一、概述

1.1 适用范围

《ConnectNow（欧盟版）GDPR合规遵从性说明》（以下简称“说明”）适用于Connectnow AI Technology Co.,Limited（以下或简称“我们”）向欧盟成员国用户或客户（以下简称“您”）提供的ConnectNow产品及其服务。本说明旨在阐明ConnectNow产品为遵循《欧盟通用数据保护条例》（General Data Protection Regulation，以下简称“GDPR”）采取了哪些合规措施。

1.2 基本定义

a.<b>个人数据，</b>指与已识别或可识别的自然人（数据主体）相关的任何数据；可识别的自然人是指尤其通过姓名、身份证号、定位数据、网络标识符等标识符，或通过特定的身体、心理、基因、精神状态、经济、文化、社会等方面个人属性能够被直接或间接识别的自然人。

b.<b>数据主体的同意，</b>指数据主体依据其个人意愿，自由、明确、知情并清楚地通过陈述或积极行为表示对其个人数据进行处理的同意。

c.<b>数据控制者，</b>指单独或与他人共同决定个人数据处理的目的和方式的自然人、法人、公共权力机关、代理机构或其他机构。

d.<b>数据处理者，</b>指代表数据控制者处理个人数据的自然人、法人、公共权力机关、代理机构或其他机构。

e.<b>数据处理，</b>指对个人数据进行的任何操作或者一系列操作，无论其是否通过自动化手段进行，如数据收集、记录、组织、建构、存储、改编或修改，恢复、查询、使用、通过传播、分发方式进行披露或者其他使个人数据可被他人获得、排列或组合、限制、清除或销毁的操作。

二、GDPR的数据保护要求概述

2.1 GDPR简介

GDPR是全球最严格的隐私与数据保护法律之一，要求任何处理欧盟境内个人数据的组织，无论其所在地，均须遵守。自2018年5月25日生效以来，GDPR对全球数据保护实践产生了深远影响。

2.2 GDPR基本原则与核心要求

2.2.1. 基本保护原则

a.<b>合法性、合理性和透明性原则：</b>对涉及到数据主体的个人数据，应当以合法的、合理的和透明的方式来进行处理。

b.<b>目的限制原则：</b>个人数据的收集应当遵循具体的、清晰的和正当的目的。

c.<b>数据最小化原则：</b>充分、相关且仅限于与处理目的相关的必要信息。

d.<b>准确性原则：</b>个人数据应准确并及时更新；应采取措施，确保不准确的数据被及时删除或更正。

e.<b>限期储存原则：</b>对于能够识别数据主体的个人数据，其保存方式应当不长于为了实现个人数据处理目的所必要的期限。

f.<b>完整性与保密原则：</b>个人数据的处理应当通过合理的技术或组织手段，保障个人数据的安全。

g.<b>可问责性原则：</b>数据控制者有责任遵守上述原则，并且有责任对此提供证明。

2.2.2. 数据安全

GDPR要求数据控制者及数据处理者采取“适当的技术和组织措施”来安全地处理数据。

2.2.3. 获取数据主体的同意

GDPR 对于同意做出了严格限定，例如：

a.同意必须是“自由给出的、具体的、知情的和明确的”；

b.同意请求必须“与其他事项清楚地区分开来”，并以“清晰、简单的语言”提出；

c.数据主体可以撤回同意，此时应通知数据主体撤回同意可能引发的后果，并且必须尊重他们的决定；

d.需要保留同意的书面证据。

2.2.4. 数据处理记录(RoPA)

GDPR要求所有控制者及其代表（如适用）与数据处理者应保留其职责范围内的处理活动记录。

2.2.5. 保护数据主体权利

GDPR的目标之一是赋予数据主体以权利并让他们控制自己的个人数据。其中关于数据主体的权利，包括访问权、纠正权、删除权、限制处理权、数据可移植权、反对权和权利不受仅基于自动化处理的决定的影响。

