隐私政策

本政策适用于彩虹路线网站、普通用户账户、公开预览和相关支持活动。第三方网站或用户添加的外部链接不属于本政策控制范围。

我们会根据你使用的功能处理以下信息。

• 账户信息：规范化邮箱、Google 提供的用户标识、已验证邮箱、名称和头像（如 Google 返回）。
• 支付与会员信息：支付宝订单号、交易号、金额、支付状态、会员有效期、积分发放与扣取流水。我们不会取得或保存你的支付宝登录密码或支付密码。
• 认证与安全信息：一次性验证码的 HMAC 摘要、挑战状态、尝试次数、会话与 CSRF Cookie、请求时间和用于频控的网络标识摘要。
• 内容信息：你创建的白板、节点、连线、链接、标题、描述、可见性和版本信息。
• 产品使用统计：已登录账户访问的归一化页面类别、访问次数、成功提交类型和发生时间；页面参数、查询内容和原始 IP 不进入产品分析事件。
• 分享访问统计：成功读取分享内容的时间、匿名浏览器标识摘要、按日访问/复制次数和去重访客/复制者数；我们不为分享统计保存原始 IP，也不向分享者展示访客身份。
• 运行信息：为诊断错误、审计安全事件和保持服务稳定所需的有限日志。
• 历史信息：旧版本可能收集过手机号和短信挑战记录；这些字段可能为兼容、审计和回滚目的继续保留，但不再作为当前登录入口。

我们处理信息用于创建和认证账户、同步白板、执行访问权限、提供公开分享、阻止滥用、排查故障、保障安全以及履行适用的法律义务。

我们使用严格必要的 Cookie 维持登录会话、防止跨站请求伪造、完成 Google OAuth 流程，并为密码分享保存短期解锁状态。分享页面还使用一个最长 90 天的匿名浏览器 Cookie 计算去重访客；它不包含姓名、邮箱或原始 IP。界面语言等偏好可能保存在浏览器本地存储中。

关闭必要 Cookie 会导致登录、密码分享或准确的匿名访客统计无法正常工作。

我们不会仅因提供本服务而公开出售你的账户或白板内容。为运行服务，我们会向承担保密和安全义务的服务商提供必要信息。

• Google：完成你主动选择的 OAuth 登录。
• 邮件服务商：向你选择的邮箱投递一次性验证码。
• 托管、数据库和网络服务商：存储数据并提供应用基础设施。
• 法律要求：在有合法依据且必要时响应主管机关或保护用户、运营方和公众权益。

所使用的第三方服务和基础设施可能在你所在地区之外处理数据。我们会根据服务配置、合同安排和适用法律选择处理地点与保护措施。具体生产部署可能随基础设施调整而变化。

账户和白板数据通常在账户存续期间保存；分享访问/复制事件、匿名访客日记录和产品使用事件保留 90 天，密码尝试记录保留 24 小时，匿名按日 PV/UV 汇总长期保留用于展示历史趋势。安全挑战、会话和运行日志根据安全、故障排查与合规需要保存有限时间。备份中的删除可能需要合理的轮换周期。

具体期限会因数据类别、风险和法律要求不同而变化。你可以通过联系邮箱提出删除请求。

我们采用权限隔离、短期会话、CSRF 与 Origin 校验、OAuth PKCE/state/nonce、一次性挑战和频率限制等技术与组织措施。验证码不以明文写入数据库，SMTP 密码仅由服务端配置读取。

任何系统都无法保证绝对安全。如你怀疑账户被未授权使用，请立即联系我们。

根据适用法律，你可能有权请求访问、更正、导出、删除或限制处理个人信息，也可以撤回基于同意的处理。我们可能需要验证身份，并在法律允许范围内保留必要记录。

提出请求请联系 deckardcain@cheko.cc。

本服务不以不具备独立民事行为能力的未成年人为目标。监护人发现未成年人未经适当授权提供个人信息时，可以联系我们处理。

我们会在数据实践或法律要求变化时更新本政策，并在本页标注更新日期。重大变化会以合理方式提示。

隐私问题或请求请发送至 deckardcain@cheko.cc。运营方：彩虹路线。