生效日期：2026-10-05
数据控制者：Grandlink LLC · New York
隐私事务联络：han8andy@gmail.com · +1 347-957-6888
本政策说明 Grandlink 收集哪些信息、为什么收集、给谁、存多久，以及您有哪些权利。
请先了解我们的角色：Grandlink 是订单撮合与转介平台，实际运输由独立持牌合作车队执行（详见《服务条款》第一条）。因此，您的部分行程信息必须转交给执行该次行程的合作车队 —— 没有这一步，车就到不了您面前。
一、我们收集的信息
1. 下单时您提供的
| 信息 | 是否必填 | 用途 |
|---|---|---|
| 姓名 | 必填 | 司机识别乘客、订单联系 |
| 电话 | 必填 | 司机与调度联系您 |
| 邮箱 | 必填 | 订单确认、付款收据、司机信息、行程追踪链接 |
| 上车地址、下车地址、中途停靠点（含经纬度坐标与 Google Place ID） | 必填 | 计价、派车、导航 |
| 航班号（机场订单） | 必填 | 按航班安排接机时间 |
| 乘车日期时间、人数、行李数量、车型 | 必填 | 计价与派车 |
| 您对「所有乘客是否均已年满 18 周岁」的回答 | 必填 | 判断是否适用第八条的未成年乘客流程 |
| 备注、儿童座椅等特殊要求 | 选填 | 履行服务 |
| 优惠码 | 选填 | 折扣核销 |
| 推荐码（仅当您通过推荐链接进入时，见第二条第 3 款） | 选填 | 给推荐您的人记奖励 |
⚠️ 地址是精确到门牌的位置数据，并附带经纬度。这是本服务的核心数据 —— 没有它无法报价、无法派车。
乘客未满 18 周岁的，下单时还会收集第八条所列信息。
2. 您的账户（仅在您注册时）
注册后，我们保存您的姓名、邮箱、电话、加密哈希后的密码（从不保存密码原文）；如您用 Google 登录，则保存您的 Google 账户标识，不设密码。我们还保存您本人的推荐码、您注册时使用的推荐码（如有）、会员等级、发放到账户的抵扣券及账户状态。
3. 支付信息
- 付款（包括您自愿给司机的小费）由 Stripe 处理。
- 您的信用卡号、CVV、有效期从不经过、也从不存储在 Grandlink 的服务器上。
- 我们只保存 Stripe 返回的：交易标识、金额、币种、支付状态、支付时间。未成年乘客订单另保存 Stripe 返回的持卡人姓名与卡号后四位，用于与签署授权书的监护人核对（见第八条）。
4. 位置数据（重要）
- 司机位置：执行您行程的合作车队司机使用 Grandlink 司机端（手机网页应用）。仅在行程处于「行程中」状态时，司机端约每 30 秒上报一次经纬度、精度、速度、方向。行程不在「行程中」时，系统拒绝接收任何位置上报。
- 您能看到什么：您会收到一条行程追踪链接，在行程进行中可以看到为您服务的司机的实时位置、车辆信息与司机姓名电话。
- 行程「已完成」或「已取消」后，追踪链接不再显示位置。
- 追踪链接使用随机生成的 64 位十六进制令牌，不含订单号，无法被枚举猜测。请勿公开分享该链接。
- 我们不收集乘客手机的 GPS 位置。乘客位置信息仅来自您填写的地址。
5. 系统自动记录
- 订单操作日志（下单、付款、派车、状态变更的时间戳与操作人）
- 邮件发送日志（收件地址、主题、发送状态）
- 服务器访问与安全日志（IP、时间、请求路径），用于防欺诈与排障
- 您接受《服务条款》与《取消与退款政策》的时间、IP 与政策版本号（争议举证所必需）
- 网站错误报告：清洗后的错误信息、去掉标识符的页面路径、概括的浏览器类型（如「Chrome · Windows」）——不含查询参数，也不含完整的浏览器标识字符串
- 如您开启推送通知：您的浏览器提供的推送地址、语言和浏览器标识字符串，用于把通知送到这台设备
6. 网站 AI 助手
如您使用网站上的 AI 助手，您输入的问题会发送给第三方 AI 模型服务商，用于把问题匹配到我们事先审定的答案。AI 助手只收到您在其中输入的内容，不会收到您的下单表单、账户、支付或未成年乘客信息。请不要在其中输入敏感个人信息。
我们保存问题、展示的答案、语言、一个会话标识（只保存在您浏览器当前标签页中，见第二条第 3 款）、IP 地址的单向哈希值，以及您是否点了「有用」或点了答案里的链接；请求失败或被拦截时，我们还会把该请求连同您的 IP 地址记入安全审计日志。这些用于改进答案和防止滥用。如您在问题里写了姓名、电话、订单号等个人信息，这段文字会原样发送给 AI 模型服务商，并按原样保存。
