隐私保护说明

1. 数据控制者与适用范围

数据控制者是 RunIPS 项目运营方，一个独立、非商业的学生项目。RunIPS 不隶属于、不代表也未获得早稻田大学背书。控制者可通过站内 Contact 页面联系；隐私、访问、更正、导出、反对、限制处理或删除请求均可从该页面提交。

RunIPS 以 GDPR 的核心要求作为所有用户的数据保护基线，并在 GDPR 对某位用户或某项处理具有法律效力时履行其强制要求。本说明不是对任何政府认证或绝对合规状态的宣称。

2. 我们处理的数据

• 账号与认证数据：匿名账号的随机内部 ID、身份记录、会话和登录时间。使用 Google 创建或升级持久账号时，我们会处理 Google 提供的唯一标识、邮箱、邮箱验证状态、Google Workspace 托管域名、登录时间和基础认证资料。Google 也可能在身份记录中提供姓名或头像链接；RunIPS 不会将它们直接用作公开昵称或头像。
• 投稿数据：导师评分、研究压力、六项研究指导评分、是否愿意再次选择、标签、文字评论、学生阶段、导师关系、主要沟通语言、发布时间和修改时间。三个背景项必须由你主动选择，其中可明确选择“不公开”；文字评论可为 0–2000 字。
• 交流中心账号与投稿数据：你选择的唯一公开用户名、公开昵称、头像颜色、加入月份、公开贡献计数和账号标识；以及主题类型、标题、正文、分类、标签、回复、引用关系、状态、已采纳回复、重复主题关联、作者的内部账号关联和相关时间。
• 交互与联系数据：评价投票、主题订阅、站内通知、内容举报、Contact 反馈、可选回复方式、处理状态和相关时间。
• 运行与安全数据：IP 地址、请求路径（不记录查询字符串）、浏览器或设备信息、请求时间、错误和安全事件。语言偏好与登录会话也保存在你的浏览器中。
• 旅行指南查询数据：你主动搜索时，RunIPS 处理出发机场、FUK 或 KKJ 目的地、出发日期、固定的经济舱条件和查询时间。护照签发国、出票方式与行李安排只在浏览器中生成转机筛查，不会发送给航班搜索接口，也不会关联到账号。
• RunIPS 不要求特殊类别个人数据。请勿在评价、主题或回复中提交自己或他人的健康、政治、宗教、生物识别、性生活、精确行程、学号、联系方式、未公开研究、私人聊天原文或其他私人及敏感信息。

3. 目的与 GDPR 合法基础

• 履行服务约定（GDPR 第 6(1)(b) 条）：创建和维护你要求的账号；通过 Google 完成持久账号认证或将当前匿名账号原位升级；保存并展示你选择的公开交流中心资料；保存、公开展示和允许管理你的评价、主题与回复；以及在你发布主题或回复时自动关注该主题并生成站内通知。你可随时在主题页取消关注。没有账号与必要投稿数据，我们无法提供这些功能；评价背景的具体值和文字评论并非必要。
• 合法利益（第 6(1)(f) 条）：根据经 Google 验证的邮箱和 Workspace 托管域名，在服务器端签发 `waseda-verified` 标识，帮助读者识别曾控制早稻田域名 Google 账号的参与者并减少冒充。该标识不证明当前学生、教职员、校友或 IPS 身份；你的邮箱和托管域名不会公开。你可以通过 Contact 提出反对。
• 合法利益（第 6(1)(f) 条）：审核和管理公开内容、连接重复主题、防止重复提交和滥用、调查安全事件、维护备份、排查故障、处理反馈并改进非商业学生指南。我们在开展这些处理前考虑其必要性以及投稿者、回复者、被评价者和其他受影响人员的权利；你可以通过 Contact 提出反对。
• 法律义务（第 6(1)(c) 条）：在适用法律要求时保存或披露必要记录、处理有效法律请求或履行数据保护与安全义务。
• 经请求采取措施（第 6(1)(b) 条）或合法利益（第 6(1)(f) 条）：回复你主动提交的 Contact 请求。可选回复方式只用于该请求。
• 履行你主动请求的旅行搜索（第 6(1)(b) 条）：向航班搜索服务提交最少的路线、日期和舱等条件，返回同日航班、转机组合和指示性票价。RunIPS 无法在不处理这些查询字段的情况下提供实时搜索；护照、出票和行李答案并非该查询所必需。
• 如未来考虑处理来自微信群聊或其他非直接来自当事人的记录，RunIPS 会在开始前另行确定并记录适用的合法基础，进行必要性与权利衡量，并在 GDPR 第 14 条要求时向相关人员提供间接取得数据的透明信息。本说明不表示该导入功能已经启用。

