隐私政策

1. 服务运营方

• 服务名称：KARE PASS（整合凭证平台）
• 运营主体：[TO BE REVIEWED — 法定名称]
• 地址：[TO BE REVIEWED]
• 联系方式：[TO BE REVIEWED — 主要邮箱/电话]

2. 我们收集的个人数据

本公司收集以下个人数据以提供本服务。

• 账户信息：邮箱（必填）、姓名（必填）、密码（加密存储；社交登录用户不收集）、首选语言、账户状态、注册及上次登录时间戳
• 社交登录信息：提供方（Google/Apple/Facebook）、提供方用户标识符、提供方提供的邮箱
• 预订及同行人信息（可选）：同行人姓名、护照号码（掩码存储）、出生日期、性别、国籍
• 支付信息：支付币种（USD）、支付授权与退款记录、支付网关交易标识符（卡号等敏感支付工具数据由支付网关处理，本公司不予存储）
• 服务使用记录：凭证的签发/使用/转赠历史、预订日程，以及包含访问 IP、设备信息（User-Agent）和访问时间的审计日志

3. 收集和使用目的

• 会员注册、身份验证及登录认证
• KARE PASS 凭证的签发、使用、转赠（赠送）及结算
• 与合作伙伴（医院、医美、住宿、出行接送）中转和处理预订
• 支付与退款处理
• 发送预订批准/拒绝、到期提醒、结算和赠送等通知
• 回复客户咨询并运营和改进本服务
• 防止欺诈使用并履行法律义务

4. 向第三方提供个人数据

为处理用户请求的预订，本公司仅向合作伙伴提供完成预订所需的最低限度信息。

• 医疗/医美合作伙伴：预订标识符、凭证标识符、预定就诊时间，以及必要时的同行人信息（诊断、处方和检查结果等医疗信息不予提供）
• 住宿合作伙伴：预订标识符、预定到达时间、入住人数
• 出行接送合作伙伴：机场名称、预定到达时间、乘客人数

5. 个人数据处理的委托

为顺畅地提供本服务，本公司可能将某些任务委托给外部提供方，并以合同义务确保个人数据的安全。

• 支付处理：支付网关（PG）提供方
• 通知发送：推送（FCM/APNs）、短信和邮件发送服务
• 云基础设施运营：[TO BE REVIEWED — 云服务提供方]

6. 不处理个人健康记录（PHR）

本公司不收集、存储或处理任何个人健康信息（EMR/PHR），如诊断、处方、检查结果或手术细节。

即使是医疗和医美预订，也仅处理预定就诊日期等日程信息，任何医疗信息在输入和记录阶段都会被自动拦截，以确保其不进入系统。

7. 个人数据的保留与删除

• 会员信息：会员请求注销（删除账户）时适用 30 天宽限期；在宽限期内重新登录可取消注销。宽限期结束后，个人数据将被去标识化处理。
• 存在有效凭证或未结算订单时，注销可能受到限制。
• 交易和结算记录：以匿名形式保留，用于法律合规和争议解决。
• 审计日志：约一年内保持可便捷访问，之后单独保留至多七年；与安全相关的记录可能永久保留。
• 删除方式：以电子文件形式存在的信息将以不可恢复的方式删除。
• 具体保留期限：[TO BE REVIEWED]

8. 数据主体的权利

用户可就其个人数据行使以下权利。

• 请求查阅或更正个人数据
• 请求删除个人数据或暂停其处理
• 注销会员资格（提供应用内账户删除请求功能）
• 行使这些权利的方式：[TO BE REVIEWED — 联系方式]

9. 个人数据的跨境传输

本服务面向全球用户群体，在委托和基础设施运营过程中，个人数据可能被传输至境外。目的地国家、项目、时间、方式及法律依据等详情为 [TO BE REVIEWED]。

10. 安全措施

• 密码以不可逆哈希（bcrypt）形式存储；绝不保留明文。
• 通过基于角色的访问控制（RBAC）和所有权验证限制数据访问。
• 管理员访问仅允许通过 Google Workspace SSO 进行。
• 护照号码等敏感标识符以掩码形式存储。
• 认证会话令牌设有过期时间（access 1 小时，refresh 7 天），并在登出时失效。
• 关键活动记录在仅追加（append-only）的审计日志中，无法修改或删除。

11. 社交登录

当您使用 Google、Apple 或 Facebook 账户登录时，本公司会从该提供方接收用户标识符和邮箱，并用于识别您的账户。根据提供方的政策，部分信息（如邮箱）可能不会被提供。

12. 数据保护负责人

• 姓名/职务：[TO BE REVIEWED]
• 联系方式：[TO BE REVIEWED]

13. 变更通知

如本隐私政策因新增、删除或修改而修订，我们将在变更生效前在本服务内予以公告。生效日期：[TO BE REVIEWED]。