一、引言与适用范围
1.1 本政策说明 Varrmall 平台运营方青岛小茼蒿信息技术有限公司（以下简称“平台”或“我们”） 在您访问官网、申请试用、注册登录与使用 Varrmall 商户后台及相关服务（以下统称“本服务”）时， 如何收集、使用、存储、共享和保护您的个人信息，以及您享有的权利。
1.2 本政策适用于：官网访客，商户主账号持有人，以及商户员工子账号使用者。
1.3 角色说明（重要）：本服务同时涉及两类个人信息，我们的角色不同——
- 您的账号信息、店铺经营信息与使用日志：平台是个人信息控制者，按本政策处理；
- 您店铺消费者的个人信息（订单收货信息、客服对话、浏览与加购记录等）： 您是控制者，平台仅作为受您委托的处理者，按您的指示与《数据处理协议》（DPA）处理， 不用于平台自身目的。消费者应向您主张其权利；消费者直接向平台提出请求时，平台会转交您处理并协助响应。
1.4 店铺前台的隐私告知（Cookie 同意弹窗、隐私政策页面等）由商户作为店铺经营者向消费者提供。 平台提供相应工具与模板支持，但最终内容与合规性由商户负责。
二、我们收集哪些信息
| 类别 | 具体信息 | 收集目的 |
|---|---|---|
| 官网访问信息 | 访问页面、来源渠道、浏览器与设备信息、脱敏 IP、访问时间 | 网站运行、访问统计与体验优化 |
| 账号与身份信息 | 手机号、邮箱、密码（加密存储）、姓名或昵称、角色 | 注册、登录与身份验证 |
| 主体与资质信息 | 企业或个体工商户名称、注册号、法定代表人、联系人、营业执照及平台要求的资质材料 | 入驻审核与合规核验 |
| 店铺经营信息 | 店铺名称、Logo、简介、二级域名、自定义域名、经营品类、地址、货币与语言设置、支付与物流渠道配置（密钥加密存储） | 开店、履约与店铺展示 |
| 经营业务数据 | 商品与分类、订单、退款、客户档案、优惠券、邮件模板、DIY 页面与文章、图片素材 | 提供各项业务功能 |
| 员工与权限信息 | 员工账号、姓名、角色与权限、操作记录 | 权限管理与安全审计 |
| 使用与设备信息 | 登录时间与 IP、操作日志、浏览器与设备信息、异常与风控记录 | 安全防护、风控与故障排查 |
| 计费与用量信息 | 套餐与账单、支付流水、Token 消耗明细 | 计费、对账与客服支持 |
| AI 交互内容 | 客服会话内容、提交翻译的文本与图片、GEO 采样关键词与结果 | 提供 AI 能力与效果监测 |
| 沟通记录 | 咨询与试用申请、工单、邮件与客服沟通内容 | 售前咨询、支持与纠纷处理 |
2.2 我们不会主动收集您的身份证件号码、生物识别信息、精确行踪或金融账户密码等敏感个人信息。 如业务确需（如实名或资质核验），我们会另行告知处理目的并征得您的同意。
三、我们如何使用信息
| 处理目的 | 说明 | 合法性基础 |
|---|---|---|
| 提供与履行服务 | 店铺开设，商品、订单、营销等功能运转 | 履行合同 |
| 身份验证与账号安全 | 注册、登录、密码重置、风控与异常检测 | 履行合同 / 合法利益 |
| 计费与账单 | 套餐与 Token 计费、对账 | 履行合同 / 法定义务 |
| 通知与服务消息 | 验证码、套餐到期提醒、安全告警 | 履行合同 / 合法利益 |
| 服务改进与统计 | 以汇总或去标识化方式分析功能使用情况 | 合法利益 |
| 合规与争议处理 | 配合监管与司法机关要求，处理投诉与纠纷 | 法定义务 / 合法利益 |
| 营销与产品推荐 | 新功能与优惠信息推送 | 同意（可随时退订） |
