隐私政策

一、谁是资料控制者 #

Simvito Limited 是本网站、Simvito 移动 App 及 Simvito 服务所收集个人资料的数据控制者。如有疑问或请求，请联系 support@simvito.com。

二、我们收集什么 #

账号信息：您使用 Google 或 Apple 登录。登录提供方会把您的邮箱地址、一个唯一的账号标识，以及在您允许时的姓名发给我们。我们用它们创建您的账号，并把您的 eSIM 归集在一处。我们看不到您的 Google 或 Apple 密码，也无法访问这些账号里的其他内容。如果您使用了 Apple 的「隐藏邮件地址」，我们收到的是 Apple 为您生成的转发地址。

订单信息：您的邮箱地址、购买的套餐、支付金额与日期。我们需要这些信息来交付 eSIM 并提供客服。我们还会记录您下单时按 IP 地址判断的所在国家，以及卡付款时银行卡的发卡国家，用来判断这笔交易适用哪国的税务规定，并用于防范欺诈。

支付信息：由我们的支付服务商直接处理您的钱包或卡片信息。我们只收到交易参考号和交易结果；银行卡付款时还会收到下条所说的卡令牌、卡组织和卡号后四位，从不接收完整卡号、有效期或安全码。为完成交易，我们会把您的邮箱、金额与币种、套餐名称，以及您的 IP 地址与设备类型发给支付服务商，并为防范欺诈附上您的账号注册时间和姓名（如登录提供方给过），服务商也会将其用于自身的风控判断。发生拒付或我们确认的欺诈时，我们会把这笔交易的参考号和原因回报给支付服务商。

保存的银行卡：用银行卡付款成功后，支付服务商 Antom 会保存这张卡，并给我们一个令牌（不是卡号，只能由我们经 Antom 发起付款时使用），连同卡组织和卡号后四位。我们把它们关联到您的账号，下次付款时在付款页列出这张卡，您可以直接选用，不用再填卡号。完整卡号、有效期和安全码由 Antom 保存，我们从不接收。您可以随时在账号页删除已保存的卡，删除后不再用于付款。

App 支付诊断：Antom 支付组件会处理支付界面的操作记录、App 与组件版本、设备和网络信息、请求耗时、错误及支付组件崩溃日志，并发送给 Antom，用于运行支付流程、排查故障及改善支付可靠性与安全性。

服务技术信息：由 eSIM 平台合作方提供的 eSIM 标识符及其开通状态；网络合作方提供时，还包括已用流量、套餐到期时间，部分套餐还包括 eSIM 每天用的是哪个国家的网络。我们用这些信息显示剩余流量，在流量快用完、已用完或套餐快到期时发邮件提醒您，并用于客服支持与账务核对。

在线客服：网站和 App 内我们自部署的 Simvito 客服聊天窗口会处理您发送的消息和文件、访问页面、IP 地址及浏览器或设备信息。登录后，我们会提供经过验证的账户标识、姓名、邮箱、可用的头像和短期客服身份凭证，让客服查询您自己的账号、绑定登录方式、订单及 eSIM、余额及流水、充值、未完成结算、登录设备和账号申请状态。如账号保存了电话号码，也会提供给客服。每次求助会记录有大小限制的设备和问题快照，包含与崩溃诊断共用的应用安装及启动随机标识、App 和系统版本、语言币种、显示设置，以及编码后的接口、付款状态和最近操作。这些快照保存在对应消息中，便于区分设备和事后排查。从订单或 eSIM 打开的聊天可附上订单号、套餐和 ICCID 尾四位，不包含安装码或账户登录凭据。网站的 Cookie 和浏览器存储，以及 App 的本机安全存储，用于继续会话。您的消息由人工客服处理。

网站信息：为安全与故障排查而保留的最小化服务器日志。若您通过 eSIMDB 访问，我们会用第一方 Cookie 保存推荐来源 30 天。登录后，该来源会在相同期限内关联您的账号，也适用于 App 内购买。我们用它识别推荐成交并计算合作佣金，不会因此改变您的价格。

