Taje 隐私政策

TRASIMENE SAS，61 rue de Lyon, 75012 Paris：contact@trasimene.com。根据《欧盟第 2016/679 号条例》（GDPR）和法国《信息与自由法》（loi Informatique et Libertés），您对自己的个人数据享有各项权利。数据保护联系人可通过同一电子邮件地址联系。

用户账户：电子邮件地址、姓名、经过哈希处理的密码（bcrypt，TRASIMENE SAS 无法读取），或者，如果您使用 Google 或 Apple 登录，则为该服务分配给您账户的标识符，以及它传给我们的姓名和电子邮件地址；注册日期、唯一标识符、账户所属应用（Taje）、语言、偏好设置（通知、新闻通讯），以及您添加的个人资料照片（如有）。我们的服务器还会记录平台、应用版本、设备型号，以及在 Android 上安装该应用的商店；服务器借助安装在服务器上的地理位置数据库，根据您的 IP 地址一次性推断账户所在国家，不保留该 IP 地址。

由于一个账户同一时间只能在一台设备上登录，我们的服务器会保存已登录设备的标识符。该标识符专属于 Taje：在 Android 上，它根据设备标识符和应用名称计算得出；在 iPhone 上，它是首次打开时随机生成的编号，保存在手机的钥匙串中，即使您卸载应用，钥匙串也会保留它。

账户安全与日志：我们服务器的技术日志（IP 地址、用户代理、日期和时间、请求地址）；账户安全记录（注册、登录和登录失败、重置密码、退出登录：日期、IP 地址和用户代理）；推送通知（Firebase 或 Apple 令牌，可撤销）。在 Android 上，注册和登录时，应用会附上一个 Google Play Integrity 令牌，该令牌经 Google 验证，用于证明应用和设备是真实的。

无需账户的免费检查：首次打开时，Taje 会提议您在不创建账户的情况下扫描二维码，第一次链接检查免费。在检查这第一个链接时，应用会在我们的服务器上开启一个 Taje 专属的访客会话，该会话与设备标识符关联（见“用户账户”），并附带手机的语言以及在 Android 上的手机型号。我们的服务器会保存该访客（设备标识符、语言、创建日期、已使用的检查次数），以确保每台设备只能获得一次免费检查。该检查遵循下文“链接检查”一段的规则；它不会记入检查历史，在此会话期间发送的内部统计会关联到该访客。我们的服务器不会将该访客与您之后创建的账户关联：一旦在这部手机上创建或打开 Taje 账户，服务器就会将其清除，最迟在其创建后 12 个月清除。

链接检查（二维码或手动输入的地址）：二维码在您的手机上读取（在 Android 上由集成在应用中的 Google 读取工具 ML Kit 读取；在 iPhone 上由 Apple 的读取器读取）。只有网页链接，即以 http:// 或 https:// 开头的地址，才会发送到我们的服务器；仅有网站名称时，例如“exemple.fr”，会补全为“https://exemple.fr”。二维码的任何其他内容（Wi-Fi 网络及其密码、联系人名片、电子邮件地址、电话号码、文本）都留在您的手机上：它们会显示出来，但不会被发送。每个被检查的链接都会完整地发送到我们的服务器，服务器会将其与危险网站列表和 Google Safe Browsing 进行比对，并跟踪其重定向以同时判断其目标地址。为此，我们的服务器会：

• 向 Google Safe Browsing 发送网站名称，或者，当网站托管在由许多网站共用的平台上或以 IP 地址表示时，发送完整地址，但不包括“#”符号之后的部分以及可能包含的登录凭据；
• 通过 Google 和 Cloudflare 的公共 DNS 解析器解析网站名称；
• 从我们的服务器打开该地址以跟踪其重定向：此时目标网站及其跳转到的每个网站收到的是来自我们服务器的访问，而不是来自您的手机；
• 仅凭网站名称查询公开的证书日志（crt.sh、Cert Spotter）和公开的域名目录（RDAP 服务 rdap.org，它会将请求转发给该域名的注册管理机构），以便向您显示其证书的使用时长和域名的创建日期。

不会查询 VirusTotal 服务。与检查相关的使用情况统计从不包含被检查的地址。

检查历史：对于使用您的账户进行并得出判定结果的每次检查，我们的服务器会保存以下内容并与您的账户关联：被检查的地址（不含其中可能以 用户名:密码@ 形式包含的登录凭据）、网站名称、判定结果及其类别，以及日期。在订阅有效期间，您可以在应用中以及在 trasimene.com 上的 Taje 账户空间中查看；您可以随时删除其中一条或全部历史。无论订阅是否有效，每条记录都会在 90 天后自动清除，全部历史会随您的账户一起清除（见第 12 条）。由于地址可能包含个人信息（例如收到的链接中包含的标识符），请避免检查您不希望留下记录的链接，或在检查后将其删除。

