隐私政策
2026年10月24日修订版 · 用于本地展台的项目
本翻译由系统自动生成。俄语版本为项目的源文本。
数据控制者和处理者：RMX Tec Ltd，一家在保加利亚注册的公司。个人数据相关问题请联系：info@proxi.zone。
本文件描述了 proxi.zone 中的数据处理流程。目前该服务作为本地测试平台运行。在正式上线前，本文件将根据实际托管环境、服务提供商、存储期限及可用功能进行更新。
1. 无需账户即可使用
无需注册即可搜索聊天群、加入并进行聊天。创建和管理个人聊天群，以及接收附近新聊天群的可选通知，则需要账户。访客可自选昵称；私聊需经群主批准申请，而限范围聊天则需验证设备坐标。 访客访问并不意味着技术上的匿名性：服务器可以访问请求的网络数据。
2. 使用的数据
- 账户：电子邮箱、自选昵称、可选头像、个人简介及社交媒体链接、密码哈希值、注册时间和邮箱验证时间。真实姓名和个人照片均为可选项。数据库中不会以明文形式存储密码。
- 通过 Google 登录：这是一种可选的账户创建和登录方式，在启用该服务后即可使用。仅在点击按钮时，浏览器才会跳转至 Google；Google 将根据其隐私政策处理相关数据。 我们仅需您提供已验证的电子邮箱、姓名及有效的Google账号。姓名将用于创建新个人资料，且可随时修改。Google账号将与本平台账户关联，以便后续登录。不会下载您的Google头像；也不会请求访问您的Gmail、联系人及文件。Google的访问令牌（Access token）和刷新令牌（refresh token）均不会被保存。 一次性登录尝试与当前会话绑定，有效期为10分钟；当您退出Google或关闭会话时，该尝试将被删除，过期的尝试将在下次登录时被清除。现有密码账户不会自动合并：使用密码登录后，系统将通过个人资料连接Google账户，且该账户的邮箱地址必须与当前账户一致。
- 头像：注册或修改个人资料时，您可以上传大小不超过5 MB的JPG/PNG文件，或拍摄自拍照。仅在点击“拍摄自拍”并获得浏览器授权后，系统才会请求使用摄像头；不会录制声音。预览和照片均在设备上处理，仅在保存账户表单时才会发送照片。 拍摄完成后、关闭窗口或离开页面时，相机将自动关闭。服务器会将图像居中裁剪为正方形，并保存经过重新编码、尺寸不超过1024×1024像素的版本，其中不包含原始EXIF元数据；原始图像不会单独保存。 账户验证通过后，头像将显示在个人资料中以及您的消息旁。能够查看您消息的参与者可以在该聊天中打开一张卡片，其中显示您的姓名、头像以及您创建的活跃聊天总数（包括私聊）。 该卡片不会显示电子邮件、聊天列表或这些聊天的链接。该图片可通过一个单独的随机链接访问，收件人可以转发该链接，因此请勿上传机密图片。在个人资料中可以替换或删除该图片；原链接将无法再显示该图片。但这不会删除其他人之前可能保存的副本。
- 个人简介与社交媒体：注册或编辑个人资料时，您可以填写最多 500 个字符的个人简介，并添加 Instagram、Facebook、TikTok 和 Telegram 的链接。这些字段均为可选；您可以随时修改或清空。这些信息将与您的账户一同保存，并显示给在聊天中能看到您消息的参与者。 链接由您自行输入；我们不会验证您对所列账户的所有权，也不会将其关联或请求访问权限。个人资料中不包含这些服务的内置小工具。点击链接后将跳转至第三方网站，该网站拥有自己的数据处理规则。
- 会话与安全：会话标识符哈希值、账户标识符、CSRF令牌、有效期、一次性链接哈希值以及与哈希处理后的IP或电子邮件相关的尝试计数器。对这些标识符进行哈希处理并不会自动将其转化为匿名数据。
- 搜索点：在您执行操作并获得浏览器授权后从设备获取的坐标，或在地图上选择或手动输入的坐标。该坐标将传输至服务器以计算距离。常规搜索不会将其保存在账户设置中，但请求参数可能会出现在技术日志中。 关于为“附近有新聊天室”通知单独保存位置的信息，详见下文。
