隐私政策

数据控制者

ARTIO Mining GmbH，Chapfstrasse 58, 8625 Gossau ZH, Switzerland，UID CHE-443.857.465，电子邮箱：info@holofoilx.com。本政策涵盖根据瑞士《联邦数据保护法》（FADP）以及在适用情况下根据欧盟《通用数据保护条例》（GDPR）进行的个人数据处理。

我们处理的数据

账号数据（姓名、电子邮件、密码哈希、语言、货币、你接受条款的时间和版本）、你输入的收藏数据（卡牌、买入与卖出价格、备注、存放位置、上传的照片和凭据）、扫描照片（关联至你的账号，未匿名化）、使用数据（包含 IP 地址和设备的登录记录、扫描记录、预警）、账单数据（由 Stripe 处理；我们仅存储发票元数据）以及客服支持消息。我们还会处理你在应用内的列表和设置：关注列表、愿望单（包含目标价格）、卡组列表（包含粘贴的文本）、你为交换列表保留的副本数量、你的评级提交记录（评级公司、服务、提交编号、各步骤带有日期的状态、费用、物流单号、备注、可选的提醒，以及每张卡牌的结果、评分与证书编号），以及你是否在控制面板中隐藏了起始检查清单——并且仅在你开启时，处理推送通知（你的设备在推送服务处的地址及其密钥）、每周电子邮件摘要、你的公开收藏资料（个人识别名、显示名称、你分享的内容）及其在交换板块中的参与情况。关于公开资料的举报将作为客服支持请求处理。

目的与法律依据

提供服务和你的账号（合同履行），安全与防范滥用（合法利益），关于服务使用的非指向个人的汇总统计（合法利益），账单及法定留存义务（法律义务），可选的产品电子邮件以及为改进识别而可选保留并使用扫描照片（同意，可随时撤回）。发布你的收藏资料、其在交换板块中的参与以及每周电子邮件摘要（同意，可随时通过关闭相应功能撤回）。保留原个人识别名及处理关于公开资料的举报（合法利益：防止冒充和防范滥用内容）。

受托处理者与境外传输

Web 应用托管：Vercel Inc.（美国），服务器函数位于法兰克福（德国），通过 Vercel 全球网络进行分发。数据库：Databricks, Inc.（美国），Neon, LLC（Neon 服务）的母公司，数据中心位于法兰克福（德国）。后台处理与对象存储（照片、收据、备份副本）：Railway Corporation（美国），数据中心位于阿姆斯特丹（荷兰）。电子邮件发送：Hostpoint AG（瑞士）。AI 图像分析，仅在启用 AI 识别且仅针对你发起的扫描、评级检查以及从照片读取球星卡时：Google Cloud EMEA Limited（爱尔兰）并转接至 Google LLC（美国），Gemini API 服务；一旦启用后，还包括 Anthropic Ireland, Limited（爱尔兰）并转接至 Anthropic PBC（美国）。对于扫描，照片还可转换为数字图像指纹，以便与卡牌目录进行比对。我们在其商业条款下将这两家提供商作为付费服务使用：它们不会将图像用于训练或改进其模型。Google 仅在有限期限内记录请求，且纯粹为了检测滥用行为，并可能会在其设有设施的其他国家/地区临时处理这些请求。支付（仅在提供付费方案后）：Stripe Payments Europe, Limited（爱尔兰），并转接至 Stripe, LLC（美国）。Stripe 代表我们处理支付数据；对于预防欺诈、法定义务检查（例如身份验证与反洗钱）以及与银行和支付提供商的合作，Stripe 自行承担责任。

通过照片读取体育卡（“体育卡”页面，仅在你发起时）：正面照片以及（如果你愿意）背面照片将发送给读取卡牌详情的 AI 提供商——Google（Gemini API，仅作为付费服务使用），若该服务不可用，则发送给 Anthropic（Claude）。在此之前，我们会移除照片的元数据（EXIF，例如拍摄地点）并将其缩小。照片仅在内存中处理，随后即被丢弃：我们不存储照片，也不会创建扫描记录。结果仅用于预填表单；在你检查并保存之前不会保存任何内容。每次读取均计入你每月扫描配额中的一次扫描。

