隐私政策

生效日期：2026年11月5日 | 版本：2.0

本隐私政策说明，当您使用我们位于 https://scapbot.ai 的服务时，ScapBot Technology Joint Stock Company（“ScapBot”、“我们”、“平台”）如何收集、使用、存储、共享和保护您的个人数据。本政策适用于所有用户和终端客户，无论其身处何地。

越南法律是我们处理个人数据的本国法律框架，包括《2025年个人数据保护法》（第 91/2025/QH15 号）及其实施细则第 356/2025/ND-CP 号议定，以及《2025年网络安全法》（第 116/2025/QH15 号）及其实施细则第 333/2026/ND-CP 号议定。由于我们的用户及其终端客户分布在许多国家，我们也遵守其所在司法辖区中适用于我们处理活动的数据保护法律。各地区的具体信息见第13节（地区性条款）。

1. 数据控制者

ScapBot Technology Joint Stock Company 是用户（注册使用 ScapBot 的企业主）个人数据的数据控制者。

• 法律实体： ScapBot Technology Joint Stock Company
• 企业注册号： 0110646734，由河内市计划与投资厅于 2024年3月12日签发
• 注册地址： Villa 1B10, My Dinh 1 Urban Area, Tu Liem Ward, Hanoi, Vietnam
• 隐私邮箱： privacy@scapbot.ai
• 支持邮箱： support@scapbot.ai
• 网站： https://scapbot.ai

对于终端客户数据（通过 ScapBot 向企业发送消息的消费者），ScapBot 担任数据处理者——详见第3节。

在本政策中，“数据控制者”和“数据处理者”具有越南法律赋予它们的含义，并对应其他适用法律下的相应角色（例如，GDPR 下的“controller”和“processor”，美国各州隐私法下的“business”和“service provider”，以及中华人民共和国《个人信息保护法》下的“个人信息处理者”和“受托人”）。

2. 我们收集的个人数据

2.1. 您直接提供的数据

2.2. 自动收集的数据

2.3. 支付数据

**注意：**ScapBot 不存储信用卡/借记卡信息。国际支付通过 PayPal 和 Polar（polar.sh）处理——银行卡数据由这些支付服务提供方依据 PCI-DSS 标准处理。当您通过 Polar 使用银行卡付款时，Polar 的条款和隐私政策也可能适用于该银行卡交易。您可使用的充值方式以充值时钱包充值页面所显示的为准。

2.4. 业务数据

使用本服务时，您可以上传或创建：

• 产品信息（名称、描述、价格、图片）
• 业务文档（常见问题、政策、销售话术）
• AI 助手配置（名称、行业、回复风格）
• 员工信息（电子邮箱、访问权限）

这些数据由您完全掌控。我们仅为提供本服务之目的处理这些数据。

2.5. 来自 Google 的数据

a) Google 登录

如果您通过 Google 登录，我们会收集：

• Google 账户 ID（标识符，不是密码）
• 与该 Google 账户关联的电子邮箱
• 显示名称和头像（如有）

这些数据仅用于创建和验证您的 ScapBot 账户。

b) Google Drive 同步（可选）

如果您选择连接 Google Drive，将文档同步到您 AI 助手的“文档”页面，我们会收集：

Google Drive 承诺：

• 我们仅以只读模式访问您的 Drive——我们不会修改、移动或删除您 Google Drive 上的任何文件。
• 我们仅访问您主动选择同步的文件和文件夹——我们不会扫描您的整个 Drive。
• 文件内容经下载、加密（AES-256-GCM）后存储在 ScapBot 服务器（Cloudflare R2）上。
• 您可以随时断开 Google Drive——所有已同步的数据都将从 ScapBot 系统中删除。
• 您也可以在 myaccount.google.com/permissions 撤销访问权限。

我们不会访问您的联系人、日历、Gmail 或超出您授权范围的任何其他 Google 数据。

c) Google 用户数据的有限使用

ScapBot 对从 Google API 获得的信息的使用，以及向任何其他应用的传输，将遵守 Google API Services User Data Policy（Google API 服务用户数据政策），包括其中的 Limited Use（有限使用）要求。具体而言，通过 Google 登录和 Google Drive API 获得的数据：

• 仅用于提供本第2.5节所述的功能——登录您的 ScapBot 账户，以及将您选择的文件同步到您 AI 助手的知识库；
• 仅在提供这些功能所必需时才会传输给第三方（例如，当您的 AI 助手处理您同步的文档时，传输给第5.1节所列的 AI 提供方），或为遵守适用法律，或作为合并、收购或资产出售的一部分；
• 绝不用于投放广告，绝不出售，也绝不用于确定信用状况或用于放贷目的；
• 不会被人工查阅，除非您就特定文件给予明确同意、出于安全目的（例如调查滥用行为）或为遵守适用法律所必需，或相关数据已被汇总并匿名化用于内部运营；
• 不用于开发、改进或训练通用人工智能或机器学习模型。

3. 终端客户数据

3.1. ScapBot 作为数据处理者

当终端客户（消费者）通过已连接的消息平台向您的企业发送消息时，ScapBot 会收集并处理：

3.2. 对终端客户的 AI 分析

ScapBot 使用 AI 分析终端客户的消息，以便：

• 识别意图（询价、投诉、下单等）
• 评估心理状态（兴趣程度、满意程度）
• 对客户阶段进行分类（潜在客户、意向客户、客户、复购客户等）
• 推荐相关产品/服务

