1. 简介

OsintCat（“我们”或“我们的”）致力于保护您的隐私。本隐私政策解释了当您使用我们的服务时我们如何收集、使用、披露和保护您的信息。我们致力于透明化，并让您控制自己的个人数据。

本隐私政策符合通用数据保护条例（GDPR）和其他适用的数据保护法律。使用我们的服务即表示您同意本政策中描述的数据实践。

2. 我们收集的信息

2.1 账户信息

当您注册账户时，我们会收集：

电子邮件地址： 用于账户创建、认证、密码重置和重要服务通信
用户名： 您账户的可选显示名称
账户凭据： 密码经过哈希处理，从未以明文存储。我们无法恢复您的密码。
IP地址： 在注册期间和使用平台时记录，以防止滥用并执行我们的服务条款。

2.2 支付信息

对于付费订阅，我们会收集：

账单信息： 由第三方支付处理器安全处理: Stripe（信用卡、Google Pay、Apple Pay）、PayPal 和 OxaPay（加密货币）
支付令牌： 我们从支付处理器接收支付令牌和交易ID。我们绝不会接收或存储您的完整卡号、CVV 或 Google Pay / Apple Pay 凭据。
账单记录： 我们出于会计和客户服务目的保留交易记录

重要： 我们不会在服务器上存储完整的信用卡号、CVV代码或完整的支付卡详细信息。所有支付处理均由符合PCI-DSS标准的第三方处理器处理。

2.3 使用和技术信息

为了提供和保护我们的服务，我们会自动收集：

IP地址： 记录用于安全、防止滥用和检测账户共享违规行为
用户代理字符串： 浏览器和设备信息用于兼容性和安全分析
地理位置数据： 衍生自IP地址用于安全监控（仅限国家/地区级别）
访问时间戳： 当您访问服务和API端点时
API使用统计： 总请求数、端点使用情况和速率限制合规性
搜索查询： 我们记录搜索查询以分析平台使用情况、防止滥用并检测非法活动，包括与儿童性虐待材料 (CSAM) 相关的搜索。我们不存储这些搜索返回的结果。

2.4 认证和安全数据

为了账户安全，我们可能会收集：

双重认证（2FA）秘密： 如果您启用2FA，则加密并存储
登录历史： 账户访问的IP地址和时间戳
安全事件： 可疑活动记录、失败的登录尝试和安全违规

2.5 支持和通信数据

当您联系我们或使用支持功能时：

支持工单： 消息、附件及相关通信
电子邮件通信： 您与我们支持团队之间的通信

3. 我们不收集的信息

我们相信数据最小化。为了保护您的隐私，我们对敏感活动实施了严格的无日志政策：

搜索结果： 我们不记录或存储您的搜索返回的结果
调查数据： 我们不跟踪您调查的数据或原因
第三方数据： 我们不会存储从第三方来源获得的数据，除了实时处理所需的数据外

您的调查活动在内存中处理，从未写入永久存储或日志文件。然而，我们会记录搜索查询（不含结果）以防止平台滥用并检测非法活动，例如与儿童性虐待材料（CSAM）相关的搜索。这种隐私优先的方法在确保您的研究保持机密的同时，也让我们能够遵守法律和道德标准。

4. 我们如何使用您的信息

4.1 服务提供

我们使用您的信息来：

创建和管理您的账户
处理付款和管理订阅
提供OSINT工具和API端点的访问权限
根据您的订阅计划实施使用限制和速率限制
提供搜索结果和情报数据

4.2 安全和防止滥用

我们使用您的信息来：

检测和防止账户共享、API密钥共享、许可密钥共享和未经授权的访问（零容忍政策）
监控IP地址、使用模式和访问位置以识别账户和密钥共享违规行为
识别并阻止恶意活动、滥用和安全威胁
监控可能表明欺诈、账户共享或违反服务条款的可疑模式
实施IP白名单和访问控制
调查安全事件和政策违规行为
对检测到的违规行为采取立即执法行动，包括永久暂停账户

我们积极监控和记录IP地址、访问模式和使用数据，专门用于检测和防止账户共享和密钥共享。任何检测到的违规行为将导致立即和永久的账户终止，且不予退款。

4.3 通信

我们使用您的电子邮件地址来：

发送账户验证码和认证邮件
通知您重要的服务更新、安全警报和政策变更
回应支持请求和查询
发送交易邮件（发票、付款确认等）

您可以随时选择退出营销通信，但不能选择退出必要的服务通信。

4.4 服务改进

我们可以使用聚合和匿名数据来：

分析使用模式并提高服务性能
开发新功能并改进现有功能
监控系统健康状况并优化基础设施

5. 处理的法律依据 (GDPR)

根据GDPR，我们基于以下法律依据处理您的个人数据：

合同必要性： 履行我们要与您的合同（提供服务）所需的处理
合法利益： 为了安全、欺诈预防和服务改进而进行的处理
法律义务： 遵守适用的法律法规
同意： 当您明确同意特定处理活动时

