隐私说明：关于WhatsApp网页版小部件代码的数据收集与保护政策

一、我们收集的信息范围与类型

在您使用我们服务的过程中，我们仅收集实现核心功能所必需的最少信息。具体分为以下三类：

• 账户注册信息： 当您创建账户以生成代码时，我们需要收集您的电子邮箱地址、您设置的密码（经加密存储）、以及您填写的公司名称（可选）。我们不会强制要求您提供手机号码或身份证信息。
• 业务配置信息： 您在使用代码生成工具时，主动提交的WhatsApp业务号码、自定义的按钮文案、预设的快捷回复内容、绑定的多个客服账号列表等。这些信息仅用于生成对应的代码配置，并存储在您的账户下。
• 技术使用日志： 当您访问我们的官网或调用代码生成API时，我们的服务器会自动记录您的IP地址、浏览器类型、操作系统、访问时间及浏览的页面路径。这些日志用于网站安全监控与性能优化，保存周期不超过30天。

我们特别声明：我们不会主动收集您网站访客的任何个人信息。由您生成的小部件代码所捕获的访客会话数据（如访客在WhatsApp中发送的消息内容），直接通过WhatsApp官方服务器传输至您的账号，我们无法访问、存储或解析这些通信内容。

二、信息使用目的与合法依据

我们收集上述信息的目的仅限于以下场景，并严格遵守「目的限制原则」：

1. 提供与维护服务： 使用您的账户信息验证登录身份，使用您的业务配置信息生成您所需的定制代码，并确保代码在您的网站上正常运行。
2. 客户支持与故障排查： 当您提交工单或联系客服时，我们需要调取您的账户信息及代码配置历史，以便快速定位问题。
3. 服务通知： 在必要时（非营销目的），向您的注册邮箱发送重要的服务变更通知，例如代码生成算法升级、服务条款更新或安全漏洞警告。
4. 改进产品： 在严格匿名化处理后，我们可能使用技术使用日志中的聚合数据（例如不同浏览器的使用占比）来优化代码兼容性。此处理过程不可逆，无法追溯到具体个人。

我们处理的合法依据包括：您与我们签订的服务协议（合同必要性）、您的明确同意（针对非必要Cookie）、以及我们追求合法商业利益的权利（如防止欺诈行为）。我们不会将您的数据用于任何与本服务无关的广告投放或用户画像分析。

三、Cookie 与本地存储技术说明

我们的官网（apps.tests-whatapp.hl.cn）使用Cookie及浏览器本地存储（LocalStorage）技术来提升您的使用体验。具体使用情况如下：

• 必要Cookie： 用于维持您的登录会话状态（Session），该Cookie为会话级Cookie，关闭浏览器后即失效。我们不会使用跨站追踪Cookie。
• 偏好设置存储： 我们使用LocalStorage存储您在代码生成器中的偏好选项（如选择的按钮颜色），以便您下次访问时无需重新配置。此数据仅存储在您的浏览器本地，不会上传至我们的服务器。
• 第三方统计脚本： 我们目前使用自建的、隐私友好的访问统计脚本（基于Matomo），该脚本默认不设置Cookie，而是使用匿名化的IP哈希值进行访问量统计。我们未接入Google Analytics等可能将数据传输至境外的第三方分析服务。

您可以通过浏览器设置禁用所有Cookie，但这可能导致您无法正常登录账户或使用代码生成功能。我们的小部件代码本身不设置任何Cookie，不会对您网站访客的浏览器产生任何数据存储影响。

四、第三方数据共享与跨境传输政策

我们承诺，在未经您明确授权的情况下，绝不向任何第三方出售、出租或交易您的个人信息。我们仅在以下特定且必要的情形下，可能涉及数据共享：

• 支付服务提供商： 当您购买付费版本时，您的支付信息（如银行卡号、支付账户）将直接由我们合作的持牌支付机构（如支付宝、微信支付、PayPal）处理。我们不会存储您的完整支付凭证，仅保留支付结果及交易流水号。
• 云服务托管商： 我们的服务器托管于AWS新加坡区域（ap-southeast-1）。这意味着您的账户数据（包括邮箱、配置信息）可能会存储于新加坡境内的数据中心。AWS已通过ISO 27001认证，并符合欧盟-美国数据隐私框架（DPF）要求。我们已与AWS签订了数据处理协议（DPA），确保您的数据受到与GDPR同等水平的保护。
• 法律合规要求： 当收到具有管辖权的法院、政府机关依据法定程序发出的正式调查令或传票时，我们可能被迫披露必要的用户信息。我们会在法律允许的范围内，尽力通知您相关请求（除非法律禁止）。

我们不会将您的数据提供给任何广告联盟、数据经纪商或第三方营销平台。

五、您享有的权利：访问、修改与删除

根据PIPL及GDPR的规定，您作为数据主体，拥有以下不可剥夺的权利。您可以通过登录账户后台或发送邮件至 [email protected] 来行使这些权利，我们将在15个工作日内响应您的请求。

• 访问权： 您有权获取我们持有的关于您的个人信息的副本。
• 更正权： 如果您的账户信息（如公司名称、联系邮箱）发生变化，您可以随时在后台自行修改或要求我们协助更正。
• 删除权（被遗忘权）： 您可以随时申请删除您的账户及所有相关配置数据。删除操作将在30天内完成，且不可恢复。请注意，删除账户将导致您生成的小部件代码立即失效。
• 限制处理权： 在您对数据准确性提出异议期间，您可以要求我们暂停处理该数据。
• 数据可携权： 您可以要求我们将您的账户数据（以结构化、机器可读的格式）传输给您指定的第三方服务商。
• 撤回同意权： 对于基于同意而进行的处理（如接收非必要通知），您可以随时撤回同意。

六、信息安全保障措施

我们采用多层次的安全防护体系来保护您的数据免受未经授权的访问、泄露或篡改：

• 传输加密： 所有网站流量均强制使用TLS 1.3协议加密，确保数据在传输过程中的机密性和完整性。
• 存储加密： 您的密码使用bcrypt算法（cost factor 12）进行加盐哈希处理后存储，即使数据库泄露，密码也无法被逆向破解。您的业务配置信息在数据库中以AES-256算法加密存储。
• 访问控制： 我们的员工仅在与提供服务直接相关的最小权限原则下，才能访问您的数据。所有访问操作均有详细审计日志，并定期进行安全审查。
• 漏洞管理： 我们每季度委托第三方安全公司进行渗透测试，并在发现高危漏洞后的72小时内完成修复。
• 数据备份： 我们每日进行增量备份，每周进行全量备份。备份数据同样加密