ZH policies

最后更新：2023 年 1 月 18 日

您的隐私对我们很重要。我们的目标是为您提供个性化的在线体验，为您提供最相关、最有用的信息、资源和服务。

本隐私政策（以下简称“隐私政策”）旨在阐述 PCI Security Standards Council（以下简称“PCI SSC”、 “我们”或“我们的”）在向您提供网站、 网页、域名、门户、注册机构、移动应用程序、其他活动及在线资源以及相关材料（统称为“网站”）时所遵循的隐私相关条款与条件，包括但不限于用于提供在线会议、活动及其他服务或与我们的在线会议、活动及其他服务相关的资源。

隐私政策除其他事项外，还讨论了如何收集和使用与您使用本网站相关的数据。我们强烈建议您仔细阅读隐私政策。使用本网站，即表示您同意遵守隐私政策的条款（包括其附录，附录已纳入隐私政策）。如果您不接受隐私政策的条款，请停止访问或使用本网站。若您对本网站不满意，请随时通过以下方式联系我们： dataprivacy@pcisecuritystandards.org

网站维护是一个不断发展的过程，我们可能会随时修改本隐私政策的条款，恕不另行通知。在变更后继续使用本网站，即表示您同意在变更生效之日接受修改后的条款。有效的隐私政策将发布在本网站上，您应在每次访问时查看是否有任何变更。

1.本隐私政策涵盖的网站和资源

本隐私政策适用于所有 PCI SSC 网站、 网页、域名、门户网站、注册机构、 移动应用程序和其他在线资源，包括但不限于用于提供我们的在线会议和活动或与我们的在线会议和活动相关的资源。尽管有上述规定，我们可能不时要求特定网页、门户网站或资源的用户同意相应的附加条款和条件（“附加条款”），在解决与本隐私政策存在的明显冲突时，附加条款应在必要范围内优先适用。

2.儿童隐私

我们致力于保护儿童的隐私需求，并鼓励家长和监护人在孩子的网络活动和兴趣方面发挥积极的作用。我们不会故意收集 13 岁以下儿童的信息，也不将本网站作为儿童的目标对象。

3.非 PCI Security Standards Council 网站的链接

本网站可能为方便用户而提供指向第三方网站或移动应用程序的链接。如果您访问这些链接或应用程序，您将离开我们的网站。我们无法控制这些第三方网站和应用程序，也无法保证其政策和做法与本隐私政策一致。例如，其他网站或移动应用程序可能会以不同于本文所述的方式收集或使用您的个人信息。因此，您应谨慎使用其他网站和移动应用程序，并自行承担相关风险。在提交个人信息之前，我们建议您仔细阅读任何网站或移动应用程序的隐私政策。

4.我们收集的信息类型

非个人信息

非个人信息是指与特定个人身份没有直接关联的使用和服务的操作数据。我们可能会收集和分析非个人信息，以评估用户如何使用本网站。

汇总信息

我们可能会收集汇总信息，即您的计算机自动提供给我们的信息，这些信息无法与您作为特定个人联系起来。例如，包括引荐数据（您访问我们网站之前访问过的网站）、浏览的页面以及在我们网站上花费的时间。您可以通过首次访问网站时出现的 Cookie 控制设置来控制我们收集的非必要信息，该设置可通过我们网站每个页面上的可见控件访问。

日志

每当您从网站请求或下载文件时，我们可能会将这些事件和您的 IP 地址的相关数据存储在日志中。我们可能会使用这些信息来分析趋势、管理网站、跟踪用户活动，并收集广泛的人口统计信息，以供汇总使用或用于其他商业目的。

Cookies

我们的网站可能会使用您浏览器的一项功能，在您的计算机上设置“Cookie”。Cookie 是网站计算机存储在您计算机上的小信息包。然后，每当您访问该网站时，网站都可以读取这些 Cookie。我们可能会以多种方式使用 Cookie，例如保存信息，以便您每次访问我们的网站时无需重新输入；提供符合您兴趣的内容；以及跟踪您访问过的页面。这些 Cookie 使我们能够利用收集到的信息定制您的网站体验，让您尽可能获得与您相关且有价值的网站访问体验。

