01 / WEBSITE AND ACCOUNT
网站与账户处理什么
- 托管与安全Cloudflare 可能处理 IP 地址、时间、请求路径、User-Agent、响应状态、Turnstile 验证结果和安全事件，用于提供、保护、限流和排障。
- 账户与试用无密码登录会保存规范化邮箱、邮箱验证时间、试用开始/结束时间、付费转换时间及哈希后的一次性令牌和会话令牌。CrossFlow 不保存账户密码。
- 条款记录用户主动勾选并成功验证邮箱后，会保存当时的服务条款版本、隐私说明版本、接受来源与时间，用于证明账户适用的产品约定；不会借此订阅营销邮件。
- 设备授权登录桌面端会保存随机安装标识、用户可见设备名称、操作系统、激活/最后在线/撤销时间和权益状态；不使用硬件指纹。
- 浏览器偏好语言偏好保存在浏览器 localStorage；安全会话使用 Secure、HttpOnly Cookie。清除站点数据会移除本地偏好和会话。
- 当前边界网站不接受真实付款；只有获授权账户可进入 Paddle Sandbox 测试结账。网站不设置广告追踪、营销画像或客户端分析 SDK。创建账户是可选的，但启动试用和使用账户授权功能需要登录。
02 / PADDLE
Sandbox 与未来 Live 结账数据
受控测试中，Paddle Sandbox 会独立处理测试姓名、邮箱、地址、付款方式、税务与交易数据；这些交易不会产生真实扣款。正式销售开放后，Paddle 计划以 Merchant of Record 身份处理真实交易。付款字段由 Paddle Checkout 收集，CrossFlow 不接触完整卡号。请阅读 Paddle Privacy Notice。
CrossFlow 只接收完成账户绑定、权益交付、许可管理、订单支持、防欺诈、退款协作和法定义务所需要的客户与交易字段，例如 Paddle 客户/交易标识、购买产品、状态、时间、邮箱和必要地区信息。Sandbox 数据与未来 Live 订单数据都不会自动用于营销；营销订阅必须单独同意。
03 / FEEDBACK AND SUPPORT
GitHub 反馈可能是公开的
普通问题通过公开 GitHub 仓库提交，内容、用户名和附件默认公开。不要提交密钥、局域网地址、私人剪贴板、付款资料或其他个人数据。GitHub 按其自己的隐私条款处理账户与平台数据。
安全、隐私或可能被滥用的问题必须使用 GitHub 私密漏洞报告，不要创建公开 issue。
04 / DESKTOP APP
应用数据边界
登录版本只向账户服务发送完成 OAuth 登录、设备席位、令牌刷新和权益租约所需的数据。访问令牌保存在 macOS Keychain 或 Windows DPAPI 保护的本机存储中；离线租约不包含邮箱。
键鼠事件、剪贴板内容和局域网文件传输继续在已连接设备之间直连，不会成为账户数据库或营销分析数据。当前没有客户端分析 SDK；任何未来诊断导出必须由用户主动触发并可在发送前检查。
05 / PURPOSE, RETENTION, SHARING
用途、保存与共享
一次性登录链接有效 15 分钟，授权码有效 5 分钟；过期或已使用的一次性记录在每日维护中经过最多 24 小时运行宽限后清理。浏览器与设备刷新会话最长 30 天，过期或撤销后经过 7 天运行宽限清理。账户、设备、权益及条款版本记录保留到用户撤销、提出删除请求，或合同、安全、退款、税务与法定义务不再需要为止。
数据只会向提供托管与邮件发送的 Cloudflare、用于受控 Sandbox 测试及未来真实付款的 Paddle、问题跟踪、安全或法律服务的必要处理方披露，或在法律要求、保护用户与产品安全时披露。不会出售个人数据。
06 / YOUR CHOICES
访问、更正与删除请求
适用法律可能赋予你访问、更正、删除、限制、反对或导出个人数据的权利。登录后可在 CrossFlow 账户页自助导出当前账户、试用、设备与账单镜像的机器可读 JSON；该文件不包含登录令牌、凭证哈希或 Webhook 运行记录。订单付款数据与收据请求应先通过 Paddle Buyer Support。CrossFlow 更正、删除或其他隐私请求请使用私密报告，并在标题中写明“Privacy request”；不要把隐私请求提交到公开 issue。
在专用隐私邮箱完成配置前，私密 GitHub 报告是当前非公开联系路径。该限制会在正式结账开放前复核。