隐私政策

1.适用范围

本政策适用于 EncryptionSign 运营方 【运营主体全称】（以下简称“我们”）通过 EncryptionSign 网站、用户控制台、API 接口及部署代理程序提供的全部服务。

本政策不适用于第三方单独向您提供的服务，包括证书颁发机构（CA）、DNS 服务商、云服务商等。这些第三方对您个人信息的处理，适用其各自的隐私政策。

2.我们收集的信息

1. 您主动提供的信息

• 账户信息：注册与登录时提供的手机号码、电子邮箱、密码与用户名；
• 证书申请信息：域名、证书签名请求（CSR）、证书联系人的姓名、职务、电话与邮箱；申请 OV、EV 证书时，还包括组织名称、统一社会信用代码、注册地址、营业执照等组织证明材料；
• 实名与开票信息：根据法律法规或您的需要提供的实名认证信息、发票抬头与税号；
• 沟通信息：您通过工单、邮件、电话与我们沟通时提供的信息。

2. 您授权我们使用的服务凭据

为实现自动验证与自动部署，您可能会向我们提供 DNS 服务商 API 密钥、云平台访问密钥（AccessKey）、服务器 SSH 凭据或部署代理令牌等信息。我们仅在执行您发起或设置的验证、部署与续期任务时使用这些凭据，并对其进行加密存储。建议您为 EncryptionSign 创建仅具备必要权限的子账号或专用密钥。

3. 我们在您使用服务时自动收集的信息

• 日志信息：IP 地址、浏览器类型、访问时间、操作记录与 API 调用记录；
• 设备信息：设备型号、操作系统版本等基本信息；
• 监控数据：为提供证书监控服务，对您添加的域名进行检测所获得的证书信息与检测结果。

4. 支付信息

您购买付费服务时，支付由微信支付、支付宝等第三方支付机构处理。我们仅接收订单号、支付状态与支付金额等必要信息，不会收集或存储您的银行卡号、支付密码等支付敏感信息。

3.我们如何使用信息

我们会出于以下目的使用您的个人信息：

• 创建与管理账户，验证您的身份，保障账户安全；
• 向 CA 提交证书申请，完成域名验证、组织验证与证书签发；
• 根据您的设置自动部署、续期证书，并执行证书监控与告警通知；
• 处理订单、支付、发票与退款；
• 提供客户支持，响应您的咨询与投诉；
• 保障服务安全稳定运行，预防欺诈、滥用与违法行为；
• 在取得您同意的前提下，向您发送产品更新与服务通知；
• 遵守法律法规要求，或配合有权机关依法提出的要求。

如我们需要将您的个人信息用于本政策未载明的其他用途，将事先征得您的同意。

4.信息的共享、转让与公开披露

1. 向证书颁发机构（CA）提供

数字证书必须由 CA 完成验证与签发。当您通过本服务申请证书时，我们会将完成申请所必需的信息（包括域名、CSR、证书联系人信息，以及 OV / EV 证书所需的组织信息与证明材料）提供给您所选品牌对应的 CA。CA 将依据其证书策略（CP）、证书业务规则（CPS）与 CA/浏览器论坛的相关规范处理并保存这些信息。

2. 证书透明度（CT）公开记录

根据浏览器的证书透明度（Certificate Transparency）要求，公开信任的 SSL/TLS 证书在签发时会被记录到公开的 CT 日志中，任何人都可以查询。CT 日志会包含证书中的域名，以及 OV / EV 证书中的组织名称、所在地等信息，此类信息一经记录将无法删除。请勿在证书中填写您不希望公开的信息。

3. 委托处理与第三方服务

为提供短信与邮件通知、云计算与存储、支付、客户服务等功能，我们可能委托经审慎选择的合作方处理必要的信息。我们会与其签订协议，要求其按照我们的指示及本政策处理信息，并采取必要的安全措施。

4. 转让

在发生合并、分立、解散或被宣告破产等情形时，如涉及个人信息转移，我们会向您告知接收方的名称与联系方式，并要求接收方继续履行本政策规定的义务；接收方变更原先的处理目的或处理方式的，将重新取得您的同意。

5. 公开披露与法定例外

除 CT 日志等证书行业的公开要求外，我们不会公开披露您的个人信息，但以下情形除外：取得您的单独同意；为履行法定职责或者法定义务所必需；为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；法律、行政法规规定的其他情形。

