隱私權政策

我們僅在必要且有合法基礎時收集個人資料。根據您與我們的互動方式，我們可能收集以下類別的資訊：

您主動提供的資訊：

• 聯絡資訊：當您提交聯絡表單或發送諮詢時，我們收集您的姓名、電子郵件、公司名稱、電話號碼與留言內容。
• 服務交付資料：在服務簽約後，您可能授權我們存取的系統憑證、網路配置、日誌資料與資安工件，僅用於交付約定的服務。
• 帳戶資訊：如您註冊合作夥伴或客戶入口網站，我們收集必要的身份驗證資訊。

當您造訪我們的網站時，出於資安防護與服務營運目的，我們自動收集以下資訊：

• IP 位址、瀏覽器類型與版本、作業系統、裝置識別碼
• 造訪時間、造訪頁面、停留時長、點擊行為與來源 URL
• Cookie 識別碼及類似技術（詳見第 8 節）
• 針對異常存取的請求特徵資料（用於威脅偵測與濫用防範）

若您建立主控台帳戶，我們會儲存您的電子郵件、姓名、密碼雜湊、所屬組織，以及您自行啟用的雙因素驗證設定。使用 Google 或 GitHub 登入時，我們取得的是該等服務商釋出的基本資料欄位，不含密碼。

付款由 Stripe 處理。卡號於 Stripe 自有的代管欄位輸入，從不傳輸至我們的系統，亦不於我們處儲存。我們收到並保留的是交易紀錄：金額、幣別、狀態、卡別與卡號末四碼，以及辦理退款或管理訂閱所需的 Stripe 識別碼。

於帳戶存續期間，我們保留：

• 訂單與訂閱歷程（含發票），保留期間依稅法對紀錄保存之要求
• 該帳戶曾核發哪些授權及其現況
• 我們就您的帳戶所寄送郵件的投遞紀錄，以便證明授權或續訂通知確已寄出

授權軟體會連線至我們的授權伺服器完成啟用，其後定期確認授權仍屬有效。這是授權檢核的運作方式，之所以在此說明，是因為當中涉及的資料可以識別一台機器，並間接指向某個人。

用途僅限於授權檢核、技術支援與濫用偵測。我們不蒐集您系統中的內容——不蒐集您的日誌、查詢語句、業務資料，也不蒐集軟體產出的結果。

每次啟用與心跳會記錄：

• 由機器識別碼衍生的硬體指紋，用於將授權綁定至部署並執行節點數限制
• 請求來源 IP 位址與請求時間
• 產品、版本、軟體版號與授權識別碼
• 檢核是否通過；未通過時記錄失敗原因

對歐盟與英國客戶，我們的法律依據為履行契約所必要（缺少該等資料即無法執行授權檢核）以及防範授權濫用之正當利益。心跳紀錄依滾動週期清理，不會無限期保留；啟用紀錄於授權存續期間保留，因為授權本身正是由其所定義。

我們僅出於明確、合法、必要的目的處理您的個人資料：

• 回應您的諮詢與服務請求，交付已約定的服務
• 營運、維護、最佳化我們的網站與服務品質
• 與您溝通服務狀態、重要通知、資安事件預警
• 經您同意後發送產品更新與行銷資訊，您可隨時取消訂閱
• 識別、預防詐騙、濫用與資安威脅
• 履行法律義務、回應司法或監管請求、維護我們與他人的合法權益

根據您所在地的法律，我們處理您個人資料的合法性依據包括：

• 您的同意（如訂閱行銷、非必要 Cookie）
• 合約履行（如交付您請求的服務、回覆諮詢）
• 法定義務（如依法保存稅務、稽核、執法要求的記錄）
• 合法利益（如網站安全營運、詐騙防範、服務改進），且該利益不會不合理地凌駕於您的基本權利之上

我們絕不出售您的個人資料。我們僅在以下情形下共享必要資訊：

• 服務提供者：為支撐業務運行，我們與經嚴格資安評估並簽署資料處理協議的受託方共享資料，包括雲端託管（Vercel）、郵件服務（Resend）、即時通訊通知（飛書）、身份認證、資料分析等
• 集團關聯方：在必要且符合本政策的前提下，與 Reallysec 全球關聯實體（倫敦、墨爾本、矽谷辦公室）共享
• 法律要求：在法律、法院命令、政府機關合法要求下揭露
• 業務變更：如發生合併、收購、資產轉讓，繼受主體將承繼本政策義務
• 權利保護：為保護我們或他人的合法權利、安全與財產而必要時

