隐私政策
最后更新：2026 年 04 月（v1）
1. 服务说明
本服务为厦门大学 MBA 学院学生提供论文格式化处理。用户上传论文文件后，系统按学院官方写作规范应用样式（字体、字号、行距、目录、页眉页脚等），并输出可直接提交的 Word 文件与 PDF 文件。
2. 数据处理范围
用户上传的论文文件用于以下处理：
- 解析为统一中间表示（IR），提取段落、样式、字体等结构化信息；
- 章节识别（基于 Word 内置样式 / 正则模式 / 多特征打分 / 第三方 LLM 兜底四层启发式）；
- 按规则集应用格式样式；
- 生成最终的 Word（.docx）与 PDF 文件。
3. LLM 处理范围
在自动章节识别的灰区段落（前 3 层启发式无法判定、置信度低于阈值的段落），系统将段落本文 + 前后各 1 段上下文发送给第三方 LLM API 进行二次判定。
论文不会持久化于第三方 LLM 服务：API 调用为即时请求-响应模式，第三方 LLM 服务返回结果后即结束，不在 LLM 服务方进行存档。
每篇论文的 LLM 调用输入 token 上限被限制为 10,000，单篇文档 LLM 处理范围严格受控。
4. 第三方 LLM 提供方
本服务支持以下国产 LLM 提供方（均部署于中国大陆，论文段落不跨境传输）：
- DeepSeek（默认）
- Qwen（阿里云通义千问）
- GLM（智谱 AI）
当前服务实例使用的提供方由 LLM_PROVIDER 环境变量配置，当前值为：deepseek。
管理员可通过 GET /metrics/info 查询当前服务实例的 LLM 提供方与模型名称。
5. 文件保留期限
用户上传的原始论文文件、解析结果（IR）、生成结果（.docx 与 PDF）默认保留 168 小时（即 7 天）后自动删除。
保留期限由 RETENTION_HOURS 环境变量配置；自动删除由后台扫描任务每 60 秒执行一次。
说明：用于运维排错的 Trace 元数据（哈希值、计数、模型名等不含正文内容的字段）保留期限稍长（默认 30 天，由 TRACE_RETENTION_DAYS 配置；下限锁定 30 天），用于学生 7 天后投诉的故障复盘。Trace 数据严格不含论文段落正文。
6. 用户权利
用户可随时主动删除任务：调用 DELETE /jobs/{id} 端点即可立即从服务端删除该任务对应的所有数据（原始文件、IR、生成结果）。删除后不可恢复。Trace 元数据按 TRACE_RETENTION_DAYS 单独保留以备运维排错。
7. 数据安全
v1 测试阶段服务部署于受控开发环境，未对公网开放注册；上传文件大小硬限 50 MB；论文段落仅通过加密 HTTPS 传输至国产 LLM 服务方。
8. 联系方式
如有隐私问题，请通过 privacy@example.com（占位邮箱，v1.x 商业化阶段更新）联系。