TL;DR
我们只收集提供服务和发票所需的最少信息。没有追踪、没有广告网络、没有数据转售。我们在欧盟，适用 GDPR，除非法律强制要求，否则我们绝不与第三方共享你的数据。
1. 我们是谁
InternalHost 是一家个体经营企业（荷兰 KvK 90174720），所有者 Xaviero Kajafas，位于阿姆斯特丹。注册地址：Bijlmerdreef 910, 1103 DV Amsterdam。办公地址（需预约）：Nieuwe Hemweg 26, 1013 CX Amsterdam。我们是 GDPR 下的"数据控制者"，负责你作为客户托付的个人数据。
2. 我们收集什么
三类，不多不少：
- 账户数据：姓名、邮箱、公司名（可选）、VAT 号（可选，仅 B2B）。注册时由你提供。
- 账单数据：开票地址、付款方式（我们不存卡号——那些在 Mollie/Revolut 处）、付款历史。荷兰税法 + GDPR 第 6(1)(b) 条（合同）要求。
- 技术数据：会话 IP、浏览器 user-agent、登录时间戳。出于安全（CrowdSec、fail2ban）和反欺诈的需要。法律依据：第 6(1)(f) 条（合法利益）。
我们 不 收集：第三方追踪 cookie、社交媒体像素、广告 ID、超出 IP 的地理位置、行为分析、鼠标追踪或任何其他监控技术。
3. 我们用它做什么
- 交付你付费的服务（开通服务器、发邮件、支持）。
- 生成和发送发票。
- 检测和制止针对我们基础设施的滥用（见 AUP）。
- 满足法定保留义务（荷兰税务：发票保留 7 年）。
我们 不 用它做：画像、个性化广告、转售、AI 模型训练或任何其他副业。
4. 我们保留多久
- 账户数据：你是客户期间 + 取消后 30 天用于可能的索赔。
- 发票：7 年（荷兰税法）。
- 登录日志：90 天（安全取证）。
- 服务器数据（你的 VPS 内容）：服务激活期间。取消后 14 天用于恢复，然后永久删除。
- 支持工单：2 年。
5. 我们与谁共享
名单很短。这里的每一个都是欧盟司法管辖下的处理者：
- Mollie（NL）：支付处理商。接收你的姓名、发票金额、邮箱。Mollie 隐私。
- Revolut Business（LT, 欧盟）：备选支付处理商。与 Mollie 范围相同。
- Cloudflare（US, 欧盟数据区）：本站 CDN/DDoS。处理你的 IP + 浏览器指纹用于反机器人。适用标准 SCC。Cloudflare 隐私。
- Qupra DC（NL）：数据中心。可物理访问我们的硬件，但无逻辑访问数据。
- OpenProvider（NL）：域名注册商——仅当你通过我们注册域名时相关。接收 WHOIS 联系人数据。
就这些。没有追踪像素、没有广告平台、没有"分析" SaaS。
6. 你的权利（GDPR）
你有权利：
- 访问你的所有数据。
- 更正它。
- 请求删除（法定保留情况除外）。
- 获取机器可读副本（数据可携权）。
- 反对基于合法利益的处理。
- 向荷兰数据保护机构投诉。
发邮件到 [email protected]。我们 30 天内回复，通常 5 天内。
7. 安全
- 全程 TLS（HSTS 预加载）。
- 密码以 bcrypt 存储，绝不明文。
- 生产 SSH 仅用 ed25519 密钥，关闭密码认证。
- 管理员账号强制 MFA。
- 所有公共端点上 CrowdSec + fail2ban。
- 客户数据每日加密备份。
- 访问受限：仅 Nick 和 Jarreth 有生产 shell，仅 Xavi 有 Filament admin。
数据泄露？按 GDPR 第 33-34 条，我们 72 小时内通知 DPA 和受影响客户。
8. 联系 + 变更
问题、请求或投诉：[email protected] 或 Signal（链接在页脚）。我们保留修改本政策的权利。重大变更在生效前至少 30 天通过邮件告知活跃客户。