隐私政策

欢迎访问 CSCA.app。我们尊重您的隐私，致力于保护您的个人数据。本《隐私政策》说明当您访问我们的网站（csca.app）、使用我们的移动应用程序或以其他方式与我们的服务（合称"本服务"）交互时，我们如何收集、使用、共享及保护您的信息。 本政策在全球范围内适用。针对特定地区（欧洲经济区、英国、美国加利福尼亚州以及中国大陆）的额外披露另行说明。

CSCA.app 是一个面向国际学生的来华留学本科入学学业水平测试（CSCA）在线备考平台。我们在中国大陆运营本服务。您可通过邮箱 success@csca.app 联系我们。

**3.1 账户信息。** 当您通过我们的身份认证服务商 Clerk 注册时，我们会收到您的电子邮箱地址、名字/姓氏（如您提供）、头像（如您提供）、所使用的认证方式（邮箱密码、Google、Apple 等）以及一个唯一的用户标识符。 **3.2 学习活动数据。** 您使用本服务时，我们会存储您的练习和考试活动：答题记录、提交的答案、成绩、用时、知识点分布、错题本、收藏、每日连胜、模拟考记录以及 PvP 对战记录。这些数据存储在我们的数据库（Supabase）中，供您回顾自己的学习进度。 **3.3 购买数据。** 当您完成购买时，我们会从相应支付处理方（Apple、Google、Gumroad 或 Xendit）收到付款成功确认、所购产品、金额、币种、脱敏后的支付方式（例如"Visa 尾号 4242"或"支付宝"）以及交易 ID。**我们不接收也不存储您的完整信用卡号、CVV 或银行账户详情。** 对于通过邮件完成的微信支付/支付宝付款，我们会保留相应的邮件往来记录和付款凭证。 **3.4 设备与应用数据。** 您使用我们的网站或移动应用时，我们会自动收集：IP 地址（在可行的情况下进行匿名化处理）、大致位置（根据 IP 推断的国家/地区）、浏览器类型和版本、操作系统、设备类型和屏幕分辨率、访问的页面/屏幕、停留时间、来源网站、应用内事件（例如开始/提交考试）以及应用崩溃报告。 **3.5 Cookie 与本地存储。** 我们使用 Cookie 及浏览器本地存储来记住您的偏好设置（语言、Cookie 同意状态、暗黑模式）、保持您的登录状态并分析使用情况，详见第 13 节。 **3.6 沟通信息。** 如您通过 success@csca.app 联系我们或订阅我们的邮件列表，我们会存储您的邮箱地址和邮件内容，以便回复您并向您发送学习技巧和产品更新（您可以随时退订）。

我们使用收集到的信息用于： - 提供和维持本服务，包括身份认证、个性化学习进度记录以及交付您所购买的付费内容； - 处理付款并防止欺诈交易和信用卡拒付； - 回复您的咨询并提供客户支持； - 向您发送事务性邮件（购买凭证、账户通知、密码重置），以及（经您同意）营销邮件（学习技巧、新内容通知）； - 对汇总后的使用情况进行分析，以改进内容、用户体验和站点性能； - 检测、调查并防止安全事件、滥用行为及对我们《服务条款》的违反； - 履行法律义务和行使我们的合法权利。

如您位于欧洲经济区（EEA）或英国，我们依据 GDPR / UK GDPR 以下合法性基础处理您的个人信息： - **履行合同：** 为提供您所请求的服务（账户、付费内容、事务性邮件）； - **正当利益：** 为改善服务、保障系统安全及防止欺诈； - **您的同意：** 用于非必要 Cookie、分析及营销类沟通（您可随时撤回同意）； - **法律义务：** 为遵守适用法律，例如税务与会计法规。

