隐私政策

1. 我们是谁

echomate 是由 Valerian Huber 开发的 Shopify 应用，以 Alpin-Code（alpin-code.de）品牌运营。echomate 为 Shopify 商家提供店铺健康监测、二维码生成、短链接追踪、link-in-bio 页面、集章卡、钱包卡券和数据分析。

2. 我们收集哪些数据

商家数据（Shopify 店铺所有者）

• 店铺域名 — 您的 myshopify.com 域名，用于识别您的店铺
• 店铺联系邮箱 — 您在 Shopify 设置中填写的公开联系地址。我们将其设为集章卡邮件的回复地址，使顾客的回复发送给您，而不是我们。如果您没有设置专门的提醒邮箱，我们也会将有关您账户的重要通知发送到此地址，例如奖励码失效时，最多每七天一次。
• 会话令牌 — 加密的 Shopify 会话数据，用于身份验证
• 设置 — 您的应用配置（扫描频率、二维码样式、集章卡机制等）
• 二维码、短链接与 bio 页面 — 您创建的二维码、短链接和 bio 页面内容
• 集章卡配置 — 您设定的奖励门槛、触发方式和折扣码名称

终端顾客数据 — 匿名追踪（二维码扫描与点击）

• IP 地址 — 出于隐私考虑，进行哈希处理（SHA-256）并每日截断。我们从不存储原始 IP 地址。
• 国家/地区 — 在我们自己的服务器上通过本地 IP 与国家/地区对照库判定。为此不会将 IP 地址提供给任何第三方。
• 设备类型、浏览器、操作系统 — 从 User-Agent 请求头中提取
• 来源页 — 已清理（去除查询参数与片段标识）
• 时间戳 — 扫描或点击发生的时间

终端顾客数据 — 会员计划（集章卡）

当商家启用集章卡功能时，为运营该商家的会员计划，将按顾客处理以下数据：

• 顾客电子邮箱 — 由顾客在商家店铺结账时提供，作为集章卡的唯一标识。我们以明文保存该邮箱，因为我们代表商家向顾客发送集章与奖励邮件（通过我们的邮件发送服务商 Resend），且商家会在其集章卡概览中看到该地址 — 例如用于重新发送奖励。该地址的 SHA-256 哈希值用于唯一匹配与查找。
• 订单元数据 — Shopify 订单 ID、订单编号（如 #1001）、金额、币种和时间戳。我们不保存订单商品明细、收货地址或支付信息。
• 每条集章记录的邮箱 — 每条集章记录都会记下该笔订单集章时所用的邮箱地址。这样，即使集章卡已随顾客账户邮箱的变更而迁移，我们仍能完整答复查阅与删除请求（GDPR 第 15 条 / 第 17 条）。该地址在 18 个月后匿名化。
• 集章数量 — 顾客为下一次奖励已累积的印章数。
• 奖励状态 — 奖励（折扣码）是否已发放、是否已兑换、何时到期。
• 退款事件 — 若已获印章的订单后续被取消或退款，我们出于透明起见记录该事件，并（视商家配置）撤回印章。

终端顾客数据 — 钱包卡券（Apple Wallet / Google Wallet）

Google Wallet 已投入使用；Apple Wallet 目前未启用。在 Apple Wallet 启用之前，不会签发任何 Apple Wallet 卡券，也不会向 Apple 传输任何数据。以下说明中涉及 Apple 的部分自 Apple Wallet 上线之日起适用；我们提前公布，是为了让相关处理在开始之前即有据可查，而非事后补记。

如果顾客选择将 echomate 集章卡添加到 Apple Wallet 或 Google Wallet：

• 卡券个性化数据 — 商家的店铺名称与品牌色，以及顾客当前的集章数；这些数据嵌入在卡券本身之中。卡券的序列号是由集章卡派生的卡号，而非顾客邮箱；顾客邮箱不会嵌入卡券。
• 设备注册令牌（仅限 Apple） — 顾客将卡券加入 Apple Wallet 时，Apple 会通过 PassKit 网络服务向我们发送设备令牌，以便集章数变化时我们能通知该设备。我们不会获得任何其他 Apple 账户信息。
• 卡券标识与鉴权令牌 — 保存在我们服务器的 wallet_pass_registration 表中，用于验证来自 Apple Wallet（开通后）的更新请求，并向 Google Wallet 发送集章更新。
• 向 Apple / Google 传输 — 卡券下载或更新时，个性化数据会传输至 Apple Inc.（美国）和 Google LLC（美国）。此类传输依据 EU-US Data Privacy Framework 进行。顾客可随时从钱包中移除卡券，届时设备端数据即被删除。

3. 我们不收集哪些数据

• 我们在跳转页面上不使用 Cookie
• 在明确的会员 / 钱包卡券功能之外，我们不收集终端顾客的姓名、邮箱或个人标识（这些功能由商家启用，并由顾客下单或添加卡券时自行触发）
• 我们不向第三方出售数据
• 我们不将数据用于广告
• 我们不存储原始 IP 地址（仅存每日轮换的哈希值）
• 我们不读取订单明细、收货地址或银行卡数据 — 仅读取订单总额、币种和 ID

