法律

隐私政策

生效日期：2026 年 5 月 13 日

DueVestor 是一家总部位于以色列的自主尽职调查平台。本政策说明我们收集 SaaS 用户哪些信息、收集原因、保留时长，以及您在 GDPR（欧盟/英国）、CCPA（加利福尼亚州）和以色列《隐私保护法》下享有的权利。如需行使任何权利，请发送电子邮件至 [email protected]，或使用应用内的数据导出和删除账户功能。

1. 我们收集的信息

账户信息：姓名、电子邮件、OAuth 标识符、可选电话号码。使用数据：浏览的页面、使用的功能、通过 `dv_sid` Cookie 记录的匿名会话 ID（仅在您同意后）。账单信息：PayPal 收款标识符及交易金额（我们从不获取您的银行卡信息）。调查对象数据：您选择调查的人员/公司——存储于您的账户下，绝不共享。审计追踪：服务器端记录您每次状态变更操作的日志，保留两年。

2. 我们如何使用这些信息

用于提供您注册的服务、向您计费、改进产品（仅使用聚合分析数据），以及履行我们的法律义务。我们不会出售您的数据，不会使用您的调查对象数据训练模型，也不会进行跨站行为广告投放。

3. 我们与谁共享数据

仅限以下次级处理方：PayPal（支付）、Anthropic（用于报告撰写的 LLM 推理——调查对象数据依据其不用于训练的合同发送）、Cloudflare（CDN+DNS）、RunPod（按报告沙箱计算）、SendGrid（电子邮件）及 GitHub（代码托管；无用户数据流入）。当前完整列表见 /security。在新增处理欧盟个人数据的次级处理方之前，我们将提前 30 天通知您。

4. 我们保留数据的时长

账户数据：直至您删除账户。报告：项目活跃期间无限期保留，项目删除时一并删除。审计日志：2 年（法定保留期）。备份：90 天。当您行使删除权时，我们将立即执行软删除，并在 30 天宽限期后进行硬删除，以便您在此期间通过发送电子邮件至 [email protected] 撤回决定。

5. 您的权利

GDPR/英国：访问、更正、删除、限制处理、数据可携带、反对处理。CCPA：知情权、删除权、退出销售权（我们不出售数据）。以色列 PPL：访问权和更正权。其中两项支持自助操作：GET /api/v1/me/export 返回您数据的 JSON 快照；DELETE /api/v1/me/erase 启动删除流程。其他事项请发送电子邮件至 [email protected]——我们将在 30 天内回复。

6. Cookie

必要 Cookie：`authjs.session-token`（已登录会话）、`dv_ref`（推荐归因，如适用）。分析 Cookie（需选择加入）：`dv_sid` 匿名会话 ID——仅在您在横幅中接受后设置。我们遵从 Do-Not-Track 和 Sec-GPC；如存在任一请求头，无论横幅状态如何，我们均跳过分析。

7. 联系方式

隐私/DPO 咨询：[email protected]。安全漏洞披露：[email protected]。一般支持：[email protected]。