XingSkill智能体广场隐私政策

版本号：V1.0

发布日期：【 2026 】年【11 】月【20 】日

生效日期：【 2026 】年【11 】月【20 】日

重要提示：中电信人工智能科技（北京）有限公司（以下简称“我们”）运营XingSkill智能体广场（以下简称“广场”），向您提供A2A、MCP、Skills三类资源的创建、上架、审核、订阅、调用及治理等全生命周期管理服务。本隐私政策（以下简称“本政策”）向您说明我们如何收集、使用、存储、传输、提供、公开、删除您的个人信息。

**请您务必审慎阅读并充分理解本政策全部内容，特别是以粗体显著标识的与您有重大利害关系的条款。**您勾选“同意”或“已阅读并同意”、点击“登录”或以其他方式实际使用广场服务的，均视为您已阅读并同意本政策；**您不同意本政策任何内容的，请立即停止注册或使用广场服务。**本政策适用于您通过控制台、Open API管理接口及运行时网关使用广场服务的全部场景。

您通过开放平台账号注册、登录广场的，该环节个人信息处理事项以《天翼AI开放平台隐私政策》（以下简称“开放平台隐私政策”）的告知为准；本政策适用于您使用广场服务过程中个人信息处理的其他事项。本政策与《XingSkill智能体广场用户协议》（以下简称“用户协议”）及平台规则对同一事项约定不一致的，就个人信息保护事项，以本政策为准；平台规则对个人信息保护提出更高要求的，从其规定。本政策未尽事宜，依用户协议及开放平台隐私政策执行。

如您代表企业注册或使用广场服务，请确认您已获得该企业合法、有效的授权，您在广场内的操作及行为均视为企业行为，由企业承担相应法律责任。

一、我们如何收集和使用您的个人信息

我们处理个人信息遵循合法、正当、必要和诚信原则，限于实现处理目的所必需的最小范围，采取对个人权益影响最小的方式。除取得您的同意外，我们依《中华人民共和国个人信息保护法》第十三条规定的下列情形处理您的个人信息：订立、履行您与我们之间的服务协议所必需；履行法定职责或者法定义务所必需；应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；在合理的范围内处理您或者其他自然人已合法公开的个人信息；法律、行政法规规定的其他无需取得同意的情形。

我们将广场业务功能划分为基本业务功能与扩展业务功能。基本业务功能包括账号注册与登录、准入审核、资源浏览与订阅、资源调用与运行消费；扩展业务功能包括开发者资源创建与管理、资源上架与安全评测、批量导入、通过Open API管理接口管理资源、Skills文件下载等。下文标注“必填”的信息系实现相应业务功能所必需，您不提供的，将无法使用该功能；标注“选填”的信息由您自主决定是否提供，不影响您使用相应功能。

**（一）注册与登录。**您使用开放平台账号注册、登录广场。该环节我们收集的个人信息，以开放平台隐私政策的告知为准。

**（二）准入审核。**您首次登录广场的，需填写使用申请，经我们审核通过后方可使用广场服务。我们收集下列信息，用于核实您的身份与所属主体、评估您的使用需求并进行准入审核：

信息项	是否必填	处理目的
姓名	必填	核实您的身份，用于准入审核与账号管理
职位	必填	核实您所属岗位，评估使用需求
公司	必填	核实您所属主体，用于准入审核
工作邮箱	必填	准入审核结果通知、服务通知与联系
联系电话	选填	必要时与您联系
申请原因及使用场景	必填	评估您的使用场景、用量、智能体开发状态、支持的协议类型及合作意向，用于准入审核