在 CardSight AI 目录中搜索体育卡并显示其市场价值（“体育卡”页面及已关联体育卡的卡牌页面，仅在你搜索或打开页面时）：你的搜索详情（例如球员姓名、年份、制造商、产品、卡号）和关联卡牌的 ID 将发送给 CardSight AI（美国，cardsight.ai），由其返回匹配的卡牌和售价。不会发送任何照片，我们也不使用 CardSight 的图像识别功能。我们不会发送你的账号或收藏的任何详情；CardSight 从我们的服务器接收请求，而非从你的浏览器。我们仅在你的体育卡中存储卡牌的 ID；搜索结果和价格最多缓存 24 小时。

卡牌图片直接从数据提供商（Scryfall、TCGdex、Lorcast）的服务器加载，因此对方会接收到你的 IP 地址和浏览器详细信息。这也适用于首页上的示例卡牌。推送通知（仅在你开启时）通过你的浏览器厂商的推送服务（例如 Google、Mozilla、Apple、Microsoft）进行传输；通知的内容（标题、正文和链接）经过加密传输，推送服务无法读取。

接收方位于瑞士、欧盟和美国。向美国的传输基于《瑞士-美国数据隐私框架》（Swiss-U.S. Data Privacy Framework），Vercel Inc.、Databricks, Inc.（代表 Neon, LLC）、Railway Corporation、Google LLC 以及 Stripe, LLC 均已获得该框架认证；此外还基于经瑞士联邦数据保护与信息专员（FDPIC）认可并针对瑞士做出调整的欧盟标准合同条款；向 Anthropic 的传输基于这些标准合同条款。

数据留存

账号和收藏数据：直到你删除账号为止。扫描照片：扫描后 90 天；经你同意最长 24 个月。安全日志（包含 IP 地址和设备的登录记录）：12 个月，账号删除后亦同。错误日志：90 天。过期的会话：持续删除。发票：10 年（《瑞士债务法典》第 958f 条）。保留的个人资料用户名：用户名更改或移除后 180 天；账号删除后，仅用户名本身保留至到期，不与你的账号保留任何关联。支持请求和个人资料举报：请求处理完毕后 2 年（从最后一条消息或状态变更算起），随后自动删除；账号删除时，与你账号的关联会被移除，但电子邮件地址和请求内容将保留至该期限结束。愿望单、卡组列表、评级送件和设置：直到你将其删除或删除你的账号为止。

你的权利

你可以查阅、更正、导出（设置 → 隐私）和删除（设置 → 隐私）你的数据，反对处理以及撤回同意。你也可以向 FDPIC 或当地监管机构提出申诉。

安全性

加密传输（TLS）、哈希密码、可选的双重认证、API 密钥的加密存储、面向员工的基于角色的访问权限控制，以及安全相关操作的审计日志。

推广联盟链接与服务商链接

在卡牌、卡组系列、收藏、关注列表和评级页面上，我们会展示前往 eBay（搜索结果与商品列表）以及评级公司（PSA、CGC、Beckett、SGC、TAG）网站的链接。点击后会在新标签页中打开相应服务商的网站。此后，该服务商将对你的数据处理承担责任：eBay 可能会根据 eBay 或相应服务商的隐私政策，通过 Cookie 和类似技术记录此次点击和你的访问。

一旦 HoloFoilX 加入 eBay Partner Network，eBay 链接即为联盟链接，并标注为“广告 · 联盟链接”。若你在点击后于 eBay 上购买，HoloFoilX 可能会获得佣金；你所支付的价格不会改变。该链接随后会包含我们的营销活动 ID 和展示位置的标识符（例如“卡牌页面”），但不包含有关你个人、账号或收藏的任何信息。前往评级公司的链接不是联盟链接；我们与这些公司不存在合作关系。

点击统计：当你点击这些链接之一时，你的浏览器会向 HoloFoilX 发送简短通知。我们以此统计每天从哪类页面点击了哪个目标（例如 ebay.ch 或评级公司）的次数。仅存储计数值——不含用户 ID、IP 地址、卡牌信息和 Cookie；正如每次页面请求一样，我们的托管服务商仅出于技术目的处理 IP 地址。计数器将在 400 天后删除。法律依据（在适用 GDPR 的情况下）：我们在衡量链接使用情况方面的合法利益（《通用数据保护条例》（GDPR）第 6 条第 1 款第 f 项）。

