隐私政策待签核版
审计状态：数据活动盘点、高敏感字段保护、运营主体与法务签核未完成。
个人信息上线阻断
当前代码已涉及账户、主机、订单、资金、KYC 与收款方式等数据模型，但完整的数据映射、字段级加密、第三方清单、保留删除和用户权利流程尚未完成验收。
在这些项目与运营主体法务签核全部完成前，只允许使用合成或经授权的测试数据，不得开放面向真实用户的个人信息处理。
1. 草案与处理边界
本页是待签核的数据处理说明，不是已生效隐私政策。在运营主体、个人信息保护联系方式与处理活动清单完整公示前，不应面向真实用户开放注册、KYC、支付或提现。
不采用「继续使用即默认同意」概括获取对敏感个人信息、向第三方提供信息或跨境传输的授权；需要时应逐项明示告知并取得相应同意。
运营团队必须先完成数据映射：字段、来源、目的、必要性、保留期、存储地、接收方、删除机制、用户权利入口与安全措施。
2. 当前代码可能处理的信息
账户与认证：邮箱、手机号（如启用）、密码哈希、登录会话、TOTP 密钥与 API 密钥元数据；微信或 QQ 标识仅在对应登录渠道真实启用时处理。
运行与审计：IP 地址、请求时间、接口、操作类型、错误、实例、主机、订单、计费和通知状态，用于认证、调度、计费、排障与安全审计。
主机接入：GPU/CPU/内存/磁盘、驱动与容器环境、资源利用率、温度、心跳、网络和策略状态；实际字段必须以 Agent 上报模型与服务端入库字段为准。
资金与合规：充值订单、交易号、金额、发票信息、KYC 申请与文件、提现方式及收款账户字段，仅能在对应功能已合法开放且确有必要时处理。
用户主动提交：联系表单中的姓名、邮箱、主题和消息，以及用户主动提交的脱敏编号与证据。
3. 不得超出事实的披露
未经当前代码、部署配置和第三方合同核实，不宣称收集或使用人脸活体、MAC 地址、紧急联系人、地图定位、跨站广告数据等信息。
未经验证不宣称已实现全部关键字段加密、WAF、入侵检测、多地多活备份、双人审批或固定删除时限。
当前提现支付方式存在服务端业务库字段；完成字段级加密、密钥托管、脱敏展示、访问审计与迁移后，才能宣称只保留脱敏结算字段。
不默认存在跨境传输。如未来确有跨境处理，应在开始前明确地域、接收方、目的、字段与法律机制，并履行必要的单独同意或其他合法程序。
4. 当前安全与高风险缺口
已能从代码确认的措施包括密码哈希、TOTP、API 密钥哈希/权限、会话鉴权、部分操作审计、限流和安全响应头；HTTPS 与边界防护仍取决于真实部署。
KYC 文件、收款账户、支付凭据、TOTP 种子和其他高敏感字段必须完成加密、最小权限、密钥轮换、导出控制与审计后才能进入生产。
需要建立经演练的数据事件响应流程、通知模板、联系人、证据保全与第三方协调流程，再由法务确定对外响应时限。
5. 第三方、保留与用户权利
官网必须按实际配置公开支付、短信、邮件、推送、KYC、存储、监控与错误追踪提供方清单；未启用的 SDK 或服务不列为已收集。
每类数据的保留期应由业务必要性和法定义务决定，不使用未经评估的「5–10 年」或「90 天备份」等统一时限。
正式上线前必须提供可验证身份的查阅、更正、删除、撤回同意、注销、获取副本和申诉流程，并说明不能删除的法定保留例外。
政策重大变更应重新显著告知；需要同意的新处理目的不能仅以用户继续使用作为授权依据。