1. 我们收集的信息
我们收集若干类别的信息，以便有效且安全地运营我们的加密货币支付平台。以下描述的类别反映了我们直接从您那里收到的、通过您使用我们的服务观察到的，以及在合法情况下从第三方来源获得的信息。
- 账户信息： 您注册时使用的姓名和电子邮件地址、您指定用于接收付款的钱包地址，以及在您使用 Google 或 Facebook 登录时该提供商返回给我们的账户标识符。您可以选择添加头像。我们目前不开展了解你的客户（KYC）程序，也不会索取您的出生日期、身份证件或地址证明。若我们日后引入身份验证，我们将更新本政策，并在其适用于您的账户之前通知您。
- 技术信息： 设备型号和操作系统、唯一设备标识符、浏览器类型和版本、IP 地址、时区设置、语言偏好、来源网址、访问过的页面以及汇总的使用统计数据。这些信息有助于我们了解服务的使用情况并改进其性能。您的 IP 地址会与您创建的付款一并记录，根据 GDPR 及类似法律，它被视为个人数据，而非匿名技术数据。
- 支付和交易信息： 与通过 Eppay 处理的付款相关的交易明细，包括所使用的区块链网络（Ethereum、BSC、Polygon、Tron 等）、涉及的钱包地址、交易哈希、代币类型（USDT、USDC）、金额和时间戳。当商户在结账时收集买家信息时，我们还会存储商户随付款一并提交的买家姓名、电子邮件地址、电话号码和收货地址。由于区块链交易记录在公共账本上，任何掌握交易哈希或钱包地址的人都可以永久查看某些交易数据。
- Cookies 和跟踪数据： 通过 Cookies、网络信标和类似技术自动收集的信息 — 完整详情请参见第 7 节。
2. 我们如何使用您的信息
我们将收集的信息用于以下目的，每项均以合法商业需要或下方第 12 节所述法律依据为基础：
- 提供、运营和改进我们的服务，包括处理您的加密货币支付，并在多个区块链网络上保持支付网关的可靠性。
- 处理交易和支付、验证链上结算、生成和管理 API 密钥，以及与我们的商户对账支付记录。
- 就您的账户、交易、安全警报、技术通知、支持请求等与您沟通，并在您同意的情况下发送有关新功能和更新的促销材料。
- 遵守适用的法律法规，包括对我们适用的反洗钱、反恐怖主义融资和税务申报义务，并回应主管机关的合法要求。若未来的义务要求我们核验账户持有人的身份，我们将在收集任何额外信息之前通知您。
- 检测、调查和预防欺诈交易、未经授权的访问以及其他非法或滥用行为；保护我们的权利以及用户和商户的权利。
- 进行内部分析、开发新功能并开展研究，以增强我们平台的安全性、性能和可用性。
3. 共享您的信息
我们不会出售您的个人信息。我们仅在下述有限情况下共享您的信息，并且仅与受适当保密和数据保护义务约束的各方共享。
- 第三方服务提供商： 我们委托可信的供应商代表我们提供服务，包括云托管服务商、区块链节点运营方、客户支持平台和邮件投递服务。我们目前不使用第三方身份验证或广告供应商。这些供应商依合同仅可为 Eppay 提供服务而使用您的信息，并须按照本隐私政策予以保护。
- 执法和法律请求： 当法律、法院命令、传票或其他法律程序要求时，或者当我们善意地认为披露对于遵守监管义务、执行我们的条款、保护我们的权利或财产或预防伤害是必要的时，我们可能会披露您的信息。
- 业务转让： 如果 Eppay 涉及合并、收购、融资、重组或全部或部分资产出售，您的信息可能作为该交易的一部分被转让，但须遵守标准的保密和通知保护。
- 经您同意： 我们可能在您明确授权披露的情况下与第三方共享信息，例如将您的账户连接到合作伙伴集成或与商户共享交易确认。
- 汇总或去识别化数据： 我们可能为研究、报告、行业基准或营销目的共享无法合理用于识别您身份的汇总统计数据或去识别化信息。
我们不会为第三方自身的营销目的而出售、出租或交易您的个人信息。
4. 数据保留和删除
我们仅在为本隐私政策中所述目的、遵守我们的法律和监管义务、解决争议和执行我们的协议所必需的时间内保留您的个人数据。
具体而言：账户信息在您的账户处于活动状态期间保留，并在账户关闭后最多保留七（7）年，以符合财务记录保存要求；与付款相关的交易记录依据反洗钱法规至少保留五（5）年；商户随付款提交的买家信息在该付款记录保留期间一并保留；营销偏好则保留至您选择退订为止。我们不收集身份验证文件，因此也不持有任何此类文件。
区块链交易数据本质上是永久性的，无法从公共账本中删除。当您请求删除账户时，我们会从我们的系统中删除或匿名化个人数据，但过往交易的链上记录将仍然在相关区块链上可见。
