隐私政策（草稿）

1. 范围与运营主体

AixNew LLC 运营 aixtrack。本草稿描述当前代码的数据流，不意味着服务已上线、第三方已启用或已完成合规认证。具体法律角色、处理依据、适用地区和协议应在法律审核后确定。

2. 账户与会话

注册保存邮箱、密码哈希、验证状态、账户标识与时间。密码不以明文入库。验证和密码恢复令牌仅以摘要保存并设有效期；发送邮件时包含一次性链接。登录使用 HttpOnly 会话 Cookie，账户退出或重置密码可撤销旧会话。前端另保存语言或主题偏好。

3. 运单与物流数据

登录用户提供的单号、承运商及可选目的国与账户关联。系统可保存已授权承运商返回的状态、时间、地点、描述和来源事件，以及收到的物流 webhook 原文，用于查询、同步、异常核查和证据导出。PDF是已存记录的快照，下载后由下载者管理。

启用查询数据源时，单号及承运商信息会发送给已授权的承运商查询服务；不会为物流查询主动发送账户邮箱或支付信息。其合同角色、DPA、子处理方及跨境传输安排须在上线前确认。

4. 匿名查询、IP与日志

匿名查询默认关闭，启用后为限流和共享配额将IP转换为带密钥的HMAC摘要入库；摘要仍属于可关联的假名标识，不应视为不可逆匿名化。服务接收请求时可接触原始IP；认证限流也会在进程内短暂使用IP。代理、主机及错误日志可能另含IP和请求上下文，实际日志配置需上线前复核。

匿名单号只用于读取上游轨迹，不写入账户运单表或分析事件，不进入查询页URL。公开响应不展示详细地址或扫描自由文本。上游和基础设施仍可能按各自安排处理查询请求。

5. 订阅、邮件与分析

网页 SaaS 订阅支持 Stripe TEST 和 LIVE 模式；开发环境默认测试模式。启用订阅时，会向Stripe传送邮箱、内部用户标识、所选价格及回调地址，保存客户/订阅ID、状态、套餐、有效期和必要事件ID；本站不保存银行卡号。Stripe在部分场景可能具有独立法律角色，参见Stripe隐私政策。本草稿不表示已开放真实付款。

配置Resend时，收件邮箱和验证/重置邮件内容会交由Resend处理；失败时可使用已配置的SMTP后备。开发模式把邮件及链接写入本地应用日志，因此日志也需要保密。参见Resend隐私政策；SMTP服务商及其条款需由运营方确认。

数据库记录注册、物流查询及付费套餐升级等基础分析事件，包含时间、内部用户ID或匿名IP摘要、受限来源标记以及必要的套餐状态，不记录事件中的邮箱、原始IP、单号或支付卡数据。每日导出仅含日期与汇总指标；当前MRR是测试模式订阅的模拟月度金额，不是实际收入。没有为本功能安装第三方广告分析脚本。

DHL 数据保留（草稿）

DHL（包括 DHL Paket）物流数据在妥投 30 天后从在线数据库删除；数据库备份最多保留 30 天，因此此类数据的最长保留时间约为妥投后 60 天。用户自行导出的文件（例如争议证据 PDF、CSV）下载后不在我们的控制范围内。

6. 保留、安全与个人请求

除下述 DHL 数据与数据库备份规则外，当前代码没有自动清除账户、其他轨迹、限流历史或分析事件的完整保留策略，也没有完整的自助删除/数据权利流程；其他数据尚不能承诺固定删除时限或“零日志”。运营方需在上线前确定必要保留期、备份周期、访问权限、请求响应流程与跨境安排。安全措施不能保证绝对无风险。

访问、更正、删除或其他适用权利及其例外需依据审核后的政策办理。目前未设置公开隐私联系地址；AixNew LLC 必须在上线前公布有效联系渠道、必要公司信息及适用处理依据，再发布正式版本。不得将本草稿冒充已生效的隐私承诺。