隐私政策

本隐私政策说明 Skrybo 收集哪些数据、收集原因、保护方式以及你可作出的选择。它适用于 skrybo.com 上的托管服务及运行相同软件的自托管实例。

对于自托管部署，Skrybo 组织无法访问你的数据——一切都在你自己的基础设施上运行。以下信息说明托管服务的情况。

账户数据。姓名、电子邮箱地址、密码（仅 scrypt 哈希）、首选语言、角色和邮箱验证状态。如果使用 Google 登录，还可能包括可选的 Google OAuth 资料。

会话数据。每个会话存储的会话令牌、IP 地址和用户代理，用于安全和防止滥用。

用量数据。每个账户按月统计的已发送邮件、已验证域名、已配置邮箱、联系人和席位计数。这些计数用于执行套餐限制。

产品数据。你添加的发送域名、DKIM 公共选择器、发件日志、邮箱（通过 WildDuck）、联系人、受众、群发任务、模板、Webhook 端点、抑制列表和 API 密钥。这些是本服务为你生成的工作数据。

计费数据。订阅等级、发票和额度账本记录。银行卡信息由 Polar 处理；Skrybo 不存储完整银行卡号。

厂商凭据。各租户的 Cloudflare DNS 令牌（启用一键 DNS 时）、为每个发送域名生成的 DKIM 私钥、开发者 API 密钥（SHA-256 哈希）及 Webhook 签名密钥。这些数据使用主密钥通过 AES-256-GCM 静态加密。

联系表单消息。如果你使用联系表单，消息内容和邮箱地址会通过 Resend 发送到我们的支持邮箱。

我们将上述数据用于：

• 配置并运营你的账户、发送域名、邮箱和邮件投递。
• 通过速率限制和跨账户隔离执行套餐限制并防止滥用。
• 通过 Polar 处理付款，并维护发票和额度账本历史。
• 发送事务邮件，包括验证、密码重置、额度提醒、投递失败提醒和删除提醒。营销邮件可退订，且仅在启用相应偏好时发送。
• 通过你自己的已验证发送域名发送产品邮件，并将回复投递到网页邮箱。Skrybo 不会出于自身目的读取邮件正文。
• 维护安全审计日志。审计日志绝不记录邮箱地址、请求正文、标头或敏感参数。

会话 Cookie。一个 httpOnly、SameSite=Lax Cookie（better-auth.session_token）用于保持登录状态。在生产环境中会标记为 Secure。

CSRF Cookie。双提交令牌（默认为 x-csrf-token）保护每个通过 Cookie 身份验证的不安全产品请求。它仅限主机、SameSite=Strict，并在生产环境中标记为 Secure。

语言 Cookie。lang Cookie 会将你的界面语言偏好保存一年。

Skrybo 不会使用分析、广告或第三方跟踪 Cookie。

Skrybo 仅与运营本服务所必需的次级处理方共享数据：

• Polar — 付款处理和订阅管理。接收产品 ID、客户引用和 Webhook 事件，不接收发件日志或邮箱内容。
• Cloudflare — 一键管理 DNS 记录，按租户隔离且仅在你授权令牌时使用。只接收发送域名的 DNS 记录集。
• Resend — 仅用于平台自有事务通知，包括邮箱验证、密码重置和联系表单。产品邮件通过你自己的 Skrybo 运营 MTA 发送。

每个次级处理方均受其自身数据保护条款约束。Skrybo 不会出售你的数据。

• 厂商机密和刷新令牌使用主密钥通过 AES-256-GCM 静态加密。
• 密码通过 Better Auth 使用 scrypt 哈希；绝不存储明文密码。
• 跨账户隔离：每个产品路由都会验证所有权，并对他人资源返回 404 而非 403，以免泄露其存在。
• 身份验证和 Webhook 路由上的速率限制可减少暴力破解和大流量滥用。
• 所有账户均可使用双重身份验证（TOTP 和备份码），管理员必须启用。
• Better Auth 对账户端点执行 Origin 和 trusted-origins 检查；每个通过 Cookie 身份验证的不安全产品请求还会使用双提交 Cookie。

没有任何系统绝对安全。如果你认为发现了漏洞，请在公开披露前联系 security@skrybo.com。

只要账户处于活动状态，Skrybo 就会保留产品数据（发件日志、邮箱、联系人、受众、群发任务和模板）。不活跃账户的缓存投递事件可能会被清理以释放空间，但你拥有的数据会保留至你导出或删除。

计费记录（发票和额度账本）会按运营司法管辖区税法要求的期限保留。

包含安全相关元数据的审计日志会滚动保留，且绝不包含邮箱地址或请求正文。

根据你所在的司法管辖区（欧盟/欧洲经济区、英国、加利福尼亚等），你可能有权：

• 获取你的个人数据副本。
• 更正不准确的数据。
• 导出你的数据——结构化 JSON 导出涵盖账户、产品、送达率、用量、团队、计费和审计记录，同时明确排除凭据哈希及加密机密。宽限期内仍可通过网页邮箱和 IMAP 访问邮箱消息。
• 删除账户。删除会进入 30 天宽限期，在此期间可通过 /api/legal/cancel-deletion 取消。确认邮件会注明确切截止时间。届时，可重复使用的凭据会被撤销、活动计费会停止，持久清除流程会删除产品和身份数据。如法律要求，法律保留可能延迟删除。
• 反对或限制某些处理，并可随时在通知偏好中撤回营销邮件同意。
• 如果你认为处理违反适用法律，可向监管机构投诉。

如需行使上述权利，请使用应用内数据权利端点（/api/legal/*）或联系 privacy@skrybo.com。

税法要求保留的发票和财务账本证据会重新关联到一个随机且并非源自用户的标识符。清除完成后，与账户的映射会被销毁。

你的数据可能由 Skrybo 及其次级处理方在居住国以外的司法管辖区处理。涉及欧盟/欧洲经济区时，传输依赖标准合同条款等适当保障措施或其他合法传输机制。

自托管部署会将所有数据保留在你自己的基础设施上，不会传输给 Skrybo。

本服务不面向 16 岁以下儿童。Skrybo 不会明知而收集儿童个人数据。如果你认为未成年人已注册，请联系 privacy@skrybo.com，我们将删除该账户。

在自托管实例中，你控制基础设施、加密密钥和厂商集成。Skrybo 组织不会从你的实例接收数据。对于你在自身部署中处理的数据，你负责遵守本政策的义务，包括数据主体请求。

我们可能不时更新本隐私政策。重大变更会至少提前 30 天通过电子邮件（发送至已验证账户）或应用内通知。下方“最后更新”日期反映最近一次修订。

对本隐私政策或数据主体请求有疑问？请联系 privacy@skrybo.com。