隐私政策
最后更新: 2026年4月19日 · 即时生效
1. 数据控制者
Cuttalo srl，一家在意大利注册的公司，注册办事处位于意大利， 增值税号 / P.IVA IT03242390734， 为通过 DepScope（depscope.dev 及其子域，以下称“服务”） 处理的个人数据的数据控制者（titolare del trattamento）。
隐私联系：[email protected]。 一般联系：[email protected]。
未指定数据保护官 (DPO)：DepScope 不对数据主体进行大规模监控，也不处理特殊类别数据（GDPR 第 37 条）。 可通过上述邮箱联系隐私代表。
2. 我们收集的数据
2.1 匿名 API 访问（无需账户）：
- IP 地址（经盐化/哈希存储用于速率限制和滥用检测；原始 IP 保留不超过 24 小时）
- User-Agent 字符串
- 请求的包名、生态系统、端点、HTTP 方法/状态
- 时间戳、响应时间、缓存命中/未命中
2.2 注册用户（免费 / 付费层）：
- 电子邮件地址（魔术链接认证 — 不存储密码）
- API 密钥指纹（SHA-256；不存原始值）
- 每个 API 密钥的用量计数
- 会话 Cookie（第一方、严格必要）
- Stripe 客户 ID（仅付费层；我们不存储卡号）
2.3 我们不收集：
- 密码 — 仅使用魔术链接认证
- 支付卡详情 — 完全由 Stripe 处理
- 追踪 / 广告 Cookie
- 16 岁以下未成年人的数据（本服务不面向未成年人）
- GDPR 第 9 条规定的敏感/特殊类别数据
3. 法律依据（GDPR 第 6 条）
每种处理目的对应特定的法律依据：
- 合同 — 第 6(1)(b) 条：提供您请求的服务（API 响应、身份验证、付费层交付）。
- 合法利益 — 第 6(1)(f) 条：反滥用、速率限制、欺诈预防、安全日志、服务质量指标。 已记录平衡测试；您可反对（参见第 8 条）。
- 法律义务 — 第 6(1)(c) 条：税务和会计记录（意大利民法典第 2220 条 — 10 年）、税务发票。
- 同意 — 第 6(1)(a) 条：营销邮件、非必要 Cookie。可自由给予、具体且可随时撤回。
4. 数据保留期
- 原始 IP 地址：24 小时，然后哈希化
- API 访问日志（哈希）：180 天，然后聚合并匿名化
- 魔术链接令牌：15 分钟
- 会话 Cookie：30 天 或直到登出
- 账户数据：直到请求删除；不活跃账户在 24 个月 后删除
- 发票和税务记录：10 年（意大利民法典第 2220 条）
- 营销同意记录：撤回后 5 年（证据）
- 备份：90 天 滚动，然后覆盖
5. 接收方和子处理者
我们不出售、出租或交易个人数据。仅与下列子处理者共享数据。 当前列表位于 /zh/subprocessors。
- Stripe Payments Europe, Ltd.（爱尔兰，美国附属公司）— 支付处理。
- Cloudflare, Inc.（美国，欧盟 PoP）— CDN、DDoS 防护、DNS。
- OVHcloud（法国）— 加密异地备份。
- 自托管 SMTP（欧盟）— 事务性邮件。
6. 欧洲经济区以外的传输
向美国供应商（Stripe、Cloudflare）的传输依赖于欧盟-美国数据隐私框架（2023 年 7 月 10 日充分性决定）和标准合同条款 2021/914（模块 2）。 如需 SCC 副本，请联系 [email protected]。
7. 您的权利（GDPR 第 15-22 条）
- 访问（第 15 条）
- 更正（第 16 条）
- 删除 — “被遗忘权”（第 17 条）
- 限制处理（第 18 条）
- 可移植性（第 20 条）
- 反对处理（第 21 条）
- 撤回同意（第 7 条）
- 不受自动化决策影响（第 22 条 — 我们不进行自动化决策）
请写信至 [email protected]。 我们在 30 天内回复（复杂请求可延长至 90 天 — GDPR 第 12 条）。
8. 投诉权
您可向意大利数据保护机构（Garante per la Protezione dei Dati Personali） 提出投诉：garanteprivacy.it。
9. 安全
所有流量通过 HTTPS（TLS 1.2+）传输。从不存储密码（魔术链接认证）。 API 密钥在存储前使用 SHA-256 哈希化。详情见 /zh/security。
11. 政策变更
我们可能更新本政策。重大变更将通过邮件（注册用户）和站点横幅至少在生效前30 天 宣布。
12. 适用法律和管辖权
本政策受意大利共和国法律及适用的欧盟数据保护法规管辖。 争议的专属管辖权归属于意大利塔兰托法院，消费者保护强制规定除外。