针对客户和供应商的数据保护信息

我们高度重视对您个人数据的保护及依法处理（以下称“处理”）。

所有与您相关的信息，以及所有可追溯至您的信息，均被视为个人数据。

我们希望您了解我们何时收集哪些数据以及如何使用这些数据。

我们已采取技术与组织措施，确保自身及依据《通用数据保护条例》第28条签订委托处理协议的外部服务提供商，均能遵守数据保护规定。我们根据欧盟GDPR规定，使用您所提供的信息。

根据GDPR第13条，在直接从数据主体收集个人数据时，我们有义务提供恰当信息。

适用范围

本数据保护声明适用于以下两种情形，即：我们为履行与您（作为客户或供应商）签订服务合同而进行的数据收集； 我们为就合同服务与您进行定期信息沟通而开展的数据收集工作。

数据控制者

如本隐私政策中无其他说明，则负责处理您的个人数据的数据控制者为：

位于德国杜塞尔多夫的Gerresheimer AG及其在欧盟的附属公司。 www.gerresheimer.com

数据保护官的联系方式

若您对Gerresheimer的数据保护有任何疑问，请联系：

系统数据保护咨询（SystemData ProtectionConsulting） 
德国埃森市雷本劳贝街12号，邮编D-45133（Rebenlaube 12D-45133 Essen）
www.systemdatenschutzconsulting.de
[email protected]

定义

本数据隐私信息是根据以下列数据隐私术语编制的，我们对此类术语进行了定义，以方便理解：

GDPR是指《欧洲通用数据保护条例》（欧洲议会和理事会2016年4月27日关于在处理个人数据方面保护自然人和此类数据自由流动的条例（EU）2016/679，该条例同时废除了第95/46/EC号指令）。

接收者：指个人数据的接收方，包括自然人、法人、公共机关、机构或其他组织，无论其是否为第三方。然而，根据欧盟或成员国法律，在特定调查中可能获取个人数据的公共机构不被视为接收方。这些机构应根据处理目的所适用的数据保护法规，对这些数据进行处理。根据您选择的付款方式，您个人资料的接收者可能包括银行或与我们合作提供服务的其他服务供应商。

作为合同关系的一部分，我们可能有必要将您的个人数据转发给某次级供应商（处理者）。为此，我们通过与相应处理方签订补充协议来履行GDPR第28条规定的义务，并坚信他们会根据适用的法律规定处理您的个人数据。

个人数据：任何与已识别或可识别的自然人相关的信息。在GDPR中，上述处理方被称为“数据主体”。可识别的自然人是指一个能够被直接或间接识别的个体，特别是通过诸如姓名、身份编号、地址数据、网上标识或者自然人所特有的一项或多项的身体性、生理性、遗传性、精神性、经济性、文化性或社会性身份而识别个体。个人数据可能包括您的姓名、联系信息和银行信息。

数据控制者：决定——不论是单独决定还是共同决定——个人数据处理目的与方式的自然人或法人、公共机关、机构或其他组织。如果此类处理的方式是由欧盟或成员国的法律决定的，那么对控制者的定义或确定控制者的标准应当由欧盟或成员国的法律来规定。本隐私政策（见上文第2条）中描述了负责数据处理目的的数据控制者。

“处理”是指对个人数据或个人数据集进行的任何操作，无论是否通过自动化手段，例如收集、记录、组织、结构化、存储、调整或更改、检索、查阅、使用、通过传输披露、传播或以其他方式使数据可用、比对或合并、限制、删除或销毁。

我们要采集您的哪些数据？

为了执行我们的合同服务，我们在必要时会直接向您采集个人数据：

个人资料 ： 
姓名、公司、地址、出生日期、电子邮件地址、电子邮件通讯、电话号码和传真。

处理合同时涉及的其他数据：
银行信息、个人数据（如适用）；文件（如商业收据）以及处理业务关系过程中的其他信息。

处理您个人数据的目的和法律依据

在我们的业务关系中，我们会出于启动和履行合同义务，而根据GDPR第6条第1款b项（例如，我们处理您的联系信息以签订供应合同），收集您的个人数据。当您以供应商或商业合作伙伴的身份与我们建立业务关系时，我们会留存您的联系方式，以及关于业务流程和与您沟通情况的相关信息，并至少在业务关系存续的整个期间内对这些信息进行处理。

