隐私政策
最后更新日期：2026年02月11日
版本：1.3
导言
SEKAI Pass（以下简称"本服务"或"我们"）非常重视用户的隐私保护。本隐私政策旨在向您说明我们如何收集、使用、存储和保护您的个人信息。
请您务必仔细阅读并充分理解本政策，特别是以加粗形式标注的条款。在使用本服务之前，请确认您已充分理解并同意本政策。如果您不同意本政策的任何内容，请立即停止使用本服务。
我们收集的信息
您主动提供的信息
为了提供用户认证服务，我们需要收集以下信息：
| 信息类型 | 用途 | 说明 |
|---|---|---|
| 用户名 | 唯一标识用户 | 必填项，用于登录和识别身份 |
| 电子邮箱 | 账户唯一标识、找回密码 | 必填项，用于账户验证和通知 |
| 密码 | 验证用户身份 | 不存储明文密码，仅存储经过 PBKDF2 算法哈希处理后的凭据 |
| 显示名称 | 个性化展示 | 可选项，用于在界面中显示用户昵称 |
| 头像URL | 个性化展示 | 可选项，用于显示用户头像 |
| 授权信息 | OAuth 2.0 流程 | 记录您授权给第三方应用的信息 |
自动收集的信息
当您使用本服务时，系统会自动收集以下信息：
- 网络日志：IP 地址、User-Agent、访问时间等（由 Cloudflare 基础设施自动记录）
- 会话 Cookie：用于维持您的登录状态（Session ID）
- 安全验证数据：Cloudflare Turnstile 验证令牌（用于区分人类用户与机器人）
我们不主动收集的信息
本服务不会主动收集以下信息：
- 真实姓名、身份证号、电话号码
- 精确地理位置数据
- 支付和财务信息
- 生物识别信息
信息的存储与安全
存储位置与跨境传输
您的账户数据存储在 Cloudflare D1 数据库中。 根据 Cloudflare 的服务架构，您的数据可能存储在以下地区的服务器：
- 美国
- 欧盟成员国
- 亚太地区（包括新加坡、日本等）
跨境传输说明：
- 数据接收方：Cloudflare, Inc.（美国公司）
- 传输机制：我们依据 Cloudflare 的标准合同条款（Standard Contractual Clauses）进行数据跨境传输
- 安全保障：Cloudflare 承诺提供与中国法律相当的个人信息保护水平，并遵守 GDPR 等国际数据保护标准
- 您的权利：您有权了解接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及您向接收方行使个人信息权利的方式和程序等事项
- 联系方式：如需了解更多跨境传输信息，请通过本政策的联系方式与我们联系
重要提示：本服务为个人开发的非商业项目，未进行国家网信部门的安全评估。如您对数据跨境传输有顾虑，请谨慎使用本服务。
数据安全
密码安全：我们采用行业通用的 PBKDF2 算法对您的密码进行单向哈希加密存储。管理员无法查看您的明文密码。
传输安全：所有数据传输均经过 HTTPS 加密协议。
会话安全：登录会话 Cookie 设置了 HttpOnly 和 Secure 属性（在生产环境中）。
数据保留
- 活跃账户: 只要您维持账户，我们就会保留您的账户信息
- 注销账户:
- 您可通过联系方式申请注销账户
- 注销后，您的个人信息（用户名、邮箱、密码哈希、显示名称、头像URL）将在 30天内 从生产数据库中永久删除
- 备份系统中的数据将在 90天内 自动清除
- 法律要求保留的日志数据（如安全审计日志）将保留 6个月，到期后自动删除
Cookies 使用说明
本服务的 Cookies 使用
本服务使用 Cookies 来维持您的登录会话（Session Management）。
| Cookie 名称 | 用途 | 期限 |
|---|---|---|
auth_session | 存储加密的会话 ID，用于识别已登录用户 | 会话有效期内 |
这些 Cookies 是本服务正常运行所必需的。拒绝这些 Cookies 将导致无法登录。
您的权利
访问与更正
您可以登录后查看您的个人资料。由于本服务收集的信息极少（仅用户名和密码哈希），您可以通过界面了解您的账户状态。
删除您的数据（注销账号）
您可以通过联系方式申请注销您的账户。注销后：
- 您的用户名、邮箱、密码哈希及相关授权记录将在 30天内 从生产数据库中永久删除
- 备份系统中的数据将在 90天内 自动清除
- 法律要求保留的日志数据将保留 6个月 后删除
注意：账户注销后无法恢复，请谨慎操作。
服务内容
本服务向用户提供以下功能：
- 用户注册与账户管理
- 单点登录 (SSO) 认证服务
- OAuth 2.0 授权服务（允许第三方应用通过本服务验证您的身份）
- 安全的会话管理
- 其他本服务可能不时推出的功能
禁止行为（补充）
