最后更新：2026 年 6 月。Vulny SIA（"Vulny"、"我们"）是通过 Vulny 漏洞扫描服务处理的个人数据的数据控制者。本政策说明我们收集哪些信息、原因、如何保护，以及您在 GDPR 及其他适用数据保护法律下所享有的权利。
我们仅收集运行本服务所需的内容：
用于交付和运营扫描器；对您进行身份验证并保护您的账户；核实您已获授权扫描某目标；处理付款并预防欺诈；发送服务电子邮件（验证、试用、计费、安全告警及提醒）；提供支持；监控性能并改进产品；以及履行法律和会计义务。
我们依据：与您之间的合同履行（提供服务及计费）；我们的合法利益（保护平台安全、防止滥用、改进产品及向现有客户进行有限的直接营销）；在需要时获得您的同意（例如，非必要 Cookie，或以同意为合法依据的营销）；以及法律义务（税务和会计记录）。
我们不出售您的个人数据。我们仅与受信任的、依据数据处理协议按我们指示行事的子处理者共享：
| 提供商 | 目的 | 所在地 |
|---|---|---|
| 云托管（位于欧盟境内的 VPS） | 运行平台并存储数据 | 欧盟 |
| Stripe | 支付处理 | 欧盟 / 美国 |
| 电子邮件投递（我们的邮件服务器） | 事务性与服务电子邮件 | 欧盟 |
在法律要求、为保护我方权利，或与公司交易（如合并）相关的情况下，我们也可能披露数据，届时将通知您。
我们的平台及数据托管于欧盟境内。当子处理者（如支付处理商）在欧盟/欧洲经济区之外处理数据时，该传输受充分性决定或欧盟标准合同条款的保护，从而使您的数据获得同等水平的保护。
在您的账户处于活动状态期间，我们保留账户和扫描数据。在您删除账户后，租户数据将被移除（按租户级联删除），但我们必须保留某些记录的情况除外——例如，发票和税务记录将按法律要求的期限保留（通常最长 7 年）。安全和审计日志将出于防欺诈和事件调查目的保留有限期限。
我们采取技术和组织措施来保护您的数据，包括传输中加密（TLS）、机密信息的加密存储、密码哈希处理、基于角色的访问控制、租户隔离及审计日志。没有任何传输或存储方法是完全安全的，但我们努力保护您的信息，并在发生符合条件的个人数据泄露时，毫不拖延地通知您及相关主管机构。
在适用法律的约束下，您有权访问、更正、导出（可携带性）、删除、限制或反对对您个人数据的处理，并有权随时撤回同意。导出和账户删除功能可直接在您的账户设置中使用，或通过向我们发送电子邮件办理。我们在法律保留义务的约束下尊重删除请求。如果您身处欧盟/欧洲经济区，并认为我们未合法处理您的数据，您有权向当地数据保护监管机构提出投诉。
我们使用严格必要的会话 Cookie 以保持您的登录状态。我们不使用广告或跨站点跟踪 Cookie。任何可选的分析 Cookie 仅在获得您同意后设置，并且可以拒绝而不影响服务。
Vulny 是一项面向企业的服务，并非针对儿童。我们不会在知情的情况下收集任何 16 岁以下人士的个人数据。如果您认为有儿童向我们提供了数据，请联系我们，我们将予以删除。
我们可不时更新本政策。我们将在此处发布新版本，并标注修订后的"最后更新"日期，对于重大变更，我们将通过电子邮件或应用内通知您。
对于任何隐私请求或问题，请联系 support@vulny.app。数据控制者：Vulny SIA，注册号 40203753831，注册办事处地址：Kazaru street 4-59, Saurieši, Latvia（公司注册登记处）。