一、引言
1.1 本政策的处理者为北京普金利科技有限公司（统一社会信用代码 91110105662158659Y，注册地址 北京市朝阳区豆各庄黄厂西路1号C5栋三层3227），处理活动发生地为中华人民共和国境内。本政策与《OpCut 用户协议》共同构成注册时的确认文件，二者不一致时就个人信息处理以本政策为准。
1.2 本政策适用于您通过 OpCut 网站、开放接口与控制台使用本服务过程中的个人信息与业务数据处理。您在生产环境中提交的订单与图纸数据属于您的业务数据，本政策第二条同时说明其处理方式。
1.3 术语口径：本政策所称"个人信息"指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份的各种信息；"匿名化"指经处理无法识别特定自然人且不能复原的过程；"订单尺寸信息"指完成排版计算所必需的件尺寸与数量、原片规格、刀缝修边等工艺约束参数及排版结果指标。
1.4 本政策以中文文本为准。若本公司后续提供其他语言译本，译本与本政策不一致的，以中文文本为准。
二、收集范围（封闭清单）
2.1 总原则：我们仅收集下列三类信息，除此之外不收集其他信息——
（一）订单尺寸类业务数据：为完成排版计算所必需的尺寸与约束信息，封闭清单为：零件尺寸与数量、原片规格与可用张数、刀缝（切缝宽度）与修边等工艺约束参数、缺陷禁区位置、排样结果指标（用片张数、利用率等）与失败原因码。
（二）账户标识与核验信息：为开通与登录账户所必需的邮箱地址与系统按邮箱前缀自动派生的用户名、口令的不可逆散列值（不存口令明文，见第四条）、验证码的单向散列与有效期（仅限验证码类通道）、协议同意留痕。手机号码非必需字段，当前注册与登录不收集（见第 2.2 条）。
（三）会话与安全技术信息：维持登录态所需的会话令牌及其有效期、控制台访问与 API 调用所需的令牌摘要信息（令牌明文仅创建时展示一次、服务端只存不可逆散列）、限流与安全审计所需的技术信息（如访客试用时仅记录网络地址的不可逆摘要，不存明文地址）。
2.2 收集方式逐项对照：
| 信息类别 | 具体内容 | 收集方式 | 必要性 |
|---|---|---|---|
| 邮箱地址 | 用作账户唯一标识：注册、登录验证、邮箱验证状态与账务联络所必需的邮箱 | 您注册时主动填写 | 必需（账户唯一标识） |
| 用户名与默认组织名 | 注册时由服务端按邮箱前缀自动派生的用户名及其默认组织名称（您可自行更名） | 系统自动生成 | 必需（随注册生成） |
| 手机号码 | 非必需字段，当前注册与登录不收集；未来如开通手机号相关通道，将先按第十三条更新本政策并另行征求意见 | 暂不收集 | 非必需（当前不收集） |
| 口令核验信息 | 口令仅以加盐 scrypt 散列形式存储；验证码仅以单向散列存储且使用即作废。任何口令、验证码的明文都不落库 | 系统自动生成 | 必需（身份核验） |
| 订单尺寸类业务数据 | 第 2.1 条（一）封闭清单内的排版输入（件尺寸/件数/原片规格/工艺约束/缺陷禁区）与排版结果指标、失败原因码 | 您提交任务时记录 | 完成排版、结算、对账与结果下载所必需 |
| 导入文件 | 您为导入第三方订单文件而上传的原件：解析所得的尺寸类字段正常入库；原件本体仅为复现该次导入结果做短期受控保留（见第 3.2 条），不用于其他目的 | 您主动上传 | 复现与核对当次导入所必需 |
| 组织与开票信息 | 默认组织标识与名称（注册时自动生成为"邮箱前缀 + 的默认组织"）、您自行填写的组织名称、开票抬头与税号、联系人信息 | 系统生成 + 您主动填写 | 生成部分必需；开票与联系信息在您申请相应服务时必需 |
| API 令牌信息 | 令牌名称、权限范围、有效期、IP 白名单、限流分档、创建与最近使用时间。令牌明文仅创建时展示一次，服务端只保存不可逆散列与前缀 | 您在控制台创建 | 使用接口服务时必需 |
| 账务记录 | 余额与冻结额、体验额度发放、计费流水、充值订单与支付状态、发票申请记录 | 系统自动记录 | 必需（财务与税务合规） |
| 会话与登录信息 | 会话令牌（HttpOnly Cookie 下发）、会话有效期、登录时间 | 系统自动生成 | 必需（维持登录态） |
| 协议同意留痕 | 您勾选必需协议的时间与对应文本标识；若您另行勾选了训练授权，其开启、撤回时间一并留痕 | 您主动勾选 | 必需（同意可举证） |
