隐私政策

1. 控制者和数据保护官

1.1 控制者（DSGVO 第 4 条第 7 款）

负责处理与 biscotti-cmp.com 网站、app.biscotti-cmp.com 应用程序以及所有相关服务运营相关的个人数据的实体是：

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
德国

代表：Daniel Bosch（总经理 / CEO）
此外，有权代表：Philipp André Marschall（授权签字人）

1.2 数据保护官

如果根据《德国联邦数据保护法》（BDSG）第 38 条第 1 款或 DSGVO 第 37 条存在指定数据保护官的法律义务，则将指定该数据保护官，并在此处公布其联系方式。无论如何，管理层（Daniel Bosch, Philipp André Marschall）将确保数据保护义务的全面监督和遵守。

所有数据保护查询，请联系：
电子邮件：[email protected]
电话：+49 3322 50703301
营业时间：周一至周五，10:00–17:00（MEZ/MESZ）

2. 处理活动概述

Biscotti CMP 是一个全面的同意管理和法律合规平台。在平台运营框架内，我们会在以下领域处理个人数据：

• 注册和账户管理（第 3 节）
• SaaS 平台 / 仪表板的使用（第 4 节）
• 我们客户网站访问者的同意数据（第 5 节）
• Cookie 扫描器（第 6 节）
• 法律套件 — AI 文本生成（第 7 节）
• 法律同步 — 法律变更监控（第 8 节）
• 政策审计 — 网站抓取和 AI 分析（第 9 节）
• 律师市场（第 10 节）
• 代理和白标功能（第 11 节）
• 新闻通讯（第 12 节）
• 评论奖励计划（第 13 节）
• 支付处理（第 14 节）
• GeoIP 识别（第 15 节）
• 机器人识别（第 16 节）
• 会话跟踪（第 17 节）
• 备份（第 18 节）
• 托管和基础设施（第 19 节）
• biscotti-cmp.com 上的 Cookie 和本地存储（第 20 节）

对于每项处理活动，下文将说明其目的、法律依据、处理的数据类别、接收者以及存储期限。

3. 注册和账户管理

3.1 注册和账户创建

目的：创建和管理您的用户账户，以便使用 Biscotti CMP 平台。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — 注册是使用 SaaS 平台的先决条件）。

处理的数据类别：

• 电子邮件地址（必填）
• 密码（以加密哈希形式存储，绝不以明文形式存储）
• 名字、姓氏（可选）
• 公司名称（可选）
• 账户语言（自动从浏览器语言识别或从 42 种可用语言中手动选择）
• 注册时间
• 注册时的 IP 地址（用于根据 DSGVO 第 28 条第 9 款记录 AVV 同意）

接收者：Resend（发送验证电子邮件），Hetzner Online GmbH（数据库托管）。

存储期限：数据在合同关系存续期间存储。账户删除后，数据将立即删除，但受法律保留义务的约束（参见第 23 节）。

3.2 双重选择加入（电子邮件验证）

目的：验证电子邮件地址，以确保电子邮件地址的所有者确实进行了注册。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行）结合 DSGVO 第 6 条第 1 款第 f 项（防止滥用的合法利益）。

处理的数据类别：

• 电子邮件地址
• 验证令牌（随机生成，24 小时有效）
• 发送和确认时间
• 验证状态（emailVerified: true/false）

接收者：Resend（发送验证电子邮件）。

存储期限：验证令牌在确认后或 24 小时期限届满后删除。验证状态在合同关系存续期间存储。

3.3 密码重置

目的：在忘记密码时，允许恢复账户访问权限。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行）。

处理的数据类别：

• 电子邮件地址
• 重置令牌（随机生成，有时效性）
• 请求时间

接收者：Resend（发送重置电子邮件）。

存储期限：重置令牌在使用后或有效期届满后删除。

4. SaaS 平台（仪表板）的使用

4.1 仪表板使用和横幅配置

目的：提供 app.biscotti-cmp.com 上的基于网络的仪表板用户界面，用于配置和管理同意横幅、网站、类别、法律文本以及所有其他平台功能。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行）。

处理的数据类别：

• 账户数据（电子邮件、姓名、公司）
• 网站配置（域名、横幅设置、颜色、文本、同意类别）
• 横幅统计数据（浏览量、互动、接受率）
• 扫描结果和扫描历史记录
• 生成的法律文本
• 合规报告和健康评分
• 审计日志条目（时间戳、用户 ID、执行的操作、IP 地址）