- 附近新聊天室通知：该功能对所有账户开放，默认处于关闭状态，需单独开启。 为此，服务器会保存已选频道、半径、设置状态，以及最多20个带有坐标和半径的命名区域；若已开启位置服务，则仅保存设备的最新坐标、精度及定位时间。新位置将替换先前位置；系统不会生成移动历史记录。 坐标（包括精确坐标）及保存的区域均属于与账户相关的个人数据；所选区域可能仅表示您感兴趣的地点，而非实际所在位置。每个区域及设备的半径上限为5公里。这些数据用于与其他用户的新聊天进行匹配，不会显示给聊天群主或其他用户。
- 半径验证：在申请或加入本地聊天时，服务器会获取设备的坐标、声明的精度以及定位时间。这些信息仅用于验证访问权限，不会作为位置历史记录保存在聊天表中。此验证过程不使用搜索图钉。 全球聊天无需提供坐标；加入后超出半径范围不会导致成员资格终止。
- 参与与消息往来：所选昵称、成员身份、申请及管理员的决定、消息内容与时间、发送时的作者名称、用于回复的消息链接、点赞以及技术重发密钥。 附件将连同原始文件名、类型和大小一起保存在数据库中。文件可能包含原始元数据，包括拍摄地点信息：目前尚未实现元数据的自动删除和病毒扫描功能。
- 已创建的聊天室：名称、描述、坐标、半径、访问和交流类型、欢迎信息、所有者 ID 以及聊天室公共 ID。名称、描述和位置可在地图和信息卡中查看，包括私人聊天室；私人欢迎信息不会向访客显示。 二维码仅包含聊天室的公共URL，并在浏览器中生成，不会传输给第三方生成器。
- 技术日志：IP地址、时间、请求资源的地址、浏览器信息、响应代码及诊断信息。
- 邮件和咨询：收件人地址、服务邮件内容以及您向客服提供的信息。邮件由Mailpit保存在本地服务器上，不启用外部投递功能。
对于参与者和订阅者，使用独立的访客标识符：登录后的账户或访客的随机 Cookie。服务器存储最近的活动时间、会员身份和汇总计数器。“在线”指过去 5 分钟内在打开的页面上的活动；计数器因活动而自动刷新不计入其中。 地图上显示的是参与者数量，而非具体个人。对于访客，使用不同浏览器的会视为不同的访客；访客数据不会自动与账户合并。
订阅功能需由您主动启用。系统会保存您选择的聊天室、活动和频道，以及通知和投递尝试的历史记录。 访问可用的聊天卡片可能会生成一次访问事件；重复访问将在30分钟内合并计算。如果您绑定邮箱，系统将保存已验证的地址；绑定Telegram时，将保存与机器人建立的私人聊天ID；绑定推送通知时，将保存浏览器的推送地址和订阅密钥。 频道验证本身并不包含订阅。电子邮件和推送通知不包含对话内容。在自愿连接的 Telegram 机器人中，可能会传输聊天名称、作者姓名、您可查看的消息片段（最多 500 个字符）、链接以及回复和取消订阅按钮。
开场白和新消息会为已启用的订阅触发事件。 单条消息仅会通知相关对话的拥有者和参与者；电子邮件和推送通知仅包含事件的概述及链接，不包含消息正文或附件。在 Telegram 中，预览功能仅对有权阅读该对话的收件人开放；文件不会在 Telegram 中自动转发。当前版本不会收集支付信息。
“附近新聊天室”通知利用地图上可用的信息，显示其他用户新建的公共和私人聊天室。这些通知不会披露聊天内容、私人问候语或参与者名单，也不会授予您成员资格，更不会为您订阅未来的消息。 对于已存在的聊天群，开启或更改设置时不会触发通知；多个区域重叠也不会针对同一个聊天群生成多条通知。设备和已保存区域的坐标不会包含在外部通知中。
