版本 v1.6 · 生效日期 2026-10-22

隐私政策 — v1.6

版本：v1.6 生效日期：2026-10-22 实体：AlphaDelve Tech Limited

1. 引言

BastionLog 尊重你的隐私。本隐私政策说明我们在你使用 BastionLog 服务（"本服务"）时如何收集、使用、存储和保护你的个人数据。

BastionLog 为国际贸易提供数字足迹事实日志工具。本服务的性质意味着我们处理两类数据：(a) 你的账户信息，及 (b) 你提交的公司查询（含你上传的单据）及由此生成的报告。

本政策旨在符合适用的数据保护法律，包括（在相关情况下）香港《个人资料（私隐）条例》（第 486 章）、新加坡《2012 年个人数据保护法》（PDPA）、欧盟《通用数据保护条例》（GDPR），以及英国《通用数据保护条例》（UK GDPR）与《2018 年数据保护法》的原则。

本服务不面向 18 岁以下人士。

本政策中英文版本如有出入，以英文版为准，但适用法律另有强制规定者除外。

2. 我们收集的信息

2.1 账户信息

创建与使用账户时，我们收集：

邮箱地址；
账户名称 / 组织名称（可选）；
认证凭据（经哈希加盐处理；我们不存储明文密码）；
同意与声明记录：你接受服务条款的版本与时间、商业用途声明、结账时的两项确认（见服务条款第 12.2 条）；
账户状态：例如账户是否被停用、停用时间与原因（由我们的支持人员在处置违规或应你请求时填写）；
API 密钥元数据：密钥的创建时间、最近一次使用时间与是否已吊销（不存储明文密钥）。

2.2 查询数据

当你使用本服务查询公司时，我们收集并存储：

你查询的公司名称和域名；
你选择提供的其他查询信息，例如登记号或税号、对方的邮箱地址、银行识别码（BIC / IBAN）；
你指定的国家代码或司法管辖区；
查询的时间戳；
针对你的查询生成的关注信号报告（事实、来源 URL、ISO 时间戳）。

通过 API 生成的报告同样进入你的历史。 你通过 API 生成的单据报告，以及你在 API 请求中附带请求标识（Idempotency-Key）的公司日志或报告，会作为你本人的已存报告保存，并在网页「历史」中可见。这样做是为了在网络中断或重复提交时，用同一请求标识即可取回已付费的结果，而无需再次扣费或再次访问来源。这些记录与网页查询生成的报告适用相同的保留与删除规则（第 5.3 条）。

分享链接。 你可以为自己的报告生成分享链接（可设到期时间，可随时撤销）。持有链接的任何人都能查看该报告；是否分享、分享给谁由你决定。我们只保存链接令牌的带密钥哈希，不保存链接本身：完整链接只在生成后的短时间内向你显示，之后我们也无法再次显示，你可以撤销它或重新生成一条。

2.2a 预检数据

在你确认并支付一次完整查询之前，本服务可提供预检（见服务条款第 11.4 条）。

发送到哪里：预检会把你输入的公司名称与辖区发往该辖区可用的公开来源 ——官方登记接口；或在没有此类接口时，经由第三方公开搜索引擎执行一次检索。在搜索引擎情形下，你输入的公司名称包含在发往该引擎的查询中。所有该等请求均由我们的网关发出，而非从你的设备发出，且不携带关于你或你账户的任何信息。这与完整查询发送的信息类别相同，只是范围更小。

我们不为预检创建查询历史记录。 与第 2.2 节所述的完整查询不同，预检不会在你的查询历史中留下记录 —— 我们不存储你预检过哪家公司。

为执行预检额度，我们只记录用量计数（某个账户在某个自然月内用掉了几次）， 不记录你检索了什么内容。该计数不含公司名称、域名或任何查询内容。

免费功能（含预检）的范围与次数限制见服务条款第 11.4 条及定价页。

2.2b 公开查询（无需账户）

访客可在我们的首页输入公司名称，查看我们已官方直连辖区的官方登记接口对该名称是否返回匹配。就此功能：

你输入的名称会被发送至你所选辖区的官方登记接口；
我们不创建账户记录，亦不存储你检索了什么；
相关请求受第 2.5 条所述的限流日志（截断 IP、请求路径、计数）约束，并受一个仅用于限流的短时计数器约束（计数键为 IP 地址的带密钥哈希，不保存原始 IP）。

结果仅表示该接口在该时刻是否返回匹配，不构成关于公司存在与否的陈述。公开记录载有自然人时，适用第 9 条。

2.2c 公开名单名称比对数据

本服务提供公开名单名称比对（见服务条款第 11.1 条）：你提交的公司名称 会在我们的新加坡网关上与公开可得的名单进行比对。

输入仅限公司名称。本功能不接受自然人姓名作为输入。
名单数据由 OpenSanctions 汇编。比对通过 OpenSanctions（位于德国）提供的在线接口进行：我们只发送你提交的公司名称（不含你的账户信息），由其返回匹配的名单条目。同一名称在短时间内重复查询时，使用我们服务器上的缓存结果，不再发送。
输出仅为事实陈述——该名称在该时刻是否与公开名单中的条目匹配，附来源与时间戳。不产生任何评分、评级或建议（服务条款第 5 条）。
公开名单名称比对的查询按第 2.2 条计入你的查询历史；名单本身为公开材料，不含关于你的数据。

