Privacy

最后更新日期：2020 年 8 月 12 日

您的隐私对我们很重要。我们的目标是为您提供个性化的在线体验，为您提供与您最相关且最有帮助的信息、资源和服务。

编写本隐私政策（以下简称“隐私政策”）是为了说明与隐私相关的条款和条件，PCI Security Standards Council （以下简称“PCI SSC”、“我们”或“我们的”）根据这些条款和条件向您提供其网站、网页、域名、门户、注册机构、其他活动和在线资源以及相应材料（统称“网站”），包括但不限于用于提供或与我们的在线会议、活动和其他服务有关的资源。

隐私政策讨论了，除其他事项外，如何收集和使用与您使用本网站有关的数据。我们极度建议您仔细阅读隐私政策。使用本网站即表示您同意接受隐私政策（包括其附录，这些附录在此被纳入隐私政策）的条款约束。如果您不接受隐私政策的条款，您将被指示停止访问或以其他方式使用本网站。如果您对本网站感到不满，请随时通过 dataprivacy@pcisecuritystandards.org 联系我们。

维护网站是一个不断发展的过程，我们可能会在不另行通知的情况下修改本隐私政策的条款。如果您在修改后继续使用本网站，则表明您同意修改后的条款，该条款在修改后的生效日期生效。有效的隐私政策将在网站上公布，您应在每次访问时检查是否有任何变更。

1.本隐私政策涵盖的网站和资源

本隐私政策适用于所有 PCI SSC 网站、网页、域名、门户网站、注册机构和其他在线资源，包括但不限于用于提供我们的在线会议和活动或与之相关的资源。  尽管有上述规定，我们可能会不时要求特定网页、门户或资源的用户同意相应的附加条款和条件（“附加条款”），在解决与本隐私政策明确冲突的必要范围内，此类附加条款应具有约束力。

2.儿童的隐私

我们致力于保护儿童的隐私需求，我们鼓励父母和监护人在其子女的在线活动和兴趣方面发挥积极作用。我们不会有意收集 13 岁以下儿童的信息，也不会将网站锁定在儿童身上。

 

3.与非 PCI Security

Standards Council 网站的链接

为了方便我们的用户，本网站可能会提供第三方网站的链接。如果您访问这些链接，您将离开我们的网站。我们不控制这些第三方网站，也不能表示他们的政策和做法与本隐私政策一致。例如，其他网站可能以不同于本文件所述的方式收集或使用关于您的个人信息。因此，您应谨慎使用其他网站，并自行承担风险。我们鼓励您在提交个人信息之前审查任何网站的隐私政策。

4.我们收集的信息类型

非个人信息

非个人信息是关于使用和服务操作的数据，与特定的个人身份没有直接联系。我们可能收集和分析非个人信息，以评估用户如何使用网站。

5.汇总信息

我们可能会收集汇总信息，这是指您的计算机自动提供给我们的信息，这些信息不能与您作为一个具体个人相联系。例如，转介数据（您在我们网站之前和之后访问的网站）、浏览的页面、在我们网站上花费的时间以及互联网协议（IP）地址。IP 地址是一个数字，当您访问互联网时，它会自动分配给您的计算机。例如，当您从我们的一个网站请求一个页面时，我们的服务器会记录您的 IP 地址，以创建关于用户人口统计和流量模式的汇总报告，并用于系统管理。

6.日志文件

每次您从网站上请求或下载文件时，我们可能会有关这些事件和您的 IP 地址的数据存储在日志文件中。我们可能会使用这些信息来分析趋势，管理网站，跟踪用户的移动，并收集广泛的人口统计信息，供汇总使用或用于其他商业目的。

7.Cookies

我们的网站可能使用您的浏览器功能来在您的计算机上设置“cookie”。Cookie 是网站计算机在您的计算机上存储的小信息包。然后，只要您访问，网站便可读取这些 cookies。我们可能以多种方式使用 cookies，例如，保存您的密码，这样您就不必在每次访问我们的网站时重新输入密码，提供针对您兴趣的内容，并跟踪您所访问的网页。这些 cookies 使我们能够使用我们收集的信息来定制您的网站体验，从而使您对我们网站的访问尽可能与您相关并对您有价值。

关于 cookies 和我们如何使用它们的更多信息，请查看我们的 Cookie 通知，见附录 A。

 

