我们的隐私政策

前言

CALEBASSE 公司是一家简易股份有限公司，注册资本为 10,000 欧元，其总部位于 15 rue de la Vistule 75013 Paris，在巴黎商业及公司登记处（RCS）注册，编号为 41522831100015。

本着自身的价值观，CALEBASSE 高度重视对客户和网络用户个人数据的保护与尊重。

因此，CALEBASSE 承诺遵守法国和欧洲的现行法律（2016年4月27日的第 2016/679 号条例），确保个人数据的保护、机密性与安全性，并确保对隐私的尊重。

本个人数据保护政策（以下简称“本政策”）描述了 CALEBASSE 如何收集和处理其所实施的数据处理活动中涉及的所有相关人员的个人数据。

本政策还明确了处理个人数据所依据的法律基础、数据的共享对象以及数据的保存期限。

在任何情况下，无论进行何种数据处理，CALEBASSE 均承诺遵守以下原则：

所处理的数据仅用于与 CALEBASSE 提供的各项服务相关的明确、合法且特定的目的。数据的处理采用合法且公正的方式；
仅收集对实现这些目的有用的数据；
向每一位涉及数据处理的相关人员进行清晰、透明的通知，告知其数据的使用目的、表单中其回答的选填或必填性质，以及其在数据保护方面的权利。

第 1 条 - 定义

“个人数据”：指与已识别或可直接识别（例如通过其姓名）或间接识别（特别是通过引用标识符、位置数据、先前的创作或与其身体、生理、遗传、心理、经济、文化或社会身份相对应的特定要素）的自然人相关的任何信息；

“健康数据”：指与个人的身体或心理健康状态相关的任何信息，特别是相关人员向 CALEBASSE 传送的治疗师处方中所提及的数据；

“处理”：指对个人数据或个人数据组进行任何操作或一组操作，例如收集、记录、组织、结构化、保存、适应或修改、提取、查阅、使用、通过传输进行沟通、传播或以任何其他方式提供、比对或互联、限制、删除或销毁；

“相关人员”：指根据本政策，其个人数据由 CALEBASSE 处理的任何已识别或可识别的自然人；

“数据处理方”：指单独或与他人共同决定个人数据处理目的和方式的任何自然人或法人。即 CALEBASSE 公司；

“分包商”：指代表数据处理方处理个人数据的任何自然人或法人；

“网站”：指通过以下 URL 地址访问并由 CALEBASSE 出版的网站：https://calebasse.com/ ；

“Cookie”：指允许访问存储在网站访问者终端设备中信息的追踪器；

“接收方”：指接收个人数据沟通的任何自然人或法人，无论其是否为第三方；

“第三方”：指除相关人员、数据处理方、分包商以及在数据处理方或分包商直接授权下获准处理个人数据的人员之外的任何经授权的自然人或法人、公共当局、部门或机构。

“个人数据泄露”：指导致传输、保存或以其他方式处理的个人数据遭到意外或非法销毁、丢失、篡改、未经授权披露或未经授权访问的任何泄露行为。

第 2 条 – 可能被处理的数据来源和类别

2.1. 当相关人员浏览和使用网站的功能或在网站上创建个人账户时，可能会收集以下信息：

通过网站上现有的收集表单获取的身份识别数据以及联系方式（电子邮箱地址）；
在浏览网站期间，通过 Cookie 和追踪器获取的连接和受众测量数据；
相关人员连接网站时与其终端设备相关的数据。这些数据特别可以包括相关人员用于浏览和使用网站的设备应用程序、浏览器版本（或类型）、所使用的插件以及操作系统。

2.2. 当相关人员与 CALEBASSE 联系以订购网站上销售的产品时，可能会收集以下个人数据：

身份识别数据（姓名、民事身份等）；
联系方式（电子邮箱地址、邮寄地址、电话号码等）；
银行与财务数据（银行账户信息、账单地址）；
与订单跟进相关的数据（订单号、订购的产品、优惠码、订单记录、申诉请求等）

2.3. 当相关人员与 CALEBASSE 联系以索取报价或咨询信息时：

身份识别数据（姓名、民事身份等）；
联系方式（电子邮箱地址、邮寄地址、电话号码等）；
健康数据，若相关人员在下单或获取报价时，自发向 CALEBASSE 传送了关于其健康状态的信息或源自治疗师的各种处方。