3.2 我们不会将您的个人信息用于对您产生重大影响的自动化决策。AI 功能输出的内容由您复核后使用。
四、我们如何共享、委托处理与对外提供
4.1 我们不会出售您的个人信息。仅在下列情形共享或委托处理：
| 类别 | 接收方 | 目的 | 涉及信息 |
|---|---|---|---|
| 云与存储服务 | 阿里云（含对象存储与图片服务） | 数据存储、备份与图片分发 | 本政策第二条所列各类数据 |
| AI 模型服务 | OpenAI、Google（Gemini）、Perplexity、阿里云百炼（通义千问）、DeepL | 提供翻译、AI 客服、图片处理与 GEO 采样能力 | 您提交的文本与图片内容、GEO 采样关键词 |
| 支付服务 | 支付宝，以及您自行签约的 PayPal、Stripe、Airwallex | 订阅收款与（如您启用）店铺收款 | 订单金额、商户号等必要信息；平台不接触完整银行卡号与支付密码 |
| 通信服务 | 短信服务商、邮件服务商 | 发送验证码、到期提醒与通知 | 手机号、邮箱、必要的通知内容 |
| 分析与诊断工具 | 您在店铺自行配置的第三方分析工具（如 Microsoft Clarity） | 店铺流量与访问体验分析 | 由您在店铺前台按其自身告知义务收集 |
| 专业服务与合规 | 审计、法律、会计服务商，以及监管与司法机关 | 合规、审计与争议处理 | 在必要范围内提供 |
4.2 AI 服务的传输提示：为提供 AI 翻译、AI 客服、AI 图片处理与 GEO 优化， 您提交的文本、图片及相关上下文会传输至上述 AI 服务商处理。请勿在相关功能中提交您不希望 传输至第三方或跨境的敏感信息。
4.3 发生合并、分立、重组或资产转让时，我们可能转移您的信息，并将要求承接方继续受本政策约束；否则我们会重新征得您的同意。
4.4 依法律要求，或为保护平台、您及他人的合法权益所必需时，我们可能披露必要信息。
五、跨境传输
5.1 我们的主要数据存储与服务部署在中国境内。
5.2 因使用境外 AI 模型、支付或邮件服务，部分信息可能被传输至境外。我们会通过签订标准合同条款、 选择具备合规资质的服务商、最小化传输字段等方式提供保护。您使用相关 AI 功能， 即表示知悉并同意上述必要的跨境传输；如您不希望信息出境，请停用相应功能。
六、Cookie 与类似技术
6.1 官网与商户后台使用的 Cookie 以必要类为主：
- 登录态：auth cookie（httpOnly，页面脚本不可读）；
- 安全：跨站请求伪造（CSRF）防护标识，用于校验写操作；
- 偏好：界面语言等本地偏好设置。
6.2 商户后台不使用用于跨站广告投放的营销类 Cookie，我们也不在商户后台嵌入第三方广告追踪脚本。
6.3 店铺前台（面向消费者）：平台提供 Cookie 同意组件，按“必要 / 功能 / 营销” 三类分别取得同意——必要类无需同意即可写入，功能类与营销类默认关闭并仅在消费者明确同意后写入； 消费者可随时通过前台的“Cookie 设置”入口查看与修改选择。我们记录同意与拒绝日志 （含时间戳、脱敏 IP、选择类型，保留 24 个月），作为合规举证材料。
6.4 您可以在浏览器中删除或阻止 Cookie，但这可能导致需要重新登录，或部分功能无法正常使用。
七、信息存储期限
7.1 我们按下列期限存储信息，到期后删除或匿名化处理：
| 数据类别 | 保留期限 | 依据 |
|---|---|---|
| 账号与店铺经营数据 | 服务期内；服务终止后保留 90 天 | 服务恢复与数据处置规则 |
| 订单、支付与退款记录（含消费者交易信息） | 7 年，到期后对个人信息作匿名化处理 | 财务与税务合规 |