我们服务器的黑名单：当检查发现某个网站根据 Google Safe Browsing（如为 IP 地址，则根据我们的威胁情报来源）属于危险网站时，我们的服务器会将该网站名称或公网 IP 地址加入其黑名单，该黑名单供 TRASIMENE SAS 的所有安全服务使用。只记录网站的准确名称或 IP 地址，从不记录完整地址，也不与您的账户关联。共享托管平台和可信域名从不会被自动记录，访问量很大的网站会先经过人工核查。这些记录保留 6 个月。为限制滥用，我们的服务器会以其标识符指纹的形式，统计每个账户或每个访客在一天内触发的记录数（最多 20 条），该统计保留 2 天。被错误列入的网站可以发送至 contact@trasimene.com 向我们报告。

二维码生成器：二维码完全在您的手机上创建；Taje 不会将您输入的内容（链接、文本、Wi-Fi 网络及其密码、联系人名片）发送到任何地方。您可以将其保存到照片中（在 iPhone 上，需要您授权添加照片；在 Android 上，保存在手机的“Pictures/Taje”文件夹中，无需特别授权），或将其分享：要分享的图片会在您手机上为应用保留的空间中准备（在 iPhone 上，分享后即被删除；在 Android 上，会在下次分享时被替换）。我们的使用情况统计只计入创建了二维码这一事实，不含其内容。

通知：您登录后，我们的服务器会记录您设备的通知令牌（Firebase 或 Apple），以便向您发送 Taje 的消息（订阅、账户、服务信息）。这些消息仅在您允许通知时显示：应用会在您首次进入应用时，仅提议一次，您可以随时在手机或应用的设置中关闭。所发送消息的内容会保留 7 天。不会向访客发送任何通知。

应用内使用情况统计：为了解哪些界面有用并改进应用，Taje 会向 Firebase Analytics（Google）发送所显示的界面和使用流程中的步骤（注册、登录、订阅、读取二维码及其判定结果、打开链接、创建二维码），从不包含被检查的地址或二维码内容，以及 Firebase 自行收集的信息（手机型号、系统版本、大致国家、会话）。您登录后，Firebase Analytics 会将这些数据与您的账户标识符关联，在 Android 上还会与设备标识符关联。在 Android 上，Google Play 会向 Firebase 报告应用的卸载；我们的服务器会将该事件与您的账户关联，以衡量用户的留存情况。在 Android 上，注册还会以标准事件的形式报告给 Google Analytics，可用于衡量我们 Google Ads 广告活动的效果。应用在 iPhone 上不请求跟踪授权，在 Android 上不收集广告标识符。此项统计自安装起即启用；您可以随时在应用中关闭：打开“我的账户”标签页，进入您的个人资料，关闭“使用情况分析”开关。

内部统计和错误报告：

• 内部统计：首次打开时、打开应用时（在 Android 上每天最多一次，在 iPhone 上每次会话）、显示扫描器时、读取非网页链接的二维码时以及创建二维码时，应用会向我们的服务器发送事件类型、平台、设备标识符、应用和系统版本、型号、语言和日期，不含被检查的地址或二维码内容。我们的服务器还会统计每次链接检查及其结果（安全或危险），不含地址。服务器使用同一地理位置数据库，根据您的 IP 地址推断国家，不保留该 IP 地址，并在会话开启后立即将这些事件与您的账户或访客关联。
• 崩溃：应用意外关闭后，应用会向我们的服务器发送型号、版本、设备标识符、当时显示的界面、错误类型和一条不超过 256 个字符的消息。同类技术报告也会发送给 Firebase Crashlytics（Google）和 Sentry，不含您的姓名或电子邮件地址；在 iPhone 上，Sentry 的报告包含设备标识符。
• 内部统计和错误报告都不受“使用情况分析”设置的影响。

安装来源：首次打开时，应用会向我们的服务器发送其安装来源，以了解是哪个广告活动或网站让您发现了 Taje。在 Android 上，这是 Google Play 提供的安装引荐来源（来源、广告活动，以及点击标识符（如有）），在您注册时也会附上。在 iPhone 上，这是 Apple 提供的归因令牌（AdServices）：当安装来自 Apple Search Ads 的广告时，我们的服务器会向 Apple 用该令牌换取广告活动、广告组、关键词和国家；Apple 的这项服务不需要任何跟踪授权。该来源会与设备的首次打开事件一起记录，13 个月后清除，随后复制到您的账户中；账户中的副本随账户一起清除。

