隐私政策

01

我们是谁

此处所述数据的数据控制者是 TDACRM SOLUTIONS SRL，一家在罗马尼亚注册的公司。其注册地址和公司编号，连同可以联系到我们的地址，列在本页底部。

凡与数据有关的事，只有一条联系途径：就是那个地址。写信给它，询问我们持有什么、要求更正某项内容，或要求删除。我们用英语、法语或意大利语回复，在收到请求后一个月内答复，请求简单时会更快。

02

数据控制者还是数据处理者——我们在什么时候是哪一个

本政策中贯穿着两种角色，把它们混为一谈正是这类文件通常出错的地方。对于经过本应用的往来通信——你的员工写的邮件、回来的回复、附件——客户是数据控制者，我们是数据处理者。我们持有这些内容，是因为客户的门户要求应用发送并收取它们，我们按客户的指示行事。

对于属于我们自己经营的部分——账户、订阅、支持请求、审计日志、服务的安全——我们自己是数据控制者。本政策中下文列出的法律依据，在这一部分是我们的依据，而不是客户的。

本政策与许可协议一并阅读，载明了处理的标的与期限、处理的性质与目的、数据的类型和所涉人员的类别，以及我们的义务——也就是《通用数据保护条例》(GDPR) 第 28 条要求数据控制者与数据处理者以书面形式约定的事项。如果贵组织需要以自己的文本形式确定这些条款，请写信给我们，我们会签署一份数据处理协议。

03

应用从你的邮箱里取走什么

应用为每个门户连接一个邮箱：用 SMTP 发送，用 IMAP 读取。它在技术上本可以看到那个邮箱里的一切。它没有这么做，而它的构建方式正是我们敢这么说的原因——每一轮轮询都只向你的服务器索取邮件信头：谁写的、主题是什么、它回复的是哪一封。

只有当这些信头证明该邮件属于从某笔交易或潜在客户发起的会话时，才会下载正文。对于这样一段会话，我们存储的是：

• 从应用发出的邮件：收件人、主题、正文和附件——也就是你同事写的那封邮件。
• 匹配到某段会话的回复：发件人、主题、正文和附件——也就是你要的那个答复。
• 路由信头：Message-ID、In-Reply-To 和 References。没有它们，回复就无法关联回正确的记录。
• 对于邮箱中其余的每一封邮件：该邮件的技术标识符、它在邮箱中的编号，以及我们看到它经过的时刻。不留发件人，不留主题，不留正文，不留副本。这些记录行会在三十天后自动失效。

管理员手动附加游离回复的那个界面，会在页面打开的那一刻实时向你的服务器索取这些信头。如果管理员把该邮件附上了，它才在那一刻到达我们这里。如果没有，我们从来就没有持有过它。

04

我们从不收集什么

以下每一项，从应用现在所处的位置都很容易收集，而我们有意不收集。

• 你邮箱里其余的邮件——发票、内部邮件、私人往来。它们留在你的服务器上。
• 你的 Bitrix24 联系人、你的日历，以及你门户上没有人附到邮件里的文件。
• 行为分析、跨站跟踪和用户画像。应用发出的邮件里没有跟踪像素，没有打开跟踪，也没有点击跟踪。
• 特殊类别的数据。应用中没有任何地方索取它们。如果它们出现在某人写的邮件里，会像该邮件的其余内容一样被存储，也一样被删除。

05

你设置了什么，我们记录了什么

我们持有的其余内容，就是你输入的配置，以及对这些配置做了什么的记录。

• 邮箱连接：SMTP 和 IMAP 的主机与端口、用户名和密码，以及邮件的发件地址。
• 你的供应商列表：姓名、公司、地址、电话和备注。这些由你输入；我们绝不从别处补充它。
• 模板、签名和长期生效的密送规则。
• 每位用户选择的界面语言。
• 审计日志：哪个 Bitrix24 用户做了什么、来自哪个 IP 地址、什么时候。它回答的是主管迟早会问的那个问题——是谁给那家供应商写的信。
• Bitrix24 授权令牌，好让应用能把内容写进记录的时间线，并把文件上传到你的门户。

06

支持请求与计费

应用内的支持表单会把你的请求加密存进我们的数据库，并且一直留在那里：没有任何支持请求离开我们的服务器。为了让人能注意到它，应用会向我们自己的支持邮箱发一条简短通知——这条通知只带两个数字：请求本身的编号和你门户的内部编号。没有姓名，没有地址，没有主题，没有内容。在 2026 年 8 月 7 日之前，这条通知改发往一个外部聊天服务，并带着整份请求的全文。现在它不再发往任何外部聊天服务，也不再带上请求的正文。