接收者：Hetzner Online GmbH（托管）。

存储期限：在合同关系存续期间。审计日志存储 12 个月。账户删除后，数据将在 30 天宽限期结束后不可撤销地删除。

4.2 团队管理

目的：通过邀请团队成员，实现账户的多用户访问。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行）。

处理的数据类别：

• 受邀团队成员的电子邮件地址
• 分配的角色和权限
• 邀请和接受时间

接收者：Resend（发送邀请电子邮件），Hetzner Online GmbH（托管）。

存储期限：在团队成员资格存续期间。从团队中移除后，关联数据将被删除。

4.3 同意分析和 A/B 测试

目的：对同意率、横幅互动和转化跟踪进行统计评估。A/B 测试允许比较不同的横幅变体，以优化接受率。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — 分析功能是所订购套餐的一部分）。

处理的数据类别：

• 汇总的同意统计数据（无个人数据）
• 横幅变体分配（在 A/B 测试中）
• 流量分布和转化率

接收者：Hetzner Online GmbH（托管）。

存储期限：汇总统计数据在合同关系存续期间存储。

5. 网站访问者的同意数据

5.1 同意决定的收集

目的：收集、存储和记录网站访问者的同意决定，以履行网站运营商根据 DSGVO 第 7 条第 1 款和 TDDDG 第 25 条第 1 款的举证义务。

法律依据：DSGVO 第 6 条第 1 款第 c 项（法律义务 — 根据 DSGVO 第 7 条第 1 款的举证义务）结合 DSGVO 第 6 条第 1 款第 f 项（网站运营商记录同意的合法利益）。

处理的数据类别：

• 同意 ID（分配给终端设备/浏览器的假名 UUID）
• 每个类别的同意决定（基本、功能、分析、营销以及可能的自定义类别）
• 同意时间戳（日期和时间）
• IP 哈希（IP 地址仅用于司法管辖区识别，然后匿名化为加密哈希；原始 IP 地址不永久存储）
• 国家代码（通过 GeoIP 识别确定）
• 浏览器语言
• 用户代理字符串
• 推荐类别（organic, social, paid, direct, referral）
• TCF 字符串（在启用 IAB Transparency & Consent Framework 2.3 时）
• 同意变体（在启用 A/B 测试时）
• Google Consent Mode v2 信号
• Global Privacy Control (GPC) 信号

接收者：Hetzner Online GmbH（托管、数据库），MinIO（备份，自托管于 Hetzner）。

存储期限：同意数据默认存储 18 个月。网站运营商（客户）可以单独配置保留期限。保留期限届满后，数据将自动且不可撤销地删除。

5.2 同意查询（网站访问者信息）

目的：允许网站访问者查看存储的同意数据，以履行 DSGVO 第 15 条规定的访问权。

法律依据：DSGVO 第 6 条第 1 款第 c 项（法律义务 — 根据 DSGVO 第 15 条的访问权）。

处理的数据类别：

• 同意 ID（由网站访问者输入）
• IP 地址（用于速率限制，不永久存储）

接收者：Hetzner Online GmbH（托管）。

存储期限：不存储额外数据。查询限制为每 IP 地址每分钟 10 次请求。

6. Cookie 扫描器

6.1 自动化网站扫描

目的：自动搜索我们客户的网站，查找 Cookie、本地存储条目和第三方跟踪器，以识别、分类和记录所使用的技术。结果用于符合数据保护要求的同意横幅配置。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — Cookie 扫描器是平台的核心功能）。

处理的数据类别：

• 被扫描网站的域名和 URL
• 发现的 Cookie（名称、值、域名、过期日期、路径、Secure 标志、SameSite 属性）
• 本地存储条目
• 第三方跟踪器和嵌入的外部资源
• 发现元素的分类（基本、功能、分析、营销）
• 与 IAB Global Vendor List (GVL) 的匹配
• 扫描时间和扫描持续时间

技术实现：扫描器使用 Playwright（Microsoft 的开源无头浏览器），该浏览器运行在我们位于 Hetzner Online GmbH（Falkenstein，荷兰）的自有服务器上。不会向 Microsoft 传输数据。扫描器像普通浏览器一样访问客户网站，以捕获 JavaScript 渲染的内容和动态设置的 Cookie。

接收者：Hetzner Online GmbH（托管），Alibaba Cloud Qwen（AI 驱动的发现 Cookie 分类）。

存储期限：扫描结果在合同关系存续期间存储。扫描历史记录允许与之前的扫描进行比较。

6.2 公共 Cookie 检查器

目的：在营销网站上提供一个免费的公共 Cookie 检查器，无需注册即可使用。

法律依据：DSGVO 第 6 条第 1 款第 f 项（提供信息服务和获取客户的合法利益）。

处理的数据类别：

• 输入的域名/URL
• IP 地址（用于速率限制，不永久存储）
• 扫描结果

接收者：Hetzner Online GmbH（托管）。

存储期限：公共检查器的扫描结果临时存储。使用限制为每 IP 地址每天 3 次扫描。

7. 法律套件 — AI 文本生成

7.1 AI 驱动的法律文本生成

目的：根据客户输入的信息，利用人工智能生成定制的法律文本（版本说明、隐私政策、Cookie 政策、通用条款和条件、撤销说明、AVV/DPA、运输和退货条件、使用条款、免责声明、NDA、DSA 信息以及 30 多种其他文档类型）。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — 法律套件是所订购套餐的一部分）。

