你的范围数据，默认只有你看得见

01我们收集什么

四类数据，外加一份我们刻意不碰的清单。

• 账户信息。邮箱地址、显示名称、加盐单向哈希后的密码（我们不存明文），以及界面偏好——语言与主题。
• 你主动录入的业务数据。项目名称、范围基线、交付物清单、改稿轮次、报价与小时费率、每一条追加记录及其工时与金额，以及你生成的加价账单。
• 使用数据。访问的页面、使用的功能、错误日志、浏览器与设备类型，以及由 IP 推断的大致地区——精确到国家或城市，不到街道。
• Creem 回传的支付信息。订阅状态、方案类型、最近付款时间与卡号后四位。完整卡号与 CVV 从不经过我们的服务器。
• 我们不收集：通讯录、位置轨迹、剪贴板内容、你客户的身份证件，以及任何生物识别数据。

02信息如何使用

• 提供核心功能。对照基线计算蔓延、生成加价账单、渲染客户只读视图。
• 账户与安全。登录验证、异常访问提醒、防止免费额度被滥用。
• 改进产品。以聚合、去标识化的方式统计哪些流程被用、哪些被放弃。我们看的是漏斗形状，不是你的项目内容。
• 必要通知。收据、续费提醒、安全告警，以及条款或本政策的重大变更。这类邮件无法退订，因此我们只在确有必要时发送。
• 推广邮件。默认不发。若你主动订阅，每封都带一键退订，点击即时生效。
• 我们绝不做：出售个人数据、出租邮件列表，或把你的范围数据用于第三方模型训练。

03Cookie 与追踪

真正在工作的只有三个 Cookie。没有第四个，也没有跟着你满互联网跑的广告像素。

• 会话 Cookie。维持登录状态。没有它，你每翻一页都要重新登录。
• sg-lang。记住你把界面读成英文还是中文。
• sg-theme。记住亮色或暗色主题，避免首屏白闪。
• 分析统计。仅聚合口径的页面与功能计数。不做跨站追踪，不投放广告像素，不接入第三方广告网络。
• 你可以在浏览器中清除或阻止 Cookie。代价真实但不大：需要反复登录，语言与主题会退回默认值。

04第三方与共享边界

三家受托处理方，每一家的职责范围与边界都写死在这里。

• Creem — 支付。接收结账所需的邮箱与订单信息，作为开票主体独立处理卡片数据。共享范围严格限于完成交易与开具发票。
• Supabase — 数据库与鉴权托管。作为受托处理方存储你的账户与业务数据，按行级权限隔离，不得为其自身目的使用你的数据。
• 邮件送达服务。只接收收件地址与邮件正文，用于发送验证邮件、收据，以及你主动发出的加价账单。
• 客户只读视图。只有在你生成 token 链接后，持链接者才能看到该项目的基线与追加条目；不含你的账户、其他项目与联系方式。撤销后链接当场失效。
• 法律要求。仅在收到有效法律文件时，按最小必要范围提供，且在法律允许的情况下提前告知你。
• 永不共享给：广告商、数据经纪商，以及任何来买名单的人。

05数据留存与删除

没有任何一类数据是「先留着以防万一」。每一类都有明确的时限。

06你的权利

以下权利的行使一律免费，也绝不会因此降低你的服务质量。

• 访问与获取副本。在设置页一键导出全部项目、条目与账单（CSV / PDF）。
• 更正。账户信息与业务数据均可自行编辑；无法自行修改的部分，来信我们协助处理。
• 删除。可删除单个项目，也可删除整个账户。两者都不可恢复。
• 可携带。导出为通用 CSV 与 PDF，可直接用表格打开，或导入其他工具，无需转换。
• 撤回同意。随时撤销客户视图链接、退订推广邮件、关闭非必要的分析统计。
• 反对与限制处理。可要求我们暂停某一类处理。我们在 30 天内答复，同意或说明理由。
• 行使以上任一权利，请写信到 service@scopeguard.work，主题注明 Privacy。我们在 5 个工作日内答复。

07数据安全

• 传输层全程 HTTPS；数据库静态加密；密码以加盐单向哈希存储。
• 行级权限。默认只有账户所有者能读取自己的数据行——隔离由数据库强制执行，不只依赖应用层代码。
• 最小权限。团队成员访问生产数据需要申请，并留下审计记录。
• 泄露通知。若事件可能危及你的权利，我们在知悉后 72 小时内通知受影响用户，说明发生了什么以及我们的补救措施。
• 没有任何系统能保证绝对安全。请为账户使用独立且足够强的密码，并为你的邮箱开启两步验证——邮箱是账户找回的唯一通道。

08联系方式与政策更新

• 隐私问题与权利行使请求：service@scopeguard.work，主题注明 Privacy。5 个工作日内答复。
• 政策更新在本页公布。影响你权利的变更，至少提前 30 天邮件通知。
• ScopeGuard 不面向 18 岁以下用户。若我们发现误收未成年人的数据，会尽快删除。