有关 Cookie 及其使用方式的更多信息，请参阅本文件附录 A 中的 Cookie 声明。

个人数据

“个人数据”是指与您的个人身份相关的信息，可能包括您的姓名或其他可用于唯一识别您个人身份的个人信息。一般而言，我们使用个人数据是为了更好地了解您的需求和兴趣，为您提供更优质的服务。我们收集的个人数据的具体用途将在收集该数据时或在收集该数据的页面上进行说明。您通过本网站向我们提供的个人数据类型可能包括姓名、地址、电话号码、电子邮件地址、用户 ID、密码、IP 地址和账单信息。 为了使您能够请求和/或下载信息或材料、订阅邮件列表、参与相应的在线或现场讨论或活动、共同处理文件、提供反馈、向注册机构提交信息、注册或参与计划、会议或活动、申请参与或会员资格，或加入技术委员会、工作组或倡议，可能需要或要求您提供这些信息。我们收集这些信息是为了能够与您联系或向您发送您要求的材料（例如您要求的文件或邮件列表订阅），使您能够参与相应的活动，并使我们或其他人能够识别您的身份（例如在申请注册或参加会议或活动、加入委员会、参与计划或在线讨论、从本网站下载材料并执行相应许可时），以及向您收取您要求的服务或材料的费用。您可以随时选择不向我们提供您的个人数据，但这将限制您参与这些活动或享受这些服务的能力。

个人数据的保存时间不会超过收集目的所需的时间，通常情况下，我们将保存个人数据 3 年，如果您与我们有任何资格或合同关系，则在该资格或关系终止后保存 3 年。 在某些情况下，我们无法事先确定您的个人数据将被保留的期限。尽管如此，在为遵守我们所承担的法律或合同义务、保护您或他人的重要利益，或出于其他适用的合法利益而必须保留、处理和使用您的个人数据时，我们可能会保留、处理和使用您的个人数据。

5.受限网站和门户

您在申请参与或会员资格时提供的信息可能会用于创建相应的参与者或会员档案，或允许参与相应的活动，并可能与其他 PCI SSC 会员或参与者代表及组织共享。此类信息可能会以安全的方式提供给其他参与者或成员，以鼓励和促进合作、在线讨论、研究以及信息的自由交流。PCI SSC 参与者和成员将自动添加到适用的 PCI SSC 邮件列表中。 参与者和会员信息可能会不时与活动组织者和/或为我们的参与者或会员提供额外福利的其他组织共享。当您在 PCI SSC 组织或主办的活动中向我们提供个人信息时， 我们将使用该数据以履行我们对活动组织者及其他相关方的合同义务。在适当的情况下，我们也会在收集信息时明确征得您的同意。

6.会议与活动

您在参与活动或倡议时，或注册活动或倡议时提供的信息，例如我们的社区会议、市民大会、工作组、特别工作组、特别兴趣小组、征求意见活动以及类似活动和倡议（无论是在现场还是在线举行），可能包括姓名、电子邮件地址、公司名称和公司类型。这些信息用于履行我们对活动或倡议组织者或运营商以及与这些活动和倡议相关的其他方的合同义务，包括运营此类活动并促进您的参与，并可能出于此目的以及上述“受限网站和门户”所述的目的，与我们的承包商或其他活动参与者共享。此外，在您向我们提供此类信息时，我们将酌情征求您同意我们为提供信息的目的存储、处理、分发和使用此类数据。就此类活动而言，我们可能还会要求您提供其他信息，例如地址、公司附属机构、公司员工人数和其他公司信息，这些信息可能会用于营销目的，并可能分发给活动赞助商。在收集信息时，我们会征求您对使用此类附加信息的同意。与此类活动相关的所有信息均按照本隐私政策的适用条款进行保留。

7.公司信息

公司信息是指与我们的参与者、成员、其他利益相关方或用户组织的名称和地址相关联的信息，可能包括有关使用情况和服务运营的数据。任何此类组织的主要代表均可要求提供有限的使用报告，以评估其员工参与我们活动的程度。您应了解，您参与技术委员会、工作组、在线讨论和活动等相关信息可能会提供给您公司的主要代表和 PCI SSC 工作人员。

8.我们如何使用您的信息

我们可能会使用汇总的非个人数据来报告网站活动、可用性、性能、有效性或参与情况。它可用于改善网站或未来活动的体验、可用性和内容。

我们可能会使用个人信息来提供支持我们自身活动或参与者、会员、利益相关方及其他用户活动的服务，促进他们与我们的协作，或向您发送电子通讯、公告、调查或其他信息。当访问受限的 PCI SSC 网页、门户网站或活动时，您的个人用户信息可能会被使用或追踪，以支持协作、确保授权访问，并促进参与者或成员之间的沟通。

9.信息共享

我们不会出于营销目的向任何第三方出售、出租或租赁任何个人的个人信息或电子邮件地址列表，并采取商业上合理的措施来维护这些信息的安全性。根据法律要求，在未事先通知您并给予您选择退出或选择加入的机会的情况下，我们不会在未来采取上述任何行动。同样，我们不会就收集、使用或披露您的个人信息提供经济奖励。但是，我们保留向任何组织提供此类信息的权利，该组织可能是 PCI SSC 将来合并的对象，或 PCI SSC 为使第三方能够继续执行我们部分或全部使命或活动而向其进行转让的对象。如果我们合理地认为您违反了适用的使用条款，或者我们合理地认为您已发起或参与任何非法活动，我们保留为保护我们的系统或业务而披露个人信息的权利。此外，请注意，在某些情况下，我们可能有义务根据司法或其他政府传票、逮捕令或其他命令披露您的个人信息。

