我们如何处理您的数据

1. 我们的做法

FastTrack BKK（「我们」）将数据主权视为产品选择：我们决定收集什么、存储在哪里、保留多久以及谁可以访问。我们不会将网站使用分析外包给第三方会话回放供应商。预订数据与可选的网站分析作为独立系统处理，用途与保留规则不同。

2. 两类数据

这两类数据不存储在同一数据库中。预订记录默认不与分析回放合并；若将已完成预订与浏览会话关联，我们使用结账时提供的不透明标识符，而非在分析存储中保存护照号码。

3. 预订数据

当您预订时，我们处理提供服务所需的个人数据，包括：

• 联系方式、航班信息与乘客姓名
• 护照数据（加密护照号码、护照照片）以供运营商交接
• 支付参考信息（区块链交易哈希、钱包地址、金额）

我们仅向经审核的机场合作运营商共享履行服务所需的最低必要信息。我们不会出售或出租预订数据。

护照和文档保留

护照相关数据不会无限期保留。删除自动进行并有记录：

• 护照页图像、登机牌和 TDAC 确认书在预定航班日期后 30 天自动删除（非服务后立即删除 — 我们需要文件至旅行日及之后短期运营支持）。
• 数据库中的加密护照号码同时清除。
• 自动化每日任务删除存储对象、清除相关数据库字段并将预订标记为已清理。
• 预订联系方式、航班信息和支付参考可保留最多12 个月用于支持和争议解决，然后匿名化。可通过联系我们请求更早删除。

存储和访问控制

• 静态加密：护照号码存储前使用 AES-256-GCM（每条记录唯一 IV）加密。文档图像存储于私有 S3 兼容对象存储，并由提供商侧静态加密。
• 仅限授权人员访问：完整护照图像和解密护照号码仅对具有站点范围权限的已认证 FastTrack 管理员可用 — 不对公众或匿名 API 调用开放。
• 访问日志：管理员每次查看护照图像或解密号码均记录（时间戳、管理员身份、IP 地址）于审计日志。
• 限时 URL：文档上传和管理员检索使用短期 presigned URL；图像不通过永久公开链接提供。
• 第三方基础设施：我们使用成熟云提供商进行应用托管、PostgreSQL 数据库、加密对象存储和事务邮件（见第 6 节）。机场合作伙伴仅接收履行服务所需的最低运营信息。
• Payments： 卡数据在 PayPal 托管字段或 Stripe 托管结帐中输入；我们的服务器永远不会收到卡号或 CVV 代码。我们仅存储提供商订单 ID、捕获/结算元数据和对账参考。
• Staff MFA: 可以解密护照数据的操作管理员帐户可以启用基于 TOTP 的多重身份验证。
• 文档 OCR： 护照、登机牌和 TDAC 图像发送至 Mistral AI（付费 API），仅用于提取预订字段。我们不会使用这些数据来训练人工智能模型； Mistral 的付费 API 不使用 API 输入或输出进行模型训练。

完整法律说明见隐私政策。

4. 网站分析（FastTrack Analytics）

若您在同意横幅中接受分析，我们使用第一方 FastTrack Analytics——由我们自行运营的软件——在本站收集使用事件与可选会话回放。若您拒绝，我们不会为您的浏览器会话启用分析收集或会话回放。

• 无第三方会话回放（例如 Microsoft Clarity 或类似营销分析回放工具）
• 同意优先：仅在您在横幅中明确选择后才运行分析
• 独立存储：分析事件与回放片段存于专用分析数据库与对象存储，不在预订数据库中
• 保留期限：使用事件最多保留90 天；会话回放最多30 天，之后自动删除
• 删除：应要求可删除与访客标识符相关的分析数据（需核实请求）

分析可能记录页面路径、点击及经掩码处理的页面结构回放。我们会在适用处配置敏感字段掩码。请勿在营销页面的自由文本字段中输入护照或支付信息。

5. 我们不会做的事

• 向数据经纪商或广告主出售或出租您的个人数据
• 在本预订网站使用第三方广告技术像素进行站内会话回放
• 将分析同意作为完成预订的条件——分析为可选项
• 在我们的分析产品数据库中存储护照号码
• 将您的旅行证件或提取的字段用于训练 AI 模型

6. 基础设施

我们的系统运行于我们管控下的成熟云服务商（包括托管、数据库与加密对象存储）。数据可能在服务商数据中心所在地区处理。我们选择子处理方以保障可靠与安全；当前类别包括：网站托管与 CDN、应用与数据库托管、加密 blob 存储及交易类邮件投递。

文档 OCR (Mistral AI)： 上传的护照、登机牌和 TDAC 图像将发送至 Mistral 的付费 API，仅用于提取预订字段。我们不使用这些数据来训练 AI 模型，并且 Mistral 的付费 API 不使用 API 输入或输出进行模型训练。

本页说明架构选择与默认设置，不替代隐私政策中关于法律依据、跨境传输或正式数据主体请求的内容。

7. 您的选择

• 在同意横幅中拒绝分析——该选择下不收集使用回放或分析事件
• 改变主意可清除本域名的网站数据；下次访问时横幅会再次出现
• 请求查阅、更正或删除预订个人数据请通过联系我们；在适用法律要求时我们于 30 天内回复
• 分析数据删除：联系我们并提供请求详情；核实后我们将删除相关访客分析数据