| 接口访问技术信息 | 调用时间、端点、状态码、耗时、限流分档所需的访问来源技术标识，用于限流与安全审计 | 系统自动记录 | 必需（服务安全） |
2.3 若您不向我们提供第 2.2 条标注为"必需"的信息，我们将无法为您开通账户、验证身份、完成计费结算或提供 API 调用能力。除此之外，提供任何"非必需"字段（例如接口契约之外的自定义附加字段）的，我们在收到时即丢弃：不落库、不写日志、不进入任何数据改进流程。
三、我们不收集什么
3.1 我们不收集：通讯录、精确地理位置、生物识别信息、行为轨迹、与排版业务无关的设备传感器数据；不通过本服务收集您最终用户（如您的客户）的个人信息；也不将订单数据与特定自然人建立尺寸业务之外的精确关联（账户标识与业务数据分域管理，订单本身不标注"归属于某个具体自然人的消费画像"）。
3.2 关于上传原件：为核对与复现您的导入结果，导入原件为复现短期受控保留；在正式对外公布前，本页不对具体留存时限作出承诺，留存时限一经确定即在本页公示，且只缩短、不延长。除完成解析所得的尺寸类字段外，我们不将原件内容用于排版与复现核对之外的目的。
3.3 涉密提示：本平台不适合处理依法不得披露、您无权上传或涉及第三方保密义务的文件与数据（例如标注商业秘密的第三方图纸）。请勿上传此类内容；若此类内容系您在知情外上传，一经发现我们将删除并不作备份。您应对上传数据享有合法权利或已取得授权（详见《用户协议》第四条）。
四、登录信息管理
4.1 认证凭据的存储形态：当前注册与登录通道为邮箱加口令（主通道）与第三方 OAuth 授权登录（Google、GitHub，以登录页面当期提供为准）。口令仅以加盐 scrypt 散列形式存储（与本公司管理端口令同一形制），口令明文不入库、不入日志；本公司任何人员与客服不会以任何渠道向您索要口令。短信验证码与手机号口令为存量兼容通道，仅在平台显式开启时可用；验证码在服务端仅以单向散列形式存储，有效期 5 分钟，连续输错 5 次作废，验证成功即作废删除，明文不入库。
4.2 会话与单点登录保留期：登录会话令牌随机生成，保留期为 7 天；您主动退出登录时，服务端同步删除该会话记录、Cookie 即时失效。您以单点登录方式使用（同一账号同一时间仅保持一个有效会话）时，新登录生效后旧会话即被终止，会话保留期仍为 7 天上限；平台允许多端并存时，各会话同样适用 7 天上限。
4.3 邮箱验证状态的用途：邮箱验证状态仅用于账户可用档位判定与账号安全（如找回、异常提醒），不用于营销推送。
4.4 删除与导出通道：您可随时通过第十四条公开邮箱提出删除申请（含注销账户、删除特定任务记录或业务数据）与导出申请（您的结构化数据副本）；账单与消费明细可在控制台直接导出。身份以您预留的注册邮箱核对。对法定留存期限内的账务记录，我们先停止其他用途的处理，期限届满后删除。自助注销端点正在按本平台公示流程完善，当前以邮件受理为准，受理即生效、处理时限见第 12.5 条。
4.5 保留期上限与到期处置：各项信息保留期见第十一条；到期处置一律为删除或匿名化，法律、行政法规另有强制留存要求的除外。
五、信息的使用目的
- 身份验证与账户管理：以您提供的账户标识识别您的账户，验证操作者身份，维持控制台会话与安全通知触达。
- 提供排版优化能力：读取您提交的原片、订单与约束数据完成求解，生成并保存结果供您查看与下载。
- 计费结算与对账：按调用记录与用片张数计算费用，冻结与结算，生成账单、消费明细与发票依据。
- 账务通知：余额不足、充值到账、账单与发票相关的必要通知，默认以控制台站内展示触达；未来开通邮件或短信通知渠道的，仅向您预留的对应标识发送（不用于营销），并按第十三条更新本政策。
- 安全与风控：限流与配额管理、识别异常调用与滥用、防止绕过鉴权与计费、留存后台管理操作审计。
- 合规与争议处理：履行法律法规规定的义务、响应有权机关的法定要求、处理计费与安全争议。
5.1 我们不会将上述信息用于个性化广告，也不会仅通过自动化决策对您作出对个人权益有重大影响的决定（排版结果的生成属于您主动请求的技术计算，不属于该类自动化决策）。
六、用于产品与算法改进的数据（训练授权，单独可选项）
6.1 注册页面提供两类相互独立的勾选：必需项为《用户协议》与《隐私政策》的确认（不勾选则无法完成注册，这是开通账户的法定前提）；可选项为"将本账户匿名化后的排样业务数据用于产品与算法改进（模型训练）"。该可选项独立于必需项，是否勾选不影响您的注册，也不影响使用本服务的任何功能。
