数据处理 与 GDPR。

视合作情形不同，HublinkTech 以下列两种角色之一行事：

• 控制者——用于我们自身的网站、市场推广、销售与签约活动。我们决定处理网站访客、潜在客户、客户及团队成员个人数据的目的与方式。
• 处理者——用于我们代表客户运营的平台、应用与系统。客户是控制者，由其决定个人数据处理的目的与方式。我们按客户在合作合同或单独数据处理附录中记载的指示处理数据。

视服务不同，我们处理的个人数据可能包括：

• 联系信息（姓名、邮箱、电话、公司、职务）；
• 账户与认证数据（登录标识、经哈希处理的密码、会话令牌）；
• 客户或其用户提交至托管平台的业务内容数据；
• 沟通数据（消息、附件、支持工单）；
• 使用与技术数据（IP 地址、设备与浏览器标识、页面浏览、事件日志、性能指标）；
• 适用情况下的账单与交易数据（由我们的支付服务商收集）。

我们不主动收集特殊类别数据（健康、生物识别、政治观点等），并要求客户不要将此类数据提交至我们运营的系统，除非合同明确作出相应约定。

作为控制者，我们的合法依据包括：

• 合同——用于提供您所要求的服务并履行我们的义务；
• 同意——用于可选 Cookie、营销邮件及类似的需选择开启的功能；
• 合法利益——用于运营、保护和改进我们的网站与服务、防范滥用，并以有分寸的方式发展业务；
• 法定义务——用于遵守税务、会计及其他适用法律。

作为处理者，我们按客户的指示并在合作范围内处理数据。该处理的合法依据属于客户而非我们，并由客户负责确立。

我们依靠少量值得信赖的服务提供商来交付服务。次级处理者的类别通常包括：

• 云托管与 CDN： 托管我们平台与您网站所依赖基础设施的服务商。
• 数据库与存储： 存放应用数据与备份的托管数据库与对象存储服务。
• 邮件投递： 发送注册、通知与账户消息的事务性邮件服务。
• 分析与产品遥测： 帮助我们了解使用情况并改进服务、且尊重隐私的分析工具。
• 支付处理： 处理银行卡与电汇付款、且符合 PCI-DSS 的支付服务商。
• 客户支持与 CRM： 用于管理支持工单、商务方案与客户关系的工具。

每一家次级处理者均通过合同承担保密义务，并须采取与本声明相符的安全措施。我们会定期审查您的合作中所使用的次级处理者名单。当前名单可应书面请求提供，也可能已包含在您的数据处理附录中。

在适用法律允许的范围内，个人数据被我们持有的个人有权：

• 访问我们所持有的关于其本人的个人数据；
• 更正不准确或不完整的信息；
• 删除个人数据，前提是不存在优先于此的保留法律依据；
• 限制在争议处理期间限制特定处理活动；
• 获取其数据，以可携带的格式；
• 反对基于合法利益的处理活动，包括用户画像；
• 撤回同意，在处理以同意为依据时可随时行使。

当 HublinkTech 是您数据的 控制者时，请通过以下方式联系我们： [email protected] ，并附上对您请求的简要说明。在采取行动前，我们可能需要核实您的身份。我们将在一个月内回复；对于复杂请求，可能再延长两个月。

当 HublinkTech 代表我们的某位客户处理您的数据时（此时我们是 处理者），请直接联系该客户——他们是控制者，也是处理您请求的适当一方。若您不确定谁是控制者，请写信给我们，我们会协助转达该请求。

您也有权向您当地的数据保护监管机构提出投诉。

我们采取合理的技术与组织措施保护个人数据，包括：

• 对传输中的数据采用传输加密（HTTPS/TLS）；
• 在服务商支持的情况下，对托管数据库与存储中的静态数据加密；
• 面向团队的基于角色的访问控制与最小权限原则；
• 生产、预发布与开发环境相互隔离；
• 对应用与基础设施进行常规补丁更新；
• 应用与网络层日志记录，用于问责与事件调查；
• 对访问权限、配置与安全实践进行内部审查。

但没有任何系统是绝对安全的，我们无法保证经由互联网传输的信息获得绝对保护。

当客户以控制者身份使用我们的服务时，该客户负责：

• 为其指示我们执行的处理活动具备合法依据；
• 向其自身用户提供适当告知并取得所需同意；
• 回应针对其服务提出的数据主体请求；
• 按照自身的隐私合规义务配置各项功能（例如保留期限、角色访问、审计设置）。

我们会协助客户履行这些义务，并在适用法律要求时提供合理的支持。