隐私政策
生效日期：2026-09-10 ｜ 最近更新：2026-10-03
一、我们是谁，怎么联系我们
| 经营者 | Zhou Li（Alberta 独资经营 Sole Proprietorship，以本人法定姓名经营） |
| 服务名称 | 「加国福利猎手」是本网站与本服务的名称。与您订立合同的一方是 Zhou Li 本人，而非任何公司或已注册商号 |
| 通信地址 | 246 Stewart Green SW, Unit #6381, Calgary, AB T3H 3C8 |
| 客服、退款与隐私请求 | support@benefitshunter.ca |
| 法律送达邮箱（仅用于正式法律文书） | joelee043@gmail.com |
| 隐私事务负责人 | Zhou Li（独资经营，由本人直接处理） |
适用法律为 Alberta 省《个人信息保护法》（Personal Information Protection Act, SA 2003, c. P-6.5，下称 PIPA）。Alberta 的私营机构由 PIPA 管辖，联邦《个人信息保护及电子文件法》（PIPEDA）依据 Organizations in the Province of Alberta Exemption Order（SOR/2004-219）在本省不适用于我们。
二、我们收集什么
只收评估必需的。 我们不收社会保险号（SIN）、不收税表、不收身份证件、不收银行账户信息。
| 类别 | 具体内容 | 为什么需要 |
|---|---|---|
| 问卷答案 | 省份与城市、家庭人数与结构、子女年龄、年龄、婚姻状况、居住状态（自有/租住）、家庭净收入及相关收入口径、移民与居住身份、是否已报税、残障与健康相关问题、近期生活事件 | 这些正是各福利项目的资格条件本身。少填一项，对应项目就无法判断 |
| 账户信息 | 电子邮箱地址 | 用于验证身份、让您以后找回自己的评估结果 |
| 技术信息 | IP 地址、请求时间、浏览器类型 | 用于安全防护与限流，例如防止验证码被滥发、限制同一来源的高频请求 |
| 付款信息 | 订单号、金额、付款状态、Stripe 的交易标识 | 用于确认您已购买、生成收据、处理退款 |
| 匿名营销归因（2026-09-20 新增；2026-10-03 增加自报来源） | 推广链接参数（utm_source 等）、落地页路径、来源网站的域名（不含完整网址）、一个随机生成的匿名标识（acquisition ID）；以及您在问卷最后一步自愿选择的「从哪里知道我们」（小红书 / 微信 / Google / 朋友介绍 / 其他，可跳过） |
衡量哪个推广渠道带来了访问与转化，帮助我们判断资源投放是否有效。这个标识不与您的邮箱、账户或问卷答案关联——它只在您完成评估时才附加到评估记录上，用于统计购买率，不用于识别您是谁 |
我们不接触您的信用卡号。 付款全程由 Stripe 处理，卡号不经过我们的服务器，我们也无法看到。
三、我们用它做什么
依据 PIPA s. 7 与 s. 11，我们只在下列目的范围内使用：
- 生成福利匹配结果与报告——把您的答案代入各项目的资格规则与金额公式。
- 让您找回自己的评估——把评估绑定到您已验证的邮箱。
- 完成交易——处理付款、生成收据、处理退款与争议。
- 安全与防滥用——限流、异常检测、事故排查。
- 在您单独同意时，发送福利政策更新、产品消息和优惠邮件——这一项默认关闭，需要您主动勾选，且随时可免费退订。注册、使用免费服务或购买报告都不以同意营销为条件。
- 衡量哪个推广渠道带来了访问、评估与购买——用匿名标识把访问、评估、购买连成一条统计链路，不建立面向您个人的画像。
我们不做的事：不出售或出租您的信息；不用于广告定向；不接入 Google Ads、Meta Pixel 等广告平台或像素；不与第三方共享用于其营销目的；不用您的答案训练对外销售的模型；不把营销归因数据与您问卷中的收入、移民身份、健康情况建立交叉画像。
四、我们把它存在哪里
应用服务器与数据库位于 Fly.io 的多伦多（yyz）区域，即数据存放在加拿大境内。
需要您知道的一点：Fly.io 是美国公司。数据虽然存放在加拿大境内，但服务商受美国法律管辖，理论上可能受美国《CLOUD Act》等法律的调取要求影响。我们选择加拿大区域是为了让数据实际驻留在境内，但这不等同于数据主权。
邮件发送（登录验证码、收据等）由 Amazon SES 完成，区域为 加拿大中部（蒙特利尔，ca-central-1），