8.网络信标

本网站还可能使用网络信标来收集有关您使用我们的网站和所选赞助商和广告商的网站、您对特别促销活动或通讯的使用以及其他活动的非个人信息。通过网络信标收集的信息，我们可以统计并监控有几名用户在使用我们的网站和所选赞助商的网站；有几名用户打开我们的电子邮件；以及出于什么目的采取这些行动。我们的网络信标不会被用来追踪您在我们网站或我们赞助商网站以外的活动。未经您的许可，我们不会将来自网络信标的非个人信息与个人身份信息相联系。

9.个人数据

“个人数据”是与您的姓名或个人身份相关的信息。一般来说，我们使用个人数据是为了更好地了解您的需求和兴趣，并为您提供更好的服务。我们所收集个人数据的具体用途将在收集这些数据的网页上说明。  您通过网站向我们提供的个人数据类型可能包括姓名、地址、电话号码、电子邮件地址、用户 ID、密码和帐单信息。  提供这些信息可能是必要的或被要求的，以便使您能够请求和/或下载信息或材料，订阅邮件列表，参加相应的在线或亲自讨论或活动，合作编写文件，提供反馈，提交信息到登记处，注册或参加计划、会议或活动，申请参与或加入，或加入技术委员会或工作组。  我们收集这些信息是为了与您联系或向您发送所要求的材料（如与所要求的文件或订阅邮件列表），使您能够参与相应的事件和活动，并向我们或其他人确认您的身份（如申请注册或参与会议或活动或加入委员会，或参与计划或在线讨论），并为您要求的服务或材料收费。您可以随时选择不向我们提供您的个人数据，但这将限制您参与这些活动或受益于这些服务的能力。 

个人数据的保存时间不会超过收集数据目的所需的时间，一般来说，我们将保留个人数据 3 年，如果您与我们有任何资格或合同关系，则在该资格或关系停止后保留 3 年。  在某些情况下，我们无法事先规定您的个人数据的保留期限。尽管如此，我们可能会保留、处理和使用您的个人数据，因为这对于遵守我们所承担的法律或合同义务是必要的，以保护您的重要利益或其他人的重要利益，或为了其他适用的合法利益。

10.受限制的网站和门户

您在申请参与或加入会员时提供的信息可能会被用于创建相应的参与组织、参与者或会员档案，或用于参与相应的活动，并可能分享给其他 PCI SSC 会员或参与者代表和组织。可以在安全的网站上将此类信息提供给其他参与者或成员，以鼓励和促进合作、在线讨论、研究以及信息的自由交流。PCI Security Standards Council的参与者和成员会自动加入到适用的 PCI SSC 邮件列表中。我们可能会不时地将参与者和成员信息分享给活动组织者和/或其他为我们的参与者或成员提供额外好处的组织。通过向我们提供您的个人信息，您明确同意我们出于这些目的储存、处理和分发这些信息。

 

11.会议和活动

您提供的与活动或注册活动有关的信息，如我们的社区会议、市政厅和类似的活动，无论是现场举行还是在线举行，可能包括姓名、电子邮件地址、公司名称和公司类型。  这些信息用于运营此类活动和促进您的参与，并且可能出于上述目的以及如上文“受限网站和门户”中所述与我们的承包商或其他活动参与者一起使用和共享。  在您向我们提供此类信息时，我们将要求您同意我们出于提供信息目的而储存、处理、分发和使用此类数据。  在此类活动中，我们还可能要求提供额外信息，如地址、公司附属机构、公司雇员人数和其他公司信息，此类信息可能被用于营销目的，并可能被分发给活动赞助商。在收集信息时，会要求同意使用此类额外信息。  所收集到与此类活动有关的所有信息将根据本隐私政策的适用条款予以保留。

12.公司信息

公司信息是与我们的参与者、会员和其他利益相关者或用户组织的名称和地址有关的信息，可能包括有关使用和服务运作的数据。任何此类组织的主要代表可以要求提供使用报告，以衡量其雇员参与我们活动的程度。您应该了解有关您参与技术委员会、工作组以及在线讨论和活动的信息，例如，可能会被提供给您公司的主要代表和 PCI SSC 工作人员。

13.我们如何使用您的信息

我们可能会使用汇总的非个人数据，用于报告网站活动、可用性、性能、有效性或参与情况。它可能被用于改善网站或未来活动的体验、可用性和内容。

我们可能会使用个人信息来给予或提供服务，以支援我们或我们的参与者、成员、利益相关者或其他使用者的活动，以及他们与我们的合作，或者为您提供电子通讯、公告、调查或其他信息。在访问受限的 PCI SSC 网页、门户或活动时，我们可能会使用或跟踪您的个人用户信息，以支持合作，确保授权访问，并让参与者或成员进行交流。

