隐私政策

1. 我们是谁以及本政策涵盖的内容

本政策说明 Enterprise.Systems（“我们”）如何在 8200.dev 上处理个人数据。对于账户和网站数据，我们是控制者。对于您的组织所连接来源内的数据（“客户来源数据”），您的组织是控制者，而我们根据《数据处理协议》作为其处理者——该等数据受您组织自身隐私声明的管辖。

2. 我们处理的数据

我们处理以下类别：

• 账户数据——电子邮件地址、姓名、密码哈希值（scrypt；我们绝不存储密码本身）、组织名称、角色和区域设置；如您使用，还包括您的双重认证（TOTP）密钥（加密存储），以及您登录会话的记录（时间、IP 地址和浏览器）。
• 客户源数据 — 通过您批准的 OAuth 权限范围以只读方式获取的、来自已连接源的元数据和权限信息：资源名称和标识符、共享设置、权限授予，以及持有访问权限的主体身份（人员、服务账户和 AI 代理）。我们不会读取或存储您文件的内容。
• 检测结果 — 平台为您的组织生成的安全检测结果、说明和证据。
• 使用和日志数据 — IP 地址、用户代理、时间戳，以及记录平台操作的仅追加式审计轨迹。
• Cookie — 用于登录、安全和您偏好设置的一小组第一方 Cookie，此外——仅在您同意的情况下——一个合作伙伴推荐 Cookie；完整列表见第 15 节。我们不使用任何广告、分析或跨站点跟踪 Cookie。

2A. The AI Exposure Check

This section applies to the free AI Exposure Check. You do not need an account to use it. Enterprise.Systems is the controller of the data described here. We rely on our legitimate interest in running a free public tool and preventing its abuse (GDPR Art. 6(1)(f)), and on your consent for the optional e-mails (Art. 6(1)(a)). Your rights, including the right to object, how to complain, and international transfers are in sections 8 and 9; data requests go to [email protected].

What we process:

• The domain you enter, reduced to its main (registrable) domain, and the public DNS records of that domain, of the names its mail records refer to, and of a fixed list of common names under it (for example www, autodiscover and DKIM selectors), read at the moment of the check. The check turns them into a score, counts and status flags. The saved result holds those and no record values or service names.
• To apply limits and prevent abuse: your IP address. We send it, with the token from the human check, to Cloudflare Turnstile to verify the check. Our counters hold only a keyed hash of it (a one-way code made with a secret key; for IPv6, of the /64 network), never the address. To apply the limit on different domains per day, a daily counter is kept under a keyed hash of the network together with the domain. If you are signed in, your account ID is the key of your daily counter. For each domain we also keep a counter, so that it is checked afresh at most once a day, and a daily total of fresh checks with no domain and no IP address.
• To limit confirmation e-mails: a keyed hash of the e-mail address, with a counter, kept for 7 days. It can outlive the address, which is deleted sooner.
• Only if you choose to: a share card, and an e-mail address with the domain and your consent (below).
• The check writes no entry to the audit trail.

How long we keep it:

• The saved result of a check (the domain, the score and counts, and a random link token): 24 hours, then deleted automatically; the clean-up runs every hour. Anyone who checks the same domain in that time gets the saved result, and the result link shows the score and counts, not the domain.
• Limit counters: deleted by the hourly clean-up once the hour or UTC day they cover has ended, so at most 26 hours after they are created; the e-mail counter is kept 7 days.
• A share card (created only when you click "Create a share link"): the score, the counts and the date, and the domain only if you tick "Show the domain on the card". It has a random, unlisted link, works for 30 days and is then deleted. Copies that other sites make when you post the link are outside our control and are not deleted by us.
• An e-mail address: see the next paragraph.
• Backups: deleted rows, including saved results and limit counters, can stay in our encrypted backups for up to about 56 days.

Your e-mail address (optional). On a result you can give an e-mail address. We store it only if you tick the consent box yourself; the box is never ticked in advance. We then send an e-mail with a link to confirm the address (at most 3 such e-mails per address in each fixed 7-day period). Until you confirm, we send no other e-mail. The entry holding an address that is not confirmed is deleted within 48 hours. After you confirm, we send you the result as a short text summary and one reminder about 30 days later, inviting you to check again. The summary is kept with the address until the entry is deleted. Every e-mail has an unsubscribe link; one click on the page it opens stops the e-mails and deletes this address-and-domain entry. We keep a confirmed address with the domain and the version and time of your consent for up to 12 months, then delete it. The e-mails themselves are kept as a delivery record for up to 30 days, after which their address and text are scrubbed. We use the address for nothing else, do not sell it, and give it to no one except our e-mail provider Resend, which delivers through Amazon SES. If someone enters your address without your knowledge, ignore the confirmation e-mail: the entry holding it is deleted within 48 hours.