网站错误与性能监控：网站会把脚本错误、对我们自己接口的失败请求、页面加载和资源耗时以及核心网页指标（Core Web Vitals）上报给腾讯云位于新加坡的前端性能监控服务。上报内容包括当前页面和上一页面的地址（去掉查询参数和片段）、浏览器、操作系统和设备类型、屏幕尺寸、网络类型、保存在浏览器中的随机标识和会话标识，以及您的 IP 地址，腾讯云会据此推导大致地区和网络运营商。登录后，上报还会带上下文统计部分所述的不透明用户标识，方便您联系客服时我们找到您遇到的问题。监控还会记录付款表单的加载耗时、每次付款是成功、失败还是取消（附支付服务商的错误码和付款方式类别）、登录失败（登录方式和错误类型）、脚本没有启动或一直空白的页面，以及浏览器拦截的脚本所在的域名。邮箱地址、eSIM 安装码、ICCID 以及登录或订单凭证会在上报前删除，上报也不包含请求和响应内容。监控用于保障结算和网站正常运行。

服务器监控：我们的服务器会记录每个接口请求和后台任务的处理情况，包括接口路径、耗时、状态码、错误、其中的数据库查询和对支付服务商及 eSIM 供应商的调用、请求来自网站还是 App，以及由您的 IP 地址得出的国家或地区，并把这些链路数据上报给腾讯云位于新加坡的应用性能监控服务。请求头、IP 地址、邮箱地址、eSIM 安装码、ICCID、登录或订单凭证以及数据库查询中的具体值会在上报前删除。服务器监控用于保障结算、eSIM 交付和网站正常运行。

移动 App 通知：Firebase Cloud Messaging 和 Firebase Installations 会处理 App 安装标识及推送注册令牌。启用通知后，我们将令牌、设备平台、App 版本、语言、时区和通知偏好与你的账号关联，用于发送订单及用量通知。我们不将这些标识用于广告。你可以在 App 或设备设置中关闭通知。

App 会在设备上缓存账号及 eSIM 信息以供离线访问，并保存语言、币种、行程及通知偏好。收据或安装信息仅在你主动选择时导出或分享。申请删除账号时，我们记录申请编号、账号标识、申请日期及处理状态，用于受理和核对申请。

网站使用 Google Analytics Cookie，App 使用 Google Analytics for Firebase。Google 会处理浏览器或应用实例标识、设备和应用信息、语言、App 展示币种、登录状态和构建模式、根据网络连接推导的大致位置、页面浏览及访问来源（来源网站的域名和链接上的推广活动标签）、套餐查看、结算、成功登录、搜索字数及结果数量、分享、客服和安装操作，以及已确认购买和退款的订单参考号、金额和币种。结算时的统计标识会传给我们的服务器，用于将付款及退款事件关联到原始访问，避免在其他设备打开订单时重复计数。登录后，我们还会向 Google 发送由内部账号 ID 派生的不透明用户标识，使网站、App 和已确认购买的统计能识别为同一人；它不是你的姓名、邮箱或登录凭证，退出登录后会清除。App 另以统计属性发送三项设备特征：安装方式、是否允许通知、设备是否支持 eSIM。我们发送的统计事件不包含姓名、邮箱、登录凭证、支付凭证、ICCID 或 eSIM 安装码。本次接入不启用广告标识或个性化广告。

移动 App 崩溃报告：App 通过 Firebase Crashlytics 自动上报崩溃、无响应和意外错误。Google 会处理的信息包括 Crashlytics 和 Firebase 安装标识、出错时间、App 和操作系统版本、设备型号、内存和存储容量、设备是否已越狱或 root、App 当时是否在后台、屏幕方向，以及错误类型、错误描述和程序调用栈。报告还会记录语言和币种偏好、登录及账号恢复状态、当前页面、App 构建及运行环境、设备兼容信息、显示及辅助功能设置、时区偏移、App 生命周期和内存压力事件。为排查问题，报告会附带简短的编码操作轨迹；脱敏后的接口路径、方法、状态码、耗时、数据大小和错误码；以及付款阶段、方式、币种、金额、数量、内部商品及结算或充值参考号、支付 SDK 事件码和耗时。这些诊断轨迹独立于使用情况统计。我们不附加接口请求或响应正文、请求头、SDK 原始消息或你自行设置的设备名称。Android 原生崩溃时，Google 会短暂处理崩溃 App 的内存快照，用于提取调用栈，之后丢弃。App 自身代码产生的错误报告不包含屏幕内容，我们会从错误描述中去除邮箱、ICCID、eSIM 安装码、访问令牌和网址参数。报告也会带上与客服诊断共用的应用安装及启动随机标识，用于将求助记录与同一设备、同次启动的错误对应。如果你已登录，我们会在崩溃报告中加入 Simvito 内部客户 ID，用于关联受影响的账号、排查问题。退出登录时清空当前标识，切换账号时更新；已产生的报告仍按下述期限保留。报告不加入你的姓名或邮箱，也不用于广告。开启 App 统计时，崩溃报告还可能附带上文所述的最近几条统计事件，例如页面浏览。