为运营本服务，我们使用以下第三方服务提供商。每家服务商均代表我们处理数据，并受合同约束以保护此类数据： - **Clerk**（Clerk Inc.，美国）——用户身份认证、登录/注册、会话管理。 - **Supabase**（Supabase Inc.，美国/新加坡）——用户账户、学习活动及购买权限记录的数据库存储。 - **Vercel**（Vercel Inc.，美国）——网站与应用托管、日志存储、边缘分发。 - **Google Analytics 4**（Google LLC，美国）——启用 IP 匿名化的网站聚合分析。 - **Resend**（Resend Inc.，美国）——事务性与营销邮件投递（凭证、账户通知、学习内容更新）。 - **Gumroad**（Gumroad Inc.，美国）——网站端国际信用卡支付处理。 - **Xendit**（PT. Xendit Teknologi / Xendit Inc.；印度尼西亚、新加坡、菲律宾）——为东南亚用户提供的网站端信用卡、本地银行转账及区域电子钱包支付处理。 - **Apple**（Apple Inc.，美国）——iOS 端 In-App Purchase 支付处理；App Store 分发。 - **Google**（Google LLC，美国）——Android 端 Google Play Billing 支付处理；Google Play 分发。 - **微信支付与支付宝**（腾讯 / 蚂蚁集团，中国）——面向中国大陆用户的人工邮件付款流程。 我们不会将您的个人信息出售给任何第三方。我们仅在运营本服务必要的范围内与上述服务商共享信息，且要求其仅将信息用于我们指定的用途。

由于我们使用位于中国大陆以外的服务商（包括美国、欧盟、新加坡、印度尼西亚和菲律宾等地），您的个人信息可能会被传输至您居住国家以外的国家/地区进行存储和处理。这些国家/地区的数据保护法律可能与您所在国家/地区不同。 我们针对此类跨境传输采取了适当的保护措施，包括在适用情况下签署《标准合同条款》（SCCs），并要求所有服务商在安全与保密义务方面至少达到与本政策同等水平。

根据您所在地的法律，您对自己的个人信息享有以下权利： **8.1 欧洲经济区 / 英国用户（GDPR / UK GDPR）：** - 访问权、更正权、删除权、限制处理权、可携权、反对权； - 随时撤回同意的权利； - 向当地数据保护机构投诉的权利。 **8.2 美国加利福尼亚州用户（CCPA / CPRA）：** - 了解我们收集、使用及披露何种个人信息的权利； - 要求删除我们收集的个人信息的权利； - 要求更正不准确个人信息的权利； - 拒绝个人信息被"出售"或"共享"用于跨场景行为广告的权利——**我们不会出于跨场景行为广告的目的出售或共享您的个人信息；** - 限制使用敏感个人信息的权利； - 不因行使权利而受到歧视性对待的权利。 **8.3 中国大陆用户（个人信息保护法 PIPL）：** - 查阅、更正、复制及删除您个人信息的权利； - 撤回同意的权利； - 要求我们对处理规则作出解释的权利。 **8.4 行使您的权利。** 如需行使上述任何权利，请发送邮件至 success@csca.app，主题注明"Privacy Request"。我们将在 30 天内（或适用法律规定的更短期限内）答复您。为履行您的请求，我们可能需要先验证您的身份。

您可以随时通过以下任一方式删除您的账户及相关个人信息： 1. **应用内 / 网站内删除：** 登录后进入您的账户页面，选择"删除我的账户"。账户删除流程将立即启动。 2. **邮件申请：** 从与您账户绑定的邮箱发送邮件至 success@csca.app，主题注明"Delete my account"。我们将验证您的身份并在 7 个工作日内完成删除。 删除账户时，我们将永久删除或匿名化处理：您的 Clerk 认证记录、个人资料、学习活动（练习历史、考试记录、错题本、收藏、连胜记录、PvP 对战记录）以及您的营销邮件订阅。 **删除后可能保留的信息：** 对于我们负有法律义务或存在正当业务理由的信息，我们可能予以保留，具体包括：税务和会计合规所需的购买记录与发票（依据相关法律通常为 5–10 年）、反欺诈日志以及无法关联到您本人的匿名化聚合分析数据。

