PALLEXA 网站隐私与 Cookies 政策

本隐私与 Cookies 政策说明在使用 https://pallexa.pl 和 https://www.pallexa.pl 网站（以下简称“网站”）过程中如何处理个人数据，包括：

• 浏览网站；
• 通过联系表单发送咨询；
• 通过电子邮件、电话、短信或 WhatsApp 联系；
• 开展谈判、订立及履行合同；
• 核实商业合作伙伴，包括通过 VIES 系统进行核实；
• 处理交付、结算及投诉；
• 使用 Cookies 及类似技术。

网站主要面向企业及其员工、合作人员和代表。所有自然人的数据均受《通用数据保护条例》（GDPR）保护，无论其以个人名义行事还是代表公司。

个人数据控制者为 Bartosz Rogoziński，其经营的个体工商业务已登记于波兰中央经济活动登记与信息系统（CEIDG），税务识别号（NIP）为7891790236，REGON 为385525543，经营及通信地址为 ul. Pola 1B, 62-300 Września, Poland，以 PALLEXA 品牌运营网站（以下简称“控制者”）。PALLEXA 和 DBtrade 均为控制者的商业名称，不构成独立的数据控制者。

个人数据相关事项的联系方式：

• 电子邮件：sales@pallexa.pl；
• 电话：+48 784 748 370；
• 邮寄地址：ul. Pola 1B, 62-300 Września, Poland。

控制者未任命数据保护官。任何隐私相关事项均可通过上述联系方式直接联系控制者。

3.1. 直接提供的数据

根据您与我们联系的方式，控制者可能处理以下数据：

• 姓名；
• 公司名称；
• 联系人的身份及其作为买方或供应商的角色；
• 电子邮箱地址；
• 电话号码及用于 WhatsApp 的号码；
• 国家；
• NIP 或欧盟增值税号；
• 业务类型；
• 感兴趣的产品类别及预期数量；
• 货物类型、数量、所在地及供货频率；
• 往来通信内容及交谈中提供的信息；
• 在后续合作阶段发送的文件及附件中所含的数据；
• 有关谈判、订单、交付、付款、结算及投诉的数据；
• 所选择或要求的联系渠道；
• 有关已给予的同意、提出的异议及撤回同意的信息。

3.2. 自动收集的数据

使用网站时，技术基础设施可能处理提供页面及保障其安全所必需的数据，尤其包括：

• IP 地址；
• 请求的日期及时间；
• 请求的 URL；
• 浏览器、操作系统及设备类型；
• 服务器响应及错误信息；
• 与安全及防止滥用有关的基本技术数据。

控制者不会在日志中存储表单内容或所传输的文件。

3.3. 从其他来源获得的数据

控制者也可能从以下来源获得数据：

• VIES 系统及相关公共登记系统；
• CEIDG、KRS 或其他官方商业登记系统；
• 推荐潜在商业合作伙伴的人士；
• 商业合作伙伴的雇主、合作人员或其他代表；
• 商业合作伙伴在谈判或履行合同过程中提供的文件。

如果数据并非直接从当事人处获得，控制者最迟会在首次联系时，或在 GDPR 第14条规定的其他期限内，提供所要求的数据处理信息。

4.1. 直接营销

控制者仅向在联系表单或后续往来通信中单独、自愿给予同意的人士直接营销自身的服务。电子邮件渠道与电话渠道（通话、短信、WhatsApp）的同意分别收集。

• 同意是自愿的 - 不给予同意不会影响咨询的处理或合作条件。
• 控制者会记录给予同意的日期以及当时有效的本政策版本。
• 可随时通过发送电子邮件至 sales@pallexa.pl、致电或回复收到的消息撤回同意；撤回与给予同意同样便捷。
• 撤回同意不影响在撤回前已进行的处理的合法性。
• 此外，还享有对直接营销提出异议的绝对权利（第9节）。

