Cookie 政策

本政策与运营主体

本网站（XICO Store，域名 store.xicoai.com，以下称「本商城」）由智希可科技（广州）有限公司（以下称「我们」）运营。本政策说明我们在提供商品浏览、购物袋、结账与支付跳转、账户登录、数字交付、安全防护与可选的匿名统计时，如何使用 Cookie 及类似的浏览器存储技术。

本政策是《隐私政策》的组成部分。本政策未作特别说明的术语、你享有的个人信息权利、我们的共同处理与委托处理安排，以《隐私政策》为准；两者不一致时，就 Cookie 事项以本政策为准。

本政策适用于本商城的网页端。通过本商城跳转到支付机构或其他第三方网站后，该网站使用的 Cookie 由其自行设置并受其自身政策约束，详见下方「第三方 Cookie 与第三方服务」。

什么是 Cookie 与类似技术

Cookie 是网站在你访问时发送、并由浏览器保存在你设备上的小型文本数据。浏览器会在后续请求中把它送回同一网站，网站据此在不同页面之间识别同一浏览器的状态，例如你是否已登录、你选择了哪种主题。Cookie 是文本，不能运行程序，也不能读取你设备中的其他文件。

本政策所称「Cookie」同时包括下列在你浏览器中起相同作用的技术：

• 本地存储（localStorage）：保存在浏览器中、不会随请求自动发送到服务器的数据。本商城用它保存购物袋内容与主题偏好。
• 会话存储（sessionStorage）：与本地存储相同，但在标签页关闭时清除。

下列技术本商城不使用：跨站跟踪像素、设备指纹识别、第三方数据匹配（data matching）、以及把你的浏览行为与第三方广告标识符关联的任何技术。

我们为什么使用 Cookie

我们使用 Cookie 的目的仅限于以下四类：

• 让商城能够运行：维持登录状态、保存购物袋、在结账与支付跳转之间保持同一次会话。
• 保障安全：识别并阻断撞库、暴力破解、重放与自动化滥用，保护后台与你的账户。
• 记住你的选择：浅色或深色主题、以及你在本页作出的 Cookie 选择本身。
• 了解页面是否好用（可选）：在你同意后，以匿名方式统计页面是否稳定、功能是否易用，用于确定改进优先级。

我们不会使用 Cookie 分析你的个人身份特征、不会据此对你作出具有法律效果或重大影响的自动化决策，也不会用它进行个性化定价。

Cookie 分类说明

本商城的 Cookie 分为三类。你的选择只影响第三类；前两类是提供你主动请求的服务所必需的，无法关闭。

• 严格必要（始终启用）：缺少它们，登录、购物袋、结账、数字交付与安全防护无法工作。这类 Cookie 不依赖你的同意，但我们仍在下方逐条列明。
• 功能与偏好（始终启用）：保存你在界面上作出的选择。数量极少，且不包含任何可识别你身份的内容。
• 统计分析（可选，默认关闭）：仅在你选择「接受全部 Cookie」后设置，可随时撤回。拒绝不会影响浏览、下单、支付、下载或账户的任何功能。

广告与营销类 Cookie：本商城当前不使用。详见下方「广告与营销」一节。

严格必要 Cookie 清单

以下 Cookie 由本商城在自有域名下设置（第一方），均设置Secure 与 HttpOnly，页面脚本无法读取；SameSite 属性用于限制跨站携带。

功能与偏好存储清单

以下项目保存你在界面上作出的选择。其中部分需要被页面脚本读取（例如在首屏绘制前套用深色主题），因此没有HttpOnly；它们不包含身份信息，也不会用于识别你。

可选统计 Cookie 清单

以下 Cookie仅在你明确选择「接受全部 Cookie」之后才会设置。在你作出选择之前，以及在你选择「仅使用必要 Cookie」或撤回同意之后，它不会被创建，相关统计接口也会直接返回空响应而不作任何记录。

