隐私政策

一、运营者与适用范围

本政策适用于运营者通过 mybookmark.cn 提供的注册登录、书签与分类管理、外观设置、图标上传、设备管理、邀请、意见反馈、退出和账号注销等当前功能。用户收藏的第三方网站有其独立的个人信息处理规则，不适用本政策。

“个人信息”是以电子或其他方式记录的、与已识别或可识别自然人有关的信息。本政策中的“处理”包括收集、存储、使用、传输、提供、公开、删除等活动。

二、各场景处理的信息

1. 注册、登录、注销验证与风控

本服务使用手机号和短信验证码完成注册、登录和注销验证，不设置或保存登录密码。我们处理手机号、短信验证码、图形验证码、请求 IP 地址、验证结果、请求时间、发送频率和失败次数，用于识别账号、完成身份验证、防止验证码接口滥用和处置异常登录。手机号是建立账号和完成当前身份验证所必需的信息；拒绝提供将无法注册或登录。

短信验证码、验证码任务和图形验证码在 Redis 中通常保存 5 分钟；短信验证码验证成功后会立即消费删除，图形验证码在提交验证后删除。发送频率计数按 1 分钟、1 小时和 24 小时窗口保存；登录失败计数最长 24 小时，临时限制按当前规则持续 15 分钟或 24 小时。注册后，手机号和账号状态在账号存续期间保存在业务数据库中；账号注销后的处理见本政策第六部分。

当您在注册、登录或政策重大更新场景勾选确认时，服务端保存用户编号、服务条款版本号、隐私政策版本号、服务端确认时间和确认场景（REGISTER、LOGIN 或 POLICY_UPDATE），用于证明向您展示的版本及您的确认行为。该记录不保存确认时的 IP 地址或设备信息。账号注销后，确认记录保留 3 年且不再用于日常账号功能，并增加使用服务端密钥生成的手机号 HMAC 摘要作为受限核对标识；该摘要仍属于可关联信息，不视为匿名化数据。期限届满后自动删除。

2. 登录会话、CSRF 防护与设备管理

登录后，服务端通过名为 MB_SESSION 的 Cookie 保存随机会话标识和校验信息；生产配置将其设置为 HttpOnly、Secure、SameSite=Lax，浏览器脚本不能直接读取。会话在连续不活动 30 天后失效，并会随使用续期；退出登录、设备下线、超过当前 5 个有效会话的限制、账号注销或安全处置也会使相应会话提前失效。服务端会话缓存包含用户编号、手机号账号标识及会话时间信息。

为防止跨站请求，浏览器还会保存 XSRF-TOKEN Cookie；它不是登录凭证，当前没有设置持久化有效期，通常随浏览器会话结束。前端仅在运行内存中使用对应令牌。限制必要 Cookie 会导致登录状态无法保持或请求被拒绝。

设备记录包含用户编号、会话编号、设备名称和类型、操作系统、浏览器、完整登录 IP、原始 User-Agent、登录地区、登录时间、最后活跃时间、会话到期时间及设备状态。设备页面当前展示设备名称、类型、地区、登录时间和到期时间，接口返回的 IP 会作掩码处理。登录地区仅通过服务器内置的 ip2region 本地离线数据库解析，不会为此把 IP 发送给外部定位服务。已退出、被踢出或过期的设备记录在达到清理条件 90 天后自动删除；仍处于有效状态的记录随会话使用保存。

3. 书签、分类和外观设置

我们处理您提交的书签标题、网址、描述、图标地址、分类名称、分类显示状态、分栏和排序信息，以及首页布局、颜色配置和图标尺寸，用于保存、同步、搜索和展示您的书签。站内搜索在浏览器中对已加载书签执行。数据保存在自建业务数据库和缓存中，并通过内部异步队列写入数据库，以便您跨设备访问。

