隐私政策

1. 数据控制者

Peter Gnädig
Klappschau 0, 24837 Schleswig
德国
电话 +49 175 3255576
电子邮箱 fjordbot.contact@gmail.com

2. 处理的数据

视使用方式而定，Fjord 可能处理技术与安全数据；Discord 账户数据（ID、用户名、显示名、头像以及必要时的邮箱）；服务器、成员关系和权限信息；在控制面板保存的配置和内容；语言、外观和强调色偏好；以及错误或安全日志。

登录和机器人运行时，账户数据、成员关系和服务器事件来自 Discord。消息和管理信息也可能涉及不使用控制面板的服务器成员。授权用户提供的图片、消息模板和嵌入内容用于实现所选择的功能。

3. Discord 登录与必要信息

登录使用 Discord OAuth2。Discord 提供用户 ID、用户名、显示名、头像、授权邮箱及验证状态、服务器成员关系和权限，用于会话、服务器选择、访问控制及隐私请求身份匹配。Fjord 不会获得你的 Discord 密码。

一次性记录保护跳转和 Discord 返回。访问令牌用于必要查询，不作为永久账户属性保存。具体期限见删除部分。退出登录不会自动删除账户偏好、服务器固定项或全部服务器数据。

4. 机器人功能与自动审核

服务器运营者选择模块和规则。根据启用功能，Fjord 处理用户、服务器、频道、角色、消息和表情 ID、资料、成员关系、权限、消息、链接、附件、反应和事件。也涉及不登录 Fjord 的成员。信息来源于 Discord、用户命令和获授权管理员的设置。

欢迎、离别消息、自动角色、审核和活动日志使用信息执行所选功能。规则可自动删除消息、发出警告或实施暂时禁言、踢出或封禁。警告可包含用户和服务器 ID、时间、原因及审核者。事件通知发送到配置频道，并按频道权限可见。

为修改和删除通知，可在内存中临时保存消息快照约一小时，运行期间进行清理。已发布到 Discord 的消息独立于该缓存。相关人员可联系服务器审核者及我们的联系地址。GDPR 第 22 条适用时，人工介入、陈述观点和质疑决定等法定权利保留。

运营者还决定服务器访问权限及内容使用。Discord 及运营者自己的处理另受其责任和隐私说明约束。

5. 处理目的与法律依据

安全运行、防止攻击和滥用、故障诊断、服务器管理、欢迎功能和审核，在由我们负责的范围内依据第 6(1)(f) 条。我们及服务器运营者的合法利益是服务正常运行、社区秩序和成员保护，包括没有控制面板账户的成员。必须考虑必要性及相关人员的相对权利。

履行法定数据保护义务，包括权利请求及主管机关要求时，依据第 6(1)(c) 条及相关法律义务处理必要信息。联系请求根据目的依据第 6(1)(b) 或 (f) 条。必要信息用于登录、功能或回复；未提供时，相应服务可能受限或无法提供。

6. Cookie 与本地存储

Fjord 登录使用服务器会话和 HttpOnly 会话 Cookie，浏览器代码不会直接读取该 Cookie。所选外观和语言以 fjord-theme 和 fjord-language 保存在浏览器本地存储和偏好 Cookie 中。代码将偏好 Cookie 的有效期设为一年。本地记录保留至通过浏览器更改或删除。已登录用户的偏好还会发送至账户。会话用于提供所请求的登录，偏好存储用于提供用户选择的外观和语言。为提供这些明确请求的功能而严格必要的设备访问适用 TDDDG 第 25(2)(2) 条。浏览器功能可删除或阻止存储，这可能导致偏好丢失或登录受到限制。

7. 接收方与第三方

Fjord 在 Hetzner Online GmbH（Industriestraße 25, 91710 Gunzenhausen, 德国）的独立服务器上自行管理数据库，服务器位于欧盟芬兰。已与 Hetzner 签订 GDPR 第 28 条的数据处理协议。Hetzner 提供托管。见其隐私政策。兼容 S3 的 RustFS 对象存储、图像渲染器和图像处理服务也都在此服务器上运行，由 Fjord 自行管理。

