隐私说明

一、信息收集范围与类型

在您使用WhatsApp网页版的过程中，我们仅收集实现核心通讯功能所必需的最小化信息。具体包括以下几类：

• 账号信息：您的手机号码（用于配对验证）、WhatsApp账号显示名称、个人头像（如您设置）。这些信息仅在您主动扫码登录时获取。
• 设备与日志信息：当您访问网页版时，系统会自动记录您的浏览器类型（如Chrome 120.0）、操作系统版本（如Windows 11 23H2）、IP地址（用于安全风控与地域流量分析）、访问时间戳、以及浏览器存储的本地会话标识符。这些日志信息保留期限不超过30天。
• 消息交互数据：为了在网页端呈现您的聊天记录，我们需要临时在浏览器本地存储（IndexedDB）中缓存最近的消息内容。这些缓存数据仅保存在您的设备上，不会上传至我们的服务器。
• 功能使用数据：包括您使用的功能模块（如消息搜索、文件发送）、操作频率、错误日志等。这些数据经过聚合与匿名化处理，用于优化产品性能。

我们特别声明：我们不收集您的通讯录联系人列表、不读取您手机上的其他应用数据、不采集您的精确地理位置（仅通过IP推断城市级别的大致区域）。

二、信息使用目的与方式

我们收集上述信息的唯一目的是为您提供稳定、安全的网页版消息同步服务。具体使用场景包括：

1. 服务提供：使用您的账号信息完成设备配对，并通过WebSocket长连接将消息从WhatsApp服务器推送至您的浏览器。
2. 安全防护：利用IP地址与设备指纹信息检测异常登录行为（例如短时间内跨多个国家登录），防止账号被盗用。当检测到风险时，我们可能要求您进行二次验证。
3. 性能优化：分析聚合后的功能使用数据，以改进页面加载速度、减少消息同步延迟、优化内存占用。例如，我们发现超过60%的用户在聊天列表页停留时间最长，因此对虚拟滚动列表进行了专项优化。
4. 法律合规：在收到具有法律效力的法院命令或政府机关正式要求时，依法配合提供必要的日志信息。

我们承诺，绝不会将您的个人信息用于任何与上述目的无关的营销活动，也不会进行用户画像分析用于定向广告推送。

三、Cookie 与追踪技术说明

WhatsApp网页版使用Cookie和类似的本地存储技术来维持您的登录状态与个性化设置。具体使用情况如下：

您可以通过浏览器设置随时清除所有Cookie与站点数据。请注意，清除后将需要重新扫码登录网页版，且本地缓存的聊天记录也会被清空。

四、第三方数据共享政策

我们坚持"最小化共享"原则。除以下明确列举的情形外，我们不会向任何第三方出售、出租或共享您的个人信息：

• WhatsApp官方服务器：网页版的消息传输与存储由WhatsApp官方（Meta Platforms, Inc.）的服务器处理。消息内容本身采用端到端加密，我们作为服务入口无法解密查看。我们与WhatsApp官方之间的数据交互仅限于必要的消息转发与设备状态确认。
• 云服务提供商：我们的网页静态资源托管在位于新加坡的AWS CloudFront节点上，这些服务商仅能获取到您的IP地址与浏览器UA信息，且受保密协议约束，不得将数据用于任何其他用途。
• 法律要求的披露：当收到具有管辖权的司法机关发出的正式法律文书时，我们会在法律允许的范围内进行披露，并尽可能提前通知您（除非法律禁止通知）。

我们郑重承诺：我们不会与任何广告联盟、数据经纪商或第三方营销平台共享您的任何信息。您在本服务中的所有行为数据仅用于改进我们的产品。

五、用户权利：查看、修改与删除

根据《个人信息保护法》及GDPR的相关规定，您对您的个人信息享有以下权利：

1. 访问权：您可以随时通过手机端WhatsApp查看与您账号关联的设备列表。如需获取我们持有的关于您的日志信息副本，请发送邮件至[email protected]，我们将在15个工作日内提供。
2. 更正权：您的显示名称与头像信息由WhatsApp官方管理，您可以在手机端WhatsApp的"设置"→"个人资料"中修改，网页版会实时同步更新。
3. 删除权：您可以通过在手机端"已链接的设备"中移除当前电脑设备，从而终止网页版的数据缓存。同时，您可以要求我们删除服务器上保留的30天日志记录。请发送删除请求至上述邮箱，我们将在10个工作日内完成删除并确认。
4. 撤回同意权：如果您之前同意了我们收集非必要信息（如功能使用统计），您可以随时通过邮件撤回同意。撤回后，我们将停止收集相关数据，但已进行匿名化聚合的数据不会被追溯删除。
5. 注销权：注销WhatsApp账号本身需要通过手机端应用操作。一旦注销，所有关联的网页版会话将立即失效，且无法恢复。

六、信息安全保障措施

我们采用多层次的安全防护体系来保护您的数据免受未授权访问、披露或篡改：

• 传输加密：所有网页版通信均强制使用TLS 1.3协议加密，密钥交换使用ECDHE算法，确保数据在传输过程中无法被窃听或中间人攻击。
• 存储加密：浏览器本地缓存的聊天数据使用AES-256-GCM算法加密，加密密钥由您的设备安全模块（如Mac的Keychain或Windows的DPAPI）管理，即使硬盘被物理窃取，数据也无法被解读。
• 访问控制：我们的服务器运维人员采用双因素认证（2FA）登录管理后台，且所有操作均有审计日志。最小权限原则确保只有极少数核心工程师能接触原始日志数据。
• 定期渗透测试：我们每年委托第三方安全公司（如奇安信、绿盟科技）进行至少两次全面的渗透测试与代码审计。2024年度的测试结果显示，未发现高危或严重漏洞。
• 安全事件应急响应：我们制定了《数据安全事件应急预案》，一旦发生数据泄露，将在72小时内向相关监管机构报告，并通过邮件或站内信通知受影响的用户。

七、政策更新与通知机制

随着法律法规的更新或产品功能的迭代，我们可能不时修订本隐私说明。当发生重大变更（例如收集的信息类型发生变化、数据共享对象变化）