根据我们的公开流程，我们可能会对绝大多数活动进行公开存档。例如，向任何 PCI SSC 主办的邮件列表或讨论论坛发布电子邮件、 提供评论反馈请求， 或注册参加我们的公开会议或其他会议，可能会导致您的个人信息成为相应公开可访问档案的一部分。

如果您是 PCI Security Standards Council 的参与者或成员， 您应该知道您的某些个人信息可能会被其他参与者、成员以及公众查阅。我们的参与者和成员数据库可能会保留您选择提供的姓名、电子邮件地址、公司所属机构以及其他个人地址、身份识别数据和任何先前提供的此类数据。该数据通常可供其他参与者或会员以及公众查看。您的姓名、电子邮件地址以及您可能提供的其他信息也可能被纳入我们各种委员会、工作组、在线活动和讨论以及您参与的类似活动的公开记录中，包括：(i) 这些活动的永久性出席记录和其他记录； (ii) 活动产生的文件（可能永久存档）；以及(iii) 邮件列表永久存档中的消息内容（该存档也可能公开）。

请记住，您在本网站公共区域或与公共或广泛参与活动（如论坛（亲自或在线）、留言板、新闻组和其他活动）相关的任何信息（包括个人信息）都可能成为他人可能收集、传播和使用的公开或广泛获取的信息。由于我们无法且不会控制他人的行为，您在决定在论坛或其他类似活动中披露自己或他人的信息时，应谨慎行事。

鉴于 PCI Security Standards Council 的国际范围， 您的个人信息可能被您居住国以外的人员查看，包括那些被您所在国家隐私法律法规认定为无法确保此类信息得到充分保护的国家的人员。如果您不确定本隐私政策是否与当地适用法规相冲突，请不要提交您的信息。

您的个人数据绝不会用于直接营销目的，但我们可能会就您对我们的服务、活动或活动信息提出的请求与您联系进行后续跟进。

如果您不希望 PCI Security Standards Council 收集和使用您的个人信息， 请不要访问或使用我们的网站，申请参与者或会员身份，或参与 PCI SSC 活动。

10.信息获取与准确性

我们致力于确保参与组织、会员组织及其他网站用户的个人信息准确无误。您提交给我们的所有信息均可进行验证、更改和删除（符合法律数据保留要求）。为此，请发送电子邮件至 dataprivacy@pcisecuritystandards.org 提出请求。我们可能会为参与者、会员和/或其他人员提供访问其个人资料的在线权限，使他们能够随时更新或删除信息。为了保护您的隐私和安全，在访问修改个人数据之前，我们可能会采取合理的身份验证措施，例如要求提供用户名和密码。本网站的某些区域可能会通过使用密码或其他个人身份识别信息来限制特定人员的访问；密码提示表明您正在访问受限资源。

11.安全

我们使用各种手段来保护网站用户提供的个人信息，包括在服务器上使用防火墙和其他安全措施。然而，没有任何服务器是 100% 安全的， 当您在本网站或其他地方提交您自己或他人的个人信息或机密信息时，应考虑到这一点。我们收集的大部分个人信息与参与和/或会员级服务（如协作和讨论）相关，因此某些类型的个人信息（如您的姓名、公司所属机构和电子邮件地址）将对其他 PCI Security Standards Council 参与者或会员以及公众可见。 对于您所提供信息的拦截、 更改、使用或滥用，我们不承担任何责任。您个人对个人信息保密负有全部责任。访问本网站或提供个人信息时，请务必谨慎行事。

12.退出

我们可能会不时向您发送电子通讯、公告、调查或其他信息。如果您不希望收到任何或所有这些通讯，您可以按照电子通讯和公告中提供的说明选择退出。

13.加州隐私权

根据 2018 年《加州消费者隐私法案》 （“CCPA”）、 《加州隐私权与执法法案》（“CPRA”）以及其他加州隐私法律，加州居民对符合适用要求的公司收集、使用和共享其个人信息拥有某些权利。例如，如果您是加利福尼亚州居民，您有权要求了解我们收集了哪些关于您的个人信息，并有权访问这些信息。您还有权要求删除您的个人信息，但法律规定的例外情况允许我们保留和使用某些个人信息，即使您提出了删除请求。有关此类权利和法律的更多信息，请参阅本附录 B 中的《加州居民隐私声明》。