7. 评价
如您留下评价，我们保存评分、评价内容和您填写的显示名称。评价可能以该显示名称在网站上公开展示。
8. 合作车队与司机信息
合作车队及其司机的：公司名称、联系人、牌照与保险信息、司机姓名、电话、车型、车牌、驾照信息、纳税人识别号（用于报税）、审核状态、行程与结算记录，以及行程进行中的位置轨迹。
二、Cookie 与浏览器存储
我们只使用两类 Cookie：必要 Cookie 和分析 Cookie。
1. Cookie
| 名称 | 类别 | 设置方 | 用途 | 有效期 |
|---|---|---|---|---|
| `grandlink_session` | 必要 | Grandlink | 保持已登录客户或工作人员的登录状态，并保护会话安全 | 7 天（退出登录即删除） |
| `gl_oauth_state` | 必要 | Grandlink | 「使用 Google 登录」时的安全校验 | 10 分钟 |
| `grandlink_driver_session` | 必要 | Grandlink | 保持司机在司机端的登录状态 | 14 天 |
| `grandlink_driver_lang` | 必要 | Grandlink | 记住司机端的界面语言 | 1 年 |
| `gl_analytics` | 必要 | Grandlink | 告诉我们的服务器本次访问是否允许分析（值只有 granted 或 denied），确保未经您同意不把订单上报给 Google Analytics | 关闭浏览器即失效 |
| `_ga`、`_ga_<ID>` | 分析 | Google Analytics | 统计访问量与页面浏览，并把已完成的订单与其来源访问关联起来 | 由 Google 设定（最长约 2 年） |
2. 您对分析 Cookie 的选择
- 在法律要求事先同意的地区（欧洲经济区、英国、瑞士），分析 Cookie 默认关闭，只有您同意后才会使用。我们根据您浏览器的时区识别这些地区并向您显示 Cookie 提示；您同意之前，不加载 Google Analytics。此外，Google 也会按您的 IP 地址套用同样的默认设置；在这种情况下，Google Analytics 不设置 Cookie，但可能收到不依赖 Cookie 的基础统计信号。
- 在任何地区，您都可以通过每个页面底部的「Cookie 设置」入口更改选择。您拒绝后，我们会删除本站已设置的分析 Cookie，也不会把您的订单上报给 Google Analytics（见第四条）。
- 在其他地区（包括美国），访问网站时会加载分析 Cookie；您可以在浏览器设置中屏蔽，或使用 Google Analytics 停用浏览器插件。
- 必要 Cookie 是登录与安全所必需的，不能关闭。
3. 保存在您浏览器中的数据（不是 Cookie）
下列内容保存在您的设备、您的浏览器中；除非另有说明，不保存在我们的服务器上。
| 名称 | 位置 | 内容 | 保存多久 |
|---|---|---|---|
| `gl.trip` | sessionStorage | 您在首页填写的行程：上下车地址与坐标、日期、时间、人数、行李数，带到下单页，避免重复输入 | 关闭标签页即清除 |
| `gl.booking` | sessionStorage | 本次下单尝试、订单号、订单追踪令牌（可凭它查看订单）及行程内容的哈希值，让您从付款页返回时订单不丢 | 关闭标签页或用过之后即清除 |
| `gl.ref` | localStorage | 您打开的推荐链接里的推荐码及打开时间 | 保留在您的浏览器中，直到您清除；超过 30 天我们不再采用。只在您注册或下单时发送给我们（见下） |
| `gl_cookie_consent` | localStorage | 您对分析 Cookie 的选择（granted 或 denied）及选择时间 | 直到您更改选择或清除浏览器数据 |
| `gl.growth.sid` | sessionStorage | AI 助手的随机会话标识 | 关闭标签页即清除 |
| `gl-chunk-reload` | sessionStorage | 一个时间戳，防止网站更新后页面反复自动刷新 | 关闭标签页即清除 |
| `gl_driver_install_dismissed` | sessionStorage | 记住司机关闭了「安装到桌面」提示 | 关闭标签页即清除 |