5.个人信息的跨境提供

Sectigo、DigiCert、GlobalSign、GeoTrust、Thawte、Certum 等国际证书品牌的 CA 位于中华人民共和国境外。当您选择上述品牌的证书时，为签发证书之必需，您的证书申请信息将被提供给位于境外的 CA。

我们会在您提交此类订单前，向您告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及您向境外接收方行使权利的方式，并取得您的单独同意。我们将依照法律法规的要求履行个人信息出境的相关程序。如您不希望信息出境，可以选择审核与签发均在境内完成的国产证书品牌。

6.信息的存储

• 存储地点：我们在中华人民共和国境内收集和产生的个人信息存储在中华人民共和国境内，跨境提供的情形见本政策“个人信息的跨境提供”部分；
• 存储期限：我们仅在实现本政策所述目的所必需的期限内保留您的个人信息。账户注销后，我们将删除或匿名化处理您的个人信息，但法律法规另有规定的除外，例如《中华人民共和国电子商务法》要求交易信息自交易完成之日起保存不少于三年；
• CA 记录：CA 依据行业规范需要在一定期限内保存证书申请与验证记录，此部分信息的保存由 CA 依其证书业务规则负责。

7.信息安全

我们采取符合业界标准的安全措施保护您的个人信息：

• 全站使用 HTTPS（TLS）加密传输数据；
• 对密码进行加盐哈希存储，对 API 密钥、服务器凭据、证书私钥等敏感信息加密存储；
• 实施严格的访问控制与最小权限原则，并对敏感操作进行审计记录；
• 支持您在自有服务器本地生成证书私钥，私钥无需上传至平台；
• 制定安全事件应急预案，并定期开展安全评估。

如不幸发生个人信息安全事件，我们将按照法律法规的要求，及时向您告知事件的基本情况、可能的影响、我们已采取或将要采取的处置措施，以及您可自主防范和降低风险的建议，并向有关主管部门报告。

8.您的权利

根据法律法规，您对自己的个人信息享有以下权利：

• 查阅与复制：查阅、复制您的个人信息；
• 更正与补充：发现个人信息不准确或不完整时，要求更正、补充；
• 删除：在法律规定的情形下，要求删除您的个人信息；
• 撤回同意：撤回您此前作出的同意，撤回不影响撤回前基于同意已进行的处理活动；
• 注销账户：在控制台申请注销账户；
• 转移：在符合国家网信部门规定条件时，请求将您的个人信息转移至您指定的个人信息处理者；
• 解释说明：要求我们对个人信息处理规则进行解释说明。

您可以通过控制台的账户设置行使上述部分权利，或通过本政策“联系我们”部分的方式联系我们。我们将在验证您的身份后，于 15 个工作日内答复并处理。请注意，已签发并记录到 CT 日志中的证书信息无法删除；如需停止使用证书，您可以申请吊销。

9.Cookie 与同类技术

我们使用 Cookie 及本地存储（LocalStorage）等技术保持您的登录状态、记住偏好设置并统计网站访问情况。您可以在浏览器设置中管理或清除 Cookie，但禁用 Cookie 可能导致您无法正常登录或使用部分功能。

10.未成年人保护

本服务主要面向企业、组织以及具有完全民事行为能力的成年人。若您是未满 18 周岁的未成年人，应在监护人的陪同和同意下使用本服务；我们不会主动收集不满 14 周岁未成年人的个人信息。如发现在未取得监护人同意的情况下收集了不满 14 周岁未成年人的个人信息，我们将尽快删除。

11.本政策的更新

我们可能适时修订本政策。修订后的政策将在本页面发布并更新“最近更新”日期；对于重大变更，我们会通过站内通知、邮件等方式提前告知您。若您在政策更新后继续使用本服务，即表示您同意受更新后的政策约束。

12.联系我们

如您对本政策或个人信息处理有任何疑问、意见或投诉，可以通过以下方式联系我们：

• 运营主体：【运营主体全称】
• 联系邮箱：support@encryptionsign.com
• 通讯地址：【运营主体注册地址】

如您对我们的答复不满意，或认为我们的个人信息处理行为损害了您的合法权益，您还可以向网信、市场监管等有关主管部门投诉、举报。