网站和 API 的公共访问经过 Cloudflare, Inc.（101 Townsend Street, San Francisco, CA 94107, 美国）。Cloudflare 可为交付及安全处理 IP、请求、连接及转发内容。见其政策和数据处理协议。我们使用 Cloudflare Tunnel 提供公共访问，并使用 Cloudflare 缓存临时存储和分发图片。

登录、机器人功能和头像向 Discord 传输信息。对于欧洲经济区，Discord 指定 Discord Netherlands B.V.（Schiphol Boulevard 195, 1118 BG Schiphol, 荷兰）为其服务的控制者。直接加载头像也向 Discord 传输浏览器连接信息。Discord 还在美国等国家处理信息，其政策说明保障措施。

联系地址使用 Gmail，Google 因而也处理发件地址、内容和附件。Google 指定 Google Ireland Limited（Gordon House, Barrow Street, Dublin 4, 爱尔兰）为欧洲经济区服务的控制者。见Google 政策。

自有服务器所在地不会将其他服务限制在欧盟。欧洲经济区以外的传输适用 GDPR 第 44 条及后续规定。供应商文件说明标准合同条款及适用的充分性决定。Cloudflare 协议规定相关传输采用相应标准条款。可通过联系地址请求了解保障措施。

8. 保存与删除

服务器配置、保存的内容和上传的文件将为所请求的功能保留，直到授权用户删除或替换它们，或执行下述服务器清理。对于新自动和手动警告，服务器可以为每个警告等级设置一小时至一年（365 天）的保留时长。未配置时默认为一年，不能设置更长时间。警告发出时确定到期日期，已保存且具有到期日期的警告无法事后更改该日期；新设置仅适用于新警告。数据库会自动将到期警告从有效警告记录中移除。没有到期日期的旧警告不会被追溯添加日期。授权管理员提前删除、服务器清理以及依适用法律条件提出删除或限制处理请求仍然可行。下述备份规则继续适用。

退出登录不删除偏好或固定项。全局封禁列表在封禁期间保存 Discord ID，以执行封禁及防止绕过。封禁不会自动删除全部其他数据。联系请求为处理及必要证明保存。技术日志所需保存期限取决于诊断、安全事件及必要的法律请求。用途和优先法定理由消失后，应删除数据。

封禁账户时，除 Discord 用户 ID 外，已知的关联电子邮件地址也会通过使用秘密密钥生成的 HMAC 比较值被封禁。此操作不封禁 IP 地址。现有登录会话会被删除，使用被封禁标识的新登录会被拒绝。关联账户身份信息、个人控制面板偏好、服务器固定记录和安装流程会被清理。中断的清理会重试。包含标识、原因和时间的最小封禁记录会在必要的封禁期间保留。封禁账户不会重置 AutoMod 或管理数据，尤其是警告记录。这些记录继续用于管理和预防重复滥用。保留必须限于必要的数据及目的，并定期审查。独立的服务器清理及法律规定的删除、限制处理和反对权仍然适用。

为安全地将数据保护请求与账户对应，Fjord 会存储 Discord 用户 ID、最近一次成功通过 Discord 登录时提供的电子邮箱地址及其验证状态，以及首次和最近一次同步的时间。每个 Discord 账户只有一条身份对应记录，并会在每次重新登录时更新。连续两个月未再次登录后，该记录将在下一次每日清理中删除。

服务器设置、警告记录、服务器固定项和上传的服务器文件均通过相应的 Discord 服务器 ID 进行关联。清理时，Fjord 收集数据库和对象存储中的服务器 ID，并与机器人所属服务器的完整且已同步的列表进行比较。未出现在该列表中的已存储服务器 ID 会先被记录，以便在删除前进行核查。机器人报告为当前所属服务器的 ID 会被排除在此清理之外。

