隐私政策
本翻译仅为方便阅读而提供。本文件的官方且具有法律约束力的版本为 crustapi.com/privacy 上的英文版本。如有任何冲突，以英文版本为准。
本政策以通俗易懂的语言说明 CrustAPI 收集哪些个人数据、为何收集、与谁共享，以及您对这些数据享有哪些权利。CrustAPI 是 crustapi.com 上的一个数据 API，以整洁的 JSON 或 CSV 形式返回 Google Search 和 Google Maps 数据。我们与 Google 没有关联，未获得 Google 的认可或赞助。本政策适用于我们网站的访问者以及任何持有 CrustAPI 账户的人。
1. 我们是谁以及谁负责
CrustAPI 是一个数据 API。它以整洁的 JSON 或 CSV 形式返回 Google Search 结果以及 Google Maps 和本地商户数据。在本政策中，CrustAPI、我们和我们的均指 CrustAPI 服务。您指使用我们网站或服务的个人或企业。
CrustAPI 是一项企业对企业（business-to-business）服务。它不是面向消费者或最终用户的产品。
对于网站访问者和账户持有人的个人数据（例如您的姓名、电子邮箱和账户记录），我们是控制者（controller）。我们决定为何以及如何处理这些数据。
对于我们自行收集并通过 API 提供的公开网络数据，我们是控制者。我们决定从哪些公开来源收集、保留哪些字段以及保留多长时间。一旦您收到这些数据，对于您随后如何使用这些数据，您即为控制者，并且您有责任为自己的处理活动具备合法依据，以及按照适用于您的法律来使用这些数据。仅当您已将自己的数据发送给我们进行处理，并且我们已与您签署了作出相应约定的数据处理协议时，我们才作为您的处理者（processor）行事。
2. 何为个人数据
个人数据指与已识别或可识别的个人相关的任何信息。这既包括姓名或电子邮箱等显而易见的信息，也包括账户标识符或在可关联到某个人时的 IP 地址等不那么显而易见的信息。
本政策涉及的是我们所持有的关于作为访问者或客户的您的个人数据。它不涉及您通过 API 获取的公开网络数据，那些数据由您按上文所述加以控制。
3. 我们收集哪些个人数据
我们只收集运营服务所需的信息。以下类别即为完整清单。
- 账户数据：您的名字、姓氏、电子邮箱和密码。您的密码仅以 scrypt 哈希形式存储。我们绝不存储您的明文密码。
- 电子邮件验证数据：在验证您的电子邮箱时，我们仅存储一个临时 6 位验证码的 SHA-256 哈希值及其短暂的有效期。验证码本身在验证后不予保留。
- API 密钥：您创建的 API 密钥。
- 账单与购买记录：通过我们的支付服务提供商处理。我们存储一个支付参考信息、所授予的积分数量以及一个时间戳。我们不存储您的卡号或完整的支付信息。这些由我们的支付服务提供商处理。
- 使用元数据：对于每一次计费的 API 调用，我们存储所使用的端点（endpoint）或类型、一个时间戳、其消耗的积分数量，以及您提交的请求参数，其中包括您请求我们查询的搜索词，或个人资料或地点的标识符。这就是为您的控制面板中的请求日志提供支持并使我们能够回答账单问题的内容。我们不保留返回给您的结果。
- 会话数据：当您登录控制面板时，我们仅存储您的会话令牌的 SHA-256 哈希值及其有效期。身份验证使用保存在您浏览器本地存储（local storage）中的 bearer 令牌，而非 Cookie。
- 基础设施日志：我们的托管服务提供商会暂时性地处理您的 IP 地址，以交付、限速（rate-limit）并保护服务。
- 注册 IP 地址：我们记录用于创建账户的 IP 地址，以及我们由此推导出的国家/地区。我们仅将其用于安全和防止滥用。我们不会用它来跟踪或对您进行画像，也不会共享它。
4. 我们不做的事
这些是我们实实在在作出的选择，而不仅仅是承诺。
- 我们不使用 Cookie 进行跟踪或广告。crustapi.com 完全不设置任何 Cookie。
- 我们使用 Vercel Web Analytics 和 Vercel Speed Insights，它们是第一方（first-party）、无 Cookie 且聚合的。它们记录页面浏览量和页面加载时间。它们不设置 Cookie，不建立关于您的画像，也不会跨其他网站跟踪您。我们不运行任何广告或第三方跟踪脚本：没有 Google Analytics，没有 Microsoft Clarity，没有广告像素。
- 我们不出售或出租您的个人数据，也不会为了跨情境行为广告（cross-context）而共享它。
- 我们不存储您的支付卡信息。
- 我们不存储返回给您的结果。
5. 我们为何处理您的数据以及我们的合法依据
我们出于以下原因处理您的个人数据。在 GDPR 适用的情况下，我们还依据所注明的合法依据。
- 为提供服务：以创建和运行您的账户、签发 API 密钥、计量积分并返回 API 结果。合法依据：履行我们与您之间的合同。
