一、适用范围与角色

本政策适用于毅阳工作室运营的 ShangCloud 网站、接口、移动端、扩展及相关服务。我们重视个人信息和应用数据安全，并按照合法、正当、必要和诚信原则处理信息。

对于账户、安全、平台运营、管理员审核和基础服务数据，运营方决定处理目的和方式。对于开发者自行定义并通过其应用收集的云变量、数据表字段、Webhook 载荷及函数参数，应用开发者通常同时决定具体字段和用途，并应向其用户另行提供必要的隐私说明。

本政策不替代第三方应用或第三方服务的隐私政策。使用开发者应用、社区登录、外部 Webhook 或云函数目标服务前，请同时阅读对应方的说明。

阅读本政策不等于对所有处理活动作出不可撤回的一揽子同意。为履行用户主动请求的服务、履行合同或法定义务所必需的信息，我们将按相应法律依据处理；依法需要单独同意、监护人同意或重新同意的场景，将在具体功能页面另行告知和确认。

二、我们处理的信息

1. 账户与个人资料

包括 UID、昵称、头像、生日、邮箱、手机号、QQ 号、账户类型、权限、注册时间，以及您选择绑定的第三方社区账号标识。密码以摘要等安全方式处理，我们不会向普通页面返回您的原始密码。

2. 认证与安全信息

包括登录时间、登录方式、IP 地址、根据 IP 推断的粗略地区、User-Agent、设备名称、会话和设备令牌、个人访问令牌、OAuth 授权与令牌状态、两步验证配置、恢复码摘要、Passkey 凭据标识和最后使用时间。

3. 应用存储的数据

包括应用公开云变量、按 UID 隔离的私有云变量、变量名称和值、SQLite 数据表结构和记录、记录所有者 UID、创建和更新时间，以及开发者自定义的其他字段。字段内容由应用开发者决定，可能反映分数、进度、偏好、作品状态或应用交互行为。当前应用数据表读取接口默认公开，RLS 只限制普通用户更新或删除其他用户创建的记录，不限制读取。

4. 开发者与自动化数据

包括应用名称、简介、URL、OAuth 回调、允许来源、作品绑定、协作者、密钥状态、MCP 配置、云函数代码与配置、函数参数和运行日志、事件模板与规则、规则执行结果、内容守护配置及违规记录、Webhook 配置、请求和响应片段、数据导出及应用审计日志。

5. 多人联机与互动数据

包括房间 ID、房主及成员 UID、临时身份、连接密钥、边缘节点、加入和离开事件、房间额外数据、匹配大厅条件以及实时通信内容。实时内容可能由开发者的边缘函数检查、拦截或修改。

6. 排行榜、成就和应用行为

包括用于排行榜的变量值、昵称、UID、成绩、名次、周期基线、成就定义、解锁记录、虚拟分数、物品或奖励相关记录。

7. 统计、网络与设备信息

包括访问时间、请求 URL 和方法、来源页面、社区来源、IP 地址、User-Agent、应用 ID、PV/UV、接口频率、错误信息和异常堆栈。应用统计可能通过扩展初始化或透明统计像素采集，并将 IP、User-Agent 和应用 ID 组合后生成应用内访客哈希，用于每日访客去重和安全分析。该哈希通常保留 45 天，仍按可能关联设备或访问者的信息进行保护，不视为完全匿名化数据。

8. 沟通、举报和管理记录

包括站内消息、推送订阅 endpoint 与加密公钥、反馈标题和正文、联系方式、回复、应用举报、申诉、管理员处理结果、封禁和账户管理记录。请勿在反馈中提交与问题无关的敏感信息。

三、我们如何使用信息

• 创建和维护账户，提供登录、资料、安全、消息及设备管理；
• 执行用户授权，为应用提供云变量、数据表、OAuth、多人联机及其他开发能力；
• 运行云函数、事件规则、Webhook、排行榜、成就和内容守护机制；
• 向用户展示应用在其用户命名空间下保存的数据；
• 统计应用访问和服务使用情况，改善性能、容量和产品体验；
• 检测滥用、攻击、作弊、越权、异常资源消耗、规避限制、故障和违反服务条款的行为；
• 处理反馈、举报、争议、数据请求和客户支持；
• 发送必要的验证、安全、服务和用户主动订阅的推送通知；
• 履行法律法规规定的义务，保护用户、开发者、运营方和公众的合法权益。

四、谁可以看到应用数据

1. 用户本人

用户可以在账户页面查看开发者应用以该用户身份或在其用户命名空间下存储的私有云变量，以及应用数据表中所有者为该用户的部分记录。这项透明度功能可能受分页或性能限制，且不包含排行榜、成就、日志、反馈、统计、推断信息或外部接收方持有的数据，因此不代表应用及平台持有的完整个人信息副本。其他普通用户不能通过该页面查看您的数据；如需申请其他信息的副本，请通过反馈或邮件联系我们。