6.2 训练授权的范围仅限第二条第 2.1 款（一）项的订单尺寸类业务数据及其结果指标。进入改进流程前，数据先经匿名化处理：去除账户标识、组织名称、联系方式等可直接、可还原识别的字段，且本公司不尝试重新识别。导入原件不进入训练流程。
6.3 可随时撤回：训练授权开启后，您可以随时在账户设置中关闭，关闭即停止纳入您的新数据；撤回不影响撤回前基于您同意已进行的处理活动的合法性。已匿名化且无法与您关联的历史数据不承诺逐一回溯清除，但您可关闭授权以阻断后续纳入。
6.4 本公司不将"同意训练"作为提供基础排版服务的前提，不以默认勾选、捆绑同意等方式使用训练授权；训练授权的每次开启与撤回均留痕可查。
七、我们不做的处理
- 不出售、不出租、不以广告或画像目的与任何第三方共享您的个人信息与业务数据。
- 不在您单独授权之外，将您的订单、图纸与排版结果用于产品与算法改进（训练）目的；如需将您的数据用于本政策列明之外的任何新目的，我们将另行取得您的单独同意。
- 不在您的浏览器或账户中投放广告追踪类脚本与第三方统计组件。
八、第三方与对外提供
8.1 短信服务商：当前生产环境的注册与登录未启用短信通道，也尚未接入任何第三方短信服务商（开发验证环境中如启用验证码，不经过任何第三方）。未来如向您的手机号码下发验证码，需要第三方短信通道；一旦接入，我们只会向该服务商提供"手机号码 + 验证码内容"这一最小字段集合，用途仅限于向您发送登录与账务相关短信，并将在本政策中公布服务商名称、提供字段与用途，同时按第十三条要求您重新确认。
8.2 支付与资金渠道：本服务当前的充值确认以对公转账与人工核账方式完成，我们不向第三方支付机构传输您的个人信息。若您所在账户后续开通在线支付渠道（如微信支付、支付宝），我们将仅向支付机构传输订单号与金额等完成交易所必需的信息，并同步更新本政策。
8.3 基础设施：本服务运行在本公司自行部署于中华人民共和国境内的服务器与网络环境中，数据不存储于境外，也不依赖第三方内容分发或对象存储服务。
8.4 法律要求与专业顾问：在法律法规要求、行政机关或司法机关依法提出要求，或为保护本服务与用户的合法权益所必需时，我们可能向有权机关、审计与法律顾问提供必要信息，并依法留存提供记录。
8.5 除本条列明者外，我们不会向任何第三方提供您的个人信息；如未来新增其他第三方处理者，将按第十三条更新政策并重新征得您的同意。
九、Cookie 与同类技术
9.1 我们仅设置一枚功能性 Cookie：opcut_session，用于维持您的控制台登录会话。该 Cookie 为 HttpOnly（浏览器脚本不可读取）、SameSite=Lax、有效期 7 天；在生产 HTTPS 环境下附加 Secure 属性。退出登录时服务端同步删除对应会话记录。
9.2 我们不使用广告 Cookie、网络信标（web beacon）或第三方分析 SDK。API 调用凭证（Token）由您自行保存在您的系统或客户端中，我们不写入浏览器可读存储。
十、存储地点与安全措施
10.1 存储地点：境内（见第 8.3 条）。
10.2 安全措施：数据传输使用 HTTPS/TLS；短信验证码、口令与管理端凭据仅以不可逆散列（验证码为 SHA-256 单向散列，口令为加盐 scrypt）形式存储，明文不落库；会话令牌随机且服务端可撤销；管理后台操作实行"会话身份 + 独立口令"双重闸门并逐条写入审计记录；应用日志不记录验证码、口令与令牌明文；数据访问遵循最小权限原则。
十一、保留期限与到期处置
11.1 保留期限（自相应行为发生之日起）与到期处置：
| 信息类别 | 保留期限 | 到期处理 |
|---|---|---|
| 短信验证码 | 5 分钟有效；验证成功即作废删除，连续输错 5 次立即作废 | 即时删除，不可恢复 |
| 会话信息 | 7 天；退出登录即删除 | 删除会话记录，Cookie 失效 |
| 订单尺寸类业务数据与排版结果 | 为对账、审计与结果下载长期保留；可按第四条、第十二条申请删除 | 按您的请求或注销流程删除/匿名化 |
| 导入原件 | 仅为复现当次导入做短期受控保留（见第 3.2 条） | 超出复现所需即删除，不留备份 |