| 套餐与 Token 计费流水 | 套餐终止后 2 年 | 计费与审计 |
| AI 客服对话记录 | 36 个月；逾期删除原始对话文本，仅保留统计数据 | 数据最小化与隐私合规 |
| Token 消耗日志 | 24 个月 | 用量与计费核对 |
| 操作与审计日志 | 90 天 | 安全审计 |
| 通知发送日志 | 90 天 | 送达确认与故障排查 |
| Cookie 同意记录（店铺前台） | 24 个月 | 同意留存与合规举证 |
| 未注册访客的浏览与加购数据（店铺前台） | 不超过 30 天 | 数据最小化 |
| 账号注销后的个人数据 | 7 天内完成删除或匿名化 | 用户请求响应 |
7.2 法律法规另有更长保留要求的，从其规定；该等数据将被限制用于法定目的。
八、我们如何保护信息
8.1 技术措施：全站启用 HTTPS/TLS 传输加密；密码采用不可逆算法加密存储； 支付与渠道密钥加密存储；多租户数据在同一数据表内按租户标识（tenant_id）行级隔离， 业务查询强制按租户过滤；实行访问控制与最小权限；关键操作留痕审计；定期备份数据。
8.2 管理措施：内部权限审批与离职回收机制、员工保密要求，以及安全事件的应急响应流程。
8.3 安全事件：若发生个人信息泄露、篡改、丢失等安全事件，我们将及时采取补救措施， 并按法律要求告知受影响的用户与主管机关。
8.4 请注意，任何系统都无法保证绝对安全。请妥善保管账号与密码，避免使用弱口令或多人共享账号。
九、您的权利
9.1 您对自己的个人信息享有下列权利：
- 查阅与复制：在商户后台查看账号、店铺与员工信息；
- 更正与补充：发现信息不准确时自行修改，或联系我们更正；
- 导出：导出店铺经营数据；如需个人信息副本，可提交请求，我们在 72 小时内响应；
- 删除与注销：申请注销账号，注销后 7 天内完成个人数据的删除或匿名化；
- 撤回同意：对基于同意进行的处理（如营销信息推送），可随时撤回；
- 限制或反对处理：在法定情形下要求限制或反对特定处理；
- 投诉：向有管辖权的监管机关投诉。
9.2 行使方式：通过商户后台相应功能，或发送邮件至 support@varrmall.com。 为保障安全，我们可能要求您先完成身份验证。我们将在法律规定的期限内回复（一般不超 15 个工作日）。
9.3 若您的请求涉及店铺消费者的个人信息，我们会按《数据处理协议》协助您处理； 消费者直接向我们提出的请求，我们将转交您处理。
十、未成年人
本服务面向企业经营者，不面向未满 18 周岁的未成年人，我们不会主动收集未成年人的个人信息。 若发现存在误收集情形，我们将及时删除。
十一、本政策的更新
11.1 我们可能更新本政策。发生重大变更（如处理目的、信息类别、共享对象变化）时， 我们会在官网或商户后台公告，并通过站内通知或邮件告知已注册用户，重大变更通常提前 7 日以上。
11.2 您可随时在本页面或商户后台查看本政策的最新版本及其更新日期。
十二、联系我们与投诉
12.1 个人信息保护相关的咨询、请求与投诉，请联系：support@varrmall.com；也可通过商户后台“系统设置”内的反馈入口提交。
12.2 品牌与商务合作，请联系：varrmall@163.com；联系电话：15666681179。
12.3 邮寄地址：山东省青岛市市北区连云港路7980-12层。
12.4 如您认为我们的处理行为损害了您的合法权益，可向有管辖权的监管机关投诉，或依法寻求司法救济。
12.5 若您是店铺消费者，请先联系您下单的店铺；您也可以联系我们，我们会将您的请求转交相应商户并协助处理。