**这些分析数据由用户（企业）控制。**用户有责任依法告知终端客户 AI 的使用情况。

3.3. 用户的责任

作为终端客户数据的数据控制者，您有义务：

• 制定自己的隐私政策，告知终端客户有关 ScapBot 的使用情况。
• 拥有收集和处理终端客户数据的合法依据。
• 在终端客户行使其数据权利时与 ScapBot 配合。

3.4. Facebook Messenger 个人资料数据（Business Asset User Profile Access）

当终端客户向已连接 ScapBot 的 Facebook 主页发送消息时，我们通过 Meta 的 “Business Asset User Profile Access” 功能读取以下个人资料字段，且严格限于已连接的业务资产范围内：

Facebook 个人资料数据的存储与保存：

• 头像图片会被下载一次并重新托管在 Cloudflare R2 上，以便即时加载。缓存使用有效期为 7天的预签名 URL 进行签名，与 Facebook 原始 CDN 的 TTL 一致，并会在同一客户的下一条入站消息时或 24小时后（以先到者为准）自动刷新。
• name、id 和 ids_for_business 字段仅存储在已连接企业的数据分区中——绝不跨企业汇总，绝不为跨企业搜索建立索引。
• 当企业在 ScapBot 仪表板 → 效能 → 连接 → 销售技能 → 消息平台 → Facebook 中断开或移除 Facebook 主页时，ScapBot 会立即停止对该主页的一切访问。已收到的 Facebook 个人资料数据仍保留在该企业的数据分区中，以便其重新连接时保留历史记录；当企业删除其 ScapBot 账户时（第15.2节）或应请求随时（第15.1节）予以删除。
• Facebook 个人资料数据绝不用于广告，绝不出售，绝不授权许可，绝不与任何第三方共享，且仅对连接该主页的特定企业的员工可见。
• Facebook 个人资料数据不纳入任何 AI 模型训练流程——姓名和头像仅用于显示，不属于用于提升 AI 质量的数据。

**合规依据：**此种使用属于 Meta 为 Business Asset User Profile Access 功能所界定的“应用内业务体验”范围（Meta 开发者文档）。

3.5. TikTok 账户数据（TikTok API for Business）

当企业将其 TikTok 企业账户连接到 ScapBot（仪表板 → 效能 → 连接 → 销售技能 → 消息平台 → TikTok）时，即在 TikTok 的授权页面上授权 ScapBot。在企业授予的权限范围内，我们访问：

TikTok 数据的存储与保存：

• TikTok 数据仅存储在已连接企业的数据分区中，仅对该企业的员工可见，且绝不出售、授权许可或用于广告。
• 当企业断开其 TikTok 账户时，ScapBot 会立即停止对 TikTok 的一切访问。已收到的数据仍保留在该企业的工作区中，以便其重新连接时保留历史记录。
• TikTok 数据在企业删除其 ScapBot 账户时（第15.2节）或应请求随时（第15节）予以删除。

4. 数据处理目的

我们出于以下目的处理您的个人数据：

4.1. 处理的法律依据

在适用于您的法律要求个人数据处理须具备法律依据的情况下，我们依赖以下依据，上表已就每项目的作出标示：

• 履行合同——为根据我们的服务条款提供本服务，或应您的要求在订立合同前采取措施所必需的处理：提供和运营本服务、账户身份验证和会话安全、支付处理和对账，以及发送服务通知（OTP、安全、维护）。
• 同意——发送产品信息和促销信息，以及通过 Meta Pixel 和广告 Cookie 进行的广告效果衡量（第5.4节和第10节）。您可以随时撤回同意（第9.4节）。
• 合法利益——账户和会话安全；检测欺诈、垃圾信息和滥用以及保护系统；提升服务质量；使用汇总、匿名化数据改进 AI 模型；以及网站流量分析（Google Analytics）。我们的利益在于保持本服务的安全与可靠、防止滥用以及改进我们的产品。当您的利益或基本权利优先于这些利益时，我们不依赖这些利益，并且您可以反对此类处理（第9.8节）。
• 法定义务——会计和税务法律所要求的支付处理和对账记录，以及遵守有权政府机关的要求（第5.3节）。

某些法律——例如越南和中华人民共和国的法律——并不承认合法利益是一般性的法律依据。在此类法律适用于您的情况下，我们依赖该法律所提供的其他依据，例如履行与您的合同、遵守法定义务或您的同意，并且在该法律要求时取得您的同意（见第13节）。

对于终端客户数据（第3节），使用 ScapBot 的企业是数据控制者，负责拥有合法的法律依据（第3.3节）；ScapBot 按照企业的指示处理该数据。

5. 与第三方共享数据

5.1. 服务提供方

为运营本服务，我们与以下第三方共享数据：

5.2. 跨境数据传输

**您的数据存储在哪里。**通过本服务处理的个人数据存储在位于越南的服务器上（另见第6.3节），而文档和图片等文件则存储在 Cloudflare R2 上（第5.1节）。因此，如果您身处越南境外，您的个人数据将被传输至越南。

**服务提供方在哪里处理数据。**部分服务提供方的服务器位于越南境外。第5.1节所列的服务提供方可能在其他国家处理个人数据，具体见该表“国家/地区”一栏：

• **美国：**Google（Gemini AI、Drive API、Google Analytics）、Facebook/Meta（Messenger Platform、Meta Pixel）、WhatsApp（Meta）和 PayPal；
• **日本：**Line；
• **卢森堡：**Viber（Rakuten）；
• **阿拉伯联合酋长国以及 Telegram 开展业务的其他国家：**Telegram；
• **越南：**Zalo（VNG）；
• **该提供方开展业务的国家：**Cloudflare（R2）和 TikTok（均列为“全球”），以及 Polar（polar.sh）；

