# GaaPay 合规文档合订本 > 由 /legal/all.md 于 2026-10-23T09:22:42.283Z 导出； > 同意指纹（consent fingerprint）：`terms@2.0|privacy@2.0|risk@2.0|refund@1.1` 目录： - 服务条款（v2.0，2026-11-01） - 受限辖区与服务地区声明（v1.0，2026-11-01） - 隐私政策（v2.0，2026-11-01） - Cookie 与本地存储声明（v1.0，2026-10-01） - 风险揭示书（v2.0，2026-11-01） - 反洗钱与制裁合规声明（v1.1，2026-11-01） - 税务与财务说明（v1.0，2026-11-01） - 退款与争议处理政策（v1.1，2026-11-01） - 服务水平协议（SLA）（v1.0，2026-11-01） - 安全政策与漏洞披露（v1.0，2026-11-01） --- # 服务条款 > 版本 2.0 · 生效日期 2026-11-01 · 需明示同意 使用 GaaPay 收款服务、控制台与 API 的完整约定，含责任限制、赔偿、争议解决与消费者权利保留。 ## 一、定义 本条款中： - 「本服务」指 GaaPay 提供的虚拟资产收款、订单管理、对账、结算与相关技术支持服务，包括收银台、控制台与商户 API。 - 「平台方」指运营 GaaPay 的法律主体，其名称、注册号与注册地载于本页页脚与 `/api/version`。 - 「商户」指完成注册并通过审核、使用本服务收取款项的主体。 - 「付款人」指在收银台向商户支付款项的终端用户。 - 「虚拟资产」指 USDC、USDT 等锚定法定货币的链上代币，以及经平台方公告支持的其他资产。**算法稳定币默认不在支持范围内**，接入需另行书面批准。 - 「金库地址」指商户自行控制私钥、用于接收结算款项的链上地址。 - 「制裁名单」指 OFAC SDN、EU、UN、UK HMT 等由有权机构发布的制裁与限制名单，以及平台方采用的商业风险情报名单。 ## 二、服务性质：软件服务，非支付牌照业务 平台方提供的是**软件与技术服务**：为商户生成订单、派生收款地址、监听链上到账、维护复式账本、执行对账与结算指令。 平台方**不代持、不托管、不控制**商户或付款人的任何虚拟资产。收款地址由商户提供的公钥派生，私钥自始由商户或其指定的签名服务持有；平台方在任何环节都无法单方面转移资金。 平台方不是银行、不是电子货币机构、不是支付机构，本服务不构成存款、吸储、汇兑、证券发行或投资建议。本服务不向付款人提供任何形式的账户、钱包或资产保管。 > **注意** 若您所在司法辖区将「为他人提供虚拟资产转移服务」纳入许可范围（如欧盟 MiCA 下的 CASP 制度、新加坡 PSA 下的 DPT 服务、美国各州 money transmitter 法规），您应自行确认本服务的使用是否符合当地规定，并承担相应合规责任。平台方可依 §16 在特定辖区停止提供服务。 ## 三、服务地区与受限辖区 本服务受《受限辖区与服务地区声明》约束，该声明是本条款的组成部分。要点包括： - 本服务不向中华人民共和国大陆地区用户提供； - FATF 黑名单与全面制裁辖区（朝鲜、伊朗、古巴、叙利亚、克里米亚等争议地区）的用户与交易被绝对禁止； - 平台方有权基于制裁与合规原因，对特定辖区、特定地址或特定订单实施地理封锁、拒绝服务或冻结。 > **注意** 《受限辖区与服务地区声明》更新后，本条自动引用其最新版本，无需另行修订本条款。 ## 四、商户资格与账户 商户应具备合法经营资格，并保证其向平台方提交的主体信息、经营范围、网站内容真实、准确、完整。平台方有权在服务存续期内要求补充或更新（KYC 周期性复核）。 商户应妥善保管 API Key、签名密钥、控制台账号口令与两步验证设备。凡以商户凭据发起的请求，均视为商户本人行为，**平台方无法区分凭据被滥用与本人授权**。 商户发现凭据泄露或账号被非授权使用的，应立即轮换密钥并通过 support@gaapay.com 通知平台方。通知到达前的损失由商户承担。 平台方有权基于风险控制需要，要求商户补充材料、限制接口权限、暂停新增订单或终止服务。风控措施不构成对商户或其交易的否定评价，商户不得据此主张商誉损失。 ## 五、禁止用途 商户与付款人不得将本服务用于下列用途。平台方有权在发现后立即冻结相关订单并配合有权机关调查： - 违反任何适用法律、法规、制裁与出口管制规定的活动； - 洗钱、恐怖融资、规避制裁、欺诈、敲诈、非法集资、庞氏/传销结构； - 未取得当地许可的博彩、彩票与游戏内现金化； - 销售或促通法律禁止流通的物品、服务或内容，包括但不限于毒品、武器、人口贩卖、虐待动物内容、被盗数据； - 淫秽色情中涉及未成年人的任何内容（绝对禁止，一经发现立即终止并报告有权机关）； - 侵犯他人知识产权、隐私权或其他合法权益； - 规避平台方的风控、限额、地域限制或其他技术措施； - 以测试、探测、压力测试为目的，未经书面许可对平台方系统发起自动化攻击或高频请求（安全研究例外见《安全政策与漏洞披露》）； - 混合器（mixer/tumbler）类服务，或为已被制裁名单命中的地址提供资金通道。 ## 六、服务可用性与变更 平台方按「尽合理商业努力」保障服务可用；面向商户 API 的量化承诺与补偿机制见《服务水平协议（SLA）》。SLA 是本条款的组成部分。 链上网络拥堵、RPC 供应商故障、上游渠道中断、区块链重组均可能导致延迟或失败。上述事件属于分布式系统的固有特性，不当然构成违约，是否计入 SLA 除外情形以 SLA 为准。 计划内维护将提前通过状态页或邮件通知。紧急安全修复可即时执行，事后说明。 平台方有权调整接口、限额、费率与支持的资产范围。对商户有实质不利影响的变更，应提前不少于 15 日通知；因监管命令或安全事件需要的除外（即时生效，事后说明）。 ## 七、费用、税费与结算 费率以商户后台「费率与结算」页面或双方另行签署的协议为准。平台方调整费率应提前通知，正在处理中的订单按创建时的费率结算。 