本译文仅为方便阅读而提供。英文版本为具有法律约束力的正式文本。 查看英文版本

Home / GDPR 合规

GDPR 合规

作为一家致力于帮助各类组织实现 GDPR 合规的平台，我们以最高的数据保护标准要求自己。本页详细介绍了我们在 GDPR 合规方面的整体方法。

最后更新：2026 年 3 月 21 日 约 10 分钟阅读

1. 我们对 GDPR 的承诺

UnnaData 自成立之初便将隐私作为核心。作为一家 AI 驱动的 GDPR 合规平台，我们深知信任是我们最宝贵的资产。我们全力致力于遵守《通用数据保护条例》（EU）2016/679（“GDPR”），并确保以最谨慎细致和公开透明的方式处理客户的数据。

我们言行一致，以身作则。我们为客户的合规而构建的每一项功能，都会首先应用于我们自身的运营。我们的内部流程旨在达到并超越 GDPR 的各项要求。

欧盟数据驻留

所有数据均仅存储于 AWS eu-west-1（爱尔兰）

静态加密

对所有存储数据采用 AES-256 加密

传输加密

所有网络通信均采用 TLS 1.3

指定的数据保护官

已任命数据保护官

数据处理协议

与所有分包处理者签订 DPA

完整的审计日志记录

针对所有操作的全面审计记录

2. 我们所遵循的 GDPR 原则

UnnaData 的数据处理活动遵循 GDPR 第 5 条所定义的七项核心原则：

原则 我们的落实方式
合法性、公平性、透明性 清晰的隐私政策、明确的同意机制、透明的数据处理实践
目的限制 仅为特定、明确且合法的目的收集数据
数据最小化 我们仅收集提供服务所必需的最少数据
准确性 用户可随时更新其信息；定期开展数据质量审查
存储限制 针对所有数据类别设定明确的保留期限；自动删除政策
完整性 & 保密性 加密、访问控制、安全监控及事件响应
问责制 留存书面政策文件、开展 DPIA 流程、任命数据保护官、定期审计

我们依据 GDPR 第 6(1) 条所定义的以下法律依据处理个人数据：

  • 合同履行（第 6(1)(b) 条）：为按照服务条款约定提供我们的服务所必需的处理，包括账户管理、文档存储及 AI 驱动的合规分析。
  • 合法利益（第 6(1)(f) 条）：安全监控、欺诈预防、服务改进及数据分析。我们会开展利益平衡测试，以确保我们的利益不会凌驾于数据主体的权利之上。
  • 同意（第 6(1)(a) 条）：营销信息、可选的分析类 Cookie，以及任何非必要处理。同意可随时撤回。
  • 法定义务（第 6(1)(c) 条）：税务记录留存、监管报告，以及响应来自主管机关的合法数据访问请求。

4. 数据主体的权利

我们全力支持 GDPR 下数据主体享有的一切权利。您可以随时通过联系我们的数据保护官行使这些权利：

  • 访问权（第 15 条）：请求获取我们所持有的关于您的全部个人数据的完整副本。
  • 更正权（第 16 条）：请求更正任何不准确或不完整的个人数据。
  • 删除权（第 17 条）：在符合法定留存要求的前提下，请求删除您的个人数据。
  • 限制处理权（第 18 条）：在特定情形下，请求限制我们处理您数据的方式。
  • 数据可携权（第 20 条）：以结构化、常用且机器可读的格式获取您的数据。
  • 反对权（第 21 条）：反对基于合法利益进行的处理，或反对用于直接营销目的的处理。
  • 与自动化决策相关的权利（第 22 条）：我们不会仅依据自动化处理作出会产生法律效力的决定。我们的 AI 仅提供建议，供人工审核。

响应时间：我们会在 30 天内回复所有数据主体请求。在复杂情形下，我们可能会在通知您的情况下再延长 60 天。

监管机构：如果您认为自己的权利受到侵犯，您有权向您居住、工作或涉嫌侵权行为发生地所在欧盟成员国的数据保护机构投诉。UnnaData OÜ 设立于爱沙尼亚，其主管监管机构为 Andmekaitse Inspektsioon（爱沙尼亚数据保护监察局）。

5. 技术 & 组织措施

我们采取全面的技术和组织措施，以确保安全水平与风险相适应（GDPR 第 32 条）：

5.1 技术措施

  • 加密：静态数据采用 AES-256，传输中数据采用 TLS 1.3
  • 身份验证：电子邮箱/密码结合 JWT 令牌；短期有效的访问令牌（30 分钟）与较长有效期的刷新令牌（7 天）
  • 访问控制：基于角色的访问控制（RBAC），设有组织管理员、管理员和成员等角色
  • 网络安全：VPC 隔离、安全组、加密的 gRPC 通信
  • 审计日志记录：全面记录所有 API 请求、身份验证事件及数据访问情况
  • 备份 & 恢复：定期加密备份，并配有经过测试的恢复流程

