隐私政策

Earth Online 是一个围绕玩家身份、共创档案和真实协作任务运行的在线服务。本政策适用于 Earth Online Website 2.0、玩家账户、共创玩家档案及赏金大厅 V1。

服务运营主体为 Earth Online Institute, Canada，一家加拿大联邦非营利公司。私人住宅地址不会在本政策中公开；是否需要公布公共邮寄地址仍待法律审核。

• 账户与认证：邮箱、CloudBase Auth UID、邮箱验证状态、认证提供方与会话数据，以及创建、更新和最近登录等时间记录。密码由 CloudBase Auth 处理，Earth Online 业务页面不会读取或返回你的密码。
• 玩家档案：昵称、HTTPS 头像地址、偏好语言、账户状态、加入和更新时间。
• 共创玩家档案：国家或地区代码、城市、时区、简介、协作时间、技能、领域、语言、HTTPS 作品集地址、目录可见范围和排行榜选择。
• 私人项目联系方式：登录邮箱或其他项目邮箱、微信、电话、其他联系方式及主要联系方式标记。
• 赏金大厅：任务、申请、邀请、成员与负责人关系、工作包、分配、退出与交接请求、提交内容、审核与修改意见、通知和相关时间记录。
• 奖励与结算：贡献奖励分配、CP／GP 流水、可选的线下项目回馈说明，以及在确有线下现金结算时使用的历史／内部金额、币种、收款人、结算时间与备注。
• 文件：公开资源，以及提交成果的私有附件、原文件名、类型、大小、存储路径、所有者和关联任务。
• 安全与完整性：角色、同意记录、操作审计事件及服务器错误代码。V1 业务数据库没有专门保存 IP、设备指纹、浏览器画像，也没有接入第三方分析或广告追踪。
• 如适用，独立的 Certified Player 认证模块会保存玩家编号、认证姓名、出生日期、旅程完成／证书签发日期、认证状态、公开姓名同意和内部备注。旧认证记录仍保存在独立模块，新的 Player Account 是主要账户。经核对记录归属后，获授权管理员可以把证书编号与现有 UID 建立一对一关联，并保存受限的核验依据和审计记录；这不会自动迁移旧认证数据库、生日或私人联系方式。

• 创建和保护账户、维持登录会话、确认邮箱并提供中英文体验。
• 建立玩家与共创玩家档案，按你的选择展示公开资料与 CP 排行榜信息。
• 运行 Solo、Project 和 Open Call 的申请、邀请、协作、提交、审核、通知与交接流程。
• 记录贡献并等额结算 CP／GP；在任务另有非标准线下项目回馈或真实线下结算安排时，保存必要说明与内部记录。
• 维护项目、提交、审核、奖励及审计记录的完整性，处理安全、滥用和争议问题。

活跃玩家的昵称和头像地址属于安全公开身份字段，可出现在任务负责人、成员或公开身份视图中。共创目录只有在档案为活跃且你选择“公开”时，才会展示位置、时区、简介、协作时间、作品集、语言、技能和领域。选择“不列入目录”会阻止目录展示。

“仅共创者可见”是现有档案选项，但 V1 尚未完成独立的仅共创者目录读取界面；在该能力完成前，它不会被当作公开目录资料。CP 排行榜只显示选择公开排行的活跃共创玩家昵称、头像和 CP 总额。

邮箱、电话、微信、其他项目联系方式、GP、历史现金记录、申请说明、提交成果和审核意见不是公开档案字段。线下项目回馈说明也不会返回给访客、未登录用户、普通 Player 或共创档案已暂停的用户；仅有效共创玩家、管理员及后端认可的合规项目管理者可在相应任务中读取。

开通共创玩家档案需要至少一种有效项目联系方式，并指定主要方式。这些资料用于合法的 Earth Online 项目协作，不会自动进入公开共创目录。

本人可以查看自己的联系方式；Earth Online 管理员可在平台管理所必需的范围内查看完整档案和联系方式。自你主动提交任务、项目或岗位申请起，与该申请相关且具备当前管理权限的 Lead／Publisher 可以查看你的私人联系方式，用于评估申请、联系你和安排协作；正式成员关系存在期间，该项目的获授权 Lead／Publisher 可继续为协作需要查看。读取行为会写入审计记录。

在用户提交申请或形成实际成员关系以前，候选人搜索只使用获准展示的专业发现字段，不返回私人联系方式。普通玩家、无关共创者、公开目录和排行榜不会获得这些私人联系方式。

