隐私说明与数据保护政策

一、我们收集的信息范围与类型

我们遵循"最小化收集"原则，仅收集为提供优质服务所必需的信息。根据您与平台交互方式的不同，我们收集的数据分为以下三类：

1. 您主动提供的信息

• 账户注册信息：当您创建账户时，我们需要您的电子邮箱地址、用户名及经过加密的登录密码。密码采用 bcrypt 算法加盐哈希处理，任何人（包括我们的员工）均无法获取明文密码。
• 身份验证信息：若您使用账号找回功能，我们可能会临时收集您的注册手机号码或备用邮箱，仅用于发送动态验证码，验证完成后立即从服务器缓存中删除。
• 工单沟通内容：当您联系客服时，您提交的问题描述、截图及日志文件将被保留，用于服务质量回溯。

2. 通过技术手段自动收集的信息

• 设备指纹信息：包括 IP 地址、浏览器类型（User-Agent）、操作系统版本、屏幕分辨率及语言设置。这些信息用于保障网络安全（如识别异常登录）及优化页面渲染。
• 行为日志数据：记录您在站内的点击流、页面停留时长、下载行为等。该数据经过聚合与脱敏处理，无法单独识别特定个人。
• 位置信息（模糊）：基于 IP 地址推算的城市级地理位置。我们不会收集精确的 GPS 坐标。

特别说明：本平台不收集任何形式的生物识别信息（如指纹、面部数据）及个人健康数据。

二、信息使用的目的与合法性基础

我们仅在下述明确目的下使用您的信息，且每一处理行为均具备《个人信息保护法》下的合法性基础：

1. 提供核心服务（合同履行）：用于创建并维护您的账户、展示您请求的页面内容、处理您的下载请求。若拒绝提供必要信息，我们将无法完成基本服务。
2. 安全风控（合法利益）：通过分析设备指纹与行为模式，检测并阻止恶意爬虫、撞库攻击及钓鱼行为。该处理基于我们保护平台及用户安全的合法商业利益。
3. 个性化推荐（合法利益/用户同意）：基于您的历史浏览偏好，向您推荐可能感兴趣的攻略文章。您可在浏览器设置中随时关闭"个性化推荐"Cookie 以停止该功能。
4. 法律合规（法定义务）：当监管机构依法调取数据时，我们将按照法定程序提供必要的信息。

我们承诺：绝不会将您的个人信息出售、出租或用于任何与上述目的无关的商业活动。

三、Cookie 与同类追踪技术说明

本平台使用 Cookies 及 Local Storage 技术以提升用户体验。具体分类如下：

您可以通过浏览器设置（如 Chrome 的"清除浏览数据"或 Safari 的"阻止所有 Cookie"）来管理上述追踪技术。但请注意，禁用严格必要型 Cookie 将导致您无法正常使用账户功能。

四、第三方数据共享与跨境传输

我们坚守"数据不出域"的原则。目前，我们仅与以下三类服务提供商共享必要的数据，且均签署了严格的数据处理协议（DPA）：

• 云服务托管商：用于存储服务器日志及数据库备份。所有数据均存储于中国境内（北京/上海可用区），物理隔离于境外数据。
• 邮件推送服务商：用于发送系统通知及密码重置邮件。我们仅共享您的邮箱地址，且服务商不得将该地址用于任何其他用途。
• 风控与反欺诈服务商：用于识别异常设备指纹。共享的数据仅限于设备标识符（如 Canvas 指纹），不包含您的姓名或联系方式。

关于跨境传输：鉴于我们的服务器位于中国大陆，您的数据不会被传输至境外。若未来因业务需求发生跨境传输，我们将单独征求您的明确同意，并按照国家网信办的标准合同条款执行。

五、您享有的权利与行使方式

依据《个人信息保护法》第四章，您对您的个人信息享有以下绝对权利。您可以通过发送邮件至 [email protected] 行使以下任一权利，我们将在 15 个工作日内予以处理：

1. 查阅权（知情权）：您有权获取我们持有的关于您的个人信息副本。
2. 更正权：若您的注册信息（如邮箱地址）发生变更，您有权要求我们进行修改。
3. 删除权（被遗忘权）：在以下情形下，您有权要求我们删除您的个人信息：处理目的已实现、您撤回同意、我们违法处理数据。
4. 撤回同意权：对于基于"同意"处理的非必要数据，您可随时撤回授权。
5. 注销账户权：您可在"账户设置"页面自行操作注销。注销后，我们将于 30 天内删除或匿名化处理您的全部数据。
6. 可携带权：您有权要求我们以结构化、通用的机器可读格式向您提供数据。

为保障安全，处理上述请求前，我们可能需要验证您的身份（如通过注册邮箱发送验证链接）。此验证过程不会收取任何费用。

六、信息安全保障措施

我们采用"纵深防御"的安全架构，具体技术措施包括：

• 传输加密：全站启用 TLS 1.3 协议，使用 256 位 AES 加密，确保数据在传输过程中不被窃听或篡改。
• 存储加密：数据库中的敏感字段（如邮箱）使用 AES-256-GCM 算法进行静态加密。
• 访问控制：实施基于角色的访问控制（RBAC），仅极少数高级运维人员拥有数据库访问权限，且所有操作均记录在审计日志中。
• 漏洞管理：每季度委托第三方安全公司进行渗透测试，每半年进行一次代码审计。

尽管我们采取了上述措施，但请您理解，互联网环境不存在绝对的安全。我们建议您也采取积极措施保护自身数据，例如：使用包含大小写字母、数字及符号的复杂密码，并定期更换；不在公共 Wi-Fi 环境下输入敏感信息。

七、政策更新与通知机制

随着法律法规的演变及业务功能的调整，我们可能会修订本政策。重大变更（如收集信息范围扩大、数据共享对象变化）将通过以下方式显著通知您：

• 在网站首页顶部展示为期 7 天的浮动公告横幅。
• 向您的注册邮箱发送单独的邮件通知（若您已绑定）。
• 在政策页面顶部显示"最后更新日期：2025 年 01