《隐私政策》

1. 数据控制者

就本网站上的数据处理承担责任的数据控制者为：

Wisteria GmbH
Hechtstr. 43
82266 Inning，德国
电子邮箱：[email protected]

2. 访问我们的网站（服务器日志文件）

每次访问我们的网站时，您的浏览器都会自动向我们网站的服务器发送信息，这些信息会被临时保存在一个日志文件中。所记录的内容包括：

• 所访问的网站以及访问的时间
• 所传输的数据量（字节）
• 此前访问过的网站（来源页面，Referrer）
• 所使用的浏览器和操作系统
• IP 地址（在适用情况下经匿名化处理）

上述处理依据 GDPR 第6条第1款(f)项进行。我们的合法利益（正当利益）在于确保连接顺畅建立、使用便捷，以及对系统安全性和稳定性进行评估。

3. Cookie

我们使用 Cookie 及类似技术。对于技术上必需的 Cookie，特别是用于管理您的会话、您的购物车以及保存您的 Cookie 设置的 Cookie，我们依据 § 25 Abs. 2 TDDDG（德国《数字服务电信数据保护法》第25条第2款）以及 GDPR 第6条第1款(b)项和(f)项予以使用；就此无需取得您的同意（关于不使用 Cookie 的访问量统计，参见第4节）。

统计类和营销类 Cookie（参见第5节至第7节）仅在您通过我们的 Cookie 横幅作出同意后，我们才会设置（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）。您的同意是自愿的，并非使用本商店所必需；您可以随时通过页脚的“Cookie 设置”撤回同意，撤回自作出之时起向将来发生效力。所有所用 Cookie 及其存储期限的完整清单，请见我们的“Cookie 政策”页面。

4. 访问量统计（不使用 Cookie）

为了解本商店的负载和使用情况，我们自行进行不使用 Cookie 的访问量统计（例如页面浏览量以及同时在线的访问者人数）。为此仅使用一个随机生成、且仅保存在浏览器标签页内存中的标识；不设置任何 Cookie，也不在您的设备上存储任何数据。我们不会将其与其他数据来源进行合并，也不进行跨设备追踪。法律依据为 GDPR 第6条第1款(f)项；我们的合法利益在于进行统计分析并确保我们服务的稳定运行。

5. Google Analytics 4

如您已作出同意，我们将使用 Google Analytics 4，这是一项由 Google Ireland Ltd.（Gordon House, Barrow Street, Dublin 4, Ireland，以下简称“Google”）提供的网络分析服务。Google Analytics 使用 Cookie（_ga 和 _ga_*，存储期限均为两年），并处理假名化标识（客户端 ID 和会话 ID）以及设备和使用数据，用以分析本商店的使用情况。在您完成购买后，我们还会在服务器端向 Google Analytics 传输一个购买事件（Measurement Protocol），其中包含客户端 ID／会话 ID、订单号和购物车数据，以便将该笔购买归属到相应会话；此项同样仅在您已作出同意的情况下进行。

法律依据为您的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）；未取得同意时不会加载 Google Analytics。Google 作为受托处理者，依据 Google 数据处理条款（GDPR 第28条）按照我们的委托处理这些数据。数据可能被传输至位于美国的 Google LLC；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Google LLC 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以您的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在您无法获得有效法律救济的情况下访问相关数据。您可以随时通过页脚的“Cookie 设置”撤回同意。更多信息请见：https://policies.google.com/privacy。

6. Google Ads

如您已作出同意，我们将使用 Google Ads（Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland）来衡量我们广告的效果（转化衡量）并用于再营销。为此会设置 _gcl_au 和 _gcl_aw（存储期限均为三个月）以及 IDE（十三个月）等 Cookie，用以识别您是否通过广告到达我们的网站，以及此后是否发生了购买。在您完成购买后，我们还会将您电子邮箱地址的假名化（经 SHA-256 哈希处理）形式传输给 Google（“Enhanced Conversions”，增强型转化），以便将该笔购买归属到相应广告；哈希处理已在您的浏览器中完成，电子邮箱地址本身不会传输给 Google。此项同样仅在您已就 Google Ads 作出同意的情况下进行。