2.2.6. 数据保护影响评估(DPIA)

如果数据处理（尤其是采用新技术时）可能对个人权益构成高风险，数据控制者应在处理前评估其对数据保护的影响，并考虑处理的性质、范围、背景和目的。

2.2.7. 任命数据保护官(DPO)

GDPR建议企业任命一名数据保护官，以适当且及时地参与个人数据保护相关的所有问题。

2.2.8. 数据处理协议(DPA)

数据控制者和数据处理者须签订处理个人数据的协议或合同。

2.2.9. 数据泄露报告

在个人数据泄露的情形中，数据处理者在发现数据泄露后，应当尽快通知数据控制者；数据控制者应当在数据泄露发生后72小时内通知网络安全部门。对于不能在72小时以内告知监管机构的情形，应当提供延迟告知的原因。

2.2.10. 数据跨境传输

若正在处理或准备在转移到第三国或国际组织后进行处理的个人数据的转移，只有在控制者和处理者遵守GDPR第五章的相关规定的情况下，才应进行。

三、我们的数据角色

在此服务过程之中，ConnectNow产品或服务可能涉及您的两类数据，一类为在您注册、登录使用ConnectNow时，您的注册、登录信息及后续使用数据（以上合称“ConnectNow产品使用数据”），另一类为您通过ConnectNow及相关服务所收集、保存、上传、下载、分发、加工、使用以及通过其他方式处理的数据（如消费者个人信息、联系方式等，以上合称“业务数据”）。

根据我们提供的服务形式不同，对于上述两类数据的处理方式会有所差异，我们的数据角色也存在差异，GDPR下的数据角色涉及数据控制者、数据处理者。此外，单纯的技术服务提供者不涉及处理数据。

我们主要通过以下两种方式为您提供ConnectNow服务：公有云方式和私有化部署方式。

（1）当您以公有云方式使用ConnectNow产品或服务时：

a.对于您的ConnectNow产品使用数据，我们是数据控制者，关于我们如何处理您的ConnectNow产品使用数据，请参见《ConnectNow隐私政策》

b.对于您的业务数据，我们是数据处理者，我们郑重承诺未经授权不接触上述业务数据。具体而言，ConnectNow产品采用 SaaS 部署方式，即您系统服务端多节点分布式部署，我们无权接触您的业务数据，仅出于服务目的对服务资源进行托管。您应确保，您在处理此类个人信息前，已根据适用的法律采取相应合规措施，如已通过隐私政策等方式告知数据主体该等数据处理的方式与目的。

（2）当您以私有化部署方式使用ConnectNow产品时：

我们仅为技术服务提供商，不涉及处理您的任何数据。您应确保，您在处理此类相关数据之前，已根据适用的法律采取相应合规措施，如已通过隐私政策等方式告知数据主体该等数据处理的方式与目的。

四、ConnectNow如何遵循GDPR要求

五、总结

我们致力于为您提供可靠、安全和符合法律法规要求的产品与服务，切实地保障您及全体用户的数据的可用性、机密性和完整性。我们承诺以数据保护为核心，以技术能力为基石，打造业界领先的竞争力，构建完善的数据安全保障体系，并始终如一地将信息安全保障作为我们的重要发展战略之一。

为实现各地区开展的业务符合当地隐私保护法规的要求，我们将持续跟踪相关法律法规的更新，并将法规的新要求转换为我们内部的规定，优化内部流程，以保证我们开展的各类活动满足法律法规的要求。我们将根据更新的法律法规要求不断发展和持续推出隐私保护相关的服务和方案，帮助您满足隐私保护法律法规的新要求。

遵循GDPR与相关数据保护法律法规的要求是一项长期和多方位的任务，我们愿意在未来持续提升能力，满足相关法律法规的要求，为您提供安全、可信的产品或服务。

本文仅供参考，不具备法律效应或构成法律建议。请您酌情评估自身情况，并确保在使用ConnectNow时对GDPR的遵从性。

六、版本与记录