云塔账号通行证隐私政策
初版发布时间： 2025年3月15日
最后修订时间： 2026年7月8日
引言
欢迎使用云塔账号通行证！上海凌芸弈塔信息技术有限公司（下称"我们"或"云塔"）深知个人信息对您的重要性，并会尽全力保护您的个人信息安全可靠。我们致力于维持您对我们的信任，恪守《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《未成年人保护法》等法律法规的要求，以保护您的个人隐私。
本《隐私政策》（下称"本政策"）适用于您通过云塔账号通行证网站及接入云塔账号通行证的第三方应用所使用的服务。请您在使用我们的服务前，仔细阅读并充分理解本政策的全部内容，尤其是加粗或下划线标注的条款及敏感个人信息相关章节。一旦使用本服务，即视为您已阅读并同意本政策，同意我们按照本政策处理您的相关信息。
一、我们如何收集和使用您的个人信息
1. 注册与账户创建
为创建云塔账号，您需要提供：
- 电子邮箱地址：作为唯一标识，用于注册、登录、身份验证、安全通知与账号找回。注册时仅限我们配置的受信邮箱后缀。
- 用户名与昵称：用于平台内识别与展示。
- 密码：加密存储，无法被任何人（包括我们）获取原文。
- 邮箱验证码：邮件发送，确认邮箱有效性。
- 人机验证：注册时需完成 GeeTest 极验行为验证（详见第四部分）。
2. 手机号码
为履行网络实名制的法定义务，您须绑定手机号码。
- 仅支持 +86 中国大陆手机号。
- 用途：登录标识、账号找回、安全验证及实名身份核验。
- 存储：加密存储，页面展示为掩码（如
+86138****1234）。 - 短信验证码：委托短信服务提供商发送，仅在短时间内有效。
3. 个人资料（均非必填）
- 头像：上传图片（jpg/jpeg/png/webp，≤15MB）自动转 WebP，MD5 去重存储。
- 城市、简介（≤150字）：个人资料展示。
- 用户名、昵称：可在个人资料中修改。
4. 安全验证信息
- 通行密钥（Passkey / WebAuthn）：绑定后存储您的设备生成的公钥与凭证 ID，私钥始终留在您的设备上，我们无法获取。用于无密码登录与身份验证。
- TOTP 动态口令（两步验证）：生成 OTP 密钥并加密存储，同时提供二维码（含发行方"云塔账号通行证"与您的邮箱）。启用后登录需输入动态口令。
- 邮箱验证码登录：作为两步验证方式之一。
5. 设备与登录信息
- 设备指纹：前端通过
@thumbmarkjs/thumbmarkjs生成，同时后端基于 User-Agent、Client Hints 等参数生成辅助指纹。用于设备识别、异常登录检测等账号安全防护功能。 - 设备信息：设备类型（桌面/移动/Web）、设备名称、IP、User-Agent。
- 登录信息：登录时间、IP 及其地理位置（城市级别）、User-Agent，可在用户中心的登录日志中查看。
- 会话 Cookie：登录后设置
yt_access_token等 Cookie 维持会话。
6. 日志信息
- 操作日志：记录注册、登录、授权、资料修改、安全设置变更等操作的类型/内容/referer/UID/IP/UA。
- 登录日志与授权日志：可在用户中心查看。
7. 位置信息与异地登录检测
为防范盗号，我们提供异地登录检测：
- 使用 MaxMind GeoLite2 数据库将登录 IP 解析为国家、城市及经纬度。
- 与近 30 天历史登录位置比较，距离超 500km 且历史 ≥3 次登录者判定为异地登录，可能要求邮箱验证二次确认。
- 经纬度坐标仅用于即时计算，不单独长期存储；日志仅记录 IP 及城市级位置。
- 本功能属自动化决策，您有权要求说明决策依据，并可随时关闭该功能。
8. 第三方账号登录
支持通过以下平台登录或绑定：编程猫、PGAOT、神奇代码岛（DAO3）、飞书（Lark）。
- 您直接与该第三方交互并由其验证身份。经您授权后，第三方向我们返回您的第三方标识、昵称、邮箱、头像等，我们据此创建或关联您的云塔账号。
- 我们会存储第三方平台名称与标识；飞书登录额外存储访问/刷新令牌以维持会话。
- 第三方处理受其自身隐私政策约束，建议提前阅读。如您是未成年人，请确保使用的第三方平台已依法取得监护人同意（详见第九节）。
- 您可在账号设置中随时解绑。
9. 账号注销
可申请注销账号。注销设 7 天冷静期：申请后邮件通知（含申请与计划注销时间），到期前 1 天再次提醒。冷静期内可登录取消；到期后账号资料匿名化处理。
二、Cookie 与同类技术
我们使用 Cookie / 本地存储以实现：
- 会话维持：存储登录令牌（HttpOnly），保持登录状态。
- 安全识别：GeeTest 使用 Cookie 识别设备与防机器人。
- 功能记忆：记忆偏好设置。
您可通过浏览器设置管理或删除 Cookie。禁用 Cookie 可能影响部分功能。
三、第三方 SDK / 服务清单
| 名称 | 提供方 | 用途 | 收集信息 | 隐私政策 |
|---|---|---|---|---|
| GeeTest 极验行为验证 | 极验 | 人机验证 | IP、浏览器/设备信息、Cookie/本地存储、交互行为数据、网络请求 | GeeTest 隐私政策 |
| thumbmarkjs | 开源库 | 前端设备指纹 | 操作系统、屏幕分辨率、浏览器插件、硬件配置等设备参数 | 开源项目，数据仅在客户端计算后传至我们的服务端 |
