隐私政策
最后更新：2026 年 3 月 6 日
1. 我们是谁
Prismfy（“我们”）运营 prismfy.io 网站及 Prismfy API。在你使用服务的过程中， 我们作为相关个人数据的数据控制者。
与隐私相关的问题，请联系： privacy@prismfy.io
2. 我们收集的数据
2.1 账户数据
注册账户时，我们会收集：
- 电子邮箱地址——用于账户识别与沟通
- 密码——使用 bcrypt 哈希后存储，不以明文保存
- Clerk 用户 ID——如你通过 Google、GitHub 等社交登录方式注册
2.2 使用数据
当你调用 API 时，我们会自动收集：
- 搜索查询内容——用于返回搜索结果并识别滥用行为
- 请求元数据——包括时间戳、IP 地址、HTTP 方法、响应时间与状态码
- API 密钥标识——用于认证和归因请求
- 配额与余额信息——包括已用请求、剩余请求及相应的续期或过期时间
2.3 账单数据
如你订阅付费套餐，账单由我们的支付合作方 Paddle 处理。我们会接收并保存：
- Paddle 客户 ID 与订阅 ID
- 订阅状态与当前计费周期
- 套餐类型（免费套餐 / Pro / Data Digger / 企业版）以及是否具备购买额外请求的资格
我们不会存储银行卡号或支付卡数据。所有支付信息均由 Paddle 依据其隐私政策处理。
2.4 Cookie 与追踪
我们使用必要 Cookie 维持认证会话，并使用功能性存储记住你的偏好设置。详见我们的 Cookie 使用说明。
3. 处理数据的法律依据（GDPR）
我们基于以下法律依据处理你的个人数据：
| 处理目的 | 法律依据 |
|---|---|
| 提供 API 服务 | 履行合同义务（Art. 6(1)(b)） |
| 处理付款 | 履行合同义务（Art. 6(1)(b)） |
| 发送交易与服务通知 | 履行合同义务（Art. 6(1)(b)） |
| 安全监控与防欺诈 | 合法利益（Art. 6(1)(f)） |
| 改进服务质量 | 合法利益（Art. 6(1)(f)） |
| 营销沟通（经同意） | 同意（Art. 6(1)(a)） |
| 履行法定义务 | 法律义务（Art. 6(1)(c)） |
4. 我们如何使用你的数据
- 用于身份验证并提供 API 访问
- 用于处理付款并管理订阅
- 用于执行配额与速率限制
- 用于检测和防止滥用、欺诈及安全事件
- 用于响应支持请求
- 用于发送账单收据和服务通知
- 用于提升服务稳定性与性能
我们不会向第三方出售你的个人数据，也不会将你的搜索查询用于广告投放或出售给数据经纪商。
5. 第三方处理方
我们会与以下处理方共享必要数据，以便交付服务。所有处理方均受数据处理协议（DPA）约束：
| 处理方 | 用途 | 传输的数据 |
|---|---|---|
| Clerk | 认证与用户管理 | 邮箱、姓名、社交登录资料 |
| Paddle | 支付处理 | 邮箱、账单信息、支付相关数据 |
| Webshare | 网络基础设施 | 不接收个人数据 |
| 自托管 VPS | API 与数据库托管 | 账户数据与使用数据 |
| Google Analytics | 网站分析 | 经同意后的页面访问与站点使用事件 |
| PostHog | 产品与网站分析 | 经同意后的页面访问与产品使用事件 |
6. 数据保留期限
- 账户数据：在账户有效期间保留；关闭账户后 30 天内删除。
- 搜索日志：保留 90 天，之后自动清除。
- 使用与配额日志：为计费和防滥用目的保留 12 个月。
- 账单记录：为满足税务与会计要求保留 7 年。
- 匿名化分析数据：如不含个人数据，可长期保留。
7. 数据安全
我们采取技术和组织措施保护你的数据，包括：
- 使用 bcrypt 哈希保存密码
- 以 SHA-256 哈希形式保存 API 密钥
- 所有传输流量均通过 TLS 1.2+ 加密
- 数据库访问仅限内部网络
- Redis 启用身份验证
- 定期更新依赖并修复安全补丁
尽管如此，没有任何系统能保证 100% 安全。如发生影响你权利的数据泄露，我们将按 GDPR 要求在 72 小时内通知。
8. 国际传输
我们的主要服务器位于欧盟/欧洲经济区内。部分处理方（如 Clerk、Paddle）可能在美国或其他国家处理数据。 如发生此类跨境传输，我们会确保采取适当保障措施，例如标准合同条款或 GDPR Art. 46 下的充分性安排。
9. 你的权利（GDPR / EEA / UK）
如果你位于欧洲经济区、英国或瑞士，你享有以下权利：
- 访问权：请求获取我们持有的个人数据副本。
- 更正权：纠正不准确或不完整的数据。
- 删除权：请求删除你的数据（“被遗忘权”）。
- 限制处理权：在特定情况下限制我们处理你的数据。
- 数据可携带权：以结构化、机器可读格式接收你的数据。
- 反对权：反对基于合法利益或直接营销目的的数据处理。
- 撤回同意权：如处理基于同意，你可随时撤回。
- 投诉权：向当地监管机构提出投诉。
如需行使上述权利，请联系 dpo@prismfy.io。 我们通常会在 30 天内回复。
10. 儿童隐私
本服务不面向 18 周岁以下未成年人。我们不会故意收集儿童个人数据。如你认为儿童向我们提供了个人数据，请联系，我们会及时删除。
11. 政策更新
我们可能不时更新本隐私政策。对于重大变更，我们会至少提前 14 天通过电子邮件或网站公告进行通知。 页面顶部“最后更新”日期代表最新修订时间。
12. 联系我们
一般隐私问题： privacy@prismfy.io
GDPR 数据请求： dpo@prismfy.io