《隐私政策》

1. 数据控制者

就本网站上的数据处理承担责任的数据控制者为：

Wisteria GmbH
Hechtstr. 43
82266 Inning，德国
电子邮箱：[email protected]

2. 访问我们的网站（服务器日志文件）

每次访问我们的网站时，你的浏览器都会自动向我们网站的服务器发送信息，这些信息会被临时保存在一个日志文件中。所记录的内容包括：

• 所访问的网站以及访问的时间
• 所传输的数据量（字节）
• 此前访问过的网站（来源页面，Referrer）
• 所使用的浏览器和操作系统
• IP 地址（在适用情况下经匿名化处理）

上述处理依据 GDPR 第6条第1款(f)项进行。我们的合法利益（正当利益）在于确保连接顺畅建立、使用便捷，以及对系统安全性和稳定性进行评估。

3. Cookie

我们使用 Cookie 及类似技术。对于技术上必需的 Cookie，特别是用于管理你的会话、你的购物车以及保存你的 Cookie 设置的 Cookie，我们依据 § 25 Abs. 2 TDDDG（德国《数字服务电信数据保护法》第25条第2款）以及 GDPR 第6条第1款(b)项和(f)项予以使用；就此无需取得你的同意（关于不使用 Cookie 的访问量统计，参见第4节）。

统计类和营销类 Cookie（参见第5节至第7节）仅在你通过我们的 Cookie 横幅作出同意后，我们才会设置（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）。你的同意是自愿的，并非使用本商店所必需；你可以随时通过页脚的“Cookie 设置”撤回同意，撤回自作出之时起向将来发生效力。所有所用 Cookie 及其存储期限的完整清单，请见我们的“Cookie 政策”页面。

4. 访问量统计（不使用 Cookie）

为了解本商店的负载和使用情况，我们自行进行不使用 Cookie 的访问量统计（例如页面浏览量以及同时在线的访问者人数）。为此仅使用一个随机生成、且仅保存在浏览器标签页内存中的标识；不设置任何 Cookie，也不在你的设备上存储任何数据。我们不会将其与其他数据来源进行合并，也不进行跨设备追踪。法律依据为 GDPR 第6条第1款(f)项；我们的合法利益在于进行统计分析并确保我们服务的稳定运行。

5. Google Analytics 4

如你已作出同意，我们将使用 Google Analytics 4，这是一项由 Google Ireland Ltd.（Gordon House, Barrow Street, Dublin 4, Ireland，以下简称“Google”）提供的网络分析服务。Google Analytics 使用 Cookie（_ga 和 _ga_*，存储期限均为两年），并处理假名化标识（客户端 ID 和会话 ID）以及设备和使用数据，用以分析本商店的使用情况。在你完成购买后，我们还会在服务器端向 Google Analytics 传输一个购买事件（Measurement Protocol），其中包含客户端 ID／会话 ID、订单号和购物车数据，以便将该笔购买归属到相应会话；此项同样仅在你已作出同意的情况下进行。

法律依据为你的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）；未取得同意时不会加载 Google Analytics。Google 作为受托处理者，依据 Google 数据处理条款（GDPR 第28条）按照我们的委托处理这些数据。数据可能被传输至位于美国的 Google LLC；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Google LLC 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以你的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在你无法获得有效法律救济的情况下访问相关数据。你可以随时通过页脚的“Cookie 设置”撤回同意。更多信息请见：https://policies.google.com/privacy。

6. Google Ads

如你已作出同意，我们将使用 Google Ads（Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland）来衡量我们广告的效果（转化衡量）并用于再营销。为此会设置 _gcl_au 和 _gcl_aw（存储期限均为三个月）以及 IDE（十三个月）等 Cookie，用以识别你是否通过广告到达我们的网站，以及此后是否发生了购买。在你完成购买后，我们还会将你电子邮箱地址的假名化（经 SHA-256 哈希处理）形式传输给 Google（“Enhanced Conversions”，增强型转化），以便将该笔购买归属到相应广告；哈希处理已在你的浏览器中完成，电子邮箱地址本身不会传输给 Google。此项同样仅在你已就 Google Ads 作出同意的情况下进行。

