GDPR 合規

1. 簡介

本 GDPR 合規頁面提供有關 MailBluster LLC（以 OneSuite 名義營運，下稱「OneSuite」、「我們」）如何依據《一般資料保護規則》（歐盟）2016/679（下稱「GDPR」）蒐集、使用、儲存、分享及保護個人資料的補充資訊。

本頁面適用於位於歐洲經濟區的個人，以及在適用情況下受英國《一般資料保護規則》（下稱「英國 GDPR」）保護的個人。

本頁面補充我們的隱私權政策、使用條款、資料處理條款及Cookie 政策。

若本頁面與我們的一般隱私權政策就受 GDPR 或英國 GDPR 保護之個人權利有所衝突，於法律要求之範圍內，以本頁面之條款為準。

2. 公司資訊

負責 OneSuite 的機構為：

MailBluster LLC，以 OneSuite 名義營運
2810 N Church Street
Wilmington, Delaware 19802
美國

電子郵件： [email protected]
網站： onesuite.io

歐盟代表 — 第 27 條

Farhan Mahbub
Universitätsstr. 1, App. 700-3
03046 Cottbus
德國

電子郵件： [email protected]

英國代表 — 英國 GDPR 第 27 條

Sabah Sarwar
25 Langtry Court
Belfast, BT5 4DN
英國

電子郵件： [email protected]

3. 我們在 GDPR 下的角色

視個人資料處理的情境而定，OneSuite 可能作為資料控管者或資料處理者。

3.1 OneSuite 作為資料控管者

當我們決定為何以及如何處理個人資料時，OneSuite 作為資料控管者。

這包括為下列目的處理的個人資料：

• 建立及管理 OneSuite 帳戶
• 管理訂閱與帳務
• 提供客戶支援
• 營運並保護我們的網站與平台
• 傳達與服務相關的資訊
• 進行獲准的分析
• 在允許的情況下寄送行銷訊息
• 履行法律與法規義務

3.2 OneSuite 作為資料處理者

當客戶使用平台處理其客戶、聯絡人、潛在客戶、團隊成員、承包商或其他個人的個人資料時，OneSuite 作為資料處理者。

在此類情況下：

• 客戶通常作為資料控管者
• OneSuite 依客戶書面記載的指示處理個人資料
• 由客戶決定處理的目的與法律依據
• 適用我們的資料處理條款
• 客戶負責提供必要的隱私權告知並取得任何必要之同意

若個人的個人資料是由我們的某位客戶輸入 OneSuite，該個人通常應向該客戶提出隱私權相關請求。

4. 我們處理的個人資料

視您與 OneSuite 的互動方式，我們可能處理下列類別的個人資料。

4.1 帳戶與身分資訊

• 姓名
• 電子郵件地址
• 電話號碼
• 郵寄地址或營業地址
• 使用者與企業識別碼
• 帳戶偏好設定
• 經雜湊處理的驗證憑證

4.2 客戶提供的資訊

我們的客戶可能透過下列方式將個人資料輸入 OneSuite：

• CRM 聯絡人與公司
• 潛在客戶與商機
• 客戶入口網站
• 專案與工作
• 留言與溝通記錄
• 檔案與文件
• 提案與合約
• 發票與付款記錄
• 工時記錄
• 自訂欄位
• 已連接的應用程式

客戶自行掌控其輸入 OneSuite 帳戶的資訊。

4.3 電子郵件整合資訊

當您連接電子郵件帳戶時，OneSuite 可能處理：

• 已連接帳戶的識別碼
• 寄件者與收件者地址
• 副本收件者
• 郵件主旨
• 郵件內文內容
• 討論串識別碼
• 寄送與接收時間戳記
• 訊息方向與狀態
• 附件中繼資料
• OAuth 權杖