2.2d 单据上传与 AI 字段抽取

已登录用户可上传贸易单据（例如发票、提单、合同），由本服务识别其中的经营主体，供你勾选后再生成报告。就此功能：

上传文件仅在处理请求期间临时保存（较大的文件会暂存为服务器临时文件），处理完即删除；我们不保存上传的原件。解析出的文字（每份最多约 60,000 字符）会发送给我们的 AI 服务提供方 Google（Gemini API），用于识别单据类型、关键字段和其中出现的公司与人员名称。
AI 抽取的结果标注为「AI 提取·待核查」，仅作为你勾选的候选，不构成事实来源；我们只对你勾选的经营主体发起核查。
你勾选后生成的报告（含抽取出的关键字段）作为你的已存报告保存，适用第 5.3 条。
单据中可能载有第三方自然人的信息（例如联系人、签字人）。请只上传你有权提供的单据。

2.2e 对手方邮箱的 MX 记录事实

若你在查询中提供对手方的邮箱地址，本服务会查询该邮箱域名的公开 DNS 邮件交换（MX）记录，并在报告中如实陈述「有 MX / 无 MX / 来源不可用」。我们不会连接对方邮件服务器，也不会向该地址发信。

常见个人邮箱服务商（例如免费邮箱）的地址不会被送往信誉类采集器。
数据泄露记录查询：其他（非个人邮箱服务商的）地址，网关会将完整邮箱地址发送给 Have I Been Pwned（haveibeenpwned.com），查询该地址是否出现在已公开的数据泄露事件中；报告只陈述返回的泄露事件元数据（事件名称、日期、涉及的数据类别），不含泄露内容本身。
为减少重复查询，网关会缓存查询结果；缓存键中的邮箱地址只以带密钥的哈希形式保存，不保存明文。缓存时长按第 5.1 条第一档（不超过 15 天）。

2.2f 相似域名事实

为帮助你核对「收款账户变更」类邮件，本服务可从对手方的一个官方域名，按固定规则生成至多 60 个字形相近的写法，并查询这些写法是否已在 DNS 中存在、注册日期与有无 MX 记录。

我们查询的是其他域名的公开 DNS 与 RDAP 注册数据：经公共 DNS 解析服务（DNS-over-HTTPS，Cloudflare 与 Google 的公共解析器）以及各注册局的 RDAP 服务。我们不访问这些域名的网站内容，不做端口或服务探测。
报告只陈述「该写法在 DNS 中存在 / 注册日期 / 有无 MX / 与官方域名的字符差异」，不判断其归属或用途。
结果缓存 1 天。
为防滥用，未登录访客每个 IP（IPv6 按 /48 网络）每 24 小时最多 5 次、登录用户每个账户每 24 小时最多 50 次；访客的计数键只是 IP 地址的带密钥哈希，不保存原始 IP；计数在 24 小时后自动过期。

2.2g 税号 / 商业号码官方查询

若你在查询中填写的登记号本身是一个税号或商业号码（例如欧盟增值税号、澳大利亚 ABN），并通过本地的格式与校验位检查，本服务会把该号码发往签发该号码的官方查询接口，按号码精确查询一次（不按名称检索）。已登录与未登录用户也可在免费工具「税号查询」中单独查询一个号码。

数据源：目前已上线欧盟 VIES（欧盟委员会的增值税号查询服务）、澳大利亚 ABN Lookup（澳大利亚商业登记处）与新西兰 NZBN（新西兰商业创新与就业部 MBIE 的新西兰商业号码登记）。英国 HMRC（「Check a UK VAT number」）的接入已开发完成，待取得官方接口凭据后启用（计划中）；未启用前，这类号码不会被发出。
发送哪些数据：只发送该号码。请求由我们的查询网关发出（第 5.1 条），不含关于你或你账户的信息。
我们展示和保存什么：来源是否有该号码的记录、来源登记的名称与商号、国家、查询时间与来源链接。来源返回的名称与你填写的名称如实并列，文字不同时只说明「不同」，不作判断。
地址不收录：VIES 与 HMRC 返回的地址一律不读取、不显示、不保存（来源无法区分个体经营者的住址与经营地址）。ABN Lookup 只公开州与邮编，我们只展示这两项。NZBN 只对公司类实体展示登记地址；个体经营者、合伙、信托及其他类型一律不展示。
个体经营者：个体经营者的登记名称可能就是其本人姓名；这部分处理适用第 9 条。
缓存：网关对有结果的查询最多缓存 1 天，缓存内容经加密保存，号码只以带密钥的哈希作为索引；来源不可用时不缓存。
保存：报告中的查询结果随报告保存（第 5.3 条，加密保存，见第 6 条）。免费工具不保存你查询的号码或结果，只记录配额计数（未登录访客每个网络每 24 小时 10 次、登录用户每个账户每 24 小时 100 次；访客计数键为 IP 地址的带密钥哈希，24 小时后过期）。
网关的请求日志中，被查询的号码会被遮蔽，不以明文记录。

2.3 使用数据

我们可能收集关于你使用本服务的有限技术数据：

API 请求时间戳和响应状态码；
用于服务改进的聚合使用模式。

我们不使用追踪 Cookie、广告标识符或用于营销目的对个人用户进行画像的第三方分析工具。

我们只使用提供本服务所严格必要的 Cookie：

登录会话：在你登录后保持登录状态；
表单安全令牌：防止他人冒用你的登录状态提交表单（跨站请求伪造）；
语言偏好：记住你选择的界面语言；
完成某一步操作所需的短时 Cookie：例如重设密码、员工两步验证、在你注册后接续你注册前填写的查询、一次性显示你刚生成的分享链接；这些 Cookie 在相应步骤完成后即被删除，否则在该步骤的有效期（例如重设密码链接的有效期）届满后自动失效；
以及人机验证组件（第 2.6 条）完成验证所需的令牌。