付款由 Stripe 收取。银行卡信息从不到达我们的服务器：结账页面和账单门户都属于 Stripe，你在那里填写账单信息。关于这一切，我们持有的是：

• 支持请求本身：你的姓名、回信地址、主题和内容。这四项都是静态加密的，其中任何一项都不会发送到我们服务器之外。
• 可选的诊断信息，只有你勾选了才会发送：你的门户域名、应用版本、你的邮箱主机与端口，以及你门户最近二十封已发邮件的结果和日期。没有主题，没有正文，没有收件人地址，没有邮箱用户名或密码。
• Stripe 的客户标识符和订阅标识符、订阅状态，以及你已付费期间的结束日期。关于付款的其他内容一概不留。
• 当某个门户的邮箱连接连续三次失败时，发往我们同一个邮箱的一条运维告警。它带有该门户的内部编号和连接失败的原因，其中任何主机名、邮箱地址或 IP 地址在发送前都会被遮蔽。不含任何往来通信，也不含任何指明某个人或某个邮箱的内容。

07

什么是静态加密的，什么不是

数据库里并非所有内容都加密，声称都加密的政策写起来更省事，但那不是真的。以下字段使用 AES-256-GCM 静态加密：

• 邮件正文——纯文本、HTML 和引用部分。
• 邮件主题，发出时和收回时都加密。
• 邮件内部的发件人地址和收件人地址。
• 你 SMTP 和 IMAP 连接的用户名和密码。
• 支持请求的姓名、回信地址、主题和内容。

按原样存储、未加密的有：你自己供应商列表中的姓名和公司、你的模板和签名文本、会话的标签、SMTP 和 IMAP 的主机与端口以及配置的发件地址，还有审计日志——操作、用户、IP 地址。字段加密密钥和查找密钥是分别派生的，用于搜索的地址以带密钥的哈希建立索引，因此不必解密任何内容就能找到一段会话。

有一处已知的偏差，我们选择公开而不是抹平：当回复来自一个不在你供应商列表中的地址时，那段会话的标签会以明文保留该地址，尽管同一个地址在其他所有地方都是加密的。这是我们打算修复的不一致，不是一项决定。

08

我们为什么处理这些数据，以及依据什么法律依据

在 GDPR 下，每个目的都需要各自的法律依据，一份只列目的而不指明依据的政策只写了一半。我们的依据如下。

• 为客户运行应用：发送邮件、收取回复、存储会话 履行我们与客户之间的合同，第 6(1)(b) 条。至于你的员工去信对象的个人数据，客户是数据控制者并由其选择依据——实践中是客户业务的合法利益，第 6(1)(f) 条。
• 订阅、开票及相关记录 履行合同，第 6(1)(b) 条，以及我们在会计和税务法律下的义务，第 6(1)(c) 条。
• 审计日志、防止滥用、保障服务安全 我们在运营一个能够说明自身行为的服务方面的合法利益，第 6(1)(f) 条。
• 支持请求 履行合同，第 6(1)(b) 条——是你向我们求助的。

我们不以同意作为其中任何一项的依据，所以你没有什么需要撤回。不存在自动化决策，也不存在对任何人产生法律效果的用户画像。

09

还有谁会处理这些数据

这就是全部名单。没有其他人接收你的数据，也不会有人在本页更新之前加入这份名单。

• Hetzner Online GmbH 德国纽伦堡——欧盟 主机托管。应用、数据库和存储的附件运行在向 Hetzner 租用的服务器上。你的数据在物理上就位于这里。
• Stripe 爱尔兰和美国 支付。结账、账单门户、发票以及订阅本身。你的账单信息由你直接提供给 Stripe；我们发给 Stripe 的只有你选择的方案、你门户的标识符和你的界面语言。
• Cloudflare 美国，服务器遍布全球 位于我们域名之前的网络层。它终结加密连接并过滤流量，因此对本网站和应用的每一次请求，它都会看到连接数据——IP 地址、浏览器、所请求的地址。
• Zoho 欧洲数据中心 我们自己的邮箱。你发往本页底部那个地址的邮件，以及我们的回复，都由 Zoho 的邮件服务处理。应用发给我们的两条内部通知也是——一条是新的支持请求，一条是连续三次失败的邮箱连接——它们只带内部编号，失败告警另带一条经过遮蔽的原因，不含任何指明某个人的内容。
• Bitrix24 你自己的门户 这不是我们把你的数据交出去的第三方，而是你自己的系统。凭你在安装时授予的令牌，应用把邮件写进记录的时间线、把附件上传到你门户的 Drive，并发送聊天通知。它在那里写下的是你自己的往来通信，在你自己的门户里，受你自己与 Bitrix24 之间的协议约束。

那份名单上没有广告网络，没有分析服务商，没有数据经纪商，也没有 AI 供应商，因为产品里就没有这些东西。我们不用你的往来通信训练模型，也不会把它交给任何会这么做的人。

10

数据离开欧盟

你的数据存放在德国，位于欧盟境内，所以托管环节完全不涉及向第三国的传输。上面两家数据处理者情况不同，点名说清楚比那句关于「适当保障措施」的套话更有用。

Stripe 和 Cloudflare 都在欧洲经济区之外处理数据。两者都依据欧盟委员会的标准合同条款，该条款构成其自身数据处理条款的一部分；它们看到的东西很有限：在 Stripe 是你输入的账单信息，在 Cloudflare 是连接数据。

