1. 概述
本隐私政策适用于 dragonboathub.de 网站以及适用于 iOS 和 Android 的「DragonBoat Hub」移动应用（以下合称「本服务」）。本政策说明我们收集哪些个人数据、如何使用这些数据，以及您享有哪些权利。
个人数据是指与已识别或可识别的自然人有关的一切信息，例如姓名、电子邮箱地址或使用数据。
2. 数据控制者
在本服务范围内负责数据处理的是：
Maximilian Flechtner
Medienagentur Maximilian Flechtner
Leppiner Dorfstraße 60
39619 Arendsee，德国电话：+49 176 41766223
电子邮箱：flechtner@robocitrus.com
3. 我们收集哪些数据？
您主动提供给我们的数据
当您使用本服务时，我们会收集您主动提供的数据：
- 注册时的电子邮箱地址和密码
- 姓名和个人资料信息
- 队伍和俱乐部数据（桨手、座位安排、活动）
- 您与我们联系时的沟通内容
自动收集的数据（网站）
当您访问我们的网站时，我们的服务器会自动记录：
- IP 地址
- 浏览器类型和版本
- 操作系统
- 来源网址
- 访问时间
这些数据不会与其他来源合并，仅用于网站的技术运行。
自动收集的数据（应用）
在使用应用时，可能会自动收集以下数据：
- 设备类型、操作系统和应用版本
- 崩溃报告和性能数据
- 使用统计（已匿名化）
开发者 API 日志
DragonBoat Hub 提供公开 API，俱乐部可借此将自有软件接入赛事的比赛日程。访问通过用户在应用内自行创建的个人 API 密钥进行。
对于经该接口发出的每次请求，我们记录：所用密钥、对应的用户 ID、调用的路径与方法、响应状态、处理耗时，以及发起请求方软件的 IP 地址。我们不存储请求内容。
法律依据是我们在运行安全与防止滥用方面的正当利益（GDPR 第 6 条第 1 款 f 项）：密钥刻意与个人绑定，以便滥用行为可以被追溯。这些日志将在 90 天后自动删除。
健康与健身数据
如果您启用可选的健康与健身功能，应用可在获得您明确同意的情况下访问 Apple Health 或 Google Fit 中的数据。这些数据仅在您的设备本地处理，不会传输至我们的服务器。
4. 处理目的与法律依据
履行合同（GDPR 第 6 条第 1 款 b 项）
提供和运营本服务、管理用户账户、处理订阅事宜。
同意（GDPR 第 6 条第 1 款 a 项）
可选的健康数据访问、非技术性 Cookie（如使用）。
正当利益（GDPR 第 6 条第 1 款 f 项）
网站和应用的技术运行与安全、服务器日志文件、故障排除。
5. 通过网页表单提交活动
通过本网站上的公开提交表单，主办方可以提交龙舟活动，经编辑审核后将显示在公开活动日历中。提交无需注册账户。
我们收集哪些数据？
您在表单中主要提交以下信息：
- 活动名称
- 日期、时间和地点（含地址）
- 活动描述以及可选的联系方式和链接（网站、电话、主办方邮箱）
- 可选上传的文件（例如竞赛规程、图片）
- 作为提交人的联系邮箱地址——用于问询、状态通知以及必要时撤回提交
此外，我们还会在技术层面处理您提交时的 IP 地址以及反垃圾信号（例如填写时长、蜜罐字段）。
法律依据：正当利益（GDPR 第 6 条第 1 款 f 项）
我们处理您的信息用于对提交内容进行编辑审核、在有疑问时与您联系，以及防范滥用行为（垃圾信息、虚假活动、违法内容）。若无此项处理，开放式提交表单将无法合理运营。
存储与加密
- 您的联系邮箱地址仅以加密形式存储（AES-256-GCM，「静态加密」）。该地址在任何时候都不会以明文形式持久保存。