这些 Cookie 不用于追踪或广告。

2.4 注册防滥用数据

（a）注册防护 —— 已启用

为防止批量注册领取免费额度，注册时我们执行两项检查：

一次性邮箱拦截：若邮箱域名在我们服务器本地保存的一次性邮箱域名清单中，注册会被拒绝并显示中性提示。检查在本地完成，不调用任何外部服务。
24 小时注册计数：按注册请求来源网络（IPv4 地址；IPv6 按 /48 网络前缀）统计 24 小时滚动窗口内的成功注册次数，超出上限时暂不接受新注册。计数只以带密钥的 HMAC-SHA256 哈希连同时间戳保存在内存数据库中，不保存原始 IP 地址，约 24 小时后自动过期。无法确定来源的请求（例如来自内网地址）不计数。

（b）按账户保存的设备 / IP 哈希 —— 仍未启用

我们目前不在你的账户记录中保存设备特征或注册 IP 的任何形式（包括其带密钥哈希）。我们保留将来启用此项控制的权利；启用之前我们会先更新本政策。 如届时启用，其运作方式将是：仅从浏览器随请求自行发送的 User-Agent 与 Accept-Language 请求头派生信号，并处理注册时使用的 IP 地址；注册页面不会为此使用 JavaScript 读取屏幕、时区、平台或其他终端设备信息；任何此类值均只会以带密钥的 HMAC-SHA256 哈希形式存储，且只影响是否发放免费额度，不阻止注册或付费。

法律依据：正当利益（GDPR 第 6 条第 1 款第 (f) 项）——防止滥用式批量注册。我们只处理伪匿名化的哈希，不用于画像。
保留期限：（a）的计数约 24 小时后自动过期；（b）如启用，随账户存续并随账户一并删除或不可逆匿名化。
我们不做的事：不用于广告、不用于对你画像、不与第三方共享。

2.5 限流、登录保护与访问日志

限流告警日志：当某请求触发速率限制时，服务器日志记录该请求的截断后 IP 地址（IPv4 缩减为 /24，即只保留前 3 段；IPv6 缩减为 /48）、请求路径与计数。限流计数器按单个 IP 地址计数（避免把同一网络内的不同用户合并计数），但计数键只是该 IP 的带密钥哈希，不保存原始 IP，短时后自动过期。
应用请求日志：我们的应用记录请求时不记录浏览器 User-Agent、来源页（Referer）与转发地址类请求头；应用的访问日志中，IP 地址被截断为 IPv4 前 3 段或 IPv6 /48 网段。
Web 服务器访问日志：位于应用之前的 Web 服务器为每个请求记录访问日志，含完整 IP 地址、时间、请求行（其中的令牌类查询参数已被遮蔽）、状态码、来源页（同样遮蔽令牌参数）与浏览器 User-Agent，用于安全排障。
登录节流：同一邮箱在 15 分钟内多次登录失败后，后续尝试会被逐步延迟。计数以该邮箱的带密钥哈希为键保存在内存数据库中，15 分钟无新失败即过期；登录成功即清零。该机制对存在与不存在的账户一视同仁，不会透露某邮箱是否已注册。
功能配额计数：部分免费工具与首页免费预览按访客网络或账户设有每 24 小时次数上限（见第 2.2f、2.2g 条），访客计数键为 IP 地址的带密钥哈希，计数 24 小时后过期。
原因：检测并阻断自动化滥用与攻击 —— 正当利益（GDPR 第 6 条第 1 款第 (f) 项），出于安全目的。
保留期限：应用日志与 Web 服务器访问日志在主机上保留 30 天后删除；任何情况下不超过 90 天。
我们不做什么：这些日志与计数不用于广告、不用于对你画像、不与第三方共享。

2.6 人机验证（Cloudflare Turnstile）

在登录页、注册页与首页免费预览处，我们使用 Cloudflare Turnstile 区分真人与自动程序。页面会从 Cloudflare 加载验证组件，组件在你的浏览器中运行，并由 Cloudflare 收集判断所需的信号（例如你的 IP 地址与浏览器特征）。Cloudflare 返回一个一次性令牌；我们的服务器只把该令牌发往 Cloudflare 验证结果，不另行发送你的 IP 地址或账户信息。Cloudflare 对其收集信号的处理适用其自身的隐私条款（Cloudflare 隐私政策：https://www.cloudflare.com/privacypolicy/）。