Cookie 与浏览器存储

HoloFoilX 仅设置自身的第一方 Cookie：无第三方 Cookie、无分析或广告 Cookie，且不进行追踪。下列 Cookie 和浏览器存储属于技术所必需，或用于保存你自行选择的设置。它们不用于广告，也不会传递给第三方，因此我们不征求同意。在 www.holofoilx.com 上，登录 Cookie 的名称还以“__Secure-”开头（仅通过 HTTPS 传输）。

登录（技术必需；仅在登录后设置，脚本无法读取，SameSite=Lax）：“holofoilx.session_token”保持你的登录状态——14 天，在使用该服务期间每日顺延；若未勾选“保持登录状态”，则仅保留至关闭浏览器为止。“holofoilx.session_data”保存会话详情的签名副本，以避免每个页面都必须查询数据库——60 秒。“holofoilx.dont_remember”记录你未选择“保持登录状态”——直至你关闭浏览器。

双重认证登录（技术必需，仅在你启用后生效）：“holofoilx.two_factor”关联登录的两个步骤——10 分钟。“holofoilx.trust_device”仅在你选择信任该设备 30 天时设置：在此设备上我们 30 天内不再要求输入验证码。

技术支持查看账号（技术必需，仅限具有管理员权限的员工）：“holofoilx.admin_session”在管理员查看用户账号以提供协助时保留员工自身的会话。该查看最长在 30 分钟后结束，并在结束时删除该 Cookie。

你选择的设置（用于界面显示）：“holofoilx-locale”在语言与你浏览器的语言设置不同或在你切换语言时保存该语言——1 年。“holofoilx.theme”存储浅色、深色或“跟随系统”——1 年。“holofoilx.intro”以数值“1”记录在本次浏览器会话中已展示过首页的 Logo 开场动画——直至你关闭浏览器。

浏览器存储：在 sessionStorage 中（关闭标签页时删除），“holofoilx.scanMode”记录你选择的是单张卡牌还是批量扫描，“holofoilx.batchScan.v1”保存正在进行的批量扫描列表及预览缩略图（最大 160 像素），以便重新加载页面时不会丢失；照片本身不作存储，且该列表一旦添加到收藏或被删除即行清空。在 localStorage 中（保留直至你在浏览器中清除），“holofoilx.scanCollection”记录你最近一次直接从扫描仪添加卡牌到的收藏，“holofoilx.scanCamera”记录你在扫描仪中选择的摄像头（由浏览器分配的设备 ID）。这些条目保留在你的设备上，不会发送给我们。你使用放大镜查看的全分辨率照片仅保留在浏览器的内存中；与以往一样，我们仅接收缩小后的副本。

特效、震动与视图（此设备上的设置）：在 localStorage 中，“holofoilx.haptics”会记录值为“off”，表示你在设置 → 外观下关闭了震动——直到你重新开启。“holofoilx.setSeals”存储已在此设备上点亮“Set complete”印章的卡组系列 ID（最多 400 个），使其仅在首次点亮；若超过 400 个，最早的记录将被移除。“holofoilx.collection.columns”存储你在收藏表格中显示的列。在 sessionStorage 中，“holofoilx.countUp”记录在此会话中投资组合数字是否已累加过一次——直到你关闭该标签页。这些记录仅保留在你的设备上，不会发送给我们。

eBay 连接（技术上必需，仅当你连接你的 eBay 账号时）： “holofoilx.ebay_oauth” 用于防止从 eBay 登录返回时的伪造 —— 最多保留 10 分钟，仅适用于 /api/ebay 下的地址，脚本不可读取。

