隐私政策

Ambrosio Company 是在 Voyspark 平台上处理的个人数据的控制者。我们已指定一名数据保护官（DPO），代表用户在公司及监管机构面前行事。

DPO 联系方式：dpo@voyspark.com。对于巴西数据主体，我们在 15 天内答复（LGPD art. 19）；对于欧洲数据主体，我们在 1 个月内答复（GDPR art. 12），并可根据复杂程度予以延长。

我们基于以下依据处理个人数据：(a) 合同履行（LGPD art. 7 V；GDPR art. 6(1)(b)）——用于提供所约定的功能；(b) 遵守法律义务（LGPD art. 7 II；GDPR art. 6(1)(c)）——用于保留税务和会计数据；(c) 正当利益（LGPD art. 7 IX；GDPR art. 6(1)(f)）——用于安全、欺诈防范、汇总分析及服务改进，并始终与您的权利保持平衡。

当上述依据均不适用时，我们将请求您自由作出的、知情且明确的同意（LGPD art. 7 I；GDPR art. 6(1)(a)），尤其是用于直接营销、非必要 Cookie 以及敏感数据的处理。

身份识别信息：姓名、电子邮件、电话（可选）、出生日期（可选）、居住国家/地区、首选语言。

浏览信息：IP 地址、设备类型和浏览器、操作系统、访问过的页面、停留时长、来源引荐、Cookie 标识符——通过我们自有的服务器（track.voyspark.com）及分析合作伙伴收集。

使用信息：创建的 Trip Plans、搜索的目的地、旅行日期、Taste Genome 偏好、与 Voyspark AI 交换的消息、评价、发布的 Trip Diaries、Insider Network 回答。

交易信息：订阅历史、付款状态、银行卡后 4 位数字（仅通过 Stripe）、必要时的账单和税务地址。

沟通信息：与支持团队往来的电子邮件、工单、聊天记录、调查问卷及 NPS 回复。

当您选择“使用 Google 登录”时，Voyspark 使用 OAuth 2.0 协议仅从您的 Google 个人资料中接收以下数据：唯一标识符（sub）、电子邮件地址、电子邮件验证状态、全名、名字、姓氏以及个人资料图片 URL。

这些数据严格用于：(a) 创建并验证您的 Voyspark 账户；(b) 在平台内显示您的姓名和头像；(c) 关联后续登录；(d) 发送必要的交易性通信（注册确认、访问恢复、关键更新）。

Voyspark 不会请求、访问或存储：Gmail 内容、消息、附件、联系人、Google Drive 文件、Google Calendar 事件、Google Photos 图片、Google Contacts 或您 Google 账户的任何其他受限范围。

Voyspark 不会将通过 Google OAuth 获取的数据出于营销、定向广告或 AI 模型训练目的与第三方共享。在任何情况下都不会出售这些数据。

您可以随时在 myaccount.google.com/permissions 撤销 Voyspark 对您 Google 账户的访问权限。撤销后，我们仅保留为遵守法律义务（账单、会计、欺诈防范）而严格必要的数据，保留期限如第 8 节所述。

身份验证与账户：创建、维护和保护您的账户，验证访问权限，恢复密码并防止账户被盗用。

个性化：根据您声明的资料以及在平台上的行为，量身定制目的地推荐、行程建议和编辑精选内容。

交易处理：处理订阅、开具收据、告知合同变更、收费及续订事宜。

沟通：回应支持问题，发送重要的服务更新，并——仅在获得同意的情况下——发送编辑通讯及优惠信息。

分析与改进：分析汇总使用情况，以了解行为、识别瓶颈、确定改进优先级并衡量绩效。

安全与欺诈防范：检测并阻止可疑访问、滥用、抓取、支付欺诈以及违反条款的行为。

Voyspark 仅与为提供服务而严格必要的运营合作伙伴（LGPD 下的运营者，GDPR 下的处理者）共享个人数据，且须依据要求提供同等保护的合同进行。

目前使用的主要处理者：Stripe（Stripe, Inc.，我们的支付处理商）；Supabase Inc.（数据库与身份验证）；Vercel Inc. 和 Cloudflare Inc.（托管与 CDN）；Anthropic PBC 和 OpenAI OpCo, LLC（通过 API 提供的 AI 模型，不使用私有数据进行训练）；Google LLC（OAuth 登录、字体、可选分析）；Travelpayouts（编辑联盟——仅接收匿名点击标识符/sub_id，不含具名个人数据）；Resend 或同类服务（交易性电子邮件）。

