GDPR 合规
版本 1.4 · 生效日期：2026年10月1日 · 最后更新：2026年10月1日
本译文仅供参考及便利之用。本文件仅英文版本具有法律效力；如有歧义、含糊或抵触之处，以英文文本为准。
上述承诺依据欧盟《通用数据保护条例》适用；对于英国客户，亦依据英国《通用数据保护条例》（UK GDPR）及《2018 年数据保护法》（Data Protection Act 2018）适用。
我们的承诺
LiKE 的数据处理原则
数据最小化
我们仅收集平台运行所必需的数据。不进行过度的数据收集。
目的限制
数据严格用于隐私政策及 DPA（面向企业客户）所界定的目的。不转售，不作二次使用。
存储限制
数据的保留不超过必要期限。合同终止时的删除依据 DPA 条款处理。
用于证明法定权利得到遵守的记录——退款与撤回决定，以及用于认定您法律身份的数据——按《隐私政策》规定的期限保存。
完整性与保密性
加密、访问控制、审计日志。我们力求为您的数据提供高水平的保护。
角色与职责
谁对什么负责
Lynkora——处理者
我们依据数据处理协议所载的指示与条款，代表贵组织或作为个人用户的您处理个人数据。
我们的职责包括：
- ✓ 保障数据安全
- ✓ 遵守我们在 GDPR（第 28 条）下适用的处理者义务
- ✓ 支持数据主体权利
- ✓ 管理员操作日志与内部访问控制
贵组织——控制者
您决定在 LiKE 内处理个人数据的目的、方式和方法。如您作为个人使用 LiKE（个人工作区），这些角色适用于作为客户的您；就您的账户数据而言，Lynkora 作为控制者行事（见隐私政策）。
您的职责包括：
- ✓ 界定处理目的
- ✓ 告知数据主体
- ✓ 管理同意
- ✓ 处理的合法性
数据处理协议（DPA）——DPA（在适用时含标准合同条款）构成服务条款的一部分，自接受服务条款之时起适用于您的组织，无需另行签署。现行版本与其他法律文件一并公布。DPA 咨询：[email protected]。
次级处理者
我们使用经审核的次级处理者（云基础设施、AI 服务商、电子邮件发送、网站分析——须经您同意）。次级处理者的最新清单载于隐私政策，并在每次发生变更时更新，且在新增次级处理者前至少提前 30 天通知。有关次级处理者变更的通知条件载于 DPA。
业务转让
如 Lynkora 转让其全部或部分业务（合并、收购、重组或出售），数据处理协议随合同一并转让，继受方承担 Lynkora 作为处理者的义务。我们将至少提前 30 日通知您；如您不接受继受方，您可终止合同，并按 DPA 的规定要求删除或返还您的数据。
数据主体的权利
依据 GDPR 对数据主体权利的支持
访问权（第 15 条）
数据主体可请求并获取我们所持有的关于其本人的全部信息。
更正权（第 16 条）
数据主体可更正不准确或不完整的个人数据。
删除权（第 17 条）
"被遗忘权"——在符合法定条件的前提下删除全部个人数据。
限制权（第 18 条）
在争议解决之前中止数据处理，而不删除数据。
数据可携权（第 20 条）
以结构化格式获取数据并转移至另一服务。
反对权（第 21 条）
反对数据处理，包括营销和画像分析。
与自动化决策相关的权利 (Article 22)
在决定通过自动化方式作出时，数据主体可以要求人工介入、表达自己的观点并对结果提出异议。参见下文"您的法律身份认定"。
退款后的限制
计入的退款次数及由此产生的新购买限制，依据客观标准自动计算：该组织因客户请求而作出的订阅款项、套餐升级款项或额外席位款项的退款次数。该计算不对个人作出评价，亦不使用画像。限制仅涉及新的购买：对服务的访问、已付费期间、数据导出以及法律赋予的权利（包括撤回权）均不受影响。任何此类限制均可经向支持团队提出请求由人工复核，并可在期限届满前解除；操作人员的决定连同理由一并记录。基于上述理由，该计算不构成 GDPR 第 22 条所指的仅基于自动化处理的决定。
您的法律身份认定
我们如何确定适用于您购买行为的法律制度
我们认定什么
您购买订阅时，我们认定您是以消费者身份订立合同，还是在贸易、经营、手工业或职业活动范围内订立合同。这决定了适用于您的条款，以及退款或撤回请求的处理方式。
我们使用哪些信息
您在结账时作出的购买目的声明；您提供的企业信息（法定名称、增值税识别号及其在欧盟 VIES 登记册中的校验结果）；Merchant of Record 提供的支付方式所属国家；以及《隐私政策》所述的注册时采集的信号。您的声明优先，其余信号仅供参考。
为何这不构成 Article 22 意义上的决定
该流程的自动化部分仅在"自动处理请求"与"转交人工"之间作出选择。它不能拒绝请求，不能剥夺权利，也不能阻止购买。当信号相互矛盾或结果不明确时，在人工审查之前一律适用消费者制度。因此，该处理不产生 Article 22(1) GDPR 意义上的法律效力，也不会对您产生类似的重大影响。
我们在任何情况下都提供的保障
您可以通过 [email protected] 要求对所适用的制度进行人工复核、陈述您的立场并对结果提出异议。我们会记录每一次认定，连同所适用规则的版本和决定时间，并可应您的要求告知使用了哪些信号。
保存期限