平台费在订单确认时从应收金额中计提，并作为独立分录记入账本，可随时导出核对。平台费的发票/收据申请与间接税处理见《税务与财务说明》。 结算指令由商户发起或按商户预设策略自动执行。链上手续费（Gas）由商户承担，实际发生额逐笔记录并可查。Gas 价格波动导致的成本上升不构成退款事由。 因商户提供的金库地址错误、链选择错误或私钥丢失导致的资金损失，由商户自行承担。平台方在技术可行范围内协助追查，但不保证追回。 ## 八、账本与对账 平台方以复式记账维护每笔订单的资金流向，分录仅追加、不可修改或删除，任何时点借贷合计相等。 商户可随时通过控制台或 API 导出分录、余额与结算明细。导出格式为 CSV/JSON，字段文档见接入文档。 独立对账进程以独立数据源重算链上余额，与账本求和比对。发现差异按严重程度分级处理，最高等级差异将自动冻结出款直至人工复核完成。 商户应在收到对账单后 30 日内提出异议，逾期视为认可。异议期内不影响平台方按本条款收取已确认订单的平台费。 ## 九、退款与付款人争议 退款与少付/多付处理遵循《退款与争议处理政策》，该政策是本条款的组成部分。 **链上支付无拒付（chargeback）机制**：付款人不享有银行卡体系中「向发卡行申诉撤款」的救济。付款人的退款请求应向商户提出，商品与服务质量争议由商户与付款人自行解决。 平台方不是商户与付款人之间交易的当事方，仅可依《退款与争议处理政策》提供事实性证据（订单快照、链上记录、账本分录），不介入裁决。 ## 十、责任限制 在法律允许的最大范围内，平台方对下列情形不承担责任： - 区块链网络自身的行为，包括分叉、重组、双花尝试、网络中断、Gas 价格剧烈波动； - 第三方服务（RPC 节点、聚合网关、法币通道、云服务商）的中断或错误； - 商户自身系统缺陷、密钥管理不当、配置错误、员工误操作； - 付款人操作错误，包括转错地址、选错链、金额不符； - 虚拟资产市场价格波动与稳定币脱锚造成的价值损失（市场风险不属于服务缺陷）； - 不可抗力，包括战争、自然灾害、政府行为、大规模网络攻击、行业性安全事件。 > **注意** 除故意或重大过失外，平台方就本服务承担的累计赔偿责任，以索赔发生前 3 个月内商户实际支付的服务费总额为上限。平台方对间接损失、利润损失、商誉损失、数据替代取得成本不承担责任。本条款不排除依法不得排除或限制的责任（见 §17）。 ## 十一、赔偿（Indemnification） 商户应就下列事项使平台方及其董事、员工、代理人免受损害，并赔偿其因此发生的损失、责任与合理费用（含律师费）： - 商户的业务本身违法或违反本条款（含禁止用途清单）； - 商户对付款人的任何违约或侵权，付款人向平台方主张时； - 商户提供的主体信息、地址信息或税务信息虚假、过期或误导； - 商户违反数据保护义务处理付款人数据； - 商户侵犯第三方知识产权； - 商户未履行其所在辖区的牌照、税务或报告义务导致平台方被追责。 > **注意** 平台方收到第三方索赔后将在合理时间内通知商户；商户以承认责任或和解处分平台方权利的，须经平台方书面同意。 ## 十二、知识产权 平台方的软件、文档、界面设计与商标归平台方所有。商户获得的是**非独占、不可转让、可撤销**的使用许可，范围限于使用本服务之必要。 商户不得反向工程、拆解、复制核心实现，或基于本服务构建竞品。法律强制允许的反向工程除外。 商户上传的商标与素材，商户授予平台方为展示收银台所必需的有限使用许可。服务终止后该许可终止。 ## 十三、暂停与终止 商户可随时停止使用本服务，但应结清已发生的费用，并完成在途订单的处理。 平台方可在下列情形立即暂停或终止服务：商户严重违反本条款；应有权机关要求；商户主体资格失效；存在重大资金安全或合规风险；商户进入破产、清算或被列名制裁。 **终止后的在途资金处理**：终止时已确认入账且未结算的余额，在完成合规审查后按正常流程结算至商户金库地址；被冻结或涉及调查的资金，按有权机关的处理结果执行，平台方不承担其迟延责任。 服务终止后，平台方按法律要求保留交易记录至法定年限，其余数据按隐私政策处理。商户应在终止前导出所需数据；终止后 90 日内可申请一次性数据导出协助，逾期不再提供。 ## 十四、条款变更 平台方可修订本条款。实质性修订将通过控制台公告与邮件通知，并更新本页的版本号与生效日期。 修订生效后商户继续使用本服务的，视为接受修订。不接受的可停止使用并结清费用；在修订生效日前已创建的订单，按创建时有效的条款处理。 《受限辖区与服务地区声明》《AML 声明》因制裁名单或监管要求更新而调整的，可即时生效，事后公告。 ## 十五、一般条款 - **转让与分包**：商户未经平台方书面同意不得转让本条款项下的权利义务。平台方可整体转让本服务（含合并、收购），受让方承接本条款；平台方为履行服务可使用分包方，但对其行为承担责任。 - **可分割性**：任一条款被有权机关认定为无效或不可执行的，不影响其余条款的效力，双方应以最接近原意的有效条款替代。 - **存续**：责任限制、赔偿、知识产权、争议解决、记录保存条款在服务终止后继续有效。 - **完整协议**：本条款及其引用的文档构成双方就本服务达成的完整协议，取代此前的一切口头或书面约定。商户采购订单或其他单据中与本条款冲突的条款，未经平台方书面确认不发生效力。 - **通知**：平台方向商户的通知发送至控制台预留邮箱或控制台公告；商户向平台方的通知发送至本页页脚邮箱。通知在发出时视为送达（法定另有要求的除外）。 - **不弃权**：平台方未追究某次违约，不构成对后续违约的弃权。 - **语言**：本条款以中文版本为准。任何译文仅为便利提供，与中文版不一致时以中文版为准。 ## 十六、适用法律与争议解决 本条款的成立、效力、解释与履行适用平台方注册地法律，排除冲突规范（不含其国际私法规则）。 因本条款产生的争议，双方应先友好协商 30 日；协商不成的，按下列顺序解决： - 双方均为法人且争议金额超过约定门槛的，提交平台方注册地仲裁机构，按其届时有效的仲裁规则进行；仲裁语言为中文，仲裁地与平台方注册地一致，裁决为终局； - 其余情形，提交平台方注册地有管辖权的法院诉讼解决； - **集团诉讼弃权**：在允许该约定的辖区，双方同意以个人名义解决争议，不得作为集团诉讼或代表诉讼的成员（依法不可弃权的除外）。 ## 十七、消费者与强制性权利 本条款不排除、不限制消费者依其所在辖区强制性法律享有的权利，包括但不限于： - 欧洲经济区与英国的法定消费者保障（含《消费者权利指令》转化规则下不适用的排除条款，以强制性规范为限）； - 英国《消费者权益法》下关于不公平条款的强制规则； - 澳大利亚消费者法下不可排除的保证（商户为消费者情形）； - 任何辖区法律规定的、不得通过合同排除的侵权责任（如故意致害）。 > **注意** 若本条款某项排除或限制在您所在辖区依法无效，该条款在该辖区范围内不适用，本条款其余部分继续有效。本服务面向商户（B2B）设计；自然人以个人消费目的使用收银台付款的，其与商户之间的关系不适用本条款，应适用商户的用户协议。 --- *本文档为第 2.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 受限辖区与服务地区声明 > 版本 1.0 · 生效日期 2026-11-01 本服务在哪些地区可用、哪些辖区被禁止或限制，以及地理封锁与名单更新机制。 ## 一、服务提供范围 本服务当前面向**非中华人民共和国大陆地区**的商户提供。中国大陆地区的用户注册、收银台访问与结算均在产品与网络层面被限制。 虚拟资产服务的许可要求因辖区而异（欧盟 MiCA 的 CASP 授权、新加坡《支付服务法》的 DPT 许可、美国联邦 MSB 注册与州级 MT 许可、香港 VASP 发牌制度等）。**商户应自行确认其在运营地使用本服务的合法性并取得所需牌照**；平台方的技术支持不构成合规背书。 ## 二、绝对禁止辖区（Prohibited Jurisdictions） 下列辖区的用户不得注册、不得收付、不得经由本服务转移资金。命中即冻结，无申诉解冻通道（误报除外）： - FATF 呼吁采取反制措施的高风险辖区（Black List，当前包括朝鲜、伊朗、缅甸）； - 受全面制裁且无通用许可的辖区与地区：古巴、叙利亚、克里米亚与乌克兰争议地区等； - 平台方依制裁名单或监管命令认定的其他辖区。 > **注意** 辖区与名单的**权威版本是平台方筛查系统的配置**（`config/sanctions.json` 与商业风险情报），本页仅为摘要展示。两者不一致时以筛查系统为准，更新即刻生效。 ## 三、限制辖区（Restricted Jurisdictions） 下列情形需要额外的审查或条件，未经平台方事先书面批准不得使用本服务： - FATF 灰名单（增强监测辖区）注册的商户； - 对虚拟资产实施转让限制或外汇管制的辖区（资金来源与用途需说明）； - 虚拟资产服务提供商牌照制度已生效但商户尚未取得相关授权的辖区； - 美国：商户主体注册于美国且从事本声明允许的业务，需通过强化尽调并签署补充协议；付款人为美国个人消费者的场景受州级货币传输法规约束，需单独评估。 ## 四、地理封锁的技术实现 注册环节：按商户申报的注册地与实际经营地执行准入筛查； 交易环节：对收银台访问来源 IP 与订单收付地址执行辖区匹配，命中禁止辖区的访问被拒绝； 地址环节：所有入账地址过制裁名单与风险情报（见《AML 声明》），辖区命中与名单命中同等对待。 > **注意** 使用 VPN 或代理规避地理封锁属于对本服务技术措施的规避，构成《服务条款》禁止用途项下的违约，相关订单可被冻结并终止服务。 ## 五、名单更新与通知 制裁名单随国际形势变化。名单更新导致的准入收紧**即时生效**，无需预先通知；放宽性调整在完成技术部署后生效并公告。 名单更新可能使此前合规的交易事后被标识为高风险。对此类交易，平台方按命中时的名单版本处理已入账余额，但有权依法律要求补充报告。 本页面的历史版本可通过 compliance@gaapay.com 索取。 --- *本文档为第 1.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 隐私政策 > 版本 2.0 · 生效日期 2026-11-01 · 需明示同意 我们收集哪些数据、为什么收集、保存多久、与谁共享，以及您在各地法律下如何行使权利。 ## 一、我们收集的信息 为提供收款服务，我们处理以下类别的最小必要信息： - **商户主体信息**：企业名称、注册号、注册地、联系人、结算地址、经营范围。用于身份核验与合规审查。 - **账户与安全信息**：控制台账号、口令的加盐哈希（不保存明文）、两步验证公钥参数、恢复码哈希、登录时间与来源 IP。用于鉴权与异常检测。 - **交易信息**：订单号、金额、币种、收款地址、链上交易哈希、确认数、时间戳。这是账本的基础，属于必须保留的记录。 - **付款人信息**：仅包含链上公开可见的地址与交易数据，以及付款人为查单主动提交的订单号。我们**不要求付款人注册**，也不收集其姓名、证件或联系方式。 - **技术与日志**：请求路径、响应状态、耗时、客户端 IP、User-Agent。用于安全防护、故障排查与容量规划。 > **注意** 我们不收集身份证件影像、人脸、通讯录、精确位置或任何生物特征信息。若未来因监管要求需进行强化尽调，将单独告知并取得同意。 ## 二、处理的法律基础与目的 我们基于以下基础处理信息： - **履行合同**：创建订单、记账、结算、提供技术支持。 - **法定义务**：反洗钱与制裁筛查、税务申报、应对有权机关依法调取。 - **合法利益**：防范欺诈与攻击、保障系统安全、改进产品。此类处理已通过必要性评估（LIA），且不影响您的核心权利。 - **同意**：仅在法律要求同意的场景（如非必要 Cookie、营销邮件）使用，且可随时撤回。 > **注意** 角色划分：就商户主体信息，平台方是**数据控制者**；就付款人为完成支付而流动的数据（地址、哈希、金额、时间戳），平台方为商户与付款人共同的交易基础设施，按控制者职责履行 GDPR 第 13/14 条的告知义务；商户就其自身客户关系另为独立控制者，其告知义务不因使用本服务而免除。 ## 三、链上数据的特殊性 **请务必理解**：区块链是公开、不可篡改的分布式账本。一旦交易被写入区块，其发送地址、接收地址、金额与时间将对任何人永久可见，且**无法删除或修改**。 我们能删除的是自己数据库中的记录，无法删除链上数据。因此请勿在链上交易的备注、memo 或金额尾数中写入任何个人信息。 为降低可关联性，本服务为每笔订单派生一次性收款地址，不复用地址，从而避免把同一付款人的多笔交易在链上聚合成画像。 ## 四、共享与委托处理 我们不出售个人信息。仅在下列情形共享，且均受保密与目的限制约束： - **基础设施供应商**：云主机、数据库、对象存储、CDN。按数据处理协议（GDPR Art.28 / 标准 DPA）处理，不得用于自身目的。主要处理者清单可向 privacy@gaapay.com 索取。 - **区块链基础设施**：RPC 节点与区块浏览器服务。其可见的仅是公开链上数据。 - **法币通道与聚合网关**：仅在商户启用相关渠道时，传递完成该笔交易必需的最小字段。 - **合规与风控服务**：制裁名单、地址风险评分。仅传递链上地址，不传递商户主体信息。 - **有权机关**：依合法程序（法院命令、监管问询）提供。除法律禁止告知外，我们会通知受影响商户。 - **企业交易**：合并、收购或资产转让中，数据可作为资产转移，受让方须继续受本政策约束。 ## 五、跨境传输 我们的服务器可能位于您所在司法辖区之外，因此您的信息可能被传输至境外处理。 涉及欧洲经济区（EEA）数据的传输，我们采用欧盟委员会标准合同条款（SCCs）并完成传输影响评估（TIA）；涉及英国的传输采用 UK Addendum。 若您所在地区的法律要求单独同意跨境传输，我们会在收集前取得该同意。 ## 六、保存期限 - 交易与账本记录：自交易完成起不少于 5 年（多数辖区的反洗钱法定要求），且因账本不可删改性，实际上长期保留。 - 商户主体与尽调材料：服务关系存续期间，及终止后 5 年。 - 访问日志与安全日志：90 日，之后聚合为统计指标，不再保留可识别个体的明细。 - 营销同意记录：至撤回同意为止。 - 同意留痕记录（条款版本指纹）：为证明「用户同意的是哪一版」，保留至法定时效届满（争议解决机制结束），最长 10 年。 ## 七、安全措施 - 传输层：全站 TLS 1.2+，HSTS 强制。 - 存储层：口令与恢复码仅存加盐哈希；API 密钥仅存哈希，明文只在创建时展示一次。 - 访问控制：最小权限原则，角色与权限分离，高危操作要求近期两步验证（步骤提升）。 - 审计：所有管理操作写入不可篡改的审计日志，含操作者、时间、对象、前后值。 - 隔离：签名能力与 API 进程分属不同权限边界，API 进程不持有私钥。 - 演练：定期恢复演练与渗透测试，发现的问题按严重程度限期修复。漏洞接收与响应流程见《安全政策与漏洞披露》。 > **注意** 安全事件发生后，我们将在法定时限内（EEA/UK 为发现后 72 小时）通知受影响用户与监管机构，并说明事件性质、影响范围与已采取的措施。 ## 八、您的权利 在适用法律范围内，您有权： - **访问**：获取我们持有的关于您的信息副本。 - **更正**：要求更正不准确的信息。 - **删除**：要求删除，但法定保留义务与链上不可删数据除外。 - **限制与反对**：要求限制处理，或反对基于合法利益的处理。 - **可携带**：以结构化、通用、机器可读的格式导出您的数据。控制台已提供自助导出。 - **撤回同意**：随时撤回基于同意的处理，不影响撤回前已进行的处理。 - **投诉**：向您所在地的数据保护机构投诉。 > **注意** 行使上述权利请发邮件至 privacy@gaapay.com。我们将在 30 日内答复（EEA/UK 为 1 个月内，可延长 2 个月）；需延长的会说明理由。为保护您的数据，我们可能要求验证身份。 ## 九、区域性附加条款 下列辖区法律的强制性规定优先于本政策与之冲突的部分： - **EEA / 英国（GDPR / UK GDPR）**：处理基础、跨境传输（SCCs/TIA）、DPO 联系通道、向监管机构投诉权按上述条款执行；自动化决策（制裁筛查命中）可要求人工复核。 - **美国（CCPA/CPRA 等州法）**：我们不「出售」也不「共享」个人信息（按州法定义）。加州居民享有知情、删除、纠正、限制敏感信息使用与非歧视权利，行权通道与本页 §8 相同，15 个工作日内响应。 - **巴西（LGPD）**：处理基础含「信贷保护」与「法定或行政义务」；encarregado（数据官）联系方式为 privacy@gaapay.com。 - **新加坡（PDPA）/ 中国香港（PDPO）**：按「告知目的、合理必要」原则处理；跨域传输采用同等保护标准。 - **中华人民共和国大陆地区**：本服务不向大陆地区用户提供，不面向大陆地区开展个人信息处理活动。若您从大陆地区访问本站，请立即停止使用。 ## 十、未成年人 本服务不面向未满 18 周岁的自然人。我们不会故意收集未成年人的信息。若发现此类情况，将删除相关记录并终止相关账户。 ## 十一、政策更新与联系方式 本政策的实质性变更将通过控制台公告与邮件通知，并更新版本号与生效日期。 数据控制者与联系方式载于本页页脚。数据保护相关问题请联系 privacy@gaapay.com。 --- *本文档为第 2.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # Cookie 与本地存储声明 > 版本 1.0 · 生效日期 2026-10-01 我们使用哪些 Cookie、用途、有效期，以及如何管理。 ## 一、我们的做法 本服务刻意保持极少的客户端存储：不使用广告 Cookie、不使用第三方追踪像素、不做跨站画像。 控制台的登录态使用 `HttpOnly` + `Secure` + `SameSite=Strict` 的会话 Cookie，JavaScript 无法读取，因此 XSS 也无法窃取。 