OneSuite 不會蒐集您的電子郵件帳戶密碼。

郵件附件於請求時自已連接的服務供應商取得。OneSuite 儲存附件的中繼資料，例如檔案名稱、類型、大小與供應商識別碼。

4.4 帳務資訊

OneSuite 可能處理：

• 帳單姓名與地址
• 交易紀錄
• 訂閱細節
• Stripe 客戶識別碼
• 支付卡的末四碼

完整的支付卡資訊由相應的支付服務供應商處理，並不儲存於 OneSuite 的伺服器。

4.5 使用與技術資訊

我們可能自動處理：

• IP 位址
• 瀏覽器類型與版本
• 裝置與作業系統資訊
• 使用的頁面與功能
• 登入與活動時間戳記
• 互動與效能資訊
• 安全與診斷紀錄

4.6 支援與溝通資訊

我們可能保留下列內容中所含的資訊：

• 支援案件
• 支援聊天對話
• 寄送至 OneSuite 的電子郵件
• 產品意見回饋
• 示範與業務諮詢
• 與我們團隊的其他往來

4.7 我們從何處取得個人資料

大多數個人資料直接來自您，或由我們的客戶輸入 OneSuite。

我們也會自其他來源接收個人資料，包括已連接的電子郵件與行事曆帳戶。當使用者連接信箱或行事曆時，OneSuite 會接收有關寄件者、收件者、會議召集人與會議出席者的資訊，這些人可能並非 OneSuite 使用者。

這些資訊係代表連接該帳戶的客戶進行處理。該客戶負責建立適當的法律依據，並向受影響的個人提供必要的隱私權告知。

5. 處理的法律依據

我們依據 GDPR 第 6 條所訂之一項或多項法律依據處理個人資料。

5.1 履行契約 — 第 6(1)(b) 條

當為與您訂立或履行契約所必要時，我們會處理個人資料。

這可能包括：

• 建立及維護您的帳戶
• 提供 OneSuite 的存取權限
• 提供您所要求的平台功能
• 管理訂閱
• 處理付款
• 提供技術支援與客戶支援
• 寄送必要的服務通知
• 管理已連接的服務與整合

5.2 正當利益 — 第 6(1)(f) 條

在為我們的正當商業利益所必要，且該等利益未被您的權利與自由所凌駕時，我們可能處理個人資料。

我們的正當利益可能包括：

• 營運與改善 OneSuite
• 了解各項功能的使用情形
• 維持服務的可靠性
• 保護帳戶與平台基礎架構
• 偵測詐欺、濫用及未經授權的存取
• 調查資安事件
• 防止平台遭到濫用
• 回覆客戶詢問
• 保存適當的業務紀錄
• 向既有客戶傳達相關資訊

於必要時，我們會評估該處理是否必要、合乎比例，並為當事人所合理預期。

5.3 法律義務 — 第 6(1)(c) 條

當為遵守法律義務所必要時，我們可能處理個人資料，包括：

• 稅務與會計要求
• 紀錄保存要求
• 法規義務
• 合法的政府請求
• 法院命令與法律程序
• 防詐要求
• 資料保護義務

5.4 同意 — 第 6(1)(a) 條

對於下列活動，我們可能以同意為依據：

• 設置非必要 Cookie
• 處理您自願提供的選填資訊
• 啟用需要同意的選用功能

您可隨時撤回同意。

撤回不影響撤回前所進行處理之合法性。

5.5 法律權利之保護

於法律允許之範圍內，當為建立、行使或防禦法律主張所必要時，我們可能處理個人資料。

6. 資料保護原則

OneSuite 於處理個人資料時適用下列 GDPR 原則。

6.1 合法、公平與透明

我們基於適當的法律依據處理個人資料，並提供有關其使用方式的資訊。

6.2 目的限制

我們為特定、明確且正當之目的蒐集個人資料，且不會以與該等目的不相容之方式使用。

6.3 資料最小化

我們力求僅處理對相關目的而言合理必要之個人資料。

6.4 正確性

我們採取合理措施維持個人資料之正確，並允許使用者更新不正確或不完整之資訊。

6.5 儲存限制

我們僅於相關目的、契約要求或適用法律所需之期間內保留個人資料。

6.6 完整性與機密性

我們維持技術與組織措施，旨在保護個人資料免於未經授權之存取、揭露、變更、遺失或毀損。

6.7 課責

我們維持政策、契約控管、安全措施與處理紀錄，以證明我們履行資料保護責任。

7. 您在 GDPR 下的權利

在適用條件與例外之前提下，您可行使下列權利。

7.1 存取權 — 第 15 條

您可要求：

• 確認我們是否處理您的個人資料
• 我們所持有關於您的個人資料副本
• 有關處理目的之資訊
• 有關接收者或接收者類別之資訊
• 預期的保留期間
• 有關您適用權利之資訊

