隐私条款
1. 简介
1.1 本政策提供了以下方面的重要信息：
1.1.1 必须遵守的云南祥鹏航空有限责任公司（下称“本公司”、“我们”或“我们的”）的数据保护原则；
1.1.2 个人信息（或数据）以及敏感个人信息（或数据）的含义；
1.1.3 我们如何根据“欧盟一般数据保护条例2016/679”（General Data Protection Regulation (EU) 2016/679，简称“GDPR”）中的数据保护原则收集和使用个人信息与敏感个人信息；
1.1.4 与数据保护有关的数据主体的权利和义务。
1.2 本政策适用于本公司或代表本公司收集的所有个人信息，并且可能包含有关其客户、潜在客户、网站访客和工作申请者的个人信息。
1.3 我们将会在必要时或是根据我们的数据保护义务审核和更新本政策。
1.4 本公司可能会出于诸多特定合法目的获取、保留和使用有关其客户、潜在客户、网站访客和工作申请者的个人信息（也称为个人数据）。
1.5 本政策阐明了我们如何遵守我们的数据保护义务并努力保护个人信息。其目的也是确保我们的员工了解和遵守用于监管个人信息（员工可能在工作过程中访问这些信息）的收集、使用和删除的规则。
1.6 我们努力遵守我们的数据保护义务，以简洁、清楚和透明的方式说明我们如何获取和使用个人信息，以及当该类信息已不再需要时如何（及何时）删除它们。
1.7 本公司的数据保护官负责协助我们监控内部合规情况、就我们的数据保护义务提供通知和建议，并且扮演数据主体和任何监管当局的联系点的角色。如果您对本政策的内容有任何问题或意见，或是您需要更多信息，可以联系以下人员：
1.7.1 本公司的数据保护官：[HNA-DPO@hnair.com]；
1.7.2 本公司的欧盟地区代表：[HNA-DPO@hnair.com]。
2. 定义
“犯罪记录信息”
指与刑事定罪和犯罪、指控、诉讼和相关安全措施有关的个人信息；
“数据泄露”
指导致个人信息遭到意外或非法破坏、丢失、修改、未授权披露或访问的安全问题；
“数据主体”
指个人信息所属的个人；
“个人信息”或“个人数据”
指与个人有关的信息，可根据此类信息识别其身份（直接或间接）；
“处理”
指获取、记录、整理、存储、修改、检索、披露和/或销毁信息，或是使用信息或用其执行任何操作；
“假名化”
指一种个人信息处理流程，如果不借助额外信息（分开保存并且得到技术和组织措施的保护），以这种方式处理的个人信息无法用于识别个人身份，从而确保个人信息无法指代身份可识别的个人；
“敏感个人信息”
（某些时候称为“特殊类别的个人数据”或是“敏感个人数据”）是指与个人的种族、民族、政治见解、宗教或哲学信仰、贸易联盟成员身份（或非成员身份）有关的信息，还有遗传信息、生物特征信息（用于识别个人身份）以及有关个人的健康状况、性生活或性取向的信息。
“网站”
是指本公司拥有或运营的任何网站。
3. 数据保护原则
3.1 在处理个人信息时，本公司将会遵守以下数据保护原则：
3.1.1 我们将以合法、公平和透明的方式处理个人信息；
3.1.2 我们将仅会出于指定的、明示的和合法的目的收集个人信息，并且不会以不符合这些合法目的的方式处理个人信息；
3.1.3 我们将仅会处理对于相关目的而言是适当的、相关的且必要的个人信息；
3.1.4 我们将保留准确和最新的个人信息，并采取合理措施来确保及时删除或更正不准确的个人信息；
3.1.5 我们将以允许识别数据主体身份的形式保留个人信息，且保留时间不会长于对于信息处理目的而言所必要的时间；
3.1.6 我们将采取适当的技术和组织措施来确保个人信息的安全性，保护它们免受未授权或非法处理，以及意外丢失、销毁或破坏。
4. 隐私声明
4.1 本公司可能不时发布隐私声明，告知您我们收集和保留的与您有关的个人信息，您的个人信息的预期使用方式和用途。
4.2 我们将采取适当措施，使用简洁、透明、易懂且易于访问的格式，以清楚明白的语言在隐私声明中提供信息。
4.3 何时收集个人信息
4.3.1 我们会在对于开展日常活动或工作必要时收集个人信息。
