隐私政策（草稿）隐私政策（草稿）

草稿 — 尚未經律師審核，不構成正式條款 / 草稿 — 尚未经律师审核，不构成正式条款 / DRAFT — not yet reviewed by counsel; not binding

本文件为工作草稿（版本 0.1-draft），说明 OpenVPT 软件目前如何处理个人信息，供律师审阅。用 [方括号] 标出的内容是尚待填写的占位项。正式版本发布之前，本草稿不产生任何权利或义务。英文版是供律师审阅的参考文本。

本隐私政策说明 [COMPANY LEGAL NAME]（以下简称“OpenVPT”或“我们”）在你使用 OpenVPT 网站、API 及相关服务（统称“本服务”）时，如何收集、使用、共享和保护个人信息。OpenVPT 是数字商品（源代码、SaaS 授权、网站、电子书、课程、设计素材和数字服务）的交易平台：用户以 Base 区块链上的 USDC 付款，资金由 2-of-3 多签托管智能合约保管，争议通过平台仲裁处理。

生效日期：[EFFECTIVE DATE]。版本：0.1-draft。

1. 我们是谁#

2. 要点概览#

• 我们只收集运营账号、订单、托管、交付、争议和客服所需的信息：主要是你的邮箱、钱包地址、你发布和购买的商品，以及你在平台上填写的内容。
• 我们绝不会获取你钱包的私钥或助记词。交易和消息都在你自己的设备上由钱包签名。
• 付款和结算发生在公开区块链上，这些记录公开且永久，任何人（包括我们）都无法删除或修改。
• 我们不出售个人信息，目前也不使用广告或分析类 Cookie。
• 密码只以 argon2id 哈希值保存；双重验证密钥和授权码均已加密；联系表单只保存加盐后的 IP 哈希值。
• 目前大部分数据没有自动删除机制，保存期限尚未确定（见第 9 节）。
• 如需查阅、更正或删除你的信息，请通过 /contact?topic=legal 联系我们。

3. 我们收集的信息#

下列表格列出本服务目前存储的数据。“可见范围”说明在本服务内谁能看到这些信息。

3.1 账号#

3.2 双重验证（2FA）#

如果你开启 2FA，我们会保存经 AES-256-GCM 加密的一次性密码（TOTP）密钥，以及表示 2FA 已开启的标记。目前 2FA 为可选项。

3.3 身份验证（KYC）#

发布商品出售需要已验证的身份状态。本服务目前只保存一个状态值（未验证、审核中、已验证或已拒绝），不收集身份证件、自拍照或其他验证资料，也尚未接入任何身份验证服务商。我们计划为卖家接入第三方身份验证服务商，并会在启用前更新本政策，说明涉及的数据。[KYC PROVIDER AND DATA CATEGORIES — TO BE ADDED]

3.4 钱包#

我们从不索取，也不保存私钥或助记词。

3.5 商品发布#

标题、描述、分类、价格、付款代币、网络、手续费率、交付方式、交付期和验收期、你提供的图片链接、审核状态，以及（如被拒绝）拒绝原因和审核人员。已上架商品为公开信息。

收藏的商品：你收藏商品时，我们会保存你收藏了哪件商品以及收藏时间。只有你能看到自己的收藏；取消收藏即删除该条记录。

3.6 订单与付款#

买家和卖家的账号 ID、付款和收款使用的钱包地址、金额、手续费、代币、网络、订单状态及其变更记录（每次变更由谁或什么触发、原因是什么）、各项期限、时间戳、区块链交易哈希、结算分配比例，以及取消申请。我们还会从公开区块链读取托管合约事件并保存，用于同步订单状态。

3.7 交付#

有人打开交付内容时，我们会留下访问记录（见 3.13）。

3.8 争议与证据#

争议理由、作为证据提交的文字、链接和文件（含文件名和 SHA-256 指纹）、指派的仲裁员、裁决及理由。打开证据文件的操作会被记录。

3.9 订单聊天#

订单内的往来消息及其已读状态。系统会自动扫描每条消息中的联系方式和站外付款迹象（邮箱、电话号码、Telegram、WhatsApp、微信、外部付款链接、站外付款要求），并把生成的风险标记与消息一起保存。被标记的消息不会被拦截，发送者会看到提醒。管理员可以查看订单聊天内容（例如处理争议或安全问题时）。在目前的软件中，仲裁员无法访问订单聊天；这一点今后可能会改变，届时我们会更新本政策。

