您的数据，透明可查。

根据 GDPR 第 4(7) 条，负责处理您个人数据的控制者为：

Dataero Europe SRL
Rond-Point Robert Schuman 11
1040 Bruxelles
比利时
企业/增值税号： BE1004.272.375
隐私联系方式： legal@dataero.eu

就本政策所述的 radar.dataero.eu 服务而言，Dataero 担任数据控制者。如 Dataero 根据单独协议代表企业客户处理个人数据，则其担任 GDPR 第 4(8) 条意义上的数据处理者；该等处理受相关数据处理协议约束，不在本政策范围之内。

由于处理范围未达到强制指定的标准，我们尚未根据 GDPR 第 37 条正式任命数据保护官。所有隐私相关咨询请发送至 legal@dataero.eu。

Dataero 是一家商业公司。radar.dataero.eu 作为商业航班追踪和航空数据服务运营，它不是非营利项目，也不是纯粹的点对点数据共享社区。我们在此明确说明，以便您在连接接收机之前了解您所贡献的数据将如何被使用。

3.1 贡献数据意味着什么

当您运行 ADS-B 接收机并向我们共享数据（即成为“数据贡献者”）时，您的设备会将其接收到的飞机信号发送给我们。飞机 ADS-B 数据（位置、标识符、高度、速度及类似飞行参数）描述的是飞机，而不是您，不属于关于您的个人数据。我们将从众多贡献者处收到的数据合并，构建一幅统一的、全球性的实时空中交通图景。

3.2 我们如何使用贡献的数据

我们使用贡献的 ADS-B 数据来运营和改进本服务以及我们更广泛的商业航空产品。经汇总和处理的飞机数据可能会向公众展示、提供给我们的客户，并作为我们商业产品的一部分进行再分发。由于飞机数据是全球性参考数据，而非关于您的个人数据，因此不受本政策其他部分所述的个人数据限制的约束。

3.3 我们对贡献者隐私的承诺

您作为贡献者与我们的关系受以下明确限制的约束：

• 我们绝不出售您的个人数据，也不会将其交易给第三方用于其自身的营销或商业目的。
• 您的接收机精确位置被视为隐私。我们使用它来定位您的数据并检查其质量；我们不会公布您的精确坐标或住址。
• 您作为贡献者的身份不会被公开。在显示贡献统计或排行榜时，它们与您选择的个人资料名称相关联，而不是您的真实身份，除非您选择公开。
• 贡献数据是自愿的。您可以随时停止共享数据，并要求删除与您账户关联的个人数据（见第 10 节）。

3.4 我们为何告知您这些

数据共享软件的运营者和更广泛的 ADS-B 社区理所当然地要求数据使用方明确说明其模式和意图。我们的模式很简单：一项尊重其贡献者的商业服务，公开说明飞机数据的商业用途，并保护贡献者的个人数据和接收机隐私。

4.1 账户数据

当您通过我们位于 sso.dataero.eu 的身份提供方创建账户时：

• 身份信息：名、姓、电子邮箱地址。
• 您提供的可选个人资料字段：电话、性别、出生日期、头像。
• 可选的家庭位置（纬度/经度），如果您在个人资料中设置了。

4.2 技术与使用数据

• 您作为数据贡献者提交的 ADS-B 飞机位置，与您的账户关联。
• 接收机的大致位置，用于定位您的数据并检查其质量；该位置保密，绝不会作为您的精确坐标公布（见第 3.3 节）。
• 您的 IP 地址，仅用于提供/路由请求以及检测滥用行为；除运营服务所需外不予存储。
• 您的浏览器在加载应用时发送的最少量浏览器元数据。

4.3 您设备上的本地存储

我们使用 localStorage 在您的设备上保存以下项目：

• radar-theme: 您的深色/浅色主题偏好。
• radar-cookie-consent: 记录您的 Cookie 选择、做出选择的时间戳以及政策版本的 JSON 记录；保留 12 个月，之后横幅会再次出现。
• radar-map-center: 您上次查看的地图位置。
• 您登录期间的单点登录会话令牌。

