隐私政策

谁对您的数据负责

数据控制者为Emmanuel Jégo EI，个体经营者（entrepreneur individuel），地址26 B rue Émile Bernard, 35700 Rennes, France，已在法国全国企业登记册（RNE）登记，SIREN 850 238 825。

关于您的数据的任何问题，请写信到contact@visualpdf.com。发布者的完整信息见法律声明页面。

工具、账户、工作区、账单记录和安全方面的数据，控制者是我们。Premium的付款由Stripe的关联公司Sold through Link, LLC作为记录商家（merchant of record）处理。对于各自收集的付款数据，Link和Stripe是独立控制者。

一句话概括

最重要的几点：

• 几乎每一个工具都在您的浏览器里运行，这些文件不会离开您的设备。Word、Excel和PowerPoint转换器是例外：它们会用到我们的服务器，下文有详细说明。
• 不注册账户也能使用这些工具。只有购买Premium、保存签名和水印或者加入工作区时，才需要账户。
• 我们的分析统计部署在自己的服务器上，不使用cookie，也无法跨网站跟踪您。
• 我们不展示广告，也从不为了广告目的出售或者提供您的数据。
• 付款通过Stripe完成。我们看不到、也不保存您的银行卡号。
• 为单个任务发来的数据（一条反馈留言、一个送去做Office转换的文件）按固定时间表删除。如果您创建了账户，账户数据会一直保留到您删除账户为止，而账户可以在账户页面上自行删除。

在浏览器中处理的文件

使用在浏览器内运行的工具时（合并、拆分、压缩、签名、加水印、裁剪，以及除Office转换器之外的所有工具），全部工作都在您自己的设备上完成。文件从不上传：我们看不到它，也无法保存或扫描它。我们的分析统计对它的了解，仅限于文件数量、总大小，以及工具改动了多少页之类的计数（见“网站分析统计”一节）。

这些工具仍有两样东西可能到达我们的服务器：匿名的使用事件（见“网站分析统计”一节），以及您选择保存到Premium账户里的签名或水印，后者按下文所述加密存储。您正在处理的文档不属于其中任何一样。

Office文件转换成PDF

把Word、Excel或PowerPoint文件转换成PDF，需要用到目前还无法在浏览器里运行的软件，所以这三个工具会用到我们的服务器。您的文件具体会经历这些步骤：

• 文件通过加密连接传到我们的服务器，再由服务器转交给Microsoft（OneDrive）完成实际的转换。
• 转换完成后，我们会立刻删除传给Microsoft的那份副本，一项自动清理会在75分钟内删掉可能的残留。删除是永久性的：文件不经过OneDrive回收站，之后Microsoft不会留下任何副本。
• 转好的PDF会暂存在我们的存储服务（Cloudflare R2）里供您下载，生成约1小时后自动删除（最多75分钟），另有1天的存储规则作为兜底。
• 下载链接在转换完成30分钟后失效。
• 为了显示进度并给下载的文件命名，我们会把文件名和转换任务一起保存。无论您是否登录，转换任务都会在创建24小时后删除。如果您已登录，在此之前该任务也会关联到您的账户。
• Premium用户每天有一定的转换额度。当天已转换的字节数和文件数会作为计数器记在您的账户下，最多保留约3天。
• 我们从不阅读您文档的内容，我们的代码也不会把文件名写入服务器日志。
• 我们处理您的文件及其名称，仅仅是为了完成您要求的转换。法律依据是我们与您之间的合同（GDPR第6条第1款(b)项）。

您的账户

账户是可选的。购买Premium、保存签名和水印、加入工作区时才需要账户。登录方式有两种：使用Google账户，或者使用我们通过邮件发送的登录链接。没有密码。创建账户必须提供邮箱地址：没有它我们就无法让您登录，而不创建账户也照样可以使用免费工具。显示名称可以不填。

我们使用账户数据让您登录，并提供您注册或付费获得的服务。法律依据是我们与您之间的合同（GDPR第6条第1款(b)项）。账户会一直保留到您删除为止：我们不会关闭不活跃的账户。