这些国家提供的数据保护水平可能与您所在国家不同。

**保障措施。**向境外传输的数据仅限于运营本服务所必需的范围。在适用于您的法律要求对此类传输采取保障措施的情况下，我们将依赖适当的保障措施——例如与接收方订立的合同性保障措施，包括有权机关通过或批准的标准合同条款——或该法律允许的其他传输依据（例如您的同意，或传输对于履行我们与您的合同所必需）。您可以通过 privacy@scapbot.ai 查询适用于您数据的保障措施。各地区的具体信息见第13节。

**越南。**根据《2025年个人数据保护法》、《2025年网络安全法》和第 333/2026/ND-CP 号议定：

• 我们在越南境内的服务器上保存越南用户个人数据的副本。
• 向境外传输的数据仅限于运营本服务所必需的范围。
• 我们已按照规定编制了跨境数据传输影响评估。

5.3. 政府机关

我们可能依据适用法律，应有权政府机关的书面要求向其提供数据。

5.4. Meta Pixel 和其他广告 Cookie 的范围

Meta Pixel 和同类广告 Cookie 仅加载于我们的公开营销页面（https://scapbot.ai 上的首页、博客、定价页面），用于衡量我们自身营销活动的效果。它们被严格排除在以下范围之外：

• 已登录的应用区域（/{lang}/assistants/...、/{lang}/dashboard 等下的任何页面）
• 涉及终端客户个人资料信息的任何数据流（Facebook Messenger 名称、头像、PSID、对话、CRM 记录）
• 与消息平台（Facebook、TikTok、Zalo、Telegram、WhatsApp、Viber、Line）之间的任何数据交换

因此，无论我们的营销页面是否启用 Meta Pixel，终端客户数据绝不会被用于驱动广告。

5.5. 承诺

我们不会出于商业目的向任何第三方出售、出租或交易您的个人数据——无论是您作为用户的数据，还是向您的企业发送消息的任何终端客户的数据。

6. AI 数据处理

6.1. 发送给 AI 模型的数据

当 AI 处理消息时，以下数据会被发送给 AI 提供方（Google Gemini）：

• 终端客户的消息内容（包括通过已连接的 TikTok 账户收到的 TikTok 评论和私信）
• 对话上下文（最近的消息）
• 相关产品/文档信息
• AI 助手回复配置

6.2. AI 承诺

• 发送给 AI 的数据按照 AI 提供方的隐私政策处理。
• ScapBot 不会使用可识别个人身份的数据训练 AI 模型。
• 用于改进 AI 的数据为汇总、匿名化形式（不含任何个人信息的对话模式）。
• 您有权随时关闭 AI 模式——关闭后，不会有任何数据被发送给 AI 模型。

6.3. 向量嵌入

ScapBot 将文档和图片转换为向量表示（嵌入），用于语义搜索。向量嵌入：

• 无法反向转换回原始内容。
• 与原始数据一同存储在越南的服务器上。
• 在您删除相应的文档或产品时一并删除。

7. 安全措施

7.1. 技术安全

7.2. 组织安全

• 数据访问遵循最小权限原则。
• 所有系统访问均被记录（审计日志）。
• 用户之间的数据隔离（多租户隔离——所有查询均通过 assistant_id 限定范围）。

7.3. 数据泄露应对

发生个人数据泄露时：

1. **发现后72小时内：**通知专门的个人数据保护机关——公安部网络安全与高科技犯罪防控局（A05），依据《2025年个人数据保护法》和第 356/2025/ND-CP 号议定的要求。
2. **尽快：**通过电子邮件通知受影响的用户，并清楚说明：泄露范围、受影响的数据、补救措施以及联系人。
3. **补救：**立即实施遏制和补救措施。

在其他司法辖区的数据保护法律适用于某一泄露事件的情况下（第13节），我们还将在这些法律要求的期限内并按其要求的方式通知有权监管机关和受影响的个人。

8. 数据保存期限

服务终止后，您有30天时间导出您的数据。此期限届满后，个人数据将被永久删除，法律要求保留更长时间的除外。

9. 您的数据权利

根据《2025年个人数据保护法》和第 356/2025/ND-CP 号议定（它们规范我们的处理活动），在法律规定的例外情形下，您享有以下权利。如果您身处越南境外，您还享有您所在国家的数据保护法律所赋予的权利，详见第13节（地区性条款）。

9.1. 知情权

您有权了解对您个人数据的处理情况，包括数据类型、目的和处理方式。

9.2. 同意权

您有权同意或不同意处理您的个人数据，法律另有规定的除外。

9.3. 访问权

您有权要求获取我们持有的您的个人数据的副本。

9.4. 撤回同意权

您有权撤回此前给予的同意。撤回同意不影响撤回前已进行的处理的合法性。

9.5. 删除权

您有权要求删除您的个人数据，除非我们负有法定的保留义务。

9.6. 限制处理权

在特定情形下，您有权要求限制处理您的个人数据。

9.7. 数据可携权

您有权以结构化、常用且机器可读的格式获取您的个人数据。

9.8. 反对权

您有权反对为直接营销目的处理您的个人数据，或反对基于合法利益的处理。

9.9. 投诉权

如果您认为您的个人数据被非法处理，您有权向 ScapBot 或有权政府机关（公安部网络安全与高科技犯罪防控局（A05））提出投诉。如果您身处越南境外，您也可以向您所在国家的数据保护机关提出投诉（第13节）。

9.10. 获得赔偿权

当您的个人数据因违反法律而被处理时，您有权就所受损害请求赔偿。

如何行使您的权利：请向 privacy@scapbot.ai 发送请求，并附上身份验证信息。我们将在15个工作日内答复。适用于您的法律规定了更短期限的，我们将在该期限内答复。

