1. 我们是谁
数据控制者为我方公司信息中所载的公司。您可通过本页底部的地址联系我们的隐私事务联系人。
2. 我们收集什么
账户数据：电子邮箱、密码哈希、显示名称、所选语言与时区，以及您选填的国家。使用数据：激活记录、租用记录、交易记录、API 请求，以及与登录和 API 调用相关联的 IP 地址与用户代理。支付数据：OxaPay 账单标识、资产与网络、金额及交易哈希。消息数据：在留存期限内向您送达的短信文本。我方从不接收或存储银行卡卡号，也不运行广告追踪器。
3. 我们为何处理这些数据
为提供您所购买的服务（合同履行）、为正确计费并防范欺诈与滥用（正当利益）、为遵守反洗钱与记录保存义务（法律义务），以及在您选择接收的前提下发送产品公告（同意）。
4. 我们保留多久
短信正文：30 天，随后永久删除。激活与交易记录：7 年，依会计法规要求。登录 IP 与用户代理：12 个月。账户数据：直至您删除账户，其后在备份中保留 30 天。您可提前在控制台删除某次激活的消息。
5. 我们与谁共享
上游号码供应商仅接收请求所涉的服务与国家，绝不获知您的身份。OxaPay 接收账单金额与参考号以处理支付。我方的托管与邮件服务商依书面协议按我方指示处理数据。我方绝不向任何人出售个人数据。
6. 数据处理地点
主要基础设施位于欧盟境内。部分次级处理方在欧洲经济区之外运营，并适用标准合同条款。现行次级处理方清单可应请求提供，并作为数据处理协议附件提供给企业客户。
7. 您的权利
访问、更正、删除、限制处理、可携带及反对的权利。请致函隐私事务地址，我们将在 30 天内答复。若您位于欧洲经济区或英国，亦可向您的监管机构投诉；不过我们更希望您先给我们一个改正的机会。
8. Cookie
您登录时我们会设置一个会话 cookie，另设置一个用于语言与主题的偏好 cookie，除此之外别无其他。没有分析 cookie，没有广告像素，也没有同意横幅，因为没有什么需要征求同意。确切清单见《Cookie 政策》。
9. 安全
密码以 bcrypt 哈希存储。API 密钥以哈希形式存储且仅显示一次。传输采用 TLS 1.3。数据库访问限于应用角色，备份静态加密，生产环境访问权限仅限使用硬件密钥两步验证的指定工程师。
10. 政策变更
重大变更将在生效前 14 天通过邮件及更新日志公告。