2. 应用所有者与协作者

应用所有者和协作者目前可能获得广泛的应用管理权限，可以浏览或导出该应用的全部公开云变量、各用户私有云变量、数据表结构与全部记录，并可访问该应用相关的函数、事件、守护、Webhook、联机、统计和审计信息。当前协作者权限并非所有功能均细分控制，应用所有者应仅邀请完全可信的人员，并及时移除或停用协作者。

3. 平台管理团队

具有平台管理员身份的运营方人员在技术上可能查看应用存储的所有数据，包括公开及私有云变量、数据表及记录、应用配置、账户关联信息、运行或系统日志、举报与授权记录。此类访问应仅用于平台运营、客服支持、故障排查、安全与违规审查、争议处理、数据恢复或履行法定义务等必要场景。当前系统主要通过管理员账户身份控制访问，不同管理功能的内部审批和审计措施可能存在差异。

4. 其他用户或公众

公开云变量、应用数据表、排行榜中的 UID、昵称、成绩和名次，以及多人大厅内的房主 UID、房间状态和额外数据，可能被其他用户或公众获取。当前应用数据表读取接口默认公开，RLS 不限制读取。请勿在这些区域保存敏感个人信息或其他不应公开的信息。

五、自动化处理与外部传输

1. 云函数：开发者代码可能处理用户 UID、昵称、调用参数、云变量、数据表、房间状态及成就，并根据配置向外部地址发起请求。
2. 事件与规则：系统可能根据用户变量或应用事件自动作出判断、修改数据、调用函数、解锁成就或记录结果。内容守护规则可能自动拒绝、限制或熔断操作。
3. Webhook：应用事件可能将 UID、变量名称和值、数据表记录、房间事件、成就或开发者指定的数据发送到开发者配置的第三方服务器。
4. 多人联机：消息和房间状态会经过分配的边缘节点，开发者配置的边缘函数可能检查或修改消息。

开发者应对其配置的外部接收方、代码和自动规则承担相应责任。若自动化结果对您产生重要影响，您可以联系相应应用开发者或向平台反馈，申请说明、更正或人工处理。

六、共享、委托处理与第三方服务

在提供用户主动使用的服务所必需、取得有效授权或法律允许的情况下，信息可能提供给以下接收方：

• 您授权的应用开发者及其协作者；
• 开发者配置的 Webhook 服务器、云函数目标服务或作品所使用的其他服务；
• 邮件、短信、浏览器 Web Push、边缘节点、托管、存储、安全防护和故障监控服务提供方；
• 您选择绑定或登录的第三方 Scratch 创作社区及其他授权平台；
• 依法有权提出要求的行政、司法或其他主管部门；
• 在合并、分立、资产转让或类似交易中依法承接相应业务和保护义务的主体。

浏览器推送内容可能通过浏览器厂商的推送服务并显示在设备锁屏；使用前请根据设备隐私情况决定是否订阅。第三方服务将依据其自身政策处理信息。

为实现用户主动使用的托管、云备份、邮件、短信、浏览器推送、边缘节点和安全服务而进行的必要受托技术处理，不属于广告合作或数据出售。我们要求相关服务商仅按约定目的处理数据，不得将数据用于其自身广告、营销、画像或转售。

七、Cookie、统计像素与本地存储

我们使用 Cookie、会话存储和本地存储保持登录状态、保存界面及语言偏好、执行 CSRF 防护和提供必要功能。您可以通过浏览器删除或阻止这些数据，但登录、授权或界面偏好可能无法正常工作。

应用统计功能可能使用扩展初始化事件或透明像素记录访问，并根据来源、社区、日期和应用内访客哈希生成聚合 PV/UV。访客哈希通常保存 45 天，聚合统计可能保存更长时间。此类数据仅用于应用分析、安全、故障排查、容量规划和产品改进，不用于广告画像、定向投放、跨站广告追踪或广告效果归因，也不会提供给广告方。

八、存储期限与跨境处理

1. 账户和应用被删除后，相关数据不会必然立即全部清除。账户注销目前会停用账户并清除当前会话，但部分账户资料、授权凭据、应用数据、工单、举报和其他关联记录可能继续保留；应用删除后，部分云变量、SQLite 文件、日志或其他关联数据也可能继续保留。
2. 统计访客哈希通常保留 45 天；已撤销的 OAuth refresh token 记录通常保留约 30 天，OAuth 审计记录通常保留约 90 天；系统日志根据级别通常保留约 3 至 365 天。函数日志和 Webhook 投递记录还可能按条数上限滚动保留。
3. 账户、应用、站内消息、登录历史、工单、举报、推送订阅、云变量、数据表、成就、排行榜及其他业务数据目前没有统一固定保存期限，通常保留至相关功能数据被清理，或我们完成有效的数据删除请求。
4. 撤销 OAuth 授权不会自动删除应用此前存储的云变量、数据表记录、成就或排行榜数据。您可以通过账户页面查看本人应用数据，并联系应用开发者或运营方提出删除请求。
5. 平台每日备份全量数据，并将备份加密存储到云端。备份用于灾难恢复、数据完整性验证和安全事件处置。主系统中的更正、删除、账户注销或应用删除不会立即同步清除已经生成的备份副本；备份中的数据会在备份轮换、到期清理或恢复覆盖过程中逐步消除。除恢复、安全验证和法定义务外，我们不会将备份用于日常业务查询或广告、画像等其他用途。
6. 对于因法律留存、安全调查、争议处理、证据保全、备份轮换或当前技术能力暂时不能删除的数据，我们将尽量限制为存储、安全保护和必要处理，并在具备条件后继续处理删除请求。
7. 平台及开发者配置的功能可能将数据传输至境内或境外的边缘节点、云备份、浏览器推送、邮件、短信、托管服务或开发者指定服务器。具体处理地点取决于实际部署和服务提供方；发生适用法律意义上的跨境提供时，我们将根据实际场景履行告知、取得单独同意及其他法定程序。