应当理解的是，CALEBASSE 从不主动要求传送健康数据以回应相关人员的各种请求。

第 3 条 – 处理的法律基础

根据现行法规及其价值观，CALEBASSE 仅在以下条件下收集和处理个人数据：

当相关人员就其数据的处理给出自由、明确且知情的同意时；
当这对于履行合同或在商业关系框架内属于必需时；
当这对于遵守法律或法规义务属于必需时，例如在薪酬管理、打击欺诈和打击腐败领域；
当 CALEBASSE 的合法利益证实处理相关人员的个人数据具有合理性时。

第 4 条 – 处理的目的

向相关人员收集并由 CALEBASSE 处理的个人数据均出于特定、明确且合法的目的，并可能根据收集的背景而有所不同，即出于以下目的：

提供并改进网站上的现有内容；
在网站上创建个人账户；
制作统计数据，特别是与网站访问量相关的统计；
制定和管理沟通与推销活动，无论采用何种媒介方式；
管理通过网站或电子邮件发来的信息咨询或报价请求；
跟进并管理向 CALEBASSE 提交的订单以及跟进合同关系。

根据具体情况，CALEBASSE 还可能需要将相关人员的个人数据用于现行法规所强加的目的。

在任何情况下，数据均直接向涉及数据处理的相关人员收集。

在提交订单时，某些数据是必填的，特别是为了允许执行合同以及交付不同的产品。

若未能提供这些数据，应当理解的是，CALEBASSE 将无法执行合同或回应相关人员的请求。

第 5 条 – 数据保存期限

CALEBASSE 仅在实现数据处理目的所严格必需的期限内保存个人数据。

只有在获得相关人员明示授权的情况下，其数据才可能保存更长的期限。

个人数据的保存期限根据其收集和处理的目的而有所不同：

处理目的	收集的数据	法律基础	保存期限
分析用户与网站的互动 – 制作统计数据	IP地址、访问的页面、连接数据	同意	由使用 Cookie 产生的相关人员身份识别数据最多保存 12 个月。
制定和管理沟通与推销活动，无论采用何种媒介方式	身份识别数据和联系方式	同意	自与相关人员/潜在客户最后一次联系起最多 3 年。
通过表单和/或电子邮件管理潜在客户和/或报价请求	身份识别数据、联系方式以及潜在的健康数据。	合同前措施	自与相关人员/潜在客户最后一次联系起最多 3 年。
管理合同及与 CALEBASSE 的关系	身份识别、联系和银行信息，以及潜在的健康数据。	合同	与合同期限相关的期限（若结成了合同关系），以及在适用的诉讼时效期限内。
保存会计数据	银行信息	法律义务	自会计年度结账之日起十（10）年。

第 6 条 – 数据接收方

只有在其任务框架内需要知悉个人数据的人员才能访问这些数据。他们包括：

CALEBASSE 的合作伙伴和分包商，其中特别包括信息化、会计和财务合作伙伴；
CALEBASSE 经授权的员工；
行政和司法当局，以满足法律和法规义务。

第 7 条 – 向欧盟以外转移数据

原则上，CALEBASSE 公司不向欧盟以外进行任何数据转移。

如果个人数据的处理涉及向欧盟以外转移，相关人员将获得通知，并且这些转移将在提供关于数据机密性和安全性的适当担保的前提下进行，符合适用法规，且不涉及相关人员的健康数据。

第 8 条 – 相关人员的权利

根据现行法规，相关人员对其个人数据享有反对权和限制处理权，以及访问权、更正权、可携权、删除权，并有权对其去世后的数据去向做出明确指示。

当处理基于同意时，相关人员可随时撤回其同意。

在任何情况下，相关人员均可通过发送请求至以下电子邮箱地址来行使其权利：contact@calebasse.fr，或通过邮寄信件至以下地址：CALEBASSE – 15 rue de la Vistule 75013 Paris。

