隐私政策

生效日期：2026 年 10 月 15 日 · 最后更新于2026 年 10 月 15 日

本次修订的变更

签名被接受前现均须身份核验，不再仅限较高等级（第 3 节）。
第 4 节现说明实际保护签名的控制措施，而不再以 webhook 核验作为重点。
第 5 节准确说明两条 OpenAI 数据流：提交的文本发送到聊天 API，问题还会发送到嵌入 API，以检索相关法律。
第 2 节不再声称收集钱包地址：我们不收集，也从不要求连接钱包。
2026 年 7 月：更正第 6 节：当时根本没有初始化任何分析产品，“禁用 JavaScript”也从来不是真正的退出方式。
2026 年 9 月：第 5 和 6 节现说明 Google Analytics 4 和 Meta Pixel，仅在接受横幅后启用，并准确列明接收什么、绝不接收什么，以及设置哪些 Cookie。
2026 年 10 月：第 5 节现说明向 TrustChain 向导 Pip 提问，或请它润色协议表单字段时，会发送什么给 OpenAI，以及 TrustChain 不存储这两类内容。
2026 年 10 月：第 6 节现列明接受分析后，TrustChain 向导 Pip 会向 Google Analytics 4 发送什么。
2026 年 10 月：第 5 节现说明，Pip 无法回答或您标记为无帮助的问题，会在不含账户详情的情况下保留最多 30 天。
2026 年 10 月：第 6 节现说明应用出错时可能向我们自己的服务器发送的简短技术报告、包含和省略的内容，以及保留期限。
2026 年 10 月：第 2 节现说明，锚定将 TrustChain 的协议 ID 连同指纹写入 Polygon，并列明指纹计算所用内容。旧措辞遗漏了 ID。
2026 年 10 月：第 2、4 和 7 节现明确说明，Polygon 条目公开可见，您和我们均无法删除。
2026 年 10 月：第 4 节检查会话的请求清单现只列当前可用功能。
2026 年 10 月：第 2 节现介绍可从已锚定协议“证据”标签页下载的记录文件，并说明其中包含双方内部 TrustChain 账户 ID。
2026 年 10 月：第 6 节现说明，登录期间应用会在浏览器保留已打开内容的副本（协议及历史、邀请、聊天消息、AI Advisor 回答、通知和账户详情），直至退出登录。
2026 年 10 月：第 5 节现列明发送邮件的 Resend。
2026 年 10 月：第 2 节现说明签署时保留的信息：时间和签署 IP 地址，协议另一方及受邀查看者均能看到，以及向您显示的该说明句子的版本。协议其他 IP 地址，例如打开邀请链接的地址，由 TrustChain 保留，不向另一方或查看者显示。
2026 年 10 月：第 3 节现说明，有人首次打开邀请链接时，我们会给发送者发邮件。

运营方： Kirillskiy Construction Ltd.

地址： 12705 114a Ave, Surrey, BC, Canada, V3V 3P3

管辖地区：加拿大卑诗省

联系： founder@trustchain.biz

1. 简介

TrustChain（“我们”）是由 Kirillskiy Construction Ltd.运营的数字协议登记与信任基础设施服务。本隐私政策说明您使用 trustchain.biz 平台时，我们如何收集、使用和保护个人信息。

