我们收什么，不收什么。
这份文本描述首个版本实际的数据处理方式，按字段逐项列出，而不是用「等信息」概括。凡是没有写进下面清单的字段，客户端就不会上传。
本文为随首个版本一同发布的草案，尚未生效，且仍需在正式发布前完成法律审核。生效日期、处理者姓名与公开受理联系方式将在发布时补齐；在此之前，下面描述的处理边界仍然按原样执行。
一、谁在处理这些数据
TradingCopilot 由个人发行者发行与运营，不是公司主体。发行者的姓名、常住地与公开受理联系方式，将在首个版本正式发布时在本页列出——在完成之前，我们不在这里写一个未经核实的名字或地址。
在此之前，任何与数据相关的问题都可以发送到支持邮箱，我们按支持页写明的响应目标处理。
二、基本原则
- 最小化：只处理为了让软件能装、能升级、能统计安装规模所必需的字段。
- 本地优先：交易相关的一切都在你的电脑上完成，不经过我们的服务器。
- 可分开选择：必要联网数据与可选诊断永远是两个独立开关，不合并成一个「同意」按钮；首个版本还没有诊断上传通道，见第五节。
- 不变现数据：不用于广告、跨产品画像，不出售也不交换。
- 先更新文本，再变更处理：新增字段不沿用旧版本的概括性说明。
三、我们处理的字段
| 类别 | 具体字段 | 用途 |
|---|---|---|
| 安装身份 | 随机安装标识、服务端凭据的哈希（凭据轮换期间还有上一份哈希及其失效时刻）、注册时间、最后活动时间、撤销时间 | 识别安装实例、支持凭据轮换与撤销 |
| 兼容信息 | 客户端版本号、Windows 大版本（windows-10 / windows-11 / windows-other）、CPU 架构（x64 / arm64） | 判断兼容性、统计版本分布 |
| 运营标记 | 发行渠道、测试标记 | 把开发与测试用的安装排除出正式报表 |
| 注册重试记录 | 注册时一次性幂等键的哈希、请求指纹的哈希、对应的安装标识、24 小时有效期 | 让一次超时重试拿回同一个结果，而不是又多建一个安装 |
| 活动事实 | 安装标识、按北京时间计的活动日期、当日首次与最后一次服务端时间、活动来源类别 | 统计活跃安装数 |
| 请求与安全日志 | 请求关联 ID、服务端时间、路由模板、状态码、错误码，以及必要的来源 IP | 排查故障、限流与安全事件 |
| 管理操作审计 | 管理员身份 ID、操作、对象 ID、结果、服务端时间、请求关联 ID | 追溯发布与权限变更 |
| 支持请求 | 你主动提供的联系方式、问题描述、附件与处理记录 | 回复你的问题 |
来源 IP 可能被边界节点或应用服务器在连接时接触。我们不把完整 IP 写入活跃统计、不用它做广告画像或跨站追踪；只有最小安全日志在限定期限内保留，日志里也不记录令牌、请求秘密或完整的敏感正文。
安装标识是随机生成的，不由账户号、机器名或硬件序列号推导。同一个人重装、换电脑或在同一台电脑上换一个 Windows 用户，都会形成新的安装标识，我们无法把新旧两个标识认成同一个人，也不打算做到；因此我们的统计口径是「活跃安装」，不是「用户人数」。
服务端不保存可以直接拿来认证的凭据原文，只保存带环境密钥的哈希。日常上报只有三个字段：客户端版本号、Windows 大版本、CPU 架构；请求里没有任何时间字段，活动日期由服务端按北京时间（UTC+8）自己换算，你本机的时钟说了不算。
带测试标记的安装从全部正式报表中排除。安装被禁用或撤销后不再产生新的活动事实，已经发生的历史事实照常保留、不会被回头改写；只有依法删除时才移除可关联到你的明细，留下无法回溯到个人或安装的汇总结果。
四、默认禁止上传的内容
以下内容不会被客户端上传，也不会出现在我们的数据库里——不是「有表但承诺不看」，而是没有这些字段。
- MT4 / MT5 密码、投资者密码、经纪商认证材料、令牌与私钥。
- 交易账户号、经纪商名称、登录服务器名称或地址。
- 余额、净值、保证金、持仓、挂单、成交、交易历史、品种偏好与策略参数。
- Windows 用户名、机器名、MAC 地址、磁盘序列号、广告标识或组合式设备指纹。
- 精确位置、通讯录、剪贴板、屏幕内容、任意用户文件与未清理的内存转储。
- 任何用于广告、跨产品画像、出售或交换的数据。
登录服务器的本地保存功能只在你的电脑上写文件，保存的密码由 Windows DPAPI 在本机加密并绑定当前 Windows 用户。这项功能不涉及任何上传。
五、可选诊断
首个版本没有诊断上传通道：客户端不会把崩溃堆栈、性能数据或日志发到我们的服务器，服务端也没有接收它们的接口。这一节先写在这里，是因为下面这些规则在通道存在之前就已经定死。
