生效日期： 2025年2月4日
最后更新： 2026年9月1日
欢迎使用我们的 SaaS 订阅和许可证 management 服务（以下简称"本服务"、"我们"）。我们深知隐私对用户的重要性，因此制定本隐私政策来说明我们如何收集、使用和保护您的个人信息。
使用本服务即表示您同意本隐私政策的条款。如果您不同意这些条款，请停止使用本服务。
我们的核心隐私原则包括：
账户信息
两步验证信息（可选）
为了提供服务，我们会自动生成以下标识符：
您每次登录时，我们会记录该次会话的以下技术信息，仅用于账号安全：
CN、JP）。我们不做 IP 地理反查，也不获取城市级或精确位置法律依据：网络与信息安全方面的合法利益（GDPR 第 6(1)(f) 条、鉴于条款 49）。 这些数据不用于广告、用户画像或行为分析。
保留期限：会话记录在连续 90 天无活动后自动删除； 被撤销（登出或远程下线）的会话在 30 天内删除。删除会话记录即同时删除其上存储的 IP 地址、User-Agent、指纹哈希与国家码。详见第 8 节。
管理后台的统计视图只按国家码和操作系统聚合，不会读取存储的 IP 地址。
重要说明：所有支付交易均通过 Stripe 处理。您的支付卡信息（卡号、CVV、有效期）直接发送给 Stripe，符合 PCI DSS Level 1 标准。我们不会存储您的完整信用卡号或 CVV 码。
我们仅存储：
为了安全和合规目的，我们记录管理员操作的审计日志，包括：
注意：管理员操作审计日志会记录该管理员的 IP 地址与 User-Agent —— 这是审计本身的要求（需要能追溯是谁、从哪里执行了操作）。它记录的是我们自己的管理员， 不是您作为用户的访问信息。
我们明确承诺不收集以下信息：
第 2.3 节所述的登录安全信息（IP 地址、User-Agent、平台、设备指纹哈希、国家码）确实会被收集。它只服务于账号安全，绝不出售、也不用于营销共享， 并按第 8 节的期限自动删除。
我们的 Web 服务器可能会自动记录标准技术信息（如 IP 地址、请求时间、HTTP 状态码），用于安全监控和故障排查。这些日志数据会在 30 天后自动删除，且不会用于用户分析或营销目的。
我们使用收集的信息仅用于以下目的：
我们与以下第三方服务提供商共享必要信息：
Stripe（支付处理）
AWS（云服务）
邮件服务（如 AWS SES 或其他 SMTP 服务商）
在以下情况下，我们可能会披露您的信息：
如果我们发生合并、收购或资产出售，您的信息可能会作为业务资产的一部分转让。我们会在转让前通知您，并确保新实体遵守本隐私政策。
明确承诺：
我们采取以下安全措施保护您的信息：
请注意： 虽然我们采取合理的安全措施，但没有任何系统是完全安全的。如果您发现任何安全问题，请立即联系我们。
| Cookie 名称 | 用途 | 有效期 | 类型 |
|---|---|---|---|
| session-id | 会话管理和身份验证 | 7天 | HttpOnly, Secure, SameSite |
| csrf-token | 防止跨站请求伪造攻击 | 会话期间 | Secure, SameSite |
这些 Cookie 是服务运行所必需的，无法禁用。
Stripe： 在支付流程中，Stripe 可能会设置 Cookie 用于欺诈检测和支付处理。这些 Cookie 受 Stripe 隐私政策约束。
| 数据类型 | 保留期限 | 原因 |
|---|---|---|
| 账户信息 | 账户存续期间 | 提供服务 |
| 会话记录（含 IP、User-Agent、指纹哈希、国家码） | 最后活动后 90 天；已撤销的 30 天 | 账号安全与会话管理 |
| 订单记录 | 7年 | 税务和法律要求 |
| 审计日志 | 3年 | 合规要求 |
| 邮件日志 | 30天 | 故障排查 |