App 自有设备档案：应用会向我们自己的后端发送有大小限制的设备和诊断快照，不依赖是否打开客服或启用 Firebase 崩溃采集。我们保存应用安装实例的随机标识及每次启动的新标识、App、硬件和系统构建版本、安装来源与时间及签名证书指纹、Google Play 安装推荐参数（推广参数及点击、安装时间，仅 Google Play 安装才有）、是否允许通知、App 的 Google Analytics 实例标识、每次上报时的 IP 地址、可用内存和存储、网络状态与类型、eSIM 能力、语言币种、显示与生命周期设置，以及编码后的接口、付款状态和近期支持的操作。访客记录单独保存；登录后由服务端关联经过验证的内部账号和登录会话，姓名、邮箱和手机号继续保存在账号资料中。网络恢复后会重试上报，并在 App 前台活动时更新活动时间。不包含认证令牌、原始请求或响应、付款凭据及 eSIM 安装码。启动记录在最后活动 180 天后删除，无剩余启动记录的闲置设备档案在 365 天后删除。删除账号时也会删除该账号关联的设备记录及相关访客记录，其他账号的记录保持独立。

移动 App 性能：Firebase Performance Monitoring 用于测量 App 启动、前后台活动、网络耗时和付款组件启动。Google 会处理安装及会话标识、设备和网络信息、根据 IP 推导的国家、脱敏请求网址、响应码、数据大小和耗时。我们附加 App 语言、当前页面、登录状态、展示币种和生命周期状态，以便分组分析。我们不在这些指标中附加 Simvito 客户 ID、姓名、邮箱、请求头或请求及响应内容。

移动 App 防欺诈：App 使用 Firebase App Check、Apple App Attest 和 DeviceCheck，以及 Google Play Integrity，确认请求来自正版 Simvito App 和真实设备。你在 App 内购买或充值时，Apple 或 Google 还允许我们读取和设置为你的设备保存的少量标记，重装 App 后这些标记仍然保留。如果某个账号的付款被以欺诈为由拒付，或某台设备已被标记，我们会标记该账号和设备，并拒绝其后续购买。我们会保存该账号、其邮箱的假名化形式以及争议编号。如果你认为这是误判，请联系我们，我们会进行复核。

下单时的防欺诈记录：你在网站或 App 发起付款时，我们把以下信息和这笔订单或充值记在一起，用于发现盗刷、试卡和多账号滥用：本网站存在你浏览器里的一个随机标识（App 用上面提到的安装实例标识），这两个标识都与硬件和广告标识无关，清除网站数据或重装 App 后会更换；设备的时区；连接所属网络运营商的编号（由 Cloudflare 根据 IP 地址提供）。卡付款成功后，我们还从支付服务商处取得卡片类型（借记、信用或预付）、支付服务商为同一张卡生成的标记（不是卡号）以及 3D Secure 验证结果。我们也会短期统计每个账号和 IP 地址的付款失败次数。eSIM 安装后，我们还会从 eSIM 平台合作方取得安装这张 eSIM 的设备的 eSIM 芯片编号（EID）、安装和激活时间，以及使用流量时所在的国家；如果你使用 Apple 登录，我们会保存 Apple 在首次授权时给出的「是否像真实用户」的判断。这些信息只用于防欺诈和拒付举证，由我们的人员复核，不会单凭它们自动拒绝你的购买；记录随订单按上述期限保存，付款失败次数最长保留 24 小时。

三、用途与法律依据 #

为履行与您的合同：交付 eSIM、提供客服、处理退款。

为履行法律义务：保存会计与税务记录，以及回应当局的合法要求。

为我们的正当利益：防范欺诈与滥用、保障服务安全、改进服务。我们不将您的资料用于行为定向广告，也不出售您的资料。

我们使用 Google Analytics 了解和改进浏览及购买流程。

四、我们与谁共享 #

eSIM 平台及移动网络合作方——他们需要技术标识符才能在目的地开通并运行连接。

Antom 及您所选付款方式的支付服务提供方——处理交易、欺诈检查及上述支付组件诊断信息。

Google 与 Apple，在您用它们登录时。登录过程由它们按各自的隐私政策处理，我们只收到第二条列出的那几项信息。

为本网站提供托管服务、为我们发送交易邮件的服务商，他们按我们的指示行事。

eSIMDB：对于归属于其推荐的购买，我们提供购买参考号、推荐参考号、套餐、数量、金额、币种、购买时间、退款状态及佣金。报表不包含您的姓名、邮箱、支付凭据或 eSIM 安装资料。