您可以通过第 9 节中提供的地址联系我们以请求删除您的个人数据。在验证您的身份后，除非法律要求保留，否则我们将删除或匿名化您的数据。
5. 数据安全
我们采用符合行业标准的技术和组织安全措施，旨在保护您的信息免受未经授权的访问、更改、披露和销毁。
我们的安全计划包括：
- 对您的设备与我们的服务器之间传输的所有数据进行 TLS 加密，并对静态敏感数据进行 AES-256 加密。
- 严格的访问控制、管理访问的多因素身份验证以及对内部人员实施最小权限原则。
- 持续监控、入侵检测、定期漏洞扫描以及定期的第三方安全审计。
- 安全的软件开发实践，包括代码审查、依赖项扫描以及针对安全研究人员的负责任披露计划。
尽管有这些保障措施，但通过互联网传输或电子存储的任何方式都不是百分之百安全的。我们无法保证绝对的安全性，您有责任对您的账户凭证和自托管钱包密钥保密。
6. 您的权利
根据您所在的司法管辖区，您可能对您的个人信息享有以下权利：
- 访问权 – 获得确认我们是否处理您的个人数据并接收该数据的副本。
- 更正权 – 无不当延迟地更正不准确或不完整的个人数据。
- 删除权（"被遗忘权"） – 请求删除您的个人数据，但需遵守法律保留要求。
- 限制处理权 – 在某些情况下限制我们处理您数据的方式。
- 数据可携权 – 以结构化、常用、机器可读的格式接收您的个人数据，并将其传输给另一个控制者。
- 反对权 – 反对基于我们合法利益或直接营销目的的处理。
- 撤回同意权 – 当处理基于您的同意时，您可以随时撤回同意，而不影响先前合法的处理。
- 投诉权 – 向您居住国或工作地的监管机构提出投诉。
要行使任何这些权利，请通过 info@eppay.io 联系我们。我们将在适用法律要求的时间范围内（通常为三十天）回应已验证的请求。
7. Cookies 和跟踪技术
我们使用 Cookies、网络信标、像素标签和类似技术来运营我们的服务、记住您的偏好、分析流量，并在允许的情况下提供相关内容。
我们使用以下类别的 Cookies：
- 必要 Cookies – 用于核心功能所必需，例如身份验证、会话管理和安全。这些无法被禁用。
- 分析类 Cookie — 用于以汇总方式了解访问者如何与我们的服务互动，以便我们改进性能。我们目前未在本网站运行任何第三方分析代码；如果日后添加，本政策将在启用前载明该提供商的名称。
- 功能性 Cookies – 记住您的偏好，例如语言和货币设置。
- 营销类 Cookie — 将用于投放与您的兴趣相关的广告。我们目前未在本网站投放广告或转化跟踪像素。若情况发生变化，仅在需要征得同意的情形下经您同意后才会设置。
您可以通过浏览器设置控制或禁用 Cookies；但是这样做可能会影响我们服务的功能。大多数浏览器允许您完全拒绝 Cookies、仅接受第一方 Cookies 或在设置 Cookie 时收到通知。
8. 本隐私政策的更新
我们可能会不时更新本隐私政策，以反映我们做法、技术、法律要求的变化或出于其他运营原因。
当我们进行重大变更时，我们会通过在本页面上发布更新后的政策并修订"最后更新"日期来通知您，必要时还会在变更生效前通过电子邮件或应用内通知向您发送通知。
我们鼓励您定期查看本隐私政策，以了解我们如何保护您的信息。在任何变更后您继续使用我们的服务即构成您对更新后隐私政策的接受。
9. 联系我们
如果您对本隐私政策或我们的数据实践有任何问题、疑虑或请求，请联系我们的隐私团队。我们力求在五 (5) 个工作日内回复所有询问。
- 电子邮件： info @ eppay.io
对于特定于数据保护的查询，包括根据 GDPR、CCPA 或类似法律行使您权利的请求，请在消息主题行标注"Privacy Request"，以便将其转给相应团队。
10. 可访问性
本隐私政策可在我们的网站 https://eppay.io/privacy_policy 上查看，也可以直接从我们的移动应用程序中访问。提供十六种语言的翻译 — 英语、西班牙语、法语、德语、土耳其语、阿拉伯语、中文、日语、俄语、葡萄牙语、印地语、印度尼西亚语、韩语、泰语、菲律宾语和越南语 — 以便用户能够以他们最能理解的语言查看自己的权利。如果出于可访问性原因您需要本政策的替代格式，请联系我们。
11. 国际数据传输
Eppay 在全球范围内运营，您的信息可能会被传输到您居住国家以外的国家进行存储或处理，包括可能无法提供与您本国相同水平的数据保护的司法管辖区。