14.信息共享

我们不会出于营销目的向任何人出售、出租或租赁任何个人的个人信息或电子邮件地址列表，并且我们采取商业上合理的步骤来维护这些信息的安全。未向您提供法律规定的通知和选择退出或加入的机会，我们今后不会从事任何上述事务。  同样，我们不提供与我们收集、使用或披露您的个人信息相关的经济奖励。  但是，我们保留将任何此类信息提供给 PCI SSC 未来可能合并的任何组织或可能向其进行任何转让的任何组织的权利，以使第三方能够继续我们的部分或全部使命或活动。当我们合理地认为您违反了适用的使用条款，或者我们合理地认为您发起或参与了任何非法活动，我们还保留发布个人信息的权利，以保护我们的系统或业务。此外，请注意，在某些情况下，我们可能有义务根据司法或其他政府传票、逮捕令或其他命令公布您的个人信息。

为了与我们的公开程序保持一致，我们可能会为我们的绝大部分活动保留可公开访问的档案。例如，将电子邮件消息发布到任何 PCI SSC 主办的邮件列表或讨论论坛，订阅任何 PCI SSC 简报，或注册参加我们的公开会议或其他会议，都可能导致您的电子邮件地址成为相应公开访问档案的其中一个部分。

如果您是 PCI Security Standards Council 的参与者或成员，您应该知道其他此类参与者和成员以及公众可能会查阅您的某些个人信息。我们的参与者和会员数据库可能会保留有关您的姓名、电子邮件地址、公司隶属关系以及您选择提供的其他个人地址和识别数据的信息。其他此类参与者或成员以及公众普遍可能看到这些数据。您的姓名、电子邮件地址以及您可能提供的其他信息也可能包括在我们的各种委员会、工作组、在线活动和讨论以及您在各个地方参加的类似活动的公开记录中，包括：(i) 永久张贴的这些活动的出席情况和其他记录；(ii) 活动产生的文件，这些文件可能被永久存档；以及(iii) 与信息内容一起，在我们的电子邮件列表的永久存档中，这些列表也可能被公开。

请记住，您在网站的公共区域或与公共或广泛参与的活动，如论坛（现场或在线）、留言板、新闻组和其他活动中披露的任何信息（包括个人信息），可能成为其他人可能收集、传播和使用的公开或广泛的可用信息。由于我们不能也不会控制他人的行为，因此在决定在论坛或其他类似活动中披露自己或他人的信息时，应谨慎行事。

鉴于 PCI Security

Standards Council的国际范围，居住国以外的人可能会看到您的个人信息，包括您本国的隐私法律和法规认为不足以确保对此类信息提供足够保护的国家的人。如果您不确定本隐私政策是否与当地的适用规则相冲突，则不应该提交您的信息。 
   

您的个人数据将绝不用于直接营销目的，尽管我们可能会联系您，以跟进您提出的关于我们提供的服务、事件或活动的信息请求。

如果您不希望 PCI Security Standards Council收集和使用您的个人信息，请不要访问或使用我们的网站，不要申请参与者或会员资格，亦不要参与 PCI SSC 活动。

15.信息的访问和准确性

我们致力于保持我们的参与组织和成员组织以及其他网站用户的个人信息的准确性。您提交给我们的所有信息均可予以核实和更改。为此，请通过电子邮件向我们提出请求：dataprivacy@pcisecuritystandards.org。 我们可能会向参与者、会员和/或其他人员提供对其个人档案的在线访问权限，使他们能够随时更新或删除信息。为了保护您的隐私和安全，我们也可能采取合理的步骤来核实身份，如在访问修改个人档案数据之前要求提供用户 ID 和密码。网站的某些区域可能通过使用密码或其他个人标识符来限制特定个人的访问权限；密码提示是您正在访问受限资源的指示。

 

16.安全性

我们使用各种方法来保护网站用户提供的个人信息，包括将防火墙和其他安全措施应用于其服务器上。然而，没有所谓百分百安全的服务器，当您在网站上或其他站点提交有关您自己或他人的个人或机密信息时，应将该因素考虑在内。我们收集的大部分个人信息会在参与和/或会员级服务（如协作和讨论）时并同使用，因此，其他PCI Security Standards Council的参与者或会员以及公众将看到您的姓名、公司隶属关系和电子邮件地址等某些类型的个人信息。对于您所提供的信息的拦截、更改、使用或滥用，我们不承担任何责任。只有您自己负责维护您个人信息的保密性。当您访问网站和以其他方式提供个人信息时，请谨慎行事。

