EchoScan 隐私政策
最后更新：2026 年 8 月 30 日
本政策说明 EchoScan 在公开网站、公开 Scan、Console、Browser Verifier、Report API 和客户集成场景中如何处理信息。实际处理范围取决于访问者使用的功能、客户选择的套餐与配置，以及客户网站自身向 EchoScan 提交的请求。
适用范围
本政策适用于 EchoScan 直接提供的网站、Console、API、SDK 与相关支持服务。客户把 Browser Verifier 集成到自己的网站时，EchoScan 作为技术服务提供方处理检测和访问风险数据；客户也会根据自己的隐私政策处理账号、交易和其他业务信息。
客户网站的最终用户无需创建 EchoScan 账号。登录 EchoScan Console 的开发者和客户管理员会产生账户与会话数据。
我们处理的信息类别
根据所使用的功能，EchoScan 可能处理以下类别：
- 浏览器与环境信号，例如浏览器和操作系统信息、屏幕与硬件能力、语言、时区、字体、图形、音频、实时通信和自动化相关信号；
- 设备与连续性信息，例如服务端签发的 Imprint、客户权限边界内的 Device ID、Seen Before 状态、访问次数、首次与上次出现时间、近期活动和 History；
- 网络信息，例如服务端观察到的 IP、国家或地区结果、网络一致性、代理风险、网络服务提供方、连接类型和 ASN；
- 访问与技术记录，例如请求时间、页面来源、客户端引用页、错误、性能、安全事件和用量记录；
- Console 账户与会话信息，例如邮箱、显示名称、登录会话、OAuth 关联信息和 Workspace 成员关系；
- 客户配置，例如 Workspace、Browser Environment、Allowed Origins、API Key 的标识、前缀、状态、权限、用量策略和审计信息；
- 套餐、用量与订阅信息，例如当前套餐、配额、请求计数、订阅状态、结算周期和支付流程状态。
Secret API Key 的明文只在成功创建时返回给客户。服务端保存可用于验证和管理的哈希、前缀与相关元数据。客户负责把明文 Secret 保存在自己的服务端或密钥管理系统中。
处理目的
我们使用这些信息来运行 Browser Verifier、签发 Imprint、生成 Lite 或 Pro Report、提供设备连续性与 History、校验 Allowed Origins、保护账户和 API、执行用量与套餐限制、处理订阅、排查故障、改进产品、响应支持请求，以及发现和处理安全与滥用风险。
我们也可能使用经过汇总或去标识化的信息评估服务质量、研究浏览器环境变化和改进检测可靠性。公开文档不会披露客户的 Secret API Key、内部检测证据或可用于绕过服务的规则细节。
Cookie、localStorage 与 sessionStorage
Console 登录使用会话 Cookie 来维持认证状态。Cookie 的安全属性和有效期由实际服务配置控制。
网站会使用 localStorage 保存语言偏好和开发者文档主题等界面设置。部分调试或页面运行组件会使用 sessionStorage 保存当前标签页的临时会话标识。公开 Scan 与 Browser Verifier 还会调用浏览器 API 完成环境检测。
客户网站可能使用自己的 Cookie 或浏览器存储；这些做法由客户说明和控制。本政策不替代客户自己的 Cookie 或隐私政策。
必要服务数据与可选数据分析
即使用户拒绝可选数据分析，EchoScan 仍会处理必要服务数据，包括提供核心功能、维持认证以及账户或 Workspace 状态、执行权限与用量限制、安全运行、处理账务与订阅状态、诊断故障和保存隐私选择所需的数据。拒绝可选数据分析不会削弱核心服务功能。
只有访问者主动允许后，可选数据分析才会启用。EchoScan 的单一隐私选择同时控制两个分析服务，并保存在 localStorage 的 echoscan.privacy.consent.v1 中。网站页脚与 Console 账户菜单永久提供“隐私设置”入口。访问者可以拒绝、稍后允许或撤回已有授权；撤回后停止后续可选数据分析，必要服务数据仍继续处理。
在允许后，EchoScan 使用 Google Analytics 4 与位于欧盟区域的 PostHog Cloud 作为可选分析服务。Google Analytics 4 用于页面、会话、获客、着陆页、国家或地区、设备与参与度报告。EchoScan 只发送不含 URL 查询串或片段的已清理页面路径、选定的 UTM 推广字段、引用页主机名，以及有限的滚动、外链主机和文件扩展名参与度数据。Google Signals、广告个性化、用户提供的数据采集和高级同意模式均不启用。参见 Google 隐私权政策。
