数据、隐私与安全

复制页面

Workflow Transactional Email 存储哪些数据、数据存储在何处、凭据如何加密，以及如何处理 GDPR 删除请求。

该应用程序存储了哪些数据、存储位置以及如何进行保护。如果您需要这些信息用于合规审查，本页面以及我们的《隐私政策》（）和《数据处理协议》（）应能满足您的需求。

该应用可以读取哪些Shopify数据

该应用的安装时未授予任何访问权限。它无法读取您的商品、订单、客户或任何其他商店数据。客户数据之所以能发送到邮箱，仅仅是因为_您_通过Shopify Flow，利用该步骤的字段以及**“变量（JSON）**”字段将其传递了过去。 Shopify Flow 会读取您的商店数据；由您决定要传递哪些数据。如果您只发送订单号，那么我们所看到的也仅限于订单号。

自 1.17 版本起，新增了四项可选权限，涉及两项功能：附加订单或客户元字段所指向的文件（例如，另一款应用保存在订单中的发票 PDF），以及为需要折扣码的电子邮件创建唯一的折扣码。安装时默认未授予任何权限。当您首次设置此类功能时，应用会请求相应权限；Shopify 会显示其自身的同意对话框；应用的**“权限**”页面会列出所有已授予的权限，并附有**“撤销**”按钮。

权限	用于
读取订单	布局中指定的那个元字段，即“Shopify Flow”步骤所涉及的那个订单上的
读取客户	客户元字段也是如此
读取文件	将元字段中的文件引用转换为文件本身
写入折扣	当发送包含“生成唯一代码”模块的电子邮件时，生成一个一次性折扣码。系统不会读取任何数据；其他折扣信息绝不会被修改或删除。

即使获得了权限，该应用也不会主动读取任何信息：只有在发送包含此类附件的电子邮件时，才会读取该资源上的该元字段，以及该元字段所指向的文件。它不会读取姓名、地址、电子邮件或订单项，且该文件仅为此次发送而下载、作为附件添加，随后即被删除。生成的折扣码不包含任何个人数据，并将随发送记录一同保存在“历史记录”中。详细信息及确切的权限范围请参见权限：该应用可以从您的商店读取哪些信息。

存储了什么

数据	为什么	多长时间
电子邮件布局、HTTP请求、预设	您的配置	直到您将其删除或卸载为止
发件人配置	SMTP 主机/端口/凭据，或 OAuth 令牌	除非您移除该发件人或卸载该应用
秘密	您有意识地存储的值	直到您将其删除或卸载为止
操作记录	每次运行的状态、时间、已解决的请求和响应	30天后自动清除
退订列表	已选择不接收您的营销邮件的收件人：用于匹配的邮箱地址哈希值，以及经过加密的邮箱地址本身	除非您重新订阅这些客户、Shopify 针对该客户发送了删除请求，或者您卸载了该应用，否则
已上传的文件	布局中使用的图片和附件	直到被删除或卸载为止
店铺记录	您的 myshopify 域名、店铺邮箱、套餐	直到您卸载该程序

**需要重点考虑的是操作历史记录。**它记录了实际发送的内容，对于电子邮件而言，包括收件人地址和已解析的变量；而对于HTTP请求操作，则包括请求和响应。正是这些记录使得故障排查成为可能 - - 同时，这些也属于个人数据，因此在您的合规工作中，请将历史记录视为客户数据来处理。 历史记录将在 30 天后自动清除。

在记录历史数据之前，机密值会被屏蔽，因此存储的令牌绝不会出现在日志中。

栖息地

欧盟地区的所有服务均在 Google Cloud 的 **europe-west1（比利时）**区域上运行。数据库、缓存、文件存储和应用程序日志均存储在此区域内，并采用静态加密。我们不使用请求追踪功能。