- 默认关闭。将来若增加这项能力，它必须是设置里一个需要你主动打开、之后随时可以关闭的独立开关，不与必要联网数据合并成一个「同意」按钮。
- 范围固定：只允许上传崩溃类型、经过清理的堆栈与模块名、性能区间、产品版本和请求关联 ID。
- 上传前必须在本机扫描并移除账户号、文件路径、令牌和自由文本。
- 关闭后停止新的上传；已经形成的数据按下面的保留期删除。
- 拒绝可选诊断不会停用本机的任何交易功能。
- 不接入第三方广告、行为分析、会话录屏或键盘鼠标跟踪组件。
- 启用之前先更新本页并标注版本与生效日期，不把新增的字段藏进一次版本更新里。
客户端设置里现有的诊断面板只读取本机的运行状态，供你自己排查、或在写信时照着抄几个数值。它不联网，也不会把任何内容发给我们。
六、保留期
| 数据 | 保留期 | 到期处理 |
|---|---|---|
| 活跃安装身份 | 最后一次有效活动后 24 个月；你撤销或请求删除后目标 30 日内 | 删除可关联到你的资料 |
| 每日活跃与版本明细 | 12 个月 | 删除安装级明细，只保留不可逆汇总 |
| 注册重试记录 | 24 小时 | 到期失效并删除 |
| 匿名汇总 | 36 个月 | 到期删除 |
| 访问与安全日志（含必要 IP） | 30 日 | 自动轮转删除 |
| 管理操作审计 | 12 个月 | 到期删除 |
| 支持请求 | 工单关闭后 12 个月 | 删除联系方式、正文与附件 |
| 加密备份 | 30 日滚动 | 自动过期 |
| 委托与影响评估等合规材料 | 至少 3 年，或适用规则要求的更长期限 | 到期审核后安全删除 |
如果处理目的提前消失、产品停止运营，或你依法提出要求，我们会提前删除或匿名化，不等到期限届满。恢复旧备份之后会重新执行删除清单，不让已经删掉的数据因为一次恢复而复活。
七、谁会接触到这些数据
我们不把你的数据提供给广告商或数据经纪。下面是为了让服务跑起来而必须使用的服务提供方，以及它们各自能接触到什么：
| 接收方 | 角色 | 接触到的数据 |
|---|---|---|
| 静态托管与对象存储服务商 | 分发官网页面与安装包；同一服务商的另一个私有存储桶承载加密备份 | 访问官网与下载安装包时产生的网络请求；备份内容为加密后的数据 |
| 云服务器提供方（中国香港） | 承载后端服务与数据库 | 第三节列出的全部必要联网数据 |
| 邮件服务提供方 | 收发支持邮件 | 你写信时提供的联系方式、问题描述与附件 |
| 发行者本人（当前在澳大利亚） | 运维、支持与数据权利受理 | 按最小必要访问上述数据，管理操作纳入审计 |
正式发布时，本表会补齐各接收方的具体名称、所在地区与合同角色。除经批准的故障处理与脱敏测试资料外，生产数据不下载到日常开发电脑。
八、数据存放在哪里
- 后端服务与数据库托管在中国香港的服务器上。
- 官网与安装包通过第三方静态托管与对象存储分发；加密备份存放在另一个私有存储桶里，公开的下载入口访问不到备份、私钥或环境配置。
- 发行者当前常住澳大利亚，因此运维与支持访问可能来自澳大利亚；发行者计划在 2027 年返回中国大陆，届时会按实际访问位置更新本节并重新评估。
涉及跨境处理时，我们按最终法律审核结果落实单独告知与单独同意，并完成适用的个人信息保护影响评估，不用「启动即同意」代替明确流程。
九、你的权利与入口
本站支持页现在就可以受理下面每一项；首个版本发布时，客户端设置页会提供同样的入口。
- 查看当前的数据规则及其版本（随首个版本内置，可离线阅读）；
- 在可选诊断存在之后开关它——首个版本没有这项能力，因此也没有这个开关；
- 撤销安装身份，并请求删除与该安装关联的在线明细；
- 申请查阅、复制、更正、限制处理或删除；
- 投诉，或举报安全与隐私问题；
- 查询请求进度并获得明确答复。
处理删除请求时，我们只验证你对目标安装的控制权，不会把提交身份证件作为默认的验证手段。目标是 1 个工作日内确认收到，30 个自然日内完成或说明合理延迟。撤销安装身份只停掉云端能力，不会远程关停你电脑上的软件，也不会删除本机的配置档。
十、未成年人
本软件面向具备完全民事行为能力的成年交易者，不面向未成年人提供服务，也不主动收集未成年人的个人信息。如果我们发现误收了未成年人的个人信息，会尽快删除。
十一、本文的变更
如果处理的字段、用途、保留期或接收方发生变化，我们会先更新本页并标注版本与生效日期，再让改动生效。新增字段不会沿用旧版本的概括性说明；涉及需要单独同意的情形，会重新征求同意，而不是把它藏进一次版本更新里。