9.11. 终端客户的权利（Facebook Messenger 和 TikTok 用户）

如果您是向已连接 ScapBot 的 Facebook 主页发送过消息的 Facebook 用户，并希望访问、更正或删除我们持有的关于您的个人资料数据，您可以通过以下任一渠道行使您的权利：

渠道 A——直接向 ScapBot 发送电子邮件请求：

1. 向 privacy@scapbot.ai 发送电子邮件，主题行为“Data Deletion Request — Facebook Messenger”。
2. 请提供以下任一项：(a) 您的 Facebook 主页范围用户 ID（PSID），或 (b) 您发送消息的 Facebook 主页名称，以及大致的日期范围。
3. 我们将在30天内处理该请求，并通过电子邮件向您发送确认。

渠道 B——询问运营该主页的企业： 企业是您对话的数据控制者。您可以请企业向 ScapBot（privacy@scapbot.ai）提交针对您数据的删除请求。注意：如果企业仅断开主页连接，ScapBot 会停止访问该主页，但不会自动删除已收到的数据。

渠道 C——分步指南： 完整的操作指引——包括确切的电子邮件模板、如何请企业提交删除请求、身份验证以及申诉——见下文第15节。

TikTok 用户：如果您曾在已连接 ScapBot 的企业 TikTok 账户下发表评论或向其发送消息，请发送电子邮件至 privacy@scapbot.ai，主题为“Data Deletion Request — TikTok”，并注明您的 TikTok 用户名、该企业的 TikTok 用户名以及大致日期。我们将在30天内处理该请求，并通过电子邮件向您发送确认。您也可以请企业删除您的对话。完整步骤见第15.1b节。

10. Cookie

10.1. 我们使用的 Cookie

10.2. 管理 Cookie

• 必要 Cookie 是本服务正常运行所必需的——无法禁用。
• 功能 Cookie 可通过您的浏览器设置进行管理。
• 分析 Cookie（Google Analytics）收集匿名化数据以改善您的体验。您可以通过 Google Analytics Opt-out 选择退出。
• 广告 Cookie（Meta Pixel）仅在您通过 Cookie 同意横幅给予同意后才会启用。您可以随时通过我们网站上的 Cookie 设置或 Facebook Ad Preferences 撤回同意。

11. 未成年人

ScapBot 不面向18岁以下的个人。我们不会有意收集未成年人的个人数据。如果您发现我们无意中收集了18岁以下人员的数据，请立即通过 privacy@scapbot.ai 与我们联系，以便我们删除此类数据。

12. 本政策的变更

• 我们可能更新本隐私政策。重大变更将至少提前30天通过电子邮件告知。
• 最新版本始终可在 https://scapbot.ai/zh/privacy 查阅。
• 变更历史记录在本页底部。

13. 地区性条款

本节对下列地区内个人适用的本政策其他部分作出补充。如与本政策其他部分相冲突，在当地法律要求的范围内，本节对该地区内的个人优先适用。如需行使此处所述的任何权利，请发送电子邮件至 privacy@scapbot.ai；我们将按第15.4节所述方式验证您的身份。

如果您是终端客户，您所联系的企业是您数据的数据控制者（第3节）。您可以直接联系该企业，也可以按第9.11节和第15节所述联系我们，我们将处理您的请求或协助该企业处理。

13.1. 欧洲经济区、英国和瑞士

如果您身处欧洲经济区（EEA）、英国或瑞士，则除本政策外，还适用《通用数据保护条例》（欧盟）2016/679（GDPR）、英国 GDPR 和《2018年数据保护法》，或瑞士《联邦数据保护法》（FADP）（视情况而定）：

• **控制者和处理者。**ScapBot 是用户账户数据的控制者（第1节），并且是终端客户数据的处理者，代表作为控制者的企业并按其指示处理该数据（第3节）。
• **法律依据。**我们依赖第4.1节所述的法律依据：履行合同（GDPR 第6(1)(b)条）、同意（第6(1)(a)条）、合法利益（第6(1)(f)条）和法定义务（第6(1)(c)条）。在我们履行欧盟、欧洲经济区成员国、英国或瑞士法律以外的法律所规定义务（例如越南会计法或越南机关的要求）时，我们依赖我们遵守这些义务的合法利益。
• **您的权利。**您享有访问权、更正权、删除权、限制处理权、数据可携权和反对权（包括对直接营销的绝对反对权）、随时撤回同意的权利，以及与仅基于自动化处理作出的、对您产生法律效力或类似重大影响的决定相关的权利。
• **投诉。**您有权向监管机关提出投诉——特别是向您经常居住地、工作地或涉嫌侵权行为发生地所在的欧洲经济区成员国的监管机关；在英国，向信息专员办公室（ICO）；在瑞士，向联邦数据保护和信息专员（FDPIC）。
• **国际传输。**您的个人数据被传输至越南以及第5.2节所列的其他国家。向欧盟委员会、英国政府或瑞士联邦委员会（视情况而定）尚未认定为提供充分保护水平的国家进行传输时，我们将依赖欧盟委员会的标准合同条款（视情况附加英国国际数据传输附录或瑞士的调整条款），或法律允许的其他传输机制。您可以通过 privacy@scapbot.ai 索取相关保障措施的副本。
• **代表。**在 GDPR 或英国 GDPR 第27条或 FADP 要求我们指定代表的情况下，我们将予以指定，并在本政策中公布该代表的联系方式。
• **答复时限。**我们在15个工作日内答复（第9节），且无论如何都在 GDPR、英国 GDPR 或 FADP 规定的期限内答复。