登录会话记录保存在我们的数据库（Cloudflare D1）中，直到您在该设备上退出登录、会话过期或者您删除账户为止；另有一份缓存副本（Cloudflare KV），随会话一起过期。过期的会话会在过期后15分钟内删除。我们会保留登录时记录的IP地址和浏览器标识字符串，用于调查滥用和账户盗用，依据是我们的正当利益（第6条第1款(f)项）。

账户里保存的内容如下：

• 您的邮箱地址，以及它是否已经验证。
• 显示名称。用Google登录时由Google提供，您可以在账户页面上修改（1至100个字符）。
• 您上次登录时，或者在登录状态下切换语言时网站所用的语言。我们发给您的邮件使用这种语言，登录链接邮件除外：它跟随您申请链接时所在页面的语言。我们也会把它发给Stripe，让Stripe的付款页面和邮件使用这种语言。
• 如果用Google登录：您的Google账户标识、Google头像的地址，以及Google返回的访问令牌、刷新令牌和ID令牌。我们只向Google请求您的基本资料和邮箱地址（“openid”、“email”和“profile”权限范围），所以这些令牌无法访问您的云端硬盘、邮件或其他Google数据。这些信息会保留到您删除账户为止。
• 您的登录会话。每个会话包含一个随机令牌、登录时记录的IP地址和浏览器标识字符串，以及开始日期和过期日期。会话有效期为7天，只要您还在使用网站就会自动续期。
• 申请登录链接时：您输入的邮箱地址，保存在一条待处理请求中。链接被使用后，这条请求随即删除，否则在25分钟内删除，即使您始终没有完成登录也是如此。链接本身有效10分钟。
• 您的Premium状态、工作区成员身份和已保存的项目，详见下面几节。

删除账户

您可以自己删除账户：打开账户，进入“账户”，使用“删除账户”。出于安全考虑，删除要求最近一次登录不超过24小时。如果超过了，我们会先请您重新登录。

如果您是某个工作区的所有者，而该工作区的订阅仍在进行中，删除会被拒绝。请先结束订阅，或者在“团队”页面把工作区转交给一位成员，然后再删除账户。

删除会立即清除您的账户、登录会话、Google令牌、已保存的签名和水印、转换任务、Premium周卡记录，以及您拥有的工作区。我们会发邮件告知该工作区的成员，工作区已经关闭。

删除之后，仍有少量数据会保留：

• Stripe那里的付款、发票和订单记录。删除Visual PDF账户不会影响它们（见“Premium付款”一节）。
• 其他工作区发给您的邀请中的邮箱地址，保留到邀请过期后30天；这些工作区的活动日志里也有您的邮箱地址，每条记录保留30天。
• 短期计数器和文件：经过哈希处理的登录邮件计数器（约35分钟）、转换后的文件（75分钟）、下载链接（转换完成后30分钟）和每日转换计数器（最多约3天）。频率限制计数器由Cloudflare保存，不在我们这里。
• 每次购买Premium周卡留下的一行记录及其结束日期，这行记录不再指向您。
• 服务器技术日志，保留7天。
• 数据库还原点，由我们的主机服务商保存30天（Cloudflare D1 Time Travel）。我们只在发生事故时用它们恢复数据。

工作区与团队

每个账户都自带一个工作区。有了Premium订阅，所有者可以通过邀请与其他人共享Premium，每人占一个席位。

邀请别人时，所有者要输入对方的邮箱地址：我们就是从这里得到它的。我们把它保存在邀请中，并给对方发一封邮件，写明工作区名称和邀请人的名字；如果邀请人没有设置名字，就写邀请人的邮箱地址。如果该地址已经有账户，邮件使用该账户的语言，否则使用邀请人的语言。任何持有邀请链接的人都能看到工作区名称、所有者的名字（不含姓氏）、邀请人的名字，以及部分隐藏的受邀地址。如果所有者或邀请人没有设置名字，我们会用其邮箱地址中@之前的部分代替；默认的工作区名称也按同样方式生成。