根据GDPR第6条第 (1)款 (c)项，为履行因业务关系而产生的法定义务。

根据GDPR第6条第 (1)款 (f)项，只要此举对于维护我们公司的合法权益确有必要。为了处理业务关系，我们可出于自身合法利益，处理您的数据，例如进行信用检查。

在个别情况下，数据处理可能依据GDPR第6条第1款a项，在获得您明确同意的基础上开展。您有权在任何时候撤销该同意，且撤销决定自作出之时起对未来生效。

我们将您的联系信息存储在我们的商业IT系统中，直到目的限制和法律依据不再适用。

数据处理主要在我们基于Microsoft Dynamics 365的CRM工具中进行。该云服务的提供商是微软爱尔兰运营有限公司（Microsoft Ireland Operations Limited），其地址位于爱尔兰都柏林 18 区利奥帕兹敦南郡商业园一号微软大厦（One Microsoft Place, South County Business Park,Leopardstown, Dublin 18, Ireland），以下简称“MS”）。我们已与MS签订数据处理协议。在处理过程中，数据也可能传输至MS位于美国的服务器。该公司已获得“欧盟-美国数据隐私框架”（DPF）认证，相关信息可在https://www.dataprivacyframework.gov/list查阅。DPF是欧盟与美国之间的一项协议，旨在确保在美国处理数据时符合欧洲数据保护标准。任何获得DPF认证的公司都有义务遵守这些数据保护标准。如需了解MS数据处理的更多信息，请访问：https://www.microsoft.com/de-de/privacy/privacystatement

个人数据存储和删除

您的数据会在我们双方合同关系存续的整个期间内得到存储。我们通常假定会建立长期的业务关系。所以，只有当您主动提出删除数据的请求时，我们才会进行删除操作；倘若数据删除要求与法定留存期限（例如商法或税法所规定的留存期限）存在冲突，那么我们会在这些法定留存期限届满之后，再对相关数据进行删除处理。若我们的系统无法删除数据，则将对数据进行匿名化处理，使其无法再与个人建立关联。作为惯例，我们会在日历年年底检查数据是否需要进一步处理。鉴于数据量庞大，此项检查会针对特定类型的数据或处理目的进行。

个人数据接收者的类别

在提供、实施和管理我们的服务（见第1节）过程中，作为内部协作流程的一部分，我们还会将您的个人数据传输给Gerresheimer集团内的其他公司。我们基于合法利益传输这些数据，旨在高效、协同地完成内部行政任务，并依据GDPR第6条第(1)款第 (b)项的规定改进我们的产品和服务，同时，我们还依据GDPR第28条的规定签订了数据处理协议，以此作为数据传输的依据。

在处理付款以及（若适用）退款事宜时，我们会根据《通用数据保护条例》第6条第（1）款（b）项之规定，将您的个人数据（具体取决于您所选的付款方式）传输给银行、支付服务提供商、金融服务提供商以及信用卡公司等相关机构。

倘若发生法律纠纷，我们会将您的数据传输至有管辖权的法院；若您已委托律师，我们还会将数据传输给您的律师，以解决法律纠纷。我们根据GDPR第6条第(1)款第(1)项(c)项所规定的法律义务处理您的个人数据，同时，基于我们在行使、实施和/或捍卫自身合法权益方面的合法利益，依据GDPR第6条第(1)款第(1)项(f)项的规定处理您的个人数据。

此外，我们只会在法律规定的范围内传输您的个人数据。我们将根据GDPR第6条第(1)款第(1)项(c)项的规定传输这些数据（如向警方和监管机构提供数据来协助对不良行为和/或刑事犯罪的调查，或将数据提供给数据保护机构）。

作为我们合同关系的一部分，我们或我们指定的服务供应商可能会酌情开展客户调查和其他广告和营销活动。我们会将您的个人数据提供给指定的服务供应商，以进行客户调查。我们会根据GDPR第6条第(1)款第(1)项(f)项的规定，在保证我方合法权益的情况下，对您的个人数据进行处理，以改进我们的产品和服务。

