隐私说明：双端认证机制下的数据最小化收集原则
欢迎阅读WhatsApp网页版隐私政策。本政策详细阐述了我们在您使用二维码扫码登录及后续通信过程中，如何收集、使用、存储及保护您的个人信息。我们深知，只有严格保护用户数据，才能真正实现“全面保障了个人与企业的数字资产安全”这一承诺。本政策版本生效日期：2025年1月1日。
一、信息收集范围与类型
我们遵循“数据最小化”原则，仅收集为提供安全通信服务所必需的最少信息。与传统的基于密码的服务不同，我们不会收集或存储您的密码哈希值。
1. 身份认证信息（必需）
- 设备标识符：在扫码握手过程中，我们会临时读取您手机的硬件标识（如Android ID或IDFV），用于生成与设备绑定的动态令牌。此信息仅保存在内存中，握手完成后立即删除。
- 摄像头传感器数据：包括但不限于扫码时的环境光强度、陀螺仪读数。这些数据用于验证扫码动作的真实性，防止屏幕录制攻击。我们不会保存摄像头拍摄的原始画面。
- 手机号码：作为您的WhatsApp唯一账号标识，我们仅在您主动触发“忘记设备”或账号申诉时，才会请求您提供完整的手机号码。
2. 通信元数据（默认收集）
为了维持消息队列的正常运作，我们会收集发送时间、接收方号码、消息类型（文本/图片/视频）等元数据。消息内容本身经过端到端加密，我们无法读取。
3. 诊断与性能数据（可选）
若您开启“分享诊断信息”选项，我们将收集浏览器类型、页面加载耗时、崩溃日志等匿名数据，用于优化产品性能。您可在“设置”->“隐私”中随时关闭。
二、信息使用目的与方式
我们仅将收集的信息用于以下明确目的，绝不会用于广告定向或出售给第三方。
- 身份验证与会话管理：利用设备标识符和动态令牌，确保每次登录请求均来自您本人持有的设备。
- 安全风控与欺诈预防：分析扫码环境传感器数据，识别并拦截自动化机器人、模拟器或远程控制木马发起的登录尝试。
- 服务优化与故障排查：使用诊断数据定位消息延迟、连接中断等技术问题，提升服务稳定性。
- 法律合规：当收到具有法律效力的法院命令或政府请求时，我们会在严格审核后，提供法律要求范围内的元数据。
我们承诺：任何情况下，我们都不会尝试解密您的端到端加密消息内容。解密密钥仅存在于您的手机和当前关联的电脑浏览器内存中。
四、第三方数据共享政策
我们极其有限地共享您的数据，且仅限以下场景，所有第三方均需签署严格的数据处理协议（DPA）：
- 云基础设施提供商：我们的服务器托管于符合ISO 27001认证的第三方数据中心。该提供商仅能访问加密后的数据块，无法解密任何信息。
- 安全审计合作伙伴：为了进行渗透测试和漏洞挖掘，我们可能向授权的安全公司提供脱敏后的攻击日志。
- 执法机构（依法）：我们仅在收到具有管辖权的法院令状时，才会披露特定的元数据。我们会通过透明度报告定期公布此类请求的数量。
我们郑重承诺：我们不出售、不出租、不交换任何用户的个人数据。在未获得您明确单独同意的情况下，我们不会将您的数据用于任何与上述目的无关的用途。
五、用户权利：查看、修改与删除
根据适用法律（包括GDPR、PIPL及CCPA），您对您的个人数据享有以下权利：
1. 访问权
您有权通过手机端WhatsApp应用内的“设置”->“账户”->“个人信息”查看您的注册资料。网页版不存储额外的个人档案信息。
2. 更正权
若您的手机号码或昵称有误，您可以直接在手机端修改，修改后所有已关联的网页版会话将自动同步更新。
3. 删除权（被遗忘权）
您可以通过删除WhatsApp账号来彻底清除您的所有数据。删除操作不可逆，且会在30天宽限期后永久删除。删除后，所有关联设备将立即失效。
4. 限制处理权与可携带权
您可以要求我们停止处理您的诊断数据。如需导出您的聊天记录（不含媒体文件），请在手机端使用“导出聊天记录”功能，该功能生成的文件仅包含您与特定联系人的文本消息。
如需行使上述任何权利，请发送邮件至 [email protected]。我们将在收到验证请求后的30天内回复。
六、信息安全保障措施
保护您的数据安全是我们的首要任务。我们部署了多层纵深防御体系：
- 传输层加密：所有数据均通过TLS 1.3协议加密传输，且强制开启证书透明度（Certificate Transparency）策略。
- 端到端加密：消息内容使用Signal协议进行端到端加密，密钥仅存储在您的设备上。
- 硬件安全模块（HSM）：用于生成和存储服务器端的签名密钥，防止物理层面的密钥窃取。
- 实时风控引擎：基于机器学习模型，每秒分析超过10万个登录请求特征，自动阻断高风险操作。
我们每年至少进行一次由独立第三方机构执行的渗透测试和代码审计。2024年度的审计报告显示，未发现严重或高危漏洞。
七、政策更新与通知机制
随着法律法规的演变和产品功能的迭代，我们可能会不时修订本隐私政策。任何重大变更（例如收集数据类型的变化）将采取以下方式通知您：
- 在您下次扫码登录时，弹出显著的“隐私政策更新”提示窗口，需您点击“同意”后方可继续使用。
- 通过手机端WhatsApp应用的“公告”频道发送通知消息。
- 在本页面顶部显示修订生效日期及变更摘要。
若您不同意修订后的条款，您有权停止使用并删除您的账号。继续使用即视为您接受更新后的政策。
八、联系我们与数据保护官
我们已任命一名独立的数据保护官（DPO），负责监督本政策的执行。若您对本政策有任何疑问、投诉或建议，请通过以下方式联系：
- 数据保护官专用邮箱：
[email protected] - 邮寄地址：中国（上海）自由贸易试验区张江高科技园区博云路2号 数据保护官收
- 在线表单：登录网页版后，通过“帮助”->“联系支持”->“隐私相关”提交工单。
我们承诺在收到您的问题后，将在7个工作日内给予初步答复。若您对我们的处理结果不满意，您有权向当地数据保护监管机构（如中国网信办或您所在国家的DPA）提出投诉。