邀请在7天后过期，过期30天后删除。工作区活动日志会保留受邀地址30天，之后这条记录仍然存在，但不再包含该地址。

我们处理工作区数据，是为了运行您或您所在组织注册的服务（合同，第6条第1款(b)项），并保留到工作区关闭为止。对于受邀但还没有账户的人，以及活动日志保存30天的受邀地址，法律依据是我们和工作区所有者在发送邀请、记录谁获得了访问权限方面的正当利益（第6条第1款(f)项）。只有所有者删除自己的账户时，工作区才会关闭。如果某位成员删除账户，活动日志中的记录将不再指向该成员，但邀请里记录的地址除外，它会保留到邀请满30天为止。

组织为员工运营工作区时，由该组织对其使用成员数据的行为负责。企业客户可以写信到contact@visualpdf.com，向我们索取数据处理协议（DPA）。

工作区里谁能看到什么：

• 每位成员都能看到其他成员的名字、邮箱地址、角色和加入时间。
• 每位成员还能看到工作区名称、所有者的名字（如果没有名字，则是其邮箱地址中@之前的部分）、席位数和续订日期，以及共享到工作区的签名和水印及其作者的名字。
• 所有者还能看到待处理的邀请（邮箱地址和过期时间）和一份活动日志：邀请、加入、离开和移除，席位和方案变更，重命名，共享的项目，付款失败和所有权转让，并附上相关人员的名字；没有名字的，显示其邮箱地址。
• 工作区里的任何人，包括所有者，都看不到您的文档、转换、未共享的已保存项目、登录会话或IP地址。
• 移除成员或者成员自行离开，都会终止其对工作区的访问，并删除该成员共享到工作区的项目，但不会删除该成员自己的账户。

已保存的签名和水印

有了Premium，您可以把签名和水印保存到账户里。保存与否始终由您决定。文字水印（文字、颜色、字体、不透明度）、键入的签名和手绘的签名保存在我们的数据库（Cloudflare D1）中。手绘签名以笔画形式保存，不包含书写的时间和压力信息。水印图片（最大1MB）保存在我们的文件存储（Cloudflare R2）中。最多可以保存10个签名和20个水印。

所有内容都用您专属的密钥加密（AES-256），这把密钥本身又由一把服务器密钥锁定。这是静态加密，不是端到端加密：每次把某个项目发给您，或者发给您共享到的工作区时，我们的服务器都会解密它。没有服务器密钥，从我们的数据库或存储中拿到的项目副本无法读取。

您可以把项目共享给拥有2个或更多席位的工作区。之后，该工作区的成员会看到这个项目和您的名字，前提是您和他们都还在该工作区里，并且订阅仍然有效。所有者可以从自己的工作区中移除某个项目。您离开工作区或被移除时，您共享到该工作区的项目会被删除。

如果Premium结束，您仍然可以查看、下载和删除这些项目，但不能新建或编辑，您共享的项目也不再显示。

这些项目会一直保留，直到您删除它们或删除账户。删除某个项目会立即删除它及其图片。删除账户时，我们会先销毁您的密钥，再删除图片，最后删除记录。数据库还原点保存30天，其中可能仍有加密副本以及被锁定的密钥；我们只在发生事故时用它们恢复数据。法律依据是我们与您之间的合同（第6条第1款(b)项）。

Premium付款

Premium通过Stripe Managed Payments销售。记录商家是Stripe的关联公司Sold through Link, LLC：它负责收款、计算增值税，并向您发送收据和发票。银行卡、账单地址和税号（如有）都在Stripe自己的页面上填写。我们看不到、也不保存您的银行卡号，我们的页面上也不运行任何Stripe脚本。

对于各自收集的付款数据，Stripe和Link是独立控制者。它们根据自己的隐私政策和法律义务保存这些数据，删除Visual PDF账户不会删除这些数据。如果您要求Link删除您的数据，Stripe会取消您通过Link购买的Premium订阅，并从我们的Stripe账户中移除您的数据。

