隐私政策

1. 概述

本政策适用于三类个人：我们网站的访问者；注册或管理本服务的客户代表；以及客户部署 Phylaxa 检测的网站、移动应用和 API 的最终用户。我们处理的数据以及我们在处理中所处的角色，因类别不同而异，具体说明如下。

本政策不适用于我们无法控制的第三方资产，包括部署了 Phylaxa 的客户资产。该等资产受相应客户隐私政策的约束。

2. 控制者与处理者角色

Phylaxa 是一项 Bot 检测服务，这决定了我们的隐私角色。当您访问我们的网站、申请产品演示或管理客户账户时，Phylaxa 是您个人数据的控制者。当客户在其自有数字资产上部署 Phylaxa 时，角色发生转换：由客户决定为何以及如何分析最终用户流量，Phylaxa 则严格按照客户的书面指示，以数据处理者的身份处理由此产生的遥测数据。

就最终用户遥测数据而言，客户是控制者（即 CCPA 项下的「企业」），Phylaxa 是处理者（即「服务提供商」）。该等处理受我们的《数据处理附录》约束，而非本政策。如果您是受 Phylaxa 保护资产的最终用户，请向该资产的运营者提出隐私请求；我们将为该运营者的响应提供合理协助。

3. 我们收集的信息

我们仅收集运营、保护和改进本服务所必需的数据：

• 账户数据——姓名、工作邮箱、公司、职务、身份验证凭据及账单信息，由您在注册、申请演示或联系我们时提供。
• 使用与遥测数据——IP 地址、设备与浏览器特征、TLS 和 HTTP/2 连接参数、交互时序及浏览行为模式，仅出于区分真人流量与自动化流量之目的，从客户资产上的最终用户会话中收集。
• Cookie 与追踪数据——运营我们的网站和客户控制台所必需的绝对必要 Cookie。我们不使用第三方广告 Cookie，也不从事跨站追踪。

4. 我们如何使用信息

我们将收集的数据用于以下目的：

• 提供、运营和维护本服务，包括对流量进行评分并向客户返回风险判定；
• 保护本服务，防止对我们自有系统的滥用，并利用汇总或去标识化的流量数据改进我们的检测模型；
• 就您的账户、产品更新、安全事件与您沟通，并在获得许可的情况下推送产品资讯和活动邀请；
• 履行法律义务，执行我们的协议并维护我们的合法权利。

5. 处理的法律依据

在适用 GDPR 或英国 GDPR 的范围内，我们基于以下法律依据处理个人数据：

• 履行合同（《GDPR》第 6(1)(b) 条），例如向您所代表的客户交付本服务；
• 合法利益（《GDPR》第 6(1)(f) 条），例如保护本服务、检测自动化滥用行为及提升检测准确率，但该等利益不得凌驾于您的权利之上；
• 同意（《GDPR》第 6(1)(a) 条），适用于可选 Cookie 及某些营销通讯，您可随时撤回同意；
• 履行法律义务（《GDPR》第 6(1)(c) 条），例如税务、会计及执法要求。

6. 数据共享与次级处理者

我们不出售个人数据，也不会出于跨情境行为广告之目的共享个人数据。我们仅向以下对象披露个人数据：

最新的次级处理者名单载于我们的《数据处理附录》，客户可索取。

• 为本服务提供托管、交付和支持的次级处理者——包括云托管、内容分发、邮件投递、计费和错误监控服务商——各次级处理者均受书面数据保护条款约束，其保护程度不低于我们自身的标准；
• 专业顾问、监管机构、法院及执法机关，在法律要求披露或为保护权利、人身及财产安全所必需的范围内；
• 与合并、收购、融资或资产出售相关的承继实体，但须以本政策继续适用为前提。

7. 数据保留

我们在客户关系存续期间及其后一段有限期限内保留账户数据，以满足法律、会计和审计要求。最终用户检测遥测数据默认以可识别形式保留不超过 30 天；客户可以配置更短的保留期限。

适用保留期限届满后，遥测数据将被删除或被不可逆地去标识化。无法再关联到个人的汇总统计数据可被保留，用于衡量和改进检测性能。

8. 国际数据传输

Phylaxa 总部位于美国，并在本服务运营所在区域处理数据。当个人数据从欧洲经济区、英国或瑞士传输至未获得充分性认定的国家时，我们依据欧盟委员会标准合同条款（及英国附录），并辅以补充性的技术和组织措施。

企业级部署可选择区域数据驻留方案，使检测遥测数据在指定区域内处理和存储。

9. 安全

我们实施技术和组织措施，以保护个人数据免遭意外或非法的毁损、丢失、篡改以及未经授权的访问或披露。这些措施包括采用 TLS 的传输中加密和静态加密、最小权限访问控制、审计日志、环境隔离，以及与 SOC 2 标准相一致的安全控制。

任何传输或存储方式都不可能绝对安全。如我们发现个人数据泄露事件，将依据适用法律通知受影响的客户，并在必要时通知监管机构和相关个人。

10. 您的隐私权利

根据您所在的司法辖区——包括 GDPR、英国 GDPR 以及经 CPRA 修订的 CCPA——您可能享有以下部分或全部权利：

如需行使上述权利，请通过 privacy@phylaxa.example 联系我们。我们将核实您的请求，并在适用法律要求的期限内作出答复。如果您的数据是在客户资产上收集的，请直接联系该客户；作为处理者，我们将协助客户响应您的请求。

• 访问我们持有的关于您的个人数据，并以可移植格式获取副本；
• 更正不准确的数据，并请求删除您的数据；
• 限制或反对基于合法利益的处理，并在处理基于同意时撤回同意；
• 选择退出个人数据的出售或共享（我们并不从事该等行为），并免于因行使权利而受到歧视；
• 向您当地的监管机构提出投诉。

11. Cookie 及类似技术

我们的网站和客户控制台仅使用身份验证、安全防护和负载均衡所必需的绝对必要 Cookie 及类似技术。由于我们不使用分析或广告 Cookie，我们的网站无需设置 Cookie 同意横幅。

您可以配置浏览器拒绝 Cookie；但这样做可能导致客户控制台无法正常运行。在客户资产上，Phylaxa 代理设置的任何 Cookie 均为由客户控制的第一方 Cookie。

12. 儿童隐私

本服务面向企业，不面向 16 周岁以下儿童。我们不会在知情的情况下收集儿童的个人数据。如果您认为有儿童向我们提供了个人数据，请通过 privacy@phylaxa.example 联系我们，我们将予以删除。

13. 本政策的变更与联系方式

我们可能不时更新本政策。如作出重大变更，我们将在变更生效前通过电子邮件或控制台通知客户，并将始终在本页顶部标明最新修订日期。

如对本政策或我们的数据处理实践有任何疑问、请求或投诉，请通过 privacy@phylaxa.example 联系我们的隐私团队。