隐私政策

本平台遵循"最小必要"原则收集个人信息，仅收集为提供服务所必需的数据。

1. 您主动提供的信息：

• 任务评论、知识库文章等您主动发布的文本内容；
• 个人主页的展示信息（组织、技能标签等，可选填写）；
• 心愿单提交、应用提交等表单内容。

2. 通过 OAuth 自动获取的信息：

• GitCode/AtomGit 用户名（作为账号唯一标识）；
• GitCode/AtomGit 头像 URL；
• GitCode/AtomGit 公开的组织（org）信息；
• GitCode/AtomGit 账号的邮箱地址（email，由 OAuth 提供商传递）。

3. 自动记录的服务日志：

• IP 地址（用于安全审计与异常检测）；
• 请求时间、访问路径、User-Agent；
• WebSocket 连接的 Origin（用于跨站劫持防护）。

本平台不收集您的敏感个人信息，包括但不限于：身份证号、 银行账户、生物识别信息、精确定位、通信内容。GitCode OAuth 授权范围仅限于 user_info 基础 scope，不申请私有仓库读取权限。

我们收集的信息仅用于以下目的：

• 身份识别：使用用户名作为账号标识，用于任务认领、积分、徽章归属；
• 服务展示：在公开主页、贡献看板展示您的头像与贡献记录；
• 通知推送：通过站内信 / WebSocket 推送任务状态变更、审核结果；
• 安全防护：记录 IP 与操作日志用于异常行为检测、权限审计、违规追溯；
• 服务改进：聚合统计（去标识化）用于产品功能优化。

本平台不会将您的个人信息出售或共享给任何第三方用于商业营销。

您的个人信息存储于本平台位于中华人民共和国境内的服务器（火山云 ECS）， 不会跨境传输。存储方式与留存期限如下：

• 账号信息（用户名、头像、组织）：长期留存，直至账号注销；
• 用户发布的内容（评论、知识库文章）：长期留存；违规被处置的内容留存不少于 6 个月以备核查；
• 服务日志（IP、访问记录）：留存不少于 6 个月（网络安全法 §21 要求）；
• 安全审计日志（操作记录）：留存不少于 6 个月。

数据库采用 SQLite + WAL 模式，启用基于文件的访问控制；管理接口均需 admin 鉴权（实时查询数据库角色，不信任 JWT 缓存的 role）。

本平台依赖以下第三方服务/组件，各有独立的隐私政策：

• GitCode（gitcode.com）：提供 OAuth 登录认证与代码托管。 OAuth 授权域名为 gitcode.com，本平台仅获取您授权的公开信息 （用户名、头像、组织、邮箱），不接触您的 GitCode 密码。
• CNB 制品仓（cnb.cool）：本平台仅对其做只读索引（GET 请求），不向其推送任何用户数据。
• MQTT Broker（Mosquitto）：用于 Worker 与调度器的内部通信， 不传输用户个人信息。
• Buildbot（自部署）：CI 持续集成引擎，处理构建任务的调度与执行。 可能接收 GitCode webhook 转发的 PR 信息（含 PR 作者用户名），不涉及其他个人信息。
• Nginx（自部署）：反向代理服务器，负责 HTTPS 终结与请求路由。 其访问日志会记录您的 IP 地址、请求时间和路径（按 §3 服务日志策略留存）。

除上述服务外，本平台不集成任何分析、广告、追踪类第三方 SDK。

本平台不使用追踪类 Cookie（如 Google Analytics、Facebook Pixel）。 我们仅使用一个会话凭证：

• Authorization Token (JWT)：登录后由后端签发，存储于浏览器 localStorage，用于 API 鉴权。有效期为 7 天，您可通过退出登录提前清除。

您可随时通过退出登录清除该凭证。WebSocket 连接不依赖 Cookie， 通过 Origin 白名单 + Token 鉴权双重防护。

本平台采取以下技术与管理措施保护您的个人信息：

• 传输加密：全站 HTTPS（TLS 1.2+）；
• 访问控制：管理接口 require_admin 实时查 DB，不信任 JWT claims；
• Origin 校验：WebSocket 握手阶段校验 Origin 白名单，防跨站劫持；
• 审计日志：所有敏感操作（权限变更、内容处置）写入 audit_logs；
• 最小权限：数据库账号按服务隔离，gateway 只读 buildbot DB；
• mTLS：CI Worker 接入需双向证书认证（阶段 5 部署中）。

若发生个人信息泄露安全事件，本平台将在 72 小时内通过站内公告或 AtomGit Issue 通知受影响用户，并向主管部门报告（个人信息保护法 §57 要求）。

依据《个人信息保护法》第四十四条至第五十条，您享有以下权利：

• 知情权与决定权：有权知道本平台如何处理您的信息，并有权限制或拒绝；
• 查阅与复制权：有权查阅本平台持有的您的个人信息，并可申请副本；
• 更正权：个人信息有误时，有权要求更正；
• 删除权：在特定情形下（如停止使用服务），有权要求删除；
• 账号注销权：有权随时注销账号，注销后我们将依法留存必要日志，其余信息予以删除。

行使上述权利请通过文末联系方式向我们提出，我们将在 15 个工作日内答复。

本平台面向开源软件开发者，不针对未满 14 周岁的未成年人提供服务。 若我们发现未满 14 周岁未成年人的个人信息被收集，将主动删除。

本政策可能根据法律法规或业务变化进行修订。重大变更（如新增信息收集类型、 改变使用目的）将在本平台显著位置公告并更新"生效日期"。继续使用即视为接受修订。