6. 数据共享和披露

6.1 第三方服务提供商

我们可能会与协助我们运营服务的受信任第三方服务提供商共享您的信息：

Stripe（美国）： 用于卡支付、Google Pay 和 Apple Pay 的支付处理。Stripe 通过 PCI-DSS Level 1 认证。数据依据标准合同条款进行传输。隐私政策：stripe.com/privacy
PayPal（美国/卢森堡）： 用于 PayPal 交易的支付处理。隐私政策：paypal.com/privacy
OxaPay (Cyprus): Cryptocurrency payment processing. Privacy policy: oxapay.com/terms-privacy-policy
Cloudflare（美国）： 内容分发网络（CDN）、DDoS防护和DNS服务。数据依据标准合同条款进行传输。隐私政策：cloudflare.com/privacypolicy
Oracle Cloud Infrastructure（美国/欧盟）： 托管、计算和存储基础设施。数据可能在欧盟数据中心处理。可应要求提供数据处理协议。
电子邮件服务提供商： 用于交易型邮件（账户验证、发票、安全警报）。不会共享营销数据。

所有第三方服务提供商均受合同约束，必须保护您的信息，并仅将其用于我们指定的目的。

6.2 法律要求

如果法律、法院命令或政府机构要求，或者如果我们认为披露对于以下目的是必要的，我们可能会披露您的信息：

遵守法律义务
保护我们的权利、财产或安全
防止或调查欺诈或安全问题
执行我们的服务条款

6.3 业务转让

在合并、收购或资产出售的情况下，您的信息可能会转移给收购实体。如果有任何所有权或控制权变更，我们将通知您。

6.4 我们不分享的内容

我们不做的事情：

将您的个人数据出售给第三方
分享您的搜索查询或调查数据
向广告商或营销公司提供您的信息
除本隐私政策所述外披露您的数据

7. 数据保留

我们仅在实现本隐私政策中所述目的所需的时间内保留您的个人数据：

账户数据： 只要您的账户处于活跃状态，并在账户关闭后保留一段合理的时间用于法律和会计目的
支付记录： 按法律要求保留（通常为税务和会计目的保留7年）
安全日志： 保留最多12个月用于安全分析和事件调查
支持通信： 在工单解决后保留最多3年

您可以随时请求删除您的账户数据，但需遵守法律保留要求。

8. 您的权利 (GDPR和数据保护)

根据您的司法管辖区，您可能对您的个人数据拥有以下权利：

访问权： 请求我们持有的关于您的个人数据的副本
更正权： 请求更正不准确或不完整的数据
擦除权： 请求删除您的个人数据（“被遗忘权”）
限制处理权： 请求限制我们处理您数据的方式
数据可携带权： 请求将您的数据转移到另一个服务
反对权： 反对基于合法利益的处理
撤回同意权： 在处理基于同意的情况下撤回同意

要行使这些权利，请通过 [email protected] 联系我们。我们将根据GDPR的要求在30天内回应您的请求。

9. 数据安全

我们实施符合行业标准的安全措施来保护您的信息：

加密： 传输中的数据使用TLS/SSL加密。静态敏感数据已加密
访问控制： 仅在需要知道的基础上限制对个人数据的访问
安全认证： 支持双重认证（2FA）
定期安全审计： 持续监控和评估安全实践
事件响应： 检测、响应和通知安全违规的程序

然而，没有任何互联网传输或电子存储方法是100%安全的。虽然我们努力保护您的数据，但我们不能保证绝对安全。

10. 国际数据传输

您的信息可能会在欧洲经济区（EEA）以外的国家/地区进行处理和存储。以下服务涉及国际数据传输：Stripe（美国: 支付处理）、PayPal（美国: 支付处理）、Cloudflare（美国: CDN和DDoS防护）。当我们进行国际数据传输时，我们会确保采取适当的保障措施，例如：

欧盟委员会批准的标准合同条款
欧盟委员会的充分性决定
其他法律认可的传输机制

11. 儿童隐私

我们的服务不面向18岁以下的个人。我们不会有意收集儿童的个人信息。如果您是父母或监护人，并且您认为您的孩子向我们提供了个人信息，请立即联系我们。

12. Cookie和跟踪技术

我们使用Cookie和类似技术来：

维持您的会话和认证状态
记住您的偏好和设置
分析服务使用情况（匿名）

您可以通过浏览器设置控制Cookie。但是，禁用某些Cookie可能会限制您使用服务的某些功能。

13. 本隐私政策的变更

我们可能会不时更新本隐私政策，以反映我们的做法、技术、法律要求或其他因素的变化。我们将通过以下方式通知您重大变更：

在此页面上发布更新后的政策，并带有新的“最后更新”日期
向与您的账户关联的地址发送电子邮件通知
在我们平台上发布显著通知

在此类变更后继续使用服务即表示您接受更新后的隐私政策。

14. 联系我们

如果您对本隐私政策或我们的数据实践有任何疑问、疑虑或请求，请联系我们：

邮箱： [email protected]
法律说明： 查看法律说明

根据GDPR第37条，对于像我们这样规模的组织，无需指定专职的数据保护官（DPO）。但是，所有数据保护相关的查询均由我们的管理层直接处理。对于GDPR相关的查询，您还有权向有管辖权的监管机构投诉。在德国，该机构为联邦数据保护和信息自由专员（BfDI）: www.bfdi.bund.de。根据您所在的联邦州，相关的Landesbehörde（州级机构）也可能具有管辖权。