开海拓客（以下简称"我们"或"本平台"）深知个人信息对您的重要性，我们将按照法律法规的规定，采取相应的安全保护措施，致力于保护您的个人信息安全。本隐私政策适用于您使用本平台提供的所有产品和服务。
一、我们收集的信息
1.1 您主动提供的信息
- 账户信息：手机号码、电子邮箱、密码、公司名称、所属行业、所在城市
- 业务配置信息：发信风格偏好、AI文案配置、邮箱绑定信息（SMTP账号）、客户画像设置
- 支付信息：订单金额、支付时间、套餐类型（支付卡号等敏感信息由支付服务商处理，我们不存储）
1.2 我们自动收集的信息
- 设备信息：IP地址、浏览器类型、操作系统、设备标识符
- 日志信息：访问时间、访问页面、操作记录、请求响应状态
- 使用数据：功能使用频率、发信量、线索处理量、登录频次
1.3 业务处理中产生的信息
- 线索数据：通过爬虫采集的潜在客户邮箱、公司信息、决策人信息
- 邮件交互数据：发送记录、打开记录、回复记录、退信记录
- AI生成内容：AI为您生成的开发信文案内容
- 行为分析数据：收件人打开行为、点击行为、回复意图分析
二、我们如何使用您的信息
| 使用目的 | 涉及信息 | 法律依据 |
|---|---|---|
| 提供线索挖掘服务 | 爬虫关键词、线索数据 | 合同履行 |
| 提供AI文案生成服务 | 客户关键词、行业信息 | 合同履行 |
| 提供邮件发送和追踪 | 邮箱配置、发信记录 | 合同履行 |
| 账户管理和服务运营 | 账户信息、日志信息 | 合同履行 |
| 计费和套餐管理 | 支付信息、使用量 | 合同履行 |
| 产品改进和优化 | 使用数据、行为统计 | 合法利益 |
| 安全防护和欺诈检测 | IP地址、登录记录 | 合法利益 |
| 法律合规要求 | 日志、交易记录 | 法律义务 |
三、数据存储位置
您的数据存储在位于中国的云服务器上（华为云）。我们采用PostgreSQL数据库进行结构化数据存储，采用Redis进行缓存处理，所有数据传输均采用TLS/SSL加密。
跨境数据传输告知：由于我们的服务器位于中国，如果您来自欧盟（EU）或欧洲经济区（EEA），您的个人数据将被传输到中国进行处理。中国未被欧盟委员会授予"充分性认定"（Adequacy Decision），因此我们通过签署欧盟标准合同条款（SCCs，2021年新版，模块二：控制者-处理者）作为跨境数据传输的合法基础。相关文件包括：标准合同条款(SCCs)、数据处理协议(DPA)、传输影响评估(TIA)。
四、数据保留期限
| 数据类型 | 保留期限 | 保留依据 |
|---|---|---|
| 账户信息 | 账户存续期间 + 注销后30天 | 合同履行 |
| 线索数据 | 180天 | 业务需要 |
| 发信记录 | 2年 | 法律合规 |
| 行为日志 | 90天 | 安全审计 |
| 支付记录 | 5年 | 税务法规要求 |
| 系统操作日志 | 90天 | 安全审计 |
五、数据共享
我们不会出售您的个人信息。在以下情况下，我们可能共享您的数据：
- 子处理者：我们委托以下第三方处理您的数据，完整清单请参阅子处理者清单
- 法律要求：因法律法规要求、诉讼、政府机关强制要求时
- 业务转让：在合并、收购、资产转让时（我们会要求接收方继续遵守本政策）
六、您的权利（GDPR数据主体权利）
根据《通用数据保护条例》（GDPR）和中国《个人信息保护法》（PIPL），您享有以下权利：
| 权利 | 说明 | 行使方式 |
|---|---|---|
| 访问权 | 获取您的个人数据副本 | 在"我的数据"页面导出 |
| 更正权 | 更正不准确的个人数据 | 在个人资料页面修改 |
| 删除权 | 要求删除您的个人数据 | 在账户设置中申请注销 |
| 数据可携带权 | 以机器可读格式获取数据 | 导出JSON/CSV格式 |
| 处理限制权 | 要求限制对您数据的处理 | 邮件申请 |
| 反对权 | 反对特定处理活动 | 邮件申请 |
| 自动化决策反对权 | 反对AI自动决策 | 邮件申请 |
| 退订权 | 停止接收营销邮件 | 点击邮件底部退订链接 |
对于限制处理权、反对权和自动化决策反对权，请通过下方联系方式邮件申请，我们将在30天内回复。
七、数据安全措施
- 传输加密：全站HTTPS/TLS 1.2+加密传输
- 存储安全：数据库行级安全（RLS）隔离不同用户数据
- 访问控制：基于角色的权限控制（RBAC），最小权限原则
- 认证安全：JWT Token认证，SSH密钥登录，fail2ban防暴力破解
- 审计日志：记录所有管理员操作，不可篡改
- 速率限制：Redis分布式限流，防止API滥用
- 数据备份：每日自动备份，异地存储
八、Cookie使用
我们使用Cookie来提供和改进服务。关于Cookie的详细使用情况，请参阅我们的Cookie政策。您可以通过浏览器设置管理或删除Cookie。
九、未成年人保护
本平台面向B2B企业用户，不面向16岁以下未成年人。如果我们发现未经监护人同意收集了未成年人信息，将立即删除。
十、数据保护联系人
数据保护联系人
邮箱：support@kaigulf.com
如您对个人数据处理有任何疑问、建议或投诉，可通过上述邮箱联系我们。
欧盟代表：本公司暂未指定欧盟境内代表（Article 27 Representative）。相关事宜请通过上述邮箱联系我们，我们将在收到邮件后及时响应。待欧盟业务发展需要时，我们将指定欧盟代表并在此更新。
十一、跨境传输的合法基础
对于欧盟/EEA用户的数据传输到中国，我们依据以下合法基础：
- 欧盟标准合同条款（SCCs）：采用欧盟委员会2021年6月4日通过的新版SCCs（实施条例EU 2021/914），模块二（控制者-处理者）
- 传输影响评估（TIA）：我们已完成简易传输影响评估，评估了中国数据保护法律对传输的影响及我们的应对措施
- 补充措施：数据加密存储、最小化数据传输、访问审计日志
B端企业客户签署服务合同时，SCCs将作为合同附件一并签署。
十二、政策更新
我们可能会不时更新本隐私政策。重大变更时，我们将通过平台通知或邮件方式告知您。子处理者清单的变更将提前30天在本页面公告。继续使用服务即视为您同意更新后的政策。
十三、适用法律与争议解决
本政策受中华人民共和国法律管辖。因本政策产生的争议，双方应首先协商解决；协商不成的，提交有管辖权的人民法院诉讼解决。欧盟用户也可向其所在国的数据保护监管机构投诉。
数据保护联系人：privacy@shturl.com
如您有任何关于个人信息保护的问题、行使数据主体权利的请求，或数据泄露报告，请通过以上邮箱联系我们。我们将在30日内回复您的请求。
您也有权向所在国家/地区的数据保护监管机构投诉。如需行使GDPR数据主体权利（访问、更正、删除、导出数据等），请登录后在"账户设置"中操作，或发送邮件至上述邮箱。