传输给 Alibaba Cloud Qwen 的处理数据类别：

• 客户的公司数据（公司名称、法律形式、地址、联系方式）
• 授权代表的姓名（总经理、授权签字人）
• 注册数据（注册法院、注册号、增值税识别号）
• 行业特定信息和业务类别
• 处理活动的描述
• 客户输入的文档类型的个性化信息
• 司法管辖区信息

AI 提供商：Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande)。处理通过欧盟/欧洲经济区内的 Alibaba Cloud Model Studio (Qwen) API 进行。根据 Alibaba Cloud 数据保护条款，输入数据不用于训练 AI 模型。

接收者：Alibaba Cloud Qwen（AI 处理），Hetzner Online GmbH（托管，存储生成的文本）。

存储期限：生成的法律文本在合同关系存续期间存储。在 Alibaba Cloud Qwen，输入数据根据 Alibaba Cloud 使用条款，在处理完成后不会存储。

7.2 自带密钥 (BYOK)

目的：客户可以选择为 AI 提供商（Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama）存储自己的 API 密钥，以便通过其在相应 AI 提供商处的账户进行文本生成。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行）。

处理的数据类别：

• 客户的 API 密钥（使用 AES-256-GCM 加密存储）

注意：在使用自己的 API 密钥时，输入数据由客户负责在相应的 AI 提供商处进行处理。适用相应提供商的数据保护条款。

接收者：客户选择的 AI 提供商。

存储期限：加密的 API 密钥在合同关系存续期间存储，并在账户删除时删除。

8. 法律同步 — 法律变更监控

目的：自动监控超过 186 个司法管辖区的法律变更。当发生相关变更时，受影响的客户法律文本将自动标记为需要更新。在具有“自动更新”功能的套餐中，受影响的文本可以自动重新生成。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — 法律同步是所订购套餐的一部分）。

处理的数据类别：

• 客户网站的司法管辖区分配
• 生成的法律文本与司法管辖区的分配
• 检测到的法律变更的时间和类型
• 更新状态（最新、需要更新、自动更新）

技术实现：每日自动化过程（Cron-Job，UTC 时间 03:00）检查法律变更并将其与客户文档进行比对。

接收者：Hetzner Online GmbH（托管），Alibaba Cloud Qwen（在法律文本自动重新生成时），Resend（通知电子邮件）。

存储期限：变更日志在合同关系存续期间存储。

9. 政策审计 — 网站抓取和 AI 分析

9.1 自动化合规审计

目的：每周自动检查客户网站是否存在数据保护风险。这包括检测自上次扫描以来的新 Cookie、检查同意问题以及对客户现有法律文本（隐私政策、版本说明）进行 AI 驱动的分析。结果以健康评分（A–F）表示。

法律依据：DSGVO 第 6 条第 1 款第 b 项（合同履行 — 合规审计功能是平台的一部分）。

处理的数据类别：

• 被审计网站的域名和 URL
• 客户隐私政策和版本说明的抓取内容
• AI 分析结果（检测到的漏洞、过时的引用、缺失的服务）
• 健康评分和合规报告
• 审计时间

技术实现：Playwright（无头浏览器，自托管于 Hetzner）抓取客户网站上公开可用的法律文本。抓取的文本随后通过 Alibaba Cloud Model Studio (Qwen) API 进行分析。

接收者：Hetzner Online GmbH（托管），Alibaba Cloud Qwen（AI 分析），Resend（在检测到问题时发送通知电子邮件）。

存储期限：审计结果和合规报告在合同关系存续期间存储。

10. 律师市场

10.1 律师服务中介

目的： 在客户与平台上注册的独立律师之间提供律师服务中介。Campcruisers GmbH在此仅作为中介方，不成为客户与律师之间委托关系合同的当事方（参见《通用条款和条件》第 14 条）。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同 — 使用律师市场）。

10.2 律师注册

处理的数据类别：

• 律师的联系方式（姓名、电子邮件、电话、律所地址）
• 专业资格和专业领域
• 验证文件（最大 10 MB，PDF/JPEG/PNG）
• 验证状态（PENDING_APPROVAL, APPROVED, REJECTED）
• 可用时间（每周时间段、已阻止的日期范围、时区）
• 个人资料图片和个人资料描述
• Stripe Connect账户数据（用于提款）

10.3 委托数据

处理的数据类别：

• 报价请求和报价（描述、价格、有效期）
• 委托状态（QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED）
• 客户与律师之间的消息
• 支付信息（金额、平台佣金、提款金额）

10.4 视频咨询 (Twilio)