14.数据隐私法

根据您所在或居住的州、国家或地区（您的“管辖区域”），除了本隐私政策所述的权利外，您可能还享有《通用数据保护条例》（“GDPR”）或您管辖区域内与个人数据隐私和保护相关的其他法律赋予的某些权利。您在本网站上或通过本网站提供或与我们的活动相关的个人数据，仅在征得您的同意或为履行我们的合同义务的情况下收集，并可能根据该同意传输到您管辖范围之外的 PCI Security Standards Council（或为 PCI Security Standards Council 利益而维护的计算机服务器）。

一般而言，根据 GDPR，如果您居住在欧洲经济区（”EEA”）或英国，您可：

• 请求访问您的个人数据
• 要求更正不完整或不正确的个人数据
• 要求删除您的个人数据
• 暂停或限制我们对您个人数据的使用，或撤回您的同意；如果该请求未被采纳，则提出异议
• 要求提供您的个人数据副本
• 如果您认为您在 GDPR 下的权利未得到尊重，可向监管机构投诉
• 要求拒绝将您的个人数据用于自动化决策，以对您做出决定，如果该决策对您产生重大影响或产生法律效力

如果您要求获得您的个人数据副本，我们将为您提供副本。第一份副本将免费提供，但额外的副本可能会收取合理的费用。如果您要求删除您的个人数据，PCI Security Standards Council 通常会在可行的情况下尽快删除， 但您删除个人数据的权利受某些例外情况限制，例如，为了遵守法律义务或为了确立、行使或捍卫法律主张。

如果您认为我们对您个人数据的处理违反了适用的数据保护法律，您有权向负责数据保护的监管机构提出投诉。您可以在英国或您惯常居住的欧洲经济区成员国、您的工作地点或涉嫌侵权地点提出投诉。

请注意，我们的服务器位于美国，而欧盟认为该国的数据保护措施不够充分。因此，当您通过网站向我们提供信息时，您是在向位于美国的我们提供信息。您还应注意，如果您位于美国以外的国家/地区（包括但不限于英国或欧洲经济区），您的个人数据可能会被传输到您所在国家/地区之外（包括美国）进行收集、存储、处理和/或使用。例如，当英国或欧洲经济区个人的个人数据被传输到我们位于美国或英国或欧洲经济区以外的其他国家的服务器时，就会发生这种情况。这些国家可能没有与英国、欧洲经济区或您所在国家/地区类似的数据保护法律。如果我们以这种方式将您的信息传输到英国或欧洲经济区以外，我们将采取步骤确保采取适当的安全措施，以确保您的隐私权继续得到本政策所述的保护，包括以下措施：

• 通过开放公共网络传输至我们网站或门户的数据，均受传输层安全协议（TLS）及强效加密法保护；
• 我们网站或门户上的静态数据受到全盘加密和强访问控制的保护。此外，上传至我们门户网站的敏感客户文件均采用独立密钥进行单独加密。所有密钥均采用强效加密法，并通过基于角色的访问控制进行保护；
• 我们至少每季度一次，并在任何重大变更后，对我们的基础设施（包括我们的网站和门户）进行漏洞扫描；
• 我们每年至少一次，并在任何重大变更后，对我们的基础设施（包括我们的网站和门户）进行穿透测试。

15.联系我们

如果您对本政策或您的个人数据有任何疑问或疑虑，或希望行使上述任何权利，请通过其数据保护计划联系 PCI Security Standards Council：

免费电话号码： 电子邮件： 邮政地址：

1-888-241-3525 dataprivacy@pcisecuritystandards.org PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 致：技术、基础设施与隐私总监

附录 A 和 B 如下。

附录 A

Cookie 声明

本 Cookie 声明旨在告知您我们如何在网站、其他在线资源及上述各项内容（统称”服务”）中使用 “Cookie”或类似技术，以便我们了解您与服务之间的互动方式、提升您的使用体验，并使您能够使用某些相关功能。本声明还提供了第三方如何在运营我们的服务时使用此类技术的信息。

1.关于此 Cookie 声明

当您使用我们的任何服务时，此 Cookie 声明即适用， 并可能由服务特定区域或我们与您互动期间提供的其他 Cookie 声明或条款加以补充。

2.Cookie 的使用

Cookie 是您访问的网站或使用的应用程序放置在您的计算机或设备上的小段数据（文本文件）。Cookies 被广泛用于使网站和应用程序能够运行或更有效地运行， 并帮助它们在您访问期间（使用“会话”cookie）或重复访问时（使用“持续”cookie）记住您的某些信息。

以下概述了我们在服务中使用的第一方和第三方 Cookie 以及我们使用它们的目的。第一方 Cookie 是您访问本网站时，本网站要求您的浏览器存储在您设备上的 Cookie，用于记住您的信息，例如您的语言偏好或登录信息。第三方 Cookie 来自与您正在访问的网站域名不同的域名，用于管理登录信息、管理 Cookie 偏好设置以及我们的广告和营销活动。我们提供控制功能，允许您管理我们网站上的 Cookie 使用情况。