| 账务记录（流水、充值单、发票） | 依《会计档案管理办法》等法规要求的期限保存（记账凭证类不少于 30 年） | 法定期限届满后删除或匿名化 |
| API 令牌信息 | 保留至您吊销或账户注销（吊销后记录仅保留审计所需的身份字段） | 删除或匿名化 |
| 协议与训练授权留痕 | 保留至账户注销（作为您同意与撤回行为的举证记录） | 随账户删除 |
| 组织与开票信息 | 保留至账户注销；涉及已开票记录的按本条账务期限保留 | 删除或匿名化 |
11.2 账户注销后，我们停止处理您的个人信息并删除相应记录；法律法规或账务与税务留存要求尚在处理中的部分，将在期限届满后删除或匿名化。
11.3 若发生个人信息安全事件，我们将依法及时告知您事件的基本情况、可能的影响、已采取的处置措施与您可自主防范风险的建议，并按监管要求上报。
十二、您的权利：查阅、更正、删除与导出
12.1 查阅与复制：您可在控制台查看本账户的组织信息、令牌列表、调用历史、账单与消费明细；需要结构化副本（导出）的，账单类可在控制台直接导出，其余可按第十四条向我们提出，我们在核实身份后提供。
12.2 更正与补充：您可在控制台更正组织名称、开票信息等；账户标识（邮箱、用户名）的变更与解绑请通过第十四条联系我们办理。
12.3 删除：您可请求删除特定的任务记录、令牌或您的业务数据；注销账户即请求删除全部可删项。对法定留存期限内的账务记录，我们先停止其他用途的处理，期限届满后删除。
12.4 撤回同意与注销账户：训练授权可随时在账户设置撤回（第六条）；您可随时按第十四条申请注销账户以撤回必需协议项下的授权。撤回同意不影响撤回前基于您同意已进行的处理活动的合法性；注销后，该账户将无法再用于调用服务或下载结果。
12.5 处理时限：我们将在收到您的权利请求并核实账户身份（以您预留的账户标识核对）后十五（15）个工作日内处理并答复；对于重复、超出合理限度的请求，我们可能收取成本费用或依法拒绝，并说明理由。
12.6 拒绝特定处理：账务通知仅限于服务必要范围，您可通过关闭对应渠道或联系我们减少对您的通知触达，但涉及计费与安全的必要通知无法关闭。
十三、未成年人保护与政策更新
13.1 本服务面向企业与从业者，不面向未满十八周岁的用户。若我们发现存在未成年人在未取得监护人同意的情况下注册使用本服务，将联系监护人并请其协助注销账户、删除相关信息。
13.2 本政策可能修订。修订后的完整文本在本页面替换公示，公示的文本即现行有效文本。
13.3 凡新增个人信息类别或字段、变更使用目的、新增第三方处理者、改变保留期限或跨境安排，均属重大变更，我们将通过站内提示或您预留的账户标识另行通知，并要求您在下次注册或确认时重新勾选同意；您在本次更新前已完成的处理活动不受影响。修订不会以"继续访问"等默示方式取得您的同意。
13.4 本公司在您账户中留存同意留痕（您勾选确认的时间，以及与之对应的文本标识）作为您所同意文本的证明；该标识由本公司内部维护并在您依法行使查阅权时予以披露，不在页面显示、也不需要您提供。已注册账户不因本政策更新而被停止服务。
十四、联系与投诉
14.1 就本政策、个人信息的处理以及您行使第十二条各项权利（含第四条删除/导出申请），您可通过下列方式联系我们：
- 公开邮箱：kit@opcut.net（请注明注册邮箱、事由与期望的处理方式，便于我们核对身份）
- 站内帮助中心：/help
- 个人信息保护负责人受理：通过上述邮箱转交，主题注明"个人信息"
14.2 我们在收到请求后十五（15）个工作日内答复。您对答复不满意时，可依法向履行个人信息保护职责的部门投诉、举报，或通过《用户协议》约定的争议解决途径寻求救济。
处理者：北京普金利科技有限公司 | 本页面公示文本即现行有效文本
OpCut Privacy Policy — English Summary
- 1. Introduction — The data controller is the company (registered in the PRC; processing takes place in the PRC). This policy and the Terms of Service together form the confirmation documents at sign-up; for personal information processing this policy prevails.