书签保存消息包含用户编号、手机号账号标识、当前服务端会话标识、保存版本以及本次提交的完整书签、分类和首页配置快照，用于恢复消息处理上下文并校验消息所属用户；相同快照也会作为当前数据保存在自建 Redis 中，再由自建 RabbitMQ 异步队列写入数据库。消息正常消费后从队列移除；失败消息可能重试，当前未设置可以向用户承诺的最长重试留存期限，但异步失败记录不会另行保存消息正文。账号存续期间，数据库中的书签、分类和配置保留至您修改、删除或注销账号。

4. 手动上传书签图标

上传图标是可选功能。服务端会处理文件内容、文件类型、尺寸和上传用户编号，以校验格式、重新编码并保存图标。当前接受 PNG、JPG、JPEG、ICO 和 SVG；ICO、SVG 会转换为 PNG，其他支持图片也会解码后重新编码，默认生成适合展示的尺寸，以减少图片元数据或附加内容。

上传后的文件只允许具有有效登录会话的当前账号访问。浏览器请求图标时会自动携带必要的会话 Cookie，系统只校验会话是否有效以及图标 URL 是否属于当前账号的专属目录，不会因此延长会话、轮换登录凭证或更新设备活跃时间；只有知道 URL 但未登录或登录其他账号的人不能通过网络请求取得文件。图标响应只允许当前浏览器私有缓存，最长 7 天，不允许共享代理或 CDN 将其作为公开内容缓存。系统每日按用户目录逐个扫描图标引用：仍被任一有效书签引用的文件继续保存；不再被引用的文件自系统最近一次确认其仍被引用之日起经过至少 7 天宽限期后，在下一次日扫描中删除。账号注销时，系统会异步删除该账号专属目录中的图标，但不能同步清除当前浏览器已经形成的私有缓存。访问控制不能消除终端设备被他人控制、截屏或用户自行转发等风险，请不要上传与书签展示无关的敏感信息。

5. 邀请好友

每个账号会生成随机邀请码。邀请链接只包含邀请码，不包含邀请人的手机号或内部用户编号；浏览器会把链接中的邀请码暂存最多 30 天，并在首次注册成功后清除。首次注册时，服务端在新用户记录中保存邀请人的用户编号，用于识别邀请来源。当前没有奖励或佣金功能；账号注销时，其邀请码随账号记录删除，其他账号中指向该账号的邀请关系会被解除。

6. 帮助与意见反馈

您提交反馈时，我们处理用户编号、反馈类型（建议、故障、账号或其他）、不超过 300 字的反馈内容、提交时间、处理状态、由运营人员人工维护的处理完成时间，以及您自愿填写的不超过 100 字的联系方式，用于受理、排查、回复和改进服务。联系方式不是提交反馈的必要信息。运营人员确认处理完成后，联系方式在下一次每日清理中清空；已处理反馈自处理完成之日起保存 1 年，始终未维护处理完成时间的反馈自提交之日起最长保存 2 年，账号注销时会提前随业务数据异步物理删除。内部反馈通知消息包含反馈编号以及当前用户编号、手机号账号标识和服务端会话标识，用于恢复消息上下文并在发送通知前确认账号状态；外发邮件只提示存在新反馈并包含反馈编号和提交时间，不包含反馈类型、正文、联系方式或用户账号信息。

7. 日志、安全记录与监控

Web 访问日志可能包含完整 IP 地址、请求时间、请求方法和不含查询参数的路径、协议、状态码、User-Agent、转发 IP、Origin 及传输量；当前配置不记录查询参数和来源页面。应用运行日志包含请求路径、耗时、结果、链路标识和故障信息，当前默认关闭控制器请求参数日志。与账号操作相关的记录包含用户编号、操作类型、失败原因和链路标识；风控记录可能包含用户编号、完整 IP、行为类型、命中规则、风险等级和说明。登录失败风控记录不会保存明文短信验证码。