原则上，提供数据是自愿的。不提供标记为必填的数据可能导致无法发送咨询、准备回复、进行核实，或订立及履行合同。

会计、税务或海关规定所要求的数据，以及与交易结算有关的数据，可能必须提供。不提供这些数据可能导致无法订立或履行相关交易。

控制者遵循数据最小化原则。在首次咨询阶段，请勿发送：

• 特殊类别的数据，例如有关健康、信仰或工会成员身份的数据；
• 有关刑事定罪及犯罪的数据；
• 身份证件副本；
• PESEL 号码；
• 其他与咨询或交易无关的数据。

如果不必要地提供了此类数据，控制者可能将其删除或要求提供范围受限的文件。

数据仅可在实现特定目的所必需的范围内向以下接收方披露：

• Vercel Inc. - 提供网站托管、CDN、服务器函数及访客统计（Vercel Web Analytics，不使用 Cookies）；处理表单的函数在法兰克福（欧盟）区域运行；
• Google Ireland Limited - Google Analytics 4 提供方；获得同意后处理页面浏览及网站交互、设备、浏览器、引荐来源及大致位置数据；增强型衡量、Google Signals、广告个性化及广告存储均已关闭；
• OVHcloud（OVH SAS，法国鲁贝）- 提供域名、DNS 以及用于发送和接收表单提交内容的电子邮箱；邮件在欧盟境内的基础设施上处理；
• WhatsApp Ireland Limited 及相关 Meta 集团公司 - 当用户主动通过 WhatsApp 联系或要求通过此渠道回复时；WhatsApp 可能作为联系数据的处理者，并作为某些账户、设备及服务使用数据的独立控制者；
• 电信服务提供方 - 通过电话或短信联系时；
• 负责官方登记系统及 VIES 系统的机构 - 用于核实商业合作伙伴；
• 银行、支付运营商、会计服务提供方、承运人、仓库、报关代理、保险公司及交易中的其他参与方 - 在特定事项中确有必要参与时；
• 公共机关、法院及其他获授权机构 - 法律要求披露时；
• 向控制者提供法律或技术服务的人士 - 仅在实际聘用，且有适当合同或保密义务约束时。

在控制者授权下行事的人士仅获得履行其职责所必需范围内的访问权限。

由于使用 Vercel、Google Analytics 和 WhatsApp，数据可能在美国或欧洲经济区以外的其他国家处理。数据传输基于以下依据：

• 有效的欧盟委员会充分性决定，尤其是欧盟-美国数据隐私框架 - 前提是相关接收方持有覆盖该数据的有效认证；
• 或欧盟委员会的标准合同条款，并结合传输评估以及必要时的补充措施。

数据主体可通过联系控制者获得有关所采用保障措施的信息。

咨询保存后，其内容及附件将存储于受保护的 Vercel 存储空间，仅获授权的工作人员可以访问。归属于该咨询的附件副本将在事项结案180天后删除；如在该期限届满前重新开启事项，则暂停删除。临时上传文件将在48小时后删除。删除附件不会删除咨询内容或往来通信，这些资料仍适用下表中的相应保存期限。

适用期限届满后，数据会被删除或匿名化，除非法律、公共机关的要求或保障权利请求的实际需要要求继续保存。

在 GDPR 规定的范围内，数据主体享有：

• 访问数据及获得副本的权利；
• 更正数据的权利；
• 删除数据的权利；
• 限制处理的权利；
• 数据可携带权 - 适用于基于同意或合同进行的自动化处理；
• 基于当事人的特定情况，对依据 GDPR 第6条第1款(f)项进行的处理提出异议的权利；
• 对直接营销及相关画像分析提出异议的绝对权利；
• 如处理以同意为依据，可随时撤回同意的权利；撤回不影响此前的处理；
• 向波兰个人数据保护局（UODO）局长提出投诉的权利。

请求可发送至第2节所列的控制者电子邮箱或邮寄地址。控制者会及时回复，原则上在一个月内作出回复。在 GDPR 规定的情形下，该期限可再延长两个月。控制者可要求提供确认请求人身份所必需的补充信息。

投诉可提交至：Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warsaw, Poland，https://uodo.gov.pl。