原因：防止撞库与批量注册 —— 正当利益（GDPR 第 6 条第 1 款第 (f) 项）。
验证失败时，本次登录或注册不被接受，你可以重试。

2.7 员工账户：两步验证与操作留痕

本节适用于我们的员工（支持与管理人员）账户，并说明员工对你的账户执行操作时会留下哪些记录。

员工两步验证：员工登录须通过基于时间的一次性验证码（TOTP）。我们保存经加密的验证器密钥、最近一次使用的时间步、锁定状态，以及恢复码的 SHA-256 哈希（不保存恢复码明文）；登录过程中的待验证记录（随机标识、尝试次数与失败次数）在验证完成或失效后不再使用。
操作留痕：员工执行的敏感操作 —— 例如授予员工权限、绑定验证器、使用恢复码、验证器锁定、为账户增减可用额度、处理退款与工单、停用或恢复账户、强制登出、吊销 API 密钥、执行删除请求、重跑失败任务 —— 会写入审计记录：操作类型、时间、执行操作的员工的伪匿名标识，以及必要的操作细节（例如停用原因、涉及的额度）。审计记录不写入邮箱地址。
原因：保障账户与计费操作可追溯、防止内部滥用 —— 正当利益（GDPR 第 6 条第 1 款第 (f) 项）及法律义务。
保留：审计记录作为交易与操作证据保留 7 年（香港公司与税务法例对业务记录的保存要求），到期由定时任务删除；你的账户被删除时，审计记录中与你相关的标识会被匿名化（第 5.3 条）。

3. 我们如何使用你的信息

我们将所收集的信息仅用于以下目的：

(a) 服务交付：处理你的公司查询（含你上传的单据）并生成关注信号报告。

(b) 历史回顾：使你能够回顾以往的查询和报告（本服务的核心功能 — 见服务条款第 9 条）。

(d) 账户管理：管理你的账户、发送服务性邮件（第 10 条）、并响应你的支持请求。

(e) 安全与防滥用：执行第 2.4 ～ 2.7 条所述的控制。

(f) 法律合规：遵守适用的法律义务，响应公共当局的合法请求，及执行我们的服务条款。

我们不向第三方出售、出租或分享你的个人数据用于其自身的营销目的。我们不使用你的查询数据建立关于你的画像或对你作出自动化决策。

4. 处理的法律依据

根据你的司法管辖区和数据性质，我们处理数据的法律依据包括：

合同履行：为提供你所请求的服务所必需的处理（例如为你的查询生成报告、保存你的历史、发送报告完成通知）。
合法利益：为服务改进、反滥用和安全所必需的处理，且该等利益不凌驾于你的数据保护权利之上。
同意：在适用法律要求的情况下，我们将在为特定目的处理你的数据前获取你的明确同意。
法律义务：为遵守适用法律所必需的处理。

5. 数据存储与保留

5.1 处理与存储地点

（a）新加坡 —— 应用、数据库与查询网关

你的账户资料、查询历史、报告与计费账本存储在位于新加坡的服务器上（由 OVH 提供的专用服务器）。使用本服务即表示你确认这些数据将被传输至新加坡并存储于新加坡。

你发起的查询（公司名称与辖区，以及第 2.2e、2.2f 条所述的邮箱域名或域名写法、第 2.2g 条所述的税号）经我们同样位于新加坡的查询网关发往各来源。公开名单名称比对由该网关发往 OpenSanctions 的在线接口（第 2.2c 条）。为减少对外部来源的重复请求，网关按来源缓存响应。可能含个人资料的响应——例如载有高级人员姓名的登记记录、域名注册记录、公开名单匹配结果、网页或搜索结果文本——缓存不超过 15 天；其中域名注册记录（WHOIS / RDAP）中的私人联络字段在入缓存前即被删除。按构造不可能含个人资料的纯技术记录——DNS 记录、证书透明日志条目、存档快照时间戳、IP 基础设施数据——可缓存最长 30 天。网关不持久保存你的报告或账户资料。

（b）欧盟（法国）—— 加密异地备份

为灾难恢复，我们把数据库备份（每日基础备份与连续的事务日志、每晚逻辑导出）以及恢复服务所需的配置密钥副本，存放在 OVH 位于法国（Gravelines）的对象存储中。所有备份在离开我们新加坡服务器之前即已加密（客户端加密），存储方只持有密文，无法取得解密密钥；密钥另有一份由我们离线保管。数据库备份保留 14 天，之后自动被更新的备份取代并删除。

（d）适用法律

BastionLog 由香港法律实体 AlphaDelve Tech Limited 运营。香港《个人资料（私隐）条例》（第 486 章）依据资料使用者的控制关系适用，与服务器位置无关。在相关情况下，新加坡《2012 年个人数据保护法》与欧盟 GDPR 亦可能适用（见第 11 条）。