应用文件日志最长保留 30 天；用户操作日志和风控日志自产生之日起保留 6 个月并自动清理，账号注销不会缩短其原定安全留存期限；Web 访问日志按日轮转，轮转文件最多保留 200 天。异步失败记录保存消息类型、路由、关联标识和失败原因，不保存消息正文，不设置自动删除任务，由授权运营人员在故障排查完成后人工删除。自建监控指标固定保留 15 天，只使用操作类型、结果、服务实例等运行标签，不把手机号、用户编号或书签内容设为指标标签。

三、Cookie 与浏览器本地存储

前端会清除历史版本遗留的浏览器 token、sessionStorage 账号和登录标记。当前不使用广告 Cookie 或第三方统计分析 Cookie。

四、favicon 与外部网站

当前上线版本不会由服务端根据您提交的书签网址自动访问目标网站、抓取或缓存 favicon。因此，保存书签本身不会把该网址、您的 IP 或账号信息发送给目标网站。历史代码中未启用的 favicon 获取实现不属于当前数据处理活动。

当您点击书签时，浏览器会直接打开第三方网站。目标网站可能收到您当前网络的 IP 地址、User-Agent、访问时间等普通网络请求信息；当前打开方式会阻止新页面控制本页面并尽量不发送来源页面信息。第三方如何处理信息由其自行负责，请查看其隐私规则。第三方网站的图标、商标和其他标识权利归相应权利人，具体投诉方式见《服务条款》。

五、第三方处理与对外提供

MySQL、Redis、RabbitMQ、Prometheus、Grafana 和 Alertmanager 在当前部署方案中均为运营者在上述阿里云服务器中自建的组件，不作为向外部公司的个人信息共享。当前未接入第三方 CDN、WAF 或 DDoS 防护、网站统计或用户行为分析、广告或广告联盟、在线客服、第三方错误追踪、第三方登录或支付服务，也未发现其他第三方 SDK 或 API。未来计划不属于当前处理活动，实际接入新服务前将另行评估并更新本政策。

我们不出售个人信息。当前代码和配置未显示将个人信息转让给其他主体、主动公开披露或由服务端自动访问用户收藏网站；如依法向有权机关提供或发生业务主体变更，我们将按照适用法律履行相应程序。

跨境处理

按照当前实际部署和运营安排，本服务的服务器、数据库和日志均位于中国大陆；当前没有已实施的生产备份，也不会将日志或备份存放在境外。运营邮件不会自动或人工转发至境外邮箱，钉钉告警群中没有境外接收人员。本服务未使用 Cloudflare、Google Analytics、Google Fonts、境外 CDN 或其他境外网络、统计及内容分发服务，也没有境外员工或服务商访问生产数据。基于上述现状，运营者目前没有向境外提供用户个人信息，也未配置其他个人信息跨境处理活动。

如果未来因功能或供应商变化需要向境外提供个人信息，我们将在实际开展前更新本政策，向您说明境外接收方、联系方式、处理目的、处理方式、信息种类以及您行使权利的方式，并依法履行届时适用的个人信息出境程序；需要取得单独同意的，将在处理前另行征得您的单独同意。

六、保存、删除、缓存与备份现状

账号注销：短信验证完成后，账号立即进入不可登录状态，全部服务端会话失效并通过内部消息启动异步物理删除。删除范围包括用户主记录和明文手机号、书签、分类、配置、登录设备、反馈、邀请字段、Redis 业务缓存以及账号专属上传图标，但不包括上表列明的限期留存信息。异步任务处理失败时会继续重试；当前没有定时兜底任务或已经实施的最长完成期限，因此运营者不承诺固定天数内完成物理删除。注销不可恢复；删除按原用户编号执行，不处理使用同一手机号重新注册的新账号。如您在注销后仍发现可定位的源文件或其他业务数据，可通过联系邮箱提出删除请求。