4. 公开展示、匿名边界与自动处理

• 公开评价可能显示评分、是否愿意再次选择、标签、发布时间、你主动公开的背景项和自愿填写的评论；公开视图不包含姓名、邮箱、账号 ID 或内部用户 ID。
• 交流中心的主题标题、正文、分类、标签、状态、回复和时间信息会向全球互联网公开，可被阅读、链接或复制。你的公开用户名、昵称、首字母头像及颜色、加入月份、主题与回复数量和账号标识也会显示在主题、回复或公开个人页面。公开视图不显示邮箱、Google 姓名或头像、OAuth 数据及内部账号 ID；订阅和站内通知只对相关账号和获授权运营人员可见。
• `waseda-verified` 只表示该账号通过 Google 登录时提供了已验证的早稻田域名邮箱，并带有相符的 Google Workspace 托管域名声明。它不表示早稻田大学或 IPS 认可该账号，也不证明持有人目前的在读、任职、校友或其他关系。
• 少数获授权的 RunIPS 运营人员可能为运维、备份、安全调查、审核、举报或权利请求访问内部记录。Contact 反馈只进入私有收件箱。
• 独特经历、时间、研究主题或写作方式仍可能让熟悉情况的人推测作者或第三方。请主动省略可识别细节，不要把交流中心当作私密沟通渠道。任何网络服务都无法承诺绝对安全或绝对不可识别。
• 若未来开展群聊知识整理，原始记录只能在受限的私有暂存区停留经记录的短期审核周期；公开发布只能是经去识别化改写和人工复核的问答，不得公开原聊天、发送者标识或无关个人信息。如改写后仍有可识别风险，将继续按个人数据处理。
• RunIPS 不出售个人数据，不使用广告画像或第三方行为分析，也不进行产生法律或类似重大影响的自动化决策。

5. 接收者、存储地点与跨境传输

应用、PostgreSQL 数据库和认证服务自建部署在新加坡的 Tencent Cloud International 基础设施上；相应基础设施运营实体可能仅在提供计算、网络、安全与支持所需范围内作为处理者接触数据。匿名导师评价以及交流中心主题与回复会向全球互联网公开。

当你选择 Google 登录或升级账号时，浏览器和 RunIPS 认证服务会与 Google 的 OAuth/OpenID Connect 服务通信。Google 会收到完成登录所需的请求、设备与网络信息，并向 RunIPS 返回认证身份数据；Google 对其自身处理适用其隐私政策和条款。RunIPS 不将 Google 头像加载到公开页面。

旅行指南的实时搜索由美国 SerpApi, LLC 提供。RunIPS 后端只向其发送出发机场、FUK 或 KKJ、日期、经济舱设置和 RunIPS 自身的 API 凭证；不转发浏览器 IP、账号 ID、护照、出票或行李答案。SerpApi 代表 RunIPS 查询 Google Flights，并说明搜索参数和结果可能在其 Search Archive 中最多可取回 31 天。点击 Google Flights 或 ITA Matrix 外部链接后，浏览器将直接访问相应第三方，其自身条款与隐私政策适用。