收银台与文档站不使用任何 Cookie；主题偏好（明/暗）存于 localStorage，不上送服务器。 ## 二、清单 当前使用的存储项： - `gp_session`（Cookie，必需）：控制台登录态。HttpOnly、Secure、SameSite=Strict，有效期 12 小时，登出即失效。 - `gp_csrf`（Cookie，必需）：跨站请求伪造防护令牌，与会话绑定，随会话失效。 - `gp_theme`（localStorage，功能）：明/暗主题偏好。不包含任何标识符，永不上送。 - `gp_lang`（localStorage，功能）：收银台语言偏好。同上。 > **注意** 以上均属「严格必要」或「纯本地功能」，按 ePrivacy 指令与各地实践无需事前同意，但我们在本页完整披露。 ## 三、不使用第三方 Cookie 我们不嵌入第三方分析、广告或社交插件。页面上的所有脚本均由本站提供（CSP 中 `script-src 'self'` 已强制这一点）。 这意味着我们拿不到跨站行为数据，也无法做再营销。这是刻意的取舍：支付页面上的第三方脚本是最常见的盗刷入口（Magecart 类攻击）。 ## 四、如何管理 您可在浏览器设置中查看、删除或阻止 Cookie 与本地存储。 禁用 `gp_session` 将导致无法登录控制台；禁用 localStorage 只影响主题与语言偏好，不影响支付。 清除 Cookie 后需要重新登录，未完成的订单不受影响（订单状态由服务端维护）。 ## 五、Do Not Track 由于我们不进行跨站追踪，DNT/Global Privacy Control 信号对我们没有影响：不存在可被其改变的处理行为。 --- *本文档为第 1.0 版，自 2026-10-01 起生效。疑问请联系 compliance@gaapay.com。* # 风险揭示书 > 版本 2.0 · 生效日期 2026-11-01 · 需明示同意 虚拟资产支付涉及不可逆、价格波动、合规与对手方风险。含历史量化参考，请在接入前完整阅读。 ## 一、转账不可撤销 区块链交易一经确认即不可撤销、不可回滚。没有「撤回」「退款」按钮，也没有可以冻结交易的客服。 向错误地址转账、选错链、金额填写错误的，资金极可能永久损失。平台方**没有技术手段**代为追回。 本服务通过「一订单一地址」「链与资产双重校验」「前端零 TxHash 录入」降低此类风险，但无法完全消除。 > **注意** 请在付款前核对：链名称、代币类型、收款地址首尾各 6 位、金额。收银台展示的地址与金额即为唯一有效凭据。 ## 二、价格波动 虚拟资产以美元计价但以代币数量结算。报价设有有效期（默认 15 秒），超时后需重新报价。 在有效期内完成转账但因网络拥堵延迟确认的，到账数量可能与报价略有差异。本服务按实际到账数量记账，并按「少付/多付」规则处理，不追补差额。 极端行情下，稳定币可能短暂脱锚。此时按实际到账的美元价值记账，商户承担脱锚损失。 ## 三、网络与确认风险 - **拥堵**：网络繁忙时确认时间可能从数十秒延长至数小时，订单可能因此过期。 - **重组**：区块可能被重组，已「看到」的交易可能消失。本服务只在达到要求确认数后才记账，正是为此。 - **分叉**：链分叉时，同一地址在两条链上均可能有余额。本服务只承认公告支持的链，分叉产生的其他资产不予入账。 - **Gas 波动**：归集与结算的成本随网络费率剧烈变化。成本闸门会在 Gas 过高时推迟归集，可能导致资金在收款地址停留更久。 ## 四、量化风险参考（历史数据，非预测） 以下数字来自公开市场历史的回溯整理，用于帮助商户校准风险预算。**历史分布不构成对未来损失的预测**，尾部事件可以且确实会更严重： - **稳定币脱锚**：USDC 在 2023-03 银行危机中盘中最低约 0.87（偏离锚点约 13%，数日内恢复）；USDT 在 2018-10 曾低至约 0.92（约 8%）；算法稳定币 UST 于 2022-05 在数日内价值趋近于零。**本服务默认只接入储备型稳定币且不接入算法稳定币**，但储备型不等于零脱锚风险。 - **确认延迟**：达到目标确认数的时间在正常网络下通常为数十秒至数分钟（依链而定，以状态页公示为准）；拥堵期可延长 10 倍以上，极端期（如 2021 与 2024 的 Gas 高峰）个别交易滞留数小时至数日。 - **Gas 成本**：EVM 主网 Gas 价格短时可波动 10 倍以上。本服务的成本闸门会在 Gas 超过阈值时推迟归集，宁可延迟也不亏本执行——这意味着商户须承受资金在收款地址的额外停留。 - **损失结构**：本业务的主要损失源是操作类事件（错链、错址、私钥丢失），其特征是**低频高损且不可保**。建议商户按「单笔最大可承受损失」设定限额，而非按均值管理。 > **注意** 商户如需对冲脱锚与市场风险，应自行通过持牌渠道完成，本服务不提供任何对冲、理财或收益产品。 ## 五、合规与监管风险 - 各司法辖区对虚拟资产的定性与监管持续变化（欧盟 MiCA 分阶段适用、美国联邦与州级规则并行、FATF 旅行规则扩散），可能出台新规限制、禁止或要求许可。 - 商户有义务自行确认其在运营地的合法性，并取得所需牌照。平台方的技术支持不构成合规背书。 - 本服务执行地址制裁筛查与交易监测。命中名单的订单将被冻结并上报，商户与付款人均无权要求解冻（误报申诉除外，见《AML 声明》）。 - 有权机关依法要求提供数据或冻结资金时，平台方将配合，可能因此延迟或拒绝某些交易。 ## 六、对手方与技术风险 - **RPC 与网关**：本服务依赖第三方节点与聚合网关。其故障、限流或作恶可能导致漏检或延迟。本服务通过多源比对与独立对账缓解，但无法完全消除。 - **密钥风险**：商户私钥丢失即等于资金永久丢失；私钥泄露即等于资金可被任意转走。平台方不持有、不备份、无法恢复商户私钥。 - **软件缺陷**：任何软件都可能存在缺陷。本服务通过复式记账、独立对账与分级告警把缺陷的影响限制在可发现、可追溯的范围内，但不承诺零缺陷。