九、安全保护

我们采用传输加密、密码摘要、访问控制、权限分级、频率限制、内容守护、日志和备份等合理措施保护数据。但互联网服务不存在绝对安全，用户和开发者也应妥善保管凭据、限制协作者、审查公开字段、Webhook 和函数代码，并及时处理异常。

平台不提供统一的付费总量配额，但各功能存在请求频率、单值大小、表、函数及 Webhook 数量、执行时间和查询分页等固定技术上限。我们会分析请求频率、连接状态、任务执行、数据写入及资源消耗，以识别滥用并保护整体服务稳定。发现涉嫌滥用、攻击、作弊、规避限制或其他高风险行为时，我们可能在未经事先警告的情况下立即限制功能、暂停或永久封禁账户和应用，并保留与调查、申诉或法定义务有关的必要记录。

发生可能影响您权益的安全事件时，我们将根据风险和法律要求采取处置措施，并通过站内消息、邮件、公告或其他合理方式通知。

十、您的权利

在适用法律规定范围内，您可以：

• 访问、更正账户资料和安全设置；
• 查看已授权应用、撤销授权和管理访问令牌；
• 查看应用在您用户命名空间下保存的变量及归属于您的数据表记录；
• 要求说明、复制、更正、限制处理或删除相关个人信息；
• 关闭浏览器推送、删除 Cookie 或解除第三方账号绑定；
• 对自动化结果、举报处理或管理决定提出反馈和申诉；
• 申请注销账户。

账户页面只展示部分可直接关联的数据，并非完整个人信息副本。平台目前不提供自助式账户全量导出；如需访问、复制、更正或删除其他个人信息，请通过反馈或邮件提出申请。为保护账户安全，我们可能要求验证身份。对于由应用开发者决定字段和用途的数据，我们可能协助您联系开发者或共同处理请求。撤销授权与删除已存数据是不同操作。

十一、未成年人保护

本政策所称“儿童”是指不满十四周岁的未成年人。鉴于 ShangCloud 面向 Scratch 及相关创作社区，我们将儿童个人信息作为敏感个人信息予以更严格保护。未成年人应在父母或其他监护人的指导下阅读本政策和使用服务。

1. 儿童创建账户、绑定第三方账户或向开发者应用提供个人信息前，应取得监护人的明确同意。依法需要监护人单独同意的，我们将通过相应功能另行确认。
2. 我们处理儿童信息应限于提供账户、作品互动、安全保护和监护人同意的具体功能所必需的范围，不得将儿童信息用于广告、营销、数据出售或不合理画像。
3. 开发者不得诱导儿童提供身份证件、联系方式、精确位置、健康、财产、家庭情况、学校信息、生物识别等超出功能必要范围的信息，不得将儿童信息写入公开变量、公开数据表、排行榜、房间额外数据或公开日志。
4. 开发者不得利用排行榜、成就、虚拟奖励、房间或自动化规则对未成年人实施不当营销、诱导沉迷、不合理差别待遇或其他可能损害其身心健康和合法权益的行为。
5. 监护人可以通过反馈或 contact@yearn.studio 查询、更正、复制、限制处理或删除被监护人的信息，撤回相关同意，或申请注销儿童账户。我们可能要求提供为核验监护关系所必要的最少信息。
6. 如果我们发现未取得适当监护人同意而处理儿童个人信息，或发现开发者违反儿童信息规则，将视情况停止相关处理、限制应用权限、移除公开内容、封禁账户或应用，并处理删除请求。

十二、政策更新与联系

我们可能根据功能、数据类型、法律或安全要求更新本政策。重大变化将通过页面公示、公告、站内消息、短信或邮件等合理方式通知；处理目的、方式、信息种类、公开范围、第三方接收方或跨境情况发生依法需要重新同意的变化时，我们将另行告知并取得相应同意。

如对本政策、应用数据访问、个人信息权利或安全问题有疑问、意见或投诉，请发送邮件至 contact@yearn.studio，或通过 ShangCloud 反馈页面联系我们。我们将在核验身份和问题后于合理期限内回复。