隐私政策
Last updated: 2026年8月28日
本译文仅供理解之用。具有法律效力的是英文原版。两者有出入时，以英文版为准。
本政策说明 costdown.org 收集哪些个人数据、为何收集、保留多久、还有谁能看到，以及您可以做什么。这是欧盟《通用数据保护条例》（GDPR）第13条和第14条所要求的信息告知。
本文所写的是本服务目前实际在做的事。凡是无法对照运行中的系统加以核实的说法，都没有写进来。
1. 谁负责（数据控制者）
costdown.org 不是注册法人，由一名个人运营。该个人即 GDPR 第4条第(7)项所称的数据控制者。
我们不公布控制者的通用邮箱地址。所有联络，包括第10条所列的各项请求，均通过联系我们进行。发送到那里的消息会被保存，并当场生成一个受理编号，因此您的请求不会不声不响地消失。
唯一的例外是 [email protected]。这是一个专门用于报告安全漏洞的地址，也发布在 /.well-known/security.txt 中。它的存在是为了让发现缺陷的人知道该寄往何处，而不是第10条各项请求的受理窗口——那些请求请使用联系表单，消息会被保存并生成受理编号。
2. 数据保护官
我们没有委任数据保护官。GDPR 第37条第(1)款仅在核心活动涉及对个人进行大规模定期监控，或大规模处理特殊类别数据时才要求委任。costdown.org 两者皆不属于：它处理的是企业降本数据，所保存的个人数据仅限第4条所列范围。
3. 我们不要求您表明身份
这一条放在表格之前，因为大多数隐私政策写不出这句话。costdown.org 注册时只问四件事：电子邮箱、密码、您是专业人士还是投资者、以及国家。仅此而已。
我们从不询问您的真实姓名，也没有任何填写电话号码的字段。在平台上，您由系统生成的一个短代码标识（例如 2E）。显示在您所发布内容旁边的是这个代码，不是姓名。
电子邮箱仍然属于个人数据：它能识别您，由我们保存，本政策的全部内容都适用于它。它用于登录和发送账户邮件，其他用户看不到它。
4. 我们收集的数据
| 数据 | 来源 | 用途 |
|---|---|---|
| 电子邮箱和密码（仅以哈希形式存储） | 注册时由您提供 | 创建并保护您的账户 |
| 国家 | 注册时由您提供 | 必填项，因为基准对比只在同一国家内进行 |
| 账户代码、角色、语言偏好、验证状态、停用状态 | 由服务生成 | 账户代码是您在此处的公开标识；其余用于账户的运行 |
| 简短的自我介绍 | 由您选填 | 仅在您填写时才会显示在公开资料上；留空则不显示任何内容 |
| 把您与同事分到同一组的加入码——以带密钥的哈希形式存储，不存储代码本身 | 由您或您的同事创建群组时由服务生成 | 让同事之间可以共享内部物料代码并合并比较，而无需透露雇主是谁。参见表格下方的说明。 |
| 群组名称、行业、国家、规模 | 在公司页面上由您选填 | 仅在您选择填写时。行业和国家用于把数据放进正确的对比组。名称不用于系统所需的任何处理。 |
| 您撰写的案例、成本数字、协作、验证和评论 | 由您提供 | 这是本服务的内容本身。您公开的内容任何人都能看到 |
| 随案例浏览记录一并记下的 IP 地址 | 来自您的浏览器 | 统计浏览次数并侦测滥用 |
| 在执行请求限流期间临时保存的 IP 地址 | 来自您的浏览器 | 防止对注册、密码重置和联系表单的自动化滥用 |
| 对节省额、投资额、验证、状态和角色的修改历史——修改前的值、修改后的值、由哪个账户、何时 | 由服务生成 | 为了可审计性。一个基准对比平台的价值，正来自于数字不会被悄悄改写 |
| 您在联系表单中填写的姓名、邮箱、正文和 IP 地址 | 由您提供 | 用于回复您，并防止表单被滥用 |
我们如何把同事分到一组？不是靠指名雇主。系统生成一个随机加入码（例如 7KQ2M-XB49P），您把它交给同事。输入该码的人就进入同一组。分组所需的仅此而已，因此公司名称从不被用到。
加入码不会被存储。数据库保存的是该码的 HMAC-SHA256 值，密钥存放在服务器上的一个文件里，而不是代码本身。此处普通哈希并不足够：一个十位的代码约有 10^15 种可能，用一块显卡几分钟就能穷举。由于混入了服务器密钥，仅拿到数据库副本无法还原出代码。