首次访问时，语言将根据浏览器语言列表进行选择；已保存的手动选择具有优先权。欢迎窗口仅记录您的选择事实及选项，不包含坐标信息。点击按钮后会弹出地理位置权限请求。 您可以从地图上的某个点继续操作。如果您已单独启用“新聊天通知”的位置服务，并已向浏览器授予权限，则当前页面可在无需再次点击的情况下更新最新位置。处于隐藏或关闭状态的页面不会跟踪移动轨迹；在断开与网站连接时，定位功能将使用最后保存的位置，该位置可能已过时。 可在浏览器设置中撤销授权；但此操作本身不会删除服务器上先前保存的位置信息。
3. 目的与法律依据
- 创建账户和聊天室、登录、恢复访问权限以及执行您请求的操作——履行合同或应您要求在订立合同前采取的行动（《通用数据保护条例》（GDPR）第6条第1款第(b)项）。
- 获取设备位置以进行可选的附近搜索——基于您的同意（《通用数据保护条例》（GDPR）第6条第1款第(a)项）。您可以拒绝、在浏览器中撤销授权，或手动选择位置。浏览器授权本身并不构成对其他用途的同意。
- 通过您选择的外部渠道发送可选通知——基于您的同意（《通用数据保护条例》（GDPR）第6条第1款第(a)项）。您可在订阅设置中关闭该渠道或取消订阅。拒绝此项不会影响您浏览地图。
- 防范滥用、故障诊断和安全保障——这是运营商为确保服务可靠运行而具有的合法利益，同时会充分考虑您的权利（第6条第1款第f项）。
- 响应合法要求及履行数据保护义务——适用的法律义务（第6条第1款第(c)项）。
密码仅用于账户登录。电子邮箱用于账户管理或您自愿选择的邮件通知；即使不提供电子邮箱，也不会影响地图的浏览。我们不会进行营销邮件发送、广告画像分析，也不会做出具有法律后果或同等重要后果的决策。
4. 数据接收方与外部地图
测试平台的管理人员可访问本地数据。数据不会被出售。在存在适用法律依据的情况下，可能会向政府机构披露数据。
群聊中的消息、作者姓名、回复、互动及附件仅对当前群组成员可见。在单人聊天中，这些内容仅对对话的发起人和参与者可见。发起人可查看申请人的姓名以便审核申请。 仅关注公共页面或订阅本身并不能访问对话内容。收件人可以保存或复制其可访问的内容；不采用端到端加密。
地图图像由浏览器直接从 tile.openstreetmap.org 加载。OpenStreetMap 基金会和交付基础设施会获取 IP 地址及所请求图块的信息，从而确定查看区域。手动选择点时也会触发地图请求。 图块基础设施分布于不同国家；详情请参阅 OpenStreetMap 基金会的政策。proxi.zone 账户的电子邮件和密码不会传输给地图运营商。
Google Analytics、Meta Pixel、Microsoft Clarity、外部 AI 内容审核、OAuth 以及支付服务提供商目前均未接入。在可能接入这些服务之前，我们将明确国际数据传输的法律依据、协议及保障措施，并更新本声明。对于尚未正式签署的协议或数据传输机制，我们不作任何声明。
若自愿启用 Telegram，则由 Telegram 处理发送数据；若使用推送通知，则由您浏览器的推送服务提供商（例如 Google、Mozilla、Apple 或 Microsoft）处理。服务提供商将获取技术性发送数据及通知内容；对于 Telegram，这可能包括上述提到的消息预览。这些服务提供商可能会在欧洲经济区（EEA）境外处理数据。 在正式上线前，应核查供应商的适用条款及国际数据传输的法律依据。在本地测试环境中，电子邮件仍保存在Mailpit中；Telegram仅在配置独立机器人后才生效，推送服务则需获得浏览器授权后方可使用。
5. 存储与删除
在“新聊天通知”设置中关闭位置服务功能，将从工作数据库中删除设备的最后位置。已保存的区域将单独删除。全面暂停“新聊天通知”会停止通知的发送，但如果位置服务仍处于开启状态，则会保留配置、区域和最后位置。 在发送待处理通知之前，服务器会重新检查当前设置以及与最后位置或区域的匹配情况；位置变动可能会导致先前匹配失效。更改或删除设置不会撤回已发送的通知。清除Cookie和退出账户不会删除服务器上的这些设置。