合同相对方数据及路由决定保存至合同期满后三年；退款与撤回决定记录自决定之日起保存三年。二者均用于证明适用了正确的法律制度并且法定权利得到了遵守（Article 17(3)(e) GDPR）。完整的保存期限表见《隐私政策》。
技术安全措施
GDPR 第 32 条——加密、隔离、控制
加密
静态：加密备份；托管于安全的 OVHcloud 欧盟基础设施；措施载于 TOM。
传输中：所有传输采用 TLS 1.2+（现代客户端为 TLS 1.3）；应用↔数据库的内部链路采用 TLS 1.3。
租户隔离
在应用层对租户数据进行逻辑隔离：每次数据查询均须带有强制性的工作区（租户）过滤，并通过 CI 中的自动化测试予以强制执行。
各租户的数据在应用层予以逻辑隔离：对所有查询进行强制性的按租户过滤，并在 CI 中进行跨租户隔离测试。
访问控制
采用 RBAC（基于角色的访问控制）实现精细化权限。
以电子邮件和密码登录，或以 Google（OAuth）登录；符合条件的套餐支持 SSO（OIDC）。一次性电子邮件验证码用于地址验证和密码重置。
审计日志
涉及个人数据的关键操作均带时间戳和用户标识予以记录。
对日志的访问受限；审计日志不可通过应用界面编辑。
数据导出
内置 Markdown、HTML、PDF、DOCX 和 JSON 格式的导出，以便利数据可携权。
账户数据和个人数据的副本应请求提供。
数据删除
在合同终止时或应请求，完全删除租户数据。
包括在保留期届满后自动删除备份。
AI 搜索与 GDPR
我们如何为 AI 功能使用数据
面向 AI 的数据处理原则
仅在租户范围内处理：AI 搜索仅就贵组织的数据运行，或在您作为个人使用本服务时就您自己的数据运行。不存在对其他客户数据的访问。
不用于模型训练：除向客户另行披露或与客户另行约定者外，Lynkora 不允许第三方 AI 服务商使用客户数据训练其模型；服务商的企业数据处理协议适用（如 OpenAI Business DPA）。详见 AI 补充条款。
限制 AI 功能：管理员可按角色限制 AI 功能（精细化的 AI 权限）；传统全文搜索仍然可用。
查询日志：AI 查询连同元数据（用户、时间戳、查询类型）出于审计目的予以记录；日志中的个人数据于 90 天后匿名化。
数据保护影响评估（DPIA）：我们可协助您开展 DPIA，以评估与 AI 使用相关的风险。于 Enterprise 套餐提供。
数据的国际传输
GDPR 第五章——跨境数据流动
位于欧盟的主要数据中心
核心计算资源位于欧盟。数据默认留存于欧洲经济区内。仅在具备适当法律机制时，方进行向欧洲经济区以外的传输。
标准合同条款（SCC）
Lynkora DOO Beograd 在塞尔维亚注册（欧盟候选国，无 GDPR 下的充分性决定）。传输依据欧盟 SCC（第 (EU) 2021/914 号实施决定）：欧盟客户 → Lynkora 的传输适用模块 2（控制者 → 处理者）；向美国次级处理者（OpenAI、Resend）的后续传输适用模块 3（处理者 → 处理者）。客户数据实际存储于欧盟（OVHcloud）。作为塞尔维亚法人，Lynkora 亦遵守塞尔维亚《个人数据保护法》（ZZPL）。
欧盟-美国数据隐私框架
对于位于美国的次级处理者，我们主要依据欧盟 SCC 模块 3。欧盟-美国数据隐私框架（自 2023 年 7 月生效，取代被宣告无效的隐私盾）在次级处理者已依 DPF 获认证时（如 Resend, Cloudflare）作为补充机制适用。
违规通知
GDPR 第 33、34 条——事件响应程序
事件检测
自动化基础设施监控与防滥用（速率限制、异常请求模式检测）。
向您通知（不无故拖延）
在确认影响您数据的事件后，我们将不无故拖延地通知您，说明违规的性质、受影响的数据、可能的后果及已采取的措施——以便您能履行自身对监管机构的 72 小时义务。
您向数据主体的通知（在需要时）
作为控制者，您决定是否需要通知数据主体。我们提供支持和材料以协助您。
调查与报告
详尽调查、取证分析、根本原因查明及预防建议。调查结束后将在合理期限内提供报告。
向监管机构通知（如需要）
如事件需要向监管机构（DPA）通知，我们将协助准备文件并分析相关义务。
准备好合作了吗？
数据处理协议（在适用时含 SCC）构成服务条款的一部分，自接受服务条款之时起适用，无需另行签署。DPA 咨询：[email protected]。
数据保护联系方式
GDPR 咨询联系方式
隐私团队
电子邮件：[email protected]
响应时间：工作日，通常在数日内
注册地址
Lynkora DOO Beograd
Kneza Miloša 15，11000 贝尔格莱德 塞尔维亚 （公司注册号 MB 22195689，税号 PIB 115706177）
欧盟及英国代表
我们依据 GDPR 第 27 条及 UK GDPR 第 27 条指定的代表（如已指定）列于“代表”页面（/legal/zh/representatives）。
请求程序：您可就访问、删除、反对或任何其他 GDPR 权利，直接向 [email protected] 提交请求。我们将确认收讫您的请求，并在 GDPR 第 12 条规定的期限内予以处理。