数据控制者
数据控制者为 José Luis Sánchez，税号 71223690G，地址 calle Repullete 100, 23300 Villacarrillo (Jaén), 西班牙。Scorpio 是 Automaton Colony 的产品，由同一人运营。
任何隐私事项的联系方式：jls.17@automatoncolony.xyz。未指定数据保护官：以本处理活动的规模与性质而言并非强制要求，回复的就是运营该服务的同一个人。
本文件描述的是服务今天实际进行的处理活动，并已对照正在运行的基础设施核实。
Scorpio 可能处理的数据
分析数据
- 仓库的公开 URL、所属组织、项目名称与 commit。
- 自有与第三方文件的数量、编译信息，以及范围相关的指标。
- 分析结果、证据、执行状态、引擎指纹与完整性校验值。
付款与运营数据
- 钱包公开地址、网络、资产、金额与交易哈希。
- 订单标识符、产品、时间戳与状态。
不会保存的内容
IP 地址不写入任何文件，也不写入任何数据表。它只存在于内存中，而且只用于免费路由，用来统计同一来源在 60 秒 窗口内发来多少请求；窗口一过就消失。付费路由甚至用不到它，因为那里的计数按付款地址进行，而付款地址是带签名传来的。服务也不记录用户代理，没有 cookie，没有分析统计，也没有任何形式的追踪。
Scorpio 不需要私钥、助记词或仓库凭据。任何时候都不应提供这些信息。
数据从哪里来
数据来自你所输入的信息、可公开访问的仓库、与服务之间的技术交互、参与其中的付款中介，以及公共区块链网络。
如果你提交的是他人的仓库或数据，须事先取得授权，并避免在分支名、commit、议题或文件中包含不必要的个人信息。
数据用于什么
- 执行预检，判断仓库是否在范围之内。
- 发出并验证 x402 报价、确认付款并处理退款。
- 执行分析、生成交付物并提供下载。
- 保护服务、限制滥用、调查事件并保留安全日志。
- 处理支持请求、投诉，以及法律或会计上的义务。
- 通过汇总或匿名化的数据衡量性能并改进引擎。
法律依据
服务的执行、付款与交付之所以被处理，是因为履行合同所必需。防欺诈、安全、诊断与运营改进则可基于经营者的正当利益，并与个人权利相权衡。
税务、会计、防范类规定或主管机关所要求的保存，依据的是法律义务。若某一目的需要同意，将单独征求，并可随时撤回。
公链上的数据
x402 付款可能会公开记录钱包地址、金额、资产、网络、收款方、哈希与大致时间。这些信息独立于 Scorpio 的数据库之外，可能被节点、区块浏览器与第三方复制。
区块链不允许经营者删除或修改已确认的交易。请使用一个不会透露超出你愿意与本次购买公开关联的信息的钱包。
供应商与接收方
以下是今天参与提供本服务的各方，已对照正在运行的基础设施核实。此外，在主管机关要求时，或为提出、行使、抗辩法律主张所必需时，也会披露信息。
| 供应商 | 用途 | 所在地 |
|---|---|---|
| Hetzner Online GmbH | 托管服务，并在隔离容器中执行分析。 | 德国（欧洲经济区） |
| Cloudflare | 域名的 DNS 与反向代理。可以看到进入的 HTTPS 流量，包括来源 IP 地址。 | 美国及全球网络 |
| Coinbase Developer Platform | x402 中介：验证付款授权并在网络上完成结算。 | 美国 |
| 仓库的托管方 | 代码从所提供的公开 URL 下载。提供该 URL 的一方，无论是 GitHub 还是其他平台，都会记录这次下载。 | 取决于所选择的托管方 |
Scorpio 不使用任何分析、广告或追踪类供应商，也不会把订单数据分享给上述以外的第三方。
Base 网络及其参与者以去中心化的方式处理公开数据，不在 Scorpio 的直接控制之下。
保存与删除
以下是服务今天实际执行的期限，取自其真实配置：
| 什么 | 保存多久 |
|---|---|
| 从仓库克隆的代码 | 仅在分析期间存在。它位于该任务专属的卷中，任务结束时即销毁，无论成功还是失败。 |
| 分析的交付物 报告与所分析的修订版本 | 自订单完成起 30 个自然日。由一项自动清理任务删除：服务启动时执行一次，此后每天执行一次。此后查询该订单会返回 EXPIRED，报告也无法再次下载。 |
| 订单记录 | 每笔订单一个文件，只有服务本身可读。满 30 天后，在同一次清理中缩减为付款记录：所分析仓库的 URL、报告与修订版本都会消失。余下的内容——标识符、产品、金额、网络、资产、交易哈希、付款地址、日期与状态——保存 六年，这是西班牙《商法典》第 30 条规定的商业文件保存期限。 |
| 技术日志 | 启动、收款、交付与错误记录，含订单标识符、交易哈希与付款地址。其中不含 IP 地址，也不含用户代理。它们存放在操作系统的日志中，按体积轮转，而不是按日期。 |
| 链上交易 | 永久保留，且不在经营者的控制之内。没有任何公链允许删除一笔已确认的交易。 |
前两个期限不是一种意向：它们由服务自身的一个模块来执行，每一次删除都会在技术日志中留下记录。改动该模块里的数字就会改变机器的行为，而本页是在引用那个数字，而不是自行决定它。
安全措施
Scorpio 采用任务隔离、访问控制、传输加密、仓库校验、运行限额与完整性机制，以降低被访问、被篡改或丢失的风险。
没有任何系统万无一失。如果你发现信息暴露或异常行为，请在调查期间不要公开细节，并使用文末提供的安全联系方式。
你的权利
在适用法规予以承认的情况下，你可以请求访问、更正、删除、限制处理、反对处理与数据可携。你也可以向主管的数据保护机关投诉。
为办理请求，可能需要验证你确实控制与该订单关联的地址或邮箱。已写入公链的数据，Scorpio 无法删除。
国际传输
托管与分析的执行都在德国，位于欧洲经济区之内。有两项处理离开欧洲经济区，前面均已列明：Cloudflare 的代理与 DNS，以及 Coinbase 的付款中介。两者都是美国供应商。
Cloudflare。其数据处理协议在第 6.2 条中纳入了欧盟标准合同条款，即欧盟委员会第 2021/914 号实施决定所附的条款；并在第 6.4 条中声明其遵守欧盟与美国之间的充分性框架，因此受该框架保护的传输不算作受限传输。于 2026 年 9 月 10 日对照其公开文件核实。
Coinbase。其公开资料显示它依据标准合同条款以及欧盟与美国之间的充分性框架，但这一点未能通过阅读其原始文件加以核实，因此此处不作为事实陈述。
未成年人
Scorpio 面向专业人士、开发者、安全团队与自动化系统。它不是为未成年人设计的，也不会有意收集他们的数据。
本政策的变更
本政策可能因产品、供应商或法律的变化而更新。页面会标明版本与生效日期。实质性变更将以与其影响相称的方式告知。
隐私与安全联系方式
行使你的权利，或就本文件提出任何疑问：jls.17@automatoncolony.xyz。这是本域名下唯一可以收信的地址，由对本处理活动负责的同一个人管理。
如果你认为本处理活动不符合法规，可以向西班牙数据保护局投诉。