隐私政策

1. 责任主体

Table QR LLC 运营 TableQR，并对账户持有人和网站访问者的个人数据负责（即“数据控制者”）。

餐厅使用 TableQR 运营其自己的菜单页面。对于有关其顾客的数据（订单、通过邮件发送的收据和访问统计），由餐厅决定收集什么以及为何收集，餐厅是数据控制者；我们则作为其服务提供商，代表餐厅处理这些数据。有关餐厅如何使用顾客数据的问题，请直接联系该餐厅，我们会协助其答复。

2. 账户持有人和团队成员的数据

当您创建账户、加入组织或使用控制台时，我们会处理以下数据：

• 账户信息：您的姓名、邮箱地址和密码（仅以安全哈希值的形式由我们的身份验证服务商保存）、您的语言和主题偏好，以及您上传的头像（如有）。
• 组织与团队：您所属的组织和门店及您在其中的角色，以及您发出或收到的邀请（被邀请人的邮箱地址、组织名称和邀请人的姓名）。
• 您添加的内容：菜单、商品、价格、图片和设置。这些大多是商业信息，但也可能包含个人数据，例如餐厅的联系邮箱或电话号码。
• 登录会话：您当前活跃会话的 IP 地址以及浏览器或设备（用户代理），您可以在账户设置中查看；如果您启用了多重验证，还包括您的多重验证设置。
• 账单：您的账单邮箱地址、您在 Paddle 的客户编号、您的订阅和付款历史，以及发票和收据的链接。银行卡信息在 Paddle 的结账页面中填写，不会经过我们的服务器。
• 消息：您联系客服时告诉我们的内容。

3. 使用 Google 或 Apple 登录

如果您选择使用 Google 登录，我们只向 Google 请求基本的登录权限范围：openid、email 和 profile。我们会从您的 Google 账户获取您的姓名、邮箱地址、头像链接和 Google 账户标识符。我们仅将这些数据用于创建您的 TableQR 账户并让您登录、确认您的邮箱地址，以及在控制台中显示您的姓名和头像。

• 我们不会访问您的 Gmail、通讯录、日历、云端硬盘或任何其他 Google 数据。
• 我们不会出售 Google 用户数据，也不会将其用于广告；我们仅会将其共享给托管我们身份验证和数据库的服务提供商，且仅用于运行本服务。
• TableQR 对从 Google API 获得的信息的使用和转移，遵守Google API 服务用户数据政策（Google API Services User Data Policy），包括其中的有限使用要求。

您可以随时在 Google 账户设置中撤销 TableQR 的访问权限。删除您的 TableQR 账户时，我们从 Google 获得的数据也会一并删除。

使用 Apple 登录的方式相同：我们会获取您的姓名和邮箱地址（或 Apple 为您生成的私密中转邮箱地址），并仅将其用于您的账户。

4. 技术与使用数据

• 服务器日志：当您的浏览器与我们的服务器通信时，我们会记录时间、请求的地址、处理结果、您的 IP 地址和用户代理。我们使用这些日志来保障服务安全、防止滥用并排查问题。
• 流量与性能统计：我们的网站、控制台和菜单页面使用 Vercel Web Analytics 和 Speed Insights 来统计页面浏览量并衡量加载速度。它们不使用 Cookie，提供给我们的是汇总数据，而不是个人画像。
• 错误报告：出现故障时，包含技术细节（页面、浏览器、出错内容）的错误报告可能会发送给我们的错误监控服务商。

我们的网站和控制台不使用广告 Cookie 或广告像素。

5. 餐厅菜单页面的顾客

当您打开某家餐厅的菜单页面（通常是扫描其二维码）时，我们会代表该餐厅处理以下数据：

• 订单和呼叫：您填写的姓名（自取订单需要）、您的备注、您的餐桌、菜单语言，以及您所点的菜品或提出的服务呼叫，以便餐厅为您服务。只要该餐厅所属的组织仍存在于 TableQR，这些数据就会保留在餐厅的订单历史中。
• 邮件收据：如果您要求通过邮件发送收据，我们会使用您的邮箱地址发送收据，并在请求提交 30 天后删除该地址。
• 您设备上的数据：您的购物车、最近订单的引用和语言选择会保存在您的浏览器中，以便您再次访问时页面能正常使用，包括离线使用。
• 访问统计和餐厅营销工具：见接下来的两个部分。