PostHog Cloud 用于经过隐私限制的产品分析、选定的功能引导、经过清理的错误事件，以及仅限白名单路由的 Session Replay。PostHog 数据可能包括规范化页面类别、界面语言、选定的 UTM 字段、引用页主机名、随机 Scan 尝试标识、受限的完成或失败阶段、时长和数量范围、内部用户与 Workspace 标识、套餐与成员类别、产品接入里程碑、订阅状态类别、发布版本与 Git 修订号。符合条件的公开页面会按比例采样 Replay；所有输入都会遮罩，敏感区域会被阻止录制，公开 Scan、登录、API Key、Browser Environment、Billing、Report、Devices 与其他未列入白名单的页面不会录制。网络 Header 与 Body、控制台日志、Canvas 和跨域 Frame 也不会录制。参见 PostHog 隐私声明。
可选分析不包括邮箱、电话号码、真实姓名、显示名称、Secret API Key、Authorization 或 Cookie 内容、Imprint、指纹或原始 Detector 结果、Device ID、Report 内容、URL 查询串或片段、客户域名或 Allowed Origin、请求或响应 Header 与 Body，以及支付服务商的客户、Checkout、订单、交易或订阅标识。保留期限以各服务中主动设置的配置和当前服务套餐为准，实际值记录在 EchoScan 的生产运维记录中。
Console 登录与 OAuth
开发者和客户管理员可以通过当前支持的登录方式访问 Console。选择 OAuth 登录时，认证提供方会按其政策处理登录请求，并向 EchoScan 返回建立账户或会话所需的信息。EchoScan 使用这些信息验证身份、创建或关联账户、维持会话和保护 Console。
普通访问者运行公开 Scan 不需要登录。客户网站中的最终用户运行 Browser Verifier 也不需要 EchoScan 账号。
数据共享与第三方服务
EchoScan 会使用承载网站和 API、网络与安全、身份认证、邮件、支付结算和运营支持所需的服务提供方。这些提供方可能在完成相应服务所需的范围内处理信息。具体提供方会随基础设施和产品能力变化，因此本政策不把当前实现描述为永久不变的供应商清单。
我们也会按客户指令向已认证客户返回 Report 与 History，或在法律要求、安全事件、权利保护和企业交易所需范围内披露信息。我们不会把 Secret API Key 交给浏览器端，也不会让其他 Workspace 的 API Key 读取客户范围内的 Imprint。
数据安全
EchoScan 使用分层技术与组织措施保护数据，包括生产环境的加密传输、浏览器检测载荷的加密、Secret API Key 哈希、会话与 Workspace 权限检查、精确 Allowed Origins 校验、访问控制、日志与安全监控。
任何系统都无法保证绝对安全。客户应保护 Secret API Key、限制服务端访问权限、及时轮换或撤销泄露的密钥，并正确配置 Browser Environment。
数据保留
不同记录服务于不同目的，保留时间可能不同。设备与访问历史、账户与会话、用量与订阅、审计与安全记录会根据提供服务、客户配置、争议处理、安全调查、备份和适用法律所需的时间保留。
当前公开产品契约没有统一适用于所有数据类别的固定自动删除期限。具体的删除、限制使用和请求处理方式取决于数据类别、客户配置、适用要求和当前可用的运营流程。客户应根据自己的保留政策与合规要求评估 EchoScan 是否适用。
用户请求与选择
个人或客户可以就相关信息的访问、更正、删除或说明联系 EchoScan。可提供的处理方式取决于适用法律、具体关系、数据类别和当前流程。为保护数据，处理前可能需要验证请求者身份、Workspace 权限或客户关系。客户网站的最终用户通常应先联系收集其业务信息的客户。
隐私与安全请求请联系 security@echoscan.org，一般问题请联系 contact@echoscan.org。
政策更新
我们会在产品、处理活动或法律要求变化时更新本政策，并修改页面顶部的最后更新日期。重大变化会通过适合的站点或 Console 通知方式说明。建议客户定期查看本页，并在自己的隐私披露中准确描述 EchoScan 集成。