你的数据属于你。

我们只收集为你提供账户、同步你的商店以及运行你所开启功能所需的最少数据。我们不会把这些数据交给别人，会保障其安全，并让你随时取回或删除。这真的就是全部——下面各节只是把细节讲清楚。

只收集某项功能真正需要的数据：

• 你的账户。电子邮箱地址、显示名称和密码（仅以安全哈希值的形式存储——我们永远看不到、也不会存储密码本身）。你通过它登录，我们也通过它就你的账户与你联系。
• 你的 Path of Exile 关联。如果你通过官方的“使用 Path of Exile 登录”（OAuth）或会话令牌关联 PoE，我们只会用它代表你读取你自己的角色、仓库和交易挂单。在桌面应用中，该令牌会借助你操作系统的钥匙串，在你自己的电脑上加密存储。会话令牌永远不会离开你的电脑。当你从桌面应用授权时，应用会打开你的浏览器让你登录，并向应用传递一个一次性授权码——你的密码绝不会与覆盖层共享。
• Discord 登录（可选）。如果你选择“使用 Discord 继续”，Discord 会向我们发送你的 Discord 用户 ID、用户名和头像，以便我们为你创建账户或让你登录账户。经你许可，我们还会收到你的 Discord 邮箱，并且仅用它来确认你的账户。你始终可以改用邮箱和密码登录——Discord 从来都不是必需的。
• 你选择保存或同步的游戏数据。例如你在桌面应用中查价或同步的物品、保存的配置、你设置的关注列表和价格提醒，以及为你的控制台图表提供数据的价格历史和净资产快照。其中任何数据是否同步，完全由你决定。
• 产品遥测和崩溃报告。除非你将其关闭，桌面应用会发送粗粒度的匿名使用、性能和错误事件，以便我们发现故障。具体发送哪些内容、哪些内容绝不发送、如何关闭以及我们保留多久，均列在桌面应用遥测与崩溃报告中。
• 基本运行日志。维持服务运行和安全所需的标准、短期技术记录（如错误日志和安全日志）。这些记录不会被用来给你建立画像。

你的 Path of Exile 会话保留在你的 PC 上。如果你在 ePOE 应用中关联你的 Path of Exile 会话，会话令牌（POESESSID）仅存储在你自己的电脑上，并通过你操作系统的钥匙串加密。它绝不会被发送到 ePOE 的服务器，也不会存储在那里。应用用它向 Path of Exile 发出的每个请求（查价、读取商店和仓库、低价竞争检查）都直接从你的电脑发往 Path of Exile。我们的服务器只会收到你选择同步到 ePOE 账户的结果，例如你的商店挂单和价格。

我们不会索取任何不需要的东西，也不会“以防万一”在后台收集数据。

遥测默认开启，并且很容易关闭。桌面应用会发送粗粒度的匿名使用数据，以便我们了解哪里出了问题、哪里运行缓慢。首次启动时，会显示一次性通知——“感谢你帮助我们打造更好的 ePOE！”——说明这一点以及它解锁的分享福利，并附有链接，分别指向具体收集内容的说明，以及关于如何关闭遥测和分享福利的应用内指南。如需关闭，可随时使用设置 → 隐私中的产品遥测开关。这会立即停止遥测和崩溃报告，并丢弃仍在你 PC 上排队等待发送的所有内容——之后不会再发送任何数据。

事件包含的内容。每个事件仅包含以下字段：

• event_id——一个随机 ID，确保同一事件绝不会被重复计数
• client_id——此次安装的匿名随机 UUID
• session_id——每次启动应用时生成的随机 UUID
• kind 和 name——发生了什么
• app_version 和 platform
• league——你查价所在的交易联赛
• occurred_at——发生时间
• props——少量粗粒度细节，见下文

事件类型。查价（一次查价耗时多久、需要多少次交易搜索、最终是否得出价格，以及物品的类别和稀有度——绝不包括物品本身）、功能使用（你打开了哪个工具，以及它是通过什么打开的）、性能计时（启动、附加到游戏、每个查价阶段）、错误（应用中出错的位置，以及错误消息和堆栈的前几行，按下文方式脱敏），以及每次安装只发送一次的新手引导里程碑（首次运行、首次查价、首次打开控制台、首次自定义快捷键、首次登录）。

粗粒度细节（props）。以毫秒计的时长、探测次数、查价的结束方式、物品类别和稀有度、触发方式（是什么启动了查价，例如快捷键）、错误来源、各阶段计时（解析、推断、获取、渲染）、是否已附加到游戏窗口，以及你的操作系统类型和主版本号。