有限留存例外：具体投诉、安全事件或有权机关依法要求保存的信息，可能在有明确依据时于必要范围和期限内另行限制保存，相关目的结束后删除或依法处理。

生产备份：运营者确认当前未实施任何生产备份，包括数据库备份、云盘快照、上传文件备份、日志备份或其他备份，也未使用阿里云快照或备份服务。因此，目前不存在备份位置、备份频率、备份保留期限、备份中的图标或日志、用户删除或注销后备份副本的自然淘汰期限以及定期恢复测试。生产数据发生损坏或丢失时可能无法从备份恢复，请您自行保留重要网址或资料的副本。未来如启用生产备份，运营者将先确定备份范围、保存期限、访问控制、删除后的自然淘汰规则和恢复测试安排，并据实更新本政策。

七、您的权利与请求方式

您可以在页面中查看、添加、修改和删除书签、分类及配置；查看登录设备并使设备下线；清理浏览器 Cookie 和网站数据；退出登录；或者通过账号菜单申请注销。当前页面不提供修改绑定手机号、下载完整个人信息副本、单独删除反馈、邀请关系、日志或上传文件的自助入口。

个人信息权利请求和相关投诉由网站运营负责人处理。您可以通过 contact@mybookmark.cn 请求查阅、复制、更正、补充或删除个人信息，解释处理规则，限制或拒绝特定处理，撤回基于同意的处理，注销账号，或者提出投诉。运营者将在收到邮件后 7 个工作日内首次回复，确认是否受理、需要补充的信息及身份核验方式；在您完成身份核验并提供处理所必需的信息后 15 个工作日内完成处理或作出正式答复。情况复杂无法按期完成时，将先说明原因和预计完成时间。

身份核验：仍可登录的账号应优先通过短信验证码登录并使用站内功能。对于没有自助入口的请求，运营者可以先通过邮件提供随机申请编号，请您登录原账号后在站内意见反馈中提交该编号；反馈记录所关联的当前用户编号用于核验邮件申请与账号的关系。账号注销继续使用登录状态下的现有短信验证和确认流程。当前尚未提供专门的注销后权利请求短信验证页面；已经注销或无法登录的账号，可在邮件中提供原绑定手机号、大致注册、最后使用或注销时间，以及必要的最少辅助信息。运营者不会要求您通过邮件发送短信验证码或完整身份证件，也不会要求提供服务器路径或凭据。仅凭发件邮箱、主动填写的手机号或截图不能当然证明账号归属；无法达到合理可信的核验程度时，运营者可以暂缓或拒绝处理并说明理由。

删除请求的处理边界：能够删除且不存在继续保存依据的信息将予以删除。存在下列情形时，运营者可能拒绝、暂缓或仅部分处理：无法可靠核验申请人与账号的关系；相关信息不存在、已经删除或根据现有信息无法合理定位；法律法规要求继续保存；信息与正在处理的投诉、争议、安全事件或行政司法调查直接相关；删除可能损害他人合法权益；或者请求明显不合理、超出法定权利范围。暂时保留的信息将限制在对应目的范围内使用，并在继续保存依据消失后删除。拒绝、暂缓或部分处理时，运营者将说明未处理的信息类别、理由、预计删除时间或期限确定方式，以及申诉渠道。

申诉：如您对处理结果有异议，可再次发送邮件至 contact@mybookmark.cn，并在邮件标题中注明“个人信息处理结果申诉”。网站运营负责人将重新核对原申请、核验记录和处理理由。您也可以依法向个人信息保护职责部门投诉或寻求其他救济。

上传图标的人工删除：如站内删除、替换书签或账号注销未能满足您的删除请求，您可以提供相关书签标题或网址、图标访问地址、页面截图以及大致上传、替换或删除时间等最少定位信息。完成身份核验后，运营者将根据用户编号、书签引用和账号专属图标目录定位文件，核对文件是否仍被有效书签引用，删除相应源文件并检查同账号下相关孤立文件，然后告知处理结果。源文件删除后，当前浏览器已经形成的私有缓存仍可能在最长 7 天内显示，您可以清除该网站的浏览器缓存。