CALEBASSE 承诺尽快答复任何请求，且在任何情况下，均在收到完整请求后的一（1）个月内予以答复。

根据法规，考虑到向 CALEBASSE 提出的权利行使请求的复杂性和数量，答复期限仍可延长两（2）个月。

为了消除关于行使权利人员身份的任何疑问，可能会要求其在请求中附上其身份证件的复印件。

应当理解的是，CALEBASSE 仅在对相关人员的身份存在合理怀疑且没有其他可能进行核实的情况下，才会要求提交身份证件复印件。

知情权

CALEBASSE 承诺将相关人员个人数据的收集和使用情况告知对方，并承诺就个人数据收集和处理的条件与方式提供简明、透明且易于获取的信息。

访问权

相关人员享有访问权，允许其获取有关处理活动的存在及其方式的信息。
其亦有权通过按照上文定义的联系方式向 CALEBASSE 提出请求，以获取个人数据的副本。

更正权

相关人员还可以请求 CALEBASSE 对其个人数据进行更正，特别是当这些数据不再是最新的。该更正亦可通过相关人员通过网站访问其个人账户来完成。

反对权

相关人员有权因与其特定情况相关的理由，随时反对对其个人数据进行处理。
反对权受到 CALEBASSE 处理个人数据的合法利益的限制。

在任何情况下，相关人员有权不受完全基于自动处理（包括画像）做出的决定的约束，该决定对其产生法律效果或以类似方式对其产生显著影响。

数据删除权（或“被遗忘权”）

在符合现行法规（特别是关于为遵守法律义务而必需的保存等例外情况）的前提下，相关人员可在以下情况下要求删除与其相关的个人数据：

就收集或以其他方式处理个人数据的目的而言，这些数据已不再需要；
其撤回了处理所依据的同意，且处理没有其他法律基础；
其认为对其个人数据的处理构成了非法处理；
根据数据处理方所受制的欧盟法律或成员国（即法国）法律规定的法律义务，必须删除个人数据。

在任何情况下，CALEBASSE 将对请求的合理性做出唯一决定。

在适用立法有所规定的情况下，Calebasse 可能会在必要时以合法利益或迫切理由拒绝该请求。

限制处理权

当以下情况之一适用时，相关人员可向 CALEBASSE 获得对处理的限制：

当个人数据的准确性遭到质疑时，限制期限允许 CALEBASSE 核实个人数据的准确性；
当相关人员反对删除其数据并要求以此代替限制处理时；
当就收集目的而言数据已不再需要，但相关人员因司法权利的确认、行使或抗辩而需要这些数据时；
当相关人员反对基于 CALEBASSE 合法利益的处理时，在核实 CALEBASSE 所追求的合法理由是否优先于相关人员的理由期间。

数据可携权

在特定情况下，相关人员能够以结构化、常用且机器可读的格式获取此前提供给 CALEBASSE 的个人数据。

其亦可将这些数据传送给另一个数据处理方，或在技术可行的情况下，要求由 CALEBASSE 将与其相关的个人数据直接传送给另一个数据处理方。

撤回同意的权利

当数据基于同意进行处理时，相关人员可以利用 CALEBASSE 实施的方式随时撤回其同意。

相关人员行使的同意撤回仅对未来有效，因此不能质疑撤回前所进行处理的合法性。

向监管机构提起申诉的权利

如果相关人员认为其权利未得到尊重，其有权向监管机构提起申诉，例如法国的国家国家信息化与自由委员会（CNIL）。

决定您去世后数据去向的权利

相关人员亦有权通过通过采用通用或特定指令来安排其去世后的数据去向。

为了更好地了解其权利，CALEBASSE 建议相关人员查阅 CNIL 的网站，访问以下 URL 地址：www.cnil.fr/fr/comprendre-vos-droits

第 9 条 – 第三方网站

如果相关人员使用网站上的链接以查阅第三方网站，CALEBASSE 建议其了解其查阅网站的数据保护政策以及它们与 Cookie 和追踪器相关的政策。

对于第三方网站进行的个人数据的收集或处理，CALEBASSE 不承担任何责任。

第 10 条 – 安全性

考虑到数据收集和处理的性质、范围和背景，CALEBASSE 实施一切必要的技术和组织措施，以确保相关人员个人数据的安全性，特别是避免与其相关的个人数据发生任何丢失、毁灭、披露、入侵或未经授权访问的风险。

为此，为了完美保障与相关人员相关的数据安全，CALEBASSE 选择了其分包商，特别是其通过 ISO 27001 认证的托管商。

当求助于服务商或分包商时，CALEBASSE 只有在要求其遵守这些安全原则后才会向其沟通个人数据。

第 11 条 – 政策的修改

CALEBASSE 保留对本政策做出任何更改和修正的权利，并将通过在网站上插入横幅等方式，将所做的任何修改通知相关人员。

在本政策发生轻微修改的情况下，CALEBASSE 将通过网站首页上的文本消息通知相关人员。

在所做的修改属于实质性的情形下，相关人员将收到一封电子邮件以此告知，并获取其知情的同意。

在任何情况下，请相关人员定期查阅本隐私政策，以便全面获悉 CALEBASSE 如何处理其个人数据。