4. 我们如何使用数据

• 数据分析 — 汇总的扫描/点击数量、设备分布、国家/地区分布
• A/B 测试 — 随机选择版本（不做用户画像）
• 频率限制 — 防止滥用（基于 IP，仅存于内存）
• 店铺健康 — 代表商家调用 Google PageSpeed API
• 会员计划 — 记录每位顾客的集章数，达到门槛时发放折扣码，并代表商家向顾客发送奖励和状态邮件
• 钱包卡券 — 顾客请求时生成 Apple Wallet（.pkpass）和 Google Wallet 卡券对象，并在集章数变化时向其设备推送更新

5. 处理的法律依据（GDPR 第 6 条）

• 商家数据 — GDPR 第 6 条第 1 款 (b)（履行合同：商家安装本应用以获得服务）
• 匿名追踪数据（二维码 / 链接） — GDPR 第 6 条第 1 款 (f)（商家衡量自身营销素材成效的正当利益，并通过第 2 节所述的匿名化措施与顾客隐私相权衡）
• 会员计划数据 — GDPR 第 6 条第 1 款 (b)（合同前 / 合同措施：顾客通过在商家店铺下达符合条件的订单参与，适用商家另行公布的会员条款）
• 钱包卡券数据 — GDPR 第 6 条第 1 款 (b)（顾客点击“添加到 Apple/Google Wallet”即自行触发卡券创建，表明希望通过钱包获得会员权益）

6. 数据存储与安全

• 数据存储于 Supabase（PostgreSQL，欧盟区域斯德哥尔摩），并启用行级安全（RLS）
• 所有连接均使用 HTTPS/TLS
• API 密钥以 SHA-256 哈希形式存储（绝不明文保存）
• Shopify 会话令牌经过加密
• 钱包卡券的加密证书存放于环境变量中，绝不写入日志
• 我们的服务器运行在专用 VPS 上，采用 Docker 容器化，托管于欧盟境内

7. 保存期限

• 分析数据：Free 套餐 — 14 天；Growth 套餐 — 180 天；Pro / Business 套餐 — 400 天。每日定时任务清除过期记录。卸载应用时，无论保留期是否届满，所有数据都会被删除。
• 会员 / 集章卡数据：当顾客的集章卡连续 24 个月无活动（无新订单、无奖励兑换），且商家一方不存在更高位阶的账簿保存义务时予以删除。审计日志（stamp_event）在 18 个月后匿名化。
• 钱包卡券注册记录：与集章卡一同删除 — 在 24 个月无活动后，或更早在收到删除请求或店铺卸载 echomate 时删除。卡券从 Google Wallet 中移除时我们不会收到通知。对于 Apple Wallet（开通后），移除会通知我们，注册记录会立即删除。
• 卸载应用：Shopify 发送 shop/redact 删除请求后（卸载后 48 小时），商家数据即被永久删除；此外，每日任务会删除所有卸载超过 7 天的店铺数据。
• 被遗忘权：通过 customers/redact webhook（Shopify）或直接联系提出请求后，我们在 30 天内删除相关顾客的数据，法定保存义务（如商家一方适用的税务/商法规定）另有要求的除外。
• 备份：已删除的数据和文件最多会在我们的加密备份中保留 35 天，之后自动清除。如果技术故障导致删除延迟，我们会在故障排除后立即完成删除。

8. 第三方服务（受托处理方）

• Shopify — 身份验证、计费、订单 webhook、顾客数据请求
• Supabase — 数据库托管（欧盟区域）
• Hostinger（VPS） — 应用托管（欧盟区域，法兰克福）
• Alpin-Code Hub（我们自有，内部） — 所有对外发出的事务性邮件（奖励、状态、性能告警）均经由中央代理发送，以便轮换密钥并保持统一品牌形象。该 Hub 自建于欧盟境内，实际投递借助 Resend（欧盟区域）。仅传输收件人邮箱、主题和正文。
• Apple Inc. （未启用 — Apple Wallet 尚未开通） — PassKit 网络服务（美国，EU-US Data Privacy Framework）。Apple Wallet 上线后将接收 Apple Wallet 顾客的更新通知。目前不传输任何数据。
• Google LLC — Google Wallet API（美国，EU-US Data Privacy Framework）。接收把集章卡加入 Google Wallet 的顾客的卡券数据及其更新。
• Google PageSpeed Insights API — 店铺健康扫描（仅由商家发起）
• Google Analytics 4 — 可选，由商家为其自有 GA4 媒体资源配置。转发匿名化的汇总事件。
• Meta（Facebook 像素）/ Google Ads / TikTok 像素 — 可选的再营销功能，由商家配置，默认关闭。商家一旦填入像素 ID，相应服务商即从跳转页面接收扫描/点击事件。