法律依据为您的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG），您可以随时通过页脚的“Cookie 设置”撤回同意。就 Google 在其自有系统中对广告数据的处理，Google 在数据保护法上独立作为数据控制者承担责任；在此范围内适用 Google 的控制者对控制者数据保护条款。数据可能被传输至位于美国的 Google LLC；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Google LLC 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以您的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在您无法获得有效法律救济的情况下访问相关数据。更多信息请见：https://policies.google.com/privacy。

7. Meta Pixel 和 Conversions API

如您已作出同意，我们将使用 Meta Platforms Ireland Ltd.（Merrion Road, Dublin 4, D04 X2K5, Ireland，以下简称“Meta”）的 Meta Pixel，用以衡量我们在 Facebook 和 Instagram 上的广告效果并构建目标受众（Custom Audiences，自定义受众）。该像素会设置 Cookie（_fbp、_fbc 和 fr，存储期限均为三个月），并记录您与本商店的互动。在您完成购买后，我们还会通过 Meta Conversions API 在服务器端向 Meta 传输您电子邮箱地址的假名化（经 SHA-256 哈希处理）形式、Cookie ID _fbp／_fbc 以及订单数据（例如订单金额和币种），以便将该笔购买归属到相应广告；此项同样仅在您已作出同意的情况下进行。

法律依据为您的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）；未就营销作出同意时，既不会加载该像素，也不会进行服务器端传输。就上述数据的收集和传输，我们与 Meta 为共同控制者（GDPR 第26条）；就此达成的约定为 Meta 的 Controller Addendum（控制者附录）。据此，Meta 对其后续的数据处理独立承担责任。数据可能被传输至位于美国的 Meta Platforms Inc.；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Meta Platforms Inc. 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以您的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在您无法获得有效法律救济的情况下访问相关数据。您可以随时通过页脚的“Cookie 设置”撤回同意。更多信息请见：https://www.facebook.com/privacy/policy。

8. 广告活动归因（UTM）

如您已同意使用统计类 Cookie，则在您首次通过某个广告活动访问我们的网站时，我们会将所访问网址中的广告活动参数（UTM 参数，例如来源、媒介和广告活动名称）在您的浏览器中最多保存九十日。如果在此期间产生订单，我们会将这些参数与该订单一并保存（“首次触点”归因），以了解哪些广告活动带来了购买。法律依据为您的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG），您可以随时通过页脚的“Cookie 设置”撤回同意。

9. 同意记录（Cookie 同意）

我们会在服务器端记录您在 Cookie 横幅中作出的决定（同意或拒绝），以便能够就此举证（GDPR 第7条第1款）。所保存的内容包括：在您浏览器中生成的假名化同意 ID、您就每一类别作出的决定、同意文本的版本、作出决定的时间、所访问的页面、经截短处理的（不完整的）IP 地址以及浏览器标识（User-Agent）。法律依据为 GDPR 第6条第1款(c)项（举证义务）并结合 GDPR 第6条第1款(f)项。该记录保存十三个月，之后予以删除。

10. 客户账户与注册

您可以在我们这里创建客户账户。为此所收集的数据（例如姓名、电子邮箱地址、账单地址和收货地址），我们依据 GDPR 第6条第1款(b)项予以处理，用于履行合同和管理您的账户。您可以随时联系我们，要求删除您的客户账户。

对于企业客户（B2B），我们还会处理增值税识别号，用以核查纳税义务。客户账户的登录采用无密码方式，通过发送至电子邮箱的一次性验证码完成。

11. 订单处理

为处理您的订单，我们会处理您所提供的订单数据、账单数据和配送数据。法律依据为 GDPR 第6条第1款(b)项（履行合同）。在存在法定保存义务（例如商法和税法上的保存义务）的范围内，我们依据 GDPR 第6条第1款(c)项在该等期限内保存相关数据（通常最长为十年）。

12. 向配送服务商提供数据

为配送您所订购的商品，我们会在配送所必需的范围内，将您的配送数据提供给受托进行投递的运输企业。法律依据为 GDPR 第6条第1款(b)项。视订单的不同，可能为下列企业之一：

• DHL / Deutsche Post AG
• DPD Deutschland GmbH
• United Parcel Service Deutschland S.à r.l. & Co. OHG（UPS）
• General Logistics Systems Germany GmbH & Co. OHG（GLS）
• Hermes Germany GmbH

