这不是法律意见。本页描述的是 PathClue 实际怎样实现、怎样运营。中英文版本有出入时，除非当地强制性法律另有规定，以英文版为准。
一、我们是谁，在什么时候扮演什么角色
PathClue 由 TapCub 运营（本政策中称「我们」），包括本网站、你登录使用的控制台，以及 PathClue 分析统计服务。隐私方面的问题，请写信到 hello@tapcub.com。
- 我们是控制者：针对注册账号的人、被邀请加入的成员、联系我们的人，以及浏览本网站的人。这部分数据为什么处理、怎样处理，由我们决定。
- 我们是处理者：针对客户所统计的网站、App 和小程序的访客（「访客数据」）。这时客户是控制者，我们只按客户的指示，依照本政策以及可以按需签订的数据处理协议来处理。
如果你是某个使用 PathClue 的站点的访客，想行使你的权利，请先联系那个站点的运营者；我们会协助客户在法定时限内回应你。
二、我们作为控制者收集的数据
账号：邮箱、密码的哈希值、显示名称、头像（可选）、语言和时区设置、多因素认证设置，以及每次登录的时间、IP 地址和 User-Agent（为了账号安全而保留）。
计费：套餐、订单和发票记录，使用的支付机构（Stripe、PayPal、支付宝或微信支付），金额和交易编号；用银行卡付款时，还有 Stripe 返回的卡组织和卡号末四位。完整卡号我们既接触不到，也不保存。
支持：你通过邮件或本网站在线咨询发来的内容，以及回复你所需的姓名和邮箱。
产品使用情况：你用了控制台里的哪些功能，汇总成计数，帮助我们决定先改进什么。本网站和控制台都没有运行第三方的统计或广告像素。
三、我们替客户处理的数据
统计数据：每一次浏览或事件包括：页面地址和来源页面，地址里的 UTM 参数和广告点击 ID，User-Agent，屏幕尺寸区间，语言，由 IP 推算出的大致国家或地区，自定义事件及其属性，以及一个匿名的访客标识。在默认的匿名模式下，这个标识由我们的服务器根据站点标识、IP、User-Agent 和一个只有服务器知道的盐值，计算出带密钥的哈希；盐值在站点上保持一段时间，以便区分新访客和回访，客户选择严格模式时盐值每天更换。完整的 IP 只在收到请求时于内存中用来推算地区、限流和识别机器人，从不写进数据库。
识别模式：客户可以给站点打开识别模式，建立跨天的用户档案。这时脚本会在浏览器里存一个随机的第一方设备标识；在客户设置为需要同意的地区（默认是欧洲经济区和英国），只有访客通过客户的弹窗表示同意之后才会写入。客户上报自己系统里的用户编号，或者姓名、邮箱等档案字段时，我们按客户的指示保存，邮箱和手机号加密后入库。客户可以在控制台删除某一个人以及和他关联的全部数据。
热力图与会话回放：客户打开之后，会记录点击和滚动的位置以及页面结构。默认情况下，表单里输入的文字在离开浏览器之前就会被遮盖。
四、不用 Cookie 是怎么统计的
默认模式下，统计脚本不写 Cookie，也不使用 localStorage、sessionStorage 或 IndexedDB。判断「是不是同一个访客」全部在服务器上完成，依据的是浏览器本来就会发送的信息。访客的设备上什么都不存，所以很多站点不需要为统计单独弹出同意横幅。
浏览器开启「请勿跟踪」或「全局隐私控制」时，统计脚本默认不会运行；即使请求经由其他途径到达，我们也会把它降为最匿名的一档处理，不计算、不保存访客标识。不用 Cookie 是有代价的，我们在产品里如实说明：跨天的「独立访客」是估算值，和使用持久标识的工具对不上；严格模式下只能在当天内去重。
五、本网站自身
pathclue.com 不设置 Cookie。只有在你做了相应操作之后，才会在浏览器里存两项设置：你选的语言，以及你是否关掉了顶部的公告条。本网站用我们自己的统计脚本，按默认的无 Cookie 模式统计。如果你打开右下角的对话窗口，客服组件会保存一个会话令牌，这样刷新页面后对话还在；不打开，就什么都不存。
六、为什么处理，依据是什么
- 履行合同：运营你的账号、计费、提供支持，以及提供你打开的功能。
- 正当利益：保护服务的安全（登录记录、限流、识别滥用和机器人），了解整体的使用情况，应对法律上的主张。
- 法定义务：保存税务和会计记录，回应合法的要求。
- 同意：可选的产品邮件，以及其他我们明确征求过你意见的事项；你随时可以撤回。
访客数据的处理依据，由客户确定。按照《个人信息保护法》，客户是个人信息处理者，我们是受托处理方。
七、数据存多久
统计数据按客户套餐的保留期保存（Free 6 个月，Pro 12 个月，VIP 1 24 个月，VIP 2 24 个月），客户也可以设得更短；到期自动删除。
账号数据在账号存在期间保留，删除账号后再保留 30 天。计费记录按税法规定的期限保留。服务器和安全日志最多保留 90 天。备份会在数据从生产系统删除后 35 天内轮换清除。
八、数据交给谁处理
我们不出售个人信息，也不和广告商分享。我们会用到下面几类服务商，每一家都有合同约束，只能按我们的指示处理：
- 云服务器、数据库和对象存储；
- 统计脚本和本网站的内容分发；
- 支付机构：Stripe、PayPal、支付宝和微信支付；
- 发送登录、告警和发票等事务邮件的服务；
- 提供分析洞察、自然语言问数据能力的 AI 模型服务商，合同约定不得把数据用于训练；
- 你自己接入的通知渠道和广告平台。
完整的服务商清单可以向我们索取。只有在法律要求时，我们才会向主管机关提供数据；在法律不禁止的情况下，会告诉受影响的客户。
九、数据存放在哪里
统计脚本来自 static.pathclue.com，数据上报到 api.pathclue.com。目前数据存放在美国。以后开放其他区域时，带区域后缀的域名（例如 api-eu.pathclue.com）会把数据存放在对应区域，客户在创建站点时选择。数据需要离开采集地所在区域时，我们采用标准合同条款等公认的保障措施，并对传输加密。
十、你的权利
根据你所在的地区，你可能有权查阅、更正、导出、删除你的个人信息，或者限制我们处理；也可能有权提出反对、撤回同意，并向监管机构投诉。
账号持有人在控制台里就能完成大部分事情：修改资料、导出统计数据、删除账号。其他请求请写信到 hello@tapcub.com，我们会在 30 天内答复。客户站点的访客，请联系那个站点的运营者，他们可以在控制台删除或导出你的数据。
十一、我们怎样保护数据
所有传输都经过加密。密码加盐后以哈希形式保存，每个账号都可以开启多因素认证。访问按角色授权，不同客户的数据相互隔离；管理操作写入审计日志；只有确实需要的员工才能访问生产环境。如果发生个人信息泄露，我们会尽快通知受影响的客户；适用 GDPR 时，在知悉后 72 小时内通知。
十二、未成年人
服务不面向 16 周岁以下的儿童，我们作为控制者不会有意收集他们的个人信息。站点面向儿童的客户，需要自行遵守相关规定，包括在需要时取得监护人的同意。
十三、政策的更新
产品或法律有变化时，我们会更新这份政策。重大变更会在生效前通过邮件或控制台告诉你；本页顶部的日期是最近一次修改的时间。
十四、联系我们
请写信到 hello@tapcub.com。如果对我们的答复不满意，你可以向所在国家或地区的数据保护机构投诉。