本服务面向准备大学入学考试的学生，通常年满 16 周岁。我们不会在明知的情况下收集 13 周岁以下儿童（或您所在司法管辖区规定的最低年龄——例如中国大陆为 14 周岁，欧洲经济区部分国家为 16 周岁）的个人信息。 依据美国《儿童在线隐私保护法》（COPPA），如我们发现在未获得可验证的家长同意的情况下收集了 13 周岁以下儿童的个人信息，我们将在合理可行的情况下尽快删除该信息。 如您是家长或监护人，且认为您的孩子未经您同意向我们提供了个人信息，请通过 success@csca.app 与我们联系，我们将采取适当措施删除相关信息。

我们在提供本服务所需以及合法必要的业务目的范围内保留个人信息，具体包括：在您账户处于活跃状态期间维持账户；履行法律、税务和会计义务（依据中国大陆法律，购买记录通常需保留 5–10 年）；解决争议；以及执行我们的《服务条款》。 通过 Google Analytics 收集的分析数据按照其默认设置保留 26 个月，并以聚合、匿名化形式存储。

我们采取适当的技术和组织措施，以保护您的个人信息免遭未经授权的访问、篡改、披露或毁损。这些措施包括： - 您的设备与我们服务器之间的所有连接均采用 HTTPS / TLS 加密； - 通过 Clerk 进行密码哈希处理和安全会话管理； - 对内部系统实施基于角色的访问控制及最小权限原则； - 定期进行安全审查和依赖更新； - 对 IP 地址进行匿名化处理，并将数据收集限制在必要范围内。 然而，互联网传输或电子存储没有 100% 的安全，我们无法保证绝对的安全性。

我们使用 Cookie 及类似技术记住您的偏好、保持登录状态、分析站点使用情况并改进服务。您可以通过我们的 Cookie 同意横幅和浏览器设置控制 Cookie。阻止必要 Cookie 可能导致本服务的部分功能无法正常运行。我们不会使用第三方 Cookie 进行跨站广告。

我们的移动应用可能请求以下权限，您可在设备设置中授予或拒绝： - **App 跟踪（iOS App Tracking Transparency / ATT）：** 我们不会跨其他公司的 App 和网站追踪您以投放广告。我们的 iOS 应用不会请求 ATT 权限。 - **推送通知：** 在获得您同意后，我们可能会向您发送事务性推送通知（考试提醒、挑战结果、购买确认）。您可以随时在设备设置中关闭推送通知。 - **崩溃与性能报告：** 我们可能会收集匿名化的崩溃和性能数据，用于诊断稳定性问题。 - **设备标识符：** 我们不使用 Apple IDFA、Android Advertising ID 或任何跨应用广告标识符。 iOS 和 Android 应用内的所有支付数据分别由 Apple 和 Google 直接处理，我们不会收到您的卡号或 Apple/Google 账户凭证。

我们可能会不时更新本隐私政策，以反映我们做法的变化或出于法律、运营或监管原因。当我们作出重大变更时，我们将更新页首的"最后更新"日期，并在适当情况下通过本服务或电子邮件通知您。在更新后的政策生效后继续使用本服务，即视为您接受更新后的政策。

本《隐私政策》以及因其引起或与之相关的任何争议，均应适用中华人民共和国（大陆地区）法律进行解释和执行，但不影响您根据居住地法律享有的任何强制性消费者保护或数据保护权利。

如您对本隐私政策、我们的数据实践有任何疑问，或希望行使您的隐私权利，请通过以下方式联系我们： 邮箱：success@csca.app 网站：https://csca.app 对于 GDPR、CCPA、PIPL 或其他特定隐私框架相关的咨询，请在邮件主题中注明（例如"GDPR Request"、"CCPA Request"），以便我们正确处理您的请求。