隐私政策

本政策适用于 orbitpage.com、OrbitPage账户和仪表盘、支持渠道以及 orbitpage.net 托管的出版服务。它不管理开源 OrbitPage 软件的独立自托管安装。

托管服务的控制器是Paolo Ronco，操作OrbitPage。隐私请求可通过contact页面提交，或发送至contact@orbitpage.com。更多操作员信息见法律通知。

OrbitPage负责账户管理、平台安全、计费以及自身网站分析。页面所有者决定其公共页面上显示哪些内容、链接、嵌入、联系方式和可选分析功能。对于这些选择，页面所有者可以作为独立的控制者，并必须提供法律要求的任何通知或同意。

OrbitPage 处理页面所有者托管的内容和交付数据，以发布请求页面。当页面所有者启用新闻通讯时，该所有者决定收件人、消息内容、目的和所选的SMTP提供商，通常作为订阅者列表的控制者。OrbitPage根据所有者的指示处理这些列表和活动活动，同时负责平台安全、防滥用和账户管理。

当页面所有者启用Shop时，该所有者就是卖家，也是客户和履约数据的控制者。卖方必须公开其身份、联系方式和政策。OrbitPage处理目录、订单、同意、配送及可选预订数据以提供商店服务，而Stripe则根据其关联账户条款独立处理支付、身份和付款信息。连接 Cal.com 的卖家还会指示OrbitPage与该账户交换最低预订生命周期数据。

当页面所有者添加合作伙伴块、预订工具、表单、地图、播放器或其他外部服务时，页面所有者会选择该收件人并决定集成的目的。OrbitPage会在访客授予相关类别前，将同意门禁内容屏蔽，但外部服务商在内容加载或链接被打开后独立处理数据。

访客和通讯订阅者应先联系页面所有者，了解他们直接向该所有者提供的内容或个人数据，同时OrbitPage仍可接受基础设施隐私请求和非法内容举报。数据处理协议规范OrbitPage代表页面所有者进行的处理。

在分析同意下，PostHog 处理平台页面浏览量、产品操作、技术错误类型和掩蔽仪表盘录制，帮助我们提升激活率、可用性和可靠性。它运行在OrbitPage拥有的平台路由上，绝不在托管的客户页面或运营商界面上运行。认证事件使用账户标识符的目的绑定哈希值，而非电子邮件地址或原始 Firebase 标识符。服务器事件会根据账户的分析选择，并在撤回合同或同意到期后停止。

回放仅限于部分编辑部分。输入、客户文本和内容属性被掩蔽;布局、捆绑样式、标准图标和静态导航标签依然可见。图片、媒体和嵌入都被屏蔽。认证、账单、账户管理、团队、商店、通讯和人工智能面板均不包含在录制中。网络主体、头部、控制台消息、页面内容和AI提示并非有意收集。错误信息被涂黑;可以保留有限的技术栈帧。这些假名记录仍可能是个人数据。

PostHog公司通过PostHog Cloud EU为OrbitPage处理这些数据。请求通过我们专用的 t.orbitpage.com 子域名，使用 PostHog 的管理反向代理，该代理通过 Cloudflare 运营。代理处理网络和请求信息，并在将请求转发给PostHog之前移除Cookie头。第一方地址并不意味着分析是必需的，也不需要同意。OrbitPage关闭了分析IP丰富功能，项目丢弃客户端IP数据;网络提供商必然负责连接信息。提供者和转移信息在provider notice中。

您可以使用Cookie设置拒绝或撤回分析，而不会失去账户、编辑、发布或付费套餐访问权限。该选择在180天后失效;启用的全球隐私控制信号会关闭浏览器分析功能。对于已登录账户，保存的选项还控制服务器产品事件。如果账户偏好无法保存，界面会显示重试消息;浏览器选择立即生效，服务器撤离仅在账户更新成功时完成。提取会停止未来的收款，但本身不会抹去之前收集的记录。如需请求访问或删除PostHog数据，请通过以下渠道联系OrbitPage;服务提供者擦除是与删除 OrbitPage 账户不同的操作。

