草案 v0.1 · 非法律意见
GDPR 说明
国际版的法律依据、数据最小化、欧盟用户权利与跨境传输。
草案，非法律意见。 这是设计说明，不是 GDPR 第 13/14 条意义上的正式告知。控制者身份、欧盟代表、DPO、保留期限与联系方式均未确定，目前也没有线上服务处理欧盟个人数据。上线前须由律师审阅。
一、说明状态
本页记录国际版为满足 GDPR 所做的设计选择，使工程决策可被审计。它不能替代经审阅的隐私告知或数据处理协议（DPA）。
二、适用对象
本页面向使用国际版的 EU/EEA 用户。国内版不在本页范围内 —— 参见国内版 PIPL 说明与跨境传输说明。
三、角色划分
| 参与方 | 角色 | 数据 |
|---|---|---|
| tokencoup（运营主体待定） | 网关账号与计费数据的控制者 | Key 哈希、套餐、用量台账、审计元数据 |
| 百度千帆国际版 | 独立上游服务提供者 | 你发送的请求体 |
| Cloudflare（Pages + AI Gateway） | 基础设施 / 边缘处理者 | TLS 元数据；不含请求/响应体（collect_logs=false） |
| 你（B2B 客户） | prompt 内容的控制者 | prompt 内容 |
tokencoup 与千帆之间的角色划分尚未以合同确定。处理真实 EU 流量前须签署 DPA 并公布子处理者清单。
四、个人数据与法律依据
| 处理活动 | 数据 | 拟采用依据（第 6 条） |
|---|---|---|
| 鉴权与限流 | Key 哈希、key id、套餐 | 履行合同 (b)、安全合法利益 (f) |
| 模式 B 计量与开票 | Token 数、时间戳、金额 | 履行合同 (b)、税务记录法定义务 (c) |
| 滥用检测 | 审计元数据 | 合法利益 (f) |
| 转发你的请求 | prompt 内容 | 履行合同 (b)；tokencoup 不存储 |
不要求也不期望特殊类别数据，请勿提交。tokencoup 不进行自动化决策或画像。
五、设计上的数据最小化
log_prompt=false—— 网关不持久化 prompt。- Cloudflare AI Gateway
collect_logs=false—— 边缘不存请求/响应体。 - 网关 key 以 SHA-256 哈希存储，绝不存明文。
- 审计记录只含版本、模式、key id 与 Token 数。
- 请求带
X-Data-Region: overseas标记。
以上实现位于 gateway/config.py、gateway/auth.py 与 gateway/common.py，详见 API 文档。
六、你的权利
- 访问（第 15 条）与更正（第 16 条）。
- 删除（第 17 条）与限制处理（第 18 条）。
- 对你提供数据的可携权（第 20 条）。
- 反对基于合法利益的处理（第 21 条）。
- 在以同意为依据时随时撤回同意（第 7(3) 条）。
- 向监管机构投诉（第 77 条）。
标准响应期为一个月。目前尚无请求通道，将在上线前指定。
七、跨境传输
欧盟对中国大陆无充分性认定（2026-10 确认）。向中国传输欧盟个人数据需欧盟标准合同条款 SCC（2021/914）、Schrems II 传输影响评估 TIA，以及补充技术措施。
S1 设计意在规避该传输：EU/US 流量经海外网关转发至千帆国际版上游，目标是数据不进入中国大陆。这是设计目标，不是已核实的事实。 上游实际数据驻留区域尚未取得书面确认，且第三方尽调（Kaamel，条款核至 2026-09-17）称千帆国际版部分个人信息存于中国、无公开 DPA。在百度书面确认驻留区域并签署 DPA/SCC 之前，不应通过线上服务发送欧盟个人数据。S3（国际版请求使用国内版 key）已在代码中以 403 key_edition_mismatch 阻断。
尚未完成： SCC 签署、TIA 文档、以及千帆国际版节点实际驻留区域核实。在这些完成之前，不应通过线上服务发送欧盟个人数据。见跨境传输说明。
八、子处理者
| 子处理者 | 职能 | 位置 | 状态 |
|---|---|---|---|
| Cloudflare Pages | 静态托管 / CDN | 全球边缘 | 使用中 |
| Cloudflare AI Gateway | 边缘缓存、限流、重试 | Cloudflare 边缘 | 资源已创建，custom provider 待注册 |
| 百度千帆国际版 | 模型推理上游 | 海外节点 —— 待核实 | 待确认 |
| 支付服务商 | 计费 | — | 未选定（Stripe / Paddle 待定） |
九、保留期限与泄露通知
保留期限未定；C2 方案建议运维元数据 30 天，计费记录按法定税务期限保存。满足 72 小时时限的个人数据泄露通知流程（第 33 条）尚未实现。
十、DPO、欧盟代表与联系
是否需要数据保护官（第 37 条）或欧盟代表（第 27 条），取决于最终主体、规模与目标市场 —— 均未确定。目前未任命 DPO、代表，也未指定数据请求地址。
联系方式：待指定。 本节是待办义务清单，不是合规声明。