隐私政策

5.2 数据主体在数据处理方面的权利

5.2.1 访问权

数据主体有权随时要求获知公司是否正在处理其个人信息，若是，则应获知处理方式，包括数据处理的目的、数据共享的接收方，或公司获取数据的来源、保留期限、与数据处理相关的各项权利，以及有关自动化决策和用户画像的信息。若数据被传输至第三国或国际组织，数据主体有权获知与此类传输相关的保障措施信息。

数据主体在行使访问权时，亦有权要求获取其数据的副本。除非数据主体另有要求，若请求以电子方式提交，公司将以电子形式（PDF格式）提供所请求的信息。

若数据主体行使访问权对他人权利和自由产生不利影响，例如他人的商业秘密或知识产权，公司有权在必要且适度的范围内拒绝履行该请求。若数据主体要求提供上述信息的多份副本，公司可就制作额外副本所产生的行政成本，收取合理且适度的费用，费率为每页300福林。

5.2.2 更正权

公司将根据数据主体的请求，更正或补充与其相关的个人信息。若对更正后的数据存在疑问，公司可要求数据主体主要通过文件证明的方式，提供更正数据的证明。若公司已将受此权利影响的个人信息与他人（例如作为数据处理方的接收方）共享，只要此举并非不可能或不会给公司带来不成比例的负担，公司将及时告知这些人员相关更正事宜。根据数据主体的请求，公司将告知其这些接收方的信息。

5.2.3 删除权（被遗忘权）

数据主体有权要求公司在不无故拖延的情况下删除其个人信息，若存在以下任一情形，公司有义务在不无故拖延的情况下删除与该数据主体相关的个人信息：

（一）个人信息对其收集或以其他方式处理的目的已不再必要；
（二）数据主体撤回同意，且不存在其他数据处理的法律依据；
（三）数据主体反对处理其数据，且不存在优先于该反对的合法理由，或数据主体反对出于直接营销目的的处理；
（四）个人信息的处理系违法；
（五）为遵守适用于公司的欧盟或成员国法律规定的法律义务，须删除该个人信息；
（六）个人信息系因向儿童提供信息社会服务而收集。

若公司已将受此权利影响的个人信息与他人（例如作为数据处理方的接收方）共享，只要此举并非不可能或不会给公司带来不成比例的负担，公司将在删除后及时告知这些人员。根据数据主体的请求，公司将告知其这些接收方的信息。公司并无删除数据的义务，尤其是在数据处理系为以下目的所必需时：（一）行使表达自由和信息自由的权利；（二）遵守法律义务或为公共利益履行任务；或（三）提出、行使或维护法律主张。

5.2.4 限制处理权

若出现以下情形，数据主体有权要求公司限制对其个人信息的处理：

（一）数据主体对个人信息的准确性提出异议（在此情形下，限制适用于公司核实该个人信息准确性所需的期限内）；
（二）处理系属违法，且数据主体反对删除数据，转而要求限制其使用；
（三）公司出于处理目的已不再需要该个人信息，但数据主体因提出、行使或维护法律主张而需要该信息；或
（四）处理系为履行公共利益任务，或行使赋予公司的公共权力所必需，或为公司或第三方追求的正当利益目的所必需，且数据主体已反对为该等目的进行处理（在此情形下，限制将持续适用，直至确定公司的正当理由是否优先于数据主体的正当利益为止）。

限制处理意味着，除存储之外，公司将不再处理数据主体的个人信息，或仅在数据主体同意的范围内进行处理；或者公司可在未经同意的情况下，出于提出、行使或维护法律主张、保护其他自然人或法人的权利，或在欧盟或某成员国的重大公共利益所必需的情形下处理该数据。公司将在解除处理限制之前，提前告知数据主体。

若公司已将受此权利影响的个人信息与他人（例如作为数据处理方的接收方）共享，只要此举并非不可能或不会给公司带来不成比例的负担，公司将及时告知这些人员相关限制事宜。根据数据主体的请求，公司将告知其这些接收方的信息。

5.2.5 反对权

若数据处理系为履行公共利益任务，或为公司或第三方追求的正当利益目的所必需，数据主体有权随时基于与其特定情形相关的理由（包括用户画像）反对处理其个人信息。在此情形下，公司必须停止处理该个人信息，除非公司能够证明该处理存在令人信服且优先于数据主体利益、权利和自由的正当理由，或该处理系为提出、行使或维护法律主张所必需。

若个人信息的处理系出于直接营销目的，数据主体有权随时反对为该目的处理其个人信息，包括与直接营销相关的用户画像。若数据主体反对为直接营销目的处理其个人信息，则该个人信息不得再用于此目的进行处理。

反对权须最迟在与数据主体首次联系时明确提请其注意，且与该权利相关的信息须与所有其他信息分开、清晰地呈现。

若个人信息系出于统计目的进行处理，除非该处理系为履行公共利益任务所必需，否则数据主体有权基于与其特定情形相关的理由反对处理其个人信息。

5.2.6 数据可携权

在公司的数据处理活动中，不存在需要确保数据可携性的处理行为。

5.2.7 个案中的自动化决策（包括用户画像）

公司的数据处理活动中不存在自动化决策。

5.2.8 数据泄露*

数据泄露是指导致所传输、存储或以其他方式处理的个人信息遭到意外或非法销毁、丢失、篡改、未经授权披露或未经授权访问的安全事件。若该数据泄露可能对自然人的权利和自由造成高风险，公司将在不无故拖延的情况下将该数据泄露情况告知数据主体。通知须清晰易懂地描述该数据泄露的性质，并包含以下信息和措施：（一）提供信息人员的姓名及联系方式；（二）该数据泄露可能造成的后果；（三）公司已采取或计划采取的应对该数据泄露的措施。

若符合以下任一条件，则无须通知数据主体：（一）公司已实施适当的技术和组织保护措施，且该等措施已适用于数据泄露所涉及的受影响数据；（二）公司在数据泄露后已采取额外措施，以确保对数据主体权利和自由造成的高风险不再可能发生；（三）通知将需要付出不成比例的努力。在此类情形下，应通过公开可获取的信息或其他能够确保同等有效地向数据主体传达信息的类似措施，对数据主体进行告知。

5.2.9 关于个人信息传输至第三国的信息

公司仅依据GDPR第49条第1款(c)项，为订立或履行上文所述的、符合数据主体利益的合同之目的，将个人信息传输至欧盟境外。

六、责任与赔偿

任何因违反《信息法》（Infotv.）或GDPR而遭受物质或非物质损害的人，均有权向公司或本声明所指定的其他数据控制者，或向数据处理方要求赔偿。

参与处理的每一位数据控制者，均须就因违反Infotv.或GDPR的数据处理行为所造成的损害承担责任。数据处理方仅在其未遵守Infotv.或GDPR明确规定的数据处理方义务，或无视或违反公司合法指示行事的情况下，才就处理行为所造成的损害承担责任。

若公司或数据处理方能够证明其对造成损害的事件不负有责任，则可免除其责任。若同一数据处理活动涉及多个数据控制者或数据处理方，或同时涉及数据控制者和数据处理方，且均须就该处理所造成的损害负责，则各数据控制者或数据处理方应就全部损害承担连带责任，以确保数据主体获得充分赔偿。