该统计完全由我们自行实现，数据不出本商城的服务器，也不共享给任何广告或数据经纪机构。服务端不保存该 Cookie 的原始值，而是以独立保管的密钥对其作单向摘要后保存，并只保留必要的页面事件字段。我们不会在统计数据中保存你的邮箱、账户 ID、订单内容、支付信息、原始 IP 地址或任何私有令牌。

广告与营销

本商城当前不投放任何广告，也不设置广告或营销类 Cookie。我们不使用广告标识符、不参与跨站行为定向、不向广告联盟或数据经纪机构共享或出售你的个人信息。

我们的系统保留了在未来投放广告位的能力，但该能力在本部署中处于关闭状态，且设计为「配置缺失即关闭」。如果我们将来启用广告，我们会在启用前更新本政策、重新征求你的同意，并在本页补充相应的第三方 Cookie 清单。即便启用，结账、购物袋、订单、账户、登录与后台页面也不会投放广告。

第三方 Cookie 与第三方服务

本商城的页面不嵌入任何第三方跟踪脚本，上方三张清单中的全部项目均为第一方。你在本商城页面上的浏览行为不会被第三方读取。

但完成支付需要离开本商城：当你选择支付宝、微信支付或银行卡（由 Stripe 处理）时，浏览器会跳转到相应支付机构的页面或唤起其客户端。在那些页面上，相关机构会在其自有域名下设置自己的 Cookie，用于其风控、反欺诈与支付流程。这部分 Cookie 由该机构独立控制，我们无法读取、无法删除，其使用受该机构自身的隐私与 Cookie 政策约束。支付完成后返回本商城时，我们收到的是该机构的支付结果通知，而不是它的 Cookie。

本商城使用的内容分发网络仅用于分发本站自身的静态资源，不用于用户画像。

处理目的与法律依据

我们处理与 Cookie 相关的个人信息，依据如下：

• 严格必要与偏好类：为订立、履行你作为一方当事人的合同所必需，以及履行法定义务、保障网络与交易安全所必需。依据《个人信息保护法》第十三条第一款第（二）、（三）项；在适用《通用数据保护条例》（GDPR）的情形下，对应第 6(1)(b) 条与第 6(1)(f) 条。此类 Cookie 属于「为提供用户确知并主动请求的服务所严格必要」，依《电子隐私指令》第 5(3) 条无需事先同意。
• 可选统计类：基于你的单独、明确同意。依据《个人信息保护法》第十三条第一款第（一）项与第十四条；对应 GDPR 第 6(1)(a) 条与《电子隐私指令》第 5(3) 条。你可以随时撤回，撤回不影响撤回前已进行处理的效力。

我们不以「你继续浏览即视为同意」的方式取得同意，也不把接受可选 Cookie 设置为使用本商城的前提条件。

存储地点与跨境提供

本商城的服务器与数据库位于中华人民共和国境内，上述第一方 Cookie 对应的服务端记录存储于境内。

当你选择由 Stripe 处理的银行卡支付时，支付流程本身在 Stripe 的境外系统中完成，你在其页面上提交的支付信息由其作为独立的个人信息处理者处理。我们不接收、不存储你的完整卡号、有效期或安全码。就该项跨境处理的目的、范围与你的权利，详见《隐私政策》与 Stripe 自身的隐私政策。

保存期限与失效机制

每一项的期限见上方清单。除到期自动失效外，下列情形会使相关项目提前失效：你退出登录（清除登录 Cookie 并使服务端会话作废）；你撤回 Cookie 同意（停止创建可选 Cookie）；我们检测到账户或后台的安全风险（强制会话失效）；你在浏览器中删除本站数据。

依法律法规需要留存的交易与开票记录，由订单系统按法定期限保存，不依赖任何可选 Cookie；删除 Cookie 不会、也不能删除这些法定记录。

安全措施

我们对 Cookie 及其对应的服务端状态采取以下措施：全站强制 HTTPS 传输加密；会话与安全类 Cookie 一律设置HttpOnly、Secure 与恰当的SameSite；后台 Cookie 限定在/admin 路径并使用SameSite=Strict；令牌以加盐单向摘要存储；对统计标识使用独立密钥的单向摘要；配合内容安全策略（CSP）与逐次请求的脚本 nonce 降低脚本注入风险；后台采取权限隔离与操作审计。