这些项目是服务运行所严格必需的（电子隐私指令第 5(3) 条），无需征得同意。

5.1 严格必要

我们不设置任何广告或跨站追踪 Cookie。第 4.3 节中的项目要么是第一方 Cookie，要么是运行服务所需的 localStorage 条目。

5.2 分析（可选，默认关闭）

我们使用 Google Analytics 4（衡量 ID G-WCDV5WRGRS），并通过 Google Consent Mode v2 实施。具体而言：

• 在您做出选择之前，analytics_storage 设置为 denied：GA4 会加载，但不会写入任何 Cookie，也不会向 Google 发送任何标识符。如果触发 Consent Mode，可能仅会传输汇总的、不含 Cookie 的信号。
• 如果您点击接受，analytics_storage 将变为 granted，随后 Google 可能会在您的设备上设置以下第一方 Cookie：
  • _ga: 用于区分用户（有效期：2 年）。
  • _ga_WCDV5WRGRS: 会话状态（有效期：2 年）。
• 如果您点击拒绝，同意状态将保持为拒绝，不会写入任何分析 Cookie。
• 无论您如何选择，ad_storage、ad_user_data 和 ad_personalization 均保持 denied。我们还禁用了 Google Signals（allow_google_signals: false）和广告个性化信号（allow_ad_personalization_signals: false）；不会与 Google 广告产品共享任何数据。
• GA4 不记录 IP 地址；IP 仅被临时用于推断粗略的地理位置，随后即被 Google 的基础设施丢弃。

5.3 机器人防护（Cloudflare Turnstile）

为防止自动化脚本抓取实时地图数据，radar.dataero.eu 在应用加载时会运行一项不可见的 Cloudflare Turnstile 检查。您不会看到任何内容，也无需任何操作。为区分真人与脚本，Turnstile 会处理您的 IP 地址以及来自您浏览器和设备的技术信号；Dataero 仅接收通过/未通过的结果。该检查是向真实访客提供地图所必需的，其依据是我们保护服务的正当利益（第 6 节）。

Cloudflare 对这些数据的处理说明见 Cloudflare Turnstile 隐私附录，就 Turnstile 检查而言，该附录构成本政策的一部分。

• 账户管理及 API 密钥功能：法律依据：合同（GDPR 第 6(1)(b) 条）。
• 数据贡献者数据接收及每位用户的统计：法律依据：合同（第 6(1)(b) 条）。
• 运营我们的商业航空数据服务：处理您贡献的非个人飞机数据（见第 3 节）；这不属于个人数据法律依据的范围，但出于透明考虑，我们在此一并说明。
• 服务安全、防止滥用和欺诈：法律依据：正当利益（第 6(1)(f) 条）；我们的利益在于保持平台可用并保护用户，并且我们已将其与您的权利和自由进行了权衡。
• 受众衡量（Google Analytics 4）：法律依据：通过 Cookie 横幅获得的同意（第 6(1)(a) 条）。

我们不会将您的个人数据出售、出租或交易给任何第三方，用于其自身独立的营销或商业目的。我们仅与下列处理者共享个人数据，每一方均受 GDPR 第 28 条数据处理协议的约束：

• Google Ireland Ltd.（欧洲经济区用户的登记控制者）和 Google LLC（美国分处理者）：Google Analytics 4。受 Google 数据处理条款约束。参见 business.safety.google/privacy。
• Cloudflare, Inc.：Turnstile 机器人防护（第 5.3 节）。参见 Turnstile 隐私附录。
• Amazon Web Services EMEA SARL：头像存储于位于 eu-central-1 区域（法兰克福）的 S3 存储桶中。
• 根据 GDPR 第 28 条担任处理者的托管和基础设施提供商。