5.2 数据区域标记

我们的架构中有一个 data_region 标记字段，用于标注记录所适用的数据保护法域（当前统一为香港，即运营主体所在地）。

该标记不表示存储位置 —— 存储位置以第 5.1 条为准。该字段为日后扩展到其他部署区域时的数据区域路由预留，当前不据以改变任何处理行为。

5.3 保留期限

账户数据：在你的账户保持活跃期间予以保留。
查询历史及报告（含第 2.2 条所述经 API 生成的报告）：在你的账户保持活跃期间予以保留，以启用历史回顾功能。跟踪公司快照保留 730 天，除非某条活跃的跟踪订阅需要该快照作为比对基准。
其他记录的保留期限（由每日运行的清理任务执行）：
- 报告生成任务记录（含你提交的查询参数）：任务完成或失败后 90 天删除；报告本身按上一项保留；
- 用量记录（调用了哪个接口、结果状态，不含 IP 地址或邮箱）：400 天；
- 邮箱验证记录：使用或过期后 30 天删除；
- 审计与操作记录：7 年（第 2.7 条）；你接受条款等同意与声明记录在账户存续期间保留，账户删除时匿名化；
- 账户导出的下载文件：生成后 24 小时过期；
- 网关缓存、日志与计数器：见第 2.2e ～ 2.2g、2.4、2.5 与 5.1 条。
删除账户：已登录用户可在账户页自行删除账户（需输入当前密码并确认邮箱）；你也可以联系我们（见第 13 条）提出删除请求。我们将在适用法律要求的期限内（GDPR 下为一个月；香港 PDPO 第 19(1) 条下为 40 天 —— 以适用者为准）处理该等请求，但须遵守要求我们保留特定记录的法定保留义务 —— 例如计费账本、你的撤回相关确认证据，以及法律要求我们保留的任何记录。删除时，计费账本与审计记录中指向你的标识被匿名化（记录本身保留，以便核对交易），支持工单被删除；查询历史中的查询元数据记录（所查公司的名称、登记号或域名之一、国家与少量事实）与你的账户解除关联：其中所记录事实里的公司与人员名称被移除；你查询时输入的那一项（公司名称、登记号或域名之一）与国家以加密形式保留，仅用于聚合服务统计与防滥用核对，且不再能关联到你。删除操作本身会留下一条记录，其中只含你邮箱的带密钥哈希（不含邮箱本身），仅用于在我们从备份恢复数据后重新执行你的删除（见下文「备份中的副本」）。
长期不活跃账户：若你的账户连续 24 个月未登录或使用，我们将在删除日前 30 天及 7 天各向你的账户邮箱发送一次通知；在此之前登录即可保留账户。届时仍未登录的，我们按上述「删除账户」的方式删除该账户（服务条款第 17 条）。涉及法律程序或监管要求而须保全的账户除外。
备份中的副本：已删除的数据可能仍存在于第 5.1(b) 条所述的加密备份中，直至该备份在 14 天内被轮换删除。我们不会为其他目的从备份中恢复已删除的数据；若因灾难恢复而必须从备份还原，我们会在还原后重新执行已受理的删除。

6. 数据安全

我们采取适当的技术和组织措施，保护你的个人数据免遭未经授权的访问、更改、披露或销毁。这些措施包括：

传输中加密：网站与接口只通过 HTTPS 提供（TLS 1.2 与 TLS 1.3，仅启用带认证加密的密码套件）；我们调用官方数据接口时同样使用 HTTPS。

存储时加密：

以下数据在数据库中目前采用应用层 AES-256-GCM 加密保存：你的账户邮箱、已存报告（包括其中的税号查询结果）、你提交的查询（公司名称、域名、登记号、对方邮箱、银行识别码等）、查询历史、跟踪订阅、支持工单内容。加密密钥保存在数据库之外，并与数据库分开备份。
按邮箱查找账户时目前采用带密钥的 HMAC 索引，邮箱本身不以可读形式保存。
密码目前只保存 bcrypt 哈希；API 密钥、分享链接、邮箱验证令牌只保存带密钥的哈希；员工两步验证的密钥加密保存。
税号查询的网关缓存加密保存，最多保存 1 天（第 2.2g 条）。英国 HMRC 接口启用后，其访问令牌只保存在服务器内存中，不写入磁盘、数据库或日志。
数据库备份在离开服务器之前即加密（第 5.1(b) 条）。
公开来源数据的快照与缓存依靠访问控制保护，应用层加密正在分阶段推广；服务器层面的加密措施在计划中。

日志最小化：应用请求日志不记录浏览器 User-Agent、来源页与转发地址类请求头；应用访问日志中的 IP 地址被截断（第 2.5 条）；网关日志不以明文记录被查询的税号。

员工访问控制：

基于角色的访问控制（支持、财务、超级管理员各自只获得所需权限），默认无权限；
员工账户强制两步验证，未绑定不得进入管理后台；
员工在后台的写操作全部留审计记录（第 2.7 条），权限清单定期复核；
服务器与数据库的访问仅限获授权的少数人员。

其他：对我们的基础设施和依赖项进行定期安全审查（含每周依赖漏洞扫描）。

然而，没有任何电子存储或互联网传输方法是 100% 安全的。我们无法保证你数据的绝对安全。

6.1 个人数据外泄通报

我们认真对待你个人数据的安全。若发生个人数据外泄，我们将迅速采取行动以遏制外泄并评估对你权利与自由造成的任何风险，并将按下述方式通知相关监管机构及（在需要时）通知你。

遏制与评估：我们将立即采取措施遏制外泄，调查其成因与范围，并将详情记录于我们的内部外泄登记册。
通知监管机构（GDPR / 英国 GDPR 第 33 条）：在 GDPR 或英国 GDPR 适用的情况下（例如涉及英国个人数据时通知英国信息专员办公室 ICO），我们将无不当迟延，且如可行，不迟于知悉后 72 小时通知主管监管机构，除非该外泄不太可能对自然人的权利与自由造成风险。
通知数据提供方：若事件涉及我们从官方数据接口取得的数据或该接口的访问凭据，我们会按与该提供方的约定通知对方；约定未写明时限的，在知悉后 72 小时内通知。
通知你（GDPR 第 34 条）：若外泄可能对你的权利与自由造成高风险，我们将无不当迟延地告知你。
香港立场：香港《个人资料（私隐）条例》（第 486 章）目前并无强制的外泄通报义务；个人资料私隐专员公署的指引为自愿通报。尽管如此，我们仍将按上述标准处理外泄，并可自愿向该公署（PCPD）通报（参照 72 小时）。
你如何得知：在我们通知你的情况下，我们将视外泄性质及我们所掌握的信息，通过电子邮件（使用你账户上的地址）、服务界面或我们网站上的公开公告告知你。

