隐私政策

本政策说明 MuseumVox 如何收集和使用你的个人信息。MuseumVox 是 London Guides Ltd 的品牌。London Guides Ltd 是在英格兰和威尔士注册的公司（公司编号 09617636），注册地址 Office 3, 4a Nelson Road, London SE10 9JB, United Kingdom。按照英国《通用数据保护条例》（UK GDPR）和《2018 年数据保护法》，我们是你个人信息的控制者。有任何问题，请写信到 [email protected]。

欧盟代表（欧盟 GDPR 第 27 条）：将在任何欧盟博物馆导览上线前指定

1. 我们收集哪些信息

• 购买通行证。付款在 Stripe 的付款页面完成。银行卡信息由 Stripe 直接收集，我们看不到完整卡号。Stripe 付款页面会要求填写邮箱；用 Apple Pay 或 Google Pay 付款时，邮箱由钱包自动提供，不用手动输入。Stripe 会告诉我们：你的邮箱、Stripe 客户编号、你买的通行证类型（以及单馆通行证对应的博物馆）、付款时间和金额，以及付款记录编号。
• 收听权限记录。为了让你收听已购买的内容，我们保存通行证记录（类型、开始和到期时间），以及你的邮箱。
• 购买确认邮件。我们用你付款时的邮箱给你发购买确认和收据（发票）。没有你的另外同意，我们不会用它发推广邮件。
• 你写给我们的信。网站上的“反馈”按钮会打开你自己的邮件程序，信发到 [email protected]。我们会收到你的邮箱地址和信的内容。
• 保存在你设备上的信息。网站会在你的浏览器里保存语言选择、播放速度、是否关闭过“添加到主屏幕”提示，以及浏览页数（只用来决定什么时候显示这个提示）。离线功能会把页面、示意图和你下载的音频存在你的设备上。这些信息只留在你的设备里，不会发给我们。你可以在浏览器设置里随时清除。
• 收听时长。在按时长计费的试听或通行证下播放音频时，你的浏览器每 30 秒告诉我们的服务器一次“仍在播放”，我们据此计算你剩余的收听时间。我们把剩余时间和最后一次更新时间与你的访问码一起保存。
• 技术信息。网站由 Cloudflare 托管。为了提供和保护网站，Cloudflare 会处理你的 IP 地址、浏览器类型和访问时间等技术信息。网页字体由本网站自己提供，任何字体服务商都不会收到你的 IP 地址。为防止部分表单被滥用，我们会保存你 IP 地址经加盐哈希处理后的形式（不是地址本身），最长 2 小时。

我们不使用广告 Cookie，不做跨网站跟踪，也不出售你的个人信息。

我们目前没有运行任何网站分析或统计工具，也不设置分析类 Cookie。实际运行的只有第 1 节所述的收听时长计时（提供试听和通行证收听所必需）以及用于付款的 Stripe。如果将来增加统计，将只采用第一方、无 Cookie 的汇总数字（例如访问量、热门页面、国家、设备类型和音频播放次数），下面的规则和开关从一开始就适用。

使用统计，以及如何关闭

任何此类统计都只会用来了解服务的使用情况，以便改进服务。统计是第一方的：除帮我们运营本服务的服务商外，不与任何人共享，不用于广告，也不跨网站跟踪你。按照英国法律（《隐私与电子通信条例》附表 A1 第 5 段），这类统计不需要事先征得你的同意，但你可以随时免费反对，一键即可：

关闭统计后，这个设置（mv-stats-optout）只保存在当前浏览器里。如果你清除了浏览器数据，或换了设备、换了浏览器，请在那里再关一次。它不会关闭试听和通行证的收听时长计时，因为计时是提供你所要的服务所必需的（见第 2 节）。

2. 我们为什么使用这些信息，依据是什么

• 提供你买的通行证、处理付款和退款，以及计算试听或通行证的收听时长：履行我们和你之间的合同。
• 保存交易和会计记录：遵守法律义务（税务和公司法）。
• 回复你的来信、改进讲解（包括上文所述的任何使用统计）、保护网站安全和防止欺诈：我们的正当利益，即运营、改进和保护本服务。你可以用“使用统计，以及如何关闭”中的开关反对使用统计。
• 只有在你另外同意的情况下，我们才会给你发推广邮件。你可以随时退订。