- 为处理付款和管理积分：以授予和跟踪积分并保存账单记录。合法依据：履行我们与您之间的合同，以及我们保存某些记录的法律义务。
- 为验证您的电子邮箱：以确认您拥有该账户上的电子邮箱地址。合法依据：履行我们与您之间的合同，以及我们在防止滥用方面的合法利益。
- 为保障服务安全并防止欺诈：以进行限速、锁定反复失败的登录并防范滥用。合法依据：我们在提供安全可靠服务方面的合法利益。
- 为了解和改进产品：以分析使用元数据。合法依据：我们在改进服务方面的合法利益。
- 为履行法律义务：例如税务和会计规则。合法依据：遵守法律义务。
- 当我们就某一特定目的征求您的同意时，我们的合法依据即为该同意，且您可随时撤回。
6. 我们与谁共享您的数据
我们不出售或出租您的个人数据，也不会为广告目的共享它。
我们仅与帮助我们运营 CrustAPI 的可信服务提供商共享您的数据，例如支付处理、电子邮件递送和托管。他们只能为向我们提供其服务而使用您的数据，并受保密义务约束。
如果法律要求，或当我们需要保护我们的权利、我们的用户或服务的安全时，我们也可能共享数据。
我们在美国处理数据。如果您位于欧洲经济区（EEA）或英国，您的数据因此会被传输到您所在国家/地区以外。我们依赖我们所使用的每一家服务提供商所设立的传输保障措施，并且如您提出要求，我们会告知您某一特定提供商适用哪种机制。
7. 我们保留多长时间
在您的账户开通期间，我们会保留您的账户数据。您可随时通过发送电子邮件至 support@crustapi.com 要求我们删除。
我们会保留某些记录，例如账单和税务记录，保留期限为法律所要求的期限，或为我们解决争议或执行我们的协议所需的期限。
我们保留使用元数据，包括第 3 节所述的请求参数，用于账单、防止欺诈以及为您控制面板中的请求日志提供支持。在您的账户开通期间，我们会保留这些数据。我们不会按固定的时间表删除它们，因此如果您希望更早删除，请发送电子邮件至 support@crustapi.com，我们将予以删除。
8. 自动化决策
我们不会作出仅基于自动化处理并对您产生法律效果或类似重大影响的决策。诸如限速和账户锁定之类的自动化步骤是安全措施，而非此类决策。
9. 您的权利
您对自己的个人数据享有权利。要行使其中任何权利，请发送电子邮件至 support@crustapi.com。
如果您位于欧洲经济区（EEA）或英国，根据 GDPR，您有权：
- 访问我们所持有的关于您的个人数据。
- 更正不准确的数据（更正权，rectification）。
- 删除您的数据（删除权，erasure）。
- 限制我们对您数据的处理。
- 反对我们的处理。
- 数据可携权。
- 在我们依据同意进行处理时撤回同意。
- 向您当地的监管机构投诉。
10. 加利福尼亚州隐私权
如果您是加利福尼亚州居民，根据 CCPA 和 CPRA，您有权了解我们收集哪些个人信息以及我们如何使用这些信息，有权删除这些信息，有权更正这些信息，以及有权拒绝对个人信息的出售或共享。我们不出售或共享您的个人信息。您还有权不因行使这些权利而受到差别对待。
要行使任何加利福尼亚州的权利，请发送电子邮件至 support@crustapi.com。
对于根据 GDPR 提出的请求，我们在一个月内答复。对于复杂或大量的请求，我们可以再延长至多两个月，如有此需要我们会告知您。
11. Cookie 与浏览器存储
crustapi.com 完全不设置任何 Cookie，并且我们不使用任何跟踪或广告 Cookie。为使您保持登录状态并记住某项控制面板偏好，我们使用您浏览器的本地存储（local storage）而非 Cookie。
在付款过程中，结账在我们支付服务提供商自己的页面上进行，他们可能会在那里设置其自己的 Cookie，以处理付款并防止欺诈。这些 Cookie 受该提供商的政策管辖，而非受我们的政策管辖。
我们的Cookie 政策更详细地说明了我们所使用的浏览器存储。
12. 我们如何保护您的数据
我们采取合理措施来保护您的数据。
- 密码以 scrypt 哈希形式存储。电子邮件验证码和会话令牌仅以 SHA-256 哈希形式存储。
- 所有流量在传输过程中均通过 HTTPS 和 TLS 加密。
- 反复失败的登录会触发按账户的锁定。
- 数据库会持续备份到加密的对象存储中。
- 没有任何传输或存储方法是 100% 安全的，因此我们无法保证绝对的安全。
13. 年龄与资格
CrustAPI 是一项企业对企业服务。要使用它，您必须年满 18 周岁，并将 CrustAPI 用于商业或专业目的。本服务不面向儿童，我们也不会在知情的情况下收集儿童的个人数据。
14. 本政策的变更
我们可能会不时更新本政策。如果某项变更属于重大变更，我们会通过网站或电子邮件通知您。如果您在更新后继续使用 CrustAPI，即表示您接受更新后的版本。
15. 联系方式
对于任何隐私或数据权利请求，或任何其他事项，请通过 support@crustapi.com 与我们联系。