我们把话说白，因为在这里夸大其词比不说更糟：运营服务器的人同时握有数据库和密钥，所以我们不会声称这些代码谁也拿不到。可以确定的是：代码从不以可读形式存储，从不写入日志，创建时只显示一次。若您丢失了它，任何人都无法取回，包括管理员。请另建一个新代码，并撤销旧的。
您也可以给群组起个名字，这同样是可选的。有一个字段供此使用。它是加入码出现之前留下的，为那些想要一个名牌的群组保留。若填写，它会按您输入的样子存储，管理员可以读到。若留空（默认如此），所有功能的运作完全相同。
有两个字段存在于数据库中，但没有任何地方会写入：电话号码和时区。站点上没有任何位置写入它们，也没有任何账户带有值。列在此处，是为了让本文与数据库精确一致，而不是默默略过。
我们不进行跨网站追踪，不为广告目的进行画像，也不进行 GDPR 第22条意义上产生法律效果的自动化决策或画像。
5. Cookie 与浏览器存储
在您退出登录期间，costdown.org 不设置任何 cookie，也不在浏览器的 localStorage 或 sessionStorage 中存放任何内容。这一点已在运行中的站点上实测确认。
登录之后只设置一个 cookie，名为 user_id。它用于维持您的登录会话，没有其他用途。它属于技术上不可或缺的 cookie，依据《电子隐私指令》第5条第(3)款无需征得同意。这也是本站没有 cookie 同意横幅的原因：没有什么可问的。
流量统计由 Cloudflare Web Analytics 完成，它不使用 cookie，也不对个人进行画像。
6. 处理的法律依据
| 处理活动 | 法律依据 |
|---|---|
| 创建并运行您的账户，发布您提交的内容 | 第6条第(1)款(b)项——履行与您的合同 |
| 会话 cookie、密码哈希、登录尝试次数限制、按 IP 限流 | 第6条第(1)款(f)项——保障服务与用户安全的正当利益 |
| 浏览次数与总体流量统计 | 第6条第(1)款(f)项——了解服务是否被使用的正当利益 |
| 财务与验证数字的不可更改修改历史 | 第6条第(1)款(f)项——对可信数据的正当利益。这正是本平台存在的意义 |
| 处理通过联系表单发送的消息 | 涉及服务的，为第6条第(1)款(b)项；属于第15至22条请求的，为第6条第(1)款(c)项——法定义务 |
| 事务性邮件（验证、密码重置、账户通知） | 第6条第(1)款(b)项——提供账户所必需 |
您没有义务提供这些。但没有邮箱、密码和国家，账户就无法存在，因此如果您拒绝提供，我们无法提供本服务。第3条中标注为可选的一切，都可以留空而不损及任何功能。
7. 还有谁会收到这些数据
| 接收方 | 他们能看到什么 | 身份 |
|---|---|---|
| Hetzner Online GmbH（德国纽伦堡） | 本服务存储的一切——他们托管服务器和数据库 | 处理者 |
| Cloudflare, Inc. | 作为站点前端网络，看到您的 IP 地址、用户代理和所请求的 URL；此外还有不使用 cookie 的流量统计 | 处理者 |
| Resend（运行于爱尔兰的 Amazon Web Services） | 我们发给您的事务性邮件的收件地址与内容——验证、密码重置、账户通知 | 处理者 |
| costdown.org 的其他用户 | 您公开的一切：案例、成本数字、评论，以及您填写的资料字段 | 不是处理者——公开本身就是目的 |
我们不出售个人数据，不与广告商或数据经纪商共享。仅在法律要求时才向公共机关披露。
8. 跨境传输
服务器和数据库位于欧盟境内的德国。因此，本服务的日常运行不涉及把您的数据传输到欧洲经济区（EEA）之外。
有两个例外，如实写明。
- Cloudflare, Inc. 是一家运营全球网络的美国公司。发往 costdown.org 的流量可能在 EEA 之外的边缘节点上被处理。Cloudflare 依据欧盟委员会标准合同条款以及《欧盟—美国数据隐私框架》。
- 加密的数据库备份会从德国服务器复制到管理员持有的一台位于 EEA 之外某国的机器上，以免托管商的一次故障同时毁掉所有副本。该国没有欧盟委员会的充分性认定。备份在离开服务器之前即以 AES-256 加密，只能用托管商并不持有的口令解密，除管理员外无人保存该口令。
