本政策描述了Paragon记录您的哪些信息、每条记录保留多长时间，以及还有谁会看到这些信息。本政策刻意简短，因为对于一个仅收集电子邮件地址和加密货币支付的托管商来说，诚实的版本不可能长。
这里没有任何理想化的内容。下表中的每一行都与数据库模式实际存储的内容相符，而保留任务正是针对该模式运行的。
1. 适用范围
本政策适用于账户系统、控制面板、计费流程、本网站以及支持工单。不适用于您的实例内部发生的事情，因为我们对那里没有可见性，也不希望获得任何可见性。
您发票上所列的运营实体是本文所述所有信息的控制者。有关本文档的任何事宜，请联系[email protected]。
2. 我们持有的所有数据
| 数据 | 保留时间 | 存在原因 |
|---|---|---|
| 电子邮件地址 | 账户存续期 | 用于密码重置和发票发送。仅此而已。 |
| 密码哈希 | 账户存续期 | scrypt，N=2^16。永不可逆，永不导出。 |
| 面板访问日志 | 7天 | 用于检测账户被接管，之后丢弃。 |
| 发票记录 | 24个月 | 以便您证明购买记录。不包含身份信息。 |
| 加密货币支付参考号 | 直至结算 | 用于将支付与发票匹配。结算后清除。 |
| 实例流量 | 从不记录 | 我们路由数据包，但从不读取。 |
| 注册时的IP地址 | 从不记录 | 一开始就不会写入磁盘。 |
这就是完整列表。没有为律师保留的第八行。
支持工单是客户经常遗忘的一项。工单与账户同生命周期，包含您输入的任何内容，因此如果您在工单中粘贴了凭据或客户姓名，该信息即被存储。如需删除，请告知我们，我们会删除整个线程。
3. 我们不收集的内容
我们不收集姓名、邮政地址、电话号码、公司信息、税号，也不收集任何金额订单下的任何证件。不存在触发要求提供这些信息的阈值，而且添加此类阈值会先更改担保金丝雀（/canary），再更改本页面。
注册地址不予记录，这比“不保留”更严格：写入的行中不存在该字段。面板访问日志仅记录截断的网络前缀而非完整地址，并且该记录会在七天后连同其中所有内容一起过期。
我们不采集浏览器指纹，不运行会话回放，也不尝试关联账户。
4. Cookie
我们使用两种Cookie，均为第一方，不与任何人共享。
- 会话Cookie。 一个不透明标识符，用于表示您已登录。其中不包含任何其他内容，脚本无法读取，在退出登录或30天不活动后过期。
- 主题偏好。 浅色或深色。保留一年，其中仅包含该选项。
我们不设置其他Cookie。本网站不出现同意横幅，因为没有什么需要同意，这正是该规则本来的目的，而不是成为装饰性的插页。
5. 分析与第三方
我们不使用任何分析工具。没有像素、标签管理器、热力图、第三方脚本，也不从任何其他域获取字体。页面浏览量通过Web服务器自身的计数器进行汇总统计，仅记录路径和总数，不记录请求者信息。
只有以下三方能接触到您的部分数据，仅此三家：
- OxaPay，处理加密货币结算，会看到发票参考号和支付信息。它不会收到您的电子邮件地址。
- 您的实例所在的站点。 设施运营方负责电力和空间；他们无法访问任何机器的内容，也不会与您的账户发生关联。
- 没有其他人。 邮件从我们自己的服务器发出，控制面板运行在我们自己的硬件上，本页面也是由目录（/hardware）所述的同类节点提供的。
6. 您的权利
访问权、更正权、删除权、可携带权和反对权，可通过账户中的地址写信至[email protected]行使。大多数请求会在同一周内得到答复，最迟不超过三十天。
有两点实际说明。删除操作会在请求后移除地址和密码哈希并关闭账户，但发票记录会保留至二十四个月期限，因为账簿必须平衡；这些记录包含发票编号和金额，不包含身份信息。可携带权是指您的账户、发票和工单的JSON导出，在请求后一天内通过邮件发送给您。
向您所在地区的监管机构投诉的权利比向我们申诉更重要。您可以同时或按任意顺序进行。
7. 法律请求
我们仅回应相关站点法律实际要求的内容，不超出此范围。从个人地址发送至邮箱的请求不是正式请求，而是信件，将被拒绝。
可提供的内容很少，因为第2节的表格很短。在允许通知的情况下，我们会在移交任何内容前告知您。否则，请求的事实将在下一期透明度报告（/transparency）中公布，担保金丝雀（/canary）每月签署。
8. 对少量数据的安全保护
密码使用scrypt哈希，并在每一代硬件上重新调整参数。面板数据库静态加密，并在两个欧洲站点AMS-01和FRA-01之间通过不经过公共互联网的私有路径复制。该数据库的备份在离开主机前进行客户端加密。
员工访问需要硬件令牌，针对账户的每次管理操作都会记录在日志中，客户可请求查看。若发生影响您的泄露事件，我们将在确认后七十二小时内通知您，告知发生了什么以及暴露了什么，即使答案令人尴尬。
9. 国际传输
您的实例位于您选择的城市，其数据不会移动。面板和计费记录位于欧洲。支持工程师可能在他们值班的任何地方阅读工单，不一定是同一大陆，因此工单可能在其提交地区之外被阅读。
如果发生此类传输，则基于相关实体之间通常的标准合同条款。我们在此不列出国家，原因与条款中不指定模板管辖地相同：列表在一年内就会错误，而错误的列表比笼统的条款更糟。
10. 变更
对本政策的更改会在页面顶部注明日期，并在日志（/journal）中概述。任何延长保留期限或增加第2节表格行的更改，将提前三十天通过电子邮件发送给每个账户，您可以在该窗口内关闭账户，未使用的期限将按比例退款。
缩短保留期限则不会提前通知。我们只是直接执行。