Català信任中心
学校、采购团队或数据保护官评估 Eco Heroes 所需的一切，集中在一页，并提供可下载文件。
最近更新：2026年10月9日一览
无广告，不出售数据Eco Heroes 仅靠许可收入运营。我们绝不出售、出租或画像个人数据，也不展示第三方广告。
学生档案采用假名学生使用班级代码、名字或昵称和头像即可参与。无需邮箱、照片或出生日期。
传输加密，边缘加固全站 TLS 1.2+ 并启用 HSTS，不含 unsafe-inline 的内容安全策略，CDN 边缘的 DDoS 与机器人防护，以及公开的漏洞披露渠道（security.txt）。
托管于欧盟应用、数据库和备份均托管在欧盟数据中心。CDN 边缘仅向全球分发缓存的公开页面；个人数据保留在欧盟源站。
安全措施
当前实施的技术和组织措施。每次发布时复审，并在数据处理协议附件二中汇总。
- 传输加密：仅 TLS 1.2+，启用 HSTS，证书自动续期。
- 采用按脚本哈希和 nonce 的内容安全策略（无 unsafe-inline），严格的框架限制，除经同意的分析外无第三方脚本。
- 教师密码使用 bcrypt（成本 12）哈希；访问码仅以带密钥哈希存储；邮箱验证及修改密码时撤销会话。
- 登录、注册和兑换码设有速率限制；常量时间比较；所有表单含 CSRF 令牌。
- 租户隔离：学校管理员只能查看本校用户和访问码。
- 每次发布前备份并有经过测试的回滚流程；保留上一生产版本。
- 数据最小化：不收集学生邮箱、照片或出生日期；仅在明确同意后进行分析；视频通过 youtube-nocookie 嵌入并仅在点击时加载。
- 漏洞披露：/.well-known/security.txt — 5 个工作日内答复；严重问题优先于其他工作修复。
数据保护角色
对于学校许可下产生的学生数据，学校为控制者，Eco Heroes 为处理者（GDPR 第 28 条），受下方数据处理协议约束。对于教师账户、报价请求和家庭订阅，Eco Heroes 依其隐私政策为控制者。个人数据在收到书面请求后 30 天内删除，最迟在许可结束后 24 个月删除。请求请发送至：[email protected]。
子处理者
可能代表我们处理个人数据的供应商。新增前 30 天通知许可持有人。
| 供应商 | 用途 | 位置 | 保障 |
|---|---|---|---|
| Hetzner Online GmbH | 应用、数据库、备份 | 德国 / 芬兰（欧盟） | GDPR 第 28 条合同 |
| Cloudflare | CDN、DDoS/机器人防护、TLS | 全球边缘，欧盟数据区域 | 欧盟–美国数据隐私框架、标准合同条款 |
| Stripe | 家庭订阅付款（无学生数据） | 欧盟/美国 | DPF、SCC |
| Formspree | 一般联系表单投递 | 美国 | DPF、SCC |
| Google Analytics 4 | 汇总使用统计，仅在同意后 | 欧盟/美国 | DPF、SCC、IP 匿名化 |
| YouTube (youtube-nocookie) | 播放精选 SDG 视频，仅在点击时加载 | 欧盟/美国 | DPF；隐私增强模式 |
| 学校自有 Moodle / LMS | 由学校控制的可选 LTI 集成 | 学校选择 | 学校合同 |
无障碍声明
Eco Heroes 力求符合 WCAG 2.1 AA 级。当前措施：包括游戏教程在内的所有页面均可键盘操作、跳转链接、可见焦点、导航和对话框的 ARIA 角色、按 AA 标准检验的色彩对比度、阿拉伯语从右到左布局、图片替代文本以及减少动态效果支持。已知限制：部分装饰性表情图标没有描述，项目介绍为 PDF，嵌入的视频播放器由第三方提供。我们在每次发布时复审无障碍性，欢迎发送反馈至 [email protected]，5 个工作日内答复。
文件
采购信息
| 供应商 | Eco Heroes International SL — Karim Zouhdi，创始人 |
| 联系方式 | [email protected] · +34 690 814 215 |
| 许可模式 | 按年、按席位、可续期；不续期需提前 30 天（学校、酒店）或 60 天（企业）通知 |
| 付款 | 接受采购订单 · 银行转账 · 30 天账期 · 按国家计征增值税，欧盟可反向征收 |
| 启用 | 付款后 24 小时内发放班级代码 · 含教师手册和培训师培训 · 可选 Moodle/LTI |
| 支持 | 12 种语言邮件支持，工作日，首次答复一个工作日内 |
| 数据保留 | 收到书面请求后 30 天内删除；最迟许可结束后 24 个月 |
| 保险与认证 | 应要求作为报价的一部分提供 |
