隐私政策

1. 引言与适用范围

REDOUN（以下简称「我们」、「平台」或「REDOUN」）致力于为全球用户与生态开发者提供安全、去中心化理念与极简主义的统一身份认证中枢（Identity Provider）及多应用商业通行证服务。我们深知个人隐私与数据主权的重要性，严格恪守《欧盟通用数据保护条例》（GDPR）、《加州消费者隐私法案》（CCPA）及其他适用的国际隐私保护基准。本政策旨在以透明、清晰、专业的方式，向您阐述我们如何处理您的个人信息，以及我们如何运用现代密码学保障您的数据主权。

2. 个人信息收集与数据最小化原则

遵循「数据最小化（Data Minimization）」与「非必要不收集」之最高原则，我们仅收集维持账户核心安全与提供服务所不可或缺的数据：

• 账户基础标识：您在注册时主动提供的电子邮件地址（全域经小写规范化处理）；可选的个人显示昵称与头像文件；
• 密码学公钥凭据（零生物特征隐私承诺）：通过 FIDO2 / WebAuthn 标准绑定的 Passkey 凭据公钥、凭据 ID 及认证器技术参数（设备硬件型号摘要）。用户的生物识别特征（如指纹、Face ID、Windows Hello）完全由用户本地设备硬件安全元件独立隔离验证，绝不会上传、传输或保存在 REDOUN 服务器；
• 多因子安全凭证：经 AES-256-GCM 高强度信封加密的 TOTP 身份验证器密钥；经不可逆单向加密的 PBKDF2/SHA-256 安全恢复码凭据；
• 第三方联合登录标识：经您主动授权的 OAuth 2.0 第三方账号唯一受托标识符（如 Google 账号之 OpenID Sub 唯一机器码，绝不抓取您的第三方通讯录、好友关系或私人数据）；
• 商业订阅只读事实：关联至支付平台 Paddle 的用户交易流水编号、生效套餐级别（Free / Pro / Pro Max）及权益起止周期，我们绝不收集、处理或转存您的信用卡号、安全码（CVV）或银行支付账户等核心财务信息；
• 网络安全与风控元数据：登录与请求时的来源 IP 地址不可逆哈希摘要（sha256）、浏览器 User-Agent 字符串、设备系统平台基本分类，仅用于防撞库攻击与异常异地登录预警。

3. 信息使用目的与合法性基础

我们基于履行服务契约、保障平台公共安全及合法合规利益，仅在以下明确范围内使用所收集的信息：

• 身份确权与会话维系：验证您的身份真伪，颁发具备密码学防篡改保障的会话凭证（JWT），维系跨设备的安全登录状态；
• 多因子强鉴权防护：在您执行高危特权操作（如重置密钥、调整应用授权、注销账户、申请退款）时触发二次生物识别或 TOTP 动态码验证；
• 生态子应用单点登录（SSO）：基于标准 OAuth 2.0 PKCE 协议，向经您主动核准的子应用下发最小特权访问令牌；
• 商业权益派发与核验：实时裁决您在各生态子应用中应享有的 Pro 或 Pro Max 会员特权；
• 防御恶意网络威胁：监测并熔断暴力破解、密码枚举、自动化机器人灌水与跨站伪造请求；
• 事务性通信与服务公告：向您的安全邮箱发送注册验证码、登录安全警报、14天网关保活心跳回执及关键政策修订。

4. 零知识密码学架构与端到端安全防御

REDOUN 将「密码学确权（Cryptographic Sovereignty）」作为系统的最高防御信仰。我们重构了传统的云端中心化信任模型，依托边缘无服务器架构构建纵深安全壁垒：

我们的安全防御体系具体落实为以下确定性事实：

• 零生物特征暴露机制：Passkey 私钥牢固锚定在用户物理设备的独立硬件安全芯片（Secure Enclave / TPM）内永不外泄；云端边缘 Worker 仅持有公钥用于挑战签名验证（Challenge-Response Verification），即使服务器遭遇极端攻击，也无法推导或逆向出用户的任何生物特征；
• 双层信封加密（Envelope Encryption）：TOTP 种子密钥与安全恢复码在落盘存储前，全量由运行在 Cloudflare 边缘的 AES-256-GCM 独立加密密钥（Storage Encryption Key）进行信封封包，数据库脱机备份亦全为不可逆密文，彻底打破自指泄露悖论；
• 纯内存瞬态处理：验证码哈希比对与动态解密均在隔离的边缘计算内存中完成，内存随请求消亡即刻清零释放，绝不落地写入明文物理介质；
• 无状态安全票据：验证码票据基于原生 Web Crypto HMAC-SHA256 签发，内置 300 秒硬失效与 5 次试错物理熔断门禁，消费即核销，天然免疫重放截获攻击。

5. 全球边缘存储与数据留存周期

REDOUN 托管于 Cloudflare 全球分布式边缘云网络（包括边缘 Worker、D1 关系型数据库、KV 瞬态状态与 R2 零知识对象存储桶），实现微秒级冷启动与毫秒级全球就近路由响应。

我们制定了极其严苛的数据三态生命周期留存策略：

• 活跃账户数据：在您的账户保持正常有效期间，持续留存您的基本标识、公钥凭证与权益镜像，以保证服务的连贯性；
• 系统运行态微流审计：管理端常规操作审计日志受控滚动物理清理，留存期不超过 30 天；已处理完成的系统 Webhook 消息按生命周期流水线自动修剪物理丢弃；
• 瞬态会话凭据：设备短期授权码、验证码票据与防重放标识均依托短 TTL 自动老化回收（不超过 180 秒至 300 秒）。

