数据、隐私与安全

复制页面

Workflow Transactional Email 存储哪些数据、数据存储在何处、凭据如何加密，以及如何处理 GDPR 删除请求。

DPA和DPA应能满足您的需求。

该应用可以读取哪些Shopify数据

该应用的安装时未授予任何访问权限。它无法读取您的商品、订单、客户或任何其他商店数据。客户数据之所以能发送到邮箱，仅仅是因为_您_通过Shopify Flow，利用该步骤的字段以及**“变量（JSON）**”字段将其传递过来。 Shopify Flow 会读取您的商店数据；由您决定要传递哪些数据。如果您只发送订单号，那么我们所看到的也仅是订单号。

自 1.17 版本起，新增了四项可选权限，涉及两项功能：附加订单或客户元字段所指向的文件（例如，另一款应用保存在订单中的发票 PDF 文件），以及为需要该信息的邮件布局生成唯一的折扣码。安装时默认未授予任何权限。当您首次设置此类功能时，应用会请求相应权限，Shopify 会显示其自身的同意对话框，而应用的**“权限**”页面会列出所有已授予的权限，并附有**“撤销**”按钮。

权限	用于
读取订单	布局中指定的那个元字段，即“Shopify Flow”步骤所涉及的那个订单中的
读取客户	客户元字段也是如此
读取文件	将元字段中的文件引用转换为文件本身
写入折扣	当发送包含“创建唯一代码”模块的电子邮件时，生成一个一次性折扣码。系统不会读取任何数据；其他折扣绝不会被修改或删除

即使获得了权限，该应用也不会主动读取任何数据：只有在发送包含此类附件的电子邮件时，才会读取该资源上的该元字段，以及该字段所指向的文件。它不会读取姓名、地址、电子邮件或订单项，且该文件仅为此次发送而下载、附加，随后即被删除。生成的折扣码不包含任何个人数据，并将随该发送记录保存在“历史记录”中。详细信息和确切的权限范围请参见权限：该应用可以从您的商店读取哪些信息。

存储了什么

数据	为什么	多长时间
电子邮件布局、HTTP请求、预设	您的配置	直到您将其删除或卸载为止
发件人配置	SMTP 主机/端口/凭据，或 OAuth 令牌	除非您移除该发件人或卸载该应用
秘密	您有意识地存储的值	直到您将其删除或卸载为止
操作记录	每次运行的状态、时间、已解决的请求和响应	30天后自动清除
退订列表	已选择不接收您营销邮件的收件人：用于匹配的邮箱地址哈希值，以及经过加密的邮箱地址本身	除非您重新订阅了这些客户、Shopify 针对该客户发送了删除请求，或者您卸载了该应用，否则
已上传的文件	布局中使用的图片和附件	直到被删除或卸载为止
店铺记录	您的 myshopify 域名、店铺邮箱、套餐	直到您卸载该程序

**需要重点考虑的是操作历史记录。**它记录了实际发送的内容，对于电子邮件而言，包括收件人地址和已解析的变量；而对于HTTP Request操作，则包括请求和响应。正是这些记录使得故障排查成为可能 - 同时，这些也属于个人数据，因此在您的合规工作中，请将历史记录视为客户数据来处理。 历史记录将在 30 天后自动清除。

在记录历史之前，机密值会被屏蔽，因此存储的令牌绝不会出现在您的日志中。

栖息地

欧盟内的一切服务均在 Google Cloud 的 **europe-west1（比利时）**区域上运行。数据库、缓存、文件存储和应用程序日志均存储于该区域，并采用静态加密。我们不使用请求追踪功能。

凭证是如何受到保护的

任何可能被用于发送的数据，在磁盘级加密的基础上还会再增加一层加密：

SMTP 用户名和密码
Microsoft 365 和 Google 的 OAuth 访问令牌与刷新令牌
您存储的秘密
Shopify 会话令牌

这些数据均通过专用的密钥管理服务进行单独加密，且仅在内存中解密 - 即在操作执行的瞬间。明文绝不会写入磁盘。

每次对受保护值的解密操作都会记录在内部访问日志中。

收件人将收到什么

电子邮件是通过您的邮箱发送的，而不是通过我们的邮箱 - 即您的 Microsoft 365 租户、Google Workspace 账户或 SMTP 提供商。我们会将邮件交由您的服务提供商处理，并以您的域名发送。新的电子邮件步骤始终通过您连接的邮箱或 SMTP 服务器发送。在共享默认发件人功能停用之前保存的步骤，将继续使用该发件人，直到您选择自己的发件人为止。请参阅电子邮件送达率。