3.10 评价#

订单结束后，双方各可留下一条评价：1 到 5 分的评分和选填的评语。评价会公开显示在被评价用户的主页上。

3.11 通知#

站内通知（类型、标题、正文、相关数据、已读状态）。大多数通知也会发送到你的邮箱。

3.12 联系表单#

主题、选填的姓名、邮箱地址、标题、正文、语言、你登录时的账号 ID、浏览器的 User-Agent 字符串（截断至 300 个字符），以及你的 IP 地址经加盐处理后的 SHA-256 哈希值（从不保存 IP 地址本身）。被反垃圾机制判定为自动提交的表单（隐藏字段被填写，或打开后 3 秒内就提交）不会作为消息保存，我们只保留一条包含原因、主题、语言和 IP 哈希值的记录。

3.13 安全与技术记录#

3.14 Cookie 与浏览器存储#

我们只使用少量本服务正常运行所必需的 Cookie 和浏览器存储项，目前不使用广告或分析类 Cookie。详情见 Cookie 政策。

首次访问时，我们还会读取浏览器的语言设置（Accept-Language 请求头）来选择显示语言。

3.15 我们不收集的信息#

我们不收集钱包私钥或助记词、银行卡或银行账户信息、政府签发的身份证件号码（目前），也不收集精确位置。

4. 我们如何收集信息#

• 由你提供：注册、绑定钱包、发布商品、下单、交付、聊天、发起争议、撰写评价或联系我们时。
• **自动收集：**IP 地址、User-Agent 等请求数据（第 3.13 节），以及浏览器存储（第 3.14 节）。
• **来自公开区块链：**Base 上托管合约的事件，例如入账和结算。
• 来自其他用户：交易对方的消息、证据和评价可能包含与你有关的信息。
• 来自我们的工作人员：商品审核结果、争议指派和裁决、账号封禁原因。

5. 我们如何使用信息#

我们不会把你的信息用于精准广告，目前也不发送营销邮件。聊天风险标记虽由系统自动生成，但只会产生提醒和供审阅的记录，本身不会封禁你，也不会决定争议结果。

6. 信息如何共享#

6.1 与其他用户及公众#

• 公开：你的显示名称、信用分、身份是否已验证、注册时间、已上架商品，以及别人对你的评价。
• 订单中的交易对方：订单信息、使用的钱包地址、聊天消息、交付内容、争议证据、结算签名。
• 仲裁员和管理员：审核商品、处理争议、回复客服和维护平台安全所需的信息。

6.2 与服务提供商#

我们使用服务提供商代为处理数据。下表只列出当前软件实际使用或已配置的服务；签约前，服务商名称以占位项表示。

6.3 你的浏览器直接连接的第三方#

上述第三方按照各自的隐私政策处理数据。

6.4 其他披露情形#

在以下情况下，我们可能会披露信息：为遵守法律、法院命令或政府部门的合法要求；为保护用户、公众或 OpenVPT 的权利、财产或安全；因合并、收购或资产出售 [NOTICE COMMITMENT — COUNSEL TO CONFIRM]；或经你同意。

6.5 不出售个人信息#

我们不出售个人信息，也不为跨情境行为广告而共享个人信息。[COUNSEL TO CONFIRM UNDER APPLICABLE STATE LAW]

6.6 将来可能使用的服务#

我们的产品计划包含以下内容，目前均未接入；开始使用前，我们会更新本政策：

• 卖家身份验证（KYC）服务商；
• 用于钱包地址制裁名单（OFAC）筛查的链上分析服务；
• 错误监控和运维分析工具。

7. 区块链数据公开且永久#

订单付款或结算时，Base 网络上的托管合约会公开且永久地记录：

• 买家和卖家的钱包地址；
• 代币（由 Circle 发行的 USDC）、金额和手续费；
• 由我们内部订单 ID 推导出的订单标识；
• 卖家、买家和平台之间的结算分配；
• 交易哈希和时间。

请注意：

• 区块链记录无法被我们、你或任何人修改或删除。向 OpenVPT 提出删除请求不会移除链上数据。
• 任何人都能查看某个钱包地址的历史记录。如果你的地址能与你本人关联（例如通过你自己的公开活动），你的交易也可能因此与你关联。
• 区块链交易不可撤回。USDC 发行方 Circle 和 Base 网络按各自的条款运营，我们不会把你的账号信息发送给它们。

8. 你的选择#

• 浏览器存储：你可以在浏览器中清除 Cookie 和 localStorage。退出登录会删除该浏览器中保存的 token。
• 2FA：你可以在账号中开启双重验证。
• 钱包连接：你可以在钱包软件中断开与本网站的连接。
• 邮件：本服务目前只发送交易相关邮件，暂不提供邮件偏好设置。[EMAIL PREFERENCES — TO BE DEFINED]

9. 数据保存#

我们尚未确定保存期限。本节说明软件目前的实际行为；我们会确定保存期限并更新本政策。[RETENTION SCHEDULE — TO BE DEFINED]