消息、附件、点赞、成员身份和申请均保存在服务器上；目前尚未设置自动删除时限。所有者可在自己的聊天中删除消息：文本将被清空，附件和点赞将从工作数据库中删除，而标识符、作者、时间及删除标记将保留以供历史记录和回复链接使用。 其他参与者没有删除按钮，包括其自己的消息；可向管理员提交删除数据的请求。删除消息不会清除历史通知事件、先前已送达的通知或收件人手中的副本。更改昵称不会修改已发送消息中作者的名称。
账户将保留至被删除为止。在本地服务器上，删除和导出操作由管理员应请求执行；目前尚无单独的删除按钮。访客会话有效期最长为2小时，账户会话有效期最长为7天；邮箱验证有效期为24小时，重置密码链接有效期为1小时。 退出将终止当前会话，重置密码将终止该账户的所有会话。
访客标识Cookie的有效期最长为一年。用于通知的电子邮件验证码有效期为20分钟，Telegram绑定链接有效期为15分钟。取消订阅将停止该订阅的未来推送，但不会自动从数据库中删除已验证的联系人或历史事件。 如需删除，请联系管理员；这些数据的自动清理时限在正式上线前仍需配置。推送权限还可在浏览器中额外撤销。
有效期结束并不等同于数据库中该条目的物理删除：过期记录的自动清理功能尚未实现。 测试数据、邮件和日志将在系统维护时被删除；Mailpit 限制为 500 封邮件。日志和备份的固定清理时间目前尚未配置。在正式上线前，将制定并公布具体的删除时限和流程，包括未完成注册的数据。
6. 您的权利
在适用情况下，您可以要求访问、更正、删除、限制处理、数据可携权，反对基于合法利益的处理，并撤回同意。撤回同意不影响先前处理的合法性。 请发送邮件至 info@proxi.zone；我们可能会要求您提供适当的身份证明。请勿发送密码。通常会在一个月内给予答复；若因法律允许而需延长处理时间，我们将告知原因及具体期限。
您可以向保加利亚个人数据保护委员会（CPDP）或您通常居住地、工作地或涉嫌违规行为发生地的主管机构提出申诉。在 proxi.zone 邮箱配置完成之前，测试人员可直接联系展台管理员。
7. 安全性、年龄限制与变更
本服务采用密码和令牌哈希处理、尝试次数限制、会话验证及CSRF防护措施。本地服务器仅通过HTTP回环访问；发布前需启用HTTPS。未声明对消息进行端到端加密。发生安全事件时，运营方将根据《通用数据保护条例》（GDPR）评估向监管机构及受影响个人履行通知义务的必要性。
与 QRChat 一样，本服务面向 18 岁及以上用户。如果您认为儿童的数据已被提供给本服务，请联系我们。政策如有重大变更，将发布通知；需要征得同意的新非必要用途不会自动纳入。
Telegram机器人
仅在通过网站的一次性链接连接后，机器人命令和按钮才可在私人聊天中使用。一个 Telegram 私人聊天仅与一个 proxi.zone 账户或访客个人资料相关联；重新连接将解除之前的绑定。 我们会使用 Telegram 标识符、界面语言、事件设置以及回复或创建聊天时的临时上下文。位置草稿包含您发送的坐标；这未必是您的实际位置。草稿有效期为 10 分钟，按钮有效期最长为 24 小时；过期的记录将由运行中的处理程序清除。 来自 Telegram 的回复将作为普通的 proxi.zone 消息保存。已处理更新的标识符会被保存以防止重复执行；完整的传入更新不会被保存。出站队列中的内容在尝试发送或取消后会被删除；超过一天的未发送记录将由处理器自动取消。 命令 /stop 可暂停 Telegram 通知，/unlink 可解除绑定。这不会删除已通过 Telegram 送达的消息、proxi.zone 消息以及服务器上的记录；如需咨询数据删除事宜，请联系 info@proxi.zone。Telegram 会根据其自身规则处理消息、命令及发送的位置信息。