• 账户、团队和身份数据：姓名、电子邮件地址、Firebase标识符、认证方式、邮件验证状态、用户名、工作区成员身份、邀请、角色、会话和账户安全事件。对于新账户，我们还会记录条款版本、接受时间和语言，以及账户资格认证时间。
• 工作区和发布数据：页面设置、链接、文本、主题、上传的图片或视频、关联域名、修订标识符、发布状态和计划使用情况。
• 公共访客和同意数据：请求页面、粗略请求和递送信息、点击活动计划包含分析、安全信号和类别选择的事件、政策版本、时间戳和公共页面同意收据的随机收据标识符。收据上没有故意包含姓名或电子邮件地址。
• 设备和安全数据：IP地址、浏览器和设备信息、请求时间戳、应用检查或reCAPTCHA信号、速率限制计数器、错误日志和疑似滥用事件。工作区审计历史记录页面和团队变更的时间、代理账户、操作及简短描述，但不存储编辑内容或请求正文;该保护区在工作区生命周期内保留，并随工作区一同移除。在分析同意下，OrbitPage还会在本地计算一个假名浏览器标识符，并仅存储一个带有登录账户的专用服务器端哈希值，以识别回头客户。
• 账单数据：套餐、Stripe客户和订阅参考、发票和付款状态、取消状态以及账单往来。OrbitPage不接收或存储完整的支付卡号。
• 支持、联系方式及服务请求数据：姓名、电子邮件、所选主题、消息、参考编号、关联工作空间、交付状态以及你通过支持、聊天机器人、版主申诉或隐私请求提供的信息。在线撤回合同声明还包括合同标识、声明、法律版本、日期、时间和电子邮件收据状态。
• 业务关系数据：潜在客户、演示、入职、促销代码和客户服务记录，包括业务联系方式、类别、笔记、跟进状态和沟通。
• 审核数据：提交安全分类的有界页面文本、内容哈希、审核服务返回的分类、审核状态、临时限制和申诉记录。
• 通讯数据：订阅者电子邮件地址及可选姓名、同意和确认时间戳、订阅状态、活动内容及日程、SMTP接受或拒绝、唯一打开和点击信号、退订事件，以及页面所有者选择的SMTP服务器加密凭证。
• 可选 OrbitPage 营销：账户邮箱、明确的选择加入和撤回时间戳、选择网站语言、账户活动和页面内容状态，用于选择欢迎信息或有限提醒，并发送时间戳。未经同意，任何营销活动均不发送。
• 连接服务配置：所选提供商、公共内容或共享URL、合作伙伴区块的显示设置和同意类别、玩家、地图、预订工具和表单。OrbitPage不会要求访客输入第三方账户密码来显示这些公开集成。
• AI页面编辑数据：您的指令、最近的助理对话、当前页面上下文，以及使用Launch Kit时，提交的截图和后续修正会发送给OpenAI以生成答案或拟议编辑。OrbitPage请求非持久响应处理，storestore: false;发射套件的截图是重新编码的，OrbitPage不会存储。OrbitPage保留提交的说明，包括账户、工作区、结果和时间戳以便支持和质量审核，但不会在运营事件日志中保留最近的对话历史或截图。经过验证的提案，包括任何可见或随后提供的目的地，最多可保留十分钟，只有确认后才成为页面内容;运营记录还可以包括型号、令牌计数、请求标识符和估算成本。除非适用单独批准的零数据保留设置，OpenAI可能会在其公布的数据控制措施下，在有限的滥用监控期间保留API输入、输出和安全元数据。
• 自动化API和连接应用数据：个人令牌名称、范围、前缀、单向哈希、过期、创建、最后使用和撤销详情;以及OAuth客户端名称和标识符、注册返回地址、选定工作区、授权范围、连接和最后使用时间戳以及单向凭据哈希。原始个人令牌、授权码和连接应用凭证在发出后无法恢复。
• 租户商店和预订数据：公开卖家身份和政策链接、关联的Stripe账户参考和能力状态、产品目录、私人交付文件、订单和申请费参考、买家邮箱、卖家条款及数字交付同意时间戳及版本、付款、退款和争议状态、配送到期、下载次数、受理回答、预订提供商标识、状态、预约时间及卖家连接 Cal.com 的会议URL， 以及有限的请求安全信号。OrbitPage不存储完整的支付卡、Stripe身份验证或支付账户信息。
• 合同证据：Stripe Checkout的参考资料、已接受的法律版本、条款接受及付费计划的即时履行请求，以及上述商店同意证明和撤回合同记录。
• 可选网站分析：同意选择、页面和互动数据、Google Analytics和PostHog仅在同意后且仅在OrbitPage拥有的平台页面上收集的大致位置和技术标识符。另一个同源回访客户查询使用上述哈希浏览器标识符，仅向Google Analytics发送布尔值回访客户事件。

