隐私政策
本政策适用于 Abundera QR Pro（位于 pro.qr.abundera.ai 的付费服务）。关于 qr.abundera.ai 上的免费 Abundera QR 工具，请参阅 qr.abundera.ai/privacy/。
Abundera QR 的数据处理方式：免费工具几乎不收集数据；Pro 服务最小化且明确。
1. 摘要
两款产品，两种数据处理方式。
- Free Tool（qr.abundera.ai）：无需账户，无 Cookie，无分析，QR 生成不向我们的服务器发送任何请求。您的内容始终保留在浏览器中。
- Pro Service（pro.qr.abundera.ai）：基于账户。我们存储您的电子邮件、Stripe 客户 ID、您创建的 QR 码，以及第 4 条所述的最少扫码记录。我们不会跨网络追踪您的终端用户；不出售您的数据；不使用广告技术。
2. Pro Service 处理的数据
2.1 账户数据
当您通过 abundera.ai 登录时，我们通过 JWKS 委托授权流程获取您的电子邮件地址和用户标识符。我们存储：
- 电子邮件地址（用于发送账单通知、关键服务消息和取消确认）
- Stripe 客户 ID（用于向您提供的支付方式收费）
- 账户偏好设置（套餐层级、团队成员资格、API 密钥元数据）
- 时间戳（账户创建时间、更新时间、删除申请时间）
我们不存储密码；身份验证委托给 abundera.ai。除本文已描述的内容外，我们不收集人口统计信息、营销偏好或设备标识符。
2.2 您的码与 URL
当您创建动态 QR 码时，我们存储目标 URL、您设置的可选标签、可选标签（tag）、7 位短码以及码的生命周期状态。这是实现动态 QR 解析的必要条件。
2.3 支付数据
支付由 Stripe, Inc. 处理。我们不存储卡号、CVC 或银行账户号码。Stripe 返回一个引用（客户 ID 和订阅 ID），我们存储这些信息用于对账续费和发票。您的支付方式详情保存在 Stripe。
3. 扫码分析（当有人扫描您的码时，我们记录什么）
大多数商业 QR 供应商会在此环节收集丰富的行为档案。我们做法相反。
每次扫码记录：
- UTC 日历日期（按天分桶）
- 从 Cloudflare 的
CF-IPCountry请求头派生的国家/地区 - 通过简短 User-Agent 正则分类的设备类型（移动端/平板/桌面/未知）
- 码的短码（用于将扫码归属到正确的码）
对于 Team 和 Agency 套餐，我们还额外记录最近 7 天内的 UTC 小时分桶数据。按天分桶的记录按套餐保留（见第 7 条）。
我们不记录：IP 地址、精确地理位置（无城市或经纬度）、引用 URL、原始 User-Agent 字符串、小时以下的时间戳、扫码用户的 Cookie 或会话标识符，以及其他任何信息。设备类型分类完成后，User-Agent 字符串即被丢弃，不会写入我们的数据库。
在您选择的分析时间窗口内，扫码次数少于 5 次的国家/地区会被合并为"其他"，以防止从小样本中重新识别出个人扫码用户。
4. Cookie 与追踪
Free Tool：无 Cookie，无追踪，无指纹识别。
Pro Service：仅使用一个严格必要的 Cookie __Secure-abundera_session，用于承载保持登录状态所需的签名会话令牌。该 Cookie 设置了 HttpOnly、Secure 和 SameSite=Strict。我们不使用营销 Cookie、广告 Cookie 或跨站追踪器，不接入 Google Analytics、Meta Pixel 或类似工具。
5. 我们使用的次处理方
运营本服务需要少数第三方。当前列表：
| 次处理方 | 用途 | 访问的数据 | 司法管辖区 |
|---|---|---|---|
| Cloudflare, Inc. | 计算、边缘缓存、数据库（D1）、键值存储（KV）、DNS | 所有 Pro Service 数据；边缘扫码请求头 | 美国（全球边缘节点） |
| Stripe, Inc. | 支付处理与账单 | 电子邮件、支付详情、订阅记录 | 美国 |
| Zoho Corporation / ZeptoMail | 事务性电子邮件（欢迎、取消、支付失败） | 电子邮件地址、邮件正文 | 美国/印度 |
当前且有日期的次处理方列表维护于 abundera.ai/legal/subprocessors/。我们将在新增次处理方前更新该页面，并在适用法律要求的情况下至少提前三十（30）天通知订阅用户以便提出异议。
6. 数据保留期限
账户数据：在账户有效期间保留。当您申请删除账户时，账户进入 30 天冻结期，之后所有个人数据将从生产系统中清除。