即使确定了保存期限，为履行法律义务、处理争议、防范欺诈或执行条款，我们仍可能将部分数据保存更长时间。

10. 数据安全#

目前已采取的措施：

• 密码以 argon2id 哈希处理；登录流程经过设计，无论账号是否存在，耗时都大致相同。
• 可选的 TOTP 双重验证；TOTP 密钥以 AES-256-GCM 加密。
• 通过平台交付的授权码以 AES-256-GCM 加密。
• Access token 有效期短（默认 15 分钟）；refresh token 每次使用都会轮换且只保存哈希值，旧 token 被重复使用时会撤销整个会话系列。
• 登录、注册、2FA、token 刷新和联系表单都有频率限制；连续登录失败会被临时锁定。
• 联系表单只保存加盐后的 IP 哈希值。
• 交付和证据文件只能通过短期有效的签名链接下载，交付文件以 SHA-256 记录指纹。
• 仲裁员和管理员功能采用基于角色的权限控制，敏感操作留有审计日志。
• 非托管式担保：资金存放在智能合约中，平台无法单独动用。

没有任何系统是绝对安全的。登录 token 保存在浏览器的 localStorage 中，请保护好你的设备和浏览器、开启 2FA，并且绝不要把助记词告诉任何人，包括自称 OpenVPT 工作人员的人。如果我们获悉影响你个人信息的安全事件，将依法通知你。[BREACH NOTIFICATION PROCESS]

11. 你的权利#

根据你所在的地区，你可能享有以下权利：

• 知悉并查阅我们持有的你的个人信息；
• 更正不准确的信息；
• 删除你的信息；
• 以可携带的格式获取副本；
• 反对或限制特定处理，并在基于同意的处理中撤回同意；
• 对我们就你的请求作出的决定提出申诉 [APPEAL PROCESS]；
• 不因行使上述权利而受到差别对待。

如何提出请求：目前还没有自助工具。请通过联系表单选择“法务”主题提出：/contact?topic=legal，或发邮件至 [LEGAL CONTACT EMAIL]。请使用你账号的邮箱发送，或在内容中注明该邮箱。我们会先核实你的身份（例如确认你能控制该邮箱）再处理，并在 [RESPONSE PERIOD] 内答复。在法律允许的情况下，经授权的代理人可以代你提出请求，但需要提供授权证明。

限制：我们无法删除链上记录（第 7 节）。为履行法律义务、处理进行中的争议、防范欺诈，或因数据同时涉及其他用户，我们可能需要保留部分记录，例如订单、争议和审计日志。遇到这种情况，我们可能改为限制使用或去标识化处理，而不是删除。[DELETION / DE-IDENTIFICATION PROCEDURE — TO BE DEFINED]

12. 美国各州隐私权利（含加州）#

[PLACEHOLDER — COUNSEL TO CONFIRM WHETHER THE CCPA/CPRA AND OTHER STATE PRIVACY LAWS APPLY, AND TO COMPLETE THIS SECTION.]

供参考，第 3 节所述的个人信息类别大致对应如下：

• 来源、目的和接收方：见第 4 至 6 节。
• 出售／共享：见第 6.5 节。[GLOBAL PRIVACY CONTROL HANDLING — COUNSEL TO CONFIRM]
• 保存：见第 9 节。
• 敏感个人信息只用于提供本服务及保障其安全。[COUNSEL TO CONFIRM "LIMIT USE" NOTICE]
• 美国其他州：[STATE-SPECIFIC DISCLOSURES]

13. 国际用户与数据跨境传输#

[PLACEHOLDER — COUNSEL TO COMPLETE.] 本服务在美国运营，数据在美国以及我们的服务提供商所在的其他国家处理。[LOCATIONS OF PROCESSING] 如果我们为欧洲经济区、英国或其他有数据传输规定的地区的用户提供服务，将在此说明传输机制。[TRANSFER MECHANISM] 本服务不一定在美国每个州或每个国家都可以使用。[SERVICE AVAILABILITY / RESTRICTED JURISDICTIONS]

14. 儿童#

本服务并非面向儿童。你必须年满 [MINIMUM AGE] 岁才能使用本服务。我们不会在知情的情况下收集未满 13 岁儿童的个人信息。如果你认为有儿童向我们提供了个人信息，请通过 /contact?topic=legal 联系我们，我们将按规定删除。

15. 政策变更#

我们可能更新本政策。页首的版本和“更新日期”代表当前版本。如有重大变更，在法律要求的情况下，我们会在变更生效前通过 [NOTICE METHOD, e.g. e-mail or in-app notice] 通知你。

16. 联系我们#

• 联系表单（“法务”主题）：/contact?topic=legal
• 邮箱：[LEGAL CONTACT EMAIL]
• 邮寄地址：[COMPANY LEGAL NAME]，[BUSINESS ADDRESS]