应用提示与推送通知：在 localStorage 中，“holofoilx.installHint” 记录了你在该设备上打开 HoloFoilX 的天数、其中的最后一天，以及你是否关闭了“将 HoloFoilX 添加到主屏幕”的提示——以便它仅从使用的第二天起显示，并在你关闭后不再出现。“holofoilx.pushOptIn” 以值 “dismissed” 记录你在该设备上关闭了“同时通过推送接收价格预警？”的提议。这两个条目均不包含任何标识符，也不会发送给我们。在来自 Google Play 的 Android 应用中，sessionStorage 中的 “holofoilx.storeApp” 以值 “android” 记录页面正在应用内运行（其中不会出现购买按钮），直到应用关闭；该条目同样不会发送给我们。仅当你启用推送通知时，你的浏览器才会注册一个用于显示通知的 HoloFoilX service worker（它不存储页面内容）；若推送服务更换了你设备的地址，该 service worker 会向 HoloFoilX 报告新地址并移除旧地址。你可以随时在浏览器中清除 Cookie 和浏览器存储空间；此后你将退出登录，并且你的显示设置将被重置。

公开收藏资料

仅当你在设置中开启（“公开资料”）时，我们才会在你选定的用户名下公开发布你收藏的视图，以便你进行分享；默认情况下全部处于关闭状态。公开可见的内容包括：用户名、可选的显示名称（未设置则仅显示用户名，绝不显示你的账号名称）、每张卡牌的名称、编号、卡组系列、游戏所属、目录图片和卡牌持有数量、卡牌总数和卡组系列总数，以及——仅在开启单独开关时——以你的显示货币呈现的预估总价值。绝不可见的内容包括：购买价格、手续费、购买与出售日期、备注、标签、你的收藏名称、存放位置、序列号与证书编号、照片、收据凭据、你的电子邮箱地址以及你自行录入的卡牌（例如体育卡牌）。

资料中的交换列表（独立开关，默认关闭）：持有数量超出你打算保留数量的卡牌将会公开可见，显示其数量、品相（例如 NM）或评级等级（例如 PSA 10），并且——仅在开启价值开关时——显示这些卡牌的总价值。

拥有链接的任何人都可以查看该页面；在内测期间仅限已登录且受邀的人员。个人资料不会列在名录中，也无法被搜索。唯一的例外：如果你开启“可在交易区被发现”，寻找你的某张交换卡牌的会员可以在交换板块中找到你的交换列表（见“交换匹配”）。除非你明确允许，否则搜索引擎会被排除在外（noindex）；若允许，搜索引擎随后可能会收录该页面。由接收者、链接预览服务或搜索引擎生成的副本不受我们控制。

你可以随时关闭或移除该个人资料；随后该页面会立即响应为未知地址。我们将为你保留原个人主页个性域名 180 天，以确保无人可以使用你的旧链接；在此期间仅有你可以重新使用它。在保存时，我们会对照禁止用语列表对个人主页个性域名和显示名称进行检查；被拒绝的名称不会被存储。

举报个人资料：已登录用户可以举报公开的个人资料。我们将该举报（原因、个人资料链接及可选文本）作为举报人的支持请求进行存储；内部团队能够看到涉及哪个账号。若存在违规行为，管理员可以重置该个人资料（关闭、删除显示名称、将个性域名封禁 180 天）；这会记录在审计日志中。

电子邮件每周摘要

仅当你于“通知”中开启此功能时（默认关闭），我们会在周日向你发送一份收藏摘要：价值及较前一周的变化、最大波动、达到目标价格的愿望单卡牌、卡组系列的收集进度、根据方案决定的评级候选卡牌数量，以及如果你开启了“交换匹配新动态”，还会包含你愿望单中卡牌的新交换提议数量（不含个人资料名称）。此摘要仅根据你在我们这里的数据生成；若无新动态，我们不会发送任何内容。

该电子邮件不会从互联网加载任何图片——顶部的标志包含在邮件本身中——并且不包含追踪像素、点击追踪或推广链接；邮件通过我们的电子邮件服务商 Hostpoint AG（瑞士）发送。你可以在设置中、通过每封邮件中的链接（附带确认）或直接在你的电子邮件程序中（一键退订）退订。该链接包含一个有效期为 90 天的已签名令牌，且仅能用于关闭摘要。为确保每周最多收到一封电子邮件，我们会为每周保存一条标记。