7. 你的权利

根据你的司法管辖区，你可能对你的个人数据享有以下权利：

访问权：你可请求获取我们持有的关于你的个人数据副本。
更正权：你可请求更正不准确或不完整的数据。已登录用户可在账户页自行修改密码；其他更正（例如更换账户邮箱）请发邮件至 support@bastionlog.com。
删除权：你可请求删除你的个人数据，但须遵守法定保留义务。已登录用户可在账户页自行删除账户（第 5.3 条）；法律要求保留的交易与操作记录会被匿名化，而不是继续指向你。
限制处理权：你可在某些情况下请求我们限制对你数据的处理。
异议权：对于我们基于正当利益进行的处理（例如第 2.4 ～ 2.6 条所述的防滥用与安全措施），你可基于与你特定情况有关的理由随时提出异议（GDPR 第 21 条）；我们将停止该处理，除非我们能证明存在凌驾于你的利益、权利与自由之上的令人信服的正当理由，或该处理为确立、行使或抗辩法律主张所必需。报告中被载明的自然人如何提出异议，见第 9.5 条。
数据可携权：你可请求以结构化、机器可读的格式获取你的数据副本（已登录用户亦可在账户页自行导出）。
撤回同意权：若处理基于同意，你可随时撤回该同意。

如需行使上述任何权利，你可以访问我们的信任中心，通过简便的线上流程提交请求（例如查阅或删除个人资料）：https://app.prighter.com/portal/18835136460；也可以通过第 13 条中的地址联系我们。我们将在适用法律要求的期限内（GDPR 下为一个月；香港 PDPO 第 19(1) 条下为 40 天 —— 以适用者为准）回复你的请求。

8. 第三方服务与数据处理方

BastionLog 在提供服务过程中使用以下第三方服务。除下列所述外，我们不与第三方分享你的个人数据，法律要求的除外。

| 服务方 | 用途 | 收到哪些数据 | 位置 | |---|---|---|---| | OVH（OVH 集团） | 新加坡专用服务器（应用、数据库、查询网关）；法国对象存储（加密备份） | 服务器上的全部数据（作为托管方）；备份只有密文 | 新加坡；法国（Gravelines） | | Google（Gemini API） | ① 根据已采集的事实撰写报告摘要；② 从你上传的单据中抽取字段（第 2.2d 条）；③ 在网关上核查摘要措辞是否中性且有事实依据 | 报告事实（可能含公开记录中的自然人姓名与职务）；单据文字；待核查的摘要措辞。不含你的账户信息 | 由 Google 在其全球基础设施上处理（依 Google 适用于 Gemini API 付费服务的数据处理条款） | | Cloudflare（Turnstile） | 登录页、注册页与首页免费预览的人机验证（第 2.6 条） | 由组件在你的浏览器中直接收集的信号（含 IP 地址）；我们的服务器只发送一次性令牌 | 由 Cloudflare 决定 | | Spaceship / Spacemail | 发送服务性邮件（第 10 条），以及我们的支持邮箱 support@bastionlog.com | 你的邮箱地址与邮件正文；你发给 support@ 的邮件 | 美国（Spaceship, Inc.），依其数据处理附录中的欧盟标准合同条款与英国条款 | | 公共 DNS 解析服务（Cloudflare、Google 的 DNS-over-HTTPS） | 查询域名的公开 DNS 记录（含第 2.2f 条相似域名） | 被查询的域名；不含关于你的信息 | — | | 公开搜索引擎 | 某辖区无官方登记接口时，预检与部分采集经由第三方公开搜索引擎执行检索 | 公司名称与辖区；由我们的网关发出，不含关于你的信息 | — | | 公开数据源 | 公开注册机构（WHOIS、RDAP、crt.sh、互联网档案馆、政府商业注册机构等） | 公司名称、辖区或域名；实时查询，不含关于你的信息 | 各来源所在辖区 | | 官方税号 / 商业号码查询接口 | 已上线：欧盟 VIES（欧盟委员会）、澳大利亚 ABN Lookup（澳大利亚商业登记处）、新西兰 NZBN（新西兰 MBIE）。计划接入：英国 HMRC（第 2.2g 条） | 只有被查询的号码；由我们的网关发出，不含关于你的信息 | 欧盟；澳大利亚；新西兰（计划：英国） | | 中国大陆企业登记信息第三方聚合服务（聚合数据，Juhe） | 查询中国大陆公司时，取得该公司的工商登记信息（第三方聚合，非官方直连，报告中如实标注） | 你提交的公司名称或统一社会信用代码；不含你的账户信息 | 中国大陆 | | Have I Been Pwned（haveibeenpwned.com） | 数据泄露记录查询（第 2.2e 条） | 你在查询中提供的对手方邮箱地址（常见个人邮箱服务商的地址除外）；由我们的网关发出，不含关于你的信息 | 由该服务决定 |

OpenSanctions。 公开名单名称比对通过 OpenSanctions（位于德国，受欧盟 GDPR 约束）的在线接口进行（第 2.2c 条）。我们只向其发送所查询的公司名称，不发送你的账户信息；若公司以自然人姓名登记，该名称可能属于个人资料。

AI 服务提供方。 生产环境唯一的 AI 服务提供方是 Google（Gemini API 付费服务）；增加任何其他 AI 服务提供方之前，我们会先更新本政策。生产环境设有技术控制，配置指向未经许可的 AI 服务方时应用不会启动。我们使用 Google Gemini API 的付费层；依 Google 现行适用于付费服务的条款，提交的数据不会被 Google 用于改进其产品（包括训练模型）；如该条款变更，我们将更新本政策。