当我们在国际间传输个人数据时，我们会实施适当的保障措施 — 例如欧盟委员会批准的标准合同条款 — 以确保您的信息得到与适用数据保护法律一致的标准保护，包括针对欧洲经济区和英国用户的 GDPR。
通过使用我们的服务，您理解您的信息将被传输到 Eppay 或其服务提供商运营的司法管辖区进行处理。
12. 处理的法律依据（欧洲经济区 / 英国用户）
对于欧洲经济区、英国和其他具有类似数据保护制度地区的用户，我们根据以下一项或多项法律依据处理您的个人数据：
- 合同的履行 – 为提供您所请求服务而必需的处理，例如执行您发起的支付。
- 合法利益 – 出于我们合法商业利益所必需的处理，例如欺诈预防、网络安全和产品改进，前提是这些利益不超越您的权利和自由。
- 法律义务 – 为遵守我们的法律义务而必需的处理，例如反洗钱报告和税务记录保存。
- 同意 – 基于您明确同意的处理，您可以随时撤回（例如，用于营销通信或非必要 Cookies）。
13. 儿童隐私
我们的服务不针对 18 岁以下的个人，我们不会有意收集他们的个人信息。如果我们发现已在未经核实的父母同意下从 18 岁以下儿童处收集了个人信息，我们将尽快采取措施删除此类信息。
如果您认为儿童向我们提供了个人信息，请通过 info@eppay.io 联系我们，我们将立即进行调查。
14. 加州隐私权（CCPA / CPRA）
如果您是加州居民，您根据《加州消费者隐私法案》(CCPA) 及其修正版《加州隐私权法案》(CPRA) 享有额外权利：
- 知情权 – 了解我们收集了您的哪些个人信息以及我们如何使用和披露这些信息。
- 删除权 – 在特定例外情况下，删除我们从您处收集的个人信息。
- 更正权 – 更正不准确的个人信息。
- 选择退出权 – 退出个人信息的出售或共享 – Eppay 不出售个人信息。
- 限制使用权 – 限制对敏感个人信息的使用。
- 不被歧视权 – 因行使您的隐私权而不受歧视。
要行使这些权利，请通过 info@eppay.io 联系我们。您也可以指定一名授权代理人代表您提出请求，但需经我们对代理人授权的验证。
15. 数据泄露通知
在不太可能发生的、影响您个人信息并可能对您的权利和自由造成高风险的数据泄露事件中，我们将按照适用法律的要求，在意识到泄露后七十二 (72) 小时内通知相关监管机构。
在泄露可能对您个人造成高风险的情况下，我们还将不无故延迟地直接通知受影响的用户，提供有关泄露性质、受影响数据类别、可能后果以及我们正在采取的缓解影响措施的信息。
16. 土耳其数据保护法（KVKK）
Eppay 由土耳其运营，因此第 6698 号《个人数据保护法》（Kişisel Verilerin Korunması Kanunu，简称「KVKK」）适用于我们的处理活动，无论您身处何地。当 KVKK 与 GDPR 同时适用时，我们遵循对您保护更强的一方。
数据控制者： 根据 KVKK 第 3 条，我们就本政策所述个人数据作为数据控制者（veri sorumlusu）行事。数据保护事宜的联系地址为 info@eppay.io。
处理的法律依据： 我们依据 KVKK 第 5 条所列理由处理个人数据：处理为订立或履行合同所必需（运营您的账户并执行您创建的付款）、为履行法定义务所必需、在不损害您基本权利的前提下为我们的正当利益所必需（防范欺诈与平台安全），其余情形则以您的明确同意为依据。
向境外传输： KVKK 第 9 条规范个人数据向土耳其境外的传输。我们的托管服务商、区块链节点运营方和邮件投递服务可能在境外处理数据，我们据此依赖第 11 节所述的保障措施，并在必要时依赖您的明确同意。区块链记录本质上是公开且跨国的；第 4 节对此有说明。
您依第 11 条享有的权利： 您可以询问您的个人数据是否正在被处理、要求获知该处理的相关信息、了解其处理目的以及是否按目的使用、知悉在境内或境外被披露的第三方、要求更正不完整或不准确的数据、要求删除或销毁数据、要求将更正或删除通知上述第三方、对仅通过自动化分析产生的结果提出异议，并就因违法处理所受损害请求赔偿。
如何行使： 请发送邮件至 info@eppay.io，并在主题中注明「KVKK」。依照第 13 条的要求，我们最迟在三十（30）日内免费答复。若您对我们的答复不满意，可向土耳其个人数据保护局（Kişisel Verileri Koruma Kurumu）投诉。
身份证件： 我们不会通过本应用收集国民身份号码、身份证件或生物识别数据。依据 KVKK 第 6 条，这些属于特殊类别的个人数据，需要单独的法律依据和您的明确同意；若我们日后引入身份验证，将公布其依据并在其适用之前通知您。