目的： 提供客户与律师之间的视频咨询。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 视频咨询元数据（时间、时长、参与者）
• Twilio房间ID和访问令牌

接收方： Twilio Ireland Limited，都柏林，爱尔兰（提供视频基础设施）。

10.5 评价

目的： 允许客户对律师进行评价，以确保服务质量。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 f 项（对质量保证和透明度的合法利益）。

处理的数据类别：

• 评价（星级、自由文本）
• 评价时间
• 与委托的关联

整个律师市场的接收方： Stripe Connect（支付处理）、Twilio（视频咨询）、Hetzner Online GmbH（托管）、Resend（通知）。

存储期限： 委托数据在合同关系存续期间存储，但至少存储法律规定的保留义务期限（发票数据为 10 年）。评价在律师注册期间保持可见。未接受的报价在 7 天后自动失效。

11. 代理和白标功能

11.1 子账户管理

目的： 允许代理机构在代理套餐框架内管理最终客户账户（子账户）。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 子账户持有人（代理机构的最终客户）的电子邮件地址和联系方式
• 邀请数据（电子邮件、时间）
• 代理令牌访问日志（时间、代理机构用户、子账户）
• 子账户的网站配置和同意数据

接收方： Hetzner Online GmbH（托管）、Resend（邀请电子邮件）。

存储期限： 在代理机构与Campcruisers GmbH之间的合同关系存续期间。

11.2 自定义域名 (CNAME)

目的： 为代理机构的仪表板提供自定义域名。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 代理机构的域名
• DNS验证数据
• SSL/TLS证书数据（通过Let's Encrypt自动提供）

接收方： Let's Encrypt（SSL证书颁发 — 仅传输域名，不传输自然人的个人数据）、Hetzner Online GmbH（托管、Traefik路由）。

11.3 自定义交易电子邮件

目的： 允许代理机构通过自己的电子邮件提供商发送带有代理机构品牌标识的交易电子邮件。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 代理机构电子邮件提供商的API-Keys（使用AES-256-GCM加密存储）
• 电子邮件发件人数据（姓名、电子邮件地址）
• 支持的提供商：Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

注意： 使用自己的电子邮件提供商时，电子邮件发送由代理机构承担数据保护责任。

存储期限： 加密的API-Keys在合同关系存续期间存储。

12. 新闻通讯

12.1 新闻通讯订阅

目的： 发送有关产品更新、数据保护法、合规性主题以及Biscotti CMP相关新闻的信息。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 a 项（同意 — 新闻通讯仅在通过双重选择加入程序明确同意后发送）。

处理的数据类别：

• 电子邮件地址
• 注册和双重选择加入确认的时间
• 退订状态

双重选择加入程序： 输入电子邮件地址后，您将收到一封包含验证链接的确认电子邮件。只有点击此链接后，您的电子邮件地址才会被添加到新闻通讯分发列表。

接收方： Resend（发送新闻通讯电子邮件和确认电子邮件）。

退订： 您可以随时退订新闻通讯。每封新闻通讯电子邮件都包含一个退订链接（Unsubscribe-Link）。或者，您可以通过电子邮件发送至[email protected]进行退订。

存储期限： 您的电子邮件地址将存储直至您退订新闻通讯。退订后，电子邮件地址将立即从分发列表中删除。为记录已获得的同意，注册和确认时间将在退订后保留 3 年（对同意可证明性的合法利益，《通用数据保护条例》第 6 条第 1 款第 f 项）。

13. 评价奖励计划

目的： 奖励在外部评价平台（如OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so）上对Biscotti CMP进行评价的客户，提供额外会话和临时套餐升级。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同 — 参与该计划是自愿的，并构成一项合同附加服务）。

处理的数据类别：

• 参与客户的账户数据
• 评价平台（OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so）
• 已提交评价的链接
• 批准状态（通过管理员审核）
• 奖励数据（15,000个额外会话，1个月套餐升级）

接收方： Hetzner Online GmbH（托管）。

存储期限： 奖励数据在合同关系存续期间存储。额外会话在 6 个月后失效（常规套餐）或无限期有效（LTD套餐）。

14. 支付处理 (Stripe)

14.1 订阅支付

目的： 处理付费订阅套餐、信用包和其他付费服务的支付。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 账单地址（姓名/公司、街道、邮编、城市、国家）
• 增值税号（B2B客户）
• 支付方式（信用卡、SEPA直接借记、PayPal、Apple Pay、Google Pay等）
• 支付历史和发票
• Stripe Customer-ID和Subscription-ID

接收方： Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, 爱尔兰。Stripe已通过欧盟-美国数据隐私框架认证。

存储期限： 发票和会计数据保留 10 年（《德国税法》第 147 条，《德国商法典》第 238、257 条）。支付方式在Stripe存储，期限与订阅期相同。

14.2 Stripe Connect (律师市场)

目的： 通过律师市场处理客户与律师之间的支付，以及向律师支付款项。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）。

