隐私政策

数据控制者

ARTIO Mining GmbH，Chapfstrasse 58, 8625 Gossau ZH, Switzerland，UID CHE-443.857.465，电子邮箱：info@holofoilx.artiomining.ch。本政策涵盖根据瑞士《联邦数据保护法》（FADP）以及在适用情况下根据欧盟《通用数据保护条例》（GDPR）进行的个人数据处理。

我们处理的数据

账号数据（姓名、电子邮箱、密码哈希、语言、货币、你接受条款的时间和版本）、你输入的收藏数据（卡牌、买入与卖出价格、备注、存放位置、上传的照片和收据）、扫描照片（关联至你的账号，未匿名化）、使用数据（带有 IP 地址和设备的登录记录、扫描、预警）、账单数据（由 Stripe 处理；我们仅存储发票元数据）以及客服消息。我们还会处理你在应用中的列表和设置：关注列表、愿望单（包含目标价格）、卡组列表（包含粘贴的文本）以及你为交换列表保留的副本数量——并且仅在你开启时，处理通过电子邮件发送的每周摘要以及你的公开收藏个人资料（用户柄、显示名称、你分享的内容）。关于公开个人资料的举报将作为客服请求处理。

目的与法律依据

提供服务和你的账号（合同履行）、安全与防范滥用（合法利益）、账单与法定留存（法律义务）、可选的产品电子邮件以及为改进识别效果而对扫描照片的可选保留（同意，可随时撤回）。发布你的收藏个人资料和每周电子邮件摘要（同意，可随时通过关闭相应功能撤回）。保留前个人资料用户柄以及处理有关公开个人资料的举报（合法利益：防止冒充和滥用内容）。

受托处理者与境外传输

Web 应用托管：Vercel Inc.（美国），法兰克福（德国）的服务器函数，通过 Vercel 全球网络交付。数据库：Databricks, Inc. 及其子公司 Neon, LLC（美国，Neon 服务）[签约主体待核实]，法兰克福（德国）数据中心。后台处理与对象存储（照片、收据、备份副本）：Railway Corporation（美国），阿姆斯特丹（荷兰）数据中心。电子邮件发送：Hostpoint AG（瑞士）。AI 图像分析，仅在启用 AI 识别且仅针对由你发起的扫描、评级检测和通过照片读取体育卡时：Anthropic PBC（美国）和 Google LLC（美国，Gemini API）[账单账号的 Google 签约主体待核实]。对于扫描，照片还可以转换为数字图像指纹，以便与卡牌目录进行比对。我们在其商业条款下将这两家提供商作为付费服务使用：它们不会将图像用于训练或改进其模型。Google 仅在有限期限内记录请求以检测滥用行为，并可能在其设有设施的其他国家/地区临时处理这些请求。支付（仅在提供付费方案后）：Stripe Payments Europe, Limited（爱尔兰），并进一步转接至 Stripe, LLC（美国）。

通过照片读取体育卡（“体育卡”页面，仅在你发起时）：正面照片以及（如果你愿意）背面照片将发送给读取卡牌详情的 AI 提供商——Google（Gemini API，仅作为付费服务使用），若该服务不可用，则发送给 Anthropic（Claude）。在此之前，我们会移除照片的元数据（EXIF，例如拍摄地点）并将其缩小。照片仅在内存中处理，随后即被丢弃：我们不存储照片，也不会创建扫描记录。结果仅用于预填表单；在你检查并保存之前不会保存任何内容。每次读取均计入你每月扫描配额中的一次扫描。[草案，法律审查中]

在 CardSight AI 目录中搜索体育卡并显示其市场价值（“体育卡”页面及已关联体育卡的卡牌页面，仅在你搜索或打开页面时）：你的搜索详情（例如球员姓名、年份、制造商、产品、卡号）和关联卡牌的 ID 将发送给 CardSight AI（美国，cardsight.ai），由其返回匹配的卡牌和售价。不会发送任何照片，我们也不使用 CardSight 的图像识别功能。我们不会发送你的账号或收藏的任何详情；CardSight 从我们的服务器接收请求，而非从你的浏览器。我们仅在你的体育卡中存储卡牌的 ID；搜索结果和价格最多缓存 24 小时。[草案，法律审查中]

卡牌图像直接从数据提供商（Scryfall、TCGdex、Lorcast）的服务器加载，因此它们会接收你的 IP 地址和浏览器详情。这也适用于首页上的示例卡牌。推送通知（仅在你开启时）通过你浏览器厂商的推送服务（例如 Google、Mozilla、Apple、Microsoft）进行送达。