提供电话或微信只代表项目联系方式，不会把它变成登录凭据。未来若增加微信或手机号登录，那将是独立的认证功能，并需要单独说明和配置。

公开任务及安全公开身份可被访客查看。申请、邀请、参与、成员关系、工作分配、退出／交接请求、提交和审核记录只按本人、任务关系和管理权限开放。

提交附件保存在私有的 bounty-submissions 存储桶中。文件上传者、管理员、任务发布者及后端判定为有权查看该附件的人可以通过受控的临时访问方式打开文件。已与提交记录绑定的文件不能由普通用户直接删除。

每 1 点经审核通过的贡献奖励等额产生 1 CP 和 1 GP。CP 和 GP 流水属于账户贡献记录；用户本人和管理员可以读取。公开 CP 排行榜仅在用户主动允许时显示昵称、头像和 CP 总额。GP 明细不公开。

线下项目回馈是可选、非标准化的项目说明，不是钱包、货币或 CP／GP 兑换。确有线下现金付款时，系统仍可在私人／内部结算记录中保存真实金额、币种、收款人、日期与备注；既有现金流水只对本人和管理员开放，不作为公开标准奖励。

当前 V1 没有广告客户、数据经纪或数据销售流程，也不把私人资料用于定向广告。

• 访客：公开任务、安全公开玩家身份、按可见范围开放的共创目录资料，以及主动加入公开排行的 CP 信息。
• 账户本人：自己的账户、共创档案、私人联系方式、同意记录、通知、参与记录、提交、CP／GP，以及在确有历史或真实线下结算时与本人相关的私人结算记录。
• 项目负责人／发布者：自相关申请提交起，在真实任务关系和当前权限允许的范围内处理申请人或成员的申请、协作资料、提交、审核、奖励及必要联系方式。
• 管理员：按当前后端管理权限处理完整档案及联系方式，以及账户、协作、安全、审计和结算。
• 基础设施服务方：腾讯云香港区域用于网站托管和应用／API 处理；腾讯云新加坡区域的 CloudBase 用于 Auth、PostgreSQL、权限／RPC 和 Storage 处理。

正常使用服务期间，我们会在提供账户、协作、安全与结算所必需的范围内保存资料。收到经核实的删除或停用请求后，应优先删除、隐藏或匿名化公开档案、目录资料、私人联系方式和其他可移除的账户资料。

为保持协作、审核、奖励、现金结算和安全记录的完整性，必要的项目关系、提交与审核、CP／GP／现金流水、同意和审计记录可能继续保留或去标识化。需要保留时，应尽量以“已停用玩家”等标识替代公开昵称、头像和其他可识别资料。现金记录还可能受财务或税务保存要求约束。

附件将根据其是否已提交、是否涉及协作证明、争议、结算或其他必要事项逐案处理。未提交且无必要保留理由的私有附件可删除；需要保留的附件应限制访问，并在适当情况下去标识化文件名。准确保存期限、法律例外及匿名化标准仍待法律审核和后续工程落实。

V1 使用基于会话的身份验证、PostgreSQL 行级权限、后端权限函数、私有缓存控制、私有存储桶和审计记录来限制访问。任何系统都无法保证绝对安全。

生产架构在腾讯云香港区域进行网站托管和应用／API 处理，并在腾讯云新加坡区域使用 CloudBase 进行 Auth、PostgreSQL、权限／RPC 和 Storage 处理。因不同服务位于不同区域，资料可能在香港和新加坡处理；加拿大运营主体与香港／新加坡云端处理之间的跨境披露措辞仍须法律审核。

你可以编辑昵称、头像地址、偏好语言和允许编辑的共创档案字段；可以选择共创目录范围及是否进入公开 CP 排行榜。你可以申请更正、停用、删除或匿名化，但部分项目、账本和审计记录可能因完整性需要被保留。

如需提出隐私、账户删除、访问、更正或联系方式数据问题，请联系 privacy@earthonline.institute。我们会先核实账户身份，再按最终审核后的流程处理。

本草案拟定版本为《隐私政策 v1.0》。当数据用途、权限、认证方式或服务范围发生实质变化时，Earth Online 应发布新版本并重新取得同意；错别字、格式调整和不改变含义的说明性修订不会自动触发重新同意。实质与非实质变更的最终判断标准仍待法律审核。

正式站按页面标明的现行版本记录你主动确认的同意，不会自动勾选、追认或改写既有记录。测试环境的同意和签署不会带入正式环境。