我们将 Cookie 分为以下第 3 节所述的几类。

3.本网站使用的Cookie类别如下：

• 必要/绝对必要的 Cookie：这些 Cookie 不存储任何个人身份信息。但是，它们对于服务功能是必要的，无法在我们的系统中关闭。这些通常仅在您采取相当于服务请求的操作时设置，例如设置隐私偏好、登录或填写表格。您可以将浏览器设置为阻止或提醒您这些 Cookie，但如果没有这些 Cookie，您要求的部分或全部服务可能无法正常运行。

• 效能性Cookie：这些是分析和研究 Cookie，可让我们统计访问量并测量流量，从而衡量和改进我们服务的性能。它们还有助于我们了解哪些页面最受欢迎、哪些页面最不受欢迎，并了解浏览者如何浏览网站或应用程序。这有助于我们改进服务运作方式，提升用户体验。通过这些 Cookie 收集的所有信息都将以汇总和匿名形式进行处理。 您可以使用提供的控件禁用这些 Cookie。阻止这些 Cookie 不会影响为您提供的服务。

• 功能性 Cookie：这些 Cookie 使我们的服务能够提供增强的功能和个性化设置， 例如记住您的选择和帐户偏好，并提供增强的、更个性化的功能。这些 Cookie 可能由我们或我们已添加到我们网页上的第三方提供商设置。您可以禁用这些 Cookie，但如果禁用，您要求的部分或全部服务可能无法正常运行。

• 定向 Cookie：这些文件或代码可能直接或通过我们的广告合作伙伴、 社交媒体功能、我们的网站、电子邮件或移动应用程序包含在内，用于记录您与我们的互动情况，帮助我们更好地分析和改善为您提供的服务，并将使用这些信息使网站和向您展示的任何广告更符合您的兴趣。您可以禁用这些 Cookie。阻止这些 Cookie 不会影响为您提供的服务， 但可能会限制您看到的定向广告， 或限制我们根据您的需求定制网站体验的能力。

我们目前与服务相关的特定 Cookie 列在本 Cookie 声明的末尾。

4.如何拒绝使用 Cookies

您可在访问 PCI SSC 网站时（www.pcisecuritystandards.org），通过点击首页左下角的 Cookie 控制图标，管理各类 Cookie（除基本/必要必要 Cookie 外）。

您也可以通过浏览器的隐私首选项菜单选择适当的设置，阻止浏览器接受某些 Cookie，要求浏览器在放置新 Cookie 之前征得您的同意，或者完全阻止 Cookie。

5.变更

我们可能会不时更新此 Cookie 声明。任何变更都将发布在此页面上，并注明更新日期。

6.联系

有关我们收集和使用个人信息的更多信息，包括有关您的权利或联系方式的详细信息，请参阅我们的隐私政策。

如果您对本 Cookie 声明有任何疑问或顾虑，请通过我们的数据保护计划联系我们：

免费电话号码： 电子邮件： 邮政地址：

1-888-241-3525 dataprivacy@pcisecuritystandards.org PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 致：技术、基础设施与隐私总监

在适用情况下，您也可以向相关管辖区的数据保护机构提出投诉。

 

COOKIE 列表

必要/绝对必要的 Cookie

www.pcisecuritystandards.org

• PHPSESSID：会话 Cookie

programs.pcissc.org

• ASP.NET_SessionId：会话 Cookie
• pciAdmin：会话 Cookie
• AWSALB：AWS 负载均衡器 Cookie
• AWSALBCORS：AWS 负载均衡器 Cookie

功能性 Cookie

www.pcisecuritystandards.org

• cookiecontrol：跟踪隐私声明的接受/拒绝以及定向 cookie 的使用情况
• notification_bar：跟踪通知栏的关闭情况

programs.pcissc.org

• session-timeout-cookie：跟踪会话超时

auth.pcissc.org

• auth0:用于实施 Auth0 单次登录会话层。
• auth0_compat：在不支持 sameSite=None 属性的浏览器上用于单点登录的备用 cookie。
• auth0-mf：用于对给定设备建立信任级别。
• auth0-mf_compat：在不支持 sameSite=None 属性的浏览器上用于多因素身份验证的备用 cookie。
• a0_users:sess:用于经典通用登录流程中的 CSRF 保护。
• a0_users:sess.sig:用于经典通用登录流程中的 CSRF 保护。
• did:用于攻击防护的设备识别。
• did_compat:在不支持 sameSite=None 属性的浏览器上进行异常检测的备用 cookie。

