隐私政策
生效日期: 2026-04-22
本隐私政策说明 CaptchaLa（以下简称“我们”）在您使用验证码与内容审核服务时，如何收集、使用和保护您的信息。使用 CaptchaLa 即表示您同意本政策所述的做法。
通过 CaptchaLa 处理的个人数据的数据控制者为 SaaSoftware LLC，131 Continental Dr, Suite 305, Newark, DE 19713, USA。CaptchaLa 是由 SaaSoftware LLC 运营的品牌。您可通过 [email protected] 与我们联系。
本文件为方便提供的模板，在依赖其内容之前应由具备资质的法律顾问审阅。
1. 我们收集的数据
我们会收集以下类别的数据：
- 账户信息：邮箱、用户名及哈希加密后的密码。
- 使用数据：IP 地址、User-Agent、请求时间戳以及 API 调用的元数据，用于服务运行和安全防护。
- 支付信息：账单信息由 Stripe 处理，CaptchaLa 不在自有服务器上保存完整卡号。
- Cookie 与本地存储：会话令牌、语言偏好以及基础的分析标识。
2. 数据的使用方式
- 提供、维护和改进 CaptchaLa 服务，包括 API 鉴权和控制台功能。
- 检测和防止欺诈、滥用与自动化攻击，这是本服务的核心功能。
- 履行法律、税务及合规义务，并响应合法的监管请求。
- 发送事务性通知，例如安全提醒、账单回执和服务公告。
3. 第三方服务
为运行服务，我们仅在必要范围内与以下可信的处理方共享数据：
- Stripe——支付处理与订阅结算。
- Google OAuth——可选的 Google 账号登录。
- 分析服务（如 Google Analytics）——汇总的访问统计（若启用）。
- 邮件发送服务——用于发送验证邮件和账单等事务性邮件。
4. 数据保留
在您的账户处于活动状态期间，我们会保留账户数据。账户注销后，我们会在 30 天内清除相关个人数据；法律、税务或欺诈防范要求保留更长时间的情况除外。
5. 您的权利
根据适用法律（包括 GDPR 与 CCPA），您享有以下权利：
- 查阅我们持有的与您相关的个人数据。
- 更正不准确或不完整的数据。
- 请求删除您的账户及关联数据。
- 以可移植格式获取您的数据副本。
- 反对或限制特定的数据处理活动。
如需行使上述权利，请联系 [email protected]。
6. 安全
所有数据通过 TLS 传输，密码使用 bcrypt 进行哈希处理。我们会定期开展安全审计，并以“最小必要”原则限制内部访问。但没有任何系统是绝对安全的，我们无法保证百分之百的安全性。
7. 未成年人
CaptchaLa 的服务并非面向 13 岁以下的个人。我们不会刻意收集未成年人的个人数据。如您认为有未成年人向我们提供了个人数据，请联系我们予以删除。
8. 政策变更
我们可能会不定期更新本隐私政策。对于重大变更，我们会在生效前至少 14 天通过邮件或站内通知进行告知。
9. 联系方式
如有隐私方面的疑问或请求，请联系 [email protected]。您也可以通过同一地址联系我们处理欧盟/英国相关查询。
GDPR / 欧盟及英国补充条款
10. 处理的法律依据（GDPR 第 6 条）
在适用欧盟/英国《通用数据保护条例》的情形下，我们基于以下法律依据处理个人数据：
- 履行合同——为提供您所注册的服务并向您收费。
- 合法利益——在与您的权利相平衡的前提下，保障服务安全、防止欺诈与滥用，并改进我们的产品。
- 法律义务——履行税务、会计及其他法定要求。
- 同意——用于可选的分析 Cookie 和营销通讯，您可随时撤回。
11. 您的 GDPR 权利
如果您身处欧盟、英国或其他赋予同等权利的司法管辖区，您可行使以下权利：
- 访问权——获得对您个人数据的确认及其副本。
- 更正权——更正不准确或不完整的数据。
- 删除权——请求删除您的个人数据（“被遗忘权”）。
- 数据可携权——以结构化、机器可读的格式接收您的数据。
- 限制处理权——在特定情形下请求我们限制处理。
- 反对权——反对基于合法利益的处理或直接营销。
您还有权向当地监管机构提出投诉。我们力争在 30 天内回应所有请求。
12. 控制者与处理者角色
对于与您自身账户相关的数据（注册、账单、支持），SaaSoftware LLC 作为数据控制者。当您使用我们的 API 代表您自己的用户处理终端用户数据时（例如验证码挑战过程中收集的 IP 地址或行为信号），SaaSoftware LLC 作为数据处理者，而您是控制者。该关系由数据处理协议规范——参见第 14 节。
13. 子处理者
我们委托经审核的子处理者来交付服务。当前的子处理者包括：
- Stripe, Inc.（美国）——支付与订阅处理。
- Google LLC（美国）——可选的 OAuth 登录，以及（若启用）汇总分析。
- 邮件发送服务商——事务性邮件（验证、回执、提醒）。
- 云基础设施与 CDN 服务商——托管、存储与内容分发。
可应请求提供最新的子处理者清单，数据处理协议中亦说明了我们如何就变更通知客户。
14. 跨境数据传输
个人数据可能在美国及其他国家处理。当数据从欧盟、英国或瑞士传输至美国时，我们依据欧盟标准合同条款（SCCs），并在适用情形下依据 EU-US Data Privacy Framework（及其英国扩展和瑞士-美国框架），并辅以必要的补充保障措施。
15. 数据处理协议
使用 CaptchaLa 处理其自身终端用户个人数据的商业客户，可与我们签订数据处理协议（DPA），其中纳入了 GDPR 第 28 条条款及 SCCs。DPA 可在 /dpa 获取，或通过 [email protected] 索取。 /zh-CN/dpa