隐私政策

1. 引言

UnnaData（以下称“我们”）致力于保护和尊重您的隐私。本隐私政策说明了当您使用我们的 AI 驱动 GDPR 合规平台、网站及相关服务（统称“服务”）时，我们如何收集、使用和共享有关您的信息。

访问或使用我们的服务，即表示您确认已阅读并理解本隐私政策。如果您不同意我们的做法，请不要使用我们的服务。

2. 数据控制者

通过我们的服务处理的个人数据的数据控制者为：

UnnaData OÜ
注册编号 16650295
Tartu mnt 67/1-13b, 10115 Tallinn, Estonia
电子邮箱：privacy@unnadata.com
数据保护官：dpo@unnadata.com

3. 我们收集的数据

3.1 您提供的信息

• 账户信息：注册时提供的姓名、电子邮箱地址和组织详情。
• 组织信息：您在设置过程中提供的组织名称、地址、所属行业及其他组织详情。
• 文档：您为合规管理目的上传至平台的文件，包括隐私政策、合同和评估报告。
• 对话内容：您通过我们的 AI 对话功能发送的消息和查询。
• 沟通记录：您在联系我们支持团队时提供的信息。

3.2 自动收集的信息

• 使用数据：有关您如何与我们的服务互动的信息，包括所使用的功能、访问的页面及执行的操作。
• 设备信息：浏览器类型、操作系统、设备标识符及屏幕分辨率。
• 日志数据：IP 地址、访问时间戳、API 请求日志及错误信息。
• AI 使用指标：令牌（token）使用量、模型交互情况及响应质量指标（不含内容本身）。

3.3 来自第三方的信息

• 支付处理机构：Stripe 向我们提供交易详情（我们不会存储完整的银行卡号）。

4. 我们如何使用您的数据

我们出于以下目的处理您的个人数据：

目的	说明
服务提供	提供、维护并改进我们的合规平台及 AI 功能。
身份验证	验证您的身份并管理对您账户的访问权限。
AI 处理	根据您上传的文档和查询提供具有上下文关联的 AI 响应。
账单	处理付款、管理订阅并开具发票。
沟通	发送与服务相关的通知、更新及支持回复。
安全	检测、预防并处理欺诈、滥用及安全问题。
数据分析	了解使用模式并改进我们的服务（仅使用汇总数据）。

5. 处理的法律依据

根据 GDPR，我们基于以下法律依据处理您的个人数据：

• 合同履行（第 6(1)(b) 条）：为按照服务条款约定提供我们的服务所必需的处理。
• 合法利益（第 6(1)(f) 条）：用于安全保障、欺诈预防、服务改进及数据分析，前提是我们的利益不会凌驾于您的权利之上。
• 同意（第 6(1)(a) 条）：在您已明确同意的情形下，例如接收营销信息或使用可选 Cookie。
• 法定义务（第 6(1)(c) 条）：在我们须处理数据以遵守法律要求的情形下（例如税务记录、监管机构的要求）。

6. 数据共享 & 处理者

我们不会出售您的个人数据。我们仅与以下类别的接收方共享数据：

• 云基础设施：Amazon Web Services（AWS）-- 欧盟区域（eu-west-1，爱尔兰），用于托管和存储。
• AI 提供商：Anthropic -- 用于 AI 驱动的合规分析。数据依据数据处理协议进行处理，不会用于模型训练。
• 支付处理机构：Stripe -- 用于订阅账单及支付处理。

所有分包处理者均受数据处理协议（DPA）约束，该协议要求其依据 GDPR 保护您的数据。

7. 数据保留

我们仅在实现数据收集目的所必需的期限内保留您的个人数据：

• 账户数据：在您的账户处于活跃状态期间保留，账户删除后再保留 30 天以便恢复。
• 文档：在您的账户处于活跃状态期间保留，账户删除后 30 天内将被永久删除。
• 对话记录：在您的账户处于活跃状态期间保留。您可以随时删除单个会话。
• 审计日志：出于安全与合规目的，保留 2 年。
• 账单记录：依据税务及财务法规要求，保留 7 年。

8. 您在 GDPR 下享有的权利

作为数据主体，您在 GDPR 下享有以下权利：

• 访问权（第 15 条）：请求获取您个人数据的副本。
• 更正权（第 16 条）：请求更正不准确的数据。
• 删除权（第 17 条）：请求删除您的数据（“被遗忘权”）。
• 限制处理权（第 18 条）：请求限制我们处理您数据的方式。
• 数据可携权（第 20 条）：以机器可读的格式获取您的数据。
• 反对权（第 21 条）：反对基于合法利益进行的处理。
• 撤回同意权（第 7(3) 条）：在处理基于同意进行的情形下，随时撤回同意。

如需行使上述任何权利，请通过 privacy@unnadata.com 与我们联系。我们将依据 GDPR 的要求在 30 天内回复。

如果您认为您的权利受到侵犯，您还有权向当地监管机构投诉。

9. 国际数据传输

您的数据仅在欧盟境内存储和处理（AWS eu-west-1，爱尔兰）。除非符合以下情形，我们不会将个人数据传输至欧洲经济区（EEA）之外：

• 接收国已获得欧盟委员会的充分性认定决定。
• 已采取适当的保障措施（例如标准合同条款）。
• 适用 GDPR 第 49 条规定的例外情形。

对于通过 Anthropic 进行的 AI 处理，数据可能依据标准合同条款（SCCs）及补充措施在美国进行处理，以确保达到充分的保护水平。

10. 安全措施

我们采取适当的技术和组织措施来保护您的个人数据，包括：

• 对静态数据采用 AES-256 加密
• 对传输中的数据采用 TLS 1.3 加密
• 基于 JWT 的身份验证，采用短期有效的访问令牌
• 基于角色的访问控制
• 全面的审计日志记录
• 定期安全评估
• 事件响应流程

11. Cookie

我们仅使用维持服务运行所必需的最少量 Cookie。有关我们所使用 Cookie 的详细信息，请参阅我们的Cookie 政策。

12. 本政策的变更

我们可能会不时更新本隐私政策。如有任何重大变更，我们将通过在网站上发布更新后的政策，并在适当情况下向您发送通知的方式告知您。本页顶部的“最后更新”日期表示政策最近一次修订的时间。

13. 联系我们

如果您对本隐私政策或我们的数据处理方式有任何疑问，请通过以下方式联系我们：

• 一般隐私咨询：privacy@unnadata.com
• 数据保护官：dpo@unnadata.com
• 数据主体请求：privacy@unnadata.com