隐私政策

本政策适用于 OTPRun 网站、网页控制台、HTTP API 和 MCP 服务器（统称“本服务”）。OTPRun 帮助企业向其自身用户发送 WhatsApp 和 Telegram 消息及一次性验证码。

本服务涉及两类人群。“客户”是指创建账户的企业和开发者。“接收者”是指接收客户通过 OTPRun 所发消息的个人。本政策同时涵盖与这两类人群相关的数据。

本服务由 OTPRun（以下简称“我们”）运营。对于客户账户数据，由我们决定数据处理的方式和目的，我们是该数据的控制者。

对于接收者的电话号码和消息内容，由客户决定发送什么内容以及发送给谁。客户是该数据的控制者，我们仅代表客户处理这些数据，且仅用于投递消息和展示消息记录。如果您收到了一条消息并对其有疑问，请先联系发送该消息的企业。我们将在力所能及的范围内提供协助。

我们仅处理运行本服务所必需的数据：

• 账户数据：您的姓名、电子邮箱地址和密码。密码仅以哈希值形式存储，绝不以可读形式保存。
• 工作区和项目设置，包括团队成员及其角色。
• API 密钥。我们仅存储每个密钥的哈希值；完整密钥仅在创建时显示一次。
• 接收者电话号码、消息文本和送达状态，例如已发送、已送达、已读或失败。
• 通过您绑定到 OTPRun 的 WhatsApp 号码收到的消息。
• 您保存或导入的联系人：姓名、电话号码、别名和备注，包括从已关联 WhatsApp 号码的通讯录中导入的姓名。
• 验证记录：接收者、渠道、状态和时间。验证码绝不以明文存储，仅以哈希值形式保存。
• 用于保持您的号码连接状态的 WhatsApp 关联设备会话密钥，在适用情况下以加密形式存储。
• 渠道凭据，例如 Telegram 机器人令牌，采用 AES-256-GCM 加密。
• 技术日志：IP 地址、不含查询字符串的请求路径以及用户代理。

我们仅将数据用于以下目的：

• 提供本服务并确保您的账户正常运行；
• 投递您的消息和验证码，并展示其状态和记录；
• 保障本服务安全，防范欺诈、垃圾消息及其他滥用行为；
• 处理付费套餐的计费事宜；
• 答复您的支持请求。

我们不出售个人数据，不展示广告，也不会将消息内容用于投递及向您展示以外的任何目的。

我们处理数据的依据是：履行与您订立的合同、遵守法定义务，以及我们在保障本服务安全、防止滥用方面的正当利益。

我们仅与提供本服务所必需的各方共享数据：

• WhatsApp（Meta）和 Telegram，负责将消息传递给接收者。WhatsApp 消息从您自己绑定的号码发出；Telegram 消息通过 @OTPRun_bot 机器人发出。它们所处理的数据适用其各自的隐私政策。
• 我们的托管服务提供商，即位于哈萨克斯坦的 ps.kz 云，我们的服务器和数据库在此运行。
• 启用计费功能后，负责收取付费套餐款项的支付处理机构。
• 由您自行连接的第三方应用，详见下一节。

在法律要求的情况下，例如依据法院或公共机关的有效命令，我们也可能披露数据。

您可以通过 OAuth 将第三方应用连接到 OTPRun，例如用于使用 MCP 服务器。您授权的应用只能访问您在授权同意页面上选择的项目。

您可以在控制台中查看已连接的应用，并随时断开其中任何一个。断开后，该应用将无法再访问您的数据。已连接应用如何处理其已获取的数据，受该应用自身的条款和隐私政策约束。

我们的服务器位于哈萨克斯坦。如果您在其他国家或地区使用本服务，您的数据将被传输至哈萨克斯坦并在当地处理。您发送消息时，WhatsApp 或 Telegram 可能依据其自身条款在其他国家或地区处理该消息。

• 与本服务之间的连接均采用 HTTPS 加密。
• 密码、API 密钥和验证码仅以哈希值形式存储。
• 渠道凭据采用 AES-256-GCM 加密，WhatsApp 会话密钥在适用情况下以加密形式存储。
• 验证码绝不会出现在我们的日志中，我们的日志也不记录查询字符串。

任何系统都无法做到绝对安全。如果我们获悉发生了影响您数据的安全事件，将及时通知您，不作不当延误。

我们仅在运行本服务和展示您的记录所需的期限内保存数据：

• 账户数据：在您的账户存续期间保存。
• 消息内容和送达记录：最长 90 天。
• 验证记录：最长 30 天。
• 技术日志：最长 30 天。

上述期限届满后，数据将被删除。您可以随时删除项目、绑定的号码或整个账户。您删除账户后，我们将删除其数据，但法律要求我们保留的记录（例如账单凭证）除外。

根据您所在地区的法律，您有权：

• 访问我们持有的您的个人数据；
• 更正不准确的数据；
• 要求删除您的数据；
• 以可移植的格式获取您的数据；
• 反对特定的处理活动，或要求我们限制处理。

其中许多操作可直接在控制台中完成。如有其他需求，请使用您账户的电子邮箱地址与我们联系，我们将在 30 天内答复。如果您是接收者，也可以联系向您发送消息的企业。您还有权向当地数据保护机构投诉。

我们仅使用本服务正常运行所必需的 Cookie：用于保持您的登录状态，以及记住您的语言和显示设置。我们不使用广告 Cookie 或跨网站跟踪 Cookie。

OTPRun 是面向企业的服务，并非针对儿童。我们不会在知情的情况下为未满 16 周岁的任何人开设账户。

当本服务或相关法律发生变化时，我们可能会更新本政策。页面顶部的生效日期标明了当前版本。如果某项变更对我们处理您数据的方式有重大影响，我们将在变更生效前通过电子邮件或在控制台中通知您。

如对本政策有任何疑问，或需提出与您的数据相关的请求，请发送邮件至 support@otprun.com。