17.选择退出

我们可能会不时地通过电子邮件将电子通讯、公告、调查或其他信息发送给您。如果您不希望收到任何或所有此类通讯，则可以按照电子通讯和公告中提供的指示选择退出。

18.加州隐私权利

根据《2018 年加州消费者隐私法》（“CCPA”）和其他加州隐私法，加州居民对符合适用的 CCPA 要求的公司在收集、使用和分享其个人信息方面拥有某些权利。例如，如果您是加州居民，您有权要求知道我们收集了您的哪些个人信息，并有权访问这些信息。您也有权要求删除您的个人信息，尽管 CCPA 规定的例外情况可能允许我们保留和使用某些个人信息，尽管您提出删除要求。关于这些权利和法律的更多信息，请查看我们的《加州居民隐私通知》，见附录 B。 

19.遵守《一般数据保护条例》(GDPR)

如果您是欧洲经济区（“EEA”）的居民或位于欧洲经济区，则可能拥有《一般数据保护条例》（“GDPR”）规定的某些权利。您在网站上提供的或通过网站提供的或与我们的活动有关的个人数据，仅在征得您的同意后才被收集，并且可能根据该同意在欧洲经济区外传输给 PCI 安全标准协会（或为 PCI 安全标准协会维护的计算机服务器）。

一般来说，根据 GDPR，您可以：

• 要求访问您的个人数据
• 纠正不完整或不正确的个人数据
• 删除您的个人数据
• 暂停或限制我们对您的个人数据的使用，或撤销您的同意
• 要求提供您的个人数据的副本
• 如果您认为您在
  
  GDPR 下的权利不被尊重，请向监督机构投诉。
  

如果您要求提供您的个人数据的副本，我们将向您提供一份副本。第一份副本将免费提供，但额外副本可能需要收取合理的费用。如果您要求删除您的个人数据，PCI Security Standards Council通常会在可行的情况下尽快删除，但您要求删除您的个人数据的权利受到例外情况的限制，例如，遵守法律义务或建立、行使或辩护法律索赔。 

如果您认为我们对您的个人数据的处理违反了适用的数据保护法，则有法律权利向负责数据保护的监督机构提出投诉。您可以在您的惯常居住地、工作地点或被指控的侵权行为发生地的欧盟成员国提出投诉。

您应该注意，我们的服务器位于美国，欧盟认为美国的数据保护措施不足。  因此，当您通过网站向我们提供信息时，您是在美国向我们提供这些信息。您还应该注意，如果您在美国以外的国家（包括但不限于欧洲经济区），您的个人数据可能被转移到和/或在您的国家以外的地方（包括美国）收集、储存、处理和/或使用。例如，如果欧洲经济区个人的个人数据被转移到我们位于美国或欧洲经济区以外其他国家的服务器上，就可能发生这种情况。这些国家可能没有与欧洲经济区或您所在国家类似的数据保护法。当我们收集此类信息时，我们将要求您同意将其转移到和/或在美国或其他国家（如适用）存储、处理、分发和使用。 如果我们以这种方式将您的信息转移到欧洲经济区之外，我们将采取措施确保采取适当的安全措施，目的是确保您的隐私权继续受到本政策所述的保护。 

20.联系我们

如果您对本政策或您的个人数据有任何问题或疑虑，或者希望行使上述任何权利，请通过 PCI Security Standards Council

的数据保护计划与该委员会联系：

免费电话号码：	1-888-241-3525
电子邮件：	dataprivacy@pcisecuritystandards.org
邮政地址：	PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 收件人：隐私和信息安全部主任

 

 附录 A和 B 如下。

附录 A

COOKIE 通知

本 cookie 通知向您提供有关我们如何使用“cookie”或类似技术的信息，这些技术与我们的网站、其他在线资源以及上述各项内容（均为“服务”）相关，以使我们能够了解您与服务的互动情况，改善您的体验，并允许您使用某些相关功能。本通知还提供了关于第三方如何使用与我们的服务运营有关的此类技术的信息。

1.关于本 Cookie 通知

本 Cookie 通知在您使用我们的任何服务时适用，并可能由服务的某些区域或我们与您互动期间提供的其他 Cookie 通知或条款加以补充。

2.Cookie 的使用

Cookies 是由您访问的网站或使用的应用程序放置于您的计算机或设备上的小块数据（文本文件）。Cookies 被广泛使用，以使网站和应用程序运行，或更有效地运行，并帮助它们记住关于您的某些信息，无论是在您访问期间（使用“会话”cookie）还是重复访问（使用“持久性”cookie）。

