隐私政策

我们收集的信息

我们收集您直接提供的信息，如姓名、邮箱、电话、邮编、年龄、性别、吸烟状况等，用于报价或联系。我们也会收集使用数据和 Cookie，详见 Cookie 政策。

若您选择使用 Google 登录会员账户，或自愿绑定 YouTube、TikTok、Instagram、Facebook 等社交媒体账号以发布营销视频，我们将按您授权的范围接收并存储相应的 OAuth 访问凭证（access token）及在适用时的刷新凭证（refresh token）。详见下文「社交媒体 OAuth 令牌」。

信息用途

我们使用您的信息提供保险报价、对接持牌顾问、改进服务并履行法律义务。我们不会向第三方出售您的个人信息。

信息共享

我们可能将您的信息提供给持牌保险经纪人和承保公司以完成报价请求。我们要求这些合作伙伴保护您的信息并仅用于我们指定的用途。

您的权利

您可请求访问、更正或删除您的个人信息。加州居民在 CCPA 下享有额外权利。请参阅「不出售」页面了解退出选项。

联系我们

隐私相关疑问、OAuth 令牌访问或删除请求，请联系 cs@xisun.io。我们将在适用法律规定的期限内回复。

社交媒体 OAuth 令牌

本节说明当您授权我们将内容发布至第三方社交平台时，以及当您使用 Google 登录时，我们对 OAuth 令牌（访问凭证与刷新凭证）的处理方式。

1. 收集范围与场景。（a）会员登录：若您使用 Google OAuth 登录 xicover.com，Google 可能向我们提供用于维持登录会话的 access token 与 refresh token（如适用），以及您已在 Google 账户中公开的标识信息（如姓名、邮箱、头像）。（b）社媒发布授权：若您在会员中心或经我们授权的管理流程中，自愿绑定 YouTube、TikTok、Instagram 或 Facebook 账号，我们将在您明确同意该平台 OAuth 授权界面所列权限后，接收该平台颁发的 access token、refresh token（如该平台提供）及平台账号标识（如频道 ID、Page ID）。除上述自愿授权外，我们不会要求您提供社媒账号密码。

2. 用途（目的限制）。OAuth 令牌仅用于实现您请求的功能，包括：（i）维持或刷新您的登录会话；（ii）代表您已绑定的账号上传、发布或管理您通过本平台生成并选择发布的营销视频及相关元数据（标题、说明等）；（iii）在令牌失效时提示您重新授权；（iv）履行安全监测、故障排查及法律合规所必需的内部处理。我们不会将 OAuth 令牌用于出售、出租、跨情境行为广告 profiling，或与本政策所述目的无关的任何用途。

3. 存储与安全（加密）。社媒发布用途的 access token、refresh token 及（如适用）浏览器会话类凭证，在写入我们的数据库前，使用 AES-256-GCM 算法进行应用层加密；加密密钥（SOCIAL_TOKEN_ENC_KEY）仅保存在生产服务器环境变量中，与应用程序代码及公开仓库隔离，不以明文写入前端或日志。传输过程中使用 TLS/HTTPS。Google 登录相关的令牌由认证服务按行业惯例存储于受访问控制保护的数据库账户表中。我们实施基于角色的内部访问控制，限制能够接触解密后令牌的系统与人员范围。

4. 保留期限。OAuth 令牌仅在实现上述用途所必需的期间内保留：在绑定关系有效且令牌未过期或未遭平台撤销期间持续保留；当您解除绑定、注销账户、我们合理认定授权已失效，或法律要求删除时，我们将删除或不可逆地清空相应令牌字段。发布任务的历史记录（不含有效令牌）可依法务与运营需要保留更长时间。

5. 删除与撤销机制。您可通过以下方式终止我们对令牌的使用：（a）在 xicover.com 会员中心的社媒账号设置中点击「解除绑定」或同等操作——我们将从数据库中删除对应 SocialAccount 记录及其中加密的令牌；（b）发送邮件至 cs@xisun.io，注明注册邮箱及需解除的平台，我们将在核实身份后处理访问/删除请求；（c）在第三方平台（Google、YouTube、Meta 等）的账户安全或已连接应用设置中撤销对本应用的授权——撤销后我们可能无法继续代您发布，但您仍应通过（a）或（b）确认我们侧数据已删除。会员账户注销或经后台删除用户账户时，与该用户关联的经纪人社媒绑定记录将随账户级联删除。

6. 共享与第三方。OAuth 令牌不向第三方出售或出租。为实现发布功能，我们的服务器在必要时向相应平台 API（如 Google/YouTube、TikTok、Meta）发送经解密的令牌以完成您指令的操作；该等传输受各平台服务条款与隐私政策约束。我们要求云服务提供商（如数据库、对象存储托管方）仅按合同提供基础设施，不得将您的令牌用于其自身营销目的。

7. 您的权利。除本政策「您的权利」一节外，您有权知悉我们是否持有您的 OAuth 令牌、请求删除或限制处理，并在适用隐私法（如 CCPA）下提出相应请求。加州居民可通过 cs@xisun.io 行使访问与删除权。