其他数据接收方可能是您已同意我们向其传输数据的机构，或我们根据利益平衡原则被授权向其传输个人数据的机构。

向某第三方国家传送数据

您的数据可能会被传送到第三方国家，以提供合同服务。

在此情形下，您的个人数据可能被传输至位于第三方国家的Gerresheimer子公司，而欧盟委员会尚未根据GDPR第45(3)条就该第三国作出"充分性认定"，即认定该国对个人数据的保护水平达到欧盟等效标准（例如，欧盟委员会已对瑞士作出此类认定）。

对于Gerresheimer在这些其他第三方国家的公司，已建立适当保障措施，例如标准合同条款（SCC）。

请联络位于德国杜塞尔多夫的Gerresheimer AG，以获得更多信息。 www.gerresheimer.com

当我们有合法权益处理您的数据时，您有权提出异议

我们会处理您的个人身份识别信息，旨在保护、实施和捍卫我们的合法权益（包括在法庭上），以及高效协同地管理我们的内部行政事务。

如果基于上述合法利益（GDPR第6条第1款f项）处理您的个人数据，您有权随时以您的特殊情况为依据，对我们处理您数据的行为提出异议。请将咨询事宜发送至：

Gerresheimer AG（位于杜塞尔多夫）。
www.gerresheimer.com

如果您反对我们处理您的数据，我们将为回应您的要求而处理在这方面收集的个人数据。在这种情况下，应根据GDPR第6条第(1)条第(1)款(c)项的规定的法律义务处理个人数据。

若您提出异议，我们将不再处理您的个人数据，除非我们能够证明存在具有说服力的合法理由，且这些理由优先于您的利益、权利和自由，或者您的个人数据被用于确立、行使或捍卫法律诉求。

您的额外权利

根据GDPR，您可以在任何时候对我们行使以下权利：

• •GDPR第15条规定的知情权
  • 您有权获取我们存储的与您个人数据相关的信息。
• GDPR第16条规定的更正权
  • 若您发现我们处理的个人数据存在错误，则有权要求我们予以更正。对于不完整的数据，您可根据处理目的要求我们必须补充完善。
• GDPR第17条规定的删除权
  • 您有权出于特定理由，请求删除您的数据。特别是当不需要将数据用于最初的采集或处理目的时，更应该这样做。
• GDPR第18条规定的限制处理权
  • 您有权限制对您数据的处理。这意味着您的数据不会被删除，但会被标记，以限制其进一步处理或使用。
• 数据可携权（GDPR第20条）

  • 对于您提供给我们的个人数据，您有权进行数据转移。因此，只要技术上可行，您可要求我们将这些数据传输给您或他人。此外，您有权对不当数据处理（GDPR第21条），提出反对。

    原则上，您有权基于公共利益、行使官方职权或个人合法权益等法定情形，对原本合法的数据处理行为提出反对。

请将咨询事宜发送至：Gerresheimer AG（位于杜塞尔多夫）www.gerresheimer.com

如果您反对我们处理您的数据，我们将为回应您的要求而处理在这方面收集的个人数据。在这种情况下，应根据GDPR第6条第(1)(1)(c)款的规定的法律义务处理个人数据。

请理解，为了其他人的权利，只有当您能适当证明自己身份时，我们才能提供个人数据。

我们尽一切技术和管理上的努力来存储您的个人数据，以确保第三方无法访问。通过未加密的电子邮件进行通信时，我们无法保证数据完全安全，因此建议您通过邮寄方式发送机密信息。

 

提起申诉的权利（GDPR第77条）

在不影响您任何其他权利的情况下，如果您认为我们对您个人数据的处理违反了GDPR条例，您有权向相关数据保护监管机构提出投诉（依据GDPR第77条）。

负责处理工作的监管机构是：

北莱茵-威斯特伐利亚州数据保护和信息自由专员

邮箱 200444

40102 杜塞尔多夫

德国

电话： +49 (0) 211 / 38424-0

传真： +49 (0) 211 / 38424-10

电子邮箱：[email protected]