9. 我们保留数据多久
| 数据 | 保留期限 |
|---|---|
| 账户与资料数据 | 直到您要求删除为止。通过联系表单提出，我们即予删除。 |
| 您公开的案例及其他内容 | 直到您删除或要求我们删除为止。请注意，已被用于公开基准对比的数字，可能以无法识别个人的汇总形式继续存在。 |
| 财务与验证数字的修改历史 | 在记录存续期间一直保留，且有意做成无法编辑、无法提前删除。这一点由数据库本身强制执行，而不是由应用代码。没有它，本平台上的任何数字都不值得信任。它记录的是什么由哪个账户改动，而非个人细节。 |
| 随案例浏览记录一并记下的 IP 地址 | 与浏览记录一同保留，案例被删除时随之删除。 |
| 用于限流的 IP 地址 | 仅保存在内存中，在限流窗口内（最长一小时）自动过期。 |
| 加入码（以带密钥的哈希形式） | 在代码有效期间保留。撤销代码时我们标记为已撤销，而不是删除该行——这样该码就不会在无人察觉的情况下被再次使用。该行保存的是哈希，不是代码。 |
| 联系表单消息 | 在事项处理期间保留，其后作为已按期回复法定请求的证据保留。事项结束后，可应您的请求删除。 |
| 加密备份 | 服务器上的每小时备份保留72小时。管理员在服务器之外保存的每日副本保留30天。您要求删除的数据，在这些期限过去之前可能仍存在于备份中。 |
10. 您作为数据主体的权利
在 GDPR 之下，您可随时无偿行使以下权利。由于具有约束力的是法律用语，下面同时给出法定名称和通俗说明。
- 访问权（第15条）——询问我们保存了哪些数据，并获得一份副本。
- 更正权（第16条）——要求更正不准确的数据，补全不完整的数据。
- 删除权，即被遗忘权（第17条）——要求删除您的数据。
- 限制处理权（第18条）——在争议解决之前要求冻结处理。
- 数据可携权（第20条）——以结构化、通用且机器可读的格式取得您的数据，并在技术可行时要求转交给另一控制者。
- 反对权（第21条）——反对基于正当利益的处理，包括上文所述的浏览次数统计。
- 撤回同意权（第7条第(3)款）——凡以同意为依据的处理，您可随时撤回，且不影响撤回前处理的合法性。
- 不受自动化决策约束的权利（第22条）——costdown.org 不作出具有法律效果或类似重大影响的自动决定，故此项权利不会产生。
请使用联系我们并选择「个人数据请求」。受理编号当场生成，我们将按第12条第(3)款的要求在一个月内答复。请求复杂时可再延长最多两个月，我们会在第一个月结束前告知您原因。
11. 向监管机构投诉的权利
若您认为您的数据被非法处理，您有权向数据保护监管机构投诉：可以是您常住地、工作地，或据称发生违规行为所在地的机构（GDPR 第77条）。您无须先联系我们，不过通常先联系我们能更快解决。
欧盟及 EEA 监管机构的名录由欧洲数据保护委员会在 edpb.europa.eu 上公布。由于服务器位于德国，德国联邦以及巴伐利亚州的机构同样具有管辖权。
12. 安全
- 密码仅以哈希形式存储，绝不以可读形式存储，也绝不写入日志。
- 整站通过 HTTPS 提供，并启用 HSTS。
- 连续登录失败会暂时锁定账户；对注册、密码重置和联系表单的请求按 IP 限流。
- 对您数据的每一次读取和写入，都在服务器端而不仅在浏览器端核对权限。
- 备份以 AES-256 加密，且从备份恢复这件事是经过实测的，不是想当然的。
没有系统是完全安全的。若您发现漏洞，请在公开之前寄往 [email protected]。同一地址也以 RFC 9116 格式在 /.well-known/security.txt 上以机器可读的方式公布。使用联系表单同样可以。
13. 关于儿童
costdown.org 是给制造业从业者使用的工具，并非面向儿童。我们不会在明知的情况下为16岁以下的人创建账户。若您认为您的孩子注册了账户，请通过联系表单告知我们，我们将删除该账户。
14. 本政策的变更
本文每次修改，页首的日期都会更新。若变更对您的权利有实质影响，我们会通过电子邮件通知注册用户，而不是等他们自己发现。