控制者不会仅基于自动化处理对用户作出产生法律效果或对其产生类似重大影响的决定。控制者不会对网站用户进行画像分析，也不会对咨询进行自动评分。

当用户主动发起对话或明确选择 WhatsApp 作为预期回复渠道时，WhatsApp Business 用作处理咨询或合作的渠道；此外，用于营销目的时，仅面向已就电话渠道单独给予同意的人士（第4.1节）。

仅提供电话号码不被视为同意通过所有可能的渠道联系。用户可随时要求更改联系渠道或结束 WhatsApp 对话。与合同、交付、结算或投诉相关的数据可从即时通信工具转移至事项文件。

请勿通过 WhatsApp 发送身份证件、特殊类别的数据或其他合作所不必需的信息。

控制者采取与数据性质及风险相适应的技术和组织措施，尤其包括加密的 HTTPS 连接、生成通知时对表单数据进行编码、不在日志中保存表单内容，以及将数据访问权限限定于获授权人士。

任何数据传输或存储方式都无法保证绝对安全。控制者定期评估所采用保障措施是否充分，并随着网站及风险的变化进行更新。

未获得分析同意时，网站不使用技术、分析或广告 Cookies。网站仅在设备的 localStorage 中保存必要的“pallexa:consent”记录，以记住接受、拒绝或自定义的隐私选择。该记录包含机制及同意提示的版本、所选类别、决定类型及保存日期；不包含用户标识符、联系方式、消息内容或表单附件。该记录会一直保留在设备上，直至网站数据被删除，或提示版本发生变化并要求重新作出决定。语言版本仅由 URL（/pl、/en、/de、/fr、/zh-CN）决定，而非由 Cookie 决定。

获得分析类别的同意后，网站会启用 Vercel Web Analytics - 一种不使用 Cookies，也不使用可跨网站追踪用户的标识符的访客统计工具。仅收集汇总数据（页面浏览、页面 URL、国家、设备类型及引荐来源），不进行画像分析，也不与表单数据关联。拒绝后不加载该工具。

基于同一项同意，网站会启用 Google Analytics 4（Google Ireland Limited）。网站发送页面浏览数据（页面路径及标题）、日期及时间、设备及浏览器类型、引荐来源及大致位置。Google 可能短暂处理 IP 地址以确定大致位置，但 Google Analytics 不会记录或存储该地址。该工具使用第一方 _ga 和 _ga_<identifier> Cookies，期限最长90天。增强型衡量、Google Signals、广告个性化及所有广告存储均已关闭；网站不会发送用户标识符或表单数据。提示横幅使接受与拒绝分析同样便捷。可通过页脚的“隐私设置”链接更改或撤回决定；撤回会阻止进一步衡量，并删除网站可以访问的 GA Cookies。网站不使用 Google Tag Manager、Meta Pixel、Hotjar 或类似广告工具。事件还记录咨询提交、已确认的电子报或货物批次通知订阅，以及联系点击（电话、电子邮件、WhatsApp）。参数描述事件类型、表单类别、语言或页面路径；不包含联系方式、消息内容或附件。

网站可能包含指向第三方网站或服务的链接，尤其是 WhatsApp。访问外部服务后，数据处理还受其运营者制定的规则约束。控制者建议在提供数据前阅读相关隐私政策。放置普通链接不表示外部方会自动收到 PALLEXA 表单中的数据。

网站面向企业，不面向儿童。控制者不会通过表单明知地收集儿童数据。如果控制者发现儿童数据在缺乏依据的情况下被提供，且履行法律义务并不需要这些数据，将采取措施予以删除。

本政策可能在以下情况下更新：

• 控制者或联系方式变更；
• 网站功能变更；
• 引入新的服务提供方、Cookies、分析或营销活动；
• 销售、采购、物流或合同订立流程变更；
• 法律或监督机构实践发生变化。

当前版本将连同更新日期一并发布于网站。如果某项变更对已收集数据的处理方式产生实质影响，控制者将在有要求时另行通知相关人士。