其余的都不外流。我们自己的邮箱位于 Zoho 的欧洲数据中心，所以我们读的支持请求和应用发给我们的内部通知同样留在欧洲经济区内。在 2026 年 8 月 7 日之前，这些通知发往区外的一个聊天服务；现在不再如此，也没有第三个目的地需要点名。如果你仍然不愿意使用应用内的表单，本页底部的邮箱地址联系到的是同一批人。

11

我们保留多久

不同的东西存活的时间不同，老实说，其中大部分会一直存在到你卸载为止。

• 会话、邮件和附件：直到你卸载应用，或者如果你开启了保留期，则到保留期结束为止。
• 不属于任何会话的邮件登记表：三十天，自动清除。
• 支持请求和审计日志：目前没有自动过期。它们会在你卸载时与其他一切一并删除。
• Stripe 持有的账单记录：由 Stripe 按其自身规则和适用于它的会计法律保留，与我们无关。

除非你自己要求，这里不会有东西因为到期而被删除：邮件内容一直保存到你卸载应用为止。保留期是改变这一点的可选设置——期限由你选定，建议的是九十天，期限一到，我们这边的邮件内容副本就会被删除。它缩短的是内容保存的时长；它绝不会触碰将来一封回复用来找到自己会话所需的那一小部分元数据。

12

删除

卸载应用会删除属于你门户的一切：会话、邮件、磁盘上的附件文件、供应商、模板、签名、密送规则、邮箱凭据和授权令牌。这在数据库中通过级联完成，不需要谁去记得做，也不留残余副本。

有两样东西不受影响，而且都是你的。应用写进你 Bitrix24 时间线和门户 Drive 的一切都留在你的 Bitrix24 里——我们不会伸手进你的门户去删除它们。另外，卸载不会取消你的 Stripe 订阅：请在账单门户里取消，否则它会续订。

可选的保留期会在你选定的期限之后，从我们的数据库中删除邮件正文和附件文件。它只在我们能够证明完全相同的内容已经到达你的 Bitrix24 时才删除内容——那份证明是一个 HTML 文件，里面装着那封邮件的正文，已上传到你门户的 Bitrix24 Drive，并由 Bitrix24 用文件标识符和文件大小确认回来。缺少这项证明的邮件永远不会被删除，无论它有多旧，因为对那封邮件而言，我们这份副本可能是仅存的一份。

13

你的权利

在我们处理你个人数据的范围内，GDPR 赋予你以下权利，行使这些权利不收取任何费用：

• 了解我们持有你哪些数据，并获得一份副本。
• 更正其中错误的内容。
• 在我们没有保留义务的情况下删除这些数据。
• 在争议解决期间限制处理。
• 以可携带的形式取回你提供给我们的数据，并在技术上可行时要求转交他处。
• 对我们以合法利益为依据的处理提出反对。

在我们是数据处理者而非数据控制者的情形下——也就是与客户门户内往来通信有关的一切——请求应当向该客户提出，因为他才是这部分数据的数据控制者。如果请求先到了我们这里，我们会转交并协助他们作答，而不是自己答复：决定披露别人记录里的什么内容，不该由我们来做。

如果你认为我们处理你的数据有不当之处，请先告诉我们，因为我们更愿意把它改好。你也有权向罗马尼亚的监管机构投诉——个人数据处理国家监督管理局（ANSPDCP），网址 dataprotection.ro——或者向你居住或工作所在国的监管机构投诉。

14

它是如何被保护的

应用中的每一次查询都限定在单个门户范围内，因此无法通过一个客户的会话访问到另一个客户的数据。你的浏览器、你的 Bitrix24 门户与我们服务器之间的流量在传输中加密。生产系统的访问权限仅限于运营该服务的人员。上面列出的字段是静态加密的；没有列出的则不是。

我们不主张任何认证、任何外部审计或任何合规标准，因为我们一项都没有。如果发生的数据泄露影响到你的数据，我们会不无故拖延地告知——作为数据处理者告知客户，并在法律要求时告知监管机构。

15

我们不做的事

其中有些是显而易见的。我们仍然写出来，因为恰恰是这些事在别处往往被悄悄地说成假话。

• 我们不出售你的数据，不出租它，也不把它分享给上面点名的数据处理者以外的任何人。
• 我们不用你的往来通信训练机器学习模型，也不会把它交给任何会这么做的人。
• 我们不做广告、不做用户画像、不做跨站跟踪。
• 本网站不设置任何 Cookie，也不带任何分析工具。你在这里做的任何事都不会被统计。
• 应用设置一个名为 ma_session 的 Cookie：严格必要、短期有效，用于知道 Bitrix24 框架内是哪个门户、哪位用户在查看。除此之外没有别的 Cookie，也没有跟踪器。

16

本政策的变更

本页顶部的日期只在正文变更时才会改变，除此之外不会改变。它是源代码中紧挨着正文保存的一个常量，所以本页无法声称一次并不存在的更新。

如果某项变更实质性影响我们处理你数据的方式——新增数据处理者、新增目的、延长保留期——我们会在本页说明，并在其生效之前说清楚改了什么。