本隐私政策说明 FormFlow（"我们"）如何处理个人数据。FormFlow 是一个无界面表单后端：客户将自己的 HTML 表单指向 FormFlow 的 URL，我们接收、过滤、存储并转发由此产生的提交。
1. 我们的两种角色
FormFlow 以两种不同的角色处理两类不同的数据：
- 账户数据——我们是控制者。 有关我们客户（持有 FormFlow 账户的人）及其计费的信息。由我们决定如何使用这些数据及其用途。
- 提交数据——我们是处理者。 客户通过表单收集的内容。收集什么、为何收集由客户决定；我们代表客户并按其指示进行处理。
填写客户表单的人是"提交者"。如果您是提交者，希望就您提供的资料行使权利，请与您所用表单的客户联系——他们控制着该数据。我们将以处理者的身份协助该客户。
2. 我们控制下的账户数据
当您创建并使用 FormFlow 账户时，我们持有：
- 身份信息： 您的姓名、电子邮箱地址，以及经安全散列处理的密码。
- 团队与计费信息： 您的团队名称、套餐、账单联系邮箱，以及在 Paddle 的客户和订阅编号。我们绝不存储完整的银行卡号；支付详情由 Paddle 处理。
- 使用记录： 运行服务所需的记录，例如提交被接收和被读取的时间。
我们使用这些数据来提供和保障服务、向您计费、发送服务和交易类邮件，并履行我们的法律义务。在您的账户存续期间我们会保留这些数据，之后的处理见第 6 节。
3. 我们处理的提交数据
对于客户表单收到的每次提交，我们处理：
- 表单负载数据 — 提交者输入的字段值。这完全由客户的表单决定；我们不会读取负载数据挪作他用。
- 请求元数据 — 对提交者 IP 地址的单向 HMAC 密钥化表示（我们从不存储原始 IP）、浏览器 user-agent 以及请求来源。此类元数据用于支持垃圾信息过滤。
我们仅出于向客户提供服务的目的处理提交数据：过滤垃圾信息、存储提交并将其送达客户选择的目的地。HMAC 密钥化的 IP 和 user-agent 将在 30 天后自动清除。当客户删除某个表单时，其提交也随之删除。
被拒绝的提交。 当客户自身的设置导致我们拒绝某次提交——例如不满足某条 schema 规则，或来源站点不在其许可名单中——我们会将相同的数据保留同样的 30 天，以便客户查看被拒绝的内容及原因，并在拒绝属于客户自身失误时予以恢复。被拒绝的记录在该期限结束时彻底删除，而不是以精简形式保留。
预检停滞记录。 当提交者填写了某个字段、FormFlow 显示了自己的错误消息、而这次尝试最终没有提交时，我们可能保留表单、字段名、错误消息和一个短时效的随机尝试密钥，以便客户了解是哪项设置让访客却步。对于中断记录，我们不存储答案、原始 IP、HMAC 密钥化的 IP 或浏览器 user-agent。后续通过的检查或成功提交会立即将其解决；否则它将在配置的时限后（默认 30 分钟）被视为放弃，并在 30 天后与其他表单临时证据一并删除。
4. Cookie
FormFlow 仅使用严格必要的 Cookie 来保持您的登录状态并防范请求伪造。我们的垃圾信息防护使用 Cloudflare Turnstile，它在提交表单时可能会设置自己的 Cookie。经您同意后，FormFlow 会在 FormFlow 宣传主页上使用 Google Analytics 以了解页面浏览量的整体情况；只有当您允许统计分析后它才会运行。Google Analytics 可能会设置 _ga 等第一方 Cookie，并为此接收页面浏览量和浏览器/设备信息。该统计不会向 Google Analytics 发送任何账户、团队、表单、提交者或提交数据。您可随时通过宣传主页上的“隐私选项”控件更改您的选择。我们不使用广告或跨站跟踪 Cookie。
5. 服务提供商、Paddle 与国际传输
Paddle 是登记商户，也是支付、税务、欺诈防范、发票、退款和拒付数据的独立控制者。就上述目的而言，Paddle 不是 FormFlow 的次级处理者。相关处理受其自身隐私声明约束。
我们与少数代表我们处理数据的服务提供商共享数据：
- Cloudflare Turnstile — 机器人和垃圾信息验证（提交者在提交时的 IP 和浏览器信号）。
- Hostinger — 托管和数据库基础设施，以及提交摘要和交易邮件的发送，其中可能包含客户选择接收通知的提交内容。
- Google Analytics — 访客允许统计分析后，对 FormFlow 宣传主页页面浏览量的聚合统计。 参见 Google 的隐私政策。
这些提供商可能在阿拉伯联合酋长国境外处理数据。在此情况下，我们依靠适当的保障措施进行传输。列明我们次级处理者的《数据处理附录》可应客户要求发送至 info@formflow.digital。
6. 数据保留与账户注销
在您的账户存续期间，我们保留账户数据和提交数据。如果您注销账户，我们会将您的数据保留 30 天——以便您回归或导出——之后将其永久删除，备份则按其正常周期过期。您可以随时自行删除表单及其提交；如您提出要求，对于经验证的删除请求，我们也会提前执行。
终止或取消付费订阅会将团队转为 Free 套餐，但不会关闭账户或启动删除。只有明确的账户注销申请才会启动为期 30 天的注销期。
7. 安全
我们通过多项措施保护数据，包括密码散列、对提交者 IP 地址进行单向 HMAC 密钥化、传输流量加密以及访问控制。没有任何系统是绝对安全的，但我们致力于按照数据的敏感程度对其进行相应保护。
8. 您的权利
在适用法律范围内，您可以请求访问、更正、删除您的账户数据或获取其副本，也可以对某些处理提出异议或加以限制。要就您的账户数据行使这些权利，请通过 info@formflow.digital 联系我们。如果您的数据是通过他人的表单提交的，该客户即控制者——请联系他们，我们将以处理者身份为其提供支持。
9. 儿童
FormFlow 不面向儿童，仅面向年满 18 周岁的账户持有人。客户不得在缺乏适当同意的情况下故意使用其表单收集儿童数据。
10. 本政策的变更
我们可能会不时更新本隐私政策。我们会在此处发布更新后的版本，并更改上方的“最近更新”日期。
11. 联系我们
如有任何隐私问题，或需要行使您的权利，请通过 info@formflow.digital 联系我们。