1. 收集的数据
- 账号数据：邮箱、密码摘要、账号角色与状态、邮箱验证时间和协议同意版本；我们不保存明文密码。
- Session 与安全数据：服务端 Session、到期时间、登录失败与限流所需的不可逆邮箱/IP 摘要，以及有限安全事件。
- 学习数据：个人设置、私人题、总结、备注、作答、学习清单、四档评价、学习进度、会话、统计和回收站状态。
- 邮件与消息：验证、找回密码和用户主动开启的每日提醒所需邮箱、发送状态与最小模板数据；站内消息及已读状态。
- 支持与运营数据：纠错内容及处理结果、管理员排障审计，以及按账号和上海自然日去重的访问/学习布尔事实。
2. 处理目的
上述数据仅用于创建和保护账号、提供个人学习与复习排期、发送必要验证/安全邮件和主动开启的学习提醒、处理纠错与客服排障、履行导出和注销请求，以及观察公开测试的聚合健康指标。
我们不使用学习内容进行广告画像、个人排行、自动推荐、AI 评价或 AI 训练，也不出售个人数据。
3. Cookie、Session 与公开访问
登录应用使用 HttpOnly Session Cookie 维持认证，线上环境通过 HTTPS 传输，Session 最长 12 小时并可在退出、改密、封禁或注销时提前撤销。公开官方题目无需登录；健康检查、机器人公开访问和失败登录不会形成学习活动事实。
4. 邮件服务与必要处理方
验证、找回和每日提醒通过部署配置的 SMTP 邮件服务发送，因此收件邮箱与当次邮件必要内容会被该服务处理。数据库、反向代理、备份和运行基础设施只在提供与保护服务所需范围内处理数据。我们不接入短信、微信、手机推送或营销邮件服务。
5. 管理员访问私人内容
单一全权限管理员可直接只读查看用户私人题、个人总结、学习备注、作答和学习记录，用于客服排障，不要求用户逐次授权，也不要求管理员逐次填写原因。打开支持视图会自动记录管理员、目标账号、时间和操作类型，审计不保存私人正文。
管理员不能查看明文密码、密码摘要、邮箱验证/重置凭证或完整 Session 凭证，也不提供用户式整包导出。
6. 保留期限
- 账号与学习数据在账号有效期间保存；私人题进入回收站 30 天后按规则清理。
- 账号注销有 30 天冷静期；到期后账号、协议记录、Session、私人内容、学习数据、提醒设置、站内消息和活动日事实永久删除。
- 成功邮件中的收件邮箱和模板数据 30 天后清空；安全事件和管理员审计最长保留 180 天。
- 验证和重置凭证只保存摘要，在短期有效期届满或使用后失效；导入原文件在解析后删除。
- 已经处理的纠错可在移除账号身份和原提交正文后保留必要处理事实；备份按运维保留周期滚动覆盖。
7. 运营指标与去标识
活动日仅保存账号主键、Asia/Shanghai 自然日、是否访问/学习和首末时间，不保存访问路径、设备、IP、题目或答案正文。管理员只看到固定聚合；少于 5 人的留存细分会隐藏，不提供任意 SQL、个人排行或画像下钻。
8. 用户权利与数据导出
你可以在产品内查看和更正账号设置及个人内容、导出支持范围内的个人数据、关闭每日提醒、退出全部会话、申请注销并在冷静期撤销。对无法通过产品内流程完成的访问、更正、删除或说明请求，可使用公开测试入口公布的维护联系方式。
9. 安全与更新
我们使用参数化查询、账号归属校验、CSRF 防护、TLS、安全响应头、密码摘要、令牌摘要、限流、日志脱敏、备份恢复和自动审计保护数据。若本说明发生实质变化，将更新版本与发布日期，并按产品规则提示重新确认。