客服系统部署在我们自己的服务器上，客服人员可以查看会话及相关订单或套餐信息，以便为您提供帮助。

腾讯云，为我们提供位于新加坡的网站和服务器错误与性能监控服务，代我们处理上文所述的监控数据。

Google Firebase 及 Apple 推送通知服务，用于投递你启用的 App 通知。Firebase 会处理安装标识及通知路由数据，相关标识可能在你使用 App 所在国家或地区以外处理。

在法律要求披露时向相关当局披露。除此之外我们不向第三方披露个人资料，且从不出售。

Google：在网站或 App 统计开启时处理相关数据。Google 可能根据其适用的隐私条款及我们配置的 Analytics 设置，在你所在国家或地区以外处理统计数据。

Google Firebase Crashlytics 和 Performance Monitoring，代我们处理上文所述的 App 诊断信息。Google 可能在你使用 App 所在的国家或地区以外处理这些记录。

Apple 和 Google，负责上文所述的设备完整性检查，并保存我们设置的设备标记。

五、跨境传输 #

我们的服务器与数据库位于新加坡，加密备份存放于 Cloudflare 的对象存储。此外，提供漫游连接必然涉及将技术标识符传输给目的地国家的网络合作方，该地可能在香港境外。

在跨境传输个人资料时，我们会选择能提供充分保护水平的服务商，并订立合同保障措施。

六、保存多久 #

订单与交易记录：七年，以符合香港的会计与税务要求。

客服往来记录：事项结案后两年。

服务器日志：15 天。eSIM 技术记录在套餐到期且账务争议保留期届满后删除。

账号资料、关联登录身份及通知登记：在账号存续期间保留。你可以在 App 的「账号 → 账号与登录 → 更多 → 删除账号」或 simvito.com/zh-CN/delete-account/ 申请删除。我们会在 30 天内处理，并先与你核对余额、有效套餐和未完成付款。删除申请不等于退款，也不会没收余额。开始执行删除前可撤回申请。仅继续保留上述期限内有保留义务的记录，不用它们恢复已删除账号。

删除后，请在各设备退出登录以清除账号缓存，并自行删除另行导出的文件。已安装的 eSIM 请在设备设置中管理。Simvito 保存的通知登记及安装分享链接随账号删除；Firebase 安装数据遵循 Google Firebase 的保留规则。对没有持续法定保留义务的客服及服务商关联数据，你也可以联系我们申请删除。

本网站设置的统计 Cookie 最长保留 180 天。统计事件的保留期限由我们的 Google Analytics 媒体资源设置控制。

网站监控数据由腾讯云保留：错误和页面浏览 30 天，页面性能、接口和资源耗时 15 天；服务器链路数据 7 天。

Firebase Crashlytics 将 App 崩溃报告及其安装标识保留 90 天，之后 Google 开始删除。Performance Monitoring 将与 IP 关联的事件保留 30 天，将与安装标识关联及去标识化的性能数据保留 60 天，之后 Google 开始删除。

账号的防欺诈标记在最后一次相关事件后保留三年，账号删除后也会保留。Apple 保存设备标记直到我们更改；Google 在最后一次读取或更改后保存三年。

七、您的权利 #

您可以要求获取我们所持有的您的个人资料副本、要求更正错误资料、在我们没有持续法定理由保留时要求删除，以及对基于正当利益的处理提出反对。

在关于准确性或合法性的争议解决期间，您还可以要求我们限制处理；也可以要求以常用的、机器可读的格式取得您提供给我们的数据，以便转交他人。

请发邮件至 support@simvito.com，我们在 30 日内回复。若您在香港且对处理结果不满意，可向个人资料私隐专员公署投诉；若您在欧盟或英国，可向当地监管机构投诉。

八、安全 #

本站通过 HTTPS 提供服务。订单资料的访问权限仅限于为提供服务所必需的人员，支付凭据从不进入我们的系统。

没有任何系统是绝对安全的。若发生影响您个人资料并对您构成实际风险的事件，我们将不无故拖延地通知您及相关监管机构。

九、儿童 #

本服务不面向 18 岁以下儿童。我们不会在知情的情况下收集儿童个人资料，若发现已收集则予以删除。

十、变更 #

若本政策有变更，我们会更新本页顶部的日期。涉及已收集资料使用方式的重大变更，我们会在持有您邮箱地址的情况下以邮件通知。