公共AI产品指南：问题，最多四条先前消息及相关公开文档在需要生成答案时发送给OpenAI。本指南不允许访问任何账户、工作区或私人文档。浏览器会将对话存储在内存中，并在重置或关闭页面时清除;OrbitPage不会在应用日志或审计存储中保存访客的问题或答案。OpenAI 接收的是基于请求速率限制主体的目的绑定哈希安全标识符，而非账户标识符。必要的托管、认证和滥用控制仍然会处理网络和设备信号。操作事件包含生成的请求ID、语言、结果、模型、时序、安全错误代码以及令牌/成本元数据。请勿提交秘密或不必要的个人信息。

新闻通讯开放和点击测量需要单独且可选的同意，最初未被核对。确认只激活明确要求的选项。现有和导入的订阅用户默认没有追踪权限。未经许可，OrbitPage省略了跟踪像素和远程图像，而是使用直接的目的地链接。每封活动邮件都包含一个追踪偏好链接：撤回会停止新的互动记录，包括之前发送的消息，而无需终止订阅。事后同意不会重新激活旧消息。在授权情况下，OrbitPage记录收件人和活动的首次打开和点击时间;举报将持续，直到活动或账户被删除。同意记录包括通知版本、时间、来源和发送者隐私政策网址。电子邮件代理和扫描器可能会扭曲这些指标。发送方必须披露此处理过程，并除非另行授权，否则禁用任何独立的SMTP供应商追踪。当OrbitPage的平台营销服务被启用或无法验证为禁用时，会被屏蔽。

公共人工智能产品指南：处理程序是响应您发起的产品信息请求的必要步骤，包括根据GDPR第6（1）（b）条签订合同前的相关步骤（如适用）。有限的服务完整性和滥用预防处理依赖于第6条第1款（f）项，以及适用的法律义务第6条第1款（c）项。使用本指南为可选，不代表对分析或营销的同意。

身份、安全性、工作区和计费数据标注为必需，是提供所需服务的必要条件。在发布商店前，必须提供卖家身份和政策细节，每次商店结账时需接受卖家条款，且在立即数字交付前需获得单独的明确同意。没有所需数据，OrbitPage可能无法创建账户、发布页面、处理订阅或商店订单、交付数字购物或调查滥用行为。可选的个人资料内容、合作伙伴拉黑、AI编辑、连接AI应用、聊天机器人使用和网站分析均为自愿。

OrbitPage 使用 Firebase 和 Google Cloud 处理账户和数据；使用 Vercel 提供托管；使用 Cloudflare 提供交付和存储；使用 Stripe 处理付款；使用 Google Analytics 和 PostHog 进行可选分析；使用 OpenAI 提供 AI 功能及文本和图像自动安全审核；使用 Resend 进行可选营销；使用已配置的邮件服务商发送服务消息；并在启用时使用 n8n 处理联系表单。子处理者通知列明服务商及其角色。

为进行自动安全检查，OrbitPage 会在为发布而存储新图像之前将其发送给 OpenAI。视频不会通过此方式检查。

新闻通讯邮件由页面所有者配置的 SMTP 提供商提交。该提供商由所有者选择和指示，能够处理用户地址和消息内容，并受所有者与其协议的约束。

对于OrbitPage自有的可选营销，Resend会处理同意的账户邮箱地址、所选语言、消息内容和退订状态。这与页面所有者运营的账户安全邮件和通讯是分开的。

商店卖家可能会连接 Cal.com 以获取预订生命周期更新;卖家的 Cal.com 账户随后会接收买家和订单关联的预订数据。页面所有者也可以选择外部同意管理平台;该提供商根据所有者的配置接收同意和设备数据。

当账户持有人连接ChatGPT或其他MCP客户端时，该服务会接收到持有者授权工具返回的工作区数据。客户在持有人的账户和提供者的条款下运营;OrbitPage提供可撤销、工作区绑定的OAuth授权，且不披露持有人的Firebase密码或个人API令牌。

合作伙伴块可以将访客连接到独立服务，如Instagram、Facebook、YouTube、Spotify、Apple Music、Deezer、SoundCloud、Mixcloud、Vimeo、Loom、TikTok、Giphy、Google Maps、Google Calendar、Calendly、Typeform和Google Forms。根据区块的不同，只有在访客打开链接或获得所需同意后，嵌入内容才会被披露。服务提供商随后可以根据自身隐私条款接收访客的IP地址、浏览器信息、推荐页面及服务商特定标识符。

提供者的目的、数据范围及官方隐私文档均列于Subprocessors通知中。法律要求时，数据也会披露，以保护权益和安全，或与合法的企业重组相关。OrbitPage不出售个人数据。

provider 目录用于识别提供者服务、角色、数据类别、处理地点或其限制、传输文档及官方隐私链接。供应商可使用合同披露中列出的自有子处理商。使用欧洲摄取终端并不意味着所有支持、安全或后续处理都留在欧洲。