定向 Cookie

www.pcisecuritystandards.org

• _ga = Google Analytics，仅在接受定向 Cookie 时
• _gid = Google Analytics，仅在接受定向 Cookie 时
• _parsely_visitor，仅在接受定向 Cookie 时
• _parsely_session，仅在接受定向 Cookie 时

 

附录 B

加州居民隐私补充条款

本《加州居民隐私补充条款》（以下简称“隐私声明”）是对我们隐私政策中信息的补充，仅适用于居住在加利福尼亚州的访问者和其他人士（以下简称“用户”或“您”）。我们根据《2018 年加州消费者隐私法案》（“CCPA”）、《加州隐私权与执法法案》（“CPRA”）以及其他加州隐私法律采用本声明。这些法律中定义的任何术语在本声明中使用时具有相同的含义。

我们收集的信息

我们收集能够识别、涉及、描述、引用、关联特定个人或设备或合理地直接或间接与特定个人或设备相关联的信息（“个人信息”）。在过去的 12 个月内， 我们从用户处收集了以下类别的个人信息：

类别	示例	收集
A. 标识符。	真实姓名、别名、邮政地址、唯一个人标识符、在线标识符、互联网协议地址、电子邮件地址、帐户名、社会安全号码、驾驶执照号码、护照号码或其他类似标识符。	是
B. 《加州客户记录法》所列个人信息类别（《加州民法典》第 1798.80(e) 条。	姓名、签名、社会安全号码、身体特征或描述、地址、电话号码、护照号码、驾驶执照或州身份证号码、保险单号码、教育程度、就业情况、就业历史、银行账号、信用卡号码、借记卡号码或任何其他财务信息、医疗信息或健康保险信息。本类别中包含的某些个人信息可能与其他类别重叠。	是
C. 加利福尼亚州或联邦法律保护的分类特征。	年龄（40 岁以上）、种族、肤色、血统、国籍、公民身份、宗教或信仰、婚姻状况、健康状况、身体或精神残疾、性别（包括性别、性别认同、性别表达、怀孕或分娩及相关健康状况）、性取向、退伍军人或军人身份、基因信息（包括家族基因信息）。	是
D. 商业信息。	个人财产、购买、获得或考虑购买的产品或服务的记录，或其他购买或消费历史或趋势。	是
E. 生物识别信息。	用于提取模板或其他标识符或识别信息的遗传、生理、行为和生物特征或活动模式，例如指纹、面部特征和声纹、虹膜或视网膜扫描、击键、步态或其他身体特征，以及睡眠、健康或锻炼数据。	否
F. 互联网或其他类似网络活动。	浏览历史记录、搜索历史记录、用户与网站、应用程序或广告的交互信息。	是
G. 地理位置数据。	物理位置或移动。	否
H. 感官数据。	音频、电子、视觉、热、嗅觉或类似信息。	否
I. 专业或就业相关信息。	当前或过去的工作经历或绩效评估。	是
J. 非公开教育信息（根据《家庭教育权利与隐私法》（《美国法典》第 20 编第 1232g 条、《联邦法规》第 34 编第 99 部分））。	教育机构或其代理方保存的与学生直接相关的教育记录，例如成绩、成绩单、班级名单、学生课程表、学生识别码、学生财务信息或学生纪律记录。	是
K. 从其他个人信息得出的推论。	反映个人偏好、特征、心理趋势、倾向、行为、态度、智力、能力和才能的个人资料。	否

个人信息不包括：

• 政府记录中公开可获取的信息。
• 去识别化或汇总的用户信息。
• CCPA 和 CPRA 范围之外的信息，例如：

• • 受《1996 年健康保险携带与责任法案》(HIPAA) 和《加州医疗信息保密法案》(CMIA)保护的健康或医疗信息，或临床试验数据；
  • 受特定行业隐私法律保护的个人信息，包括《公平信用报告法》（FRCA）《格雷姆─里奇─比利雷法案》（GLBA）或《加州金融信息隐私法》（FIPA），以及1994年《驾驶员隐私保护法》。

我们从以下来源获取上述类别的个人信息：

• 直接来自我们的访客、参与者、会员、评估商、实验室及其他参与我们活动、项目或访问我们网站的人员（“利益相关方”）。例如，从向我们提供的与我们为利益相关者提供的计划和其他服务（“服务”）相关的文件中获取。
• 间接来自我们的代表或其代理人。例如，通过我们的代理商在提供服务过程中从利益相关者处收集的信息。
• 直接或间接来自我们网站（www.pcisecuritystandards.org）上的活动或事件，或通过我们的其他在线资源。例如，通过我们的网站门户提交的信息、自动收集的网站使用详情或参与在线活动。
• 因我们的服务而与我们互动的第三方。例如，来自与我们的利益相关者合作以促进我们服务的商业伙伴。