账号注销会启动上述异步物理删除，但依法限期保存的数据以及当前浏览器已经形成的私有缓存不会随注销请求立即消失。撤回同意不影响撤回前已经进行的处理；对于提供基本账号和同步服务必需的信息，拒绝或撤回后相应功能可能无法继续。运营者保存申请时间、身份核验结果、处理决定、完成时间和回复结果，自处理完成之日起保存 3 年，用于跟踪请求和证明处理情况；不保存一次性短信验证码，不必要的身份证明材料不纳入该长期记录。

八、安全措施与事件处理

当前服务使用 HTTPS、HttpOnly/Secure 会话 Cookie、CSRF 防护、会话校验与轮换、验证码和频率限制、图片解码与重新编码、访问控制、敏感字段日志掩码以及本地离线 IP 归属地解析等措施降低风险。业务数据库、缓存、消息队列和监控组件按当前部署方案运行在运营者控制的云服务器环境中。

这些措施不能保证绝对安全。发生或者可能发生个人信息泄露、篡改、丢失时，运营者应立即采取补救措施，并依法向有关部门报告、向受影响个人告知事件类型、可能影响、已采取措施和可用的风险降低方式；依法可以不通知个人的除外。当前事件响应负责人、通知模板和联络电话为【待运营者确认】。

九、未成年人个人信息

本服务不是专门面向未成年人设计的产品，当前注册流程不收集出生日期或年龄，也没有年龄识别、年龄确认、阻止未成年人注册、监护人同意核验或专门的未成年人使用流程。因此，运营者目前无法仅根据注册信息识别用户是否为未成年人。

不满 14 周岁未成年人的个人信息属于敏感个人信息。由于当前尚未建立适合不满 14 周岁未成年人的监护人同意流程和专门个人信息处理规则，本服务不面向不满 14 周岁的未成年人提供注册使用，请不满 14 周岁的未成年人不要注册或向本服务提供个人信息。已满 14 周岁但未满 18 周岁的未成年人应在监护人指导下阅读本政策和《服务条款》，并谨慎提供个人信息。

监护人如发现不满 14 周岁的未成年人已经注册或向本服务提供个人信息，可以通过 contact@mybookmark.cn 请求查阅、更正或删除。网站运营负责人将按照本政策第七部分的时限和身份核验原则处理，并仅在必要范围内核验监护关系及相关账号；请勿直接在邮件中发送未成年人完整身份证件、短信验证码或其他不必要的敏感信息。

十、政策更新

本版本为服务首次正式发布版本；发布前不存在真实外部用户，因此不适用面向既有用户的提前通知或重新确认。功能、接收方、保存期限或其他个人信息处理方式发生变化时，我们将更新本政策和页面日期。以后涉及处理目的、方式、种类、保存期限、对外提供或用户权利的重大变化，将在生效前通过届时实际可用且足以引起注意的站内方式提示，并在法律要求或运营者判断确有必要时，要求已登录用户重新确认后再继续使用普通业务功能；用户在确认前仍可阅读法律文件、退出登录或申请注销账号。具体通知方式和通知期将结合届时变更另行确定。仅修改更新日期不能替代依法应履行的告知或同意义务。

十一、联系与投诉

运营者和个人信息处理者：北京森阳云创网络技术服务部（个体工商户）；个人信息保护联系人：网站运营负责人。如您对本政策、个人信息处理或权利请求有疑问、意见、投诉或申诉，请发送邮件至 contact@mybookmark.cn。运营者将在收到邮件后 7 个工作日内首次回复，并在完成身份核验、收到必要信息后 15 个工作日内完成处理或正式答复；具体流程及可能暂缓、拒绝处理的情形见本政策第七部分。运营者不在本页面公开实体联系地址和联系电话；如需书面通知，请先通过上述邮箱联系。