1. 我们收集的信息
1.1 您主动提供的信息
- 账户信息：注册时的电子邮件地址、昵称；
- 身份验证信息：密码（加密存储，不可逆）、双重验证配置；
- 支付相关信息：充值订单信息、支付渠道记录（不存储完整银行卡号或支付密码）；
- 用户提交的内容：客服沟通记录、反馈内容。
1.2 自动收集的信息
- 设备与日志信息：IP 地址、浏览器类型与版本、操作系统、访问时间、页面路径；
- 交易日志：虚拟卡消费记录、充值记录、余额变动日志；
- 安全日志：登录记录（时间、IP、设备指纹）、验证码发送记录。
1.3 来自第三方的信息
当您使用第三方支付（微信支付、支付宝、加密货币钱包）时，我们可能接收来自相关服务商的交易状态通知，但不接收您的完整支付凭据。
2. 信息的使用目的
我们将收集到的信息用于以下目的：
| 使用目的 | 法律依据 |
|---|---|
| 提供、维护和改善我们的服务 | 合同履行 |
| 账户注册、身份验证及安全防护 | 合同履行 / 合法利益 |
| 处理充值订单及虚拟卡操作 | 合同履行 |
| 发送交易通知、安全警报及服务公告 | 合同履行 / 合法利益 |
| 欺诈检测与风险控制 | 合法利益 / 法律义务 |
| 遵守适用的法律法规要求 | 法律义务 |
| 分析服务使用情况以改善用户体验 | 合法利益 |
3. 信息的共享与披露
我们不出售、出租或以商业方式交换您的个人信息。在以下有限情形下，我们可能与第三方共享您的信息：
3.1 服务提供商
我们使用经过审查的第三方服务提供商（如数据库服务 Supabase、邮件服务 Resend）处理必要的数据，这些提供商仅在提供服务所需的范围内访问您的数据，并受保密义务约束。
3.2 支付合作方
为完成充值交易，我们需要将必要的交易信息传递给支付渠道合作方。
3.3 发卡机构
为开立和管理虚拟卡，我们需要将必要的信息提供给合作银行或发卡机构。
3.4 法律要求
当法律法规、监管机构或司法机关要求时，我们可能依法披露您的信息。
3.5 业务转移
在合并、收购或资产出售的情况下，您的信息可能作为业务资产转移，届时我们将提前通知您。
4. Cookie 与追踪技术
我们使用以下类型的 Cookie 和本地存储技术：
- 必要性 Cookie：维持用户登录状态和 Session 管理，无法关闭；
- 功能性存储：使用 sessionStorage 临时存储 OTP 验证所需的邮箱信息，会话结束后自动清除；
- 安全性 Cookie：用于 CSRF 防护和身份验证令牌管理。
我们不使用第三方追踪 Cookie 或广告技术。
5. 数据安全
我们采取以下技术和管理措施保护您的数据安全：
- 所有数据传输均通过 HTTPS/TLS 加密；
- 密码采用不可逆哈希算法（bcrypt）存储；
- 敏感卡片信息（卡号、CVV）在存储时进行加密处理；
- 数据库采用行级安全策略（RLS）确保用户数据隔离；
- 登录强制双重验证（邮箱 OTP 或 TOTP）；
- Session 有效期设置为 2 小时，过期后自动注销；
- 定期进行安全审计和漏洞扫描。
尽管我们采取了上述措施，互联网传输本身存在固有风险。如发生数据安全事件，我们将按照法律要求及时通知受影响用户。
6. 数据保留
我们依据以下原则保留您的个人数据：
- 账户数据：在您账户存续期间保留；账户注销后，基础账户信息保留 90 天后永久删除；
- 交易记录：依据适用的金融法规要求，保留不少于 5 年；
- 安全日志：保留 180 天；
- OTP 验证码：有效期 10 分钟，过期后立即失效并不再存储。
7. 您的权利
依据适用的数据保护法律，您享有以下权利：
- 访问权：请求查看我们持有的您的个人数据副本；
- 更正权：要求更正不准确的个人信息；
- 删除权：在符合法律要求的情况下，要求删除您的个人数据；
- 限制处理权：在特定情况下，要求限制对您数据的处理；
- 数据可携带权：以结构化、机器可读的格式接收您的数据；
- 撤回同意权：撤回您此前给予的数据处理同意（不影响撤回前的处理合法性）。
如需行使上述权利，请通过 support@subviao.com 联系我们。我们将在 30 个工作日内予以响应。
8. 未成年人保护
本平台服务不面向 18 周岁以下未成年人。我们不会故意收集未成年人的个人信息。如我们发现已在不知情的情况下收集了未成年人的个人信息，将立即删除相关数据并注销相关账户。
9. 跨境数据传输
为提供服务，您的数据可能被传输并存储在您所在国家/地区以外的服务器。我们确保所有跨境数据传输均符合适用的数据保护法规要求，并通过标准合同条款或其他适当机制提供充分保护。
10. 隐私政策的变更
我们可能不定期更新本隐私政策以反映服务变更或法律要求。重大变更将通过站内通知和/或电子邮件提前告知已注册用户，并在本页面注明修订日期。继续使用本平台服务即视为接受更新后的隐私政策。
11. 联系我们
如您对本隐私政策有任何疑问、意见或数据相关请求，请通过以下方式联系我们的数据保护负责人：
- 电子邮件：support@subviao.com
- 工作时间：周一至周五 9:00 - 18:00（UTC+8）