13.2. 美国

如果您是制定了综合性消费者隐私法的美国州的居民——例如经《加州隐私权法》修订的《加州消费者隐私法》（CCPA/CPRA）——则以下内容适用于您：

• **收集的类别。**我们收集，并且在过去12个月内已收集下列类别的个人信息，其来源和目的见第2节至第4节：标识符（姓名、电子邮箱地址、账户 ID、IP 地址、Cookie 和设备标识符）；客户记录（姓名、电子邮箱地址，以及在提供的情况下的电话号码）；商业信息（充值码和交易记录）；互联网或其他电子网络活动（活动日志，以及在我们的营销页面上通过 Google Analytics 和 Meta Pixel 收集的浏览数据）；源自 IP 地址的大致地理位置；音频或视觉信息（头像图片和您上传的图片）；职业或业务信息（业务数据和员工信息）；以及账户登录凭据（电子邮箱和密码），这属于敏感个人信息，我们仅将其用于验证您的身份和保护您的账户。我们按第8节所述保存每一类别，并为业务目的向第5.1节所列的服务提供方披露个人信息。
• **出售和共享。**我们不会为金钱而出售个人信息，并且我们绝不出售或共享终端客户数据或来自已登录应用区域的数据（第5.4节）。根据某些州的法律，唯一可能被视为为跨情境行为广告或“定向广告”而“出售”或“共享”个人信息的披露，是我们公开营销页面上的 Meta Pixel 及相关广告 Cookie（_fbp、_fbc），它们仅在您同意后才会启用（第5.4节和第10节）。您可以随时通过在我们网站的 Cookie 设置中拒绝或撤回同意来选择退出；在法律要求时，我们还会将受法律认可的退出偏好信号（例如 Global Privacy Control）视为退出请求。我们不会明知地出售或共享16岁以下消费者的个人信息。
• **您的权利。**在经过验证并受法律规定的例外情形限制的前提下，您有权知悉我们收集了哪些关于您的个人信息（包括类别和具体内容）、删除这些信息、更正不准确的个人信息、选择退出个人信息的出售或共享以及定向广告，并限制敏感个人信息的使用（我们仅将其用于法律不允许您限制的目的）。
• **如何行使权利及申诉。**请发送电子邮件至 privacy@scapbot.ai。我们将按第9节和第15.4节所述方式验证您的身份，并在法律要求的期限内答复。如果我们拒绝您的请求，您可以回复我们的答复提出申诉；如果您的申诉被驳回，您可以联系您所在州的总检察长。
• **授权代理人。**您可以委托授权代理人代表您提交请求。我们可能要求代理人提供您签署的书面许可，并可能要求您直接向我们验证您的身份，除非该代理人持有有效的授权委托书。
• **不歧视。**我们不会因您行使上述任何权利而歧视您，例如拒绝向您提供本服务、向您收取不同的价格或提供不同水平的质量。
• **终端客户数据。**当我们代表企业处理终端客户数据时（第3节），我们担任该企业的服务提供者（service provider）或处理者。请求应向该企业提出，我们将依法予以协助；您也可以按第9.11节和第15节所述联系我们。

13.3. 日本

如果您身处日本，则除本政策外，还适用日本《个人信息保护法》（APPI）：

• **利用目的。**我们仅为第4节所述目的（并如第2、3和6节进一步说明）利用个人信息，并且除 APPI 允许的情形外，未经您同意，我们不会在为实现这些目的所必需的范围之外处理个人信息。
• **向第三方提供。**除 APPI 允许的情形外，未经您事先同意，我们不会向第三方提供个人数据——例如，我们在为实现利用目的所必需的范围内，将个人数据的处理委托给第5.1节所列的服务提供方，或法律要求提供的情形（第5.3节）。
• **向外国的第三方提供。**您的个人数据被提供给越南并存储于越南，并可能被提供给美国、卢森堡和阿拉伯联合酋长国的服务提供方，以及 Cloudflare、TikTok、Telegram 和 Polar 开展业务的其他国家（第5.2节）。在 APPI 要求就此类提供取得您同意的情况下，我们将在提供 APPI 所要求的信息后取得您的同意；应您的请求，我们将提供有关接收方所在国家个人信息保护制度的信息，以及接收方为保护个人数据所采取措施的信息。
• **安全管理措施。**我们采取第7节所述的技术性和组织性安全管理措施，包括基于最小权限原则的访问控制、审计日志、传输加密和文档加密，以及各企业数据的隔离。由于个人数据存储于越南，我们在了解越南个人数据保护制度的基础上实施这些措施（第13.10节）。
• **您的请求。**您可以通过发送电子邮件至 privacy@scapbot.ai，请求告知利用目的、披露您的保有个人数据（包括向第三方提供的记录）、更正、追加或删除、停止利用或消除，以及停止向第三方提供。
• **经营者。**ScapBot Technology Joint Stock Company，Villa 1B10, My Dinh 1 Urban Area, Tu Liem Ward, Hanoi, Vietnam。我们代表人的姓名可通过 privacy@scapbot.ai 应请求提供。
• **咨询和投诉。**请联系 privacy@scapbot.ai。您也可以联系日本个人信息保护委员会。