Cloudflare 的其他服务。 我们目前未使用 Cloudflare 托管本站的 DNS 或代理本站流量。若将来启用，我们会先更新本表。

付款服务。 在线付款目前尚未开通。开通时我们会在本表中列明付款服务提供方及其收到的数据。

9. 公开记录中所载自然人的个人资料

9.1 这是什么

我们的报告复现取自公开来源的信息 —— 政府公司登记处、WHOIS/RDAP 域名记录及公开目录镜像。这些来源有时会载明自然人：例如公司的董事、高管或公司秘书、域名记录中的注册人姓名，或法定代表人。这些自然人与我们没有任何合同关系，且在绝大多数情况下并不知道自己被查询了。

就这部分处理，AlphaDelve Tech Limited 以 GDPR 意义上的控制者身份行事。我们的法律依据是 GDPR 第 6 条第 1 款第 (f) 项（正当利益）：BastionLog 的存在是为贸易从业者提供对手方的可验证事实，复现官方登记处已经公开的姓名，并附来源与采集时间，对该目的而言是必要且相称的。我们已记录平衡评估：我们只复现来源所述内容，不对任何个人添加任何评价或推断，亦不使用该等资料对任何人作出自动化决定。在香港《个人资料（私隐）条例》（第 486 章）下，对应的依据是保障资料第 1 原则 —— 该等资料以合法及公平的方式收集，用于直接与我们的职能相关的目的，且收集并不过度（我们只取姓名与职务，不多于来源已经公开的内容）。

9.2 来源类别

公开政府登记处（例如公司登记处）；
WHOIS / RDAP 域名注册记录；
上述登记处的公开目录镜像。

本地保存的官方批量登记副本。 为了按名称或登记号快速、准确地查找公司，我们在新加坡的服务器上保存部分官方机构以开放数据形式公布的批量登记文件的副本：挪威（Brønnøysund 登记中心）、澳大利亚（ASIC 公司登记）、哈萨克斯坦（司法部法人登记）、巴西（联邦税务局 CNPJ 开放数据）以及 Open Ownership 受益所有权登记。这些副本以公司记录为主；涉及自然人的部分，我们只保留姓名及其角色或权益（例如巴西登记的合伙人姓名、角色与入股日期，受益所有权登记中的姓名与权益类型）。我们在导入时即删除私人联络方式（电话、邮箱）、个体经营者的街道地址、出生日期、个人地址、证件号码、国籍等字段，并在系统启动时自动抽查，发现此类字段即拒绝运行。副本在每次从官方来源更新时整体替换，并包含在第 5.1(b) 条所述的加密备份中。

9.3 资料类别

公开记录中所载自然人姓名（例如董事、高管、公司秘书、注册人或法定代表人）；及
各姓名出现的职务（例如「董事」「注册人」）。

部分来源把职务与姓名记在同一字段中。例如日本法人登记公开信息（gBizINFO）的「代表者」字段形如「取締役副社長 ○○ ○○」；我们按原样复现该字段（仅把连续空白折叠为一个空格），不拆分、不改写，并标注其登记职务为「代表者（登記上の記載）」。同一来源返回的股东、事业所等其他信息一律丢弃，不入缓存、不进报告。

就本目的而言，我们不处理证件号、私人住宅地址或私人联络方式（私人电话号码或邮箱地址）。这些类别不在我们的处理范围内，且在采集时即被排除。

9.4 保留

该等资料以两种形式保留，均仅在你的账户保持活跃期间保存：（a）查询历史中的事实摘要，受逐辖区的白名单限制（例如，保留的高管字段为姓名与职务，上限 300 字符）；（b）你保存的完整报告（无论经网页还是经 API 生成，第 2.2 条），按生成时的内容保存（已按第 9.3 条排除证件号、私人住宅地址与私人联络方式），以便你日后查看或取回已付费的结果。它不用于建立画像，也不为营销目的向外转交。为可验证性而采集、但从不在报告中显示的批量源材料，不保留于服务于产品的系统中；该等材料中的联络字段（例如挪威商业登记的邮箱与手机字段）在交付前即被排除。

9.5 你的权利，以及个人如何提出异议

若你是报告中被载明的自然人，第 7 条所述权利适用于你，包括异议权（GDPR 第 21 条）。若你提出异议，我们将默认抑制你的姓名 —— 不再在后续报告中显示，且报告将注明应你的请求，一项来自公开记录的姓名未予显示。我们并非更改底层公开来源；我们是选择不显示该姓名并明示此点，从而保持报告的准确与透明。

如需提出异议，请发送邮件至 support@bastionlog.com；身处欧盟或英国的个人也可通过我们的代表 Prighter 提交（https://app.prighter.com/portal/18835136460，见第 13 条）。我们将在 40 天（香港 PDPO 第 19(1) 条期限）内，或在适用的 GDPR 一个月期限内处理你的请求 —— 适用你的那个为准。

9.6 为什么我们不逐一事先告知每个人（GDPR 第 14(5)(b) 条）

GDPR 第 14 条原则上要求我们在获取个人资料时告知当事人。第 14(5)(b) 条在逐一告知会涉及不成比例努力的情形下免除该义务。我们所依赖的记录是公开的，跨多个辖区数量达数千万，且这些个人并非客户查询的当事方；逐一联系每个人不切实际且不成比例。我们依赖本条公开告知（本节）作为相称的替代方式，并提供第 9.5 条的异议路径。该依赖已作为我们处理活动记录的一部分予以记录。

