1. 数据控制者
本隐私政策适用于 Scanter 网站（scanterapp.com）及 Scanter 移动应用（统称“本服务”）。
根据土耳其第 6698 号《个人数据保护法》（“KVKK”），以及针对欧盟用户的《通用数据保护条例》（“GDPR”），我们作为数据控制者行事。完整联系方式见“联系方式”一节。
2. 我们收集的数据
根据你使用本服务的方式，我们会收集以下类别的数据。我们已按照 Apple App Store 和 Google Play 的“数据安全”披露要求对其进行了梳理。
账户信息：电子邮箱地址、密码（仅以 bcrypt 哈希形式存储）、可选姓名——在注册时收集。
上传的文件：你为合并、压缩、转换、拆分、加水印或图片提取而上传的 PDF 文件内容——在我们处理期间临时保存。
转换日志：任务 ID（UUID）、转换类型、文件大小、成功/失败状态、时间戳——在每次转换时收集。
使用数据：IP 地址（仅用于限流/防滥用）、HTTP 请求头、浏览器/设备类型——在每次请求时收集。
身份验证：JWT 会话令牌，仅存储在你的浏览器/设备中——在你登录时收集。
通知令牌（移动端）：你的 Apple 推送通知（APNs）或 Firebase 云消息（FCM）设备令牌——在你启用通知时收集。
支持消息：你发送给我们的消息内容以及你提供的任何联系信息——在你与我们联系时收集。
我们不会收集的数据：位置、通讯录、日历、相册、麦克风、生物识别数据、健康数据，也不会对你上传的文件进行任何内容分析或画像。我们不使用广告标识符（IDFA/AAID）。
3. 我们如何使用数据
我们仅出于以下目的并依据相应的法律依据处理你的个人数据：
提供本服务（KVKK 第 5/2-c 条，GDPR 第 6(1)(b) 条——合同）：执行你请求的 PDF 转换、返回你的文件、管理你的账户。
安全保障（KVKK 第 5/2-f 条，GDPR 第 6(1)(f) 条——合法利益）：防止滥用、实施限流、侦测欺诈。
法律义务（KVKK 第 5/2-ç 条，GDPR 第 6(1)(c) 条）：保留法律要求的记录、回应合法请求。
改进本服务（合法利益）：通过聚合的、去标识化的分析来优化我们的基础设施。
沟通（合同／同意）：发送重要的账户更新通知，并仅在获得你的明确同意后发送营销信息。
我们绝不会向广告网络出售、出租或共享你的个人数据。
4. 与第三方共享
我们仅在以下有限情形下共享数据：
基础设施提供商：我们的服务器为自管（数据中心位于土耳其）。我们与少数处理方合作，以提供备份和 CDN 分发服务。
通知服务：对于移动推送通知，我们仅将你的设备令牌共享给 Apple（APNs）和 Google（FCM）。
法律请求：当法院命令、检察官请求或法律义务要求时，我们会披露数据。
公司交易：在合并、收购或出售的情形下，你的数据可能在同等保护下转移给收购方；我们会提前通知你。
本服务不使用任何分析、广告或第三方跟踪 SDK。
5. 数据留存
上传的 PDF 文件（输入与输出）：处理完成后最多保留 1 小时，随后自动删除。
账户信息：在你的账户处于活跃状态期间保留，并在删除请求后 30 天内彻底清除。
转换日志：去标识化的统计数据保留 12 个月。
IP／安全日志：90 天。
支持消息：在相关事宜解决后保留 24 个月。
6. 安全保障
我们采取的技术与组织措施：
所有流量均通过 TLS 1.2/1.3（HTTPS）进行端到端加密。
密码使用 bcrypt 进行哈希处理；绝不存储明文。
会话通过 JWT 管理；令牌仅存在于客户端。
实施限流和防滥用过滤。
备份以加密形式存储；访问遵循最小权限原则。
定期进行安全补丁和依赖项更新。
没有任何互联网服务能做到 100% 安全，但我们会按照行业最佳实践保护你的数据。一旦发生数据泄露，我们将在法律规定的时限内通知你及相关主管机关（KVKK 委员会、监管机构）。
7. 未成年人
本服务不面向 13 岁以下的儿童。对于身处美国的儿童，适用美国 COPPA 规则；在欧盟，则适用 GDPR 第 8 条（具体年龄为 13 至 16 岁，视欧盟成员国而定）。我们不会在知情的情况下收集 13 岁以下儿童的个人数据；如果我们发现已收集此类数据，将及时予以删除。
8. 跨境数据传输
我们的主要数据存储位于土耳其。在使用推送通知服务（APNs/FCM）时，你的设备令牌会被传输至 Apple 或 Google 的全球基础设施。对于欧盟／欧洲经济区用户，此类传输依据 GDPR 第 45 条（充分性决定）或第 46 条（标准合同条款）进行。
9. 你的权利
根据 KVKK 第 11 条以及 GDPR 第 15–22 条，你享有以下权利：
确认你的个人数据是否正在被处理，并请求访问。
更正不准确的数据。
请求删除／被遗忘权。
反对或限制处理。
以结构化、机器可读的格式请求数据可携带。
撤回你此前给予的任何同意。
向相关主管机关（KVKK 委员会、你所在欧盟的监管机构）提出投诉。
账户删除：你可以随时删除你的账户。在移动应用中进入“设置 › 删除我的账户”，或发送邮件至 privacy@scanterapp.com。请求将在 30 天内处理完成。
10. Cookie 及类似技术
我们仅使用严格必要的会话 Cookie／本地存储（即你的 JWT 身份验证令牌）。我们不使用广告、画像或第三方分析 Cookie。你可以随时通过浏览器清除会话；之后你需要重新登录。
11. 移动应用披露事项（Apple App Store 与 Google Play）
针对我们的移动应用的额外披露事项：
Apple 应用跟踪透明度：我们不会在其他公司拥有的应用和网站上跟踪你。我们不会请求 IDFA。
Apple 隐私营养标签：“与你关联的数据”——用户内容（你上传的文件，临时）、标识符（用户 ID）、联系信息（电子邮箱）、诊断信息（崩溃/性能）。“用于跟踪你的数据”——无。
Google Play 数据安全：传输中数据已加密——是。用户可请求删除数据——是。与第三方共享的数据——无（仅上述列出的服务提供商）。
权限：仅“文件访问”权限（以便你选取 PDF），以及在你选择启用时的“通知”权限。我们不会请求位置、相机、通讯录或麦克风权限。
12. 本政策的变更
我们可能会不时更新本政策。对于重大变更，我们将至少提前 30 天通过电子邮件和／或应用内通知予以告知。页面顶部的“最后更新”日期反映当前版本。
13. 联系方式
你可以通过以下方式联系作为数据控制者的我们：
隐私相关请求：privacy@scanterapp.com
一般支持：info@scanterapp.com
网站：scanterapp.com
如果你身处土耳其，还可以按照我们的《KVKK 披露通知》（仅土耳其语——依当地法律）中所述的方式提交 KVKK 专项请求。