9. GDPR 合规

我们遵守《通用数据保护条例》（GDPR）：

• 我们依据第 5 节所列法律依据处理数据
• 对于商家的会员 / 钱包卡券数据，我们作为受托处理方（商家是其自身顾客数据的控制者）。
• 我们支持 Shopify 强制要求的 GDPR webhook：
  • customers/data_request — 我们在 30 天内答复，提供我们持有的该顾客全部数据（集章数、奖励状态、匿名化追踪数据）
  • customers/redact — 我们在 30 天内删除该顾客的集章卡、钱包卡券注册记录，以及所有可关联到其本人的追踪记录
  • shop/redact — 我们在收到 webhook 后 48 小时内删除全部店铺数据（Shopify 规定的 48 小时时限）
• 终端顾客请向其所使用店铺的商家申请删除数据。商家为控制者，并会将申请转交给我们。
• 确实存在两项向美国的传输。(1) 邮件发送：我们的邮件投递服务 Resend（Plus Five Five, Inc.，美国）负责发送事务性邮件。投递本身在欧盟境内的服务器上运行，但服务商注册地在美国 — 法律上以可能的访问权为准，而非数据存放地。该传输依据 EU-US Data Privacy Framework（Resend 已通过认证），并以标准合同条款（模块 2）作为补充保障。仅传输收件人地址、主题和正文。
• (2) Google Wallet（第 8 节）：当顾客将集章卡添加到 Google Wallet 时，我们会将卡券数据（卡片标识、集章数、店铺名称，以及发放奖励后的折扣码；不含顾客姓名）传输给 Google，并在集章数每次变化时更新。来自欧洲经济区的数据接收方为 Google Ireland Limited（都柏林）。Google LLC 在美国的进一步处理依据 EU-US Data Privacy Framework（Google LLC 已获认证），并以 Google Controller-Controller Data Protection Terms 中的标准合同条款作为补充。Google 作为独立的数据控制者处理这些数据。仅当顾客自行添加卡券时才会发生此传输。Apple Wallet 尚未开通；不会向 Apple 传输任何数据。

10. 您的权利

作为商家或终端顾客，您有权：

• 访问我们所持有的关于您的数据（GDPR 第 15 条）
• 要求更正不准确的数据（第 16 条）
• 要求删除您的数据（第 17 条 — 以第 7 节的保存义务为限）
• 反对数据处理（第 21 条）
• 要求限制处理（第 18 条）
• 以机器可读格式导出您的数据（第 20 条 — 商家可通过 CSV 导出和 REST API；顾客可通过“customers/data_request”）
• 在以同意为法律依据的情形下，随时撤回同意
• 向监管机构投诉（您惯常居住地的数据保护机构）

11. 会员计划 — 顾客须知

如果您在使用 echomate 的商家店铺中集过印章：

• 商家是您数据的控制者 — 诸如“我为什么少了一个印章？”或“我的奖励什么时候到期？”之类的问题，请直接询问商家。
• echomate 是受托处理方 — 我们依据数据处理协议，代表商家运行技术系统。
• 您可随时向发放集章卡的商家要求删除您的集章卡。
• 若您将集章卡添加至 Google Wallet，可随时在其中移除。我们不会得知此移除；我们的关联会与集章卡一同删除。对于 Apple Wallet（开通后），删除卡券也会移除我们这边的设备注册记录。

12. AI 连接（Claude、ChatGPT）

如果你将 echomate 连接到 AI 助手（例如 Anthropic 的 Claude 或 OpenAI 的 ChatGPT），我们会处理以下与你作为商家相关的数据：

• 授权记录：店铺、助手、你授予的权限、你授予、限制或撤销这些权限的时间，以及批准该连接的 Shopify 用户。
• 调用日志：助手每次请求的端点、结果、时间以及请求所属的连接。日志既不包含请求内容，也不包含 IP 地址。

目的：证明你的授权、发现和澄清滥用与争议，以及在 echomate 设置中显示助手执行过的操作。法律依据：GDPR 第 6 条第 1 款 b 项（提供你所请求的连接）和 GDPR 第 6 条第 1 款 f 项（在安全和举证方面的正当利益）。

保存期限：调用日志条目在生成 90 天后删除。授权记录自连接结束当年年底起保存 3 年，之后删除。你可以随时在 echomate 设置（AI 连接）或在助手中结束连接。

AI 提供方：在连接有效期间，助手会按你的指示接收其向 echomate 请求的店铺数据（例如二维码、链接和统计数据）。提供方（Anthropic PBC 或 OpenAI, L.L.C.，均位于美国）依据其自身条款处理这些数据并自行负责；它不是 echomate 的次级处理者。

13. 联系方式

如对隐私有疑问、需要提出数据请求或其他事宜：
邮箱： support@echomate.shop
开发者 / 运营者： Valerian Huber
地址： Dahlienweg 11, 83109 Großkarolinenfeld, 德国
品牌： Alpin-Code（alpin-code.de）