我们发送给Stripe的内容。订阅：工作区名称、所有者的邮箱地址和我们的工作区标识，所有权转让后还有新所有者的邮箱地址。Premium周卡：您的邮箱地址、姓名和我们的账户标识。每种情况下，我们还会一并发送相关人员账户中设置的语言。

Stripe与我们共享的内容。根据Link的条款，Stripe会在我们的Stripe账户中提供您的订单数据：姓名、邮箱地址、电话号码、账单地址、税号（如果您提供了）、付款信息（从不包括完整的银行卡号）以及您购买的内容。我们用这些数据提供客户支持和做账。除下面列出的标识外，我们自己的系统不复制其中任何数据。

我们自己的数据库保存的内容。Stripe客户标识。订阅：方案、状态、席位数、按月或按年的计费方式、当前计费周期，以及取消日期或试用日期，保留到工作区不复存在为止。已安排的席位缩减保留到生效后30天。Premium周卡：Stripe结账标识、付款标识以及开始和结束日期，在周卡到期30天后删除。购买周卡还会在内部活动日志中留下一行记录，注明周卡的结束日期。这行记录没有期限：删除账户后它依然存在，但不再指向您。

法律依据：为提供Premium而履行我们与您之间的合同（第6条第1款(b)项）；我们处理客户支持请求、退款和撤回权（right of withdrawal）申请的正当利益（第6条第1款(f)项）；以及我们保存会计记录的法定义务（第6条第1款(c)项）。订单数据在Stripe保存期间会一直留在我们的Stripe账户中；如果您要求Link删除您的数据，这些订单数据会被清除。

我们发送的邮件

我们只在服务需要时发送邮件，从不发送营销邮件。法律依据是我们与您之间的合同（第6条第1款(b)项）。

我们的代码不保留所发邮件的副本。如果发送失败，服务商返回的错误信息会进入我们的服务器日志，日志保存7天。

为了防止有人用邮件轰炸某个邮箱，我们会统计10分钟内发往每个地址的邮件数。计数器以地址的哈希值而不是地址本身存储，约35分钟内删除。这个哈希值属于假名化数据，并不匿名：已经知道您地址的人可以算出它。

收据、发票和付款提醒由Link和Stripe发送，不是我们。

我们的邮件从noreply@mail.visualpdf.com发出，通过Cloudflare Email Sending投递，该服务会收到您的地址和邮件内容。我们发送的邮件有：

• 登录链接，有效期10分钟。
• 工作区邀请，发往所有者输入的地址。
• 您在某个工作区的席位被移除时的通知。
• 付款失败时发给所有者的通知。
• 通过工作区获得的Premium结束时，发给每位成员的通知。
• 工作区更换所有者时发给双方的通知，注明另一方的名字（如果对方没有设置名字，则注明其邮箱地址）。
• 工作区因所有者删除账户而关闭时，发给成员的通知。
• 提前30天发出的变更通知：本政策或我们条款的重大变更、面向订阅用户的价格变更，以及让Premium明显变差的变更。

帮助与反馈表单

您通过“帮助与反馈”表单给我们留言时，我们会收到：您选择的主题、留言内容、您的邮箱地址（用于回复）、您是从哪个页面写来的、界面语言、浏览器标识字符串、您所在的国家（根据连接判断，IP地址不会和留言一起保存），以及您选择添加的附件（如果有）。

这些数据只用于一个目的：理解并答复您的来信。留言和附件会在您的请求处理完成30天后自动删除，最迟不超过发送后12个月。法律依据是我们答复来信者、改进服务的正当利益（第6条第1款(f)项）；如果留言涉及某次购买或您的账户，则是我们与您之间的合同。

收到留言时，我们的团队会在一个Discord频道里收到通知，内容包括留言编号、主题、语言、国家、页面地址，以及附件的文件名和大小。您的留言内容和邮箱地址不会发送到Discord。这些通知会一直留在Discord频道里，直到我们删除为止。

