独立控制者。默认 fal CDN 链接在我们把文件复制到自有存储之前对持有该 URL 的人公开。我们不承诺按需删除已发送给 Anthropic 的提示。
Amazon Web Services 与 Upstash 不再列为当前子处理方。Remotion-on-Lambda 没有生产调用点；视频拼接由 Cloudinary 完成。速率限制现运行在我们自己的 Supabase Postgres 上，而不是 Upstash Redis。未使用的行已从每种语言表格中删除。
新增 ReverseContact 为当前子处理方。它是用于拓展与项目创建的现行 LinkedIn 资料丰富服务（姓名、标题、近期动态、雇主）。Apollo.io 仍是 B2B 联系人丰富服务。
子处理方列表中 Google LLC 的用途现写明现行连接器，而不只是 GA4：Google 登录、您连接的日历与 Meet 事件、Search Console，以及您连接的 Google 评价。隐私政策现说明 Google 或 Facebook 登录仅返回邮箱、基本资料和账户 ID，连接日历、Search Console 或评价是单独授权。Google 本已在列；这是对您连接这些产品时本已发生的处理的非实质性澄清。
新增 Meta Platforms, Inc. 为当前子处理方。Facebook OAuth 登录以及用于 Page/Instagram 品牌扫描的可选 Meta Graph 读取本已运行；向 Facebook/Instagram 发布仍走 GetLate / Zernio。令牌加密存储。
Cookie 政策现写明产品本已设置的两个第一方 Cookie：gcal_oauth_state（连接 Google 日历的 10 分钟 CSRF）和 retainer_session_*（顾问交付门户链接的两小时解锁）。表格在未列出它们时仍声称完整。非实质性清单更正；无需重新接受。
隐私政策与 DPA 现写明可选的投资人语音助手：麦克风音频和转录文本发往 Vapi，Deepgram 经 Vapi 转录。两家供应商本已在子处理方列表中。各语言表格中的 Deepgram 用途现写明经 Vapi 到达。这是对您使用该助手时本已发生的处理的非实质性澄清。
AI 透明度现写明 fal 上现行托管的模型（Seedance、Flux、MiniMax、ElevenLabs via fal）；ElevenLabs 不是单独供应商。隐私跨境传输与共享表现写明 Apollo.io、Discord、Sentry、Browserless.io、DataForSEO、Make.com、Telegram 和 WordPress。DPA 附件 1 现包括经 Apollo.io 与 ReverseContact 丰富的拓展潜客数据。非实质性清单；无需重新接受。