1. 适用范围与处理主体
本政策适用于 CertbotX 网站、控制台、API、Agent 和相关支持服务。数据处理主体以网站备案主体、支付页面或另行签署合同载明的主体为准。
2. 我们处理的数据
为提供账号、签发、部署、支付、安全和支持能力，平台会处理以下必要数据：
- 邮箱、手机号、密码哈希、TOTP 加密材料和登录安全信息。
- 域名、DNS 委托、证书、加密保存的私钥材料、签发与部署状态。
- 云连接加密凭据、部署目标、Agent 设备信息、心跳、任务回执和审计记录。
- 套餐、订单、支付查询、退款和发票所需记录。
- IP、请求日志、错误日志、页面停留和点击等产品分析数据。
- 反馈工单、邮件投递状态和你主动提交的其他内容。
3. 处理目的
我们仅为创建和保护账号、验证域名控制权、申请和部署证书、执行账单交易、发现滥用、排查故障、改进产品及履行法定义务处理数据。不会将云密钥、支付密钥、短信验证码或证书私钥发送给 CA。
4. 第三方服务
完成你请求的服务时，必要信息可能由以下服务商处理：
- 腾讯云短信、腾讯企业邮箱及实际配置的消息服务商。
- 微信支付及订单相关金融、清算服务。
- Let’s Encrypt、Google Trust Services，以及历史订单中已记录的其他 CA。
- 你主动选择并授权的 DNS、CDN、证书中心或其他云厂商。
- 用于 ACME 交互的海外签发节点；百度仅接收已公开文章的 URL，不接收账号或证书凭据。
5. 跨境处理
部分 CA 或海外签发节点可能在中国境外处理域名、联系邮箱、ACME 请求、请求 IP 和必要技术日志。注册时我们会单独取得确认。跨境处理仅限完成签发和安全运维所需范围；不同意时请勿提交证书申请，并可联系支持了解可用的本地化方案。
6. 保存与安全
密码只保存哈希；云凭据、TOTP 和证书私钥材料使用加密存储，并仅在授权任务执行时短暂解密。平台采用访问控制、审计、限流和备份降低风险，但任何网络服务均无法承诺绝对安全。数据按业务、争议处理和法定义务所需期限保存；备份中的删除数据会随受控轮换周期清理，而非立即从所有备份消失。
7. 你的权利
你可以在控制台修改信息、导出账号数据或发起注销，也可以通过 support@certbotx.cn 请求访问、更正、删除、限制处理或撤回可撤回的同意。撤回不影响此前处理的合法性；必要的财务、交易、安全和争议记录可能依法继续保存。账号注销申请有 7 天可取消期。
9. 更新与联系
本政策更新时会修改版本日期；重大变化将通过页面、站内通知或邮件提示并取得必要同意。隐私问题请联系 support@certbotx.cn。