我们不会仅凭自动化处理对你做出有法律效果或类似重大影响的决定。

3. 谁会处理你的信息

我们只把信息交给帮我们运营服务的公司，并要求他们保护好这些信息：

• Stripe：付款处理。对于部分付款数据，Stripe 是独立的控制者，适用 Stripe 自己的隐私政策。Stripe, LLC（美国）参加了欧美数据隐私框架及其英国扩展（即英美“数据桥”）；我们 2026 年 10 月 24 日查询时，其状态为有效（dataprivacyframework.gov）。
• Cloudflare, Inc.（美国）作为我们的处理者，托管网站并存储收听权限记录和剩余收听时长；传输依靠英美“数据桥”（Cloudflare 参加了数据隐私框架及其英国扩展；dataprivacyframework.gov），并以 Cloudflare 数据处理附录中欧盟标准合同条款的英国附录作为补充保障。
• 你发到 [email protected] 的邮件由 Cloudflare 邮件路由（Cloudflare Email Routing，Cloudflare, Inc.，美国）接收，再转发到我们的 Gmail 邮箱，由 Google LLC（美国）存储。Google 参加了欧美数据隐私框架及其英国扩展（即英美“数据桥”）；我们 2026 年 10 月 25 日查询时，其状态为有效（dataprivacyframework.gov）。
• Namecheap, Inc.（美国）是我们域名 museumvox.com 的注册商。它不托管本网站，也不经手发到 [email protected] 的邮件。

法律要求时（例如税务机关或法院依法提出要求），我们也可能提供必要的信息。

4. 传输到英国以外

上面这些服务商可能在英国以外（例如美国或欧洲经济区）处理数据。传输时，我们依靠英国法律认可的保障措施，例如英国认可的充分性决定（包括英美“数据桥”）或英国国际数据传输协议及标准合同条款附录。对 Stripe, LLC，我们依靠英美“数据桥”（《2023 年数据保护（充分性）（美国）条例》）。Cloudflare, Inc. 同样依靠英美“数据桥”，并以其数据处理附录中的英国附录作为补充保障。发到 [email protected] 的邮件经过 Cloudflare（见上），由 Google LLC 存储，Google 同样依靠英美“数据桥”。

5. 保存多久

• 付款和交易记录：从交易所在财年结束起保存 6 年，这是英国税务和公司法对会计记录的要求。
• 收听权限记录（邮箱和通行证）：最后一张通行证到期后保存 24 个月，方便你查询和处理售后，之后删除。
• 来信：处理完毕后保存 24 个月，之后删除。
• 防滥用：IP 地址经加盐哈希处理后的形式，最长 2 小时后自动删除。
• 使用统计：只保留汇总数字；任何原始事件数据在 25 个月内删除或汇总。

6. 你的权利

你有权查阅我们保存的你的个人信息，要求更正、删除或限制使用，反对我们基于正当利益使用，并要求以通用格式取得你提供的信息。请写信到 [email protected]。我们会在 5 个工作日内回复，并在法律规定的一个月期限内完成处理。如果法律要求我们保留某些信息（例如会计记录），我们会说明原因。

如果你对我们的处理方式不满意，可以向英国信息专员办公室（ICO）投诉：ico.org.uk，电话 0303 123 1113。我们希望你先联系我们，让我们有机会解决。

如果你住在欧盟或欧洲经济区，也可以向你所在地的数据保护机构投诉（法国为 CNIL：cnil.fr）。

7. 儿童

通行证只面向成年人销售，须由成年人购买。我们不会有意收集 13 岁以下儿童的个人信息。

8. 安全

网站全程使用加密连接（HTTPS）。银行卡信息只由 Stripe 处理。我们只让需要的人接触你的信息。

9. 本政策的更新

本政策如有重要变化，我们会在本页更新并注明日期。

本政策有中文、英文和西班牙文版本，各版本不一致时，以英文版本为准。

版本：2026-10-25 · 生效日期：2026 年 10 月 25 日