您发给我们的邮件

您写信到contact@visualpdf.com时，邮件内容和您的地址保存在我们设在德国IONOS SE的邮箱中。我们只用它们来答复您。法律依据是我们的正当利益（第6条第1款(f)项）；如果您来信是关于某次购买、撤回购买或您的账户，则是我们与您之间的合同。

这些邮件不会自动删除。我们会在答复您、处理后续事项（例如退款或争议）所需的期间内保留它们，然后手动删除。

工具评分

您给某个工具打分时，我们会保存工具名称、您的评分，以及您留下的评语（如果有）。除此之外不保存任何东西：没有IP地址，没有标识，也不关联账户，即使您已登录也是如此。“您已经给这个工具评过分”这一状态只存在您自己的浏览器里。另外，我们的分析统计会记录某个工具被评了分，包括分数但不包括评语（见“网站分析统计”一节）。

评分是匿名的，所以我们会作为产品统计长期保存。请不要在评语里写个人信息：我们无从得知是谁写的，因此也没法把它和您对应起来去删除。

网站分析统计

我们用Rybbit了解网站的使用情况：这是一套开源、不使用cookie的分析工具，部署在我们自己位于法国的服务器上（OVH）。没有任何数据提供给广告网络，也不会为您建立画像。

记录的内容包括：访问的页面（完整地址，如果您打开了邀请链接，也包括该链接）、来源网站、浏览器和操作系统的类别、屏幕尺寸、国家和地区。您的IP地址只在访问的那一刻用来判断国家和地区，随后就被丢弃，不会和访问记录一起保存。为了统计访问次数，Rybbit会根据您的IP地址和浏览器标识字符串算出一个假名标识，把多次访问关联起来。这个标识不会每天更换，所以来自同一IP地址和同一浏览器的访问会被长期关联，直到其中之一发生变化。如果您打开邀请链接，链接地址也会被记录，那一次访问就可能和该邀请对应起来。Office转换失败时，相应事件会带上这次转换的请求编号，因此在服务器日志保存的7天内，我们可以把它和那次请求对应起来。

为了修复问题，我们还会记录工具的使用事件：工具被打开、完成、卡住或失败（附一段截断的技术错误信息或错误代码），文件的数量和总大小，您选择了哪些选项，结果计数（例如改动的页数或找到的图片数），您以什么方式下载结果，以及我们是否建议过您在应用内浏览器之外打开页面。我们还会记录您发送了反馈留言（主题以及是否带附件）或给工具打了分（工具和分数），但不记录留言、评语或邮箱地址。

对于账户和Premium，我们会记录以下步骤：开始登录、登录完成或失败（登录方式，新账户还是老账户）、退出登录、删除账户、达到免费额度上限、显示Premium提示及其原因、开始结账（方案、席位数、月付或年付）和完成结账、席位变更、取消订阅、发送、接受或拒绝邀请、移除成员以及转让所有权。这些事件都不包含您的姓名、邮箱地址或账户标识。