- 2. What we collect (closed list) — Only three categories: (i) order dimension data necessary for nesting — part sizes and quantities, sheet specifications, kerf/trim and other process constraints, defect zones, result metrics and failure codes; (ii) account identifiers and verification data — your email, the salted scrypt hash of your password (never plaintext), one-way hashes of verification codes, consent records; (iii) session and security technical data — session tokens, token digests, rate-limiting and audit metadata.
- 3. What we do not collect — No contacts, precise geolocation, biometrics, behavioral traces or unrelated sensor data; no personal data of your end customers; uploaded import originals are kept only for short-term controlled retention to reproduce your import and are not used for any other purpose.
- 4. Login information management — Passwords are stored only as salted scrypt hashes; login sessions last at most 7 days and are deleted on sign-out; email verification status is used only for account tiering and security notices; deletion and export requests are handled via the published email after identity verification.
- 5. Purposes of use — Identity verification and account management, providing the nesting capability, billing and reconciliation, necessary account notices, security and risk control, compliance and dispute handling. No personalized advertising and no significant automated decisions about you.
- 6. Product/algorithm improvement data (training consent — separate and optional) — Using anonymized order dimension data for product and algorithm improvement is a separate, voluntary option: declining does not affect registration or any feature; the scope covers order dimension data only; you may withdraw it anytime in account settings, and every grant and withdrawal is recorded.
- 7. What we never do — No selling, renting or sharing of your personal information or business data for advertising or profiling; no training use beyond your separate authorization; no ad-tracking scripts, web beacons or third-party analytics SDKs.
- 8. Third parties and disclosure — No SMS provider is currently connected; no third-party payment processors (no funds business during the promotional period); infrastructure is self-hosted in the PRC; disclosure only to competent authorities where legally required, with records kept.
- 9. Cookies — A single functional cookie, opcut_session (HttpOnly, SameSite=Lax, 7 days, Secure in production HTTPS). No advertising cookies, web beacons or analytics SDKs.
- 10. Storage location and security — Data is stored in the PRC. HTTPS/TLS in transit; verification codes and passwords only as irreversible hashes; least-privilege access; admin console behind a dual gate with per-operation audit logs; application logs exclude codes, passwords and token plaintext.
- 11. Retention periods and disposal — Verification codes are voided immediately upon use; sessions up to 7 days; order dimension data kept for reconciliation, audit and result download until you request deletion; accounting records per statutory retention periods; consent records until account deletion. Expiry disposal is deletion or anonymization.
- 12. Your rights: access, correction, deletion and export — You may view and export data in the console, request correction or deletion of specific records, withdraw training consent anytime, and request account cancellation. Requests are handled within fifteen (15) business days after identity verification.
- 13. Minors and policy updates — The service is not offered to users under 18. Material changes (new data categories, new purposes, new third parties, retention changes) are announced and re-consented; silence or continued browsing is never treated as consent.
- 14. Contact and complaints — Contact the published email (mark "personal information" in the subject) or use the Help Center; if unsatisfied with our reply you may complain to the competent personal information protection authority.