在 eBay 上出售

准备刊登：应你的要求，HoloFoilX 会根据你的收藏数据生成标题、描述和建议售价，由你自己复制并粘贴到 eBay。在此过程中不会向 eBay 发送任何内容；一旦你打开 eBay 页面，即适用 eBay 的隐私政策。

连接你的 eBay 账号（可选）：如果你连接你的 eBay 账号，你将在 eBay 登录并允许 HoloFoilX 代表你创建和下架刊登、读取你的销售政策（付款、物流、退货）并获取你的 eBay 用户名。为此，我们会存储你的 eBay 用户 ID 和 eBay 用户名、授予的权限、eBay 的访问令牌（已加密，绝不出现在的浏览器中，也绝不出现在日志中）、其有效期以及你在 eBay 上的物品所在地标识符。

刊登：对于每个刊登，我们会存储你收藏中的位置、eBay 市场、物品编号（SKU）、eBay 的报价与刊登编号、状态、价格、币种、数量和类目。根据你的指示，我们会向 eBay 发送标题、描述、价格、数量、物品属性和卡况，对于评级卡盒（Slab）则包括评级公司、评分和证书编号，你自己的卡牌照片、你选择的销售政策以及你物品所在地的国家、邮编和城市（由 eBay 存储，而非我们）。eBay 作为独立的控制者根据其隐私政策处理这些数据，部分处理也可能发生在瑞士和欧盟境外。

目的和法律依据：根据你的指示创建、显示和下架刊登（履行合同）。出于安全考虑，我们会记录连接、断开连接、刊登和下架的操作日志，其中不包含 eBay 标识符。

删除：设置中的“断开连接”会撤销在 eBay 的访问权限并删除连接。如果你注销你的 HoloFoilX 账号，连接和刊登记录也将被删除。如果 eBay 通知我们你的 eBay 账号已注销，我们也会一并删除该连接和刊登记录。备份中会保留已删除的记录，直至其被覆盖。

交换匹配

交换板块会将你的愿望单与其他会员的公开交换列表进行比对。每次打开时均会重新计算；我们不会为此建立目录。你的愿望单对所有人始终保持不可见：其他人不会得知谁在寻找哪张卡牌。

仅当你在设置（“公开个人资料”）中开启个人资料、个人资料中的交换列表以及“可在交易区被发现”时，你的交换列表才能被找到——这三项默认均为关闭状态。将你的某张交换卡牌加入了愿望单的已登录会员，可以看到你的个人识别名、显示名称，以及每张卡牌的副本数量和品相或评级——仅限你公开资料本就展示的内容，绝不包含价值。如果你关闭其中任何一项，你的交换列表将立即从交换板块中消失。

“交换匹配新动态”（独立开关，默认关闭）：当其他会员新上架你愿望单中的卡牌以供交换时，我们会在应用内通知你；我们不会通过电子邮件或推送发送这些通知。为避免重复通知同一张卡牌，该通知中会存储卡牌信息，并使用仅适用于你通知的校验和来替代提供卡牌会员的账号 ID。

HoloFoilX 不提供站内信功能，也不会向他人透露电子邮件地址；双方请在 HoloFoilX 之外自行约定联系方式。如果某个个人资料看起来可疑，你可以进行举报（参见“举报个人资料”）。法律依据是你的同意；你可以随时关闭该设置以撤回同意。

基于已确认扫描的卡牌识别

仅当你同意 HoloFoilX 保留扫描照片时（单次扫描时同意，或在“设置 → 通知”中全局开启），我们才会在你扫描时额外存储该照片的数字图像指纹（64 位；无法从中复原照片）。如果你确认了扫描结果或将其修正为正确的卡牌，该指纹将有助于在后续扫描中更准确地识别同一张卡牌（包括其他会员的扫描）。其他会员既看不到你的照片，也看不到指纹，亦不会知晓其来自你。

为防止错误确认干扰识别，指纹必须在另一个账号使用相匹配的照片确认了同一张卡牌，或经我们团队审核批准后才会生效。在审核时，团队可以看到照片和卡牌，但无法获知照片来自哪个账号；团队可以随时永久删除某个指纹。

如果你撤回同意、注销账号或照片的保留期限届满（参见“数据留存”），该指纹将不再被使用，并与照片一同删除。法律依据是你的同意。