1. 数据控制者与联系方式
- 数据控制者身份：www.goma.vip 运营主体（以下简称 “我们”），注册地址及法定信息可通过网站 “关于我们” 板块查询。
- 数据保护负责人：BECK，联系方式：gomavip@126.com
- 监管沟通：欧盟用户可向所属成员国数据保护机构（如法国 CNIL、德国 BfDI）提交投诉，相关机构联系方式可通过欧盟数据保护委员会（EDPB）官网查询。
2. 政策适用范围
本政策适用于我们在提供网站服务过程中，收集、存储、使用、传输、共享欧盟经济区（EEA）内自然人（以下简称 “用户”）个人数据的所有活动。无论数据处理行为发生于欧盟境内外，只要涉及 EEA 用户数据或向 EEA 用户提供商品 / 服务，均受本政策及 GDPR 约束。
3. 个人数据的收集与处理
3.1 收集的个人数据类型
数据类别 | 具体内容 | 收集场景 |
身份数据 | 姓名、电子邮箱、电话号码、地址等 | 用户注册、服务预约、订单提交 |
交互数据 | 服务使用记录、咨询内容、反馈信息 | 客服沟通、功能使用、评价提交 |
技术数据 | IP 地址、浏览器类型、设备信息、Cookie 数据 | 网站访问、页面浏览、功能适配 |
交易数据 | 支付信息、订单详情、物流信息 | 商品购买、服务付费、订单履约 |
3.2 数据处理的法律依据
我们基于以下合法基础处理个人数据：
- 用户同意：如 Cookie 使用、营销信息推送等，用户可随时撤回同意且操作与授权同等便捷。
- 合同履行：为完成订单交付、服务提供等合同义务所需，如收集地址用于商品配送。
- 法定义务：响应司法机关调查、履行税务申报等法定要求。
- 合法利益：在不损害用户权利的前提下，如通过访问数据优化网站性能、保障服务安全。
- 核心利益保护：针对紧急情况保护用户或他人生命健康等核心权益。
3.3 数据处理原则
严格遵循 GDPR 七项核心原则：
- 合法公平透明：所有处理活动均有合法依据，通过本政策清晰告知用户处理详情。
- 目的限制：仅为明确目的处理数据，如订单数据不得用于未经授权的营销。
- 数据最小化：仅收集实现目的必需的数据，不额外获取宗教信仰、健康状况等无关信息。
- 准确性：建立数据更新机制，确保用户数据及时准确。
- 存储限制：按以下期限保留数据，到期立即删除或匿名化：
- 交易数据：保留至订单完成后 1 年（符合税务备案要求）；
- 服务数据：保留至服务终止后 6 个月；
- 营销数据：用户撤回同意或明确拒绝后立即删除。
- 完整性与保密性：采取加密存储、访问授权、操作日志等技术与组织措施。
- 问责原则：留存完整的数据处理记录，可随时证明合规性以供监管检查。
4. 数据主体的核心权利
EEA 用户享有以下数据权利，我们将在收到请求后 1 个月内响应（复杂情况可延长 2 个月但需提前告知）：
- 知情权：有权了解数据处理的目的、类型、法律依据及共享对象等信息（本政策已充分披露）。
- 访问权：可请求获取我们持有的其个人数据副本，格式便于保存与使用。
- 更正权：发现数据不准确或不完整时，可通过账户中心自行更正或联系我们协助更正。
- 删除权（被遗忘权）：满足以下情形可请求删除数据：
- 数据已无原定处理必要；
- 用户撤回同意且无其他处理依据；
- 反对数据处理且无优先合法利益；
- 数据处理违反 GDPR 规定。
- 限制处理权：对数据准确性有异议时，可请求暂停处理直至核实完毕。
- 反对权：可随时反对基于合法利益的营销、用户画像等处理活动。
- 数据可携权：可请求以 CSV、JSON 等结构化格式导出个人数据，便于转移至其他服务提供商。
- 自动化决策反对权：反对基于自动化处理作出的具有法律影响的决策，要求人工复核。
权利行使方式：发送邮件至 gomavip@126.com，注明 “数据权利请求” 及具体需求，我们可能要求提供身份验证以保障数据安全。
5. 数据安全与泄露应对
5.1 安全保障措施
- 技术层面：采用 SSL 加密传输、数据库加密存储、定期漏洞扫描等措施；
- 管理层面：建立员工访问权限分级制度，定期开展数据保护培训；
- 应急层面：制定数据安全事件响应预案，定期组织演练。
5.2 数据泄露通知
若发生数据泄露可能危害用户权利，将在发现后 72 小时内完成以下动作：
- 通知欧盟数据保护监管机构；
- 向受影响用户发送邮件通知，说明泄露内容、影响及补救措施。
6. 第三方数据处理与国际传输
6.1 第三方合作范围
仅与以下经严格筛选的第三方共享数据，且均签订数据处理协议（DPA）：
- 支付服务商：如 PayPal 等，仅共享必要交易数据用于支付处理；
- 物流服务商：如 DHL 等，仅提供配送所需的地址与联系方式；
- 云服务提供商：如 AWS（欧盟区域节点），用于数据存储与网站运维。
6.2 国际数据传输合规
若需向欧盟境外传输数据，采取以下保障措施：
- 优先传输至欧盟 “充分性认定” 国家（如日本、瑞士）；
- 对非认定国家，签订欧盟标准合同条款（SCCs），辅以加密传输等补充措施；
- 禁止向未采取适当保障的地区传输任何个人数据。
7. 儿童数据保护
针对向 16 岁以下儿童提供服务的场景，需取得其监护人明确同意方可收集数据。监护人可随时请求查看、删除儿童数据或撤回同意，我们将优先响应此类请求。
8. 违规责任与争议解决
8.1 违规处罚
若违反 GDPR 规定，可能面临欧盟监管机构的处罚，最高可达全球年营业额 4% 或 2000 万欧元（取较高者）。
8.2 争议解决
用户对数据处理有异议可先联系我们协商解决；协商未果的，可向所属成员国数据保护机构提起投诉，或通过欧盟小额争议解决平台主张权利。
9. 政策更新与咨询
- 本政策更新后，将通过网站首页公告及用户注册邮箱通知，更新内容自通知发出后 15 日生效。
- 如对本政策有疑问，可发送邮件至 gomavip@126.com，我们将在 3 个工作日内回复。