这是翻译版本。如与英文版本有出入，以英文版本为准。
我们在实际操作中如何处理个人数据，包括 Organicely 代表客户处理数据时适用的标准条款。
最后更新：2026 年 11 月 1 日 · 生效日期：2026 年 11 月 1 日
两种情形。当父母或监护人为自己的家庭使用 Organicely 时，我们是这些数据的数据控制者，适用我们的隐私政策。当学校、诊所或其他组织代表其学生或客户使用 Organicely 时，该组织是控制者，Organicely 作为数据处理者。本文件说明在第二种情形下适用的处理者条款（数据处理协议，“DPA”），以及在两种情形下均适用的操作惯例。
“控制者”“处理者”“个人数据”“处理”“数据主体”“监管机构”和“个人数据泄露”等术语具有欧盟《通用数据保护条例》（第 (EU) 2016/679 号条例，“GDPR”）中赋予的含义。“客户”指已注册 Organicely 的自然人或法人。“Organicely”“我们”指 Unbreached AB（组织编号 559411-9624）。“子处理者”指 Organicely 委托处理个人数据的任何第三方。
处理事项为提供 Organicely 服务。期限为客户的订阅期限加上我们的隐私政策中规定的保留期限。处理的性质和目的是使客户能够使用服务中的日常安排、奖励、屏幕时间和家庭协调功能。
| 数据主体类别 | 个人数据类别 |
|---|---|
| 账户持有人（父母、监护人、学校工作人员） | 电子邮件地址、显示名称、家庭或组织角色、WebAuthn 通行密钥凭据、IP 地址、用户代理、审计日志条目 |
| 数据被输入服务的儿童 | 显示名称、出生日期（静态加密）、头像图片、日常安排和任务数据、积分余额和连续记录、情绪记录、为任务验证上传的照片 |
| 与家庭关联的设备 | 与硬件绑定的机器 ID、设备名称、应用使用遥测数据、心跳状态、安全事件日志 |
| 账单联系人（如适用） | 账单邮箱、国家（从 Paddle 获得）；完整的付款数据由 Paddle 持有，而非 Organicely |
当 Organicely 作为客户的处理者时，Organicely 仅根据客户的书面指示处理个人数据，包括有关个人数据传输的指示，除非欧盟或成员国法律要求其这样做。客户的书面指示包括：(a) 服务条款，(b) 本数据处理政策，(c) 客户通过服务功能对服务的使用，以及 (d) 以书面形式另行约定的任何进一步指示。
如果 Organicely 认为某项指示违反 GDPR 或其他适用的数据保护法律，将告知客户。
Organicely 确保获授权处理个人数据的人员受合同或法律规定的保密义务约束。对生产数据的访问按最小权限原则授予，并被记录。
Organicely 采取适当的技术和组织措施，以确保与风险相适应的安全水平，包括：
该平台在拥有 35 年经验的网络安全研究员 David Jacoby 的监督下设计和维护。
Organicely 委托以下子处理者。每个子处理者均受符合 GDPR 第 28 条的书面数据处理协议约束。
| 子处理者 | 用途 | 所在地 |
|---|---|---|
| Paddle.com Market Limited | 记录商户，处理订阅付款并开具发票 | 英国；通过全球银行卡网络传送付款数据 |
| Amazon Web Services EMEA SARL | 头像图片和任务验证照片的对象存储（S3） | 欧盟（eu-north-1，斯德哥尔摩） |
| Google LLC，Google Workspace（Gmail SMTP） | 发送事务性电子邮件（登录验证码、批准通知、账户相关消息） | 美国，静态存储使用欧盟数据区域 |
| Google LLC，Firebase Cloud Messaging | 向 Android 手机和网页浏览器发送推送通知。用户设备注册的推送令牌会传输给 Google，以便传送通知。 | 美国 |
| 欧盟托管服务提供商 | 托管应用服务器、PostgreSQL 数据库和 Redis 缓存 | 欧盟 |
| Slack Technologies, LLC | 向 Organicely 支持团队发送的内部通知：支持工单的主题和内容，以及客户的姓名、电子邮件地址和家庭名称；测试版注册信息（姓名和电子邮件地址） | 美国（标准合同条款） |
| Functional Software, Inc.（Sentry） | 网页应用的错误和性能监控。接收错误详情、页面路由和浏览器信息；在发送前删除电子邮件地址、IP 地址、请求正文和 URL 查询值。 | 欧盟数据区域（德国） |
Organicely 将在任何计划新增或更换子处理者的变更生效前至少 30 天通知客户，使客户有机会基于合理理由提出反对。如果客户提出反对，双方将本着诚信寻求解决方案；如果未能找到解决方案，客户可以终止受影响的服务。
Organicely 的所有生产应用服务器、数据库和对象存储均托管在欧盟境内。在正常运行期间，个人数据不会离开欧盟。有三个涉及美国提供商的有限例外：
对于上述情况，Organicely 依据 GDPR 第五章允许的相关传输机制（Google 和 Sentry 的数据流适用标准合同条款；Paddle 自行处理其付款数据的标准合同条款和 DPF 认证）。
Organicely 为客户提供技术手段，使其能够直接通过服务界面（设置 → 数据与隐私）处理数据主体的请求（访问、更正、删除、限制、可携带、反对）。如果数据主体就代表客户处理的数据直接向 Organicely 提出请求，Organicely 将及时通知客户，并协助客户处理该请求。
如发生影响客户数据的个人数据泄露，Organicely 将及时通知客户，且无论如何在获悉泄露后 48 小时内通知。在已知范围内，通知将包括：泄露的性质、涉及的数据主体和记录的类别及大致数量、可能的后果、已采取或拟采取的应对措施，以及获取更多信息的联系人。
Organicely 将应客户的合理请求，向客户提供证明其遵守本条款和 GDPR 第 28 条所需的信息。Organicely 将允许并配合由客户或客户委托的其他审计师进行的审计（包括检查），但须提前合理通知，并受保密、范围和频率方面的限制。如有第三方 SOC 报告或同等报告，客户同意该报告可满足审计义务。
客户订阅终止时，Organicely 将根据客户的选择，返还或删除代表客户处理的所有个人数据，但欧盟或成员国法律要求保留的除外（例如，根据瑞典 Bokföringslagen 保留 7 年的会计记录）。默认做法：账户关闭时，先将账户标记为已删除并保留 30 天，以便撤销意外关闭；在向 privacy@organicely.se 提出经确认的删除请求后，进行完全删除。
Organicely 可能会更新本政策，以反映操作惯例、子处理者或适用法律的变化。重大变更将在生效前至少 30 天通过电子邮件通知现有客户。
Unbreached AB
隐私及数据保护官联系：privacy@organicely.se
一般支持：support@organicely.se
瑞典 · 组织编号 559411-9624
本政策受瑞典法律管辖。由本政策引起或与之相关的任何争议将由瑞典法院解决，以斯德哥尔摩地区法院（Stockholms tingsrätt）为一审法院，但不影响强制性消费者权利或监管机构的管辖权。
← 返回 organicely.se