隐私政策

我们收集哪些资料

本系统面向机构用户，不提供公开注册。视你的登录方式与使用情况，我们可能收集：

• 账户资料：邮箱、经 bcrypt 单向散列的密码（明文从不存储）与角色（协调员／研究员等）。若你的机构启用单点登录（Google Workspace / Microsoft Entra），首次登录时我们记录你的邮箱与所属用户组（用于角色映射）；密码由你的机构身份提供方验证，本系统不接触。
• 会话数据：登录后浏览器保存一个会话 Cookie（JWT），仅用于维持登录状态；登出或过期后失效。
• 送达与已读记录：预警邮件的送达回执、站内通知的已读状态（记录哪个账户在何时确认了哪条预警），用于审计与追溯。
• 错误遥测：配置 Sentry 时，系统自动上报错误与性能事件用于排查故障。所有事件在发送前都经过统一脱敏网处理——密码、令牌、密钥等敏感值会被替换为 ***，绝不会离开本系统。
• 本地偏好：控制台语言偏好保存在你浏览器的 localStorage，仅在本机生效，删除后不影响使用。

我们如何使用资料

我们只将资料用于以下目的；不出售你的资料，也不将其用于广告、用户画像或与本服务无关的用途：

• 验证登录，并按角色控制功能与数据的访问范围；
• 在热应力阈值突破时，向登记的接收邮箱发送预警邮件与站内通知；
• 生成可审计的送达／已读日志（保留不少于 1 年）；
• 诊断故障、保障服务稳定（错误遥测）。

AI 与你的资料

系统中的 AI 模型（Gemini）仅处理海洋监测数据（温度读数、普查照片、白化事件库）与系统内容，用于流程编排与叙述生成。你的账户资料不会作为模型输入发送给 AI 服务。

Cookie 与本地存储

• 会话 Cookie（必要）：维持登录状态，删除后需重新登录。
• 语言偏好（localStorage）：记住你在控制台选择的语言，仅保存在你的浏览器。
• 本系统不使用广告 Cookie，也不使用第三方分析或追踪 Cookie。

第三方服务

• Sentry（错误监控）：接收脱敏后的错误与性能事件。
• Resend（邮件投递）：仅在发送预警邮件时使用，接收方为预警接收邮箱。
• 机构单点登录提供方（Google / Microsoft）：仅在你选择 SSO 登录时参与身份验证。
• NOAA Coral Reef Watch、渔护署等数据来源机构不是本系统的资料处理者——我们接入的是其公开数据。

资料保留

• 审计日志（预警触发、送达、已读等）保留不少于 1 年；
• 账户资料在服务关系存续期间保留；账户停用后，我们将删除或匿名化你的邮箱等个人资料（法定留存义务除外）。

你的权利

你可以请求查阅、更正或删除我们持有的、关于你的个人资料。机构用户请通过所在机构与本系统的对接渠道提出，我们会在合理期限内处理。本政策遵循香港《个人资料（私隐）条例》的保障资料原则。

资料安全

• 全站 HTTPS／TLS 传输，数据库静态加密；
• 密码以 bcrypt 散列存储；密钥经密钥管理机制保管，不入仓库、不入日志；
• 基于角色的最小授权访问控制；
• 日志与遥测在持久化或对外发送前，均经同一套脱敏网处理。

未成年人

本系统面向专业保育与研究机构用户，不面向未成年人，也不故意收集未成年人的个人资料。

政策变更

本政策更新时，我们会在本页发布并更新「最近更新」日期；重大变更会经站内通知或邮件告知机构用户。继续使用本系统即视为接受更新后的政策。