4.3.2 以下是我们收集个人信息的情形示例：
(a) 当您在我们网站、应用或零售站上注册了账户时；
(b) 当您完成有关我们的产品、服务和/或设施的订单、请求或申请时（通过电话、当面、通过邮件、使用表单、通过我们的网站或任何其他方式）；
(c) 当您就我们的产品、服务和/或设施与我们直接沟通时（通过电话、当面、通过邮件、使用表单、通过我们的网站或任何其他方式）；
(d) 当您使用在我们的网站或现实地点提供的服务和/或设施时；
(e) 当您开展某些类型的交易时，例如退款；
(f) 当您参加我们的任何促销、比赛、竞赛、幸运抽奖或特殊活动，并且在此期间与我们互动时；
(g) 当您加入我们的任何会员计划时；
(h) 当您参与我们的意见调查和其他类型的调查时；
(i) 当您向我们申请工作时。
4.4 会收集哪些个人信息
4.4.1 个人信息的提供出于自愿，除非指明是必需的。如果您不向我们提供任何必需的个人信息，我们可能无法提供您向我们要求的产品和/或服务。
4.4.2 我们可能收集的个人信息类型如下：
(a) 联系信息，例如：姓名、地址、电话号码、电子邮件地址、用户名；
(b) 账单信息，例如：账单地址和信用卡信息；
(c) 独有信息，例如：身份证号码、护照号码、照片和出生日期；
(d) 联系和营销偏好；
(e) 您在我们这里拥有的任何会员资格的详情；
(f) 您对我们的网站的访问详情，例如：流量数据、位置数据和您在我们网站上访问的资源；
(g) 您的在线标识符的详细信息，例如：互联网协议地址、cookie标识符或其他标识符（例如射频识别标签）；
(h) 您与我们之间的交易历史记录；
(i) 如果您是职位候选人，您在招聘过程期间向我们提供的任何个人信息，包括您提交给我们的简历和任何申请表中的个人详细信息。此类个人信息可能包含您的就业历史记录和工作资格权利。
4.4.3 某些情况下，您可能向我们提供与第三方有关的个人信息（例如，您的近亲、旅伴，或者当您是职位候选人时，您所指明的推荐人）。发生这一情况时，您被视为代表我们并向我们确认您获得了此类第三方的许可，可以将他/她的个人信息提供给我们以便按照本政策中所阐明的方式处理。
4.5 个人信息的收集目的、使用和处理
4.5.1 对于从您那里收集的个人信息，我们可能会出于各种目的收集、使用、披露和/或处理这些信息，具体视当时实际情况和您的许可而定，例如：
(a) 评估、处理和提供您所请求的我们的产品、服务和/或设施；
(b) 提供您所请求的任何帮助；
(c) 维持和改进我们之间的客户关系；
(d) 确立您的身份；
(e) 管理和处理与产品、服务和/或设施有关的任何付款（包括退款），或是您所请求的其他商业交易；
(f) 向您提供产品、服务和/或设施时，在必要情况下开展信用调查并确立您的信用度；
(g) 回应您的查询或投诉，并解决我们之间的任何交易可能产生的任何问题和争议；
(h) 根据您的许可，向您提供有关我们和我们的附属合作伙伴不时提供或组织的产品、服务、设施、忠诚度计划、促销、产品发布活动、宣传活动、竞赛和/或赛事的信息与动态；
(i) 根据您的许可，通过短信、电话、电子邮件、传真、邮件、即时通信、社交媒体和/或任何其他合适的沟通渠道进行直接营销；
(j) 管理我们的忠诚度或奖励计划；
(k) 用于内部管理目的和记录保留；
(l) 不时向您发送季节性问候消息；
(m) 监控、审核和改进我们的产品、服务、设施、促销和/或活动；
(n) 开展市场研究或调查、内部营销分析、客户特征分析活动、客户行为模式和选择分析、与我们的产品、服务和/或设施有关的规划和统计；
(o) 出于上述目的处理、组合和/或分析您的个人信息；
(p) 发现、调查和阻止欺诈、违禁或非法活动；
(q) 用于审计、风险管理和安全目的；
(r) 帮助我们履行和行使我们签订的任何协议或契约所规定的义务和权利；
(s) 根据与我们达成的任何协议转让或分配我们的权利、权益和义务；
