隐私

本《隐私政策》的波兰语文本具有约束力；其他语言版本为译本。

ChikApart 网站及服务的隐私政策

§ 1. 数据控制者

  1. 个人数据的控制者为 AR Regal Rise spółka z ograniczoną odpowiedzialnością（有限责任公司），注册地在 Kraków，登记于 KRS 的企业家登记簿，编号 0001219525，NIP（税务识别号）9452324415，REGON（统计号）543830847（以下称“数据控制者”）。
  2. 数据控制者以“ChikApart”为名，经营位于 Szczyrk 的 ul. Turystycznej 15, 43-370 Szczyrk 的公寓，并运营一个网站（以下称“网站”）。
  3. 就个人数据事宜，可通过电子邮箱 arregalrise@gmail.com、WhatsApp 即时通讯或电话 +48 577 774 949 联系数据控制者。
  4. 数据控制者未指定数据保护官，因为依 GDPR 第 37 条其没有此项义务。

§ 2. 定义与法律文件

本《隐私政策》所称：

  1. GDPR（波兰文本中为 RODO）——指欧洲议会和欧盟理事会 2016 年 4 月 27 日关于在个人数据处理方面保护自然人及此类数据自由流动、并废止第 95/46/EC 号指令的第 (EU) 2016/679 号条例；
  2. PKE——指 2024 年 7 月 12 日《电子通信法》（ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej）；
  3. 条款——指 ChikApart 的预订、入住及电子方式服务提供条款；
  4. 用户——指使用网站的人；
  5. 客人——指依条款所称，提出询问、订立合同或入住公寓的人；
  6. 终端设备——指用户用以使用网站的设备。

§ 3. 一般原则

  1. 数据控制者依 GDPR 第 5 条规定的原则处理个人数据，尤其是数据最小化原则。
  2. 网站不使用用于追踪的 Cookie，也不使用分析或广告工具。数据控制者不对用户建立画像，不出售个人数据，也不基于包括画像在内的仅由自动化处理作出的方式，对用户或客人作出决定（GDPR 第 22 条）。
  3. 网站不接受付款，也不处理支付卡数据。

§ 4. 存储于用户终端设备中的信息

  1. 网站在用户的浏览器存储器（localStorage 和 sessionStorage）中存储为提供用户所使用的电子方式服务所必需的信息，包括：
    1. 用户所选的公寓、日期、人数以及与报价有关的其他选择，以及（如用户已填写）电子邮箱地址——用于完成询问；
    2. 在预订页面中输入的内容——仅保留至信息发送完毕或浏览器标签页关闭为止；
    3. 音乐播放的设置及其停止的位置；
    4. 所选的语言版本；
    5. 关于照片查看器中已显示提示的信息；
    6. Szczyrk 的最新天气预报及其获取时间，以使浏览器获取的频率不超过每小时一次；
    7. 短暂存储用户正在跳转至的页面名称，以确保页面平滑过渡；
    8. 网站所选的配色方案。
  2. 关于所浏览的公寓和页面、浏览时间及先前访问的信息，用于“您目前的行程”卡片，仅存储于浏览器的会话存储器中，访问结束时即被删除。
  3. 第 1 款和第 2 款所述信息不会发送给数据控制者或第三方。存储这些信息是提供用户所请求的电子方式服务所必需的，因此无须取得用户同意（PKE 第 399 条第 3 款）。
  4. 第 1 款第 1 项所述信息，在 30 天未访问网站后自动删除。用户可随时在浏览器设置的网站数据部分删除全部信息。

§ 5. 因使用网站而处理的数据

  1. 网站由注册地在美国的 Cloudflare, Inc. 在 Cloudflare Workers 服务下托管。Cloudflare, Inc. 作为处理者（GDPR 第 28 条），代表数据控制者处理用户的 IP 地址以及每次请求在服务器日志中的技术数据，以传送页面并保护其免受攻击。
  2. 页面加载后，用户的浏览器从位于 Oslo 的挪威气象研究所（MET Norway，api.met.no）的服务中获取 Szczyrk 的天气预报，频率不超过每小时一次。MET Norway 接收用户的 IP 地址、请求的技术数据以及网站的地址，并作为独立的数据控制者，依其自身的隐私政策予以处理。该请求指向的是楼宇的位置，而非用户的位置。
  3. 用户的浏览器从由注册地在 Kraków 的 Prospect One sp. z o.o. 运营的 jsDelivr 网络获取开源脚本。该主体接收用户的 IP 地址及请求的技术数据，并依其自身的隐私政策予以处理。
  4. 指向地图、其他主体页面以及照片作者的链接会跳转至网站之外。仅当用户使用该链接时，数据才会传送给这些主体。分享按钮使用用户设备的分享菜单，或打开带有页面地址的 WhatsApp 即时通讯。
  5. 希望加入 Cercle ChikApart，即接收 ChikApart 以电子邮件发送的通讯（条款 § 23）的用户，在网站的表单中填写电子邮件地址，并可自行选择填写名字。表单将上述数据连同网站的语言版本，直接传送给注册地在巴黎（法国）的 Sendinblue SAS；该公司运营 Brevo 服务，并作为处理者（GDPR 第 28 条）代表数据控制者处理这些数据；在此过程中，Sendinblue SAS 会收到用户的 IP 地址以及请求的技术数据。
  6. Brevo 会向所提供的电子邮件地址发送一封包含确认链接的邮件。用户只有在点击该链接后（双重确认，double opt-in），才成为 Cercle ChikApart 的会员（以下称“会员”）。Brevo 记录加入和确认的日期与时间，并就每一期通讯记录其是否已送达和被打开，以及其中哪些链接被使用。数据控制者仅为发送通讯和评估其触达范围而使用上述信息，不会据此对会员个人进行评估。
  7. 对于每一位会员，数据控制者记录分配给该会员的个人欢迎码（条款 § 23 第 5 款）以及该欢迎码是否已被使用。