有些服务提供商在全球运营或处理某些数据在美国。当EEA个人数据在未作出充分性决定的情况下转移至某国时，OrbitPage依赖于提供者的数据处理条款、标准合同条款或其他有效的传输机制，并在适当情况下采取补充保障措施。

您可以通过隐私联系方式请求有关适用转移机制的信息及相关保障措施的副本，但需进行必要的涂黑以保护第三方权利和机密信息。OrbitPage并不代表每个供应商或可选集成机构都只处理EEA内的数据。

公共AI指南元数据：运营事件保留30天。过期事件被排除在操作员视野之外，并通过有限制的计划清理移除;积压可能会延迟物理删除。OrbitPage不保留对话内容。OpenAI 应用了提供者目录中描述的端点特定保留。

受保护的提供者备份：配置好的提供者备份策略将R2对象和Firebase认证导出到欧洲私有的Google Cloud Storage，期限为30天。对象生命周期删除是异步的，现有的软删除保护可以增加恢复间隔。Firestore 备份遵循其配置的管理计划和保留。这些受限副本用于恢复，在主动系统删除后仍受保护，并在备份生命周期内被移除;它们不是普通的用户档案。如果恢复，必须重新应用未完成的抹除要求。

通过控制面板新上传的图像会在发布前接受自动安全分类。该检查可能漏掉违规材料，也可能错误标记合法图像。此检查不审查视频，也不判定图像所有权、版权或许可。

您可以通过联系方式）页面对限制提出异议并请求人工审核。OrbitPage在确认、更改或取消限制前会考虑内容、背景及任何支持信息。

发布检查结合了本地规则、有界限的人工智能安全分类以及按需进行人工审核。标志可以触发发布块或临时页面限制;这并不是认定账户持有人犯了犯罪。你可以提供背景，对结果提出异议，并请求对方重新考虑。当GDPR第22条适用于产生法律或类似重大影响的决定时，适用的保障措施，包括人为干预和表达观点的机会，依然适用。

OrbitPage个人资料上发布的内容是有意公开的。无需账户即可查看，第三方可链接、索引、缓存、复制或归档。除非有合法理由并打算公开，否则请勿发布私人、机密或敏感个人数据。

适用法律，您可以请求访问、更正、删除、限制、可携带性或异议，并可撤回同意而不影响早期处理。账户所有者可以在重新核查身份后，直接从仪表盘>账户永久删除其账户和托管工作区。您也可以基于合法利益反对处理，并请求对审核决定进行人工审核。

个人API令牌和关联的AI应用可以从仪表盘>账户中审核并撤销。消费者撤回合同与数据保护权是分开的，可通过在线合同撤回功能行使。OrbitPage可能会在处理其他请求前，要求核实请求者身份所需的证据。GDPR请求通常在一个月内得到回复，且不会拖延。如果复杂性或请求数量需要延长最多两个月，OrbitPage会在第一个月内说明延长。请求通常是免费的;任何对明显无根据或过度请求的合法拒绝或合理收费，均附有投诉和司法救济选项。身份验证仅限于必要的部分。您可以向意大利数据保护局投诉，或向您惯常居住、工作场所的相关部门投诉涉嫌侵权行为。

您可以随时反对直接营销及相关画像。开设账户或购买套餐无需市场营销同意。撤回同意不会影响早期处理的合法性。关于客户控制的用户或买家数据请求由相关控制器根据DPA处理。

该托管服务不面向儿童，账户持有人必须年满18岁或符合法律条件，才能签订服务协议。未经合法依据和适当保障，请勿使用OrbitPage收集儿童数据。

OrbitPage应用访问控制、加密传输、租户隔离、签署的提供者请求、请求限制、发布修订和针对服务的监控。没有任何在线系统是完全安全的。如果发生个人数据泄露，产生法律通知义务，OrbitPage将根据需要通知主管部门及相关人员。

重大变更将在此处发布，并在生效前通过服务或电子邮件在适当情况下通知。如有疑问或请求，可发送至 contact@orbitpage.com。

大多数信息由您、您的设备或服务使用提供。我们还从谷歌登录、Stripe支付和关联账户事件、工作区所有者邀请合作者、卖家提供订单或预订指示以及上述服务提供者处获得有限信息。商业咨询和演示关系可以包括来自公共商业页面的专业信息或推荐联系人。当信息是间接获得时，适用的第14条信息应在法定期限内提供，或在需要时首次沟通时提供;仅仅因为信息公开，也不被推定有豁免。