前述信息系订立、履行服务协议及进行准入审核所必需，您不提供的，将无法通过准入审核，无法使用广场服务。

**（三）开发者创建与管理资源。**您以开发者身份创建、管理资源的，我们根据您所选资源类型及配置项收集下列信息，用于提供资源创建、审核、上架、存储、展示、分发、运行、推广及安全评测服务：

资源类型	收集的信息
A2A资源	AgentCard地址或AgentCard JSON内容（含智能体名称、版本号、所属分类、A2A协议版本、描述、默认输入与输出模式、能力配置、技能表、提供方组织信息、鉴权配置等）；安全方案（标准Key、用户OAuth或无需鉴权）及相应授权实现方式；H5入口URL（选填）
MCP资源	创建方式（原生MCP转换或HTTP转MCP）、MCP名称、版本号、所属分类、标签、功能描述、MCP Server地址或JSON配置、API文档、安全方案（标准Key、用户OAuth或无需鉴权）及请求Header键值对、工具清单
Skills资源	Skill包文件（.zip格式，根目录含skill.md描述文件，大小不超过50MB）、Skill名称、版本号、所属分类、标签、功能描述、安全方案（需要鉴权或无需鉴权）、是否需要平台代托管Key、环境变量组（环境变量名及变量值）

标注“必填”的信息系创建相应资源所必需，其余信息您可选择提供。您的资源密钥信息（含MCP请求Header凭据值、Skills环境变量值、平台代托管Key等）系安全凭证，我们采取加密方式机密存储并实施严格访问控制，仅在资源运行调用时按您的配置注入使用，不向订阅方及其他任何第三方展示明文。

您上传Skill包文件的，系统将自动解析并填充资源基本信息；您提交Skills资源上架的，我们自动调用安全工具进行安全评测，评测涵盖静态规则、语义分析与漏洞库比对等维度，评测对象包括资源文件内容；评测结果作为上架审核依据，并于审核通过后在资源详情页公开展示。每次新版本提交上架均重新评测，已上架资源我们将定期复测。

您应确保资源及所涉数据来源合法、已获充分授权，不得在资源信息及资源内容中填写、嵌入与资源无关的个人信息；资源涉及处理个人信息的，您应依法获得相应授权与同意，涉及敏感个人信息的，还应当具有特定目的和充分必要性并取得个人信息主体的单独同意，并遵守用户协议第七章的约定。

**（四）订阅、调用与运行管理。**您订阅、调用资源及进行资源管理操作的，我们收集下列信息：订阅、变更订阅、取消订阅的操作记录；API Key及其用途备注（API Key由系统随机生成，不支持自定义）；您通过Open API管理接口进行资源管理操作时使用的管理凭证及操作记录；资源调用日志（含调用时间、调用的资源及版本、调用频次与成功状态、来源IP地址、异常信息等）。前述信息用于身份验证与鉴权、服务计量与质量保障、安全审计、异常调用监测与处置；我们监测到异常调用的，有权临时冻结相关Key并通知您。为履行网络安全法定义务，网络日志留存期限不少于六个月。

**（五）其他信息。**您向我们提交反馈、申诉、咨询的，我们收集您主动提供的联系方式及沟通内容，用于处理您的请求、改进服务；您通过站内消息、短信、邮件接收通知的，我们记录必要的送达信息。

**（六）敏感个人信息。**我们仅在具有特定目的和充分必要性，并采取严格保护措施的情形下处理敏感个人信息；处理敏感个人信息的，我们将依法事先取得您的单独同意，并向您告知处理的必要性以及对个人权益的影响，法律、行政法规另有规定的除外。

二、我们如何使用Cookie和同类技术

Cookie和同类技术是互联网中的通用常用技术。当您使用广场时，我们可能使用相关技术向您的设备发送一个或多个Cookie或匿名标识符，以收集和存储您的账号信息、搜索记录信息以及登录状态信息。

通过Cookie和同类技术，我们可以帮助您省去重复填写特定信息、重复输入搜索内容的步骤和流程，并改进服务效率、提升登录和响应速度。

您可以通过浏览器设置拒绝或管理Cookie；停用Cookie的，您可能无法获得最佳服务体验，部分功能的可用性可能受到影响。我们不会将通过Cookie和同类技术收集的您的个人信息用于本政策所述目的之外的任何用途。