浏览菜单或下单无需账户。

6. 菜单页面的访问统计

为了向餐厅展示其菜单的使用情况（浏览量、会话、热门菜品以及顾客搜索的内容），菜单页面会向我们发送使用事件：浏览的页面和菜品、在菜单中输入的搜索词、购物车和下单步骤、菜单语言、您设备的时区和屏幕尺寸、来源网站、您浏览器的用户代理，以及您的大致位置（国家、地区和城市），该位置由我们的托管服务商根据您的 IP 地址推算得出。

• 我们会设置一个第一方 Cookie tq_vid，其中保存一个随机标识符，有效期最长 12 个月；同时在您浏览器的存储中保存一个会话标识符，闲置 30 分钟后失效。它们用于统计独立访客数和会话数。我们不会将它们用于广告，也不会用它们在其他网站上追踪您。
• 我们不会将您的 IP 地址与这些事件一起保存。IP 地址仅被短暂用于保护服务免受滥用；在没有访客标识符时，还会用一个每天更换的密钥来计算单向哈希值。
• 餐厅看到的是汇总统计，而不是个别顾客；只有极少数访客输入过的搜索词不会显示给餐厅。
• 原始事件最长保留 180 天，会话和每日统计最长保留 400 天。此后只保留月度汇总，以及每个访客标识符首次出现的日期；这些数据不包含姓名、联系方式或 IP 地址。

7. 餐厅的营销集成

使用符合条件套餐的餐厅可以将广告和分析工具接入其菜单页面：Meta Pixel、Google Analytics、Google Ads、TikTok Pixel、Snap Pixel、Pinterest Tag 和 Yandex Metrica。这些工具由餐厅选择和控制，其提供商会按照各自的隐私政策接收数据。这些工具会获知页面浏览、浏览的菜品、购物车和订单事件（包括订单金额和币种），以及发生过搜索这一事实，但绝不会获知搜索的文字内容。

• 对于位于欧盟、欧洲经济区、英国和瑞士的餐厅，以及选择在所有地区都征求同意的餐厅，这些工具只有在您于菜单页面的同意横幅中表示同意后才会加载。您的选择会在浏览器中保存约六个月，且按餐厅分别保存，您可以随时在菜单页面上更改。
• 在其他地区，这些工具可能不显示横幅就加载，但如果您的浏览器发送了全球隐私控制（Global Privacy Control）信号，广告类工具将保持关闭。

8. Cookie 及类似技术

我们使用少量 Cookie 和浏览器存储项：

• 必要类：登录会话 Cookie（sb-…-auth-token）以及 auth-session-only（如果您没有选择保持登录，它会在您关闭浏览器时结束会话）；语言 Cookie（NEXT_LOCALE 和 storefront_locale_…）；记住控制台侧边栏布局的 Cookie；一个短期有效的新手引导 Cookie；以及仅限我们员工使用的支持会话 Cookie。
• 访问统计：tq_vid，见上文。
• 浏览器存储：主题和列表布局等偏好设置、您在菜单页面上的购物车和最近订单，以及您的营销同意选择。
• 离线菜单：菜单页面会在您浏览器的缓存中保存页面和图片的副本，使菜单在网络较差时仍能打开。

如上文所述，餐厅的营销工具加载后可能会设置它们自己的 Cookie。您可以随时在浏览器设置中删除 Cookie 和网站数据；保持登录状态需要使用必要类 Cookie。

9. 我们为何使用个人数据

在适用 GDPR 等数据保护法律的情况下，我们依据以下法律依据处理数据：

• 履行我们与您之间的合同：创建并保护账户、托管菜单、将订单转交给餐厅、通过 Paddle 收费，以及发送登录链接、邀请和收据等服务邮件。
• 合法利益：保障服务安全并防止滥用（日志、速率限制、审计记录）、修复错误、以汇总方式衡量和改进服务，以及向餐厅提供其菜单页面的统计数据。您有权反对基于合法利益进行的处理。
• 同意：显示同意横幅时的餐厅营销工具。您可以随时撤回同意。
• 法律义务：保存账单和会计记录，以及答复合法的请求。