§ 6. 客人提供的数据

  1. 询问表单和预订页面不向网站发送数据，也不在网站中存储数据。它们生成一条信息，由客人本人通过下列方式发送给数据控制者：
    1. WhatsApp 即时通讯，在欧洲由 WhatsApp Ireland Limited 提供，其作为独立的数据控制者，依其自身的条款和隐私政策处理该信息；
    2. 电子邮件，由 Google Ireland Limited（Gmail）处理；
    3. 电话通话。
  2. 数据控制者处理下列类别的数据：
    1. 与询问有关：姓名、入住日期、成人和儿童人数、所选公寓、信息内容、电子邮箱地址（如已提供）以及即时通讯中可见的电话号码；
    2. 与订立合同有关，另外包括：电话号码、电子邮箱地址、国家、预计抵达时间、特殊要求，以及在要求开具发票时，经营者的商号名称、NIP 号码和地址；
    3. 与履行合同有关：预订确认的内容、付款数据、发票以及与入住有关的往来信函。
  3. 客人主动提供其健康信息，尤其是过敏或无障碍通行需求的，数据控制者仅为筹备入住并基于客人的明确同意予以处理。
  4. 付款由注册地在都柏林（爱尔兰）的 Stripe Payments Europe, Limited 办理，其作为独立的数据控制者，依其自身的隐私政策处理付款数据。数据控制者不接收支付卡号。以转账方式付款的，数据控制者的银行会接收客人的姓名及银行账号。

§ 7. 处理的目的与法律依据

数据控制者处理个人数据的目的如下：

  1. 为答复询问并作出要约，应数据主体的请求——依 GDPR 第 6 条第 1 款 (b) 项；
  2. 为订立并履行合同——依 GDPR 第 6 条第 1 款 (b) 项；
  3. 为开具发票、记账及税务结算——依 GDPR 第 6 条第 1 款 (c) 项，结合 1994 年 9 月 29 日《会计法》（ustawa z dnia 29 września 1994 r. o rachunkowości）、2004 年 3 月 11 日《货物和服务税法》（ustawa z dnia 11 marca 2004 r. o podatku od towarów i usług）及 1997 年 8 月 29 日《税务通则》（ustawa z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa）；
  4. 为代收地方费用（如 Szczyrk 市议会开征该费用），以及履行数据控制者作为住宿服务提供者所负的其他法定义务——依 GDPR 第 6 条第 1 款 (c) 项；
  5. 为确保网站的运行与安全——依 GDPR 第 6 条第 1 款 (f) 项，数据控制者的正当利益为维护网站并保护其免遭滥用；
  6. 为确立、行使或抗辩与合同有关的请求权——依 GDPR 第 6 条第 1 款 (f) 项，数据控制者的正当利益为保护其权利；
  7. 为考虑客人自愿提供的健康信息——依 GDPR 第 9 条第 2 款 (a) 项；
  8. 为向会员发送 Cercle ChikApart 通讯和欢迎码，并评估通讯的触达范围——依会员的同意（GDPR 第 6 条第 1 款 (a) 项），该同意亦涵盖为直接营销及上述评估之目的使用会员的电信终端设备（PKE 第 398 条和第 399 条）；同意及其撤回的记录依 GDPR 第 6 条第 1 款 (f) 项保存，数据控制者的正当利益为能够证明已取得同意（GDPR 第 7 条第 1 款）并避免向已撤回同意的人发送通讯。

