我们如何处理 您的数据。

数据始终留在您的工作区内。

• 传输与存储加密通信仅通过HTTPS进行，并设置了为期两年的HSTS。数据库和文件存储在存储时加密，集成密钥另外使用AES-256-GCM再加密一次后保存。
• 工作区隔离每次读取和写入前，都会先确认请求者是该工作区的成员，然后才执行。其他工作区的数据不会显示。
• 角色与登录策略通过所有者、管理员、编辑者、查看者角色缩小每个人的操作范围。所有者可以指定成员可使用的登录方式和邮箱域名。
• 员工访问管控员工通过运营控制台查看客户数据时必须记录理由，且仅以只读方式开放，最长15分钟。访问记录会被保留。
• 活动记录添加和移除成员、更改角色、删除等难以撤销的操作，会连同操作人和时间一起记录在工作区的活动记录中。
• 报告漏洞如果您发现安全漏洞，请通过联系页面告知我们。我们确认后会回复您。

我们持续守护，确保服务不中断。

• 托管云基础设施应用、数据库和文件存储运行在Vercel、Neon、Cloudflare等云服务上。服务器和数据位于这些服务商运营的门禁管控数据中心内。
• 错误监控实时收集服务器和浏览器中发生的错误并进行处理。发送服务器错误记录前，会删除请求正文和Cookie。
• 防止滥用通过机器人拦截和请求频率限制，阻止暴力破解和过多请求。获取和输入登录验证码的次数按账号和IP地址分别限制。
• 安全事件响应一旦获知个人信息泄露，我们会在72小时内通知相关个人，并在法律规定的情况下向主管机关报告。

数据属于使用它的人。

• 我们不出售个人信息我们不出售客户的个人信息。处理目的、信息项目和保存期限均写在隐私政策中。
• 导出与删除所有者和管理员可以将工作区数据下载为ZIP文件。注销账号立即生效，仅将法律要求保存的记录单独分离，并在规定期限内保存。
• 数据处理协议（DPA）应您的要求，我们会签订符合GDPR第28条的数据处理协议。跨境传输采用EU标准合同条款等合法的传输机制。
• 公开子处理方我们在下方公开为提供服务而委托处理的公司。处理客户内容的公司如有变更，我们会提前30天通知。
• AI功能AI功能只会将您所请求的处理所需的内容发送给下方的AI服务商。AI使用记录不保存您输入的文字。
• 行使权利您可以请求查阅、更正、删除、停止处理或撤回同意，我们会在收到请求之日起10天内处理或答复。

子处理方

为提供服务而受托处理个人信息的公司及其所在国家。处理项目和保存期限请见隐私政策。

认证与个人信息相关法律

• ISO/IEC 27001我们持有信息安全管理体系国际标准认证。
• GDPR我们依据GDPR处理欧洲经济区、英国和瑞士用户的个人数据，并保障数据主体的权利。
• CCPA依据《加州消费者隐私法》（California Consumer Privacy Act），我们保障知情权、删除与更正请求权、拒绝出售与共享的权利以及不受歧视的权利。
• 个人信息保护法（韩国）依据韩国《个人信息保护法》，我们公开委托处理和跨境传输情况，并设有个人信息保护负责人。
• APPI · PDPA日本和新加坡的用户可以依照各自法律的规定，请求公开、更正、停止使用和撤回同意。