13.4. 大韩民国

如果您身处大韩民国，则除本政策外，还适用韩国《个人信息保护法》（PIPA）：

• **收集项目、目的和保存。**我们收集的个人信息项目列于第2节和第3节，处理目的见第4节，保存期限见第8节。保存期限届满或处理目的已实现时，除非法律要求保留，我们将通过永久删除的方式及时销毁个人信息（第8节和第15.2节）。
• **委托和向第三方提供。**我们将处理工作委托给第5.1节所列的服务提供方，委托事项如该处所述。我们仅在取得您同意或法律允许的情况下向第三方提供个人信息（第5.3节）。
• **向境外传输。**当您使用本服务时，个人信息通过加密连接（HTTPS/TLS）被传输：(i) 传输至越南，由 ScapBot Technology Joint Stock Company（privacy@scapbot.ai）为第4节所述目的并在第8节所述期限内存储；以及 (ii) 传输至第5.1节所列的服务提供方，其传输的国家、项目和目的如该表及第5.2节所述，期限为各提供方履行其服务所必需的期间。这些传输是依据我们与您的合同提供本服务所必需的。您可以通过不连接相关渠道或功能，或通过删除您的账户（第15.2节）来拒绝传输；如果您拒绝本服务所必需的传输，您可能无法使用本服务的全部或部分功能。
• **您的权利。**您本人或您的法定代理人或授权代理人，可以通过发送电子邮件至 privacy@scapbot.ai，请求查阅、更正或删除您的个人信息，或请求停止处理您的个人信息，并可撤回同意。
• **Cookie。**我们按第10节所述使用 Cookie。您可以通过浏览器设置或我们的 Cookie 设置拒绝非必要 Cookie；必要 Cookie 是本服务正常运行所必需的。
• **安全措施。**我们的技术性和组织性措施见第7节。
• **个人信息保护负责人。**个人信息保护负责人可通过 privacy@scapbot.ai 联系。在 PIPA 要求我们在韩国指定境内代理人的情况下，我们将予以指定，并在本政策中公布该代理人的联系方式。
• **救济。**您可以向个人信息纠纷调解委员会申请纠纷调解，或向韩国互联网振兴院（KISA）运营的个人信息侵害举报中心举报侵权行为。

13.5. 中华人民共和国

如果您身处中国大陆，则除本政策外，还适用《中华人民共和国个人信息保护法》（PIPL）：

• **角色和法律依据。**ScapBot 是用户账户数据的个人信息处理者，并作为使用 ScapBot 的企业的受托人处理终端客户数据（第3节）。我们依据 PIPL 允许的依据处理个人信息，包括您的同意，以及为订立或履行与您的合同或履行法定义务所必需的处理；我们不依赖合法利益（第4.1节）。
• **单独同意。**在 PIPL 要求取得您单独同意的情况下——例如向中华人民共和国境外提供您的个人信息、处理敏感个人信息，或向其他个人信息处理者提供您的个人信息——我们将在该处理之前取得您的单独同意。
• **跨境提供。**由于个人数据存储于越南的服务器上，使用本服务涉及向中华人民共和国境外提供您的个人信息。境外接收方：ScapBot Technology Joint Stock Company（越南；privacy@scapbot.ai）以及第5.1节所列的服务提供方，所在国家见第5.2节。处理的目的和方式：第4节、第5.1节和第6节。个人信息的种类：第2节、第3节和第5.1节。您可以通过联系 privacy@scapbot.ai，向任何境外接收方行使您在 PIPL 下的权利。在需要时，我们将遵守 PIPL 关于个人信息出境的条件（例如个人信息出境标准合同）。
• **敏感个人信息。**本政策所述的某些信息可能属于 PIPL 下的敏感个人信息（例如金融账户或交易信息，或终端客户选择包含在消息中的信息）。我们仅在严格必要时、为本政策所述的特定目的处理这些信息，并采取第7节所述的保护措施，且在 PIPL 要求时取得您的单独同意。本服务不面向18岁以下的人员（第11节），我们也不会明知地处理14岁以下未成年人的个人信息。
• **您的权利。**您有权知悉并决定对您个人信息的处理；限制或拒绝对其的处理；查阅和复制；在符合有权机关规定条件的情况下请求将其转移至其他个人信息处理者；更正、补充和删除；撤回同意；以及要求我们对个人信息处理规则作出解释说明。请通过 privacy@scapbot.ai 行使这些权利。
• **代表。**在 PIPL 要求我们在中华人民共和国境内设立专门机构或指定代表的情况下，我们将予以设立或指定，并按要求向有权机关报送其信息。
• **投诉。**您可以向有权的个人信息保护机关提出投诉。

13.6. 泰国

如果您身处泰国，则除本政策外，还适用《个人数据保护法》B.E. 2562（2019年）（PDPA）：

• **法律依据。**我们依据第4.1节所述的依据——合同、同意、合法利益和法定义务——处理个人数据，这些依据与 PDPA 认可的依据相对应。在 PDPA 要求的情况下，包括对敏感个人数据，我们取得明示同意。
• **您的权利。**您有权撤回同意；访问并获取您个人数据的副本，并在您未同意的情况下要求披露其获取方式；数据可携；反对处理；要求删除、销毁或匿名化您的个人数据；限制处理；以及要求更正您的个人数据并使其保持准确、最新和完整。
• **跨境传输。**您的个人数据被传输至越南以及第5.2节所列的国家。在目的地国家不具备充分数据保护标准的情况下，我们仅依据 PDPA 允许的依据传输个人数据，例如适当的保障措施、传输对于履行我们与您的合同所必需，或您的同意。
• **代表和数据保护官。**在 PDPA 要求我们在泰国指定代表或任命数据保护官的情况下，我们将予以指定或任命，并在本政策中公布其联系方式。
• **泄露通知。**我们在 PDPA 规定的期限内通知个人数据保护委员会办公室，并在需要时通知您（第7.3节）。
• **如何行使权利及投诉。**请发送电子邮件至 privacy@scapbot.ai。您也可以向个人数据保护委员会提出投诉。

