隐私政策
草案。本文为工作草案，尚未经律师审阅。方括号中的占位内容须在发布前补齐。
本政策说明当您使用 openIVR 的远程访问中继 openIVR Cloud 时，SwissLabs（以下称「我们」）处理哪些数据以及为何处理。本政策按照欧盟《通用数据保护条例》（GDPR）和瑞士《联邦数据保护法》（nFADP / nLPD）撰写。
控制者
SwissLabs，洛桑，瑞士。数据保护联系方式：contact@openivr.cloud。
简要说明
- 我们保存您的账户邮箱、您所配对站点的标识以及连接元数据。
- 为了合理使用与计费，我们统计 TURN 中继为每个站点搬运了多少字节。我们不查看其中内容。
- 我们从不存储视频、快照或音频。 媒体包以端到端加密的方式经过，并被立即遗忘。
- 付款由 Stripe 处理；我们从不会看到您完整的卡号。
我们处理哪些数据以及为何处理
| 数据 | 目的 | 法律依据 | 保存期限 |
|---|---|---|---|
| 账户邮箱与口令哈希 | 创建并保护您的账户，发送服务通知 | 合同（GDPR 第 6 条第 1 款 b 项） | 账户存续期间，此后 30 天 |
| 站点标识、站点名称、配对状态 | 把您的请求只送到您自己的 NVR | 合同 | 直到您解除配对或删除站点 |
| 连接元数据：时间戳、IP 地址、用户代理、请求路径、HTTP 状态 | 运行中继、限流、防止滥用，以及 Pro 与 Enterprise 套餐提供的审计日志 | 合同；出于安全的正当利益（第 6 条第 1 款 f 项） | 90 天 |
| 每站点的 TURN 字节计数 | 合理使用与计费 | 合同 | 13 个月，以按月汇总的形式 |
| 计费状态与 Stripe 客户标识 | 了解订阅是否处于有效状态 | 合同；发票的法定义务 | 法定会计保存期 |
| 推送通知令牌（当您启用通知时） | 投递您所请求的告警 | 同意，可随时撤回 | 直到您关闭通知 |
视频：只经过，从不存储
当您通过 openIVR Cloud 观看摄像机时，媒体在您的 NVR 与浏览器之间用 WebRTC 协商并端到端加密（DTLS-SRTP）。只要两者之间存在直连路径，视频完全不会经过我们的服务器。当不存在直连时，通常是在 CGNAT 后面，加密数据包会 经过 我们的 TURN 中继。中继在内存中转发它们，不解密、不检查，也不写入磁盘。承载界面的 HTTP 隧道同理：请求在内存中转发。录像下载和备份导出会被中继拒绝。
由于摄像机拍到的画面可能包含人员，您所转发的视频在 GDPR 和 nFADP 之下属于个人数据。对于这类数据， 您 是控制者，我们作为处理者只在传输过程中处理它。摄像机的合法性由您负责（告示牌、拍摄范围、必要时的同意）。
处理者
- Stripe 用于订阅付款。您的银行卡信息直接进入 Stripe；我们只收到客户标识和订阅状态。请参阅 Stripe 的隐私政策。
- OVH 在欧盟境内托管中继与 TURN 服务器。
- 没有邮件服务商：openIVR Cloud 不会自行发送任何邮件。Stripe 以自己的名义，把付款收据发往您提供给它的地址。
我们不出售数据，也不使用广告追踪器。本网站不设置任何 Cookie；仅使用浏览器本地存储来记住您的语言和价格周期选择。
数据存放在哪里
账户、站点与计费数据存放在欧盟境内。若存在向瑞士和欧洲经济区以外的传输（例如传向 Stripe），则依据欧盟委员会的标准合同条款或充分性认定。
您的权利
您可以要求访问、更正、删除、限制处理和携带您的数据，并可反对基于正当利益的处理。您可以随时撤回对通知的同意。请发送邮件至 contact@openivr.cloud；我们会在 30 天内答复。您也可以向监管机构投诉：在瑞士为联邦数据保护与信息专员（FDPIC），在欧盟为您居住国的监管机构。
删除账户会移除您的邮箱、站点和配对状态。发票会按法定期限保存。
安全
通往中继的流量仅走 TLS。TURN 凭据是临时的，且仅限一个站点。请求抵达您的 NVR 之前，中继会先要求自己的会话和有效订阅，随后才轮到您 NVR 自身的认证。敏感操作记录在防篡改的审计链中，其中从不包含请求正文。
变更
本政策的重大变更，我们会在生效前至少 14 天通过邮件并在本页面公布。