接收方位于瑞士、欧盟和美国。向未提供充分保护的国家/地区的传输依赖于 FDPIC 认可的欧盟标准合同条款，或依据《瑞士-美国数据隐私框架》的认证[按每个接收方进行核实]。此信息为待法律审查的草案。

数据留存

账号和收藏数据：直至你注销账号。扫描照片：扫描后 90 天；经你同意最长 24 个月。安全日志（包含 IP 地址和设备的登录记录）：12 个月，账号注销后亦同。错误日志：90 天。已过期的会话：持续删除。发票：10 年（《瑞士债务法》第 958 条之 f）。保留的个人资料用户名：用户名更改或移除后保留 180 天；账号注销后仅保留该用户名本身直至期满，不与你的账号保留任何关联。支持请求和资料举报：只要我们仍有需要即行保留；账号注销时将解除与你账号的关联，但电子邮箱地址和请求内容予以保留 [期限有待法律审核]。愿望单、卡组列表和设置：直至你将其删除或注销账号。

你的权利

你可以查阅、更正、导出（设置 → 隐私）和删除（设置 → 隐私）你的数据，反对处理以及撤回同意。你也可以向 FDPIC 或当地监管机构提出申诉。

安全性

加密传输（TLS）、哈希密码、可选的双重认证、API 密钥的加密存储、面向员工的基于角色的访问权限控制，以及安全相关操作的审计日志。

推广联盟链接与服务商链接

在卡牌、卡组系列、收藏、关注列表和评级页面上，我们会展示前往 eBay（搜索结果与商品列表）以及评级公司（PSA、CGC、Beckett、SGC、TAG）网站的链接。点击后会在新标签页中打开相应服务商的网站。此后，该服务商将对你的数据处理承担责任：eBay 可能会根据 eBay 或相应服务商的隐私政策，通过 Cookie 和类似技术记录此次点击和你的访问。

一旦 HoloFoilX 加入 eBay Partner Network，eBay 链接即为联盟链接，并标注为“广告 · 联盟链接”。若你在点击后于 eBay 上购买，HoloFoilX 可能会获得佣金；你所支付的价格不会改变。该链接随后会包含我们的营销活动 ID 和展示位置的标识符（例如“卡牌页面”），但不包含有关你个人、账号或收藏的任何信息。前往评级公司的链接不是联盟链接；我们与这些公司不存在合作关系。

点击统计：当你点击这些链接之一时，你的浏览器会向 HoloFoilX 发送简短通知。我们以此统计每天从哪类页面点击了哪个目标（例如 ebay.ch 或评级公司）的次数。仅存储计数值——不含用户 ID、IP 地址、卡牌信息和 Cookie；正如每次页面请求一样，我们的托管服务商仅出于技术目的处理 IP 地址。计数器将在 400 天后删除。法律依据（在适用 GDPR 的情况下）：我们在衡量链接使用情况方面的合法利益（《通用数据保护条例》（GDPR）第 6 条第 1 款第 f 项）。[草案，有待法律审核]

Cookie 与浏览器存储

HoloFoilX 仅设置自身的第一方 Cookie：无第三方 Cookie、无分析或广告 Cookie，且不进行追踪。下列 Cookie 和浏览器存储属于技术所必需，或用于保存你自行选择的设置。它们不用于广告，也不会传递给第三方，因此我们不征求同意。在 holofoilx.artiomining.ch 上，登录 Cookie 的名称还以“__Secure-”开头（仅通过 HTTPS 传输）。

登录（技术必需；仅在登录后设置，脚本无法读取，SameSite=Lax）：“holofoilx.session_token”保持你的登录状态——14 天，在使用该服务期间每日顺延；若未勾选“保持登录状态”，则仅保留至关闭浏览器为止。“holofoilx.session_data”保存会话详情的签名副本，以避免每个页面都必须查询数据库——60 秒。“holofoilx.dont_remember”记录你未选择“保持登录状态”——直至你关闭浏览器。

双重认证登录（技术必需，仅在你启用后生效）：“holofoilx.two_factor”关联登录的两个步骤——10 分钟。“holofoilx.trust_device”仅在你选择信任该设备 30 天时设置：在此设备上我们 30 天内不再要求输入验证码。

技术支持查看账号（技术必需，仅限具有管理员权限的员工）：“holofoilx.admin_session”在管理员查看用户账号以提供协助时保留员工自身的会话。该查看最长在 30 分钟后结束，并在结束时删除该 Cookie。