如个人数据被传输至欧洲经济区以外，该传输将依据 GDPR 第五章所列保障措施之一进行：

• 美国（Google LLC，分析）：受欧盟委员会 2023 年 7 月 10 日作出的欧盟-美国数据隐私框架（DPF）充分性决定保护。Google LLC 已获得 DPF 认证。辅助保障措施：标准合同条款（欧盟委员会第 2021/914 号决定）以及额外的技术措施（Consent Mode v2、禁用 Google Signals、无广告个性化）。
• 美国（Cloudflare, Inc.，Turnstile）：受欧盟-美国数据隐私框架充分性决定保护；Cloudflare, Inc. 已获得 DPF 认证。
• AWS 内部的传输仅限于 eu-central-1 区域，数据保留在欧洲经济区内。

您可以发送邮件至以下地址获取现有保障措施的副本： legal@dataero.eu。

• 账户数据：在您的账户存续期间保留；您可随时要求删除。
• 与您账户关联的原始 ADS-B 消息：最长保留 90 天，之后汇总为匿名统计数据。
• Cookie 同意记录：12 个月（之后会再次显示横幅）。
• Google Analytics 事件数据：14 个月，即 GA4 媒体资源可设置的最短保留期限。
• 安全/滥用日志：最长 12 个月。

您可以随时免费（GDPR 第 12(5) 条）行使以下权利：

• 访问您个人数据的权利（第 15 条）。
• 更正不准确或不完整数据的权利（第 16 条）。
• 删除权/“被遗忘权”（第 17 条）。
• 限制处理的权利（第 18 条）。
• 以结构化、机器可读格式获取数据的数据可携带权（第 20 条）。
• 反对基于正当利益进行处理的权利（第 21 条）。
• 随时撤回您对分析的同意的权利（第 7(3) 条），且不影响撤回前处理的合法性。

如需行使上述任何权利，请联系 legal@dataero.eu。我们将按照 GDPR 第 12(3) 条的要求在一个月内答复，对于复杂请求可延长两个月（届时会通知您）。

您还有权向监管机构提出投诉。由于我们设立于比利时，我们的牵头监管机构为 Autorité de protection des données / Gegevensbeschermingsautoriteit（APD/GBA，比利时数据保护局）：

Rue de la Presse 35 / Drukpersstraat 35
1000 Brussels, Belgium（比利时布鲁塞尔）
电话： +32 2 274 48 00
邮箱： contact@apd-gba.be
autoriteprotectiondonnees.be

如果您位于其他欧盟/欧洲经济区成员国，也可以向您居住国的监管机构提出投诉；完整名单由欧洲数据保护委员会维护，网址为 edpb.europa.eu。

我们不进行 GDPR 第 22 条意义上的、对您产生法律效力或类似重大影响的自动化决策（包括用户画像）。

我们根据 GDPR 第 32 条采取适当的技术和组织措施，包括：

• 所有浏览器到服务器以及服务到服务的通信均使用 HTTPS/TLS。
• 身份验证和密码管理委托给经过加固的身份提供方，采用业界标准协议和强密码哈希。
• 基于最小权限原则的数据库访问，使用按模式划分的角色。
• 在服务器端对传输中的敏感 API 数据进行混淆处理。
• 生产环境与开发环境相互隔离。

本服务不面向儿童。我们不会故意收集未满 16 周岁人士的个人数据（GDPR 第 8 条）。如果您发现未成年人在未获得有效父母同意的情况下提供了数据，请通过以下地址联系我们： legal@dataero.eu ，我们将予以删除。

如发生可能对您的权利和自由造成风险的个人数据泄露，我们将在 72 小时内通知主管监管机构（GDPR 第 33 条），并在必要时及时告知受影响的用户（GDPR 第 34 条）。

当我们改变处理个人数据的方式时，我们会更新本页面及上方的“更新日期”。对于需要征得同意的变更（例如新的分析目的），我们会提升 Cookie 同意的版本号，使已保存的同意失效并再次征求您的同意。