使用 TrustChain 即表示同意本政策所述做法。

2. 收集的信息

我们收集以下类别的信息：

账户数据： 邮箱地址、显示名称、头像（通过 Google 登录提供时）
协议数据： 协议正文、元数据（双方、日期、金额）、密码学指纹和审计事件
签署记录： 签署时，我们在协议记录中保留签署时间和签署 IP 地址。协议另一方及受邀查看者均可看到这两项。双方下载的证书副本也会打印这些信息。签名按钮正上方，签署页面用一句话说明此事，并保留向您显示的该句版本。我们还保留签署时协议条款的 Keccak-256 指纹。
协议的其他 IP 地址： 有人打开邀请链接、经链接查看协议、申请新链接或确认工作完成时，我们保留请求来源 IP 地址。 TrustChain 为安全和记录保留这些信息，不向协议另一方或受邀查看者显示。
记录文件： 在已锚定协议的“证据”标签页，协议双方均可下载记录文件。文件包含协议的 TrustChain ID、标题、条款、金额、创建及签署和锚定日期、锚定交易，以及双方内部 TrustChain 账户 ID，以便用开源核验器检查 Polygon 上的指纹。文件在浏览器内根据我们存储的协议生成。我们不保留副本，也不发送到任何地方，由您决定与谁分享。
协商聊天数据： 协商协议时交换的消息。消息内容采用端到端加密，密钥保留在各自设备上，我们无法读取。每条消息周围的元数据不加密，我们可以看到：谁发送（账户标识符和邮箱地址）及发送时间。只有正文是密文。
身份核验数据： 身份证件和自拍由 Sumsub 而非 TrustChain 采集、保存（见第 5 节）。为了解核验状态，我们的服务器向 Sumsub 查询申请人记录，回复可能包含其档案详情，例如从证件读取的信息；我们不保留这些详情。只存储结果：是否通过、Sumsub 状态码、参考编号和时间。
区块链数据： 锚定是可选的。任何一方锚定已签署协议时，一笔交易在 Polygon 公开区块链记录：TrustChain 内部协议 ID、Keccak-256 指纹和两个钱包地址栏位；TrustChain 锚定的所有协议，这两个栏位均为空（全零）。指纹根据协议 ID、标题、条款、金额和双方 TrustChain 账户 ID 计算。标题、条款、金额、账户 ID，以及姓名和邮箱均不写入链上。您无需连接钱包，我们也不存储钱包；交易由 TrustChain 运营的钱包签署并付费，所以您无需支付 gas，也无需在链上签署。Polygon 条目公开可见，您和我们均无法删除。
付款数据： 订阅方案、计费历史（银行卡信息由 Stripe 处理，我们不存储卡号）
使用数据： IP 地址、浏览器及设备类型、访问页面、活动时间戳

3. 如何使用信息

提供并保护 TrustChain 登记服务
创建、存储及核验数字协议
身份核验（KYC），签名被接受前必须完成
处理订阅付款和管理账单
发送事务通知（协议活动、签署邀请）
有人首次打开邀请链接时，我们向发送者发邮件，注明受邀邮箱和协议。每份邀请只发送一次，不包含打开链接的 IP 地址或设备。
改进平台及检测滥用
遵守法律义务

4. 数据存储与安全

用户数据和协议记录存储于 Google Firebase（Firestore 和 Firebase Authentication），托管在美国。协议锚定时，指纹及 TrustChain 对它的 ID 写入 Polygon 公开区块链（见第 2 节）。Polygon 条目公开可见，您和我们均无法删除。

全程使用 HTTPS/TLS 传输，收到的付款 webhook 在处理前先核验 HMAC-SHA256 签名。

三项措施专门保护签名完整性，这正是本登记服务要保护的内容：

无法直接写数据库来创建签名。数据库规则将各方可修改的协议字段限制在简短白名单，签名字段不在其中，只能由服务器上的签署函数设置。
该函数在签署当下从服务器端检查身份核验状态。无论界面显示什么，未达到已核验状态的账户请求都会被拒绝。
签署、锚定和邀请等改变状态的请求，会拒绝已撤销会话，或属于已被禁用、删除账户的会话，而非只因令牌未过期就接受。

协商聊天端到端加密。密钥在双方自己的设备上，不在我们服务器，因此 TrustChain 无法读取聊天内容。这与协议记录本身不同，后者如上所述由我们存储，以运营登记服务。