Who receives what. Cloudflare’s public DNS resolver receives the DNS questions about the domain name; they are asked from our servers, so it does not receive your IP address. Google’s public DNS resolver is an independent recipient: it receives the same questions (domain names only) only if Cloudflare’s resolver fails, and it is not our subprocessor. Cloudflare Turnstile runs in your browser, is loaded from challenges.cloudflare.com, and receives your IP address and browser details to decide whether you are a person. Resend and Amazon SES receive the optional e-mails. Our e-mail provider keeps its own send logs for 30 days.

Information about other organizations. A domain usually belongs to an organization, and DNS records are public. Some records can contain personal data, for example an e-mail address in a DMARC record. We read them only to compute the score and counts, and we do not show record values in a result. The result for a domain is public to anyone who checks it. There is not yet a way for a domain owner to opt out of the public result. The check does not use a large language model.

3. 我们如何使用数据

我们使用数据来提供并保障服务：枚举权限、生成检测结果和通俗易懂的说明、在您启用自动修复的情况下执行您已授权的修复操作、对您进行身份验证、发送事务性电子邮件、提供支持以及履行法律义务。我们不出售个人数据，不展示广告，也不使用客户源数据来训练 AI 模型。

4. 合法依据（GDPR）

在 GDPR 适用的情况下，我们依据：

• 合同的履行（第 6(1)(b) 条）— 运营您的账户并生成检测结果。
• 正当利益（第 6(1)(f) 条）— 保障平台安全、防止滥用以及提升检测质量。
• 同意（第 6(1)(a) 条）— 可选的通信；可随时撤回。
• 法律义务（第 6(1)(c) 条）— 会计、税务及合法请求。

5. AI 处理

我们通过 Anthropic API 使用大型语言模型用于三项用途：（a）产品内支持助手，它接收您输入的消息（与您输入的内容完全一致），并在您登录时接收仅由汇总事实构成的简短账户摘要（您的套餐、已连接源的数量及其是否正常、您的态势评分和等级、开放的检测结果数量及其中严重的数量，以及您的团队规模）；（b）您所请求的执行摘要叙述，它仅接收汇总数据：您的态势评分和等级、其在该期间的趋势、按严重程度划分的检测结果数量、您的同行百分位、套餐名称，以及您最常见的风险类别（以带计数的通用类别标签形式呈现，例如“公开链接共享（仅链接）：3”）；以及（c）将界面翻译为其他语言，仅发送界面文本。这些请求均不包含来自您已连接源的任何标识符：没有文件、文件夹或云盘名称，没有用户或账户名称，没有电子邮件地址，没有路径，没有账户 ID，也没有您组织的名称。我们绝不发送文件内容或凭据。根据 Anthropic 的商业条款，通过 API 提交的数据不会用于训练 Anthropic 的模型。

6. 子处理者与共享

我们仅与以下子处理者、在保密义务下的专业顾问共享个人数据，或在法律要求的情况下共享：

• Anthropic（美国）— AI 支持助手、执行摘要叙述及界面翻译。
• Cloudflare (global) — CDN, TLS termination, and DDoS protection; for the AI Exposure Check also the human check (Turnstile) and a public DNS resolver (DNS-over-HTTPS).
• RunPod（美国/欧盟）— 托管平台的云基础设施。
• Resend（美国）— 事务性电子邮件投递；实际投递由 Resend 自身的次级处理者 Amazon SES 完成。
• PayPal（美国）— 订阅计费和支付处理。
• Telegram（全球）— 发送给值班团队的运维告警。告警包含内部标识符、状态和金额；其设计不包含您的个人数据，电子邮件地址会在发送前自动删除。我们未找到 Telegram 发布的符合第 28 条的数据处理协议。
• Sentry（美国；由 Functional Software, Inc. 运营）— 错误诊断，仅在服务器端进行。 错误报告包含错误消息、堆栈跟踪、请求路径和请求 ID、最近的日志行和请求 URL（breadcrumbs）、一小部分允许列表内的请求头（包括 user-agent），以及运行时元数据（版本、环境、服务器主机名）。电子邮件地址、电话号码、IP 地址、令牌和长密钥式字符串会在发送前删除，但请求路径中的标识符（例如组织或用户 ID）会被发送。不会发送 Cookie、请求正文、查询字符串或会话回放。

我们在此处更新该清单；签订了 DPA 的组织将根据 DPA 就新增子处理者获得事先通知。

7. 数据保留

我们保留数据的时间不超过必要期限：

• 账户数据——在您账户存续期间保留。账户删除设有 7 天宽限期，此后数据将被永久清除。 我们会在法律要求的期限内保存法律要求我们保存的记录（发票、贷项通知单以及付款和退款记录），根据以色列法律为 7 年，即使您删除账户后也是如此。我们会删除您账户数据中的其余部分。 已删除数据在我们加密备份中的副本，会随备份轮换而被移除，大约在 56 天内；这不影响上述记录。
• 发现项与权限快照——默认保留 24 个月，或您的组织所配置的期限。
• 运营日志与审计日志——90 天。
• 删除您的账户同时将删除仅由您单独拥有的组织，包括其连接器（所存储的凭据将被立即销毁）、快照及发现项。
• AI Exposure Check — saved results 24 hours; limit counters at most 26 hours (the e-mail counter 7 days); share cards 30 days; an e-mail entry 48 hours if not confirmed and up to 12 months once confirmed, and the e-mails sent as a delivery record 30 days; deleted rows stay in encrypted backups for up to about 56 days; our e-mail provider keeps its own send logs for 30 days (details in section 2A).

