隐私政策

一、我们收集的信息

为提供收款服务，我们处理以下类别的最小必要信息：

• 商户主体信息：企业名称、注册号、注册地、联系人、结算地址、经营范围。用于身份核验与合规审查。
• 账户与安全信息：控制台账号、口令的加盐哈希（不保存明文）、两步验证公钥参数、恢复码哈希、登录时间与来源 IP。用于鉴权与异常检测。
• 交易信息：订单号、金额、币种、收款地址、链上交易哈希、确认数、时间戳。这是账本的基础，属于必须保留的记录。
• 付款人信息：仅包含链上公开可见的地址与交易数据，以及付款人为查单主动提交的订单号。我们不要求付款人注册，也不收集其姓名、证件或联系方式。
• 技术与日志：请求路径、响应状态、耗时、客户端 IP、User-Agent。用于安全防护、故障排查与容量规划。

二、处理的法律基础与目的

我们基于以下基础处理信息：

• 履行合同：创建订单、记账、结算、提供技术支持。
• 法定义务：反洗钱与制裁筛查、税务申报、应对有权机关依法调取。
• 合法利益：防范欺诈与攻击、保障系统安全、改进产品。此类处理已通过必要性评估（LIA），且不影响您的核心权利。
• 同意：仅在法律要求同意的场景（如非必要 Cookie、营销邮件）使用，且可随时撤回。

三、链上数据的特殊性

请务必理解：区块链是公开、不可篡改的分布式账本。一旦交易被写入区块，其发送地址、接收地址、金额与时间将对任何人永久可见，且无法删除或修改。

我们能删除的是自己数据库中的记录，无法删除链上数据。因此请勿在链上交易的备注、memo 或金额尾数中写入任何个人信息。

为降低可关联性，本服务为每笔订单派生一次性收款地址，不复用地址，从而避免把同一付款人的多笔交易在链上聚合成画像。

四、共享与委托处理

我们不出售个人信息。仅在下列情形共享，且均受保密与目的限制约束：

• 基础设施供应商：云主机、数据库、对象存储、CDN。按数据处理协议（GDPR Art.28 / 标准 DPA）处理，不得用于自身目的。主要处理者清单可向 privacy@gaapay.com 索取。
• 区块链基础设施：RPC 节点与区块浏览器服务。其可见的仅是公开链上数据。
• 法币通道与聚合网关：仅在商户启用相关渠道时，传递完成该笔交易必需的最小字段。
• 合规与风控服务：制裁名单、地址风险评分。仅传递链上地址，不传递商户主体信息。
• 有权机关：依合法程序（法院命令、监管问询）提供。除法律禁止告知外，我们会通知受影响商户。
• 企业交易：合并、收购或资产转让中，数据可作为资产转移，受让方须继续受本政策约束。

五、跨境传输

我们的服务器可能位于您所在司法辖区之外，因此您的信息可能被传输至境外处理。

涉及欧洲经济区（EEA）数据的传输，我们采用欧盟委员会标准合同条款（SCCs）并完成传输影响评估（TIA）；涉及英国的传输采用 UK Addendum。

若您所在地区的法律要求单独同意跨境传输，我们会在收集前取得该同意。

六、保存期限

• 交易与账本记录：自交易完成起不少于 5 年（多数辖区的反洗钱法定要求），且因账本不可删改性，实际上长期保留。
• 商户主体与尽调材料：服务关系存续期间，及终止后 5 年。
• 访问日志与安全日志：90 日，之后聚合为统计指标，不再保留可识别个体的明细。
• 营销同意记录：至撤回同意为止。
• 同意留痕记录（条款版本指纹）：为证明「用户同意的是哪一版」，保留至法定时效届满（争议解决机制结束），最长 10 年。

七、安全措施

• 传输层：全站 TLS 1.2+，HSTS 强制。
• 存储层：口令与恢复码仅存加盐哈希；API 密钥仅存哈希，明文只在创建时展示一次。
• 访问控制：最小权限原则，角色与权限分离，高危操作要求近期两步验证（步骤提升）。
• 审计：所有管理操作写入不可篡改的审计日志，含操作者、时间、对象、前后值。
• 隔离：签名能力与 API 进程分属不同权限边界，API 进程不持有私钥。
• 演练：定期恢复演练与渗透测试，发现的问题按严重程度限期修复。漏洞接收与响应流程见《安全政策与漏洞披露》。

八、您的权利

在适用法律范围内，您有权：

• 访问：获取我们持有的关于您的信息副本。
• 更正：要求更正不准确的信息。
• 删除：要求删除，但法定保留义务与链上不可删数据除外。
• 限制与反对：要求限制处理，或反对基于合法利益的处理。
• 可携带：以结构化、通用、机器可读的格式导出您的数据。控制台已提供自助导出。
• 撤回同意：随时撤回基于同意的处理，不影响撤回前已进行的处理。
• 投诉：向您所在地的数据保护机构投诉。

九、区域性附加条款

下列辖区法律的强制性规定优先于本政策与之冲突的部分：

• EEA / 英国（GDPR / UK GDPR）：处理基础、跨境传输（SCCs/TIA）、DPO 联系通道、向监管机构投诉权按上述条款执行；自动化决策（制裁筛查命中）可要求人工复核。
• 美国（CCPA/CPRA 等州法）：我们不「出售」也不「共享」个人信息（按州法定义）。加州居民享有知情、删除、纠正、限制敏感信息使用与非歧视权利，行权通道与本页 §8 相同，15 个工作日内响应。
• 巴西（LGPD）：处理基础含「信贷保护」与「法定或行政义务」；encarregado（数据官）联系方式为 privacy@gaapay.com。
• 新加坡（PDPA）/ 中国香港（PDPO）：按「告知目的、合理必要」原则处理；跨域传输采用同等保护标准。
• 中华人民共和国大陆地区：本服务不向大陆地区用户提供，不面向大陆地区开展个人信息处理活动。若您从大陆地区访问本站，请立即停止使用。

十、未成年人

本服务不面向未满 18 周岁的自然人。我们不会故意收集未成年人的信息。若发现此类情况，将删除相关记录并终止相关账户。

十一、政策更新与联系方式

本政策的实质性变更将通过控制台公告与邮件通知，并更新版本号与生效日期。

数据控制者与联系方式载于本页页脚。数据保护相关问题请联系 privacy@gaapay.com。