下面概述了我们在服务中使用的第一方和第三方 cookies，以及我们使用它们的目的。第一方 cookie 是我们的网站在您访问时要求您的浏览器在您的设备上存储的 cookie，以便记住诸如您的语言偏好或登录信息等有关您的信息。第三方 cookie 是来自不同于您正在访问的网站域的 cookie，用于我们的广告和营销工作。

我们将 cookies 归入以下第 3节 所述的类别。

 3. 本网站使用的 cookies 类别如下：

• 基本/绝对必要的 cookies：这些 cookies 不存储任何个人身份信息。然而，它们对于运作服务是必要的，并且无法在我们的系统中关闭。它们通常只在您采取相当于请求服务的行动时设置，如设置您的隐私偏好、登录或填写表格。您可以将您的浏览器设置为阻止或提醒您注意这些 cookies，但如果没有这些 cookies，您所要求的部分或全部服务可能无法正常运行。

• 性能 cookie：它们是分析和研究 cookie，使我们能够计算访问量和测量流量，以便我们能够衡量和改进我们服务的性能。它们还帮助我们了解哪些页面最受欢迎，哪些页面最不受欢迎，并了解浏览者在网站或应用程序中的移动方式。这有助于我们改进我们的服务工作方式和改善用户体验。通过这些 cookies 收集的所有信息将以汇总和匿名的形式处理。您可以将您的浏览器来阻止或提醒您注意这些 cookies。阻止这些 cookies 并不会影响提供给您的服务。

• 功能 cookie：这些 cookie 使我们的服务能够提供增强的功能和个性化服务，如记住您的选择和您的账户偏好，并提供增强的、更加个性化的功能。这些 cookies 可能由我们或我们已将其服务添加到我们页面的第三方提供商设置。您可以将您的浏览器设置为阻止或提醒您注意这些 cookies，但如果没有这些 cookies，您所要求的部分或全部服务可能无法正常运行。

• 目标 cookie：这些文件或代码可能直接或来自我们的广告合作伙伴、社交媒体功能、我们的网站、我们的电子邮件或移动应用程序，以记录您与我们的互动方式，有助我们更好地分析和改进我们提供给您的服务，并将使用这些信息使网站和显示给您的任何广告更符合您的兴趣。您可以将您的浏览器来阻止或提醒您注意这些 cookies。阻止这些 cookies 并不会影响提供给您的服务，但会限制您看到的目标广告，或限制我们根据您的需求定制网站体验的能力。

我们目前使用的与服务相关的特定 cookie 列在此

cookie 通知末尾。

4.如何拒绝使用

cookies

在使用 PCI
SSC 网站(www.pcisecuritystandards.org)时，您可以通过点击我们主页底部的 cookie 横幅中的“拒绝”，选择不接受每一类
cookie（基本/绝对必要的
cookie 除外）。

您亦可阻止您的浏览器接受某些 cookie，在将一个新 cookie 放置于您的浏览器中之前征得您的同意，或者通过在您的浏览器隐私偏好菜单中选择适当设置来完全阻止 cookie。

以下链接将帮助您找到一些常见浏览器的设置（请注意，我们对外部网站的内容概不负责）：

• 管理 Chrome 和 Chrome
  Android 以及 Chrome iOS 中的 cookie 设置
• 管理 Safari和 Safari iOS 中的 cookie 设置
• 管理 Firefox 中的 cookie 设置
• 管理 Internet
  Explorer 中的 cookie 设置
• 管理 Opera 中的 cookie 设置

对于所有其他浏览器，或其他建议，可通过您的设备用户手册，或访问 www.allaboutcookies.org，或可用的在线帮助文件，寻求帮助。

 

5.变更

我们可能会不时地更新本 cookie 通知。任何变更都将在本页面上公布，并注明更新的修订日期。

6.联系

关于我们收集和使用个人信息的更多信息，包括有关您的权利或联系方式的详情，请参考我们的隐私政策。

如果您对本 cookie 通知有任何疑问或顾虑，请通过我们的数据保护计划联系我们：

免费电话号码： 电子邮件： 邮政地址：

1-888-241-3525 dataprivacy@pcisecuritystandards.org PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 收件人：隐私和信息安全部主任

在适用情况下，您亦可向相应管辖区的数据保护机构提出投诉。

 

COOKIE 清单

基本/绝对必要的 Cookies

www.pcisecuritystandards.org

• PHPSESSID：会话 cookie
• 协议：跟踪文件库的许可协议 
• pci_doc_agreements
  = 跟踪文件库的许可协议 

programs.pcissc.org

• ASP.NET_SessionId：会话 cookie
• pciAdmin：会话 cookie
• AWSALB：AWS 负载平衡器 cookie
• AWSALBCORS：AWS 负载平衡器 cookie