8. 您的权利

根据 GDPR 及类似法律，您享有访问权、更正权、删除权、可携权、限制处理权和反对权，以及不受仅基于自动化处理且对您产生法律效果之决定约束的权利（本平台不对您作出任何此类决定）。导出与删除为自助操作：设置 → 导出我的数据 / 删除我的账户。如有其他事项，请致函 [email protected]——我们将在 30 天内回复。您亦可向您所属的监管机构提出投诉。

9. 国际数据传输

我们位于以色列，该国已获得欧盟充分性认定；基础设施在“子处理者”项下所列区域运行。当个人数据从 EEA/UK 传输至未获充分性认定的国家时，我们依据欧盟委员会的标准合同条款（SCC）及等效的英国保障措施，并辅以补充性技术措施（传输中和静态时的加密）。

10. 加利福尼亚州（CCPA/CPRA）

我们不出售或共享 CCPA/CPRA 所定义的个人信息，且在过去 12 个月内亦未曾如此。加利福尼亚州居民享有知情权、更正权、删除权，以及因行使上述权利而不受歧视的权利——请使用“设置”中的自助工具或联系 [email protected]。

11. 安全

数据在传输中经过加密（TLS），存储的凭据在静态时经过加密（AES-256-GCM）。对您数据源的监控访问为只读且遵循最小权限原则；仅当您开启“自动修复”并单独授予时才存在写入访问权限，且您可随时撤销。密码仅以加盐的 scrypt 哈希形式存储。每项平台操作均写入仅可追加的审计日志。我们将根据 GDPR 第 33–34 条，在个人数据发生泄露时不无故拖延地通知受影响的组织。

12. 未成年人

本平台为 B2B 服务，并非面向未成年人。我们不会在知情的情况下将任何 16 岁以下人员作为账户持有人处理其数据。

13. 本政策的变更

我们将在此处发布变更，并更新本页面顶部的生效日期；变更自该日期起生效。

14. Google API 服务

8200.dev 对从 Google API 接收的信息的使用和向任何其他应用的传输，均遵守 Google API 服务用户数据政策，包括其中的有限使用（Limited Use）要求。

对从 Workspace API 接收的原始或衍生用户数据的使用，将遵守 Google 用户数据政策，包括其中的有限使用（Limited Use）要求。

我们不会使用任何原始或衍生的 Google Workspace 用户数据来开发、改进或训练通用人工智能或机器学习模型，也不会为训练目的将此类数据传输给第三方 AI 或 ML 工具或服务。平台上的大语言模型分析（通过 Anthropic API 进行）仅用于推理，并且根据 Anthropic 的商业条款，通过 API 提交的数据绝不会用于训练 Anthropic 的模型。

15. Cookie

我们仅设置以下第一方 Cookie。其中没有任何 Cookie 用于广告、分析或跨其他网站追踪您。所有这些 Cookie 均为严格必需或用于记住您所做的选择——但 es8200_ref 除外，该 Cookie 仅在征得您同意后设置。

• authjs.session-token——使您保持登录状态；在您退出登录或 30 天未使用后失效。
• authjs.csrf-token 和 authjs.callback-url——保护登录表单并将您带回您来时所在的页面；其有效期为浏览器会话期间。
• authjs.pkce.code_verifier、authjs.state 和 authjs.nonce——在 Google 登录完成之前对其加以保护；15 分钟。
• mfa_trust——在第二因素验证后记住您选择信任的设备；30 天；仅在您选择时设置。
• active_org——记住您正在查看的是您的哪一个组织；1 年。
• NEXT_LOCALE——记住您的语言；1 年。
• es8200_plan——记住您在定价页面上选择的方案，以便注册时可将您带至结账页面；24 小时。
• es8200_ref——类别为“合作伙伴推荐”，可选：仅在您通过合作伙伴的链接进入时在显示的横幅中接受它时才设置。它记录推荐代码，以便在您订阅时合作伙伴获得其佣金；90 天。

在生产环境中，登录 Cookie 带有 __Secure- 前缀，并且为 HttpOnly 和 Secure。您对浅色或深色主题的选择保存在您浏览器的本地存储中，而非 Cookie 中，且绝不会发送给我们。您可以随时在浏览器中删除 Cookie；没有登录 Cookie，您将无法保持登录状态。

16. 联系方式与数据保护官

如需产品支持及一般咨询，请联系 [email protected]。隐私与数据保护联系方式（包括数据保护官（DPO）职能）：[email protected]。