会话令牌与安全 Cookie 不会写入页面 HTML、不会出现在统计事件中、不会通过 URL 参数传递，也不会写入任何页面脚本可访问的存储。

你的选择：接受、拒绝与撤回

你第一次访问本商城时会看到 Cookie 选择面板，两个选项并列呈现、同样醒目、同样容易点击：

• 接受全部 Cookie：同意我们在必要 Cookie 之外设置上方列明的可选统计 Cookie。
• 仅使用必要 Cookie：只保留运行商城所必需的项目。选择它不会限制你浏览、下单、支付、下载或使用账户的任何功能，也不会让面板反复弹出。

无论你如何选择，我们都会把选择本身记录在xico_store_consent 中，以便不再重复打扰你。在你作出选择之前，可选 Cookie 不会被设置。

你可以随时改变主意：点击页面底部的「Cookie 设置」重新打开该面板，选择另一项即可。撤回同意后，我们会立即停止创建与使用可选统计 Cookie；此前已经生成、且已无法识别到个人的汇总统计结果不会因此回溯还原为个人信息。你也可以在浏览器中直接删除xico_store_anon。

在浏览器与设备中管理 Cookie

除本商城的 Cookie 设置外，你还可以在浏览器中查看、阻止或删除 Cookie 与本地存储，通常也可以按网站单独管理：

• Chrome / Edge：设置 → 隐私和安全 → 第三方 Cookie（或 Cookie 及其他网站数据）
• Safari (macOS)：设置 → 隐私 → 管理网站数据；Safari (iOS)：设置 → Safari 浏览器 → 高级 → 网站数据
• Firefox：设置 → 隐私与安全 → Cookie 和网站数据
• 微信、支付宝等应用内浏览器：清理方式以该应用的设置为准

请注意：删除或阻止必要 Cookie 会导致你退出登录、浏览器中的购物袋被清空、主题与 Cookie 选择被重置，面板也会再次出现；使用无痕或隐私窗口时，本站的全部存储都会在窗口关闭后清除。你仍可继续浏览公开页面。

「请勿跟踪」与全球隐私控制信号

业界对「请勿跟踪」（DNT）请求头尚无统一标准，全球隐私控制（GPC）信号的适用范围也因司法辖区而异，因此本商城不对这两种信号作单独响应。

我们把它保留在这里如实说明，而不是声称已经支持：这两种信号要防止的情形——未经同意的跨站跟踪与广告定向——在本商城本就不存在。我们不投放广告、不嵌入第三方跟踪脚本，唯一的可选 Cookie 在你明确点击「接受全部 Cookie」之前一律不会被设置。如果我们将来启用任何广告或第三方统计，我们会在本节说明届时如何响应这些信号。

未成年人

本商城面向成年用户提供数字商品。我们不会有意针对未成年人设置可选 Cookie，也不会有意收集不满十四周岁儿童的个人信息。如你是未成年人的监护人，发现被监护人在未经你同意的情况下向本商城提供了个人信息，请通过下方邮箱联系我们，我们会核实后删除相关信息并撤销相应的可选 Cookie。

政策更新

当 Cookie 的类别、名称、目的、期限、设置方或我们的服务方式发生实质变化时，我们会更新本政策并修改页面顶部的生效日期。涉及新增可选 Cookie 或新增第三方的，我们会在变更生效前重新征求你的同意，你此前的选择不会被自动沿用为对新用途的同意。建议你不时回访本页。

联系我们与投诉

就本政策、你的 Cookie 选择，或访问、复制、更正、删除与撤回同意等请求，可发送邮件至hi@xicoai.com；我们会在核验请求人身份与请求合理性后及时答复，通常不超过十五个工作日。公司信息与联系地址见公司官网 xicoai.com。

如果你认为我们对个人信息的处理侵害了你的权益，且对我们的答复不满意，你有权向履行个人信息保护职责的部门投诉、举报，或依法向人民法院提起诉讼。