13. 支付处理

通过 Stripe 进行的银行卡支付

使用信用卡或类似支付方式付款时，支付由 Stripe Payments Europe, Ltd.（1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland）处理。支付所必需的数据会直接传输给 Stripe。法律依据为 GDPR 第6条第1款(b)项。更多信息请见 Stripe 的隐私政策。

通过 PayPal 进行的支付

通过 PayPal 付款时，支付由 PayPal (Europe) S.à r.l. et Cie, S.C.A.（22-24 Boulevard Royal, 2449 Luxemburg）处理。支付数据会直接传输给 PayPal。法律依据为 GDPR 第6条第1款(b)项。此外还适用 PayPal 的数据保护条款。

通过银行转账支付（预付款）

通过银行转账付款时，我们会处理款项核对所必需的数据。此时不会向任何支付服务商提供数据；款项通过您的开户银行支付。

14. 发票开具、会计核算与归档

为履行我们在税法和商法上的义务，我们会在会计和税务系统中（DATEV 格式）处理订单和发票数据，并以符合审计要求、防止篡改的方式对发票进行归档。归档以加密形式保存在由我们运营或受我们委托运营的存储系统（Nextcloud）上。法律依据为 GDPR 第6条第1款(c)项并结合法定保存义务。

15. 订单履行与进销存管理（ERP）

为履行订单、进行仓储和库存管理以及控制发货，我们使用了一套进销存管理系统（LingXing）。为此所必需的订单数据和配送数据会被传输至该系统。法律依据为 GDPR 第6条第1款(b)项和(f)项（履行合同以及高效履行订单）。

16. 电子邮件发送（交易类邮件）

在订单处理过程中，我们会发送与交易相关的电子邮件（例如登录验证码、订单确认和发货确认、发票）。法律依据为 GDPR 第6条第1款(b)项。

17. 邮件订阅（Newsletter）

如您订阅我们的邮件资讯，我们会使用您的电子邮箱地址向您发送产品和优惠信息。订阅采用双重确认（Double Opt-in）程序：在您提交订阅后，我们会向您发送一封含有确认链接的邮件；只有在您点击该链接之后，我们才会将您加入收件人名单。法律依据为您依据 GDPR 第6条第1款(a)项作出的同意。

为证明您已作出同意，我们会记录订阅和确认的时间、其间所使用的 IP 地址以及同意声明的文字内容。您可以随时退订，例如通过每封订阅邮件末尾的退订链接；撤回同意自撤回之时起向将来发生效力。

18. 与我们联系

如您通过电子邮件或联系表单与我们联系，我们会处理您所告知的数据，用以处理您的咨询。法律依据为 GDPR 第6条第1款(b)项（如该咨询涉及合同）或 GDPR 第6条第1款(f)项。在您的咨询最终处理完毕且不存在保存义务与之相抵触时，相关数据将被删除。

19. 网站托管（Hosting）

我们的网站及相关系统托管于一家位于欧盟境内的服务商。我们与该服务商签订了 GDPR 第28条项下的数据处理协议。相关处理用于提供我们的在线服务，依据为 GDPR 第6条第1款(f)项。

20. 您的权利

根据 GDPR，您享有下列权利：

• 访问权（查阅权）：获知我们所存储的与您有关的数据（GDPR 第15条）
• 更正权：更正不正确的数据（GDPR 第16条）
• 删除权：删除您的数据（GDPR 第17条）
• 限制处理权：限制对您数据的处理（GDPR 第18条）
• 数据可携带权（GDPR 第20条）
• 反对权：对处理提出反对（GDPR 第21条）
• 撤回同意的权利：撤回已作出的同意，自撤回之时起向将来发生效力（GDPR 第7条第3款）

如需行使您的权利，只需按上文所列联系方式向我们发出通知即可，无需特定形式。

21. 向监管机构投诉的权利

您有权就我们对您个人数据的处理向数据保护监管机构提出投诉（GDPR 第77条）。对我们负有监管职责的机构为 Bayerisches Landesamt für Datenschutzaufsicht（巴伐利亚州数据保护监管局，BayLDA）。