处理的数据类别：

• 律师的Stripe Connect Express账户数据
• 支付金额、平台佣金、提款金额
• 结账会话数据

接收方： Stripe Payments Europe, Ltd.，都柏林，爱尔兰。

存储期限： 根据发票数据的保留义务（10 年）。

14.3 ZUGFeRD发票

目的： 以ZUGFeRD格式（符合EN 16931标准的嵌入XML的PDF）创建和提供发票。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）结合《通用数据保护条例》第 6 条第 1 款第 c 项（法律义务 — 根据《增值税法》、《德国商法典》的发票开具义务）。

处理的数据类别：

• 账单地址、客户编号 (CUS-JJMM-XXXXX)、发票编号 (INV-JJMM-XXXXX)
• 服务描述、金额、税率

接收方： Resend（通过电子邮件发送发票）、Hetzner Online GmbH（托管）。

存储期限： 10 年（《德国税法》第 147 条，《德国商法典》第 238、257 条）。

15. GeoIP识别

目的： 基于IP地址识别网站访问者的国家或司法管辖区，以动态显示符合法律规定的横幅变体（例如，DSGVO国家的选择加入，CCPA国家的选择退出，无特定Cookie法律国家的仅通知）。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 f 项（根据网站访问者适用的司法管辖区，合法地显示同意横幅的合法利益）。

处理的数据类别：

• 网站访问者的IP地址（传输至ip-api.com进行国家识别）
• 识别出的国家代码

技术实现： IP地址传输至ip-api.com服务（所在地：立陶宛，欧盟）。结果（国家代码）在缓存（Redis）中缓存 1 小时，以避免重复查询。国家识别后，IP地址被匿名化为加密哈希（IP-Hash）。原始IP地址不会永久存储。

接收方： ip-api.com（ip-api，立陶宛 — GeoIP服务）、Hetzner Online GmbH（托管、Redis缓存）。

存储期限： GeoIP结果在缓存中存储 1 小时。原始IP地址在国家识别后立即匿名化。IP-Hash作为同意数据的一部分，在配置的保留期限（标准：18 个月）内存储。

16. 机器人识别

目的： 区分人类网站访问者和自动化访问（机器人、爬虫、抓取工具），以进行正确的会话计数。自动化访问不计为会话，也不计费。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 f 项（对正确计费和保护平台免受滥用的合法利益）。

处理的数据类别：

• User-Agent字符串
• HTTP头（例如，Accept-Language, Accept-Encoding）
• 无头浏览器的特征
• IP地址（用于基于IP的速率限制，不永久存储）

技术实现： 机器人识别通过User-Agent分析、HTTP头分析（例如，缺少Accept-Language头）、无头浏览器识别和基于IP的速率限制来分析每次访问。分析在我们的服务器上实时进行。

接收方： Hetzner Online GmbH（托管）。

存储期限： 分析结果不永久存储。结果（机器人：是/否）计入会话计数。

16.1 Cloudflare Turnstile（登录/注册时的机器人保护）

目的： 保护登录和注册表单免受自动化机器人攻击。

法律依据：后： 《通用数据保护条例》第 6 条第 1 款第 f 项（对保护平台免受滥用和自动化攻击的合法利益）。

处理的数据类别：

• IP地址
• 浏览器信息
• 与Turnstile小部件的交互数据

接收方： Cloudflare Germany GmbH, Rosental 7, 80331 München, 德国。Cloudflare已通过欧盟-美国数据隐私框架认证。此外，通过标准合同条款（SCCs）提供保护。

存储期限： Cloudflare根据其自身的数据保护规定存储数据。我们的服务器上不存储来自Turnstile的额外数据。

17. 会话跟踪

目的： 统计会话以进行基于套餐的计费。当客户网站上加载Biscotti-CMP小部件（biscotti.min.js）并向/api/v1/ping端点发送HTTP-Ping时，即计为一个会话。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同 — 基于会话的计费是套餐模型的基础）。

处理的数据类别：

• 会话计数器（按网站和计费月份汇总）
• Ping时间
• 机器人识别结果（参见第 16 节）

技术实现： Redis作为内存数据库用于会话跟踪和缓存。Redis在Hetzner Online GmbH（Falkenstein，荷兰）上自托管运行。不向第三方传输数据。

接收方： Hetzner Online GmbH（托管、Redis）。

存储期限： 会话计数器存储在相应的计费月份。历史会话数据在合同关系存续期间保留，以确保计费的可追溯性。

18. 备份

目的： 定期备份同意日志、横幅配置、网站配置和数据库数据，以确保在数据丢失时可恢复。

法律依据： 《通用数据保护条例》第 6 条第 1 款第 f 项（对数据安全和可恢复性的合法利益，根据《通用数据保护条例》第 32 条第 1 款第 c 项）。

处理的数据类别：

• 数据库中存储的所有数据（同意日志、配置、账户数据、法律文本、扫描结果）
• 横幅配置

技术实现：

• PostgreSQL数据库的每日自动备份
• 横幅配置和网站配置的每日自动备份
• 存储在GCP内部自托管的MinIO存储上
• 使用AES-256进行服务器端加密
• 通过SHA-256校验和进行完整性检查
• 定期恢复测试