我们不出售个人数据，也不将其用于我们自己的广告。我们不会仅凭自动化处理就对您作出具有法律效力或类似重大影响的决定。

10. 我们与谁共享数据

我们只会在限制其使用方式的条款约束下，与协助我们运行服务的服务提供商共享个人数据，并与下文所述的各方共享：

• Supabase：身份验证和数据库（欧盟，巴黎）。
• Vercel：网站托管、内容分发和不使用 Cookie 的流量统计（服务器位于欧盟巴黎，另有全球分发网络）。
• Railway：我们 API 的托管（欧盟，荷兰）。
• Cloudflare：图片和文件存储（欧盟）以及 DNS。
• Upstash：临时缓存和事件队列（欧盟，法兰克福）。
• Resend：邮件发送（欧盟，爱尔兰）。
• Sentry：错误监控。
• Paddle：我们的经销商和“记录商户”（Merchant of Record）。Paddle 会接收您的账单邮箱地址和订单详情，并作为独立的数据控制者，按照其自身的隐私政策处理付款。
• Google 和 Apple：如果您使用它们登录，则适用它们各自的隐私政策。
• 餐厅和您的团队：餐厅可以看到其自身菜单页面产生的订单和统计数据；组织的成员可以互相看到彼此的姓名和邮箱地址，以及组织内所做的更改。

在法律要求时、为保护他人或本服务的权利与安全时，或在我们的业务重组或出售而需要向继任方披露时，我们也可能披露数据。

11. 跨境传输

我们主要将服务托管在欧盟境内。部分服务提供商，例如 Paddle、Google、Apple、Sentry 以及 Vercel 的分发网络，可能会在其他国家和地区处理数据，包括英国和美国。在数据保护法律要求的情况下，这些传输依据充分性认定，或依据我们的服务提供商所提供的标准合同条款。

12. 我们保存数据多久

• 账户数据：在您的账户存续期间保存。删除账户时，我们会删除您的个人资料、您的登录身份（包括从 Google 或 Apple 获得的数据）、您的头像、您的成员身份和邀请，以及您是唯一成员的组织及其全部内容。
• 组织内容和订单：在组织存续期间保存。
• 收据邮箱地址：在请求收据 30 天后删除。
• 访问统计：见“菜单页面的访问统计”。
• 审计记录：记录组织内谁更改了什么的日志，其中以内部标识符而不是姓名或邮箱来指代人员。账户删除后我们仍会保留它，用于安全、防欺诈以及法律主张的抗辩。
• 试用记录：一条表明已使用过免费试用的记录，用于防止重复试用。
• 账单记录：发票、付款、账单邮箱地址以及来自 Paddle 的付款通知，按税法和会计法要求的期限保存，账户删除后也同样保留。
• 服务器日志：保存于我们的托管服务商所设定的有限期限内，期满后自动删除。
• 备份：已删除的数据可能会在备份中保留一段有限的时间，直至被覆盖。

13. 我们如何保护数据

数据在传输过程中会被加密，我们的托管服务商也会对静态数据加密。服务内部的访问受角色限制，并由数据库本身强制执行这一限制。我们的员工只有在支持、安全或运行服务确有需要时才会访问个人数据：员工账户必须使用多重验证，查看客户联系方式会被记录，而在客户账户内进行操作则必须开启有记录的支持会话。

没有任何系统是绝对安全的。如果发生个人数据泄露，我们将依照法律要求通知您和主管机关。

14. 您的权利

根据您所在的地区，您可能有权访问您的个人数据、更正数据、删除数据、限制或反对对数据的处理、以可移植的格式获取数据，以及撤回您给出的任何同意。您可以在账户设置中自行更新个人资料并删除账户。如有其他需求，请写信至 support@table-qr.com。我们将在一个月内答复，并可能需要先确认您的身份。

如果您的请求涉及餐厅通过其菜单页面收集的数据（例如订单），我们会将其转交给该餐厅或协助餐厅作出答复，因为这些数据的使用方式由餐厅决定。您还有权向您所在地的数据保护机构投诉。

15. 儿童

本服务并非面向儿童，我们不会为自身目的有意收集 16 岁以下儿童的个人数据。餐厅的菜单页面可被任何人打开；如果您认为有儿童向我们提供了个人数据，请联系我们，我们会将其删除。

16. 本政策的变更

随着服务的变化，我们会更新本政策。如果变更属于重大变更，我们会在其生效前通过邮件或在控制台中通知账户持有人。页面顶部的日期显示本政策最近一次更新的时间。

17. 联系我们

除餐厅负责的部分外，Table QR LLC 对本政策所述的处理活动负责。如对您的个人数据有任何疑问或请求，请写信至 support@table-qr.com。

本政策可能提供翻译版本；如各版本存在差异，以英文版本为准。