缺陷的披露与响应流程见《安全政策与漏洞披露》。 - **供应链**：依赖的开源库可能存在未知漏洞。本服务刻意保持极小的依赖面（零 ORM、零 Web 框架）以降低该风险。 ## 七、流动性与结算风险 结算即将资金从收款地址归集至商户金库。归集需要支付 Gas，且在网络拥堵时可能失败或延迟。 若商户金库地址所属链暂停出块、或该链被交易所暂停充值，资金可能长时间无法动用。 本服务不提供法币兑换。若商户需将虚拟资产兑换为法币，须自行通过持牌渠道完成，并承担该渠道的对手方风险与合规责任。 ## 八、您应当具备的能力 使用本服务前，请确认您： - 理解区块链的基本原理，知道什么是地址、私钥、Gas、确认数； - 有能力安全管理私钥（硬件钱包、多签、或专业托管方案）； - 理解所在辖区关于虚拟资产的法律要求与税务义务； - 能够承受因操作失误导致的资金全部损失。 > **注意** 如果您不完全理解上述任何一项，请不要接入本服务。 --- *本文档为第 2.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 反洗钱与制裁合规声明 > 版本 1.1 · 生效日期 2026-11-01 客户尽调、地址筛查、交易监测、旅行规则、可疑活动报告与记录保存的具体做法。 ## 一、我们的立场 虚拟资产支付天然具备跨境、即时、不可撤销的特征，也因此容易被用于洗钱与制裁规避。平台方将反洗钱（AML）、反恐怖融资（CFT）与制裁合规视为**准入条件**，而非事后补救。 本声明说明我们采取的具体措施。它不是合规背书，也不能替代商户自身的合规义务。 ## 二、客户尽职调查（KYC） - **准入审查**：注册时核验企业主体真实性、经营范围与受益所有人（UBO，穿透至最终持股 ≥25% 的自然人）。高风险行业、高风险注册地要求补充材料。 - **持续监测**：服务关系存续期间，定期复核主体状态（至少每年一次）；经营范围或股权结构发生重大变化的，要求重新提交材料。 - **强化尽调（EDD）**：对高风险客户，要求说明资金来源、业务模式、预期交易规模，并由合规人员人工审批。 - **拒绝与退出**：无法完成尽调、提供虚假材料、或拒绝配合的，拒绝开户或终止服务。 ## 三、地址级制裁筛查 每笔入账在记账前对来源地址执行制裁名单比对（OFAC SDN、EU、UN、UK HMT 等公开名单，以及商业风险情报）。 命中名单的：订单置为待处理，资金**不进入商户可用余额**，并转入人工复核队列，按法律要求向主管机关报告。 筛查服务不可用时采取**失败即拒绝**（fail-closed）策略：宁可延迟入账，不在无筛查的情况下放行资金。该行为可通过配置调整，但不建议。 > **注意** 筛查基于公开名单与商业情报，存在误报可能。被误判的商户可提交申诉，我们将在核实后解除限制。 ## 四、交易监测规则（示例） 以下规则触发后进入人工复核，不自动拒绝： - 单笔金额或短时累计金额超过商户历史基线的一定倍数； - 同一来源地址在短时间内向多个不相关商户付款； - 付款地址与已知混币器、暗网市场、被制裁实体存在直接或一跳关联； - 订单创建后长期不付款，或反复创建又放弃（可能为探测行为）； - 商户退款率、争议率显著高于同类客户； - 登录来源 IP 与常用地显著偏离，且伴随高危操作。 ## 五、旅行规则（Travel Rule / FATF R.16） FATF 建议第 16 条要求虚拟资产服务提供商（VASP）在转账时传递发起方与受益方信息（「旅行规则」），多数主要辖区（欧盟 TFR、美国 FinCEN、新加坡 MAS、日本 JFSA 等）已将其落地为法律，但起算门槛与字段要求不一。 平台方按运营地规则的要求收集、传递与保存旅行规则信息：合规场景下通过交易所或 VASP 通道结算时，传递监管要求的最小字段集；超出最小集的商户信息不传递。 商户使用自托管钱包（unhosted wallet）收付的，按辖区规则可能触发对交易对手身份的额外核实。平台方将在监管要求明确的范围内提供配置开关与记录支撑。 > **注意** 旅行规则合规状态依运营地而异且持续演进。上线前由合规负责人确认当前运营地的适用性结论，并记录于合规台账。 ## 六、可疑活动报告 经复核确认为可疑的，按运营地法律要求向金融情报机构提交可疑活动报告（SAR/STR）。 依法不得告知客户的（tipping-off 禁令），我们不会向商户披露报告的存在。 提交报告不改变商户的资金所有权，但相关资金在调查期间可能被冻结。 ## 七、记录保存 - 客户身份资料与尽调记录：服务关系终止后不少于 5 年。 - 交易记录：自交易起不少于 5 年。账本分录因不可删改性而长期保留。 - 筛查与复核记录：含命中详情、复核人、结论、时间，保存不少于 5 年。 - 所有记录可按有权机关要求以可读格式提供。 ## 八、指定联系人 合规问询、名单更新通知、执法协作请求，请联系 compliance@gaapay.com。 我们将在收到请求后 1 个工作日内确认，并在法定时限内答复。 --- *本文档为第 1.1 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 税务与财务说明 > 版本 1.0 · 生效日期 2026-11-01 平台费与链上成本的税务定性、商户的纳税义务、申报环境与记录支撑。 ## 一、重要声明：本页不构成税务建议 本页说明本服务产生的财务记录与常见税务处理路径，帮助商户与其税务顾问定位问题。 虚拟资产的税务定性（是财产、存货、外币还是支付工具）**因辖区而异且持续变化**。我们不是税务顾问，不就任何具体交易提供税务意见。商户应在涉及税务的决策前咨询其所在辖区的专业税务顾问。 ## 二、商户的税务责任 - **所得税**：商户收取虚拟资产货款并完成兑换或持有产生的损益，属于商户的应税事项，由商户自行申报缴纳。 - **销售税 / 增值税（VAT/GST）**：商户向其客户销售商品或服务产生的流转税义务由商户承担，与收款方式（链上或法币）无关。收银台展示的金额为商户定价，**不代扣代缴商户的销售税**。 - **申报环境**：全球主要辖区正进入虚拟资产申报强化周期（OECD 加密资产报告框架 CARF 分阶段生效、欧盟 DAC8、美国 1099-DA 等）。商户应预期其虚拟资产收支将被其服务提供商（交易所、托管方）申报，并确保自身记录可与第三方申报相互印证。 - **预扣税**：平台方一般无义务代扣代缴商户的任何税款；若适用法律强制要求（含付款方向平台方所在地的预扣），商户应承担由此产生的差额。 ## 三、平台费的税务处理 - 平台费是平台方提供软件与技术服务收取的对价，**不是**资金通道费、兑换差价或利息。 - 在征收 VAT/GST 的辖区，平台费可能属于应税服务：B2B 跨境场景通常按「反向征收」（reverse charge）由商户自行申报；具体取决于双方注册地与平台方主体的税务登记状态，以发票/收据上标注的税务处理为准。 - 商户可在控制台申请平台费的收据或发票（按平台方注册地的开票制度提供），费用金额与订单一一对应，可导出核对。 ## 四、链上成本的税务处理 - Gas 费逐笔记录（金额、币种、时间、关联对象），通常可作为取得或转移资产的成本处理，具体扣除规则依辖区税法。 - 归集、救援、退款三类操作产生的 Gas 在账本中分属不同科目（5001 Gas 成本），导出时已分列，便于税务处理。 ## 五、记录支撑 所有财务记录基于复式账本：分录仅追加、借贷平衡、任何时点可导出 CSV/JSON。**账本数字是双方对账与税务申报的共同事实基础**。 商户对账单、平台费记录、Gas 成本记录的保存期与账本一致（不少于 5 年，实际长期保留）。 商户应自行保存其业务侧（销售、交付、退款）的记录；本服务记录的是支付侧事实，不覆盖商户业务侧。 ## 六、余额与利息 本服务对商户的任何余额（待结算、可用、储备）**均不计息**，也不提供质押、借贷、理财或任何收益类产品。余额只是账本科目，不产生孳息，亦不构成存款或投资。 商户余额以账本科目形式存在，不对应任何独立的资金池份额或债权凭证。 --- *本文档为第 1.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 退款与争议处理政策 > 版本 1.1 · 生效日期 2026-11-01 · 需明示同意 链上支付如何退款、少付多付如何处理、拒付机制不存在时的争议举证与裁决。 ## 一、基本原则 链上转账不可撤销，因此**退款不是撤销原交易，而是发起一笔反向转账**：由商户从其金库地址向付款人地址转出等值资产。 这意味着退款需要商户主动发起、需要付款人提供可接收的地址、需要支付 Gas，并且需要商户账上有足够余额。 退款是商户对付款人的义务。平台方提供工具与账务记录，但不垫付、不代偿。 ## 二、可以退款的情形 - 订单已支付但商品或服务未交付，且商户确认无法交付； - 重复支付（同一订单收到多笔足额转账）； - 多付（实付金额超过应付金额）； - 订单在报价有效期内支付但已过期，商户同意退款； - 商户主动决定退款； - 商户依其用户协议或所在辖区消费者保护法负有退款义务的其他情形（该义务独立于本政策存在）。 ## 三、少付与多付的自动化处理 本服务按实际到账金额记账，并自动分流： - **足额**：达到应付金额的 99.5% 以上视为足额，订单置为已支付。差额小于该阈值的不再追补，也不退款。 - **少付**：低于阈值时订单保持待支付，并在收银台提示还差多少。付款人可补足差额。补足后按累计金额判定。 - **多付**：超出部分记入「用户余额」科目，可抵扣该付款人后续订单，或由商户发起退款。平台方不会自动退回多付部分（因为无法确认付款人身份）。 > **注意** 99.5% 的容差是为了吸收汇率与精度误差，不是允许打折。它可通过商户配置调整，但不建议放宽。 ## 四、错链、错币与错地址 - **转到本服务派生地址但选错链**：若该链受支持，资金可被识别并按该链资产入账，通常需要人工介入。 - **转到本服务派生地址但用了不支持的代币**：资金在链上属于该地址，但无法自动入账。可提交「救援工单」，由商户确认后协助转出，需支付 Gas 与人工费用。 - **转到完全无关的地址**：平台方无法做任何事。这类损失不可追回。 - **向已退休地址转账**：本服务保留退休地址的监听（长于订单有效期 72 小时），仍可识别并归入悬账，由人工匹配订单。 ## 五、退款流程与时限 商户在控制台发起退款 → 系统生成退款单并记录应付金额 → 商户完成两步验证（步骤提升）→ 签名并广播 → 链上确认后记账。 账务上，退款先借记「商户待结算·可用」、贷记「退款应付」，链上转出后再冲销「退款应付」。因此**退款单一旦创建，金额即被锁定**，避免重复退款。 时限：商户应在确认退款请求后 5 个工作日内完成链上转账。因网络拥堵导致的延迟不视为违约，但应主动告知付款人。 ## 六、争议处理 付款人对订单有异议的，可通过 /track 页面凭订单号查询状态，并联系商户客服。平台方不是交易当事方，不介入商品或服务的质量争议。 商户与付款人无法达成一致的，可请求平台方提供**事实性证据**：订单快照、链上交易记录、入账时间、确认数、账本分录。我们只提供事实，不作裁决。 **与银行卡拒付的区别**：链上支付不存在发卡行申诉、拒付（chargeback）或仲裁评级机制。任何声称「可帮您发起链上拒付」的第三方均为欺诈。 涉嫌欺诈、盗币的，任何一方均可向 support@gaapay.com 举报。核实后相关地址将被列入内部风险名单，相关订单冻结待查。 涉及有权机关调查的，按 AML 声明中的执法协作流程处理。 ## 七、费用承担 - 因商户原因退款（无法交付、标错价）：链上 Gas 由商户承担。 - 因付款人原因退款（重复支付、误付）：Gas 原则上由付款人承担，或从退款金额中扣除，需事先告知。 - 因平台方系统缺陷导致的错误入账：Gas 由平台方承担。 - 平台费是否退还：若原订单的平台费已计提，退款时按比例冲回。 --- *本文档为第 1.1 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 服务水平协议（SLA） > 版本 1.0 · 生效日期 2026-11-01 API 可用性承诺、测量方法、服务积分与除外情形，以及技术支持响应分级。 ## 一、适用范围与定义 - 「商户 API」指 `/api/v1/*` 全部接口（下单、查询、webhook 接收确认）； - 「收银台」指 `/pay/*` 页面与 `/api/checkout/*` 接口； - 「月度可用率」=（当月总分钟数 − 当月不可用分钟数）÷ 当月总分钟数 × 100%； - 「不可用」指连续 5 分钟内成功率低于 99% 或错误率超过 50%（健康检查口径，见 `/api/health`）； - 本 SLA 适用于付费套餐商户。免费/试用环境按「尽力而为」提供，无积分补偿。 ## 二、服务水平承诺 - **商户 API 月度可用率 ≥ 99.9%**（当月不可用 ≤ 约 43 分钟）； - **收银台页面月度可用率 ≥ 99.9%**； - **控制台月度可用率 ≥ 99.5%**（管理界面不属于交易关键路径）； - webhook 投递：事件产生后 5 秒内首次投递，失败按指数退避重试至少 24 小时，最终失败进入死信并可导出重放。 > **注意** 链上确认速度、Gas 水平与区块链网络本身不属于「服务可用性」范畴——它们是我们监测与如实报告的对象，不是我们能承诺的东西。 ## 三、测量与报告 可用率由平台方监控系统按分钟粒度测量，指标源为 `/metrics`（Prometheus 格式），状态页公示当前与历史可用率。 商户可申请获取当月的原始可用率记录（含每次不可用的起止时间与原因分类）。 争议：商户对测量结果有异议的，双方以平台方指标为基准协商；商户自建的从外部拨测的记录可作为参考。 ## 四、服务积分（Service Credits） 月度可用率未达承诺的，商户可申请按下列比例减免当月平台服务费： - 99.0% – 99.89%：减免当月服务费的 10%； - 95.0% – 98.99%：减免当月服务费的 25%； - 低于 95.0%：减免当月服务费的 50%。 > **注意** 服务积分是可用率未达标时的**唯一救济**：以积分代替违约金、代替利润损失赔偿。申请应在事件当月结束后 30 日内提出。积分不可折现、不可抵扣 Gas 与链上成本。 ## 五、除外情形 下列时间不计入不可用分钟数： - 提前 ≥ 48 小时公告的计划内维护（每月合计不超过 4 小时，尽量安排在交易低峰）； - 区块链网络自身故障、拥堵或重组； - 第三方服务（RPC 供应商、法币通道、云服务商）的中断，且平台方已按预案切换备用源； - 商户自身网络、系统或配置问题； - 因合规冻结、制裁筛查或有权机关要求导致的功能限制； - 不可抗力与大规模互联网级攻击（后者以平台方启动应急预案为限）。 ## 六、技术支持响应 - **P0（服务不可用/资金安全）**：1 小时内确认，持续更新直至恢复； - **P1（核心功能受损，有绕行方案）**：4 小时内确认，1 个工作日内给出方案； - **P2（一般问题）**：1 个工作日内确认； - **P3（咨询与建议）**：3 个工作日内答复。 --- *本文档为第 1.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。* # 安全政策与漏洞披露 > 版本 1.0 · 生效日期 2026-11-01 负责任披露的范围、流程、安全港承诺与响应时限。 ## 一、安全承诺 本服务的控制措施清单见《隐私政策》§7（传输加密、密钥哈希、最小权限、审计日志、进程隔离）。 我们同时公开机器可读的安全联系信息：`/.well-known/security.txt`。 ## 二、披露范围 - **在范围内**：本服务的主站、控制台（console）、收银台（pay）、商户 API（api）、接入文档（docs）站点的 Web 漏洞（注入、越权、认证绕过、SSRF、竞态导致的账务不一致等）。 - **不在范围内**：社交工程、钓鱼、对员工的物理攻击、拒绝服务（DoS/DDoS）测试、垃圾邮件、自动化扫描器产生的未验证报告、需要 MITM 物理接入的攻击。 - **账务类**：凡能证明「分录借贷不平衡」「余额与分录之和不符」「幂等键可重放」的复现，按最高优先级处理——账本一致性是本服务的生命线。 ## 三、报告流程 - 发送至 **security@gaapay.com**（PGP 公钥可向该邮箱索取）； - 包含：漏洞类型、受影响 URL/接口、复现步骤、影响评估、（可选）概念验证； - 请勿提交真实资金或真实用户数据的截图；测试请使用沙箱环境（`MODE=sandbox`）。 ## 四、安全港（Safe Harbor） 我们承诺：对**善意**的安全研究，只要在披露过程中遵守本页规则，不会对其提起法律诉讼或执法投诉，并视其为遵守《服务条款》禁止用途条款的例外。 研究者在安全港内的活动应：避免影响服务可用性与真实用户数据；发现可被利用的状态时立即停止并报告；在修复公开前不披露细节。 ## 五、响应时限 - **确认收到**：48 小时内； - **初步定级**：7 日内（CVSS + 可利用性 + 资金影响）； - **修复目标**：Critical 72 小时内缓解、30 日内修复；High 30 日；Medium 90 日；Low 视排期； - **公开披露**：修复上线且受影响方已获得补救后，与报告者协商披露时间线（默认修复后 90 日）。 ## 六、致谢与赏金 对提交有效漏洞的研究者，经其同意后在安全致谢页列名（可匿名）。 对 Critical/High 级别且满足全部披露规则的报告，视资金风险提供赏金，金额按严重程度与影响面确定，具体数额不预先公开以避免数量化诱导。赏金以法币或虚拟资产支付，领取人自行承担税务义务。 重复报告以首个有效报告为准；内部人员与承包商不参与赏金。 --- *本文档为第 1.0 版，自 2026-11-01 起生效。疑问请联系 compliance@gaapay.com。*