(t) 用于满足任何适用的法律或监管要求，以及按照任何适用法律、法案、法规、指令、法庭命令、条例、指导原则、通告或有时适用于我们的准则（“适用法律”）的要求进行披露；
(u) 根据任何适用法律，行使或维护我们的权利和您的权利，并遵守我们的义务。
4.5.2 如果我们计划将您的数据用于其他目的，我们会提前通知您，并在必要时获得您的许可，除非GDPR 或任何其他适用法律允许我们在没有获得您的许可时处理您的个人信息。
4.6 个人信息的传输
4.6.1 为了顺利开展业务运作和/或履行我们对您的义务，我们可能会将从您那里收集的个人信息披露给第三方，用于本政策内容中4.5阐明的一个或多个目的。我们可能向其披露您的个人信息的第三方示例包括：
(a) 提供与我们的业务有关的运营服务的第三方服务提供商、代理机构、附属机构或相关公司，这些服务包括数据录入、电信、信息技术、物流、存储和仓储、货运、装配、安装、打印和邮政服务、信用检查、与营销和促销活动有关的信用工具或服务；
(b) 我们的专业顾问、咨询师和/或审计员；
(c) 相关的政府监管者或机构（根据任何适用法律）。
4.6.2 我们与之开展业务的第三方仅有权将您的个人信息用于执行其受雇负责的服务。作为我们与他们的协议的一部分，他们可能需要遵守GDPR 和/或任何我们提供的政策，并且采取合理措施来确保您的个人信息是安全的。
4.6.3 我们可能将从您那里收集的个人信息传输到欧洲经济区以内或以外的司法管辖区、中华人民共和国和其他我们有时通知给您的地区，用于本政策内容4.5中阐明的目的，始终遵守本政策内容11中阐明的信息安全义务。对于欧洲经济区内部的数据主体，本公司不会在未取得其明确许可的情况下将其个人信息传输到欧洲经济区以外的地方。
5. 处理个人信息的依据
5.1 与我们将要开展的任何处理活动有关，在处理首次开始之前，以及随后在处理持续期间定期：
5.1.1 审视具体处理活动的目的，为该处理活动选择最合适的一个（或多个）合法依据，即：
(a) 数据当事人已同意数据接受处理；
(b) 出于以下任一原因，必须处理数据：为了执行数据当事人作为其中一方的合同，或者在签订合同之前，应数据当事人的请求，采取相关步骤；
(c) 公司作为当事方，为遵守法律义务，必须处理数据；
(d) 为保护数据当事人或其他自然人的切身利益，必须处理数据；
(e) 为满足公司或第三方的合法权益，必须处理数据，但这些权益损害数据当事人基本权利和自由的情况除外—请参见本政策的第5.2段。
5.1.2 除非处理活动经过同意，否则我们只会为了满足具备相关合法依据的目的进行必要的处理（即没有其他合理的方法来达到这一目的）；
5.1.3 记录我们的(决定基于哪些合法依据)，以帮助证明我们遵守数据保护原则；
5.1.4 在我们的相关隐私声明中包含有关处理目的及其合法依据的信息；
5.1.5 在处理敏感个人信息时，还要确定处理该信息的合法特殊条件（请参见本政策第6.2.2段），并将其记录下来；
5.1.6 在处理刑事犯罪信息时，还要确定处理该信息的合法特殊条件，并将其记录下来；
5.2 在确定公司的合法权益是否是合法处理的最合适依据时，我们将：
5.2.1 进行合法权益评估("LIA") 并记录下来，以确保我们能够证明我们的决定是合理的；
5.2.2 如果LIA 结果表明会产生重大隐私影响，请考虑我们是否还需要进行数据保护影响评估("DPIA")；
5.2.3 持续关注LIA，并在情况发生变化时重复评估流程；
5.2.4 在我们的相关隐私声明中包含有关我们合法权益的信息。
6. 敏感个人信息
6.1 敏感个人信息有时被称为“特殊类别个人数据”或“敏感个人数据”。
6.2 有时公司可能需要处理敏感个人信息。我们只会在以下情况下处理敏感个人信息：
6.2.1 根据上述第5.1.1段的内容，我们具备处理敏感个人信息的合法依据，例如，有必要遵守公司的法律义务或为了公司的合法权益；
6.2.2 处理敏感个人信息的特殊条件之一适用，例如：
(a) 数据当事人明确表示同意；
(b) 为了履行公司或数据当事人的劳动法权利或义务，有必要进行处理；
