隐私政策

我们存储什么以及为什么：

• 邮箱地址 - 标识您的账户，用于验证、密码重置和配额通知。
• 密码 - 以 Argon2id 哈希存储，从不以明文存储。
• 层级 - 决定您的表单和提交限制。
• 推送订阅端点 - 仅在您启用网页推送通知时。这些来自您浏览器的推送服务（Google FCM、Mozilla、Apple），让我们在表单收到提交时发送通知。

您可以随时删除账户。这将删除您的账户记录、表单和所有提交数据。

当访客提交您的表单之一时，我们存储：

• 他们提交的 JSON payload（您要求的任何字段）；
• 请求的 IP 地址；
• User-Agent 头；
• Origin 头；
• 时间戳。

提交数据仅对您（账户持有者）可见。我们不查看、不出售、不分析它，也不与下面列出的处理者之外的第三方共享。您通过在仪表盘中删除提交来决定保留期。如果您删除表单，其所有提交都随之删除。

表单所有者：您有责任告诉访客您收集什么以及为什么。在托管表单的页面上链接您自己的隐私声明是常用方法。

Formhook 设置一个 cookie：next-auth.session-token。它是 HTTP-only、安全的、SameSite=Lax，存活 30 天。它的唯一目的是让您保持登录到仪表盘。根据欧盟/英国 ePrivacy 法，这是严格必要的 cookie，不需要同意横幅。

我们在公开营销页面上运行第一方、无 cookie 的访问分析：我们记录页面路径、引荐站点、国家（从 Cloudflare CF-IPCountry 头读取）、浏览器和操作系统类别，以及一个每日轮换的匿名标识符（基于您的 IP 和 User-Agent 派生）。我们不存储您的 IP 地址，不设置任何跟踪 cookie，也不与第三方共享这些数据。我们不运行第三方跟踪像素或广告脚本。

网页推送是选择加入。启用时，您的浏览器生成订阅令牌；我们存储端点和发送通知所需的加密密钥。默认情况下，通知正文是不透明的（“[表单名] 的新提交”）- 没有提交内容通过推送服务传输。您可以在仪表盘中选择在通知正文中包含简短预览。

登出、重置密码或禁用通知会从我们的数据库中删除您的推送订阅。

• 账户邮箱、密码哈希、层级 - 在账户活动期间保留；删除账户时移除。
• 提交 - 保留直到您删除提交、表单或整个账户。目前没有自动清理。
• 邮箱验证令牌 - TTL 24 小时，使用或过期时删除。密码重置令牌 - TTL 10 分钟，使用或过期时删除。
• 推送订阅 - 在登出、密码更改或推送服务报告端点已消失（HTTP 404 / 410）时删除。
• 备份 - 加密的夜间 Postgres 转储，在主机上保留 14 天。备份自动滚动。删除您的账户会立即从实时数据库移除数据；它在 14 天窗口内从历史备份快照中老化。