私隱政策
最後更新:2026年4月21日 | 生效日期:2026年4月21日
WhiteHat(以下簡稱「我們」或「平台」)承諾保護您的個人資料安全。本私隱政策說明我們如何收集、使用、存儲和保護您的個人資料,以及您根據香港《個人資料(私隱)條例》(第486章)(以下簡稱「PDPO」)所享有的權利。
1. 我們收集的個人資料
1.1 帳戶資訊
當您註冊帳戶時,我們會收集:
- 用戶名、電子郵箱地址、密碼(加密存儲)
- 個人簡介(可選)
如使用 Google 帳號登錄,我們會透過 Google OAuth 收集您的電子郵箱和基本個人資料。
1.2 安全研究員額外資訊
- 真實姓名(用於身份核實及賞金發放)
- 銀行帳戶或支付資訊(用於賞金結算)
1.3 企業用戶額外資訊
- 公司名稱、商業登記資料
- 聯絡人資訊
- 公司網站及資產範圍
1.4 使用資訊
我們會自動收集您使用平台時產生的資料:訪問日誌、IP 地址、瀏覽器類型、操作系統、頁面訪問記錄。
1.5 漏洞報告
您遞交的漏洞報告包含技術細節、截圖、復現步驟、受影響系統資訊等。
1.6 通信記錄
您與平台客服、企業用戶之間的溝通記錄(包括漏洞申訴討論)。
1.7 論壇內容
您在平台論壇發布的帖子、評論及互動記錄。
1.8 TOTP 驗證資料
啟用雙因素認證時,我們會存儲 TOTP 密鑰的加密副本。
2. 個人資料的使用目的
根據 PDPO 資料保障原則第3原則,您的個人資料僅用於收集時所述明的目的或直接相關的目的:
- 服務提供:帳戶管理、漏洞報告處理、賞金協調與發放
- 安全保護:身份驗證、雙因素認證(TOTP)、預防欺詐
- 平台營運:積分系統、商城兌換、論壇管理
- 通訊通知:電郵通知(漏洞狀態更新、系統公告)
- 法律合規:回應法律要求或政府主管部門的合法要求
我們不會將您的個人資料用於收集時未說明的其他目的。
3. 個人資料的共享與披露
3.1 企業用戶
漏洞報告會與相關企業用戶共享,以便他們驗證和修復漏洞。企業只能查看與其項目相關的報告,且必須遵守保密義務。
3.2 第三方服務商
我們可能委託以下第三方服務:
- 雲服務提供商(服務器託管)
- Google(OAuth 登錄服務)
這些服務商僅能訪問履行職責所需的最低限度資料,並受保密約束。
3.3 法律要求
在法律要求、訴訟或政府主管部門調查的情況下,我們可能會披露您的資料。
3.4 業務轉讓
在合併、收購或資產出售等情況下,我們會要求新的資料持有者繼續遵守本私隱政策。
4. 資料安全措施
我們採取以下措施保護您的個人資料:
- SSL/TLS 加密傳輸
- 密碼哈希存儲(不可逆)
- 基於角色的存取控制
- JWT Token 認證機制
- 支援 TOTP 雙因素認證
- 定期數據備份
我們僅在實現本政策所述目的所需的期間內保留您的個人資料。
5. Cookie 政策
5.1 我們使用的 Cookie 類型
| 類型 | 用途 | 必要性 |
|---|
| 必需 Cookie | 維持登入狀態、安全驗證 | 必要 |
| 功能 Cookie | 記住偏好設定(如語言) | 必要 |
| 5.2 Cookie 管理 | | |
| 您可以透過瀏覽器設定管理或刪除 Cookie。禁用必需 Cookie 可能影響平台功能。 | | |
| 目前我們不使用廣告或營銷類 Cookie。 | | |
6. 兒童私隱保護
WhiteHat 平台僅面向年滿 18 歲的成年人。我們不會故意收集未滿 18 歲人士的個人資料。如發現誤收,我們會立即刪除。
7. 跨境資料傳輸
您的個人資料主要存儲在香港的伺服器上。如因技術需要進行跨境傳輸,我們會確保接收方能提供充分的資料保護水平。
8. 您的權利(根據 PDPO)
根據《個人資料(私隱)條例》,您享有以下權利:
8.1 資料查閱要求(DAR)
您有權要求查閱我們持有的關於您的個人資料。
- 提交方式:發送電郵至 [email protected]
- 處理時限:收到要求後 40 天內回覆(符合 PDPO 第18條要求)
- 我們可能要求核實您的身份
8.2 資料更正
您有權要求更正不準確的個人資料。可直接在帳戶設定中修改,或聯繫我們協助。
8.3 帳戶刪除
您可以申請刪除帳戶。刪除後:
- 個人資料將被刪除或匿名化處理
- 法律法規要求保留的資料除外
- 請確保在刪除前處理好待處理的賞金、提現和漏洞報告
8.4 停止直接促銷
根據 PDPO 第34條,您有權要求我們停止使用您的個人資料作直接促銷。
9. 聯繫我們
資料保護查詢