客户支持：如果您从应用或从您在 trasimene.com 上的 Taje 账户空间联系客服，我们会收到您的留言、主题以及您添加的附件（最多两个，一份文档和一张图片，每个 5 MB），以及从您账户中获取的姓名和电子邮件地址，还有应用发送的技术信息（设备标识符、型号、系统版本、应用版本、时区，以及在 Android 上的安全补丁级别）。为了能够答复您，我们的服务器会附上一份从您账户中提取的信息卡：您的订阅状态（套餐、商店、支付价格、日期）、注册日期和最后登录日期、电子邮件地址是否已确认、国家、语言、设备（平台、型号、系统、安装商店、标识符）以及您之前的请求。所有内容都会以电子邮件形式送达 contact@trasimene.com 邮箱；该留言也会被记录以便跟进。如果没有已登录的账户，应用会打开您自己的邮件应用，向 contact@trasimene.com 发送邮件。

取消订阅问卷和删除账户的原因：当您打开订阅管理时，应用可能会询问您离开的原因（从列表中选择并可选填评论）；删除账户时，您也可以说明原因。这些回答为可选项，与您的账户关联，用于改进 Taje，并随您的账户一起清除。

新闻通讯：只有一份新闻通讯，即 Trasimene 团队的新闻通讯（新闻和建议），为我们所有应用共用。通过电子邮件注册时，无论在应用中还是在 trasimene.com 上，“新闻通讯”复选框默认处于勾选状态；您可以取消勾选。如果保持勾选，在您的地址确认后，您的电子邮件地址和姓名将加入我们在 Resend 的发送列表。您可以随时通过每期新闻通讯中的链接，或在您的账户设置中退订。

付款：TRASIMENE SAS 不存储任何银行卡数据。在 App Store 或 Google Play 上订阅的服务由 Apple 或 Google 管理；在 trasimene.com 上订阅的服务通过 RevenueCat，在我们通过 PCI-DSS 认证的支付服务商（Stripe）处以银行卡付款。一打开应用，RevenueCat 就会收到一个匿名标识符，以便向您显示套餐及其价格；登录后，它会收到您的 Taje 账户标识符，以便将订阅与您的账户关联，并向我们传送您的订阅事件（购买、续订、取消、到期、金额）。我们会保留您的付款记录（日期、套餐、价格、所用商店），包括在您的账户删除之后（见第 04 条）。

设备上的权限：相机（仅用于扫描器；二维码在手机上读取）、通知，以及在 iPhone 上向您的照片添加图片（保存所创建的二维码）。对于个人资料照片或附加给客服的图片，由您自己在手机的选择器中选择图片：Taje 只会收到该图片。Taje 不请求位置信息、您的应用列表，也不请求访问您的文件、联系人或通知，并且不读取剪贴板。这些数据绝不会被转售。

• 履行合同以及应您的要求采取的合同前措施（GDPR 第 6.1.b 条）：用户账户、链接检查和检查历史、无需账户的免费检查、订阅管理、服务通知、客户支持。
• 同意（GDPR 第 6.1.a 条）：trasimene.com 网站的分析和营销 Cookie（见第 06 条）。
• 正当利益（GDPR 第 6.1.f 条）：平台安全和欺诈防范（包括 Play Integrity、免费检查和黑名单的上限，以及被封禁账户的标识符）、错误报告（Sentry、Firebase Crashlytics、发送到我们服务器的崩溃报告）、应用内使用情况统计（可通过“使用情况分析”开关拒绝）、运行方面的内部统计、安装来源、取消订阅问卷和删除账户的原因，以及通过检查填充、惠及我们所有服务用户的我们服务器的黑名单。
• 向我们的客户进行营销（法国《邮政和电子通信法典》（Code des postes et des communications électroniques）第 L34-5 条；正当利益，GDPR 第 6.1.f 条）：发送新闻通讯，介绍与您所使用的服务类似的服务。您可以在注册时取消勾选复选框予以拒绝，之后也可以随时通过每期邮件中的链接或在您的账户设置中拒绝。
• 法律义务（GDPR 第 6.1.c 条）：保留您的付款记录（日期、套餐、价格、所用商店），包括在您的账户删除之后，保留 10 年，即会计凭证的保存期限（法国《商法典》（Code de commerce）第 L123-22 条）。