绝不发送：你的 POESESSID 或任何其他凭据、你的 Path of Exile 账户名或角色名、物品文本、词缀数值、文件路径或你的 IP 地址。在任何数据离开你的 PC 之前，任何路径中的个人主文件夹都会被替换为 ~（因此你的操作系统用户名绝不会外传），任何形似会话令牌的内容都会被替换为 [redacted]，错误消息和堆栈也会被截断，只保留前几行。

绝不与你的账户关联。遥测在发送时不带 Cookie，也不带任何账户登录信息，因此即使你在应用中登录了 ePOE，它也保持匿名。唯一与账户相关的信息是一个“是/否”标记，表示当时应用是否已登录——绝不包括是哪个账户，也不会随之存储任何账户 ID。

保留期限。原始事件会在 90 天后删除。每日汇总数据——每天的计数和耗时百分位数，不含客户端 ID——会无限期保留，以便我们观察长期趋势。

崩溃报告。在同一个开关下，应用会将崩溃和错误报告给我们的错误追踪服务商 Sentry，以便我们修复。每份报告在发送前都会先在你的 PC 上进行清理：采用与上文相同的主文件夹和令牌脱敏；网址只保留到站点和页面（不含查询字符串，也不含 /profile/ 段之后的任何内容，账户名就在那里）；应用自身的日志行会被完全删除；不含局部变量的值；也完全不含任何用户信息——崩溃报告同样不会与你的 ePOE 账户关联。在设置 → 隐私中关闭产品遥测也会停止崩溃报告——两者由同一个开关控制。

保持匿名分享开启，即可在桌面应用的分享福利标签页中解锁两项福利。它们只有在你确认首次启动通知后才会开始，两者都不会将遥测与你关联，关闭分享即会同时结束这两项福利。

• 测试版更新。是否获取测试版是在你的 PC 上决定的：应用只是向我们的更新服务器请求测试版发布源，而不是稳定版发布源。做出这一选择时不会发送任何可识别身份的信息。
• 抽奖券。应用会在你的 PC 上生成一张随机的匿名抽奖券。分享开启期间，它每天会在一个随机时间为这张抽奖券签到一次。我们仅以单向哈希的形式存储抽奖券，外加它签到的日历日期——不含时间、不含账户、不含遥测客户端 ID、不含 IP 地址，也不含浏览器或设备信息。抽奖券绝不会与遥测数据存储在一起，因此无法将抽奖券与你的使用数据匹配，签到请求也不会被我们的错误追踪器记录。抽奖券连续 120 天未签到，其数据即会被删除。
• 中奖与领奖。中奖的抽奖券会公布在 /giveaways 和应用中；在中奖者领奖之前，没有人——包括我们——知道它属于谁。领奖时，应用会发送抽奖券的密钥（证明它持有中奖抽奖券），以及你提供给我们的联系方式——Discord 名称或电子邮箱——和一条可选的备注。该联系方式是抽奖中唯一的个人数据：它会被加密存储，仅用于发放奖品，并在你领奖 90 天后自动删除。
• 免费参与。/giveaways 上的免费参与无需应用，也无需账户——只需通过 Cloudflare 的“我是人类”验证（见第 07 节）。它会为该期抽奖生成一张抽奖券，并向你展示一次其密钥；我们只保留抽奖券的单向哈希及其创建日期，绝不保留密钥。为了将免费参与限制为每人每期抽奖每天一次，我们会把你所在网络经每日加盐后的哈希值保存在一个短期缓存中，该缓存在当天（UTC）结束时过期——你的 IP 地址本身绝不会被存储。

• 出售、出租或交易你的个人信息——无论对象是谁，无论出于何种理由。
• 将你的数据分享给第三方，用于其自身的营销或产品。
• 在本网站或应用中放置广告、跨站或行为追踪器。
• 建立广告画像，或对你的设备进行指纹识别。
• 将你的数据用于运行你所要求的功能之外的任何用途。

ePOE 的设计让你的电脑来完成工作。无论你是在为物品查价、规划制作、按练级路线推进、导入配置，还是浏览物品数据库，大部分操作都直接在你的电脑上运行。当覆盖层需要实时交易价格时，它会通过你自己的网络连接直接与 Path of Exile 的服务通信——就像你的浏览器一样。我们只存储支撑你的账户和你所开启功能所需的数据。除了第 03 节所述的粗粒度匿名遥测（你可以关闭）之外，除非你选择同步，否则有关你实时活动的任何信息都不会离开你的电脑。