6. 账户注销、14 天冷静期与物理彻底擦除（挫骨扬灰机制）

我们充分尊重并完整落实 GDPR 第 17 条赋予用户的「被遗忘权（Right to Erasure）」。为了防止误操作或因账号遭遇恶意劫持引发不可挽回的资产损失，我们首创了兼具人道保护与物理终局性的两阶段注销擦除流水线：

注销生命周期的具体运行事实如下：

• 第一阶段：全要素强鉴权设防（Gate of Full Authentication）。发起注销前，系统强制要求必须逐一核验您已绑定的安全密码、Passkey 硬件签名或 TOTP 动态码，并确认当前无生效中的自动续费订阅，坚决阻断黑客轻度越权；
• 第二阶段：14 天注销冷静期（Grace Period）。核验通过后，系统即刻吊销您名下的全端活跃会话并冻结登录；自核验完成时刻起算 14 个自然日内，您可通过重新验证登录随时一键撤销注销申请并原样恢复账户；
• 第三阶段：彻底物理级联擦除（Deep Cascade Physical Purge / 挫骨扬灰）。14 天冷静期届满后，系统自愈管线将就地触发不可逆物理粉碎：原子级物理擦除 D1 关系数据库中涵盖账户实体、安全凭据、设备会话、OAuth 绑定、日志镜像等全表全部 10 处关联数据行；递归物理粉碎 R2 存储桶中保存的个人头像及媒体资产；彻底清退边缘 KV 瞬态缓存，0 孤儿数据残留，达成物理意义上的彻底归零。

7. 受托数据处理者（Sub-processors）与数据共享边界

我们向您庄严承诺：REDOUN 绝不出售、出租、转让或共享您的个人信息给任何第三方营销商或数据中介机构。仅在维系系统基础设施运转及法定义务所需时，向以下经过严格隐私审查的合规受托处理者披露最小化必要数据：

• 云基础设施受托方（Cloudflare, Inc.）：提供全球边缘 CDN 加速、边缘计算（Workers）、数据库（D1/KV/R2）及人机安全核验（Turnstile）支撑；
• 支付结算与合规受托方（Paddle.com Market Ltd）：作为平台的法定名义商家（Merchant of Record），独立承载全球范围内的银行卡结算、发票开具、增值税（VAT）合规代扣代缴；
• 事务性发信网关集群（Resend, Mailtrap, SMTP2GO, SendPulse, Brevo, Mailjet）：仅作为无状态的纯邮件外发管道（Dumb Transport Pipe），用于分发安全验证码与网关体检信。发信标头全域刚性绑定 support@redoun.com，严禁 ESP 服务商利用外发邮件从事用户画像或商业推广；
• 经您主动授权的 REDOUN 生态子应用：当您使用「通过 REDOUN 登录」时，我们严格遵循 OAuth 2.0 PKCE 最小特权准则，仅下发您的公开 UID、验证邮箱及当前有效权益级别，子应用永远无权访问您的密码学凭证。

8. 您的法定数据权利（GDPR & CCPA 权利行使）

根据您所在的司法管辖区，您享有以下法律赋予的数据主体权利，您可在个人中心自主操作或联系客服行使：

• 知情权与访问权（Right to Access）：您有权知晓我们处理了哪些数据，并可随时在个人中心查阅个人资料、关联设备与活跃会话；
• 更正权（Right to Rectification）：您可随时自主更正个人昵称，或添加、更换新的 Passkey 与 TOTP 凭证；
• 删除权与被遗忘权（Right to be Forgotten）：您可随时发起账户注销，触发 14 天冷静期满后的彻底物理擦除；
• 撤回同意权（Right to Withdraw Consent）：您有权随时解除第三方 OAuth 账号关联、注销特定 Passkey 凭据或撤销子应用授权；
• 异议权与限制处理权（Right to Object & Restrict）：在特定法定情形下，您有权反对或要求我们限制对您某些数据的自动化处理；
• 不受歧视权（Non-Discrimination）：行使上述任何隐私权利均不会导致您遭受服务降级、价格歧视或不平等待遇。

9. 本地存储、会话凭据与无跟踪承诺

REDOUN 秉承极端克制的工程美学。我们坚决摒弃侵犯用户隐私的跨站跟踪行为：

privacy.sections.cookiesAndLocalState.intro

10. 未成年人隐私保护

REDOUN 专门面向具备完全民事行为能力的个人及企业开发者。我们的服务绝不面向未满 13 周岁（或您所在国家/地区规定的同等最低法定年龄）的儿童。我们不会故意收集儿童的个人信息。若您是监护人并发现儿童在未经同意的情况下向我们提供了个人资料，请立即联系我们，我们核实后将启动紧急清除程序，将其数据彻底挫骨扬灰物理粉碎。

11. 政策更新与合规联络

随着 REDOUN 架构演进与全球法律法规变迁，我们可能会适时修订本隐私政策。若发生实质性重大变更（如数据收集范围扩大或处理目的重大调整），我们将在变更生效前至少 7 个自然日，通过系统顶栏公告或向您的注册邮箱发送通知。若您在修订生效后继续使用我们的服务，即表示您接受修订后的隐私政策。