新加坡不在欧洲经济区内。对于受 GDPR 第五章约束的传输，Tencent Cloud International 的现行《Data Processing and Security Agreement》在适用时纳入欧盟委员会 2021/914 号控制者至处理者标准合同条款（SCC，Module 2），并列明安全措施和分处理者安排。可通过本页官方参考查阅。若未来增加其他处理者，我们会先建立适用的传输机制并更新本说明。

航班服务的外发查询按数据最小化设计，不含直接标识符，也不与 RunIPS 账号关联。若某项查询在具体情形下仍构成个人数据并受 GDPR 第五章约束，RunIPS 将在适用的传输保障成立前停止该个人数据传输；不能仅因服务商自称安全或合规而取代所需的法律机制。

6. 保存期限与账号删除

• 账号、私密认证身份、公开交流中心资料与标识、导师评价、交流中心主题与回复、投票和举报保存至你删除账号、单独删除内容或不再需要提供服务；因有效法律义务必须保留的最少记录除外。你发布主题或回复时会自动关注该主题；该关注记录保存至你在主题页取消关注、相关主题被删除或你删除账号。通知只保存至提供和管理该功能不再需要。
• Contact 反馈保存至请求处理完成及合理跟进结束，并按必要性定期复核；不再需要时删除或去标识化。
• 若未来开展群聊知识整理，原始文件和尚未发布的候选内容只会在私有暂存区保留经记录的短期人工审核所需时间，完成或放弃该批处理后删除原始文件。启用前会公布实际审核期限和处理细节。
• 应用访问日志最多保留 14 天。为调查持续中的安全事件或履行法律义务而隔离的最少记录，只保留至该目的完成。
• 旅行指南结果只在服务器内存中缓存最多 10 分钟，不写入 RunIPS 数据库，服务重启时即消失；缓存键只含机场、日期、币种与舱等，不含 IP、账号或护照信息。SerpApi 说明已完成搜索可在其 Search Archive 中最多取回 31 天；其保留适用 SerpApi 自身政策。
• 数据库每天制作受控备份，滚动保留最多 14 天。线上删除立即生效；备份残留在轮换完成后消失，且不会用于恢复已删除账号或重新公开内容。
• 登录用户可在“账号与数据”页面提交自助删除表单。删除会清除认证账号、Google 身份、会话、公开资料与 `waseda-verified` 标识、评价、评价投票、交流中心订阅、通知和举报、仍关联的 Contact 反馈，以及可按账号 ID 定位的认证审计记录。你发布的交流中心主题和回复会清除作者关联及标题、正文等用户内容；如为维持他人的回复结构而保留记录，只会留下不含用户内容、作者身份或内部账号 ID 的“已删除”占位符。用于维持线程引用的主题或回复记录编号与时间戳可能继续保留。

7. 你的 GDPR 权利

• 在适用条件下，你可请求访问副本、更正、删除、限制处理和数据可携带；也可反对基于合法利益的处理。
• 你可直接使用“账号与数据”页面删除当前账号，或通过 Contact 提交其他请求。为保护他人，我们可能要求合理验证账号或记录所有权；匿名会话丢失后，可完成的验证可能有限。
• 如你认为未来发布的群聊整理问答与你有关、不准确或仍可识别你，可通过 Contact 请求说明来源、更正或删除。我们会按适用法律和实际可验证情况处理，不会要求你在公开页面披露身份。
• 适用 GDPR 时，我们通常会在收到有效请求后一个月内答复；复杂或大量请求可依法延长，并会说明原因。
• 你有权向常住地、工作地或涉嫌侵权地的数据保护监管机构投诉。提出请求或投诉不会降低你获得服务的权利。

8. 安全、变更与联系

我们采用 HTTPS、最小权限、数据库行级权限、私有反馈收件箱、受控备份和日志轮换等措施降低风险。若处理方式、接收者或目的发生实质变化，我们会在生效前更新本页日期和内容。任何隐私或数据问题均请通过 Contact 页面提交。