| 飞书 SSO SDK | 字节跳动 | 飞书扫码登录 | 飞书用户 ID、昵称、头像（经飞书 OAuth） | 飞书隐私政策 |
四、我们使用的第三方安全服务
GeeTest 极验行为验证用于注册、登录、异地验证、TOTP 验证、邮箱/手机验证码等环节的人机鉴别。GeeTest 可能收集：
- IP 地址：评估访问风险。
- 浏览器与设备信息：类型、操作系统、分辨率、时区、语言等。
- Cookie 和本地存储：识别设备与会话。
- 交互行为数据：分析鼠标/键盘/页面交互模式。
- 网络请求信息：验证组件相关请求。
这些信息由 GeeTest 收集处理，按 GeeTest 隐私政策 执行。我们仅接收验证结果（通过/不通过），不获取详细行为数据。
五、我们如何共享、转让、公开披露
1. OAuth 授权（与第三方应用共享）
- 仅在您明确授权同意后，才按 scope 向第三方共享：
user:profile：昵称、头像、用户名、UID。user:email：电子邮箱。- 可能包含您在云塔绑定的其他第三方账号 UID。
- 每次新授权或扩权均需单独确认。您可在"授权管理"中随时取消。
2. 与服务提供商共享
委托以下服务商处理必要信息（均签订信息安全合同）：
- 短信服务商：发送验证码（仅传手机号与验证码）。
- 邮件服务商：发送验证码与通知（仅传邮箱与内容）。
- GeeTest 极验：人机验证。
3. 转让与公开披露
- 转让：仅在获取明确同意后，或因合并/收购/清算且新主体受本政策约束或重新征得同意。
- 公开披露：仅在法定情形（国家安全、公共安全、侦查/起诉/审判、保护重大合法权益、您自行公开、合法公开渠道）下进行。
4. 个人信息跨境传输
我们在中国境内收集和产生的个人信息，存储于位于中国大陆的服务器上。除以下情形外，不传输出境：
- 您使用第三方登录（编程猫、飞书等）时由第三方按其政策处理。
- 在取得您的同意并符合《个人信息保护法》第三十八条的条件下提供。
六、敏感个人信息的处理
根据《个人信息保护法》第二十八条，以下信息属敏感个人信息，我们仅在有特定目的和充分必要性且取得您的同意后处理：
| 信息类型 | 处理目的 | 必要性 |
|---|---|---|
| 手机号码 | 登录、找回、安全验证、实名核验 | 服务必需 |
| 通行密钥凭证 | 无密码登录 | 非必选 — 绑定即同意 |
| TOTP 密钥 | 两步验证 | 非必选 — 启用即同意 |
| IP 地理位置 | 异地登录检测 | 非必选 — 可关闭 |
| 设备指纹（前端+服务端） | 设备识别与风控 | 服务必需 |
上述信息均加密存储，仅在实现所述目的的最小范围内使用，不会用于其他商业用途。
七、我们如何存储和保护
- 存储地点：中国大陆服务器，数据同步备份亦在境内。
- 存储期限：
- 账号信息：直至注销（冷静期满后匿名化）。
- 网络日志：至少 6 个月（法定要求）。
- 设备记录：至设备下线或账号注销。
- 安全验证信息（Passkey/TOTP）：至解绑或注销。
- 安全措施：HTTPS/TLS 加密传输、密码加密存储、敏感数据加密存储、访问权限控制、定期安全审计与漏洞扫描、数据定期备份。
- 安全提示：互联网传输无法保证 100% 安全，请妥善保管密码，勿与任何人共享。
八、您的权利
根据《个人信息保护法》，您享有以下权利：
- 查阅/复制权：登录后查看个人资料、登录记录、授权记录；可请求获取个人信息副本。
- 更正权：登录后修改昵称、头像、邮箱、用户名、简介、城市、手机号等；可解绑 Passkey/TOTP。
- 删除权：删除信息将从服务器彻底清除；可申请注销账号（7 天冷静期）。
- 撤回同意权：随时撤回（不影响撤回前处理的有效性），包括：
- 关闭异地登录检测（安全设置）。
- 解绑第三方账号（账号安全）。
- 取消 OAuth 应用授权（授权管理）。
- 关闭或解绑 TOTP / Passkey。
- 注销权：参见第一条第 9 款。
- 自动化决策相关权：对异地检测等自动化决策，可要求说明并随时关闭。
- 投诉权：向监管部门投诉，或联系我们反馈。
九、未成年人保护
- 未满 14 周岁的儿童，不得自行注册本服务。 通过已依法取得监护人同意的第三方平台（如编程猫等）登录的未满 14 周岁用户，须使用监护人手机号完成实名绑定，并在监护人监管下有限度使用本服务。
- 已满 14 周岁但未满 18 周岁的未成年人，应在监护人监管下使用本服务。
- 如我们发现在未取得监护人有效同意的情况下处理了儿童个人信息，我们将立即停止处理并删除相关信息。
- 如您是监护人，发现被监护人未经同意使用本服务或有任何疑问，请立即联系我们。
十、服务内容审查与安全
我们禁止用户利用本服务上传、存储或传播涉及色情、低俗、政治敏感、暴力、恶意软件、诈骗、侵犯他人隐私或违反法律法规的内容。我们有权审查并视情况对违规账户采取警告、限制、封禁等措施，以维护所有用户的合法权益。
十一、隐私政策的更新
本政策可能适时更新。重大变更将在生效前通过页面提示、电子邮件等方式通知，并重新征求同意。请定期查看本政策。
十二、联系我们
- 用户支持邮箱：support@yuntower.com
- 我们将在收到您的请求后 15 个工作日内回复。