5. 第三方服务

我们与以下第三方服务商共享数据：

Sumsub：身份核验（KYC/AML）。您完成核验时，证件和生物识别数据由 Sumsub 根据其自身隐私政策处理。Sumsub 作为我们的数据处理者。
Stripe：付款处理。Stripe 直接收集并处理银行卡信息，我们只接收非敏感计费元数据（订阅状态、客户 ID）。
OpenAI：通过以下流程提供 AI 协助。首先，使用 AI Advisor 或审阅功能时，提交的文本发往 OpenAI 聊天 API；针对特定协议的审阅，包括标题、金额、日期、双方字段和条款。其次，问题本身发往 OpenAI 嵌入 API（模型 text-embedding-3-large），以查找已索引法律的相关条文。已索引法条是公开法律，仅在构建索引时嵌入一次，不是每次请求都嵌入。另外，当您向 TrustChain 向导 Pip 提问并让其 AI 回答（常见问题无匹配，或点击“用 AI 问 Pip”）时，问题、当前页面名称，以及追问时的上一个问题和 Pip 回答，会发往 OpenAI 聊天 API 生成回答。发送前，Pip 会拒绝含链接、邮箱、电话号码、身份证件或卡号的问题。请 Pip 润色协议表单字段（工作范围或某个交付项）时，该字段文本、协议标题和所选交易类型也会发送；绝不发送表单独立的邮箱、金额、币种、日期或管辖地区字段。自行写进字段里的价格、日期等仍作为文本一部分发送。我们不存储这些建议或回答，仅在一种情况下存储问题：人们发给 Pip 而它无法回答，或被标记为无帮助的问题，在不含账户详情的情况下保留最多 30 天，以改进回答。我们保留账户或访客会话当天问题数，以执行每日限额，并为每次请求记录简短技术日志（账户 ID、页面、长度和结果，绝不含正文）。访客会话还按网络记录每日次数，存于无法还原 IP 地址的单向代码之下。端到端加密的协商聊天绝不发送给 OpenAI。请勿在 AI 辅助字段放入不希望由 OpenAI 处理的信息。
Google Firebase：身份认证、数据库和云函数基础设施。
Resend：发送 TrustChain 邮件，例如邀请、签名通知和新邀请链接申请，以及确认邮箱地址的消息。每封邮件都会向其提供收件地址和邮件内容。
Google Analytics 4 和 Meta Pixel：使用情况分析与广告归因，仅在接受同意横幅后启用。接收及绝不接收的内容见第 6 节。

6. Cookie 与分析

网站启用分析时，TrustChain 使用 Google Analytics 4 和 Meta Pixel 两种工具，且仅在您接受首次访问横幅后启用。接受前，不加载脚本，也不发送信息。拒绝后网站完全照常运行，选择会记在浏览器中。如日后改变主意，清除此站点存储即可让横幅重新出现。

这些工具接收：打开的页面、账户已创建、协议已创建、付款已完成，以及来自向导 Pip 的数据（仅 Google Analytics 4）：展示、跳过或关闭了哪项导览或提示，问题由常见问题还是 AI 回答，以及何时采用建议措辞（绝不含问题、回答或所处记录），另加此类工具默认收集的技术数据（由 IP 得出的近似位置、设备和浏览器类型、来源站点）。发送前，页面地址简化为路由：协议、邀请和证据标识符替换为占位符，打开协议或邀请的链接绝不传递。绝不发送姓名、邮箱、任何协议正文、打开哪份协议、对方身份或钱包数据。我们据此了解哪些页面和活动带来访客，以及他们是否从产品获益。Google 和 Meta 按自身政策处理数据；Meta Pixel 还可用于向访问过网站的人展示 TrustChain 广告。我们不使用 Firebase Analytics。

浏览器中存储什么：Firebase Authentication 将会话保存在本地存储和 IndexedDB，避免每页都要求登录；应用还保留少量界面状态，均不与第三方共享。登录期间，应用也在此浏览器 IndexedDB 保存已打开内容的副本：协议及历史（可能含对方邮箱和 IP 地址）、邀请、加密聊天消息、AI Advisor 回答、通知及账户详情，以便下次立即显示。退出登录会移除副本。使用共享电脑时，请用完后退出。您的同意选择存为 tc_consent。接受分析后，Google Analytics 设置 _ga 和 _ga_* Cookie，Meta Pixel 设置 _fbp（点击 Meta 广告后还有 _fbc）；Meta Cookie 是广告标识符。拒绝则不设置这些 Cookie。

应用出错，例如页面无法加载、显示或脚本错误时，可能向我们自己的服务器发送简短技术报告：错误消息中已移除邮箱、链接、查询字符串、数字、标识符和引述文字；所涉及代码文件、函数名称及行号；页面类型（绝不含地址）；浏览器系列和应用版本。报告发送至 TrustChain 服务器，而非分析或广告公司，在服务器日志保留最多 30 天，不对外共享。与每个请求一样，它也出现在下述服务器请求日志中。

明确说明您能控制和不能控制的内容：清除此站点浏览器存储或退出登录，会移除会话数据和保存的协议副本，并让您退出。禁用 JavaScript 不是退出分析的方法，因为 TrustChain 是 JavaScript 应用，没有它便完全不能运行；旧政策这样建议是错误的。服务器请求日志含 IP 地址和浏览器类型，由托管服务商为安全及可靠性生成，使用网站时无法选择退出。