推荐码：哪些在浏览器、哪些在服务器。您通过推荐链接带来的推荐码，在您注册或下单前只保存在您的浏览器里（`gl.ref`）。您注册或下单时，它随注册或订单一起发送，保存在服务器上您的账户（「注册时使用的推荐码」）或该订单中。另外，服务器上还保存您本人的推荐码（如您有账户），以及推荐奖励记录：推荐人账户、被推荐客户的邮箱地址、订单号、奖励金额与状态、已发放的抵扣券。这些推荐记录随相关账户和订单记录保留（见第七条），注销账户不会删除它们。
4. 广告
我们不使用 Google Ads、再营销或广告个性化，也不使用广告 Cookie。为实现特定功能而嵌入的服务 —— 填写地址时的 Google 地图、「使用 Google 登录」—— 可能按其各自的隐私政策设置或读取它们自己的 Cookie。
三、我们如何使用这些信息
- 计算报价、创建订单、收款（含小费）、开具收据与发票；
- 把行程转介并派发给合作车队，并向执行该单的司机提供接您所必需的信息；
- 向您发送订单确认、付款收据、司机已指派/已接单/即将到达、行程完成通知与追踪链接；如您开启，发送推送通知；
- 行程中的实时追踪与调度；
- 运行您的账户、抵扣券与推荐计划；
- 处理取消、改期、退款与争议（包括在拒付争议中向 Stripe 与发卡行提交证据）；
- 通过 AI 助手回答问题（见第一条第 6 款）；
- 通过 Google Analytics 了解网站的使用情况、有多少访问最终下单（见第二条）；
- 发现并修复网站错误，防止欺诈与滥用；
- 未成年乘客订单：执行第八条的授权与交接流程；
- 履行税务、会计与法律义务。
我们不出售您的个人信息，也不将其用于第三方广告定向。
四、我们与谁共享
| 接收方 | 共享内容 | 原因 |
|---|---|---|
| 执行您行程的合作车队及其司机 | 您的姓名、电话、上下车地址、时间、人数与行李、备注、航班号；未成年乘客行程另含第八条所列内容 | 没有这些信息车就到不了您面前（只给执行该单的一方，且只给必要字段） |
| Stripe（支付） | 邮箱、订单号、金额；您的卡信息由您直接提供给 Stripe | 收款、退款、争议处理 |
| Google 地图平台（Places / Geocoding / Directions） | 您输入的地址文本与坐标 | 地址补全、路线、距离、时长、过路费 |
| Google Analytics | 页面浏览（含页面地址，地址中可能带有推荐码等参数）、设备与浏览器信息、`_ga` Cookie 中的分析标识；已付款订单另发送订单号、金额、币种、服务类型、机场、上车类型与语言 —— 不含您的姓名、邮箱或电话。如您下单时已拒绝分析 Cookie，或尚未在 Cookie 提示中同意，我们不会把该订单信息发送给 Google Analytics | 统计网站使用与成交（见第二条） |
| Google（登录） | 仅在您选择「使用 Google 登录」时：登录请求；Google 向我们返回您的姓名、邮箱与账户标识 | 账户登录 |
| AI 模型服务商 | 仅限您在 AI 助手中输入的问题 | 把问题匹配到审定答案（见第一条第 6 款） |
| 邮件发送服务商 | 邮箱、行程与订单内容 | 发送交易类邮件 |
| 推送通知服务（由您的浏览器厂商运营） | 通知内容，发往您设备的推送地址 | 发送您开启的通知 |
| 执法机关 / 法院 | 依法要求的内容 | 法律义务 |
| 潜在的业务受让方 | 并购或资产转让时 | 业务连续性 |
我们要求合作车队：仅将您的信息用于执行该次行程，不得留存、不得转售、不得另作他用。
第三方按其各自的隐私政策处理数据。我们不控制 Google、Stripe 与 AI 模型服务商的数据实践。
五、数据安全
- 支付卡数据完全不落我们的服务器（由 Stripe 处理，符合 PCI 标准）。
- 追踪链接使用高强度随机令牌，行程结束后不再显示位置。
- 后台与司机端有登录鉴权与权限分级；司机只能看到自己那一单的客户信息。
- 位置上报接口校验「必须是本人的单 + 必须行程中」，否则拒绝。
- 登录会话在服务器上只保存会话令牌的哈希值，不保存令牌本身。
没有任何系统能保证 100% 安全。发生数据泄露且依法需要通知时（含纽约州 SHIELD Act），我们将按法律要求通知受影响用户与主管机关。
六、您的权利
无论您居住在哪里，您都可以要求：
- 查询我们持有的关于您的个人信息；
- 更正不准确的信息；