13.7. 印度尼西亚

如果您身处印度尼西亚，则除本政策外，还适用2022年第27号《个人数据保护法》（“PDP 法”）：

• **法律依据。**我们依据 PDP 法规定的依据处理个人数据，包括您的明示同意、履行与您的合同、遵守法定义务和合法利益，具体对应关系见第4.1节。
• **您的权利。**您有权获知控制者的身份、处理的法律依据和目的；补充、更新和更正您的个人数据；访问并获取其副本；终止对其处理，并要求将其删除或销毁；撤回同意；反对仅基于自动化处理（包括画像）作出的、具有法律效力或对您产生重大影响的决定；延迟或限制处理；以常用的机器可读格式获取您的个人数据并将其传输给另一控制者；以及就违法行为提起诉讼并获得赔偿。
• **跨境传输。**您的个人数据被传输至越南以及第5.2节所列的国家。我们仅在 PDP 法允许的情况下进行此类传输——传输至个人数据保护水平相当或更高的国家、以充分且具有约束力的保障措施为前提，或取得您的同意。
• **期限。**在 PDP 法及其实施条例就答复您的请求或通知个人数据泄露规定的期限短于第7.3节和第9节所述期限的情况下，我们遵守这些更短的期限。
• **如何行使权利及投诉。**请发送电子邮件至 privacy@scapbot.ai。您也可以向 PDP 法指定负责监督个人数据保护的机关提出投诉。

13.8. 柬埔寨

• 截至本政策生效日，柬埔寨尚无生效的综合性个人数据保护法律。
• 我们将本政策的保护措施，包括第9节所述的权利，适用于柬埔寨境内的个人。
• 我们遵守柬埔寨的适用法律，例如《电子商务法》（2019年）和《消费者保护法》（2019年）。
• 您的个人数据被传输至越南以及第5.2节所列的国家，并采取该处所述的保障措施。
• 如果柬埔寨通过个人数据保护法，我们将按该法律的要求更新本政策。
• 如需行使您的权利或提出问题，请发送电子邮件至 privacy@scapbot.ai。

13.9. 老挝

如果您身处老挝人民民主共和国，则除本政策外，还适用《电子数据保护法》（2017年）：

• 我们仅为第4节所述目的，并在该法要求时经您同意，收集、使用和披露您的电子数据。
• 在该法要求在向第三方（包括老挝境外的接收方）披露或传输您的电子数据之前取得您同意的情况下（第5.1节和第5.2节），我们将取得您的同意。
• 您可以通过发送电子邮件至 privacy@scapbot.ai，请求访问、更正或删除您的电子数据，并可撤回您的同意。
• 我们采取第7节所述的技术性和组织性措施保护您的电子数据。
• 在该法要求就数据泄露发出通知的情况下，我们将按要求通知有权机关和受影响的个人（第7.3节）。

13.10. 越南

越南法律是我们处理个人数据的本国法律框架：

• 适用法律。《2025年个人数据保护法》（第 91/2025/QH15 号）及其细则第 356/2025/ND-CP 号议定，以及《2025年网络安全法》（第 116/2025/QH15 号）及其细则第 333/2026/ND-CP 号议定。
• **您的权利。**您享有第9.1节至第9.10节所述的权利：知情权、同意权、访问权、撤回同意权、删除权、限制处理权、数据可携权、反对权、投诉权和获得赔偿权。我们将在15个工作日内答复发送至 privacy@scapbot.ai 的请求（第9节）。
• **数据存储于越南。**我们在越南境内的服务器上保存越南用户个人数据的副本（第5.2节）。
• **影响评估。**我们已按照规定编制了跨境数据传输影响评估（第5.2节）。
• **数据泄露。**依据《2025年个人数据保护法》的要求，我们在发现泄露后最迟72小时内通知公安部网络安全与高科技犯罪防控局（A05）（第7.3节）。
• **保存。**账户数据（例如账户名称、使用期间、电子邮箱、电话号码以及最近的登录和登出 IP 地址）依据《2025年网络安全法》和第 333/2026/ND-CP 号议定存储于越南；有权机关要求保留时，相关数据至少保存24个月。交易记录依据会计和税务法律的要求保存（第8节和第15.2节）。
• **投诉。**您可以向 ScapBot 或公安部网络安全与高科技犯罪防控局（A05）提出投诉（第9.9节和第15.5节）。

14. 联系方式

如果您对本隐私政策有疑问，或希望行使您的数据权利：

• **数据控制者：**ScapBot Technology Joint Stock Company
• **注册地址：**Villa 1B10, My Dinh 1 Urban Area, Tu Liem Ward, Hanoi, Vietnam
• **隐私邮箱：**privacy@scapbot.ai
• **支持邮箱：**support@scapbot.ai
• 网站：https://scapbot.ai

15. 数据删除说明

本节是我们在 Meta 开发者应用设置中引用的公开数据删除说明。说明按您的身份分类：向已连接 ScapBot 的 Facebook 主页发送过消息的终端客户、在已连接 ScapBot 的 TikTok 账户下评论或向其发送过消息的 TikTok 用户（第15.1b节），或拥有 ScapBot 账户的企业用户。

15.1. 适用于终端客户（Facebook Messenger 用户）

您曾向已连接 ScapBot 的 Facebook 主页发送过消息。运营该主页的企业是数据控制者；ScapBot 代表该企业担任数据处理者。您有两个渠道可请求删除（A、B），以及一种撤销访问权限的方式（C）。