7.2 更正權 — 第 16 條

您可要求我們更正不正確之個人資料或補充不完整之資訊。

您也可以直接透過 OneSuite 帳戶更新部分資訊。

7.3 刪除權 — 第 17 條

於下列情形，您可要求刪除您的個人資料：

• 就原始目的而言已不再必要
• 您撤回同意且無其他法律依據
• 您成功反對該項處理
• 資訊遭違法處理
• 為遵守法律義務而必須刪除

刪除權並非絕對。當為遵守法律義務、行使法律權利、解決爭議、防止詐欺或執行協議所必要時，我們可能保留相關資訊。

7.4 限制處理權 — 第 18 條

於下列期間，您可要求我們限制對您個人資料之處理：

• 其正確性正在查核期間
• 反對意見正在審酌期間
• 處理屬違法但您偏好限制而非刪除
• 我們已不再需要該資訊，但您因法律主張而需要

7.5 資料可攜權 — 第 20 條

當處理為自動化且基於同意或契約時，您可要求以結構化、通用且機器可讀之格式取得符合條件之個人資料。

於技術可行且法律要求之情況下，您可要求將資訊直接傳輸予另一控管者。

7.6 反對權 — 第 21 條

您可反對基於正當利益之處理。

當您提出反對時，除下列情形外，我們將停止相關處理：

• 我們證明存在凌駕您權利之令人信服的正當理由
• 該處理對於建立、行使或防禦法律主張屬必要

您可隨時反對直接行銷。您提出反對後，我們將停止為該行銷目的處理您的個人資料。

7.7 撤回同意之權利

當處理基於同意時，您可隨時撤回該同意。

您可透過相關的 Cookie 或功能設定撤回同意，亦可聯繫 OneSuite 撤回同意。

7.8 與自動化決策相關之權利 — 第 22 條

對於完全基於自動化處理（包括剖析）並對您產生法律效果或類似重大影響之決定，您有權不受其拘束，但適用法律允許者除外。

OneSuite 不會在欠缺適當人為參與之情況下，僅以自動化決策暫停或終止帳戶，或作成其他產生法律效果或類似重大影響之決定。

7.9 提出申訴之權利

您可向下列歐洲經濟區國家之資料保護主管機關提出申訴：

• 您通常居住的國家
• 您工作的國家
• 您認為發生 GDPR 違規的國家

歐洲各資料保護主管機關名單可透過歐洲資料保護委員會查詢。

若您位於英國，可透過 ico.org.uk 向英國資訊委員辦公室提出申訴。

我們建議您先與我們聯繫，讓我們有機會處理您的疑慮。

8. 如何行使您的權利

如需提出 GDPR 請求，請聯繫：

電子郵件： [email protected]
郵件主旨： GDPR Request

請提供足夠的資訊，以協助我們：

• 確認您的身分
• 找出相關資訊
• 了解您希望行使的權利
• 判斷 OneSuite 係作為控管者或處理者

我們可能要求提供額外資訊，以驗證您的身分並保護您的帳戶免受未經授權之請求。

我們通常會在不無故遲延之情況下，於收到有效請求後一個月內回覆。

若請求較為複雜或已提出多項請求，回覆期限最多可再延長兩個月。我們將通知您延長事宜並說明原因。

行使您的權利通常不收取費用。惟於 GDPR 允許之情況下，對於明顯無理由或過度之請求，我們可能收取合理費用或拒絕處理。

當 OneSuite 僅代表客戶處理資訊時，我們可能將請求轉交該客戶或協助客戶回覆。

9. 資料保留與刪除

我們僅於為下列目的所必要之期間內保留個人資料：

• 提供 OneSuite 服務
• 維護您的帳戶
• 完成交易
• 履行契約義務
• 回應支援請求
• 保護平台
• 解決爭議
• 遵守法律要求
• 行使或防禦法律主張

我們的一般保留做法包括：

• 帳戶資料：於帳戶維持啟用期間保留，並於帳戶刪除後自運作中的系統刪除
• 電子郵件整合資料：於電子郵件帳戶維持連接期間保留
• OAuth 權杖：於相關整合維持連接期間保留
• 付款與會計紀錄：依適用之財務與法律要求保留，通常最長七年
• 客戶掌控之內容：依客戶指示與帳戶狀態保留