(c) 为了保护数据当事人的切身利益，必须处理数据，且数据当事人无法给予同意；
(d) 处理活动涉及数据当事人明确公开的个人数据；
(e) 为确定、行使或捍卫合法要求，必须进行处理；
(f) 出于重大公共利益的原因，必须进行处理。
6.3 在处理任何敏感个人信息之前，我们的工作人员应将提议的处理过程通知数据保护官，以便数据保护官评估处理过程是否符合上述标准。
6.4 直到满足以下条件，敏感个人信息才会被处理：
6.4.1 第6.3段所述的评估已经完成；
6.4.2 相关个人已受到妥善通知（通过隐私声明或其他方式），了解处理活动的性质、目的及其合法依据。
6.5 在招聘过程中：人力资源部门根据需要在数据保护官的指导下确保（法律另有规定的情况除外）：
6.5.1 在确定最终候选人名单、面试和决策阶段，不会询问涉及个人敏感信息的问题，例如种族或族裔、工会成员身份或健康状况；
6.5.2 如果收到敏感个人信息（例如申请人在未被要求的情况下在其简历或面试中提供了敏感个人信息），则不保存任何记录，并立即删除或通过修订去除任何对该信息的引用；
6.5.3 任何填写完毕的机会均等监测表均与个人的申请表分开保存，且不被负责确定最终候选人、面试或做出招聘决定的人员看到；
6.5.4 “工作权”检查会在发出无条件录用函之前进行，而不是在更早的确定最终候选人、面试或决策阶段进行；
6.5.5 发出录用函之后，我们只会询问健康问题。
7. 数据保护影响评估(DPIA)
7.1 如果处理活动可能对个人的数据保护权造成较高风险，我们将在开始处理之前执行DPIA，从而评估：
7.1.1 对于其目的而言，处理活动是否有必要、是否合适；
7.1.2 对于个人的风险；
7.1.3 可以采取哪些措施来应对这些风险并保护个人信息。
8. 文件和记录
8.1 我们将保存高风险处理活动（例如，可能导致个人权利和自由方面的风险，或涉及敏感个人信息或犯罪记录信息）的书面记录，其中包括：
8.1.1 雇主组织（如适用，其他控制人、雇主代表和DPO）的名称和详细信息；
8.1.2 处理活动的目的；
8.1.3 对个人类别和个人数据类别的说明；
8.1.4 个人数据接收者的类别；
8.1.5 跨境传输的详细情况，包括有关传输机制保障的文件；
8.1.6 （如有可能）保留时间表；
8.1.7 （如有可能）对技术和组织安全措施的说明。
8.2 作为我们处理活动记录的一部分或文档链接，其中包括：
8.2.1 隐私声明所需的信息；
8.2.2 同意记录；
8.2.3 控制方-处理方合同；
8.2.4 个人信息的位置；
8.2.5 DPIA；
8.2.6 数据泄露记录。
8.3 如果我们处理敏感个人信息或犯罪记录信息，我们将保留以下方面的书面记录：
8.3.1 处理活动发生的相关目的，包括（如有需要）为什么必须进行处理活动才能满足该目的；
8.3.2 处理活动的合法依据；
8.3.3 我们是否遵守我们的政策文件（包括本政策）保留和删除个人信息，如果不遵守，则记录不遵守政策的原因。
8.4 我们会定期审视我们处理的个人信息并相应地更新我们的文档。这可能包括：
8.4.1 进行信息审计，以了解公司持有的个人信息；
8.4.2 分发调查问卷并与全公司员工交流，从而更加全面地了解我们的处理活动；
8.4.3 审视我们的政策、规程、合同和协议，以解决保留、安全和数据共享等方面的问题。
9. 个人信息相关权利
9.1 针对其个人信息，所有数据当事人均拥有以下权利：
9.1.1 了解信息处理的方式、原因以及依据—请参考本政策第4段涉及公司隐私声明的内容；
9.1.2 通过提出当事人访问请求，获取您的信息正在接受处理的确认信息并获得访问该信息及部分其他信息的权限—请参见下文第10.3段；
9.1.3 在数据不准确或不完整的情况下更正数据；
9.1.4 如果数据不再需要用于最初收集/处理的目的，或者如果处理活动没有有力的合法理由（这有时被称为“被遗忘权”），则可以删除数据；
9.1.5 如果信息的准确性有争议或者处理不合法（但数据当事人不希望数据被删除），则可以限制个人信息的处理；