分析事件保存不超过24个月，之后删除。

这项处理的依据是我们了解并改进服务的正当利益。它的配置保持在法国监管机构CNIL为受众度量设置的豁免范围之内，因此不需要征求同意的横幅。

安全与防滥用

这些措施的依据是我们保障服务可用、账户安全的正当利益（第6条第1款(f)项）。

为了保护服务和您的账户，我们使用以下机制，其中几项会处理您的IP地址：

• 访问频率限制：按IP地址（登录后按账户）统计每分钟内的请求次数。这些计数器由Cloudflare的频率限制服务保存，保存多久由Cloudflare决定。它们从不和您提交的任何内容或留言一起保存。
• Cloudflare Turnstile：在您发送反馈、给工具评分、申请登录链接，或者在没有Premium的情况下启动Office转换时运行的防机器人校验。它由Cloudflare运营，为了区分真人和机器人，Cloudflare会处理您的IP地址、浏览器标识字符串、连接的技术指纹以及我们站点的标识。Turnstile不设置任何广告cookie，绝不用于跨网站跟踪您，Cloudflare也不会用这些数据为您建立画像。
• 登录邮件限制：按邮箱地址计数，以地址的哈希值存储，保留约35分钟（见“我们发送的邮件”一节）。
• 登录会话会保存登录时记录的IP地址和浏览器标识字符串（见“您的账户”一节）。
• 登录链接只能在申请它的那个浏览器中使用，这靠一个保存链接摘要的cookie实现。
• 服务器日志：我们的主机服务商Cloudflare会记录我们服务器所处理请求的技术日志，包括请求的地址、您的IP地址和浏览器标识字符串。日志保存7天，只用于修复错误和调查滥用。我们的代码写入这些日志的信息可能包括您的账户、工作区或Stripe标识，以及邀请链接和下载链接的地址，但绝不包括您的邮箱地址或文件内容。

Google服务

使用Google登录：如果您选择这种方式，Google会告诉我们您的姓名、邮箱地址、该地址是否已验证、头像地址和Google账户标识。我们会按“您的账户”一节所述，把它们和Google返回的令牌一起保存。

您的头像：如果您用Google登录，在显示头像的页面上，您的浏览器会直接从Google的服务器加载头像。这时Google会收到您的IP地址和浏览器标识字符串，和加载它托管的任何图片时一样。

从Google云端硬盘导入：如果您选择从Google云端硬盘导入文件，整个过程发生在您的浏览器和Google之间，我们的服务器完全不参与。您授予的权限只覆盖您自己挑选的那些文件（Google的“drive.file”权限范围），临时访问令牌只保存在浏览器的本地存储里，不会去别的地方。这项功能只在您点击时才会运行。

Google如何处理这些数据，受Google自己的隐私政策约束。

我们保存多久

与单个任务相关的数据按固定时间表删除。与账户相关的数据会一直保留，直到您删除该数据或账户，或者它所属的工作区关闭为止。具体如下：

Cookie和第三方内容

我们不设置广告cookie，也不设置第三方跟踪cookie，所以您看不到cookie横幅。

第三方内容只在需要的地方加载到您的浏览器里：Cloudflare Turnstile出现在受它保护的表单和登录页面上；使用Google登录时，会加载Google的登录页面和您的Google头像；打开云端硬盘导入时，会加载Google的脚本；购买或管理Premium时，我们会把您引导到Stripe的付款和账单页面。字体由我们自己的域名提供，不走Google Fonts的服务器。

我们使用的cookie都是绝对必要的，因此无需征得同意。只有第一个cookie会在未登录时设置，其余的只在登录过程中或登录状态下存在：

• “i18n_redirected”：在您选择了语言或系统检测到语言之后，记住您的语言偏好。它不含任何标识，有效期一年。
• “__Secure-better-auth.session_token”：您的登录会话。页面上的脚本无法读取它，visualpdf.com及其子域名共用它，有效期7天，只要您还在使用网站就会续期。
• “vpdf_session”：告诉页面存在一个会话，以便立刻显示您的账户。它只保存数值1，有效期与会话cookie相同。
• “__Host-vpdf_ml”：把登录链接绑定到申请它的浏览器。它保存的是链接的摘要，绝不是链接本身，有效期10分钟。
• “__Secure-better-auth.state”：用Google登录时使用的安全cookie，有效期5分钟。

本地存储

有几项设置保存在浏览器的存储中，只有我们的页面会读取，从不发送到我们的服务器：

• “vpdf_account”：您的姓名、邮箱地址、姓名缩写、头像颜色、Google头像地址和Premium状态，让页眉及其账户菜单在服务器响应之前就能显示您的账户。它不含账户标识，在您退出登录或删除账户时清除。
• “vpdf_r7k”：免费版在过去1小时内完成的任务数。
• “vpdf_currency”：用于以您的货币估算显示Premium价格的货币和汇率，保存24小时。我们的服务器根据Cloudflare附加到您连接上的国家来选择货币，不会保存它。
• “nuxt-color-mode”：您选择的浅色或深色主题。
• “visualpdf:ratings”：您已经评过分或拒绝评分的工具，以及我们上次请您评分的时间。
• “visualpdf:viewer-zoom”：您在编辑器中偏好的缩放比例。
• 如果您使用Google云端硬盘导入：Google临时访问令牌。
• 会话存储（关闭标签页时清空）中：一个标记，用于在更新失败后帮助页面恢复。