个人信息的用途

我们可能会出于以下一个或多个商业目的（统称为“商业目的”）使用或披露我们收集的个人信息：

• 为履行或提供信息所涉及的服务。例如，我们将使用合格的安全评估商提供的联系信息（姓名、电话号码、电子邮件和地址）与他们的联系人就相应的计划活动和参与进行沟通。
• 为您提供您向我们请求的信息、产品或服务。
• 向您提供电子邮件提醒、活动注册以及您可能感兴趣的有关我们产品或服务、活动或新闻的其他通知。
• 履行您与我们之间签订的任何合同所产生的义务并行使相关权利，包括计费和收款。
• 改进我们的网站并向您呈现其内容。
• 用于测试、研究、分析和服务开发。
• 在必要或适当的情况下，为保护我们、我们的利益相关者或其他人的权利、财产或安全。
• 回应执法机构的要求，并遵守适用法律、法院命令或政府法规的要求。
• 在收集您的个人信息时向您说明，或根据《加州消费者隐私法案》或《加州隐私权法案》另有规定。
• 评估或实施合并、剥离、重组、改组、解散或其他出售或转让本公司全部或部分资产的行为，无论作为持续经营还是破产、清算或类似程序的一部分，其中本公司持有的个人信息属于被转让的资产。
• 如隐私政策另有规定。

在未事先通知您的情况下，我们不会收集其他类别的个人信息，也不会将收集到的个人信息用于实质上不同、无关或不相容的目的。

共享个人信息

我们可能会出于商业目的向第三方披露您的个人信息。当我们出于商业目的披露个人信息时，我们会签订一份合同，说明目的，并要求接收方对个人信息保密，且除履行合同外不得将其用于任何其他目的。

在过去的 12 个月内，我们出于商业目的披露了以下类别的个人信息：

类别 A： 标识符。

类别 B： 《加州客户记录法》所列个人信息类别（《加州法典》第2261.5条）民法典》第 1798.80(e) 条。

类别 C： 受加州或联邦法律保护的分类特征。

类别 D： 商业信息。

类别 F： 互联网或其他类似网络活动。

类别 I： 专业或就业相关信息。

类别 J： 非公开教育信息（依据《家庭教育权利与隐私法》（《美国法典》第 20 编第 1232g 条、《联邦法规》第 34 编第 99 部分））。

我们出于一项或多项商业目的向以下类别的第三方（统称“特定第三方”）披露您的个人信息：

• 我们的关联公司和业务合作伙伴。
• 服务提供商。
• 您或您的代理人授权我们向之披露您的个人信息以供我们向您提供产品或服务的第三方。

在过去的 12 个月内， 除出于商业目的与特定第三方共享外， 我们未出售或共享任何个人信息。

您的权利与选择

法律赋予用户（加州居民）对其个人信息特定的权利。本节描述了您的 CCPA 和 CPRA 权利，并解释了如何行使这些权利。

访问特定信息和数据可携权

您有权要求我们向您披露有关我们收集和使用您的个人信息的一些信息。在收到并确认您的可验证用户请求后，我们将向您披露：

• 我们收集的关于您的个人信息类别。
• 我们收集的关于您的个人信息的来源类别。
• 我们收集或销售该个人信息的商业或商业目的。
• 我们与之共享该个人信息的第三方类别。
• 我们收集的关于您的具体个人信息（也称为数据可携性请求）。
• 如果我们出于商业目的出售或披露了您的个人信息，则披露以下信息的两份独立清单：

• • 销售，标明每类接收方购买的个人信息类别；以及
  • 出于商业目的披露，并指明每类接收者所获得的个人信息类别。
• 在技术可行的情况下，您可以要求以上信息以结构化、常用、机器可读的格式提供给您或您指定的第三方。

删除请求和退出权利

您有权要求我们删除从您那里收集并保留的任何个人信息，但某些例外情况除外。一旦我们收到并确认您的可验证用户请求，我们将从我们的记录中删除（并指示我们的服务提供商删除）您的个人信息，除非适用例外情况。

您还有权要求我们不要出于广告或类似目的与第三方共享、披露、传播、提供或转让您的个人信息。

如果保留信息对于我们或我们的服务提供商而言是必要的，我们可能会拒绝您的请求：

1. 完成我们收集个人信息所涉及的交易，提供您要求的商品或服务，采取与您持续业务关系范围内合理预期的行动，或履行我们与您的合同。
2. 检测安全事件，防范恶意、欺骗、欺诈或非法活动，或起诉此类活动的责任人。
3. 调试产品，以识别和修复影响现有预期功能的错误。
4. 行使言论自由权，确保其他用户行使言论自由权，或行使法律规定的其他权利。
5. 遵守《加州电子通讯隐私法》（加州刑法典第 1546条及以下条款）。
6. 从事符合公众利益的、公开或经同行评审的科学、历史或统计研究，且该研究遵守所有其他适用的道德和隐私法律，如果删除信息可能会使该研究无法实现或严重损害其成果，且您事先提供了知情同意。
7. 仅允许基于您与我们的关系，合理符合用户期望的内部使用。
8. 遵守法律义务。
9. 在您提供信息时所符合的范围内，将该信息用于其他内部和合法用途。