 

功能 COOKIE

www.pcisecuritystandards.org

• gdpr-cookie：跟踪接受/拒绝隐私通知和目标 cookies 的使用情况
• notification_bar：跟踪通知栏的关闭情况
• doc_library：跟踪文件库的访问情况
• docleadgen:
  跟踪用户在访问文件库时是否填写了客户生成弹出式表格

programs.pcissc.org

• session-timeout-cookie：跟踪会话的超时情况

目标 Cookies

www.pcisecuritystandards.org

• _ga
  = Google Analytics，仅在接受目标 Cookie 的情况下
• _gid
  = Google Analytics，仅在接受目标 Cookie 的情况下

日期：2020 年 8 月 12 日

 

附录 B

加州居民隐私补充说明

本《加州居民隐私补充声明》（以下简称“隐私声明”）补充了我们隐私政策中包含的信息，仅适用于居住在加州的访问者和其他人（“用户”或“您”）。我们采用本通知是为了遵守《2018 年加州消费者隐私法》（“CCPA”）和其他加州隐私法。CCPA 中定义的任何术语用于本通知时具有相同含义。

我们收集的信息

我们收集能够识别、涉及、描述、参考、能够与之相关联或能够合理地直接或间接与特定个人或设备相联系的信息（“个人信息”）。特别是，我们在过去 12个 月内从用户收集了以下类别的个人信息。

类别	示例	已收集
A.身份识别信息。	真实姓名、别名、邮政地址、唯一个人标识符、在线标识符、互联网协议地址、电子邮件地址、账户名称、社会安全号码、驾驶执照号码、护照号码或其他类似标识符。	是
B.加州客户记录法规中（《加州公民法》第 1798.80(e) 条列出的个人信息类别。	姓名、签名、社会安全号码、身体特征或描述、地址、电话号码、护照号码、驾驶执照或州身份证号码、保险单号码、教育、就业、就业历史、银行账户号码、信用卡号码、借记卡号码，或任何其他财务信息、医疗信息或健康保险信息。本类别中的部分个人信息可能与其他类别重叠。	是
C.受加利福尼亚州法律或联邦法律保护的分类特征。	年龄（40岁或以上）、种族、肤色、血统、国籍、公民身份、宗教或信仰、婚姻状况、医疗状况、身体或精神残疾、性别（包括性别、性别认同、性别表达、怀孕或分娩及相关医疗状况）、性取向、退伍军人或军人身份、遗传信息（包括家族遗传信息）。	是
D.商业信息。	购买、获得或考虑的个人财产、产品或服务或其他购买或消费历史或倾向的记录。	是
E.生物识别信息。	遗传、生理、行为和生物特征，或用于提取模板或其他标识符或识别信息的活动模式，例如，指纹、面部指纹和声纹、虹膜或视网膜扫描、击键、步态或其他身体模式，以及睡眠、健康或运动数据。	否
F.互联网或其他类似的网络活动。	浏览历史、搜索历史、用户与网站、应用程序或广告互动的信息。	是
G.地理定位数据。	物理位置或移动。	否
H.感官数据。	音频、电子、视觉、热、嗅觉或类似信息。	否
I.专业或就业相关信息。	当前或过去的工作历史或业绩评估。	是
J.非公共教育信息（根据《家庭教育权利和隐私法》（《美国法典》第 20 篇第 1232g 节，联邦法规汇编第 34 篇第 99 部分））。	由教育机构或代表其行事的一方保存的与学生直接相关的教育记录，如成绩、成绩单、班级名单、学生课程表、学生身份编码、学生财务信息或学生纪律记录。	是
K.使用其他个人信息得出的推断。	反映某人的喜好、特点、心理趋势、倾向、行为、态度、智力、能力和性向的档案。	否

个人信息不包括：

• 政府记录中的公开信息。
• 去除身份识别的或汇总的用户信息。
• 不在 CCPA 范围的信息，例如：

• 1996
  年《健康保险可携性和责任法》（HIPAA）和《加利福尼亚医疗信息保密法》（CMIA）所涵盖的健康或医疗信息，或临床试验数据；
• 某些特定部门隐私法所涵盖的个人信息，包括《公平信用报告法》（FRCA）、《格雷姆–里奇–比利雷法》（GLBA）或《加州金融信息隐私法》（FIPA），以及《1994 年司机隐私保护法》。