接收方： MinIO（在Hetzner Online GmbH上自托管）。

存储期限： 备份在滚动周期内保留。账户删除后，备份数据将在 30 天的宽限期和下一个备份轮换周期结束后删除。

19. 托管和基础设施

19.1 Hetzner Online GmbH

目的：托管整个 Biscotti CMP 基础设施，包括网络服务器、数据库、应用逻辑以及所有相关服务。

法律依据：根据《通用数据保护条例》第 6 条第 1 款第 b 项（履行合同）并结合第 6 条第 1 款第 f 项（对可靠和安全基础设施的合法权益）。

数据中心位置：Hetzner Online GmbH，Falkenstein 区域（荷兰埃姆斯哈文，欧盟）。

提供商：Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, 德国

技术架构：

• 容器化应用 (Docker)
• Traefik 作为反向代理和负载均衡器
• PostgreSQL 作为关系型数据库（在 Hetzner 上自托管）
• Redis 作为内存数据库用于会话跟踪和缓存（在 Hetzner 上自托管）
• Playwright 作为无头浏览器用于网站扫描（在 Hetzner 上自托管）
• MinIO 作为 S3 兼容的对象存储用于备份（在 Hetzner 上自托管）

19.2 服务器日志文件

目的：网站的技术提供和系统稳定性保障。

法律依据：根据《通用数据保护条例》第 6 条第 1 款第 f 项（对技术提供和安全的合法权益）。

处理的数据类别：

• IP 地址（匿名化）
• 访问日期和时间
• 访问的页面/端点
• HTTP 状态码
• 传输的数据量
• 引用 URL
• 浏览器类型和版本
• 操作系统

存储期限：服务器日志文件最长存储 30 天，之后自动删除。

20. biscotti-cmp.com 上的 Cookie 和本地存储

20.1 Biscotti CMP 的自有使用

为了管理我们自己网站 (biscotti-cmp.com) 上所需的同意，我们使用我们自己的产品“Biscotti CMP”。

20.2 技术上必要的 Cookie

目的：确保网站和仪表板的功能。

法律依据：根据《通用数据保护条例》第 6 条第 1 款第 f 项（对技术功能的合法权益）并结合《德国电信数据保护法》第 25 条第 2 款第 2 项（技术上必要的 Cookie 免于同意义务）。

使用的技术上必要的 Cookie：

• 会话 Cookie（用于身份验证的 JWT 令牌，有效期：7 天）
• 同意 Cookie（在 biscotti-cmp.com 上存储访问者的同意决定）
• 语言偏好 Cookie

20.3 分析 Cookie（仅在同意后）

目的：对我们网站使用情况进行统计评估，以改进我们的服务。

法律依据：根据《通用数据保护条例》第 6 条第 1 款第 a 项（同意）并结合《德国电信数据保护法》第 25 条第 1 款。

Google Analytics 4：我们仅在您同意的情况下使用 Google Analytics 4 进行统计评估。提供商：Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, 爱尔兰。数据处理在欧盟进行。IP 匿名化已启用。

20.4 详细的 Cookie 信息

有关 biscotti-cmp.com 上使用的所有 Cookie 的详细信息，包括名称、目的、提供商、存储期限和类型，请参阅我们单独的 Cookie 政策。

21. 外部服务提供商 / 接收方

为提供我们的服务，我们使用以下外部服务提供商。此列表符合我们《通用条款和条件》第 24 条和我们《数据处理协议》第 7 条的规定：

自托管技术（非独立的子处理者）：

• PostgreSQL (开源) — 关系型数据库，在 Hetzner 上自托管 (Falkenstein)
• Redis (开源) — 内存数据库用于会话跟踪和缓存，在 Hetzner 上自托管 (Falkenstein)
• Playwright (开源, Microsoft) — 无头浏览器用于网站扫描，在 Hetzner 上自托管 (Falkenstein)
• MinIO (开源) — S3 兼容的对象存储用于备份，在 Hetzner 上自托管 (Falkenstein)

这些技术不涉及向第三方传输数据。它们是第 5 项所述 Hetzner 基础设施的一部分。

22. 第三国数据传输

22.1 原则

个人数据的处理原则上在欧盟 (EU) 或欧洲经济区 (EWR) 内进行。主要基础设施 (Hetzner Online GmbH, Falkenstein) 位于德国。