凭证是如何受到保护的

任何可能被用于发送的数据，在磁盘级加密的基础上还会再增加一层加密：

SMTP 用户名和密码
Microsoft 365 和 Google OAuth 访问令牌与刷新令牌
您保存的秘密
Shopify 会话令牌

这些数据均通过专用的密钥管理服务进行单独加密，且仅在内存中解密 - - 即在操作运行的瞬间进行解密。明文绝不会写入磁盘。

每次对受保护值的解密操作都会记录在内部访问日志中。

收件人将收到什么

电子邮件是通过您的邮箱发送的，而不是通过我们的邮箱 - - 即您的 Microsoft 365 租户、Google Workspace 账户或 SMTP 提供商。我们会将邮件交由您的服务提供商处理，并以您的域名名义进行投递。新建的电子邮件步骤始终通过您连接的邮箱或 SMTP 服务器发送。在共享默认发件人功能停用之前保存的步骤，将继续使用该发件人，直到您选择自己的发件人为止。请参阅电子邮件送达率。

渲染后的电子邮件 HTML 会在发送前经过净化处理：脚本、事件处理程序、javascript: 链接、iframe 和表单元素都会被移除，因此从 Shopify Flow 传递过来的值不会在收件人的收件箱中变成可执行内容。

营销邮件与退订列表

营销邮件模板会向每位收件人发送一封邮件，每封邮件都带有独立的退订链接。该链接包含一个加密令牌，其中包含您的商店名称、收件人、邮件模板及邮件语言信息；链接中无法读取具体地址，因此无法从邮件日志、代理服务器或转发邮件中提取该地址，且任何被篡改的链接都会被拒绝。点击该链接将显示一个确认页面，其中地址以掩码形式呈现；只有该页面上的按钮，或收件人邮件客户端的一键退订按钮，才会记录退订操作。

退订列表会将每个地址存储两次：一次以哈希值形式存储，以便发送方无需解密即可验证收件人；另一次则使用与您的凭据相同的密钥管理服务进行加密，以便“退订”页面和 CSV 导出功能能向您显示该地址。该地址仅在我们的服务器上解密，且仅用于该页面和该导出操作。地址绝不会写入应用程序日志。请参阅营销邮件与退订。

出站请求

您配置的 HTTP 请求会在建立连接前经过检查。针对内部或私有网络地址（包括回环地址、链路本地地址、云元数据端点以及私有地址范围）的请求将被拒绝，即使通过重定向发送的请求也不例外。重定向次数受限，且响应大小受限。响应中返回的任何个人数据都会被回传至 Shopify Flow，并可能记录在运行历史记录中（该记录将在 30 天后清除）。对于应用程序为附件获取的文件，无论该文件来自您工作流程传递的 URL 还是元字段，均适用相同的检查规则。

删除

**历史记录将在 30 天后清除。**超过 30 天的发送和运行历史记录将自动删除，无论是否卸载该应用。

**卸载会删除所有内容。**布局、发件人、密钥、历史记录、退订列表和已上传文件都将被移除。此操作将立即生效且无法恢复，因此请先导出您想保留的任何内容。

来自 Shopify 的 GDPR 请求将自动处理。Shopify 会发送强制性数据请求、客户信息屏蔽和商店信息屏蔽等 Webhook；该应用会处理这些请求并删除相应数据，包括将客户从退订列表中移除。

删除单个记录将立即生效，且无法恢复。

次级处理者

Google Cloud（europe-west1，比利时） - - 托管、数据库、存储、密钥管理
您已连接的电子邮件提供商 - - 您的 Microsoft 365、Google Workspace 或自有 SMTP 服务器，仅在您连接其中一个以发送电子邮件时才会使用
Shopify - 该应用与之交换数据的平台；在授予可选权限后，该应用将从该平台读取选定的元字段，并在其中生成折扣码
亚马逊网络服务（德国法兰克福） - - 向您发送应用程序自身的警报电子邮件，以及发送未标注您本人作为发件人的已保存电子邮件步骤

如需查看完整且权威的清单，请访问，即我们《数据保护法案》（DPA）的附件 3。

问题

如需咨询DPA、安全问卷或特定的合规问题，请通过“帮助中心”或发送邮件至 support@codecreationlabs.com 与我们联系。