一、我们如何收集和使用您的个人信息
我们仅收集实现产品功能所必需的个人信息，遵循"合法、正当、必要、诚信"原则。具体如下：
1.1 账号注册与登录
| 场景 | 收集的信息 | 用途 |
|---|---|---|
| 手机号注册/登录 | 手机号码、短信验证码、登录密码（经加密存储） | 创建并验证账号身份，保障账号安全，识别异常登录行为 |
| 个人资料完善 | 昵称、头像（可选填） | 用于个性化展示及站内身份识别，非必填 |
| 微信授权登录 | 微信 OpenID / UnionID（不涉及您的微信密码） | 建立第三方账号与本站账号的绑定关系，实现一键登录 |
手机号验证的法律依据：根据《中华人民共和国网络安全法》第二十四条关于网络身份信息真实性认证的要求，我们须对用户的身份信息进行核验，手机号短信验证码是我们据此采取的核验方式，该信息的收集为完成账号注册所必需，如您拒绝提供，我们将无法为您开通账号。
短信验证码说明：为防止恶意注册、短信轰炸等风险，我们会对验证码的发送频率进行限制（同一手机号 60 秒内限发一次，并对 IP 请求频率进行限制），验证码及其校验结果会被加密（哈希）存储并设置有效期，逾期自动失效。
1.2 设备与日志信息
为保障服务安全稳定运行、排查故障、防范欺诈与网络攻击，我们会自动收集：
- 设备信息：浏览器类型、操作系统、User-Agent 等；
- 日志信息：访问日期时间、IP 地址、访问的页面记录、请求参数等；
- 登录凭证信息：为实现"记住登录状态""异地登录提醒"等功能，我们会记录与您的 access token / refresh token 相关的设备标识信息（token 本身不会以明文形式存储于数据库）。
1.3 VIP 增值服务相关信息
如您开通 VIP 会员或购买其他增值服务，我们会收集必要的订单信息（订单号、购买的服务类型、有效期、支付状态）用于开通、续费及售后处理。我们不会自行存储您的银行卡号、支付账户密码等完整支付敏感信息，相关支付流程由具备合法资质的第三方支付机构处理。
1.4 我们不会收集的信息
我们不会主动收集与提供服务无关的个人信息，也不会收集《个人信息保护法》所定义的敏感个人信息（如生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等），除非法律法规另有规定或您主动、明确提供且同意我们处理。
二、Cookie 及同类技术的使用
为使您获得更流畅的登录体验，我们会使用 Cookie 及浏览器本地存储技术：
其中用于维持登录态的刷新令牌以 HttpOnly Cookie 形式存储，作用域限定在 oylan.cn 主域及其授权子站范围内，无法被前端脚本读取，以降低被恶意脚本窃取的风险。您可以通过浏览器设置管理或清除 Cookie，但这可能导致您需要重新登录或部分功能无法正常使用。
三、我们如何共享、转让、公开披露信息
3.1 共享
我们不会向任何第三方出售您的个人信息。仅在以下情形下，我们可能会共享您的必要信息：
- 获得您的明确同意：如您主动使用微信授权登录等第三方关联功能；
- 必要的服务提供商：如短信服务商（用于发送验证码）、云服务器/数据库服务提供方、支付服务机构，我们仅提供完成对应服务所必需的最小信息，并要求其遵守保密义务；
- 子站关联服务：在您登录状态下访问经授权的子站（*.oylan.cn）时，为实现统一登录体验，会在必要范围内校验您的身份令牌信息；
- 法律法规要求：根据法律法规、法律程序、诉讼或政府主管部门的强制性要求进行提供。
3.2 转让与公开披露
我们不会随意转让您的个人信息，如涉及合并、收购、资产转让等情形，我们将确保信息在新的持有方仍受不低于本政策承诺的保护水平约束，并通知您。除非取得您的明确同意或法律要求，我们不会公开披露您的个人信息。
四、我们如何存储与保护您的信息
- 存储地点：您的个人信息存储于中华人民共和国境内的服务器；
- 存储期限：在实现本政策所述目的所必需的期限内保存，账号注销后，除法律法规另有强制保存要求外，我们将对相关个人信息进行删除或匿名化处理；
- 密码保护：登录密码采用单向加密算法存储（不可逆），我们的员工无法获取您的原始密码；
- 令牌安全：刷新令牌以哈希摘要形式存储，并采用轮换机制——每次使用后原令牌即失效，降低令牌泄露后被长期滥用的风险；
- 传输安全：我们使用 HTTPS 加密传输协议保护数据在传输过程中的安全；
- 访问控制：我们对数据库访问账号实施最小权限原则，业务运行账号仅拥有完成既定功能所需的数据读写权限，不具备数据库结构变更（DDL）权限。
尽管我们采取了上述合理的安全措施，但请理解，由于技术的限制以及可能存在的各种恶意手段，互联网环境并非百分之百安全，我们将尽最大努力保障您信息的安全。
五、您的权利
依据《个人信息保护法》，您对自己的个人信息享有以下权利：
- 查阅、复制权：您可以通过个人中心查阅您的账号基本信息；
- 更正、补充权：发现您的个人信息有误的，可自行修改或联系我们予以更正；
- 删除权：在符合法律规定的情形下（如您注销账号），您可以要求我们删除您的个人信息；
- 撤回同意权：对于基于您的同意所进行的信息处理活动，您有权随时撤回同意（如关闭 VIP 自动续费的相关授权）；
- 注销账号权：您可以按照本站公布的流程申请注销账号，账号注销后将无法恢复。
如您需要行使上述权利，请通过本政策第九条提供的联系方式与我们联系，我们将在收到申请并核实您的身份后的合理期限内响应（原则上不超过 15 个工作日）。
六、未成年人个人信息保护
我们非常重视未成年人个人信息的保护。若您是未满十四周岁的儿童，请在监护人的陪同下阅读本政策，并由监护人决定是否同意本政策及是否允许您使用本服务；若您是十四周岁以上未满十八周岁的未成年人，也建议在取得监护人同意的情况下使用本服务。对于经监护人同意收集的儿童个人信息，我们只会在法律法规允许、监护人明确同意或保护儿童权益所必要的情况下使用、共享、转让或披露。
七、信息的跨境传输
我们收集的个人信息均存储于中华人民共和国境内，原则上不进行跨境传输。如未来因业务需要确需向境外提供个人信息，我们将依照《个人信息保护法》等法律法规的要求，事先取得您的单独同意，并履行安全评估、认证等法定程序。
八、本政策的更新
我们可能会适时对本政策进行修订，修订后的政策将在本页面公布并更新"生效日期"。如变更内容对您的权益有重大影响，我们将通过站内公告、弹窗提示等合理方式另行通知。若您在政策更新后继续使用本服务，即视为您已同意更新后的政策内容。