抑制名单本身包含个人资料。我们仅存储抑制姓名所需的匹配键，以及异议的日期与时间 —— 不再存储其他。

9.7 你提供的第三方个人资料

你在查询中填写的对手方邮箱地址（第 2.2、2.2e 条），以及你上传的单据中出现的姓名（第 2.2d 条），可能是第三方自然人的个人资料。就这部分资料：

你是这些资料的提供方，并确认你有权向我们提供（单据另见服务条款第 3.1 条）；
我们基于正当利益（GDPR 第 6 条第 1 款第 (f) 项）处理这些资料，即帮助你核查交易对象，并适用与你其他数据相同的安全措施（第 6 条）与保留规则（第 5.3 条）；
相关个人可通过第 13 条所列方式联系我们，行使第 7 条所述的权利。

10. 直接营销

我们不将你的个人资料用于直接营销。

你会收到我们的服务性邮件，因为它们是交付你所请求的服务的一部分。这些不是营销：

邮箱地址确认、账户与安全通知；
欢迎邮件（邮箱确认后一次）；
报告完成通知（报告生成或未能生成时，且你已离开等待页面；邮件不含报告内容）；
免费额度用完通知（每个账户一次，说明后续报告按份计费）；
报告份数到期提醒（你购买或获赠的报告份数在到期前 30 天与 7 天各提醒一次）；
计费、订单确认与撤回权告知；
系统升级与功能调整通知；
法律要求我们向你发出的通知，例如条款变更。

所有服务性邮件均由 support@bastionlog.com 发出；直接回复邮件即送达我们的支持邮箱。被停用的账户不再收到上述邮件（法律要求的通知除外）。

若某封邮件推广付费升级或其他产品，那它就是营销邮件而非服务性邮件——我们不会基于你的账户资料向你发送。

报告中所载的自然人。 对于报告中出现姓名的董事、注册代理人或注册人，我们不向其发送电子邮件或任何其他信息。该等资料从不用于联络任何人。参见第 9 条。

香港《个人资料（私隐）条例》第 35C 条。 由于我们不将你的个人资料用于直接营销，第 35C 条的通知与回应要求就你的账户资料而言不会发生。若此点将来改变，我们会在任何该等使用之前依第 35C 条向你发出通知并取得你的回应，并会先更新本政策。

11. 国际数据传输

你的账户资料、查询历史与报告存储于新加坡，你的查询也经新加坡的查询网关发往各来源（见第 5.1 条）。加密备份存放于法国（欧盟）。

若你从上述地点以外访问本服务，你的数据将被传输至新加坡并在新加坡处理；加密备份亦会传输至法国。

新加坡与法国之间的传输：向法国的传输仅为加密备份，存储方只持有密文。上述传输受新加坡《2012 年个人数据保护法》的传输限制义务约束；我们据此确保接收方对该等数据提供可比的保护标准。

数据处理方：第 8 条所列服务方（例如 Google、Cloudflare）可能在其各自的设施所在地处理其收到的数据。

外部来源：各辖区的官方登记处与公开来源位于其各自辖区，查询这些来源必然涉及向该辖区传输公司名称与辖区信息。

对于存在数据传输限制的司法管辖区（如欧盟/欧洲经济区）的用户，在该传输并非基于充分性认定的情形下，我们依赖标准合同条款（以及在英国 GDPR 适用时的英国国际数据传输附录 UK Addendum / IDTA）作为此类传输的法律机制。

12. 本隐私政策的变更

我们可能不时更新本隐私政策。变更时：

更新后的政策将发布在 BastionLog 网站或通过本服务提供；
顶部的"日期"将更新。

对于重大变更，我们会在变更生效前至少 30 天通过电子邮件或服务界面通知你。建议你定期查阅本政策以了解我们如何保护你的信息。

13. 联系方式

如对本隐私政策有疑问或欲行使你的数据保护权利，请联系：

AlphaDelve Tech Limited

邮箱：support@bastionlog.com
电话：+852 5920 3010
地址：RM 18 2/F, TUSPARK, 118 WAI, YIP STREET, KWUN TONG, HONG KONG

已登录用户亦可从账户内发起支持工单；工单由我们的支持人员处理，并记录在账户下。

欧盟与英国代表（GDPR 第 27 条 / UK GDPR 第 27 条）

我们重视你的隐私和作为数据主体的权利，因此委任 Prighter 集团及其当地合作方作为我们在以下地区的隐私代表和你的联络点：

欧盟（EU）：Prighter EU Rep GmbH，Schellinggasse 3/10, 1010 Vienna, Austria
英国（UK）：Prighter Ltd，20 Mortlake High Street, London, SW14 8JN, United Kingdom

Prighter 为你提供便捷的方式行使与隐私相关的权利（例如请求访问或删除个人资料）。如需通过我们的代表联系我们，或行使你的数据主体权利，请访问：https://app.prighter.com/portal/18835136460

14. 监管机构

如果你认为你的数据保护权利受到侵犯，你有权向你所在司法管辖区的相关监管机构提出投诉：

香港：个人资料私隐专员公署（PCPD）
新加坡：个人数据保护委员会（PDPC）
英国：信息专员办公室（Information Commissioner's Office，ICO）
欧盟/欧洲经济区：你当地的 Data Protection Authority