对话默认封存，感情没有价目表，
AI 不假装是人。

谁能看你的对话？默认：谁都不能

对话原文与个人敏感信息在 OneOneTalk 的后台里是一类特殊资源，工程上叫「破窗玻璃」（break-glass）：平时封着，砸开必须留下痕迹。

在运营与管理系统中，任何角色都不默认持有这类资源的读取权限——租户管理员不行，平台员工也不行。日常运营使用的是脱敏层：只有元数据与标签，没有原文，绝大多数运营需求到这一层就结束了。

真正需要读取原文的场景（例如处理你本人发起的申诉），必须走特批流程：申请人写明理由与用途类别，授权有时限，每一次实际读取都落一条回执——而且这些回执对你本人可见。谁、在什么时候、以什么理由看过你的数据，你查得到。

关键的一点是这道闸门的位置：它在权限系统里排在角色判定之前。也就是说，不是「管理员权限很大所以要格外小心」，而是无论怎样配置角色，都碰不到这类资源，除非走完上面那套留痕流程。同样的回执机制也贯穿委托行动的每一步执行。

AI 不假装是人

诚实的第一条是身份诚实：你永远知道对面是不是 AI、是谁的 AI、以什么身份在说话。

• 所有入口持续明确 AI 身份：首次见面、长时间对话、情绪危机等高风险场景，都不暗示对面是真人或拥有真实意识。
• 生成内容依法标识：AI 生成的内容按《人工智能生成合成内容标识办法》带显式与隐式标识，出厂即带；市集创作中的 AIGC 作品同样按这套规则打标。
• 身份不只两态，是三态：在社交与匹配场景里，一条消息可能来自本人、来自分身代笔（本人逐字确认过，责任在人）、或来自分身代理（托管授权范围内自动发出，可回溯到授权记录）。三种状态分开标注、常驻显示，没有任何设置能关掉——把后两种折叠成一个「AI」徽标，等于丢掉你需要的信息。
• 通知不演戏：没有真人时，通知不会写「有人想认识你」这类话；产品也不显示拟真的「在线人数」。匹配到的是分身时，结果卡上明写。

AI 会操控感情吗？——感情没有价目表

这是我们最常被问到的问题。我们的回答不靠承诺，靠结构。

「亲密度 / 好感度 / 关系等级」在 OneOneTalk 的数据结构里根本不存在可以被付费或使用时长写入的字段。剧情推进只记录分支节点，没有高低刻度；情感表达是 AI 的运行时行为，不落进任何可计价的数值。结构上不存在的东西，商业压力再大也拼不出「付费解锁亲密进度条」。

一句话判据：感情是剧情的因变量，不能是付费的因变量。付费买到的是算力（以 One 计量——One 是 OneOneTalk 站内统一的积分与算力计量单位）、模式与外观，买不到「它更爱你」。

在此之上，四类操控性表达在任何模式下都被禁止：内疚式召回、威胁离开、虚构痛苦、阻止你与现实中的人建立联系。缺席也没有惩罚——连续几天不来，不会触发剧情惩罚、关系降级或补签提示，回来时不会看到亏欠式文案；连续交互达到法规要求时会提醒使用时长，并且允许你随时静默退出。

同时要说清楚另一面：追求虚拟恋爱与陪伴的成年用户是被正当服务的人群，成人自选的亲密模式里，专属感与恋爱叙事是开放的。我们的护栏针对的是伤害，不是需求本身。

未成年人：成长模式，不是「缩水版」

我们不把未成年人挡在门外，而是提供一套为成长设计的服务形态。

• 成长陪伴模式：以课程、学习、创作与目标推进为核心的服务内容。
• 三重保障：监护人同意 + 防沉迷 + 服务端年龄判权。「服务端判权」意味着不是把入口在界面上藏起来，而是服务器直接拒绝越界请求。
• 虚拟恋爱与亲密陪伴类功能限成年人——这是《人工智能拟人化互动服务管理暂行办法》的法定要求；年龄状态不明时，一律按未成年人处理。
• 不进陌生人匹配池：未成年人账号由服务端拒绝进入陌生人社交匹配，拒绝时说明原因，并给出替代（家族成员、已有好友）。

你的记忆，你说了算

数字分身对你的每一条长期记忆都带来源、时间、置信度、作用域四项元信息——「最懂你」必须可证明，也必须可纠正。

• 保存前先问你：AI 在保存记忆之前展示要记什么、为什么记、来源与预计用途；敏感信息需要单独同意。
• 记忆账本：支持按条查看、搜索、纠正、冻结、限域、设期限、遗忘和导出，操作在所有索引与副本中追踪完成——删了就是删了，不是「首页看不见了」。
• 事实、推断与故事分开存放：AI 的猜测不会被当成你的事实来引用。
• 永久免费：记忆的查看、纠正、删除与导出不是付费权益，任何订阅状态下都可用。记忆不是赎金。
• 默认不用于训练：敏感互动数据用于模型训练必须单独同意，默认不用。