渲染后的电子邮件 HTML 会在发送前经过安全处理：脚本、事件处理程序、javascript: URL、iframe 和表单元素都会被移除，因此从 Shopify Flow 传递过来的值不会在收件人的收件箱中变成可执行内容。

营销邮件与退订列表

营销邮件模板会向每位收件人发送一封邮件，每封邮件都带有独立的退订链接。该链接包含一个加密令牌，其中包含您的商店名称、收件人、布局以及邮件语言信息；链接中无法读取具体地址，因此无法从邮件日志、代理服务器或转发邮件中提取该地址，且任何被篡改的链接都会被拒绝。点击该链接将显示一个确认页面，其中地址以加密形式呈现；只有该页面上的按钮，或收件人邮件客户端的一键退订按钮，才会记录退订操作。

退订列表会将每个地址存储两次：一次以哈希形式存储，以便发送方无需解密即可核对收件人；另一次则使用与您的凭据相同的密钥管理服务进行加密，以便“退订”页面和 CSV 导出功能能向您显示该地址。该地址仅在我们的服务器上解密，仅用于该页面和该导出文件。地址绝不会写入应用程序日志。请参阅营销邮件与退订。

出站请求

您配置的 HTTP 请求会在建立连接前进行检查。针对内部或私有网络地址（包括回环地址、链路本地地址、云元数据端点以及私有地址范围）的请求将被拒绝，即使通过重定向发送也不例外。重定向次数受限，且响应大小受限。响应中返回的任何个人数据都会被交还给 Shopify Flow，并可能记录在运行历史记录中（该记录将在 30 天后清除）。无论应用是从您工作流程传递的 URL 还是从元字段中获取附件文件，均适用相同的检查规则。

人工智能与模型训练

**您的数据绝不会被用于训练人工智能模型。**这包括您的电子邮件内容、收件人地址和姓名、附件、您从 Shopify Flow 传递过来的变量、历史记录，以及任何 Shopify 客户或商店数据。无论是在我们自己的系统中，还是在任何其他系统中，我们都绝不进行模型训练，也绝不会为此目的共享或出售您的数据。

该应用提供一项可选的 AI 功能：布局助手（使用人工智能创建、编辑和翻译版式）。在您于“开发者”页面绑定来自 Anthropic、OpenAI、Google Gemini 或 OpenRouter 的 API 密钥之前，该功能处于关闭状态。使用该功能时，仅您正在编辑的布局（包括您输入的任何示例测试值）以及您的指令会根据您在该服务商处的账户条款发送至该服务商。已发送的电子邮件、收件人、历史记录和附件绝不会被发送至该服务商。

如果您的员工使用 Shopify Sidekick，该应用可在收到请求时通过只读工具查询应用历史记录。这是 Shopify 自带的助手，其运行受 Shopify 条款约束。请参阅随身助手和AI助手。

删除

**历史记录将在30天后清除。**超过30天的发送和运行历史记录将自动删除，无论是否卸载该应用。

**卸载会删除所有内容。**布局、发件人、密钥、历史记录、退订列表以及上传的文件都将被移除。此操作立即生效且无法恢复，因此请先导出您想保留的任何内容。

来自 Shopify 的 GDPR 请求会自动处理。Shopify 会发送强制性数据请求、客户信息屏蔽和店铺信息屏蔽等 Webhook；该应用会处理这些请求并删除相应数据，包括将客户从退订列表中移除。

删除单个记录的操作会立即生效，且无法恢复。

次级处理者

Google Cloud（europe-west1，比利时） - 托管、数据库、存储、密钥管理
您已连接的电子邮件提供商 - 您的 Microsoft 365、Google Workspace 或自有 SMTP 服务器，仅在您连接其中一个以发送电子邮件时才会使用
Shopify - 该应用与其交换数据的平台；在授予可选权限后，该应用会从中读取选定的元字段，并在其中创建折扣码
亚马逊网络服务（德国法兰克福） - 向您发送应用程序自身的警报电子邮件，以及发送未标注您本人作为发件人的已保存电子邮件步骤

如需查看完整且权威的清单，请参阅我们《数据保护法案》的附件3。

问题

如需了解数据处理协议（DPA）、安全问卷或有具体的合规问题，请通过“帮助中心”或发送邮件至 support@codecreationlabs.com 与我们联系。