给律师的待确认事项 / Notes for counsel#

以下事项供审阅律师参考，正式版本发布时将删除。完整说明以英文版为准。

1. 原始 IP 地址：联系表单只保存加盐 IP 哈希值，但审计日志（audit_logs.ip）、会话记录（refresh_tokens.ip）以及登录类频率限制的缓存键会保存或使用原始 IP。请建议是否也应做哈希处理以及保存多久。
2. 没有保存期限任务：除短期缓存计数器，以及 SIWE 验证码和重复请求记录的延迟清理外，没有任何数据会自动删除。第 9 节中的每类数据都需要保存期限表。
3. 没有自助删除或导出：权利请求目前人工处理。订单、交付、争议和评价记录引用用户但不会级联删除，因此按现有设计无法彻底删除有交易记录的用户，需要制定去标识化流程。
4. 退出登录只在本地生效：退出登录只清除浏览器中的 token，refresh token 在服务器端仍然有效，直到过期（默认 30 天）。请考虑安全章节是否需要补充说明。
5. KYC：目前只保存状态值。产品计划为卖家接入第三方 KYC 服务商；如涉及生物识别，可能适用伊利诺伊州 BIPA、得克萨斯州 CUBI、华盛顿州等法律，上线前必须更新本政策。请确认仅用于开发环境的 KYC_BYPASS 开关在生产环境中为关闭状态。
6. OFAC／制裁名单筛查：钱包地址筛查为计划中，尚未实现；请确认披露措辞，以及上线前是否必须完成筛查。
7. 资金转移与托管牌照：请确认对非托管式 2-of-3 多签设计的分析（FinCEN 指引、各州资金转移法）、纽约州（BitLicense；产品计划在 MVP 阶段屏蔽纽约用户）、加州 DFAL 和加州托管代理规定，以及是否可能适用金融隐私规则（例如 GLBA）。
8. CCPA/CPRA 及其他州法：请确认适用门槛、收集时告知、敏感个人信息（账号凭证）、“出售／共享”分析（Google Fonts、WalletConnect、图片托管网站）、Global Privacy Control，以及其他可能适用的州法。
9. GDPR／英国 GDPR 及其他国家：本服务提供繁体中文、简体中文和英文界面。请确定服务范围；如果服务欧洲经济区、英国、台湾地区、中国大陆或其他地区的用户，可能适用当地法律（GDPR、台湾地区个人资料保护法、《个人信息保护法》等），包括法律依据、代表和传输机制。
10. 儿童与最低年龄：目前注册流程不询问年龄。请确定 [MINIMUM AGE]，并决定是否需要年龄验证（COPPA 及州法）。
11. Google Fonts：每个页面都从 Google 服务器加载字体，会把访客 IP 发送给 Google。可考虑改为自托管字体。
12. 聊天监控：系统自动扫描消息中的联系方式和付款链接，争议期间工作人员可以查看聊天内容。请确认披露方式以及是否需要取得同意（ECPA 及州通信法）。目前管理员可以通过聊天 API 查看所有订单聊天；仲裁员的访问权限在计划中（SPEC P2-12）。管理员和争议订单的仲裁员还能看到解密后的授权码并下载交付文件。建议制定内部访问政策。
13. 区块链永久性与删除权之间存在冲突；请确认第 7 节的披露是否充分。
14. 邮件：目前只发送交易邮件，没有退订机制；在发送任何营销邮件之前请确认 CAN-SPAM 立场。
15. 商品图片从卖家提供的外部网址加载，会把浏览者的 IP 地址暴露给这些网站。
16. DMCA：需要向美国版权局登记 §512 指定代理人（[DMCA AGENT NAME/ADDRESS]）；侵权通知和反通知包含个人信息，可能会转交给另一方。请与服务条款相互对照。
17. 税务申报：平台将来的税务申报义务（例如 Form 1099 信息申报）可能需要收集纳税人信息，届时需要更新本政策。
18. 仲裁条款：争议解决和仲裁条款应放在服务条款中；请确认其可执行性以及与隐私相关请求的关系。
19. 数据泄露通知：请根据各州数据泄露通知法制定事件响应和通知流程。
20. 静态加密：应用程序只加密 TOTP 密钥和授权码。交付文件和证据文件没有经过应用程序加密；存储时是否加密取决于存储服务商的配置。本草稿有意不声称文件已加密；作出此类表述前请先确认。
21. 待填占位项：[COMPANY LEGAL NAME]、[ENTITY TYPE]、[STATE OF INCORPORATION]、[BUSINESS ADDRESS]、[LEGAL CONTACT EMAIL]、[EFFECTIVE DATE]、[MINIMUM AGE]、[RESPONSE PERIOD]、第 6.2 节的服务商名称，以及上文其他方括号项目。