隐私说明与数据保护政策

一、信息收集范围与类型

在您使用WhatsApp网页版的过程中，我们仅在必要的最小范围内收集以下类别的数据：

1. 设备与日志信息

当您访问我们的域名时，服务器会自动记录以下技术信息：IP地址（用于网络诊断和防止恶意攻击）、浏览器User-Agent字符串（用于兼容性适配）、操作系统类型、屏幕分辨率、访问时间戳、以及您访问页面时的HTTP状态码（如200、404、500）。这些日志数据保留时间不超过30天，之后会被自动匿名化处理。

2. 连接配对信息

为了建立手机与电脑之间的安全连接，我们需要临时处理您的手机号码（经过哈希处理）、设备标识符（如Android ID或iOS IDFV的哈希值）、以及配对二维码的生成时间。这些信息仅用于会话建立，不会存储在我们的数据库中。会话结束后，所有配对令牌立即失效。

3. 功能使用数据（非消息内容）

我们使用隐私增强技术（如差分隐私）收集聚合级的交互数据，例如：高亮链接的点击次数、右键另存为功能的使用频率、多标签页打开行为的统计分布。这些数据无法追溯到具体个人，仅用于优化前端交互设计和产品界面布局。

特别说明：我们不会收集、读取、上传或分析您的聊天消息内容、联系人列表、共享的媒体文件（包括产品宣传彩页）、以及任何形式的端到端加密通信内容。消息数据始终只存在于您的手机和电脑浏览器本地，以及WhatsApp官方服务器之间。

二、信息使用目的与方式

我们收集上述信息的目的严格限定为以下四个方面：

• 提供与维护核心服务：包括建立安全连接、维持消息同步通道、渲染聊天界面、执行用户主动触发的操作（如另存为文件、打开链接）。
• 安全与防欺诈：通过分析IP地址和访问频率模式，识别并阻止分布式拒绝服务攻击（DDoS）、暴力破解尝试、以及异常批量注册行为。我们使用基于规则和机器学习混合的检测引擎，误报率控制在0.01%以下。
• 产品改进与体验优化：基于聚合数据了解用户在使用"产品界面"和"办公场景"中的痛点，例如分析哪些功能按钮的点击率低于预期，从而调整布局。我们不会使用个人数据做自动化决策（如信用评分）。
• 法律合规义务：当收到具有法律效力的政府机关调查令或法院命令时，我们会在法律允许的范围内配合提供必要的数据。在非紧急情况下，我们会提前通知用户（除非法律禁止）。

三、Cookie与追踪技术说明

WhatsApp网页版使用以下类型的Cookie和浏览器存储技术：

我们不使用任何跨站追踪Cookie、指纹识别技术（如Canvas指纹、WebGL指纹）或第三方广告网络追踪器。您可以通过浏览器设置阻止所有Cookie，但请注意，这会导致您无法正常登录网页版，因为session_token是维持连接所必需的。

四、第三方数据共享政策

我们承诺，在未经您明确同意的情况下，不会出售、出租、交易或共享您的任何个人信息给任何第三方用于营销目的。仅在以下特定场景中，我们可能会与经过严格筛选的合作伙伴共享有限数据：

• 云基础设施提供商：我们使用腾讯云和阿里云的服务器托管服务。这些服务商仅能访问到服务器层面的日志数据（IP地址、时间戳），且受到数据处理协议（DPA）的约束，禁止将数据用于任何其他目的。数据存储区域位于中国境内（北京/上海可用区）。
• 安全审计机构：在年度等保测评或渗透测试过程中，授权安全公司可能会在签署保密协议后，查看系统配置和脱敏日志。他们无权访问任何用户消息内容。
• 法律要求的执法机关：仅在收到有效的法律文书时，我们才会依法提供特定数据。我们会在法律允许的最大范围内通知用户。

我们不会与任何数据经纪商、广告联盟或消费者画像公司合作。我们的商业模式不依赖广告收入，因此不存在通过数据变现的动机。

五、用户权利：查看、修改与删除个人数据

根据《中华人民共和国个人信息保护法》以及GDPR（适用于欧洲经济区用户），您对自己的数据享有以下权利：

1. 访问权

您可以发送邮件至[email protected]，申请获取我们持有的关于您的个人信息副本。我们会在15个工作日内提供结构化的电子文件（JSON格式）。

2. 更正权

如果您发现我们处理的个人信息有误（例如设备标识符记录错误），您可以要求我们进行更正。由于我们处理的数据多为自动生成的日志，更正操作通常涉及删除错误条目。

3. 删除权（被遗忘权）

您有权要求我们删除您的所有个人信息。请注意，由于我们采用数据最小化原则，我们存储的数据非常有限。要请求删除，请通过注册邮箱发送邮件，并附上您的手机号码（用于身份验证）。我们会在30天内完成删除，并出具书面确认函。

4. 撤回同意权

对于基于同意处理的数据（如分析型Cookie），您可以随时通过浏览器设置清除Cookie来撤回同意。撤回同意不影响撤回前基于同意进行的数据处理的合法性。

对于行使上述权利的任何请求，我们不会收取费用，除非该请求明显无根据或重复过度（在这种情况下，我们可能会收取合理的行政费用）。

六、信息安全保障措施

保护您的数据安全是我们的最高优先事项。我们实施了以下多层次的安全防护体系：

• 传输层加密：所有数据在传输过程中均使用TLS 1.3协议加密，使用2048位RSA密钥交换和AES-256-GCM加密套件。我们的证书由DigiCert签发，支持证书透明度日志。
• 存储层加密：服务器端存储的任何日志文件均使用AES-256进行静态加密，密钥存储在独立的硬件安全模块（HSM）