我们从以下几类来源获得上述各类个人信息：

• 直接从我们的访问者、参与者、会员、评估商、实验室和其他参与我们的活动、我们的项目或访问我们网站的人（“利益相关者”）。例如，从提供给我们的与我们提供给利益相关者的项目和其他服务（“服务”）有关的文件中。
• 间接来自我们的代表或其代理人。例如，通过我们的代理人在提供服务的过程中从利益相关者那里收集的信息。
• 直接和间接来自我们网站（www.pcisecuritystandards.org）上的活动或事件，或通过我们的其他在线资源。例如，从通过我们的网站门户提交的信息、自动收集的网站使用详情或参与在线活动中获得。
• 来自与我们的服务互动的第三方。例如，来自与我们的利益相关者合作以促进我们服务的商业伙伴。

个人信息的使用

我们可能出于以下一个或多个商业目的使用或披露我们收集的个人信息：

• 为了履行或提供提供信息的服务。例如，我们将使用合格的安全评估商提供的联系信息（姓名、电话号码、电子邮件和地址），与他们的联系人员就相应的计划活动和参与进行沟通。
• 为您提供您向我们要求的信息、产品或服务。
• 向您提供您可能感兴趣的有关我们的产品或服务、活动或新闻的电子邮件提醒、活动注册和其他通知。
• 履行我们的义务，并执行我们与您之间签订的任何合同所产生的权利，包括开票和收款。
• 为了改进我们的网站并向您展示其内容。
• 用于测试、研究、分析和服务开发。
• 为保护我们、我们的利益相关者或其他人的权利、财产或安全而有必要或适当的。
• 响应执法要求和适用法律、法院命令或政府法规的要求。
• 在收集您的个人信息时向您说明，或按照 CCPA 的其他规定。
• 评估或进行合并、剥离、重组、解体，或以其他方式出售或转让我们的部分或全部资产，无论是作为持续经营还是作为破产、清算或类似程序的一部分，其中我们持有的个人信息属于转让的资产。
• 如隐私政策中另有规定。

在不通知您的情况下，我们不会收集其他类别的个人信息，或将我们收集的个人信息用于实质上不同、不相关或不相容的目的。

分享个人信息

我们可能会出于商业目的向第三方披露您的个人信息。当我们出于商业目的披露个人信息时，我们会签订一份合同，说明目的，并要求接收方对个人信息进行保密，除履行合同外不得将其用于任何目的。

在过去的 12 个月里，我们出于商业目的披露了以下类别的个人信息：

A 类：    身份识别信息。

B 类：     加州客户记录法规中（《加州公民法》第 1798.80(e) 条列出的个人信息类别。

C 类：    受加利福尼亚州法律或联邦法律保护的分类特征。

D 类：    商业信息。

F 类：     互联网或其他类似的网络活动。

I 类：      专业或就业相关信息。

J 类：      非公共教育信息（根据《家庭教育权利和隐私法》（《美国法典》第 20 篇第 1232g 节，联邦法规汇编第 34 篇第 99 部分））。

我们出于商业目的向以下类别的第三方披露您的个人信息。

• 我们的关联公司和商业伙伴。
• 服务提供商。
• 您或您的代理人授权我们就我们提供给您的产品或服务向其披露您的个人信息的第三方。

在过去的 12 个月里，我们没有出售任何个人信息。

您的权利和选择 

CCPA为用户（加州居民）提供了有关其个人信息的具体权利。本节介绍您的CCPA权利，并说明如何行使这些权利。

访问特定信息和数据可携带权利

您有权要求我们向您披露关于我们在过去 12 个月内收集和使用您个人信息的某些信息。一旦我们收到并确认您可核实的用户请求，我们将向您披露：

• 我们收集的关于您的个人信息的类别。
• 我们收集的关于您的个人信息的来源类别。
• 我们收集或出售该个人信息的业务或商业目的。
• 我们与之共享该个人信息的第三方的类别。
• 我们收集的关于您的具体个人信息（亦称数据可携带请求）。
• 如果我们出于商业目的出售或披露您的个人信息，则有两份单独的清单，分别披露：

• 销售，确定每类接收者购买的个人信息类别；以及
• 出于商业目的的披露，确定每类接收者获得的个人信息类别。

删除请求权 

您有权要求我们删除从您那里收集并保留的任何个人信息，但某些例外情况除外。一旦我们收到并确认您可核实的用户请求，我们将从我们的记录中删除（并指示我们的服务提供商删除）您的个人信息，除非有例外情况。