9.1.6 如果您认为个人信息有误或者反对处理，则可以暂时限制个人信息处理。
9.2 如果您希望行使上述第9.1段中的任何权利，请按照本政策第1.7段中的联系方式联系数据保护官。
9.3 当事人访问请求
9.3.1 公司将努力遵从当事人的访问请求，并在当事人提出请求后的一个月内提供适当的数据。如果无法提供数据，公司会通知数据当事人。针对如何遵从任何要求，公司可能采纳专业建议，以确保提供适当的信息。公司通常免费提供信息。
9.3.2 如果出现明显无理或重复的请求（这种情况不太可能发生），公司可能会决定不提供信息。然而，在这些情况下公司会采纳专业意见。
10. 信息安全
10.1 公司将采取适当的技术和组织措施确保个人信息的安全，特别是防止未经授权的或非法处理以及意外丢失、破坏或损坏。这些措施包括：
10.1.1 确保在可能的情况下个人信息经过假名化处理或加密；
10.1.2 持续确保处理系统和服务的保密性、完整性、可用性和恢复力；
10.1.3 确保在发生物理性或技术事件时及时恢复个人信息的可用性和访问权限；
10.1.4 设置定期测试、评定和评价技术及组织措施有效性的流程，从而确保处理过程的安全性。
10.2 如果公司使用外部组织代表其处理个人信息，则需要在与这些组织签订的合同中加入额外的安全保障，以保护个人信息的安全。与外部组织的合同尤其将规定：
10.2.1 该组织仅能够根据公司的书面指示行动；
10.2.2 处理数据的组织有责任保密；
10.2.3 采取适当措施确保处理过程的安全性；
10.2.4 只有在事先得到公司同意并签订了书面合同的情况下才能雇用分包商；
10.2.5 该组织将协助公司为当事人提供访问权限，并允许个人行使其在数据保护方面的权利；
10.2.6 该组织将协助公司履行其在处理过程安全性、数据泄露通知和数据保护影响评估方面的义务；
10.2.7 该组织将在合同结束时根据要求删除或返回所有个人信息；
10.2.8 该组织将同意接受审计和检查，向公司提供所需的任何信息，以确保双方均履行了各自的数据保护义务，且如果该组织被要求采取违反数据保护法的行为，会立即通知公司。
11. 个人信息的保留
11.1 个人信息（和敏感个人信息）的保留时间不应超过必要期限。数据应该保留的时间长短取决于具体情况，包括个人信息被获取的原因。一般而言，个人信息将在必要期限内保留，或者在不再使用后保留7 年，以两者中较短时限为准。
11.2 不再需要的个人信息（以及敏感个人信息）将会从我们的信息系统中永久删除，任何纸质版都将被安全销毁。
12. 数据泄露
12.1 数据泄露的形式有许多种，例如：
12.1.1 数据或存有个人信息的设备丢失或被盗；
12.1.2 未经授权的员工或第三方访问或使用个人信息；
12.1.3 设备或系统（包括硬件和软件）故障导致的数据丢失；
12.1.4 人为错误，例如意外删除或更改数据；
12.1.5 不可预见的情况，如火灾或洪水；
12.1.6 IT 系统遭受蓄意攻击，如黑客攻击、病毒或网络钓鱼诈骗；
12.1.7 “欺骗”罪，即通过欺骗持有信息的组织来获取信息。
12.2 如果发生数据泄露事件，公司将立即按照其数据泄露披露计划行事。
13. 联系我们
13.1 对于我们如何处理您的个人信息或我们是否遵守GDPR或任何其他适用的数据保护法，如果您有任何投诉、不满或意见，我们都欢迎您联系我们的数据保护官和/或我们的欧盟代表，联系方式已在本政策的第1.7段提供。我们将努力迅速而公平地处理您可能提出的任何投诉、不满或意见。
14. 隐私条款修改
本隐私条款的修改权、更新权均属中国云南祥鹏航空有限责任公司。我们可能会不定期修订、更新本隐私条款，并在网站上公布最新版本。我们建议您在使用我们的网站时，定期查阅这一页面，以便您能了解隐私条款是否有任何的变动。
15. Apple Pay 安全性与隐私政策概览
https://support.apple.com/zh-cn/HT203027
undefined