除基础条款外，使用本服务时还禁止以下行为：
安全攻击行为：
- 试图未经授权访问本服务的数据库或服务器
- 利用本服务进行网络攻击、暴力破解或拒绝服务攻击 (DoS)
滥用认证服务：
- 注册恶意账号或机器人账号
- 滥用 OAuth 接口进行垃圾请求
知识产权声明
原创代码
本服务的原创源代码（TypeScript, SQL 等）采用 MIT 许可证开源。
软件界面
本服务的界面设计、交互逻辑均为原创或基于通用设计规范。
第三方服务
本服务使用以下第三方服务。这些第三方服务可能会按照其各自的隐私政策收集相关信息：
Cloudflare
- 服务：Cloudflare Workers (计算), Cloudflare Pages (托管), Cloudflare CDN (内容分发)
- 用途：托管服务、内容分发、安全防护
- 数据：Cloudflare 可能会收集您的 IP 地址、系统配置信息及其他流量数据以提供安全防护和性能优化
- 隐私政策：https://www.cloudflare.com/privacypolicy/
- 责任划分：
- 我们作为数据控制者，对个人信息处理活动承担主要责任
- Cloudflare 作为数据处理者，按照我们的指示处理数据
- 我们已采取合理措施确保 Cloudflare 的数据处理符合相关法律要求
- 对于 Cloudflare 的数据处理行为，我们承担监督责任
我们不控制这些第三方服务的具体运营，也不对其超出授权范围的数据收集和处理行为负责。建议您阅读相关第三方的隐私政策以了解更多信息。
Cookies 使用说明
数据处理的法律基础
我们基于以下法律基础处理您的个人数据：
- 履行合同：为向您提供服务所必需的数据处理（如账户管理、服务交付）
- 合法权益：基于我们的合法权益进行的数据处理（如安全防护、服务改进），前提是不会对您的权利和自由造成不当影响
- 同意：在某些情况下，我们会在获得您明确同意的基础上处理您的个人数据（如可选功能）
- 法律义务：为遵守法律义务而进行的数据处理（如日志留存）
第三方 Cookies
托管服务（Cloudflare）可能会使用 Cookies 来：
- 提供安全防护（如 DDoS 防护、Turnstile 人机验证）
- 优化性能和内容分发
您可以通过浏览器设置管理或禁用 Cookies，但这可能会影响服务的正常访问。
Cookie 同意：Cloudflare 的某些 Cookie 可能需要您的同意。首次访问时，您可以通过浏览器设置选择是否接受这些 Cookie。
未成年人保护
年龄限制
如果您未满 14 周岁，请勿使用本服务。 如果您是 14 周岁以上、18 周岁以下的未成年人，请在法定监护人的陪同下阅读本隐私政策，并在取得监护人书面同意后使用本服务。
年龄验证
本服务依赖用户自我声明年龄。我们不主动验证用户年龄，但如发现未成年人在未取得监护人同意的情况下使用本服务，我们将立即采取措施保护其权益。
特殊保护
我们不会主动收集未成年人的个人信息。如发现在未取得监护人同意的情况下收集了 14 周岁以下未成年人的信息，我们将立即删除相关数据。
数据安全事件
安全事件通知
如果发生个人信息泄露、篡改、丢失等数据安全事件，我们将：
及时通知：在发现安全事件后 72小时内 通过以下方式通知受影响的用户：
- 网站公告
- 电子邮件（如有）
- GitHub 公告
告知内容：
- 安全事件的基本情况和可能的影响
- 我们已采取或将要采取的处置措施
- 您可以自主防范和降低风险的建议措施
- 针对您的补救措施
监管报告：根据法律要求，向有关主管部门报告安全事件
应急响应
我们已建立数据安全应急响应机制，包括：
- 安全事件监测和预警
- 应急处置流程
- 事后评估和改进措施
隐私政策的变更
变更通知
我们可能会不时更新本隐私政策。更新后的政策将在本页面发布，并更新"最后更新日期"。
继续使用
本隐私政策变更后，如果您继续使用本服务，即视为您已接受变更后的隐私政策。
联系我们
数据处理者信息
- 项目名称：SEKAI 生态 / SEKAI Platform
- 开发者：bili_47177171806
- GitHub Organization：https://github.com/25-ji-code-de
- 联系方式：通过 GitHub Issues 或 GitHub 个人资料页面联系
用户权利与投诉
如果您对本隐私政策有任何问题、意见或疑虑，或者发现任何安全漏洞，或需要行使个人信息权利（查阅、更正、删除、注销账户等），请通过以下方式联系我们：
- GitHub Organization：https://github.com/25-ji-code-de
- 响应时间：我们将在收到请求后 15日内 响应您的请求
使用本服务即表示您已阅读、理解并同意本隐私政策的所有条款。
（完）