更正信息的权利

您有权要求我们更正关于您的不准确的个人信息，即指出错误信息并提供更正后的信息。

限制使用和披露敏感个人信息的权利

您有权限制“敏感个人信息”的使用和披露（包括 PIN、 社会保障号、驾照号、护照号或州身份证号； 帐户或借记卡/信用卡号码与密码或访问帐户的代码组合、精确地理位置信息、种族背景、宗教信仰或工会会员身份信息、您的电子邮件或短信内容（除非主动发送给我们），以及基因数据）的使用和披露，仅限于我们为您提供所请求产品或服务所必需的情况，且在将此类数据用于其他任何目的前须事先告知您。

自动决策

您有权要求获取我们使用涉及您个人信息的自动决策流程所采用的逻辑相关信息，并要求您不受此类自动决策的影响。

行使您的个人信息权利

要行使上述权利，请按照下面的“联系信息”所述方式联系我们，向我们提交可验证的用户请求。

只有您本人或您授权代表您行事的、在加州州务卿处注册的人士，才能就您的个人信息提出可验证的用户请求。您也可以代表您的未成年子女提出可验证的用户请求。

您在 12 个月内只能提出两次可验证的用户请求以行使访问权或数据可携权。 可验证的用户请求必须：

• 提供足够的信息，使我们能够合理地验证您是我们收集个人信息的人或其授权代表。
• 详细描述您的请求，以便我们能够正确理解、评估并回应您的请求。

如果我们无法核实您的身份或提出请求的权限，也无法确认个人信息与您有关，我们将无法回应您的请求或向您提供个人信息。提出可验证的用户请求并不要求您在我们这里创建帐户。我们只会将可验证用户请求中提供的个人信息用于验证请求者的身份或提出请求的权限。

响应时间和格式

我们致力于在收到可验证的用户请求后 45 天内作出回应。如果我们需要更多时间（最多 90 天）， 我们将以书面形式通知您原因和延期时间。 如果您在我们这里拥有帐户， 我们将把书面答复发送到该帐户。如果您在我们这里没有帐户，我们将根据您的选择通过邮件或电子方式发送书面答复。我们提供的任何披露信息仅涵盖可验证用户请求收到前 12 个月的期间。 我们提供的答复还将说明我们无法满足请求的原因（如适用）。 对于数据可携性请求，我们将选择一种易于使用的格式来提供您的个人信息，该格式应使您能够将信息从一个实体无障碍地传输到另一个实体。

除非您的可验证用户请求过多、重复或明显没有根据，否则我们不会就处理或响应您的请求收取任何费用。如果我们确定该请求需要收费，在完成您的请求之前，我们将告知您做出该决定的原因，并为您提供费用估算。

除了 CCPA 和 CPRA 之外，加州《反客户信息披露法》(Shine the Light law) 赋予加州居民向公司询问其为第三方直接营销目的而与第三方共享哪些个人信息的权利。除非您要求披露，否则我们不会将您的个人信息披露给第三方，用于向您直接推销其商品或服务。此外，《加州民法典》第 1798.83 条允许加州居民且向我们提供了“个人信息” （该术语在第 1798.83 条中有定义）的客户， 要求提供某些关于将该信息披露给第三方用于直接营销目的的信息。如果您是加利福尼亚州居民，对上述内容有疑问，请按照隐私政策中“联系我们”部分所述的方式与我们联系。

非歧视

我们不会因您行使任何数据权利而歧视您。除非法律允许，否则我们不会因您行使任何这些权利而：

• 拒绝向您提供商品或服务。
• 对商品或服务收取不同的价格或费率，包括通过给予折扣或其他优惠，或施加惩罚性措施。
• 向您提供不同等级或质量的商品或服务。
• 建议您可能获得不同价格或费率的商品或服务，或不同等级或质量的商品或服务。

隐私声明的变更

我们保留随时自行修改本隐私声明的权利。当我们对本隐私声明进行修改时，我们将通过网站首页公告或发布更新条款的方式通知您。

联系信息

如果您对本隐私声明、我们的隐私政策、我们收集和使用您的个人信息的方式、您对这种使用所享有的选择权和权利有任何疑问或意见，或者希望行使加州法律赋予您的权利，请随时通过以下方式联系我们：

免费电话号码： 电子邮件： 邮政地址：

1-888-241-3525 dataprivacy@pcisecuritystandards.org PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 致：技术、基础设施与隐私总监