我們使用少數幾家處理者來營運本服務。每一家僅取得其職能所必要的資料，受資料處理協議拘束，且均不得將您的資料用於其自身目的。

目前的處理者：

• Stripe——付款處理、訂閱計費與退款
• Cloudflare——公開表單的機器人防護與網路層防護
• 郵件投遞服務商——授權交付、信箱驗證、密碼重設與續訂通知
• 主機服務商——承載本服務運行的伺服器

在新增以實質不同方式處理個人資料的處理者之前，我們會先公布更新後的清單。若您的法遵紀錄需要一份書面的現行清單，向我們索取即可。

Reallysec 在合肥、倫敦、墨爾本、矽谷設有辦公機構，您的個人資料可能在您所在國/地區之外處理。

對於從中國向境外傳輸的個人資料，我們將依據《個人信息保護法》第 38 條履行安全評估、標準合約備案、或取得個人資料保護認證等法定程序。對於從歐洲經濟區傳輸至境外的資料，我們採用歐盟標準合約條款（SCCs）及必要的補充保障措施。

我們僅在實現本政策所述目的所必需的期限內保留您的個人資料，保留期限綜合考量處理目的、法律義務、合理商業需要等因素：

• 聯絡表單提交資訊：自提交之日起 24 個月，除非業務合作持續存在
• 服務交付相關記錄：依照《服務合約》約定，通常為專案結束後 3-7 年（用於稽核、合規與潛在爭議解決）
• 網站造訪日誌：最長 12 個月
• 法律法規另有規定的，從其規定。超過保留期限的，我們將及時刪除或匿名化處理

根據《個人資料保護法》、GDPR 等適用法律，您對您的個人資料享有以下權利：

• 知情權與決定權：瞭解我們如何處理您的資訊，限制或拒絕處理
• 查閱、複製權：取得您個人資料的副本
• 更正、補充權：更新不準確或不完整的資訊
• 刪除權（被遺忘權）：在法定情形下要求刪除
• 可攜權：以結構化、常用、機器可讀的格式取得資料並傳輸至其他機構
• 撤回同意權：對基於同意的處理，您可隨時撤回
• 申訴權：向所在地主管機關、資料保護機關（如英國 ICO、歐盟各國 DPA）申訴

我們使用以下幾類 Cookie：

• 必要 Cookie：保障網站基本功能（如語言偏好、主題切換、安全權杖），無需同意
• 功能 Cookie：記住您的選擇，提升使用體驗
• 分析 Cookie：瞭解網站使用模式以持續最佳化（我們盡可能使用隱私友善的分析方案）

作為網路資安公司，我們以遠高於業界平均的標準保護客戶資料。我們已通過 ISO/IEC 27001:2022 資訊安全管理體系、ISO 9001:2015 認證，核心專家持有 CISM、OSCP 等國際資格。

具體技術與管理措施包括：

• 傳輸加密（TLS 1.3）與儲存加密（AES-256）
• 最小權限存取控制、多因素驗證（MFA）、特權帳戶稽核
• 7×24 小時 SOC 即時監控與入侵偵測
• 定期滲透測試、紅隊演練與第三方資安稽核
• 完善的資安事件回應流程與定期演練
• 員工資安意識訓練與嚴格的保密義務

儘管我們實施了嚴格的資安措施，但沒有任何系統能夠保證絕對安全。若發生個人資料外洩事件，我們將按照適用法律及時通知受影響的用戶與監管機關。

我們的網站與服務主要面向企業用戶，不以未滿 14 週歲（中國）或適用司法管轄區認定的其他未成年年齡的兒童為對象。我們不會明知故犯地收集未成年人個人資料。如您發現未成年人向我們提供了資訊，請立即透過本政策末尾的聯絡方式告知我們，我們將核實後刪除。

我們的網站可能包含指向第三方網站或服務的連結，本政策不適用於這些第三方。請在造訪第三方網站前仔細閱讀其隱私政策。

我們可能根據業務發展、法律變化或技術更新修訂本政策。重大變更將透過網站公告、電子郵件或其他合理方式事先通知您，並更新頁面頂部的“最後更新”日期。您在變更生效後繼續使用我們的服務，即視為接受更新後的政策。