5.2 组织措施

  • 隐私设计原则：从设计阶段起，即将数据保护考量纳入每一项功能
  • 默认隐私原则：默认应用最具限制性的隐私设置
  • 员工培训：为全体团队成员定期开展 GDPR 意识与安全培训
  • 访问策略：在所有内部系统中应用最小权限原则
  • 供应商评估：对所有第三方供应商进行安全与隐私评估
  • 事件响应：制定了明确角色与流程的书面事件响应计划

6. 数据处理

6.1 UnnaData 作为数据控制者

当您创建账户并使用我们的平台时，UnnaData 就您的个人账户数据（姓名、电子邮箱、身份验证信息、使用数据）而言，承担数据控制者的角色。

6.2 UnnaData 作为数据处理者

当您向我们的平台上传合规文档和数据时，UnnaData 将代表您承担数据处理者的角色。在此角色下：

  • 我们仅按照您的指示处理您的数据（具体如我们的服务条款及数据处理协议所定义）
  • 我们采取适当的技术和组织安全措施
  • 除非为提供服务所必需，或如我们的隐私政策所披露，否则我们不会与第三方共享您的数据
  • 我们协助您响应数据主体请求
  • 在我们的协议终止后，我们会删除或返还您的数据

6.3 数据处理协议

我们提供符合 GDPR 第 28 条要求的全面数据处理协议（DPA）。Enterprise 客户可申请定制化的 DPA。详情请联系 legal@unnadata.com。

7. 分包处理者

我们维护一份代表我们处理个人数据的分包处理者的最新名单：

分包处理者 用途 所在地 保障措施
Amazon Web Services（AWS） 云基础设施、托管、存储 欧盟（爱尔兰，eu-west-1） DPA、SOC 2、ISO 27001
Anthropic 用于合规分析的 AI 语言模型（Claude） 美国 DPA、SCCs、零数据保留政策
Stripe 支付处理 美国 / 欧盟 DPA、SCCs、PCI DSS 一级认证

我们将至少提前 30 天将分包处理者名单的任何变更通知客户，以便您有机会提出异议。

8. 国际数据传输

您的数据主要存储和处理于欧盟境内（AWS eu-west-1，爱尔兰）。当数据必须传输至欧洲经济区之外时（例如传输给 Anthropic 用于 AI 处理），我们会确保采取适当的保障措施，包括：

  • 标准合同条款（SCCs）：依据欧盟委员会实施决定（EU）2021/914 批准的欧盟标准合同条款
  • 传输影响评估：我们会对接收国的数据保护法律进行评估
  • 补充措施：包括加密、假名化及访问控制在内的额外技术和组织措施
  • 数据最小化：仅传输 AI 处理所必需的最少数据

9. 数据泄露通知

如发生个人数据泄露事件，我们将依照 GDPR 第 33 条和第 34 条，遵循严格的通知流程：

  • 内部发现：持续的安全监控及自动化告警系统
  • 72 小时监管机构通知：在得知符合通知条件的数据泄露事件后 72 小时内，通知相关监管机构
  • 客户通知：我们会在不无故拖延的情况下通知受影响的客户，并说明泄露事件的详情、可能造成的后果以及已采取的措施
  • 数据主体通知：当泄露事件可能对个人造成高风险时，我们会直接通知受影响的数据主体
  • 记录留存：所有泄露事件均会连同事实、影响及所采取的补救措施一并记录存档

10. 数据保护官

UnnaData 已依据 GDPR 第 37 条任命一名数据保护官（DPO）。我们的数据保护官负责：

  • 监督对 GDPR 及相关数据保护法律的遵循情况
  • 就数据保护影响评估提供建议
  • 担任数据主体与监管机构的联络窗口
  • 对员工进行数据保护义务方面的培训

您可以通过以下方式联系我们的数据保护官：dpo@unnadata.com

11. 数据保护影响评估

依据 GDPR 第 35 条的要求，我们会针对可能对数据主体造成高风险的处理活动开展数据保护影响评估（DPIA）。这类活动包括：

  • AI 驱动的文档分析及对话功能
  • 对合规文档进行的大规模处理
  • 涉及个人数据的新功能开发
  • 分包处理者或数据传输机制的变更

DPIA 会定期接受审查和更新，我们的数据保护官会全程参与咨询。

12. 联系我们

如对我们的 GDPR 合规情况有任何疑问，或希望行使您的数据保护权利，请联系：

有关我们如何处理您个人数据的更多详情，请参阅我们的隐私政策及Cookie 政策。