我们不出售个人数据。我们不会与数据经纪商、跨站广告网络，或为其自身目的处理您数据且与本声明不相符的第三方共享数据。

我们在《Cookie 政策》(/legal/cookies) 中对 Cookie、像素、本地存储和标识符进行了深入说明，包括类别、用途、有效期及管理选项。

活跃账户：在您的账户处于活跃状态期间，我们会保留数据，并在删除请求后额外保留 30 天（可逆的软删除）。

税务和会计数据：对于巴西用户，最长保留 5 年（税务义务）；在其他司法管辖区则按适用的法定期限保留。

安全日志：最长 12 个月，依据巴西《互联网民事框架法》第 13 条和第 15 条及欧盟相应规定。

Voyspark AI 对话：最长 18 个月，此后进行匿名化处理，仅以汇总形式用于统计分析。

已发布内容（Trip Diaries、评价）：在用户删除之前将保持可见，删除后备份副本最长保留 90 天。

根据 LGPD art. 18，您有权：(a) 确认处理活动是否存在；(b) 访问您的数据；(c) 更正不完整、不准确或过时的数据；(d) 匿名化、封锁或删除不必要的数据；(e) 将数据可携至另一供应商；(f) 删除基于同意而处理的数据；(g) 获知共享情况；(h) 撤回同意。

如需行使任何权利，请向 DPO 发送请求至 dpo@voyspark.com，并提供充分的身份识别信息。我们将在 15 个日历日内答复。

根据 GDPR，您有权：访问（art. 15）、更正（art. 16）、删除/被遗忘权（art. 17）、限制处理（art. 18）、可携性（art. 20）、反对（art. 21），以及不受具有重大影响的完全自动化决策约束的权利（art. 22）。

您还有权向监管机构提起投诉，例如 CNIL（法国）、AEPD（西班牙）、Garante（意大利）、BfDI（德国）、CNPD（葡萄牙）或 ICO（英国）。

加利福尼亚州居民享有 CCPA/CPRA 所赋予的权利：知悉所收集数据的类别和具体要素、来源及用途；请求删除；选择退出数据的出售或共享（Voyspark 不出售数据）；更正不准确的数据；限制敏感个人信息的使用。

如需行使这些权利，请发送请求至 dpo@voyspark.com，并注明“CCPA Request”字样。我们不会歧视行使其权利的用户。

Voyspark 不面向 13 岁以下（巴西）或 16 岁以下（欧盟，当地法定年龄更低者除外）的儿童。我们不会在知情的情况下收集此类主体的数据。

若我们发现不当收集，将及时删除相关数据。发现未成年人数据被处理的父母或监护人可发送至 dpo@voyspark.com 请求立即删除。

运营 Voyspark 涉及国际数据传输（例如传输至 Stripe、Vercel、Cloudflare、Supabase、Anthropic 和 OpenAI 等处理者位于美国和欧盟的服务器）。

这些传输依据欧盟委员会标准合同条款（SCCs）以及 LGPD art. 33 和 GDPR arts. 44–49 项下的其他保障措施进行。

我们采取与风险相称的技术和组织措施：传输中加密（TLS 1.2+）、敏感数据的静态加密、密码哈希（bcrypt/argon2）、最小权限访问控制、环境隔离、审计日志、持续监控及定期审查。

没有任何系统能够完全免于风险。若发生相关事件，我们将在法定期限内（GDPR 下最长 72 小时）通知 ANPD（巴西）和/或欧洲主管机构，并在适用时通知受影响的主体。

本政策可能会更新，以反映监管变化、新功能或新合作伙伴。此前版本将存档，并可通过 dpo@voyspark.com 索取。

重大更新将提前 15 天通过电子邮件和/或平台上的显著通知告知。

数据保护官：dpo@voyspark.com。法律联系方式：legal@voyspark.com。

监管机构：ANPD（巴西，anpd.gov.br）、CNIL（法国，cnil.fr）、AEPD（西班牙，aepd.es）、Garante（意大利，garanteprivacy.it）、BfDI（德国，bfdi.bund.de）、CNPD（葡萄牙，cnpd.pt）、ICO（英国，ico.org.uk）以及 California Privacy Protection Agency（cppa.ca.gov）。