§ 8. 数据的接收方

  1. 个人数据仅在实现 § 7 所述目的所必需的范围内方可传送：
    1. 传送给代表数据控制者处理数据的主体，依据数据处理协议（GDPR 第 28 条）：Cloudflare, Inc.（网站托管）和 Sendinblue SAS（用于 Cercle ChikApart 的 Brevo 服务）；
    2. 传送给作为独立数据控制者处理数据的主体：WhatsApp Ireland Limited、Google Ireland Limited（电子邮件）、Stripe Payments Europe, Limited（付款）以及数据控制者的银行；
    3. 传送给公共机关，尤其是税务机关和 Szczyrk 市市长，仅限于传送数据的义务源于法律规定的情形。

§ 9. 向欧洲经济区以外传送数据

  1. Cloudflare, Inc.、Meta Platforms, Inc.、Google LLC 和 Stripe, Inc. 的注册地在美国，可能在该国处理个人数据。这些主体参与欧盟—美国数据隐私框架，欧盟委员会已通过 2023 年 7 月 10 日的执行决定 (EU) 2023/1795 认定该框架提供充分的保护水平（GDPR 第 45 条）。WhatsApp Ireland Limited 另行适用经欧盟委员会批准的标准合同条款（GDPR 第 46 条第 2 款 (c) 项）。
  2. MET Norway 的注册地在挪威，属于欧洲经济区。
  3. Sendinblue SAS 的注册地在法国，属于欧洲经济区。如其次级处理者在欧洲经济区以外处理会员的数据，则依据欧盟委员会认定具有充分保护水平的决定（GDPR 第 45 条）或经欧盟委员会批准的标准合同条款（GDPR 第 46 条第 2 款 (c) 项）进行。

§ 10. 数据的保存期限

  1. 个人数据的保存期限如下：
    1. 未促成合同订立的询问——自最后一条信息之日起 12 个月，然后予以删除；
    2. 发票和会计凭证——税法和《会计法》要求的期限，原则上为自纳税期限届满的日历年度结束之日起 5 年；
    3. 合同的其他文件，包括预订确认和往来信函——直至合同项下请求权的诉讼时效期间届满，该期间由 Kodeks cywilny（《民法典》）（KC）就各类请求权所定（尤其是第 118、848 和 851 条），但最长不超过 6 年，计算至日历年度结束；
    4. 健康信息——直至入住结束，或直至较早撤回同意；
    5. 服务器日志——Cloudflare, Inc. 的政策所规定的期限；数据控制者不保留其副本；
    6. Cercle ChikApart——保存至撤回同意为止；未经确认的电子邮件地址——保存不超过 30 日；撤回同意后，电子邮件地址仅保存在不再发送通讯的地址名单中，同意及其撤回的记录保存至请求权时效期间届满为止，但自撤回之日起不超过 6 年。
  2. WhatsApp 即时通讯中的信息和电子邮件的保存期限，为第 1 款所定适用于相应类别的期限。
  3. 存储于终端设备中的信息，其保存期限为 § 4 所定的期限。

§ 11. 数据主体的权利

  1. 依 GDPR 规定的条件，数据主体有权：
    1. 访问数据并获取其副本（GDPR 第 15 条）；
    2. 更正数据（GDPR 第 16 条）；
    3. 删除数据（GDPR 第 17 条）；
    4. 限制处理（GDPR 第 18 条）；
    5. 对基于合同或同意并以自动化方式处理的数据行使数据可携权（GDPR 第 20 条）；
    6. 基于其特定情况的理由，反对基于数据控制者正当利益的处理（GDPR 第 21 条）。
  2. 同意可随时撤回。撤回同意不影响在撤回前基于同意所作处理的合法性（GDPR 第 7 条第 3 款）。
  3. 请求应发送至 § 1 第 3 款所指的联系方式。数据控制者应不无故拖延地答复，且最迟在收到请求后一个月内答复；在 GDPR 第 12 条第 3 款所述情形下，该期限可再延长两个月。
  4. 数据主体认为对数据的处理违反 GDPR 的，有权向个人数据保护局局长（Prezes Urzędu Ochrony Danych Osobowych）提出投诉，地址：ul. Stawki 2, 00-193 Warszawa（uodo.gov.pl）（GDPR 第 77 条）。
  5. 会员可通过每期通讯中所附的链接，或通过向 § 1 第 3 款所指联系方式发送信息，撤回 § 7 第 8 项所述的同意。撤回不收取任何费用，并立即生效。

§ 12. 提供数据的自愿性

提供个人数据出于自愿。但这是答复询问和订立合同的前提条件（合同要求），就开具发票所需的数据而言，则是法定要求。不提供数据，将无法作出答复、订立合同或开具发票。

加入 Cercle ChikApart 出于自愿，并非订立合同的前提条件。提供电子邮件地址是接收通讯的必要条件。

§ 13. 《隐私政策》的变更

  1. 法律规定或数据控制者处理个人数据的方式发生变化时，《隐私政策》可予变更。
  2. 最近一次修改日期：2026 年 11 月 6 日。

最后更新：

联系我们住宿条款