三、我们如何委托处理、共享、转让、公开披露您的个人信息

**（一）委托处理。**为向您提供服务，我们可能委托具备必要安全保障能力的受托方（如云计算基础设施、安全评测工具、通信服务提供方）处理您的个人信息。我们将依法与受托方约定处理目的、期限、方式、个人信息种类、保护措施以及双方的权利义务，并对受托方的个人信息处理活动进行监督；未经我们书面同意，受托方不得转委托他人处理。

**（二）共享。**除取得您的单独同意或者法律、行政法规规定不需取得同意的情形外，我们仅在下述情形共享您的个人信息，且以实现处理目的所必需的最小范围为限：

1.企业用户场景：您所属企业为您创建、管理用户成员账号的，您的成员账号信息及在广场内的操作记录将向该企业的企业管理员展示，供其进行成员管理与权限配置；企业用户注销的，其项下成员账号、订阅关系、API Key及私有资源将同步终止或删除。

2.依法提供：根据法律法规、司法机关或者有权行政机关的强制性要求，我们可能共享必要的个人信息。

我们不会向与提供服务无关的第三方提供您的个人信息。

**（三）转让。**除取得您的单独同意外，我们不会将您的个人信息转让给任何第三方。发生合并、分立、解散、被收购或者资产转让等情形需要转移个人信息的，我们将要求接收方继续履行本政策项下义务；接收方变更处理目的、处理方式的，将依法重新向您告知并取得您的同意。

**（四）公开披露。**您以开发者身份上架资源并选择公开展示的，资源名称、所属分类、版本号、功能描述、标签、安全评测结果等上架信息将依您的选择在广场公开展示，请您勿在公开信息中填写个人信息。除前述情形及法律法规另有要求外，我们不会公开披露您的个人信息；确需公开披露的，将事先向您告知并取得您的单独同意。

四、我们如何存储您的个人信息

**（一）存储地点。**我们在中华人民共和国境内运营广场，收集产生的个人信息存储于中华人民共和国境内。

**（二）保存期限。**我们在实现处理目的所必需的最短期限内保存您的个人信息，法律、行政法规另有规定或者为履行法定义务所必需的除外：

信息类别	保存期限
账号信息与准入审核信息	您的账号存续期间；账号注销后依法删除或者匿名化
资源信息及安全评测记录	资源上架、存续期间；资源删除后三十（30）日缓冲期届满后删除
API Key、管理凭证与调用日志	自生成之日起不少于六个月，至安全审计及法定义务所必需的期限
其他个人信息	实现处理目的所必需的最短期限

**（三）注销处理。**您注销账号或者用户的，我们将在合理期限内删除或者匿名化您的个人信息，法律、行政法规另有规定的除外。用户注销的，其项下成员账号、订阅关系、API Key及私有资源将同步终止或者删除；请您在注销前审慎评估影响，并完成必要的数据备份与业务迁移。

五、我们如何保护您的个人信息

**（一）安全措施。**我们依法采取加密、去标识化、访问控制、安全审计等技术措施和管理措施保护您的个人信息；对资源密钥信息采取机密存储与最小可用授权；对接触个人信息的岗位人员实施权限最小化管控。

**（二）安全事件处置。**发生或者可能发生个人信息泄露、篡改、丢失的，我们将立即启动应急预案、采取补救措施，并依法及时通知履行个人信息保护职责的部门以及受影响的您；通知内容包括泄露、篡改、丢失的个人信息种类、原因和可能造成的危害、已采取的补救措施、您可以采取的减轻危害的措施以及我们的联系方式。

**（三）能力边界。**我们将尽合理努力保障您个人信息的安全，但请您理解，互联网环境并非绝对安全，任何措施均无法保证绝对的信息安全。请您妥善保管您的账号、密码及各类密钥，发现泄露或者被盗用的，立即采取修改密码、删除并重建密钥等补救措施，并及时通知我们。