- 删除您的个人信息（受法律与税务保存义务限制 —— 已完成交易的财务记录、第八条所述未成年乘客记录必须依法保留）；
- 获取可携带的副本；
- 不被出售（我们本来就不出售）。
在账户页注销账户后您将无法登录、已登录的会话会被清除，但这本身不会删除您的账户记录、订单与支付记录或推荐记录，这些记录按第七条保留。如需删除，请发邮件给我们。
加州居民（CCPA/CPRA）另享有知情权、删除权、更正权、拒绝出售/共享权，以及不因行使权利而受歧视的权利。我们不会因为您行使权利而拒绝服务或提高价格。
行使权利请发邮件至 han8andy@gmail.com。我们在收到请求后 45 天内答复。为保护您的信息，我们可能需要先核实您的身份（通常通过您下单所用的邮箱与订单号）。
七、数据保留
| 数据 | 保留期 |
|---|---|
| 订单、发票、支付记录 | 至少 7 年（美国税务与会计保存义务） |
| 司机位置轨迹 | 90 天后自动删除；未成年乘客行程除外（见第八条） |
| 行程追踪链接 | 行程结束后不再显示位置 |
| 条款接受记录（时间、IP、政策版本号） | 与订单同期保留 |
| 账户信息 | 账户存续期间；注销后，按上述订单与法定义务的需要保留 |
| 邮件发送日志、服务器与安全日志（含安全审计日志）、AI 助手记录、网站错误报告、推荐记录 | 在第一条、第三条所述用途需要的期间内保留；目前没有对这些数据做自动删除 |
| 合作车队 / 司机记录（含纳税人识别号） | 按税务与法律要求保留，包括司机注销账户之后 |
| 未成年乘客授权与行程记录（含交接照片） | 至少保留至该乘客年满 21 周岁后再加 3 年（见第八条）；不做自动删除 |
| 您浏览器中的数据 | 见第二条第 3 款 |
八、未成年乘客与儿童数据
Grandlink 提供学校专线服务，实际乘客可能是未成年学生。
- 本网站不面向 13 岁以下儿童，我们不会有意直接向 13 岁以下儿童收集个人信息（COPPA）。我们不承接 14 岁以下无成人陪同的乘客。
- 未满 18 周岁乘客的订单必须由成年人下单（家长、法定监护人或学校授权人员），并签署《未成年乘客监护人授权书》。
- 监护人提供的信息：乘客姓名、出生日期、手机（选填）与语言能力；需要告知司机的健康情况（选填）；是否需要儿童座椅；监护人姓名、关系、电话、邮箱与备用联系方式；第二紧急联系人（选填）；到达端指定接收人及其电话与所在楼宇；学校 24 小时电话、备选接收人与兜底交接点；以及对紧急医疗、车内录音录像、无人接收预案的同意。
- 为什么需要出生日期：确认乘客在乘车当天的年龄（本流程只接受 14–17 岁）、执行授权，并安排服务（例如是否需要儿童座椅）。司机看到的是乘客的年龄，不是出生日期。
- 签署记录：监护人键入的姓名、签署时间、IP 地址、浏览器标识字符串（User Agent）、所签署的语言版本，以及授权书的版本号与内容哈希值。
- 身份核验：付款后由 Stripe 返回的持卡人姓名与卡号后四位，用于与监护人姓名比对。
- 登车口令（PIN）：我们只保存口令的加密哈希形式，从不保存口令本身；口令在行程前通过邮件发给监护人。
- 执行行程的司机会收到：乘客姓名、年龄、手机与语言；监护人与紧急联系人的姓名电话；接收人、楼宇、备选接收人、学校电话与兜底交接点；儿童座椅需求；健康情况；以及登车 PIN 核对。
- 交接时我们记录接收人姓名、时间、执行司机、交接照片（存放在我们的服务器上，只能通过管理后台查看）及其 GPS 位置。
- 保留：上述记录、交接照片及该行程的位置轨迹，至少保留至乘客年满 21 周岁后再加 3 年，因为未成年人的诉讼时效在成年前不起算；我们不做自动删除，也不适用 90 天位置删除。
- 这些信息只用于上述授权、安全与交接流程，不会发送给 AI 助手或 Google Analytics。
- 如您认为我们无意中收集了 13 岁以下儿童的信息，请联系 han8andy@gmail.com，我们将尽快删除。
九、境外用户
服务与数据存储在美国。使用本服务即表示您同意信息被传输至美国并在美国处理。需要事先同意的地区如何处理分析 Cookie，见第二条第 2 款。
十、政策变更
我们可能更新本政策，更新后会修改「生效日期」并在网站公布。重大变更将通过邮件或站内公告通知。
十一、联系我们
Grandlink LLC · New York
隐私事务邮箱：han8andy@gmail.com · 电话：+1 347-957-6888