隐私说明

版本 2026-07-26-v2

# China to Ozon 隐私说明

版本：2026-07-26-v2

## 收集的信息

- 账号信息：注册邮箱、密码的单向哈希、登录会话和协议接受记录。
- 店铺信息：Ozon Client-Id、Api-Key、店铺标签和只读验证结果。凭证以加密密文保存，不在网页、handoff 或审计详情中回显。
- 任务信息：用户提交的商品链接或分享文案、采集到的商品资料、生成的俄语商品卡、图片、Ozon 请求/响应及运行日志。
- 交易信息：购买次数、微信支付订单状态、金额、平台订单号及到账流水。系统不保存银行卡号或微信支付密码。
- 安全和运行信息：Worker 身份、租约、哈希、失败码、Token 用量及防篡改审计记录。

## 处理目的

上述信息仅用于创建和运行 China to Ozon 上品任务、验证和调用用户绑定的 Ozon 店铺、托管商品图、完成支付与额度记账、排查故障、防止重复写入及处理售后争议。

## 信息流向

- Ozon：接收商品卡、属性、图片 URL 和用户店铺凭证所授权的 API 请求。
- 微信支付：处理购买次数的支付订单和支付结果通知。
- 商品来源平台：固定 Chrome 登录会话访问用户提交的公开商品页面。
- 模型与图片供应商：只接收当前阶段完成产品识别、俄语内容或商品图所需的最小任务资料；控制面 Worker 密钥和 Ozon 写入密钥不会进入模型环境。

不会出售账号信息，也不会把 Ozon Api-Key 用于本服务之外的操作。

## 保留期限

- root 图片 finalizer 以 protocol v5 先写入不含成功状态和生命周期时间的不可变 `prepared.json`，完成 atomic public rename 后先写入不可变 root 私有 `published.json`，固定公开目标 inode、`published_at` 并绑定 `prepared_record_sha256`；再写入不可变任务级最终 root 记录 `finalized.json`，同时绑定 `prepared_record_sha256` 与 `published_record_sha256`，且其中的 `hosted_at` 必须等于 `published_at`，作为全尺寸图片保留期的唯一开始时间。随后生成的 token 回执、状态和控制数据库记录仅是投影。全尺寸图片从 `hosted_at` 起满 72 小时硬性删除；任务更新、重试、失败、完成以及 `committing`、`side_effect_unknown` 状态均不重新计时，也不延长该期限。
- 72 小时到期只删除 12 张全尺寸图片。任务仍存在时保留 `cover.jpg` 低分辨率缩略图，以及状态、Ozon/源托管 URL、哈希和回执等小型证据；用户删除任务或账号注销触发任务删除时，托管任务目录（包括 `cover.jpg`）立即进入整目录删除。
- Ozon 返回有效接收任务 ID，且本地 request、response、attempt、Validator、租约 fencing、输入 hash 与云端 Ledger 均安全落定后，商品任务显示 100%“已提交 Ozon”。这不表示审核通过、已经上架或图片已经迁移；后续结果由用户在 Ozon 后台复核。网络结果未知时只对精确商品进行只读对账，禁止盲目重复提交。任务达到 100% 不会提前删除或延长上述 72 小时硬期限。
- 已完成任务的确定性商品卡产物、Ozon API 请求/响应和哈希审计记录按业务审计、故障追踪和争议处理需要保留。
- 控制数据库一致性备份保留 30 天；备份到期后轮换删除。
- 支付、额度、协议接受和防篡改安全审计记录按财务、合同和安全举证需要保留，并与已注销邮箱脱钩。
- 失败或待对账任务在问题处理完成前保留必要的小型状态和副作用证据，但其中的 12 张全尺寸图片仍受从 `hosted_at` 起算的 72 小时硬期限约束。

## 账号注销

登录后可在“账号与隐私”提交注销。为避免丢失额度、重复写入或中断外部调用，注销前必须满足：余额为零、所有任务已终结、没有在途支付、有效 Worker/店铺验证租约、阶段尝试或图片供应商调用。

注销成功后，系统立即撤销全部会话，不可逆替换邮箱和密码，清空 Ozon 凭证、店铺标签、任务输入、用户回复和结果正文。系统仅保留去标识化的财务、协议、任务状态和防篡改哈希审计记录。

若已过期或失败的微信订单在注销后收到延迟成功通知，系统只保存去标识化到账记录，不恢复账号或服务次数，并将款项标记为待人工退款。

已经写入 Ozon 的商品和 Ozon 侧数据不因控制台账号注销或任务删除而自动从 Ozon 删除。控制台托管的大图按任务资料生命周期清理；用户应在 Ozon 后台管理或下架已经上传的商品。

## 安全措施

系统使用凭证加密、HTTPS、严格会话 Cookie、CSRF 校验、短期租约、不可变 Worker release、最小工具 Gateway、哈希绑定提交、备份和防篡改审计链降低泄露、越权、重复写入和数据损坏风险。

如发现异常登录、店铺凭证泄露或非预期 Ozon 操作，请立即在 Ozon 后台撤销或轮换 Api-Key，并通过运营支持渠道报告。系统会按安全事件响应流程进行遏制、影响评估、恢复和复盘。