即您的邮箱地址与邮件内容同样存放在加拿大境内。Amazon 同样是美国公司，数据驻留加拿大，但仍受美国法律管辖，道理与上述 Fly.io 一致——同样是驻留，不是主权。
付款处理由 Stripe 完成，其服务器位于美国及其他地区。
五、我们保留多久
| 数据 | 保留期 |
|---|---|
| 未绑定邮箱的匿名评估 | 30 天后删除 |
| 账户邮箱、已绑定评估与报告 | 账户连续 24 个月无活动后删除；您也可以随时主动删除 |
| 已付费报告快照 | 与账户同期；删除账户即一并删除 |
| 服务条款与隐私政策同意记录 | 当前账户期间保留版本、同意时间、实际展示的声明文案和来源；删除账户时一并删除，不作为独立的长期保留记录 |
| 营销同意记录 | 同意有效期间保留；退订或删除账户后，只保留同意/退订时间、同意来源和文案版本，清除省份，3 年后删除。该记录本身不另存邮箱；账户邮箱仍按上述账户期限保留，除非您删除账户 |
| 匿名运营事件聚合 | 按日事件计数保留 30 天；不含 IP、邮箱、答案、URL 参数或访客标识 |
| 匿名营销归因（2026-09-20 新增） | 推广渠道参数、落地页路径、来源域名与匿名标识约保留 13 个月，用于同比统计；超期自动删除。不含邮箱、IP 或问卷答案 |
| 自报来源（2026-10-03 新增） | 随该次评估记录保留与删除；删除账户时问卷答案清空，这一项只是五选一的渠道名，不能识别个人，保留用于渠道统计 |
| 付款与订单记录 | 依税务与会计要求保留 6 年，但只保留订单号、金额、日期与付款状态，不含您的问卷答案 |
| 技术日志 | 90 天 |
六、您的权利（PIPA s. 22–24）
您可以随时：
-
查阅我们持有的关于您的全部个人信息，并获得一份可读的副本；
-
更正其中不准确的内容；
-
删除您的账户，连同您的邮箱地址、全部问卷答案与报告；
-
撤回同意——包括退订福利政策更新、产品消息和优惠邮件；
-
要求说明我们如何使用您的信息、披露给了谁。
怎么做：账户中心提供「导出我的数据」与「删除我的账户和数据」两个入口，自助完成、无需联系我们。您也可以写信到 support@benefitshunter.ca，我们会在 45 天内答复（PIPA s. 28 规定的期限）。
「删除」具体删掉什么，我们说清楚：删除后，您的营销订阅会立即终止，您的邮箱地址、问卷答案与报告内容会被清除，您无法再登录或找回它们。
删除后仍会保留两类最低限度记录：一是订单的记账信息——订单号、金额、日期、付款状态——因为税务与会计法规要求交易记录必须留存；二是最长 3 年的营销同意与退订时间、同意来源和文案版本，用于证明已经停止发送。两类记录都不含您的问卷答案、邮箱地址或省份。
七、安全
我们采取的措施：全站 HTTPS 传输加密；数据库静态加密；验证码以哈希形式存储、不以明文保存；报告下载链接有时效；访问按最小权限控制；操作留日志。
任何联网系统都存在风险，我们不保证绝对安全。我们的做法是：只收必需的信息、尽快删除不再需要的，并在发生安全事件时告知您。
八、发生数据泄露时
依据 PIPA s. 19.1 及《泄露通报条例》，一旦发生可能对您造成重大损害风险的泄露，我们会：
- 尽快向 OIPC 报告（https://oipc.ab.ca/breach-reporting/）；
- 直接通知受影响的您本人，说明发生了什么、涉及哪些信息、我们已采取什么措施、您可以做什么；
- 不以「尚在调查中」为由拖延通知。
九、Cookie 与追踪
我们使用必要 Cookie维持您的登录会话。我们不使用广告追踪、不接入第三方广告像素。运营后台仅使用服务端按日事件计数，不建立访客画像；聚合记录保留 30 天。
营销归因使用的是您浏览器的 localStorage（本地存储），不是跨站 Cookie：它只在本站域名下可读，不会被其他网站读取，也不会跟随您访问其他网站。其中只存一个匿名标识和过期时间，最长保存 30 天，过期后自动作废、生成新的标识。
十、儿童
本服务供成年人本人使用，账户与登录验证均以成年申请人的邮箱为准；我们不为 18 岁以下人士单独开设账户，也不直接向儿童收集信息。
若您是家长或监护人，问卷会请您填写家庭情况的一部分，其中可能包括子女的年龄、是否有残障或长期健康需要等——这些信息由您本人代为提供，仅用于判断您的家庭是否符合相关福利资格，不会用于为子女单独建立账户或档案。
十一、政策变更
本政策变更时，我们会更新页面顶部的「最近更新」日期。若变更实质性影响我们对已收集信息的使用方式，我们会通过您已验证的邮箱另行告知，并在必要时重新征求同意。
本文件不构成法律意见。