运营一项服务意味着要信任少数几家基础设施提供商。我们让这份名单尽量简短，只向它们发送最少的必要数据，并且它们受合同约束，只能将数据用于为我们提供该项服务——绝不能出售，也不能用于其自身目的：

• 邮件发送。事务性邮件（登录、账户以及你要求的价格提醒）通过一家邮件发送服务商发出。它负责处理邮件，让我们能送达你的收件箱——仅此而已。
• 推送通知。如果你选择开启浏览器通知，通知会通过你浏览器自带的推送服务送达。你可以随时在浏览器或我们的设置中撤销。
• 机器人防护。新账户注册和抽奖免费参与会进行 Cloudflare Turnstile“我是人类”验证。为此，你的 IP 地址和基本浏览器信号会被发送给 Cloudflare，Cloudflare 只返回通过/未通过的结果。它仅用于阻止对这些表单的自动化滥用——绝不用于广告或追踪。
• Discord 登录。如果你选择使用 Discord 登录，我们会与 Discord 交换授权码，以获取你的 Discord ID、用户名和头像，以及——经你同意——你已验证的邮箱。这些信息仅用于创建你的 ePOE 账户并让你登录。使用 Discord 登录始终是可选的。
• 错误追踪。当网站或我们的服务器出错时——或者在产品遥测开启的情况下桌面应用崩溃时（见第 03 节）——一份经过清理的错误报告会发送到 Sentry，以便我们修复。在网站上，报告可能包含出错前页面的简短回放，其中所有文字都会被遮盖，图片会被屏蔽。
• 托管。网站和 API 运行在我们自己运营的基础设施上。你的数据始终留在其中。

这些是服务提供商，而不是我们与之“分享”你数据的合作伙伴。它们都不会获得你的数据用于留存或转售。

ePOE 使用 Grinding Gear Games 的官方 API 来读取你账户的数据和查询实时交易价格，始终代表你行事，并遵守他们的规则。你的 PoE 会话仅用于获取你自己的游戏数据。ePOE 是一个独立的非官方助手——它与 Grinding Gear Games 没有关联，也未获得其认可或赞助。

我们使用必要 Cookie——即让你保持登录并保障会话安全的那类 Cookie——并且仅在你接受我们的 Cookie 横幅后，使用 Google Analytics 4 获取汇总的、IP 已匿名化的使用统计。分析功能在 Google Consent Mode 下运行，并且默认关闭：拒绝横幅（或在启用 Global Privacy Control / Do Not Track 的情况下浏览），就不会设置任何分析 Cookie。你可以随时通过页脚的隐私设置更改或撤回你的选择。我们不使用广告 Cookie，也不做跨站广告画像；Google 作为我们的处理者处理分析数据（参见 Google 的隐私政策）。桌面应用独立的产品遥测和崩溃报告（默认开启，匿名）见第 03 节；设置 → 隐私下的产品遥测开关可同时控制两者。

你始终掌控自己的数据：

• 随时断开 PoE 关联，以撤销我们对你游戏数据的访问权限。
• 访问或导出与你的账户关联的信息。
• 在设置中删除你的账户：账户会立即在所有地方同时退出登录，并在 14 天后被清除（在此之前，我们通过邮件发给你的取消链接可以保留账户）。你填写的抽奖领奖联系方式会保留到其自身的 90 天删除期限为止。
• 关闭功能。任何会同步数据的功能都是可选的，并且可以在设置中撤销。

根据你所在的地区，你可能享有额外的法律权利（例如 GDPR 或 CCPA 规定的权利）。我们在任何地方都为所有人尊重这些权利——联系我们，我们会为你处理。

通信流量通过 HTTPS 加密。敏感令牌以加密形式存储。你的 PoE 会话令牌只存在于你自己的电脑上，由你操作系统的钥匙串保护，绝不会以明文形式写入磁盘。密码仅以强单向哈希的形式存储。我们按“需要知道”原则限制访问，并只保留仍然需要的数据。

如果我们将来改变处理你数据的方式，我们会更新本页面，并更新下方的“最后更新”日期。我们绝不会悄悄削弱这些承诺——如果变更重大，我们会尽力直接告知你。

有疑问、有请求，或者只是想确认一些事情？请发送邮件至 support@epoe.io，或通过应用内的支持页面联系我们。每条消息我们都会阅读。