• 账户：无论订阅是否有效，均保留至您将其删除为止。连续 3 年没有任何登录的账户将被删除；我们会在 30 天前通过电子邮件通知您。
• 我们服务器的技术日志：滚动 30 天。
• 账户安全记录：7 天。
• 检查历史：每条记录 90 天，可随时删除，随账户一起清除。
• 访客（无需账户的免费检查）：一旦在同一部手机上创建或打开 Taje 账户即予清除，最迟在其创建后 12 个月清除。
• 黑名单：每条记录 6 个月，不与账户关联；等待人工核查的名称：最后一次出现后 90 天；每日记录计数器：2 天。
• 内部统计（应用发送的使用和崩溃事件、我们服务器进行的计数）：最长 13 个月，包括在没有账户时发送的事件；我们服务器对检查的计数在 35 天后清除。
• 已发送通知的内容：7 天。
• 客户支持请求：最后一次往来后 3 年，包括在账户删除之后。
• 取消订阅问卷、删除账户的原因以及复制到账户中的安装来源：直至账户被清除。
• 新闻通讯：直至退订；之后您的地址仍会以已退订状态保留记录，以确保不再向您发送任何内容，直至您的账户被清除。
• 付款：10 年，包括在账户删除之后。
• 封禁：如因违反使用条款而被封禁，用于执行封禁的标识符（电子邮件地址、账户标识符、Google 或 Apple 标识符、设备标识符）将保留 5 年，即使在账户删除之后亦然。
• 删除账户：见第 12 条。

TRASIMENE SAS 使用以下服务提供商，它们代表 TRASIMENE SAS 处理数据，并受符合 GDPR 的数据处理协议约束：

• Google Cloud：在 europe-west1 区域（比利时，欧盟）托管 API 和数据（账户、检查历史、黑名单）以及技术日志（Cloud Logging），https://cloud.google.com/security/compliance/gdpr
• Firebase（Google LLC）：用于通知的 Cloud Messaging（设备令牌、所发送通知的标题和正文），用于使用情况统计的 Analytics，以及用于崩溃报告的 Crashlytics（见“应用内使用情况统计”），https://firebase.google.com/support/privacy
• Google Safe Browsing（Google LLC）：链接检查（网站名称，或在“链接检查”所述情况下的完整地址），https://safebrowsing.google.com/
• Sentry（Functional Software Inc.）：应用和我们服务器的错误报告；应用相关数据使用位于欧盟的服务器，https://sentry.io/privacy
• RevenueCat Inc.：管理在 App Store、Google Play 和 trasimene.com 上的订阅（账户标识符、购买、订阅状态），https://www.revenuecat.com/privacy
• Stripe Inc.：通过 RevenueCat 在 trasimene.com 上进行银行卡付款；银行卡数据在 Stripe 处输入，从不经过我们的服务器，https://stripe.com/privacy
• Resend Inc.：发送我们的电子邮件（地址确认、密码、账户删除、订阅、新闻通讯）；对于新闻通讯，您的地址和姓名存在于我们在 Resend 的发送列表中，https://resend.com/legal/privacy-policy
• Infomaniak Network SA（瑞士）：contact@trasimene.com 邮箱服务，您发给客服的消息会送达此处，https://www.infomaniak.com/fr/cgv/politique-de-confidentialite

在提供服务的范围内，以其自身名义处理数据的接收方：

• Apple Inc.：App Store、iPhone 上的通知（APNs）、使用 Apple 账户登录、对来自 Apple Search Ads 的安装进行归因（AdServices），https://www.apple.com/legal/privacy
• Google LLC：Google Play、Play Integrity、Google Play 安装引荐来源、使用 Google 账户登录，以及 Android 上的二维码读取工具 ML Kit，它会向 Google 发送该工具的性能和使用统计数据，从不发送图片或所读取的内容，https://policies.google.com/privacy
• Google 和 Cloudflare 的公共 DNS 解析器，它们从我们的服务器接收被检查网站的名称；
• 公开证书日志 crt.sh（Sectigo）和 Cert Spotter（SSLMate）、RDAP 服务 rdap.org 以及相关域名的注册管理机构，它们从我们的服务器接收被检查网站的名称；
• 被检查的网站本身，我们的服务器会访问这些网站以跟踪其重定向。