帳戶遭刪除時，相關資料將自運作中的系統移除，惟法律要求保留或為建立、行使或防禦法律主張而合理必要者除外。

資料自運作中的系統刪除後，可能於加密備份中保留一段有限期間。該期間屆滿後，備份將透過 OneSuite 的常規備份輪替週期被覆寫。

帳戶終止後我們對客戶掌控之個人資料的處理，亦受我們的資料處理條款規範。

10. 國際資料傳輸

OneSuite 主要使用位於歐盟（包括愛爾蘭區域）的 Amazon Web Services 基礎架構儲存應用程式資料。

部分獲核准的服務供應商可能於歐洲經濟區以外（包括美國）處理有限之個人資料。

當個人資料傳輸至尚未取得歐盟執委會適足性認定之國家時，OneSuite 會採用適用資料保護法所要求之適當保障措施。

這些保障措施可能包括：

• 經歐盟執委會核准之標準契約條款
• 適足性認定
• 於美國服務供應商已取得認證之情況下適用《歐盟—美國資料隱私架構》
• 對適用英國 GDPR 之傳輸適用《英國國際資料傳輸附錄》
• 契約性資料保護要求
• 傳輸中與靜態儲存時之加密
• 存取控管與保密義務
• 於必要時進行傳輸風險評估

有關次處理者與國際傳輸之其他資訊，請參閱我們的隱私權政策與資料處理條款。

11. 次處理者

OneSuite 使用經選定之第三方服務供應商以支援平台營運。

視所使用之服務與功能而定，這些供應商可能包括：

• Amazon Web Services，用於雲端基礎架構與主機代管
• Amazon SES，用於交易性郵件寄送
• Mailgun，用於交易性郵件寄送
• Cloudflare，用於網域、網路、代理、安全與內容傳遞服務
• Stripe，用於訂閱付款處理
• Google Analytics，用於網站分析
• Crisp，用於客戶支援溝通
• 由客戶選擇連接之電子郵件、行事曆、儲存、排程與支付服務供應商

當 OneSuite 作為資料處理者時，處理客戶個人資料之次處理者必須提供適當之資料保護承諾。

隨著平台發展，OneSuite 可能更新其次處理者。於我們的資料處理條款要求之情況下，客戶將獲知相關變更，並有機會基於正當之資料保護理由提出異議。

12. 資料安全

OneSuite 維持旨在保護個人資料之技術與組織措施。

於適用情況下，這些措施包括：

• 靜態資料加密
• 使用 TLS 1.2 或以上版本進行傳輸加密
• 以角色為基礎之存取控管
• 依業務需要將存取限於獲授權人員
• 稽核紀錄與系統監控
• 事件應變程序
• 紀錄去識別化處理，以減少敏感資訊之不必要暴露

任何透過網際網路傳輸或電子儲存之方式均非完全安全，OneSuite 無法保證絕對安全。

OneSuite 會依已識別之風險、營運需求及其服務之變更檢視並更新其保障措施。

13. 個人資料外洩

OneSuite 維持用以識別、調查、抑制、記錄及補救疑似個人資料外洩之程序。

13.1 當 OneSuite 作為控管者時

若個人資料外洩可能對個人之權利與自由造成風險，OneSuite 將不無故遲延地通知主管監督機關，並於可行情況下於知悉外洩後 72 小時內完成通知。

若外洩可能對受影響個人造成高度風險，除有適用之例外情形外，OneSuite 亦將不無故遲延地通知該等個人。

13.2 當 OneSuite 作為處理者時

若 OneSuite 知悉涉及代客戶處理之資訊的個人資料外洩，我們將依資料處理條款不無故遲延地通知受影響之客戶。

客戶作為控管者，仍負責判斷是否須向監督機關或受影響個人為通知。

13.3 外洩紀錄

OneSuite 會記錄個人資料外洩，包括：

• 有關事件之已知事實
• 其影響或潛在影響
• 調查作為
• 抑制措施
• 補救步驟
• 已為之通知

14. 設計階段與預設之資料保護

OneSuite 於設計、開發與營運平台時會考量資料保護原則。

我們的做法包括：

• 將蒐集範圍限於與平台功能相關之資訊
• 依使用者角色與權限限制存取
• 允許中斷已連接之服務
• 支援資料更正與刪除
• 區隔各客戶之工作區
• 採用安全的開發與存取管理實務
• 檢視新功能與整合對隱私之影響
• 於合理適當時採用有利隱私保護之設定

客戶仍須依其資料保護義務，設定自身之 OneSuite 工作區、角色、整合、自訂欄位、客戶入口網站與工作流程。

15. 特定處理活動

15.1 帳戶管理

• 目的：建立、保護及管理 OneSuite 帳戶
• 法律依據：履行契約與正當利益
• 涉及資料：身分、聯絡、驗證、帳戶與使用資訊

15.2 平台服務交付

• 目的：提供 CRM、客戶入口網站、專案管理、文件、開立發票、工時記錄、溝通及相關功能
• 法律依據：履行契約
• 涉及資料：帳戶資訊與客戶提供之內容

15.3 電子郵件整合

• 目的：同步、顯示、寄送、接收電子郵件往來並與 CRM 紀錄建立關聯
• 法律依據：履行契約與使用者指示
• 涉及資料：郵件中繼資料、訊息內容、已連接帳戶識別碼與 OAuth 權杖

