隐私说明 — 翻译草案
数据处理及待办事项的技术清单；以葡萄牙语版为准的翻译草案。
负责人及范围
公司/个人名称、CNPJ、地址、隐私渠道及实际负责人尚待确认。suporte@for-muli-x.com 是收件未经验证的占位地址。本清单仅覆盖仓库 API 与控制台，未审计托管、代理、CDN 或生产部署。
处理的数据
| 类别 | 观察到的处理与目的 |
|---|---|
| 账户 | SQLite 保存 ID、姓名、邮箱、带盐 scrypt 密码哈希、套餐、到期日、管理员标记和创建时间，用于认证及管理，不保存明文密码。 |
| 域名和密钥 | 保存域名、账户关联、创建时间、密钥 SHA-256 哈希、前缀及撤销信息；完整密钥仅在创建时显示一次。 |
| 用量 | 保存 UTC 月份、账户、域名、插入/预览计数，不是逐公式日志。 |
| 会话和恢复 | 数据库保存会话 ID 与有效期。控制台 formulix_sessao cookie 为7天、HttpOnly、SameSite=Lax，Secure 取决于 HTTPS/配置。恢复令牌以哈希存储、仅一次使用、30分钟有效；重设密码会撤销会话。 |
| 安全 | IP 在内存中用于15分钟窗口的登录、注册及恢复尝试限制，不作为 SQLite 持久历史。HTTP 连接也向基础设施暴露网络信息。 |
| 支付 | SQLite 保存支付 ID、账户、套餐、月数、金额、状态和日期。控制台向 Mercado Pago 发送付款人邮箱、项目、价格及账户/套餐/月数参考，并查询付款状态。 |
| 邮件 | SMTP 收到收件人和恢复消息（链接/临时令牌）或到期通知（套餐/期限）。数据库记录通知的账户、套餐、期限及发送日期。 |
计算内容
API 接收公式、数学/化学参数、函数图像数据，以及需要转换时 Word 粘贴的 HTML/RTF。预览时、确认插入之前也可能发送，附带公开密钥及 Origin。已分析路由在内存处理内容，计算程序不将内容写入 SQLite 或文件；结果返回浏览器。持久化 HTML 与 PNG 由客户平台保存。
日志限制
这不保证完全无记录：部分错误写入控制台，异常日志可能含处理细节。代理、托管、可观测性、备份及生产日志须另外核验。不要发送学生姓名、完整文件或其他非必要个人信息。
第三方与跨境
Mercado Pago 接收上述结账数据，在 Formulix 外处理支付。本地 SQLite 不保存卡号、CVV 或完整银行资料。SMTP 接收邮件所需数据。托管、邮件、CDN 提供者及其所在地须由运营方确认。若从外部 CDN 加载客户端或 MathJax，浏览器会请求该提供者。本文档未加载外部字体、分析或脚本，但未核验最终部署是否加追踪。跨境传输、再委托方、提供者条款和期限尚未验证。
目的与法律依据待审
葡萄牙语原文的待验证方案是：按合同履行处理账户、访问、用量和购买；按法定义务保留必要记录；按适合目的与个人权利的依据维护安全。最终依据、必要性与期限须由运营方记录，不假定存在涵盖所有处理的一般同意。学校合同须约定控制者/处理者角色和学校指示，并按巴西 LGPD 具体审查儿童青少年最佳利益。中国大陆适用事项见页首待审提示。
保留与删除
会话逻辑到期为7天，恢复为30分钟；创建新会话/恢复记录时清理已过期项。到期不等于全部副本立即删除。账户、月用量、支付和通知尚无通用自动删除政策；已分析控制台没有公开导出或注销流程。备份工具复制数据库，但计划、保存地点和销毁未定义。用量表不随账户级联删除，未来删除须显式处理历史。各目的期限、法律义务、匿名化和备份/日志处置待定，不承诺即时删除。
个人权利
原文提出建立处理确认、访问、更正、共享信息，以及适用时按 LGPD 第18条删除/匿名化等请求程序。需确定有效渠道、适度身份核验、受理与答复；控制台无自动化流程。当地适用权利也须专业审核。
安全和事件
代码采用密码/密钥哈希、来源域名限制、请求限流及 HttpOnly 会话；这不是安全审计或 LGPD 认证。部署时须核验 HTTPS、数据库访问、备份、供应商控制和事件响应。
发布前
填写主体和联系方式，识别供应商及所在地，确定法律依据/保留期限、权利流程与学校合同，并经法律审核。请求同意或提交官方目录之前，应发布获批版本，不能把本草案当作最终政策。