渠道 A——直接向 ScapBot 发送电子邮件请求

如果您无法联系该企业，或希望留下书面记录，建议采用此途径。

1. 向 privacy@scapbot.ai 发送电子邮件，主题行必须完全一致：Data Deletion Request — Facebook Messenger
2. 在正文中提供以下标识符中的任意一项（提供其中一项即可）：
   • 您的 Facebook 主页范围用户 ID（PSID）——一个可在您与该主页的对话中看到的数字标识符（供高级用户使用），或
   • 您发送消息的 Facebook 主页名称，以及您发送消息的大致日期范围
3. 我们将在3个工作日内确认收到，并在30个日历日内完成删除。删除完成后，您将收到一封确认电子邮件。

电子邮件模板（可复制粘贴）：

To: privacy@scapbot.ai
Subject: Data Deletion Request — Facebook Messenger

您好，

我是一名 Facebook 用户，曾在大约 [开始日期] 至 [结束日期] 期间
向主页“[主页名称]”发送过消息。

我请求 ScapBot 删除其持有的所有关于我的个人数据，包括我的姓名、
头像、主页范围用户 ID（PSID），以及代表该企业收集的任何对话历史。

[可选：PSID = ...]

谢谢。

[您的 Facebook 显示名称]

渠道 B——询问运营该主页的企业

企业是数据控制者。如果您信任该企业，可以请其向 ScapBot（privacy@scapbot.ai）提交针对您数据的删除请求（使用渠道 A 中的电子邮件模板，并附上主页名称和大致日期范围）。ScapBot 按渠道 A 同样的方式处理：3个工作日内确认收到，30个日历日内完成删除。

注意：当企业断开或移除该主页时（仪表板 → 效能 → 连接 → 销售技能 → 消息平台 → Facebook），ScapBot 会立即停止对该主页的一切访问，但已收到的数据会被保留，以便企业在重新连接时不丢失其历史记录。仅在收到删除请求时，或企业删除其 ScapBot 账户时，数据才会被删除。

渠道 C——通过 Facebook 撤销 ScapBot 的访问权限

您也可以撤销授予 ScapBot 的、与您 Facebook 账户有关的任何权限：

1. 访问 https://www.facebook.com/settings?tab=apps
2. 找到任何使用 ScapBot 的企业应用
3. 点击移除
4. 移除后，ScapBot 无法再从 Facebook 获取有关您的新的个人资料数据。此前收到的数据仍会保留，直至您通过渠道 A 请求删除。

15.1b. 适用于终端客户（TikTok 用户）

您曾在已连接 ScapBot 的企业 TikTok 账户的视频下发表评论，或向其发送过私信。该企业是数据控制者；ScapBot 代表该企业担任数据处理者。您有两个渠道可请求删除您的数据。

渠道 A——直接向 ScapBot 发送电子邮件请求

向 privacy@scapbot.ai 发送电子邮件，主题行必须完全一致：Data Deletion Request — TikTok

请提供您的 TikTok 用户名、该企业的 TikTok 用户名以及大致日期范围。

我们将在3个工作日内确认收到，并在30个日历日内完成删除。删除完成后，您将收到一封确认电子邮件。

电子邮件模板（可复制粘贴）：

To: privacy@scapbot.ai
Subject: Data Deletion Request — TikTok

您好，

我是一名 TikTok 用户（@[您的用户名]），曾在大约 [开始日期] 至 [结束日期] 期间
对 TikTok 账户“@[企业用户名]”发表过评论或发送过消息。

我请求 ScapBot 删除其持有的所有关于我的个人数据，包括我的用户名、
显示名称、头像，以及代表该企业收集的评论和消息。

谢谢。

渠道 B——询问企业

企业是数据控制者。您可以请企业在 ScapBot 中删除您的对话。

15.2. 适用于企业用户（ScapBot 账户持有人）

您已在 https://scapbot.ai 为您的企业注册了账户。

通过电子邮件请求删除账户

使用您账户上登记的电子邮箱地址向 privacy@scapbot.ai 发送电子邮件，主题为 Data Deletion Request — ScapBot Account。我们将在3个工作日内确认收到，并在30个日历日内完成删除。

账户删除涵盖：

• 您的账户、密码和登录会话
• 所有已连接的 Facebook 主页、TikTok 企业账户、Zalo OA、Telegram 机器人、WhatsApp Business 号码、Viber 机器人、Line 账户
• 通过您已连接的渠道收到的所有对话、消息和客户个人资料
• 您创建的所有 AI 助手，及其配置和知识库
• Cloudflare R2 上所有已上传的文档和产品图片
• 所有 Google Drive 同步状态

我们依法必须保留的记录

根据越南税务和会计法律，即使在账户删除之后，我们仍会保留以下内容：

• 交易记录（用于会计目的——至少5年）
• 汇总的匿名化使用统计数据（不含任何可识别个人身份的信息）

这些记录不包含您的全名、电子邮箱，或任何可追溯到您的其他标识符。

15.3. 答复时限

15.4. 身份验证

为防止欺诈性删除请求，我们可能要求您验证身份：

• **终端客户：**通过您的账户在 Facebook Messenger 上发送的确认消息，或您与该主页对话的截图
• **TikTok 用户：**通过您的 TikTok 账户发送的确认消息，或您的评论或对话的截图
• **企业用户：**发送至您 ScapBot 账户所登记电子邮箱地址的 OTP

我们绝不会索要您的密码。

15.5. 申诉

如果您对我们的答复不满意，您可以：

• 回复我们的确认邮件，说明您的关切
• 向**越南公安部网络安全与高科技犯罪防控局（A05）**提出投诉
• 如果您身处越南境外，向您所在国家的数据保护机关提出投诉（第13节）
• 对于 Facebook 特有的问题，您也可以通过 https://www.facebook.com/help/contact 直接联系 Meta

16. 版本历史