- 您的 IP 地址会使用服务器端盐值进行哈希处理（SHA-256），绝不以明文形式存储。因此按照现有技术水平无法反推出原始 IP 地址。
- 活动内容本身（名称、地点、日期等）在通过审核后将公开展示——这些内容是您有意提交以供发布的。
存储期限
- 已通过审核的提交： 作为提交人的联系数据最迟在提交后 90 天内删除。已通过审核的活动将继续在日历中显示——与您的个人数据相分离。
- 被拒绝的提交： 连同所有已上传文件，最迟在审核决定后 30 天内完全删除。
- 已撤回的提交： 如果您通过撤回链接撤回提交，所有相关数据和文件将在 1 小时内完全删除。
删除由每小时执行一次的后台进程自动完成（「EventSubmissionPurgeTask」）。
您对已提交数据享有的权利
您可随时要求获取以您的电子邮箱地址存储的提交记录的信息、申请删除，或撤回已作出的提交。为此请联系 flechtner@robocitrus.com。由于我们仅以哈希值和加密形式存储您的邮箱地址，我们必须通过该地址来匹配您的请求。
6. 托管与基础设施
网站托管
我们的网站托管于 Hetzner Online GmbH，Industriestr. 25，91710 Gunzenhausen，德国。数据处理在欧盟境内的服务器上进行。更多信息：Hetzner 的隐私政策。
应用后端
应用后端在欧盟境内的服务器上运行。用户数据以加密方式传输（TLS）并存储于 PostgreSQL 数据库中。
应用商店
本应用通过 Apple App Store 和 Google Play Store 发行。下载及应用内购买时，另适用 Apple 和 Google 的隐私政策。
7. 向第三方披露
原则上我们不会将您的个人数据提供给第三方，除非：
- 您已明确表示同意
- 该披露为履行合同所必需（例如通过应用商店处理付款）
- 存在法定义务
- 该披露用于主张、行使或抗辩法律请求
8. 存储期限
我们仅在相应处理目的所必需的期间内，或在存在法定保存期限的情况下，存储您的数据。
- 用户账户： 直至用户删除账户
- 服务器日志： 最长 30 天
- 账务数据： 10 年（法定保存期限）
在您的账户被删除后，您的数据将在 30 天内从我们的活动系统中完全移除。备份最迟在 90 天后被覆盖。
9. 您的权利
依据 GDPR，您享有以下权利：
- 访问权： 您可要求了解我们所存储的关于您的数据。
- 更正权： 您可要求更正不准确的数据。
- 删除权： 在不存在法定保存义务的前提下，您可要求删除您的数据。
- 限制处理权： 在特定条件下，您可要求限制处理。
- 数据可携权： 您可以常用格式获取您的数据，或要求将其传输给其他服务提供者。
- 反对权： 您可反对基于正当利益对您的数据进行的处理。
- 撤回权： 您可随时撤回已给予的同意，撤回自未来生效。
如需行使您的权利，请联系 flechtner@robocitrus.com。此外，您有权向主管数据保护监管机构提出申诉。
10. 数据安全
我们采取技术和组织措施，保护您的数据免遭丢失、滥用和未经授权的访问。这些措施包括：
- 加密数据传输（TLS/SSL）
- 敏感数据加密存储
- 定期安全更新
- 访问限制与身份验证
我们提醒您注意，互联网上的数据传输（例如通过电子邮件）可能存在安全漏洞。在技术上无法实现对第三方访问的完全防护。
11. 未成年人
本服务不面向 16 周岁以下人士。我们不会在知情的情况下收集 16 周岁以下儿童的个人数据。如果我们获悉 16 周岁以下的儿童提交了个人数据，我们将立即予以删除。
12. 本隐私政策的变更
我们保留在必要时调整本隐私政策的权利，例如在推出新功能时或因法律要求变更时。您始终可在本页面找到最新版本。发生重大变更时，我们将通过电子邮件或应用通知您。