我们可能会对数据库进行加密备份以防止数据丢失。备份数据会根据备份策略在最长 90 天内轮换删除。
在满足法律与合规要求的前提下，我们可能对需要长期保留的数据（例如订单记录、审计日志）进行匿名化或去标识化处理，以降低对个人隐私的影响。
当您注销账户时：
我们有一个每天运行的定时任务，自动删除：
根据适用的数据保护法律（如 GDPR、CCPA），您拥有以下权利：
您有权访问我们持有的关于您的个人信息。
如何行使： 登录您的账户查看个人信息，或联系我们请求完整的数据副本。
您有权更正不准确或不完整的信息。
如何行使： 在账户设置中更新您的信息，或联系我们协助更正。
您有权要求删除您的个人信息。
如何行使： 联系我们申请账户注销。请注意，某些信息可能因法律要求需要保留。
您有权以结构化、常用的格式接收您的数据。
如何行使： 联系我们请求数据导出。我们将在 30 天内提供 JSON 格式的数据文件。
您有权反对我们处理您的信息用于特定目的。
如何行使： 联系我们说明您的反对理由。
您有权要求限制对您信息的处理。
如何行使： 联系我们说明限制处理的原因。
如果我们基于您的同意处理信息，您有权随时撤回同意。
如何行使： 联系我们撤回同意。撤回不影响撤回前的合法处理。
您有权向数据保护机构投诉。
欧盟用户： 可向您所在国家的数据保护机构投诉
加州用户： 可联系加州隐私权局（California Privacy Protection Agency）
我们不会使用自动化决策（包括用户画像）对您产生法律效力或类似重大影响。
本服务不面向 16 岁以下的儿童（或您所在司法辖区规定的更高法定年龄）。我们不会故意收集此类人群的个人信息。
如果您是家长或监护人，发现您的孩子向我们提供了个人信息，请联系我们。我们将在确认后尽快删除相关信息。
您的数据存储在 AWS 数据中心（具体位置根据部署情况确定）。
如果您位于欧洲经济区（EEA）、英国或瑞士，您的数据可能会传输到这些地区之外。我们采取以下保障措施：
虽然欧盟-美国隐私盾框架已失效，我们通过标准合同条款和其他合法机制确保数据传输的合法性。
如果您是加州居民，您享有以下额外权利：
您有权了解我们收集的个人信息类别和具体内容。
您有权要求删除我们收集的个人信息（某些例外情况除外）。
我们不会出售您的个人信息。 我们从未出售过，也不会在未来出售您的个人信息。
您行使 CCPA 权利时，我们不会歧视您（如拒绝服务、收取不同价格等）。
您可以指定授权代理人代表您行使 CCPA 权利。
如何行使 CCPA 权利： 请发送邮件至 support@chengos.com，我们将在 45 天内回复您的请求。
如果您是欧盟居民，我们作为数据控制者处理您的个人信息。
我们基于以下法律依据处理您的信息：
如有 GDPR 相关问题，请联系我们的数据保护官：
邮箱： dpo@chengos.com
如果发生数据泄露，我们将在 72 小时内通知相关监管机构，并在必要时通知受影响的用户。
本服务可能包含指向第三方网站的链接（如 Stripe 支付页面）。我们不对这些第三方网站的隐私实践负责。
请在访问第三方网站时查看其隐私政策。
我们可能会不时更新本隐私政策。如有重大变更，我们会通过以下方式通知您：
更新后的隐私政策将在发布后 30 天生效。继续使用服务即表示您接受更新后的政策。
您可以通过联系我们获取隐私政策的历史版本。
如有任何隐私相关问题、意见或请求，请通过以下方式联系我们：
电子邮件： support@chengos.com
邮寄地址： [您的公司地址]
数据保护官（DPO）： dpo@chengos.com（仅限 GDPR 相关问题）
响应时间： 我们将在收到您的请求后 30 天内回复（CCPA 请求为 45 天）。
如果您认为我们的数据处理违反了适用的数据保护法律，您有权向相关数据保护监管机构投诉。
最后更新日期： 2026年9月1日
版本： 1.1
感谢您信任我们的服务。保护您的隐私是我们的首要任务。