Taje 应用不设置 Cookie。trasimene.com 的页面，包括应用打开的页面（法律文件）和您的 Taje 账户空间，使用 trasimene.com 网站隐私政策中所述的 Cookie：无需同意的必要 Cookie，以及经同意使用的分析和营销 Cookie，您可随时通过页面底部的“管理 cookie”按钮进行管理。

根据 GDPR 第 15 至 22 条，您享有以下权利：

访问权（第 15 条）· 更正权（第 16 条）· 删除权（第 17 条）· 数据可携权（第 20 条）· 反对权（第 21 条）· 限制处理权（第 18 条）· 随时撤回同意的权利。

行使您的权利：contact@trasimene.com，或通过您登录后账户空间中的客服（在应用中，或在 trasimene.com 上您的 Taje 账户空间中，参见 https://trasimene.com/apps/taje/support），30 天内答复。可能会要求提供身份证明。请注明相关应用（Taje）和账户的电子邮件地址：您在我们其他应用中可能拥有的账户均为独立账户。您可以随时自行在应用中或在 trasimene.com 上的 Taje 账户空间中删除全部或部分检查历史。

如果您认为对您数据的处理不符合法规，您有权向国家信息与自由委员会（CNIL）投诉：3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07，https://www.cnil.fr

您的账户数据和检查历史托管在欧盟境内（Google Cloud，比利时）。我们服务器的技术日志由 Google Cloud 保存，不承诺所在区域。部分服务提供商在欧盟以外处理数据：Sentry（美国公司，应用数据存储在欧盟境内）、RevenueCat、Stripe、Resend、Google（Firebase、Safe Browsing、Play Integrity、ML Kit、使用 Google 账户登录）和 Apple（通知、使用 Apple 账户登录、Apple Search Ads 归因）在美国处理数据。Infomaniak 在瑞士处理数据，瑞士是欧盟委员会认可提供同等保护的国家。这些传输受到欧盟委员会批准的标准合同条款、欧盟-美国数据隐私框架（如服务提供商已获该框架认证）或充分性认定的保障。DNS 解析器、证书日志、RDAP 目录、域名注册管理机构以及被检查的网站可能位于欧盟以外：它们从我们的服务器只接收网站名称，或者对于被检查的网站，接收链接地址，不含任何其他可识别您身份的信息。

本服务仅限成年人使用；未成年人须取得亲权持有人的明确同意（见服务条款）。根据法国《信息与自由法》第 45 条（article 45 de la loi Informatique et Libertés），未满 15 周岁的未成年人不能单独同意处理其个人数据：须由未成年人与亲权持有人共同同意。亲权持有人可代未成年人行使 GDPR 权利，方式为致函 contact@trasimene.com。

根据法国《信息与自由法》第 85 条（article 85 de la loi Informatique et Libertés），您可就本人去世后个人数据的留存、删除和披露设定指示，并可随时通过致函 contact@trasimene.com 予以修改。在没有指示的情况下，您的继承人可依照法律规定的条件行使某些权利。

您可以随时删除您的 Taje 账户：在应用中，从您的个人资料（页面底部的“删除我的账户”）或从订阅界面删除；或在 trasimene.com 上您的 Taje 账户空间的“设置”栏目中删除。操作步骤见 https://trasimene.com/apps/taje/delete-account 页面。删除仅涉及您的 Taje 账户：使用同一地址在我们其他应用中创建的账户仍保持有效。

您确认后，访问权限会立即被切断：您会在所有设备上退出登录，任何人都无法再登录您的账户，您的通知令牌会被清除，如果您在我们这里的其他账户均未订阅新闻通讯，您的新闻通讯订阅也会被撤销。我们会发送一封电子邮件确认删除及最终清除的日期。此时不会清除其他任何内容：在您提出请求 30 天后，属于您账户的所有内容都会被清除（包括检查历史、安全记录、与账户关联的内部统计、您对问卷的回答以及您的个人资料照片），账户记录最后清除。

我们会保留您的付款记录（10 年）、您发给客服的消息（最后一次往来后 3 年），以及在封禁情况下用于执行封禁的标识符（5 年）。未与您的账户关联的内部统计事件（例如应用的首次打开）会在 13 个月后清除。列入我们服务器黑名单的网站与您的账户无关，会保留至其期限届满。

删除账户不会停止在 App Store 或 trasimene.com 上的订阅：请先在您订阅的渠道取消订阅（见 https://trasimene.com/apps/taje/delete-account 页面）。对于 Google Play 订阅，我们在删除时也会请求 Google 取消；之后请确认 Google Play 中已显示取消。