服务运行期间，Fjord 每 15 分钟检查一次机器人是否仍在已存储的服务器中。删除操作最早在首次发现机器人不在服务器中 15 分钟后开始，并且必须再次确认该服务器的情况。如果服务器列表不完整、连接失败或无法明确确认机器人已离开，则保留数据。确认机器人已被移除后，关联的配置、警告记录、服务器固定项和上传的服务器文件会从活动数据库和对象存储中删除。失败的删除任务会保留并重试。此服务器清理不会删除全局封禁列表或 Discord 持有的副本。

登录自完成登录起最长有效期为 31 天，退出登录或账户被封禁会提前结束会话。持续使用不会延长这一固定期限。过期的服务器端会话会从会话数据库中删除。清理任务在服务运行期间每分钟执行一次，并在重启后立即执行。服务故障可能延迟实际删除，服务恢复后会重新尝试清理。无论删除是否延迟，过期会话均已失效。Discord 登录流程的一次性记录默认有效期为十分钟，根据配置最长为 30 分钟。已使用的记录会被删除，新登录时也会清理过期记录。未再次登录满两个月的期限仅适用于单独保存的账户身份记录，不适用于登录会话。删除该记录不会自动删除账户偏好或服务器固定项。

我们正在运行版本化备份系统，用于数据库和上传的服务器文件。备份可能包含服务器设置、管理数据、账户身份信息、偏好设置及封禁关联记录。用于恢复的材料不包含活动登录会话及短期 OAuth 状态。这些备份的保留期限为七天。从活动存储中删除数据不会立即删除旧备份。过期的备份批次会自动清理。发生中断或存储不可用时，恢复运行后会重试清理。备份用于数据恢复，应与活动数据分开保存。恢复时必须考虑此前的删除、处理限制及有效封禁。

图片还可能保存在 Cloudflare 和浏览器缓存中。在我们的服务器上删除原文件不会立即删除这些副本。缓存图片可能在所配置的缓存有效期届满或单独清除缓存之前仍可访问。在 Fjord 删除数据也不会自动删除已发布到 Discord 的消息或接收者创建的副本。

9. 数据主体权利

在 GDPR 适用时，数据主体可能享有访问、更正、删除、限制处理、数据可携和反对处理等权利，也可撤回对未来处理的同意。

你可以通过电子邮件或邮寄向上述控制者提出隐私请求。如已知 Discord 用户 ID 和相关服务器，可提供这些信息以帮助查找数据。提出请求不需要登录控制面板，也不需要能够访问以前使用的邮箱。只有在对身份存在合理疑问时，我们才要求提供确认身份所必需的补充信息。Discord 邮箱缺失或变更本身不会阻止你行使权利。个人数据不会披露给未经授权的第三方。

我们通常会在收到请求后一个月内告知处理情况。如果请求的复杂性或数量需要延长时间，我们会在该月内说明原因，最多延长两个月。请求通常免费处理。拒绝请求或收取费用必须满足法定条件并说明理由。撤回同意不影响撤回前处理的合法性。

如果处理依据 GDPR 第 6(1)(f) 条，你可以根据自己的特殊情况提出反对。随后我们停止处理相关数据，除非能够证明存在优先于你的利益、权利和自由的重大合法理由，或处理是提出、行使或抗辩法律请求所必需的。

针对 Fjord 或 Discord 机器人的投诉，可将情况说明和识别该事项所需的信息发送至 fjordbot.contact@gmail.com。除此之外，疑似违反数据保护规定的行为还可向有管辖权的监管机构投诉，尤其是居住地、工作地或涉嫌违规行为发生地的机构。对于设在石勒苏益格-荷尔斯泰因州的运营者，当地监管机构为 ULD Schleswig-Holstein。

10. 数据安全

公共连接使用 HTTPS。登录和服务器权限限制对控制面板及其设置的访问。正在运行的版本化备份系统用于支持意外删除、损坏、数据丢失或技术故障后的恢复。保护措施与恢复安排必须根据所处理的数据及风险进行评估。同一物理服务器上的独立服务本身无法防止该服务器完全故障造成的影响。

11. 变更

当处理活动、功能、服务商或法律要求发生变化时，本政策会相应更新。以当前发布的版本为准。