服务提供商与数据接收方

您的数据从不被出售、出租，也不会为了广告而提供给别人。数据只会提供给以下接收方，各自仅用于所列目的：

• Cloudflare, Inc.（美国）：托管、数据库、文件存储、内容分发、服务器日志、安全服务（包括Turnstile）以及邮件投递。双方签有数据处理附录，并采用欧盟标准合同条款。
• Microsoft（美国）：只负责如上所述的Word、Excel和PowerPoint文件转换。
• OVH SAS（法国）：为我们自建的分析系统提供主机服务。
• Google（美国）：Google登录、您的头像（如果您使用Google登录），以及在您浏览器里运行的可选云端硬盘导入功能。
• Stripe，包括Sold through Link, LLC（美国）：Premium付款、增值税、收据和发票，身份为记录商家和独立控制者。
• Discord, Inc.（美国）：发给我们团队的内部通知。反馈留言的通知包括留言编号、主题、语言、国家、页面地址，以及附件的文件名和大小。邮件发送失败的通知只包括错误代码。绝不包括您的留言内容或邮箱地址。
• IONOS SE（德国）：保存您发送到contact@visualpdf.com的邮件。
• 其他用户：您所在工作区的成员以及您邀请的人，能看到“工作区与团队”一节所述的内容。

数据的跨境传输

我们的部分服务商位于美国，或者可能在美国处理数据：Cloudflare（托管我们的数据库和存储）、Microsoft、Google、Stripe和Discord。如果接收方已获得欧盟-美国数据隐私框架认证，这些传输以该框架为依据；否则以欧盟委员会的标准合同条款为依据。您可以写信到contact@visualpdf.com，索取这些保障措施的副本。

您的权利

根据GDPR，您可以要求访问、更正、删除或转移我们持有的关于您的数据，也可以反对或限制相关处理。如果您有账户，这些权利涵盖您的账户、工作区数据和已保存的项目。

其中一部分您可以自己完成：在账户页面修改名字、删除已保存的项目，以及删除账户（见“删除账户”一节）。其他请求，包括以可移植的格式获取账户数据副本，请写信到contact@visualpdf.com。我们会在一个月内答复。

反对权：您可以随时基于与自身情况有关的理由，反对我们以正当利益为依据进行的处理，即网站分析统计、安全措施、会话记录和服务器日志。请写信到contact@visualpdf.com。对于分析统计，您也可以自己阻止：用任何内容拦截工具屏蔽发往www.visualpdf.com/api/e/的请求，网站照样可以正常使用。

对于付款数据，您也可以直接联系Stripe或Link。它们的隐私政策链接见“Premium付款”一节。

您还可以就您去世后如何处理您的数据向我们作出指示（法国《信息与自由法》（Loi Informatique et Libertés）第85条）。如果没有指示，您的账户会一直保留，直到您的继承人要求我们删除；继承人可以写信到contact@visualpdf.com并附上死亡证明。您也可以通过同一地址告诉我们，您的数据是否可以交给您指定的人。

如果您认为自己的权利没有得到尊重，可以向法国数据保护机构投诉：CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France（www.cnil.fr）。您也可以向您居住地、工作地或涉嫌违规行为发生地所在欧盟国家的数据保护机构投诉。

画像与年龄限制

我们不会对您做自动化决策，也不会建立任何画像。这些工具不需要账户，面向普通公众。

账户仅供15岁及以上的人使用。购买仅限成年人，或经父母许可的未成年人。我们不会有意收集15岁以下儿童的数据。

本政策的变更

如果我们的做法发生变化，会在变更生效之前更新本页面和上面的“更新于”日期。如果某项变更对账户持有人有重大影响，我们还会在变更适用前30天发邮件通知他们。