动态 QR 码：在关联订阅有效期间、任何宽限期以及 30 天账户删除冻结期内保留。之后，码及其短码将被删除。
扫码记录：按套餐保留：Solo 365 天，Business 730 天，Team 和 Agency 1,095 天，Keep-Alive 30 天。超过该窗口的旧扫码记录由我们的每日定时任务滚动清除。
支付与税务记录：按美国税法要求，Stripe 交易记录和税务记录至少保留七（7）年；欧盟增值税司法管辖区可能要求额外保留期。该数据在保留期内不可应请求删除。
安全日志：结构化应用日志（除处理程序明确写入的内容（如 Stripe webhook 用户 ID）外，不含个人身份信息）由 Cloudflare 保留最多 30 天。
7. 处理的法律依据（GDPR / EEA 用户）
在适用 GDPR 的情况下，我们依据以下法律依据处理数据：
- 合同履行, , 用于账户创建、订阅账单、码解析和技术支持。这涵盖了 Pro Service 处理的实质内容。
- 正当利益, , 用于安全监控、欺诈预防，以及您作为客户用于了解活动效果的扫码分析（按设计最小化）。我们评估认为，对扫码用户的影响极小，因为不保留任何可识别扫码用户身份的数据。
- 法律义务, , 用于第 7 条所述的支付和税务记录保留。
- 同意, , 仅在我们明确征求同意的情况下适用（如未来可选的订阅通信）。我们目前不以同意为任何强制性处理的依据。
8. 您的权利
在适用法律和第 7 条保留例外的前提下，您享有以下权利：
- 访问：随时通过账户 → 隐私 → 导出下载您的账户数据 ZIP 包（含码、扫码记录、README），或发邮件至 support@abundera.ai。
- 更正：通过账户页面或联系支持更新账户数据。
- 删除：通过账户 → 隐私 → 删除申请账户删除。30 天冻结期后执行硬删除。
- 可携带性：导出 ZIP 为机器可读的 CSV 格式，附有 README。
- 反对/限制处理：联系 support@abundera.ai。我们将遵从有效请求并书面确认。
- 撤回同意：如处理以同意为依据，您可随时撤回，不影响撤回前已完成的处理。
- 提出投诉：EEA 用户可向当地监管机构投诉；英国用户可向 ICO 投诉；其他司法管辖区可联系同等机构。
响应时限：我们在 5 个工作日内确认，并在确认后 30 天内完成处理，符合 GDPR 第 12 条要求。复杂请求可在通知后延长至 90 天。加利福尼亚州（CCPA）、科罗拉多州（CPA）、弗吉尼亚州（VCDPA）及其他美国州级隐私权利同样适用 30 天时限。
9. "请勿出售或共享我的个人信息"
我们不出售您的个人信息，不出于跨情境行为广告目的共享您的个人信息，不将敏感个人信息用于提供服务以外的目的。由于我们不从事上述行为，无需选择退出。但希望获得书面确认的加利福尼亚州居民可向 support@abundera.ai 提出请求。
10. 儿童
Pro Service 不面向 16 岁以下的儿童。我们不会故意收集 16 岁以下儿童的个人信息。如您认为我们已收集，请联系 support@abundera.ai，我们将予以删除。
11. 国际数据传输
我们总部位于美国。从 EEA、英国或瑞士居民收集的个人数据将传输至美国。我们依赖欧盟标准合同条款（SCC）与次处理方（Cloudflare、Stripe、Zoho/ZeptoMail）进行这些传输。abundera.ai/legal/subprocessors/ 上的当前次处理方列表记录了每个次处理方的传输机制。
12. 安全
我们采用行业标准控制措施：传输中使用 TLS 1.3，静态存储加密（Cloudflare D1、KV），范围化 API 密钥，速率限制，CSRF 保护（SameSite=Strict Cookie 加来源检查），以及结构化访问日志记录。我们不声称本服务无懈可击。如您怀疑存在安全问题，请向 security@abundera.ai 报告。
13. 数据泄露通知
如我们得知影响您账户的个人数据泄露，我们将在得知后七十二（72）小时内无故延迟地通知您，符合 GDPR 第 33 条对数据控制方的要求。通知内容包括：泄露性质、受影响记录的类别和大致数量、可能造成的后果，以及已采取或拟采取的措施。
14. 政策变更
我们可能不时更新本隐私政策。重大变更将通过电子邮件通知 Pro 订阅用户档案中的地址，并在本页发布醒目公告。本页顶部的生效日期反映当前版本。历史版本可在 更新日志 查看。
15. 联系方式
隐私问题、数据主体请求或顾虑：privacy@abundera.ai（专用）或 support@abundera.ai。
Abundera, Inc., 200 W Sahara Ave, Unit 3301, Las Vegas, NV 89102, USA。