隐私政策

最后更新：2026 年 11 月

CyberSec Pro（“我们”）致力于保护您的隐私。本政策说明我们如何依据 GDPR、加拿大 PIPEDA、CCPA/CPRA 及其他适用的数据保护法律，收集、使用和保护您的个人数据。

我们收集的信息

账户信息

注册时您提供的姓名、电子邮件地址、公司名称、职位和账单地址。

使用数据

  • 扫描配置与目标域名
  • 所选工具与参数
  • 报告生成历史
  • 登录时间与会话时长
  • 功能使用分析

支付数据

支付处理完全由 Stripe 负责。我们从不在服务器上存储卡号，仅保留交易 ID 和您的订阅状态。

您为扫描输入的凭据

部分工具需要您所测试系统的密码、令牌或 API 密钥。这些值仅在任务执行期间驻留于内存，交给执行任务的代理，并在任务结束时丢弃。它们绝不会写入我们的数据库、日志、备份或分析数据，并在界面中输入时即被遮蔽。

我们如何使用您的信息

  • • 提供、维护和改进 CyberSec Pro 平台
  • • 处理订阅付款并管理计费
  • • 发送关键安全告警和扫描完成通知
  • • 生成聚合的匿名化使用统计
  • • 保障平台安全，防止未经授权的访问
  • • 履行法律义务
  • • 发送每周摘要，仅发给已订阅并通过我们发送的链接确认的地址。每期都附有一键退订链接。无人确认的地址会在 30 天后删除。
  • • 如果试用期结束时未选择方案，在注册后六个月内最多发送一封关于方案的邮件。邮件附有一键退订链接。

我们绝不会为营销目的向第三方出售、出租或共享您的个人数据。

数据安全

传输中与静态均加密

传输采用具备前向保密性的 TLS 1.3；静态密文采用 AES-256-GCM，其密钥与令牌签名密钥分开保管。

对齐 SOC 2 的控制措施

依据 SOC 2 信任服务准则设计。我们未通过 SOC 2 认证，也不作此声明。

基于角色的访问控制

每次请求都在服务端校验角色，默认遵循最小权限原则。

多因素认证

基于 TOTP 的多因素认证，并提供一次性备用码。

数据保留

扫描结果: 自扫描之日起 90 天后自动删除。为扫描上传的文件（数据包捕获、哈希列表、内存镜像）在上传 90 天后删除。

账户数据: 在您确认删除账户时立即抹除——没有宽限期，也没有软删除副本。您的用户记录、审计轨迹、登录历史、报告、计划扫描、API 密钥、通知和 IP 白名单在同一次请求中一并删除；若您是某组织的唯一成员，该组织也随之删除。在此之前生成的加密备份不会被修改；数据会在备份到期时（30 天内）从中消失。

审计与访问日志: 保留 12 个月，随后自动清除。

加密备份: 数据库每晚备份，并在存储到任何地方之前于我们的服务器上加密。每份备份保留 30 天（在我们的服务器上以及 Cloudflare R2 的异地副本中），之后自动删除。备份仅用于在故障后恢复服务，以及每周测试这种恢复是否可行。

支付记录: 由 Stripe 按税务和金融法规要求的期限保存，通常为七年。我们这边只保留交易 ID 和订阅状态。

您的权利

依据 GDPR，以及 PIPEDA 和 CCPA/CPRA 中的对应规定，您享有以下权利：

访问权

索取我们持有的关于您的全部个人数据副本

更正权

更正不准确或不完整的个人数据

删除权

要求删除您的个人数据（“被遗忘权”）

数据可携权

以机器可读格式（JSON）导出您的数据

限制处理权

在争议解决期间限制我们对您数据的使用

反对权

反对基于正当利益进行的处理

我们在 30 天内回应 GDPR 请求。访问、可携和删除您可以直接在控制台自行完成，也可写信至下方地址。

次级处理者

以下是代表我们处理个人数据的全部第三方。除此之外，我们不使用任何其他分析、广告、错误追踪或客户消息服务。

Stripe: 支付处理，已通过 PCI DSS 一级认证。我们从不查看或存储您的完整卡号。

Cloudflare: CDN 与 TLS 终止。本站所有流量都经过 Cloudflare，因此它会处理包括您的 IP 地址在内的请求元数据。Cloudflare 还存储我们每晚的数据库备份；备份在离开我们的服务器前已加密，Cloudflare 只持有密文，不持有密钥。每份备份在那里保存 30 天后删除。此外，Cloudflare Email Routing 会接收发往我们 @cyber-sec-pro.com 地址的邮件，并转发至我们的邮箱——一个 Google 的 Gmail 账户。Cloudflare Web Analytics 还会在不使用 Cookie 的情况下测量本网站和控制台的页面加载；它记录页面路径，从不记录查询字符串。

Brevo: 邮件——账户、账单和扫描通知，以及发给订阅者的每周摘要。发送到我们 @cyber-sec-pro.com 地址的邮件由 Cloudflare 转发到我们阅读邮件的 Gmail 收件箱。 此外，Brevo 会让这些邮件中的每个链接先经过它自己的地址，记录点击后再将您转到我们的页面；与任何网络请求一样，该请求会携带您的 IP 地址到达 Brevo。这适用于所有链接，包括密码重置和验证链接，且在我们使用的套餐中无法关闭。

Google Analytics: 聚合的站点使用情况。加载时 Google Consent Mode 设为拒绝，因此在本站不会在您的设备上写入任何内容，也无法跨访问识别您。

Google、GitHub 与 LinkedIn 登录: 可选。若您使用，我们只会收到您的电子邮件地址、姓名以及资料头像的链接，别无其他。每次显示仪表板时，头像都会从该提供方加载，因此该提供方可以知道您何时在使用仪表板。

PostgreSQL 与 Redis（自托管）: 主数据库与会话缓存运行在我们位于加拿大多伦多的自有基础设施上，任何第三方都无法读取。数据库的加密副本会异地复制到 Cloudflare R2，而 R2 采用自动地理放置——因此备份是系统中唯一没有位置保证的部分。

Cookie 与分析

本公开站点只设置用于会话管理的严格必要 Cookie。Google Analytics 随 Google Consent Mode v2 加载，所有存储类别默认为拒绝，因此在此不会向您的设备写入任何内容，只发送无 Cookie 的测量信号。我们不使用广告 Cookie，也不向广告主出售数据。

登录后的控制台是独立的：它会显示同意横幅，您可以在其中选择接受分析 Cookie；在您同意之前，不会设置超出严格必要范围的任何内容。

隐私联系人

CyberSec Pro 由创始人 Semih Kılıç 在加拿大多伦多运营，他对我们如何处理个人数据负责。我们没有任命数据保护官：GDPR 仅要求公共机构，以及核心活动为大规模监控个人或大规模处理特殊类别数据的组织任命数据保护官，而我们两者都不涉及。如需咨询隐私问题、提出数据访问请求，或行使上述任一权利，请发送邮件至：

support@cyber-sec-pro.com

我们在 72 小时内确认收到隐私请求。正式的 GDPR 请求按法律要求在 30 天内办结。

本政策以多种语言发布，仅为方便阅读。各语言版本如有出入，以英文文本为准。