隐私政策
最后更新：2026 年 4 月 22 日
1. 简介
本隐私政策说明 Sovereign Systems 在您使用我们的产品和服务时如何收集、使用和保护您的个人数据。我们遵守欧盟 GDPR 和泰国 PDPA。
2. 数据控制者
Sovereign Systems，总部位于泰国。邮箱：[email protected]
3. 我们收集哪些数据
账户数据（邮箱、显示名称）、订阅数据（分级、账单状态）、设备数据（仅 HWID 哈希值）、汇总使用计数及同意记录。
4. 我们不收集哪些数据
音频文件、项目文件、MIDI 数据、浏览历史、位置数据、追踪 Cookie、按键数据、屏幕录制或生物特征数据。您的创作和运营数据保留在您的设备上。
5. 我们如何使用数据
身份验证、订阅管理、AI 同意审计（EU AI Act）、基本服务通讯。未经明确选择加入，不发送营销邮件。
6. 数据处理者
Supabase（身份验证、数据库——SOC 2 Type II）、Lemon Squeezy/Stripe（支付——PCI DSS Level 1）、Cloudflare（托管、R2——SOC 2 Type II、ISO 27001）、Sentry（仅选择加入的崩溃报告）。所有处理者均受数据处理协议约束。
7. 跨境数据传输
数据可能由我们的数据处理者在美国进行处理。我们使用标准合同条款（SCC）以符合 GDPR（第五章）和 PDPA（第 28-29 条）。音频和项目数据绝不传输。
8. 数据保留
账户数据在账户有效期内保留。删除账户后，个人数据将在 30 天内删除。加密备份在 90 天内清除。
10. 您的 GDPR 权利
访问权、更正权、删除权、数据可携带权、反对权、限制处理权、撤回同意权及向监管机构投诉的权利。请联系 [email protected]，我们将在 30 天内回复。
11. 您的 PDPA 权利（泰国）
访问权、更正权、删除权、反对权、数据可携带权及撤回同意权。请联系 [email protected]。也可向 PDPC 提出投诉。
12. 数据泄露通知
如数据泄露对相关人员的权利和自由构成高风险，我们将在 72 小时内通知监管机构，并及时通知受影响的个人。
13. 儿童隐私
我们的服务不面向 16 岁以下（GDPR）或 10 岁以下（PDPA）的儿童。如您认为儿童提供了数据，请联系我们。
14. 政策变更
重大变更将在生效前至少 30 天通过邮件通知您。
15. 联系我们
邮箱：[email protected]。我们将在 30 天内回复。