使用者可於 OneSuite 中斷整合，或透過已連接的服務供應商撤銷存取權限。

15.4 付款處理

• 目的：處理訂閱付款並維護帳務紀錄
• 法律依據：履行契約與法律義務
• 涉及資料：帳務資訊、交易紀錄、訂閱資訊與有限之卡片資訊

完整的卡片資訊由相應的支付服務供應商處理。

15.5 客戶支援

• 目的：回應請求、診斷問題並改善支援
• 法律依據：履行契約與正當利益
• 涉及資料：帳戶細節、往來訊息、技術資訊與問題描述

15.6 分析與服務改善

• 目的：了解網站與平台之使用情形、改善功能並維持效能
• 法律依據：於歐洲經濟區與英國，基於 Cookie 之分析以同意為依據；彙總之產品使用分析以正當利益為依據
• 涉及資料：使用活動、功能互動、裝置資訊與匿名化或有限之 IP 資訊

15.7 安全與防詐

• 目的：保護帳戶、使用者、基礎架構與服務之完整性
• 法律依據：正當利益與法律義務
• 涉及資料：驗證活動、IP 位址、裝置資訊、稽核紀錄與帳戶活動

15.8 行銷溝通

• 目的：寄送產品消息、教學素材、優惠與有關 OneSuite 產品及服務之資訊
• 法律依據：就我們的產品與服務與既有客戶溝通之正當利益
• 涉及資料：姓名、電子郵件地址、客戶關係、帳戶資訊與溝通偏好

當您建立 OneSuite 帳戶時，基於我們就客戶所註冊之服務與其溝通之正當利益，我們可能將您加入產品郵件名單。

您可隨時透過任何訊息中的退訂連結退訂，我們將停止寄送行銷訊息。

16. Cookie 與追蹤技術

OneSuite 使用 Cookie 及類似技術，用途可能包括：

• 驗證
• 工作階段管理
• 安全
• 記住使用者偏好
• 網站分析
• 衡量行銷成效
• 投放相關的通訊或廣告

必要 Cookie 為網站與平台正常運作所必需。

於歐洲經濟區與英國，僅在適用法律要求時取得同意後，才會使用基於 Cookie 之分析與行銷技術。

使用者可透過 OneSuite 的 Cookie 同意工具接受、拒絕或管理非必要 Cookie。

更多資訊請參閱我們的Cookie 政策。

17. 兒童個人資料

OneSuite 為企業平台，並非提供予未滿 16 歲之兒童使用。

我們不會有意直接向未滿 16 歲之兒童蒐集個人資料。

若我們得知兒童在未取得適當授權之情況下提供個人資料，我們將採取合理措施予以刪除。

除非具備適當之法律依據並遵守所有適用要求，客戶不得使用 OneSuite 蒐集或處理兒童之個人資料。

18. 資料保護聯絡方式

如有 GDPR 相關問題、隱私疑慮、申訴或行使權利之請求，請聯繫：

Syed Rezwanul Haque
OneSuite 創辦人

電子郵件： [email protected]
郵件主旨： GDPR Request

MailBluster LLC，以 OneSuite 名義營運
2810 N Church Street
Wilmington, Delaware 19802
美國

歐盟代表 — 第 27 條

Farhan Mahbub
Universitätsstr. 1, App. 700-3
03046 Cottbus
德國

電子郵件： [email protected]

英國代表 — 英國 GDPR 第 27 條

Sabah Sarwar
25 Langtry Court
Belfast, BT5 4DN
英國

電子郵件： [email protected]

19. 本頁面之變更

我們可能更新本 GDPR 合規頁面，以反映下列事項之變更：

• 適用法律與主管機關指引
• OneSuite 的產品與功能
• 我們的處理活動
• 安全措施
• 服務供應商與次處理者
• 國際傳輸安排
• 我們的隱私權政策或資料處理條款

本頁面更新時，我們將修訂「最後更新」日期。

於必要時，重大變更亦可能透過電子郵件、OneSuite 平台或其他適當方式通知。

本頁面僅供一般參考，不構成法律意見。