**（四）开发者责任。**因开发者的资源或者行为导致安全事件的，开发者应立即通知我们并配合处置；未及时通知导致损失扩大的，开发者就扩大的损失承担责任。

六、个人信息的跨境提供

我们在中华人民共和国境内存储您的个人信息，目前不存在向境外提供个人信息的情形。未来因业务确需向境外提供的，我们将依法通过国家网信部门组织的数据出境安全评估、订立个人信息出境标准合同或者通过个人信息保护认证，向您告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及您行使权利的方式和程序，并取得您的单独同意。

开发者资源运行涉及数据出境的，还应遵守用户协议第7.9条的约定。

七、您如何管理您的个人信息

您对您的个人信息依法享有查阅、复制、更正、补充、删除、转移、要求解释说明、撤回同意、注销账号以及投诉、举报的权利，可通过本政策第十章载明的联系方式行使；我们将在核验您的身份后及时处理，原则上自收到您的请求之日起十五（15）个工作日内予以响应；情况复杂或者依法需要延长的，将向您说明延长的理由；拒绝您的请求的，将向您说明理由，并告知您投诉、举报的途径。

**（一）查阅、复制、更正、补充。**您有权查阅、复制、更正、补充您的个人信息；您可通过广场相应功能界面自行操作，也可以通过本政策第十章载明的联系方式请求我们协助处理。

**（二）删除。**处理目的已实现、保存期限已届满，或者您撤回同意、注销账号的，您有权请求删除您的个人信息；我们将依法删除或者匿名化，法律、行政法规另有规定的除外。

**（三）转移。**您有权请求将您的个人信息转移至您指定的个人信息处理者；符合国家网信部门规定条件的，我们将提供转移的途径。

**（四）解释说明。**您有权要求我们就个人信息处理规则进行解释说明。

**（五）撤回同意。**您可通过本政策第十章载明的联系方式撤回就特定个人信息处理事项作出的同意。撤回同意不影响撤回前基于您的同意已进行的个人信息处理活动的效力；撤回同意后，我们将停止相应的处理活动，但不影响我们基于订立或者履行合同所必需、履行法定义务所必需等其他合法性基础进行的处理。

**（六）注销账号。**您可通过天翼AI开放平台提供的账号注销渠道，依平台流程注销账号或者用户，注销的后果适用本政策第四部分第（三）项的约定。

**（七）自动化决策。**我们目前暂不使用自动化决策，若后续涉及自动化决策，我们保证决策的透明度和结果公平、公正，不会在交易条件上实行不合理的差别待遇；自动化决策对您权益有重大影响的，您有权要求我们予以说明，并有权拒绝我们仅通过自动化决策方式作出该决定，法律、行政法规另有规定的除外。

八、未成年人个人信息保护

广场不向未成年人提供服务。您应为具备完全民事行为能力的自然人，或者依法设立并有效存续的法人、其他组织。我们发现在未获取监护人同意的情况下收集了未成年人个人信息的，将尽快删除或者匿名化处理。监护人发现未成年人冒用他人身份注册、使用广场服务的，可通过本政策第十章载明的联系方式联系我们处理。

九、本政策的更新

我们可能适时修订本政策。发生个人信息处理目的、处理种类、处理方式、保存期限、对外提供等重大变更的，我们将通过广场公示、站内消息、您预留的手机短信、电子邮件等合理方式之一提前三十（30）日通知您；您不同意修订内容的，可在修订生效前停止使用服务并注销账号；修订生效后您继续使用服务的，视为接受修订后的本政策。请您及时关注本政策的更新。

十、联系我们

运营主体：中电信人工智能科技（北京）有限公司

联系方式：xingskill@chinatelecom.cn

您对本政策有任何疑问、意见或者建议，或者需要行使您的个人信息权利的，可通过前述联系方式与我们联系，我们原则上将在十五（15）日内予以响应。

您就我们处理个人信息的行为向我们投诉后，对处理结果不满意或者我们未在承诺或者法定期限内予以响应的，您还可以向网信部门等履行个人信息保护职责的部门投诉、举报。