如果保留信息对我们或我们的服务供应商来说是必要的，我们可以拒绝您的删除请求，以：

1. 完成我们收集个人信息的交易，提供您要求的商品或服务，在我们与您的持续业务关系中采取合理预期的行动，或以其他方式履行我们与您的合同。
2. 检测安全事件，防止恶意的、欺骗性的、欺诈性的或非法的活动，或起诉对这些活动负有责任的人。
3. 调试产品以识别和修复损害现有预期功能的错误。
4. 行使言论自由，确保其他用户行使言论自由的权利，或行使法律规定的其他权利。
5. 遵守《加州电子通信隐私法》（加州刑法典》第 1546 条以下）。
6. 如果您较早前提供了知情同意，当信息的删除可能导致研究无法进行或严重损害研究的成就时，出于公共利益从事公共或同行评议的科学、历史或统计研究，遵守所有其他适用的道德和隐私法律。
7. 仅在内部使用，根据您与我们的关系，合理地与用户的期望相一致。
8. 遵守法律义务。
9. 对该信息进行其他内部和合法的使用，与您提供信息的背景相一致。

行使访问权、数据可携带性和删除权

要行使上述访问权、数据可携带权和删除权，请按照下文的“联系信息”联系我们向我们提交可核实的用户请求。

只有您或您授权代表您在加州州务卿登记的人可以提出与您的个人信息有关的可核实的用户请求。您亦可代表您的未成年子女提出可核实的用户请求。

在 12 个月内，您只能提出两次可核实的用户访问或数据可携带性请求。可核实的用户请求必须：

• 提供足够的信息，使我们能够合理地核实您是我们收集个人信息的人或授权代表。
• 足够详细地描述您的请求，使我们能够正确理解、评估和回应您的请求。

如果我们无法核实您的身份或提出请求的授权，并确认个人信息与您有关，我们就无法回应您的请求或将个人信息提供您。提出可核实的用户请求并不要求您在我们这里创建账户。我们将仅使用在可核实的用户请求中提供的个人信息来核实请求人的身份或提出请求的授权。

答复时间和格式

我们致力在收到可核实的用户请求后的 45 天内作出回应。如果我们需要更多时间（最长 90天），我们将以书面形式通知您具体原因和延长期限。如果您向我们注册了一个账户，我们将把我们的书面答复送到该账户。如果您未向我们注册账户，我们将通过邮件或电子方式提供我们的书面答复，由您选择。  我们提供的任何披露将仅涵盖收到可核实的用户请求之前的 12 个月期间。我们提供的答复也将解释我们不能满足请求的原因（如果适用）。对于数据可携带性请求，我们将选择一种随时可用的格式来提供您的个人信息，并应允许您不受阻碍地将信息从一个实体传送到另一个实体。

我们不对处理或回应您的可核实的用户请求收取费用，除非它是过度、重复或显然毫无根据。如果我们确定该请求需要收费，我们会告诉您为什么我们做出该决定，并在完成您的请求之前提供您一份成本估计。

与 CCPA 不同的是，加州《反客户信息披露法》 规定，加州居民有权询问公司出于第三方的直接营销目的与第三方共享哪些个人信息。除非您要求，否则我们不会将您的个人信息披露给第三方，以便直接向您推销他们的商品或服务。此外，《加州民法》第 1798.83 条允许身为加州居民并将“ 个人信息”（该术语在第 1798.83 条中有定义）提供给我们的客户要求获得有关向第三方披露该信息用于其直接营销目的的某些信息。如果您是加州居民并对上述情况有疑问，请按照本隐私政策中“联系我们”标题下的方式联系我们。

不歧视

我们不会因为您行使 CCPA 的任何权利而对您进行歧视。除非 CCPA 允许，否则我们不会因您行使任何 CCPA 权利而：

• 拒绝向您提供商品或服务。
• 对您的商品或服务收取不同的价格或费率，包括通过给予折扣或其他优惠，或实施惩罚。
• 提供您不同水平或质量的商品或服务。
• 建议您可以获得不同的商品或服务价格或费率，或不同水平或质量的商品或服务。

修改我们的隐私通知

我们保留在任何时候酌情修改本隐私通知的权利。当我们修改本隐私声明时，我们将通过电子邮件、在我们的网站主页上的通知或发布更新的条款来通知您。

联系信息

如果您对本隐私声明、我们的隐私政策、我们收集和使用您的个人信息的方式、您对此类使用的选择和权利有任何疑问或意见，或希望行使您在加州法律下的权利，请随时联系我们。

免费电话号码：	1-888-241-3525
电子邮件：	dataprivacy@pcisecuritystandards.org
邮政地址：	PCI Security Standards Council 401 Edgewater Place Suite 600 Wakefield, MA USA 01880 收件人：隐私和信息安全部主任

日期：2020 年 8 月 12 日