你选择的设置（用于界面显示）：“holofoilx-locale”在语言与你浏览器的语言设置不同或在你切换语言时保存该语言——1 年。“holofoilx.theme”存储浅色、深色或“跟随系统”——1 年。“holofoilx.intro”以数值“1”记录在本次浏览器会话中已展示过首页的 Logo 开场动画——直至你关闭浏览器。

浏览器存储：在 sessionStorage 中（关闭标签页时删除），“holofoilx.scanMode”记录你选择的是单张卡牌还是批量扫描，“holofoilx.batchScan.v1”保存正在进行的批量扫描列表及预览缩略图（最大 160 像素），以便重新加载页面时不会丢失；照片本身不作存储，且该列表一旦添加到收藏或被删除即行清空。在 localStorage 中（保留直至你在浏览器中清除），“holofoilx.scanCollection”记录你最近一次直接从扫描仪添加卡牌到的收藏，“holofoilx.scanCamera”记录你在扫描仪中选择的摄像头（由浏览器分配的设备 ID）。这些条目保留在你的设备上，不会发送给我们。你使用放大镜查看的全分辨率照片仅保留在浏览器的内存中；与以往一样，我们仅接收缩小后的副本。

推送通知：仅在你启用后，你的浏览器才会注册用于展示通知的 HoloFoilX Service Worker（它不存储页面内容）。你可以随时在浏览器中清除 Cookie 和浏览器存储；届时你将被退出登录，且显示设置会被重置。[草案，有待法律审核]

公开收藏资料

仅当你在设置中开启（“公开资料”）时，我们才会在你选定的用户名下公开发布你收藏的视图，以便你进行分享；默认情况下全部处于关闭状态。公开可见的内容包括：用户名、可选的显示名称（未设置则仅显示用户名，绝不显示你的账号名称）、每张卡牌的名称、编号、卡组系列、游戏所属、目录图片和卡牌持有数量、卡牌总数和卡组系列总数，以及——仅在开启单独开关时——以你的显示货币呈现的预估总价值。绝不可见的内容包括：购买价格、手续费、购买与出售日期、备注、标签、你的收藏名称、存放位置、序列号与证书编号、照片、收据凭据、你的电子邮箱地址以及你自行录入的卡牌（例如体育卡牌）。

资料中的交换列表（独立开关，默认关闭）：持有数量超出你打算保留数量的卡牌将会公开可见，显示其数量、品相（例如 NM）或评级等级（例如 PSA 10），并且——仅在开启价值开关时——显示这些卡牌的总价值。

任何拥有该链接的人均可查看该页面；在内测期间，仅限已登录且受邀的人员。没有个人资料目录，也不提供个人资料搜索功能。除非你明确允许，否则搜索引擎会被排除在外（noindex）；若你明确允许，搜索引擎可能会存储该页面。接收者、链接预览服务或搜索引擎制作的副本均不在我们的控制范围内。

你可以随时关闭或移除该个人资料；随后该页面会立即响应为未知地址。我们将为你保留原个人主页个性域名 180 天，以确保无人可以使用你的旧链接；在此期间仅有你可以重新使用它。在保存时，我们会对照禁止用语列表对个人主页个性域名和显示名称进行检查；被拒绝的名称不会被存储。

举报个人资料：已登录用户可以举报公开的个人资料。我们将该举报（原因、个人资料链接及可选文本）作为举报人的支持请求进行存储；内部团队能够看到涉及哪个账号。若存在违规行为，管理员可以重置该个人资料（关闭、删除显示名称、将个性域名封禁 180 天）；这会记录在审计日志中。[草案，尚待法律审核]

电子邮件每周摘要

仅当你在通知设置中开启该功能时（默认关闭），我们才会在周日向你发送收藏摘要：总价值与相较上一周的变化、变动最大的卡牌、达到目标价格的愿望单卡牌、卡组系列的集换进度，以及（取决于你的方案）评级候选卡牌的数量。它仅根据你在我们系统中的数据生成；若无新动态，我们不会发送任何内容。

电子邮件中不含图片、追踪像素、点击追踪或推广链接；邮件通过我们的电子邮件服务商 Hostpoint AG（瑞士）发送。你可以在设置中、通过每封电子邮件中的链接（需确认）或直接在你的电子邮件客户端中（一键退订）退订。该链接包含一个有效期为 90 天的签名令牌，且只能用于关闭摘要。为了确保每周最多收到一封电子邮件，我们会为每周存储一个标记。[草案，尚待法律审核]