22.2 向第三国传输

如果外部服务提供商在欧盟/欧洲经济区之外进行数据处理，我们确保满足《通用数据保护条例》第 44 条及后续条款的特殊要求：

(a) Resend (美国)：

• 通过欧盟委员会根据执行决定 (EU) 2021/914 发布的当前标准合同条款 (SCCs) 提供保障
• 通过欧盟委员会于 2023 年 7 月 10 日发布的充分性决定，由欧盟-美国数据隐私框架 (DPF) 提供额外保障
• 补充技术措施：所有电子邮件传输的 TLS 加密
• 数据处理在欧盟的 AWS 服务器上进行（eu-west-1 区域）

(b) Let's Encrypt (美国)：

• 与 Let's Encrypt 的通信仅限于通过 ACME 协议自动颁发 SSL/TLS 证书
• 仅传输域名 — 不传输自然人的个人数据

(c) Cloudflare Turnstile (全球)：

• 通过欧盟委员会的标准合同条款 (SCCs) 提供保障
• 通过欧盟-美国数据隐私框架提供额外保障
• 处理仅限于登录和注册过程中的机器人检测

22.3 传输影响评估

对于每次向第三国传输，我们都会进行传输影响评估 (Transfer Impact Assessment — TIA)，以确保第三国的数据保护水平与欧盟基本一致。TIA 的结果可应要求提供。

22.4 法律状况变更

如果欧盟委员会的充分性决定被撤销，或第三国数据传输被监管机构或法院禁止，我们将立即通知您，并采取适当的替代保护措施或停止相关处理。

23. 存储期限和删除期限

我们仅在为特定处理目的所需或存在法定保留义务的情况下存储个人数据。以下是主要存储期限的概述：

账户删除后，所有个人数据将在 30 天宽限期结束后，从生产系统和备份中不可逆地、符合数据保护要求地删除，但受上述法定保留义务的约束。

24. 数据主体的权利（《通用数据保护条例》第 15-22 条）

作为数据主体，您对您的个人数据拥有以下权利：

24.1 访问权（《通用数据保护条例》第 15 条）

您有权要求我们确认是否正在处理与您相关的个人数据。如果是，您有权访问这些个人数据以及《通用数据保护条例》第 15 条第 1 款中提及的信息（处理目的、个人数据类别、接收方、计划存储期限、数据来源、是否存在自动化决策）。

技术实现：您可以随时在仪表板中查看您的账户数据。同意数据可以通过导出功能 (CSV) 下载。网站访问者可以通过公共同意查询页面，输入其同意 ID 来查看其存储的同意数据。

24.2 更正权（《通用数据保护条例》第 16 条）

您有权要求立即更正不准确的个人数据。考虑到处理目的，您有权要求补充不完整的个人数据。

技术实现：账户数据（姓名、电子邮件、公司、地址）可以随时在仪表板中更正。

24.3 删除权（《通用数据保护条例》第 17 条）

您有权要求立即删除您的个人数据，如果符合《通用数据保护条例》第 17 条第 1 款中列出的任何原因（例如，数据不再为目的所需，撤回同意，非法处理）。

技术实现：您可以随时通过仪表板或发送电子邮件至 [email protected] 来请求删除您的账户。账户删除时，所有个人数据将被不可逆地删除，但受法定保留义务的约束（参见第 23 节）。同意数据可由客户（网站运营商）通过仪表板功能删除。

限制：如果为履行法律义务（例如税务和商业法规定的保留义务）而进行处理是必要的，则删除权不适用。

24.4 限制处理权（《通用数据保护条例》第 18 条）

如果符合《通用数据保护条例》第 18 条第 1 款中列出的任何条件（例如，质疑准确性、非法处理、根据《通用数据保护条例》第 21 条提出异议），您有权要求限制处理。

技术实现：可以通过仪表板功能或联系我们的支持团队来请求限制单个数据集。

24.5 数据可移植权（《通用数据保护条例》第 20 条）

您有权以结构化、常用且机器可读的格式接收您提供给我们的个人数据。您有权将这些数据无障碍地传输给另一个控制者。

技术实现：Biscotti CMP 通过仪表板和 REST API 提供广泛的 CSV 格式数据导出功能。可导出的数据包括：同意数据、网站配置、扫描结果、法律文本、审计日志和发票。

24.6 反对权（《通用数据保护条例》第 21 条）

您有权随时以您的特殊情况为由，反对基于《通用数据保护条例》第 6 条第 1 款第 f 项（合法权益）对您个人数据的处理。除非我们能证明处理存在压倒您利益、权利和自由的强制性合法理由，或者处理是为了主张、行使或辩护法律权利，否则我们将不再处理该个人数据。

