JPbooking 预约邮件转发：隐私政策

版本：2026-10-03。公开说明；向个人邮箱转发原文的功能尚未启用。

本政策说明 JPbooking（https://yyy.tokyomails.com）如何处理预约及邮件转发相关数据，涉及管理员和对应预约用户。网站以JPbooking名称提供管理功能，公开联系邮箱为 naradeer2024@gmail.com，该地址同时是拟用发件账号。现有预约管理及收信服务已存在；向个人邮箱转发原文、完整原文捕获和 Gmail API 发件尚未上线。

处理哪些数据。 现有预约管理会保存预约资料及结果，包括已填写的姓名、电话、出生日期、预约号、收件别名，以及适用时的官方操作密码或链接。现有 ac4mail 保存解析后的邮件主题、发件及收件信息、正文和实际保存的附件；它没有完整保存全部历史原始 MIME。网站登录还使用账号、密码校验信息和会话 Cookie。

拟新增功能会保存个人目标邮箱、预约与邮箱的对应关系、复核与变更记录、未来新邮件的原始 MIME，以及发送状态、去重标识、目的地快照和必要的失败审计。原邮件可能包含个人资料、验证码、操作链接及附件。拟使用 Gmail API 时还需要处理管理员授权的身份及权限信息、访问或刷新令牌和服务返回的发送标识。当前尚未取得或保存这次授权的令牌。

用途及权限。 数据用于管理预约、确定唯一收件人、向其转发对应官方邮件、防止误发或重复发送、处理故障以及向已验证管理员报告结果。Gmail 授权仅申请 gmail.send，用于 naradeer2024@gmail.com 发件，不读取该账号的邮件列表、收件箱、联系人或历史正文。客户不需要进行 Google 授权。gmail.readonly 已延后，未来如确需其他权限，应先更新说明并另行取得授权。

数据会传给谁。 现有收信经过 Cloudflare 和 ac4mail，并保留当前已配置的邮箱副本路径。拟新增发送会把邮件原文及对应收件地址提交给 Google/Gmail，并交付收件人的邮箱服务。服务器及基础设施服务处理其运行所需的数据。Telegram 仅接收发给已验证管理员的最小状态信息、预约号、脱敏邮箱和经检查、必要脱敏的标题，不应接收正文、验证码或附件；本地采用完整安全标题白名单，未知标题整体隐藏；生产尚未启用。第三方各自处理邮件或消息时适用其规则，不能保证数据仅存储在单一国家或地区。外部图片或链接在被加载、访问时，可能使相关第三方获得访问数据。

Google 数据使用限制。 拟新增集成将遵守 Google API Services User Data Policy，包括 Limited Use 要求：仅为上述明确说明的功能使用 Google 用户数据，不出售、不用于广告定向、信用评估或 AI 模型训练；仅在提供该功能且有适当授权、保障安全或依法处理等允许情形下转移数据。人工访问 Google 用户数据须符合该政策允许的情形，例如取得用户对特定数据的明确同意、处理安全问题或履行法律要求。排障默认使用最小化元数据，不把原文或凭据写入普通日志。本段是启用前必须落实的设计承诺，不代表已通过 Google 验证或已在生产启用。

访问与保护。 现有网站采用登录、角色权限和写入请求保护；拟新增个人邮箱、映射复核及发送审计入口限管理员访问，并采用服务端校验和版本检查。现有 ac4mail 的管理员可访问邮件，共享别名入口也有其既有访问方式；共享邮箱密码不能证明某个客户的个人身份。完整原文和令牌须存放于受限位置，不能进入公开源码、聊天或普通日志。新的原文访问限制和令牌管理须在部署前落实。

保存、停止和删除。 用户已选定新增转发系统的邮件原文及附件保留90天、发送审计保留90天；本系统的数据备份每天一次，保留最近两次成功备份。新备份失败时不得先删除旧版；备份位置尚未决定，生产配置及轮换删除范围待后续确认。拟定的待实施规则是：原文及附件从本系统首次收到该邮件时起算90天；发送审计从审计记录首次创建时起算90天，重试或状态更新不重新起算。备份与到期清理已有本地隔离实现，生产尚未启用，不能把这些规则理解为已有生产自动备份、自动清理或已执行真实删除。

上述90天规则仅针对新增转发系统保存的原文、附件及发送审计，不包含现有 ac4mail 历史邮件或既有预约记录。本次文稿更新不创建或修改备份任务，也不清理既有备份。备份中到期数据的处理、个人邮箱映射与授权令牌等其他数据的停止与删除流程，以及既有副本的实际处理范围，仍须在上线前明确并落实，不能承诺所有备份副本同步在90天时删除。现有 ac4mail 可供必要时查看，但解析正文与实际保存的部分附件不等于完整原始 MIME 或全部附件备份，不能保证到期删除后的原文可由它恢复。

为防止原文到期后被再次发送，本地设计包含不存正文或目的邮箱的去重摘要；摘要可能被关联，并非完全匿名。摘要期限与到期后的安全处理仍需明确授权，真实清理因此保持关闭。

清空个人邮箱会停止后续转发，但不会立即删除原邮件、已发送记录、审计或第三方副本；删除预约记录也不等于删除这些数据。到期清理不得触发历史补发。Gmail、收件邮箱及 Telegram 中已有副本的处理受各自规则和账号控制影响，不能承诺各处副本随本系统90天规则同步删除。

相关用户可通过上述联系邮箱向维护者提出查阅、更正、停止转发或删除请求。维护者需核验身份及请求范围，并说明可处理的数据和第三方副本限制；请求处理及上述90天到期清理流程仍需在上线前落实。管理员可在 Google 账号中撤销本应用授权，阻止后续 Gmail API 访问，但撤销不会自动撤回已发送邮件或删除本地历史数据。

如用途、接收方或权限发生实质变化，将在启用变化前更新说明，并在需要时另行取得授权。本公开说明涵盖当前预约管理、邮箱登记及拟新增转发功能；新的授权和发送能力须另行确认后启用。