24.7 撤回同意权（《通用数据保护条例》第 7 条第 3 款）

如果处理是基于您的同意（《通用数据保护条例》第 6 条第 1 款第 a 项），您有权随时撤回同意。撤回同意不影响在撤回之前基于同意进行的处理的合法性。

网站访问者的技术实现：Biscotti CMP 的同意横幅为最终用户提供了随时访问和撤回已做设置的功能。撤回同意与授予同意一样简单。

新闻通讯的技术实现：每封新闻通讯电子邮件都包含一个取消订阅链接。

24.8 向监管机构投诉的权利（《通用数据保护条例》第 77 条）

您有权就我们对您个人数据的处理向数据保护监管机构投诉。我们负责的监管机构是：

勃兰登堡州数据保护和档案查阅权专员
Stahnsdorfer Damm 77
14532 Kleinmachnow
电话: +49 33203 356-0
电子邮件: [email protected]

但是，您也可以联系您常住地或工作地点的监管机构。

24.9 行使您的权利的联系方式

如需行使您的权利，请联系：

电子邮件: [email protected]
电话: +49 3322 50703301
邮寄地址: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, 德国

我们将在收到您的请求后立即处理，最迟不超过一个月（《通用数据保护条例》第 12 条第 3 款）。在复杂情况或请求数量众多时，此期限可延长两个月，我们将告知您原因。

25. 自动化决策（《通用数据保护条例》第 22 条）

25.1 AI 文本生成

在法律套件中，法律文本由人工智能 (Alibaba Cloud Qwen) 生成。这种文本生成是一种自动化处理，但不构成《通用数据保护条例》第 22 条第 1 款意义上的自动化决策，因为：

• 生成的文本对数据主体不产生法律效力，也不会以类似方式对其造成重大不利影响。
• 这些文本仅为草稿，客户在使用前必须进行审查、编辑和批准。
• 任何决策都不是完全基于自动化处理 — 客户始终对生成文本的使用拥有完全控制权。

25.2 AI 辅助 Cookie 分类

通过 AI 自动分类 Cookie（基本、功能、分析、营销）是一种辅助功能。客户可以随时手动审查和调整分类。这不构成《通用数据保护条例》第 22 条意义上的自动化决策。

25.3 机器人检测

自动化机器人检测（参见第 16 节）自动判断访问是人类行为还是自动化行为。此决定会影响会话计数，进而影响计费。由于该决定仅涉及客户（而非网站访问者），且客户可以在仪表板中跟踪会话计数，因此不构成《通用数据保护条例》第 22 条意义上对数据主体造成重大不利影响的自动化决策。

25.4 合规健康评分

在政策审计（参见第 9 节）框架内自动计算合规健康评分 (A–F) 是一种信息和支持功能。该评分不具有法律效力，仅用于向客户提供信息。

25.5 根据欧盟人工智能法案的透明度声明

我们使用 AI 系统 (Alibaba Cloud Qwen) 进行文本生成、Cookie 分类和政策分析。根据欧盟法规 (EU) 2024/1689（欧盟人工智能法案）的透明度义务，我们特此声明：

• AI 生成的内容将进行标记。
• AI 模拟了各种法律专家角色 — 这并非由真正的律师进行审查。
• 我们强烈建议在实际使用 AI 生成的法律文本之前，请合格的律师进行审查。

26. 隐私政策的变更

我们保留调整本隐私政策的权利，以适应法律状况、技术发展或 Biscotti CMP 新功能的变更。最新版本可随时在我们的网站 biscotti-cmp.com/de/datenschutz 上查阅。

如果发生影响您的权利或数据处理方式的重大变更，我们将通过您账户中登记的电子邮件地址通知您。我们建议您定期查阅本隐私政策。

27. 主管监管机构

Campcruisers GmbH 的主管数据保护监管机构是：

勃兰登堡州数据保护和档案查阅权专员
Stahnsdorfer Damm 77
14532 Kleinmachnow
德国
电话: +49 33203 356-0
电子邮件: [email protected]
网站: https://www.lda.brandenburg.de

数据安全

我们根据《通用数据保护条例》第 32 条采取了全面的技术和组织安全措施，以保护您的个人数据。这尤其包括：

• 传输加密：所有数据传输采用 TLS 1.2/1.3，强制使用 HTTPS (HSTS)
• 静态加密：Hetzner Online GmbH 上所有数据库和存储介质的 AES-256 加密，敏感配置数据（API 密钥、BYOK 密钥）的 AES-256-GCM 加密
• 假名化：同意数据与假名同意 ID 关联，IP 地址被匿名化为 IP 哈希
• 访问控制：基于角色的访问控制 (RBAC)，最小权限原则，逻辑租户隔离
• 身份验证：基于 JWT 的身份验证，Cloudflare Turnstile 用于防范机器人攻击
• 备份和恢复：每日自动备份，采用 AES-256 加密和 SHA-256 完整性检查
• 审计日志：所有安全相关操作的全面日志记录系统

完整的技术和组织措施 (TOMs) 已记录在我们《数据处理协议》(AVV) 的第 8 条中。