法律依据为你的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG），你可以随时通过页脚的“Cookie 设置”撤回同意。就 Google 在其自有系统中对广告数据的处理，Google 在数据保护法上独立作为数据控制者承担责任；在此范围内适用 Google 的控制者对控制者数据保护条款。数据可能被传输至位于美国的 Google LLC；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Google LLC 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以你的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在你无法获得有效法律救济的情况下访问相关数据。更多信息请见：https://policies.google.com/privacy。

Google 客户评价：下单后，你可以在订单确认页面自愿打开“Google 客户评价”计划。只有在你点击后，才会加载 Google（Google Ireland Ltd.）的模块，并将你的订单号、电子邮件地址、收货国家/地区和预计送达日期发送给 Google；如果你在模块中同意，Google 会在送达后向你发送一封请求评价的电子邮件。法律依据是你的同意（GDPR 第 6 条第 1 款 a 项，§ 25 第 1 款 TDDDG）；同意是自愿的，若你未点击，则不会向 Google 传输任何数据。Google 对后续处理独立负责；向美国的传输适用上文所述。

7. Meta Pixel 和 Conversions API

如你已作出同意，我们将使用 Meta Platforms Ireland Ltd.（Merrion Road, Dublin 4, D04 X2K5, Ireland，以下简称“Meta”）的 Meta Pixel，用以衡量我们在 Facebook 和 Instagram 上的广告效果并构建目标受众（Custom Audiences，自定义受众）。该像素会设置 Cookie（_fbp、_fbc 和 fr，存储期限均为三个月），并记录你与本商店的互动。在你完成购买后，我们还会通过 Meta Conversions API 在服务器端向 Meta 传输你电子邮箱地址的假名化（经 SHA-256 哈希处理）形式、Cookie ID _fbp／_fbc 以及订单数据（例如订单金额和币种），以便将该笔购买归属到相应广告；此项同样仅在你已作出同意的情况下进行。

法律依据为你的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG）；未就营销作出同意时，既不会加载该像素，也不会进行服务器端传输。就上述数据的收集和传输，我们与 Meta 为共同控制者（GDPR 第26条）；就此达成的约定为 Meta 的 Controller Addendum（控制者附录）。据此，Meta 对其后续的数据处理独立承担责任。数据可能被传输至位于美国的 Meta Platforms Inc.；该传输以欧盟委员会针对 EU-US Data Privacy Framework（欧盟与美国数据隐私框架）作出的充分性决定为依据（GDPR 第45条），Meta Platforms Inc. 已根据该框架获得认证（对英国和瑞士分别适用 UK Extension 和 Swiss-U.S. DPF）。在个别情形下该框架不适用时，传输以你的同意为依据（GDPR 第49条第1款(a)项）；此时美国可能不存在同等水平的数据保护，并且有关机关可能在你无法获得有效法律救济的情况下访问相关数据。你可以随时通过页脚的“Cookie 设置”撤回同意。更多信息请见：https://www.facebook.com/privacy/policy。

8. 订单来源（广告活动归因）

为了解订单通过哪些页面和广告活动产生，我们会在你访问期间记录以下信息，但不会为此在你的设备上保存任何内容：你进入我们商店时所在的页面（不含附加参数）、你来访前所在网站的域名、所访问网址中的广告活动参数（UTM 参数，例如来源、媒介和广告活动名称），以及我们用来标记自身页面上链接和推荐的简短代码。当你将商品加入购物车或下单时，我们会将这些信息与购物车和订单一并保存，同时保存设备类型（智能手机、平板电脑或电脑），该类型根据你的浏览器在每次打开页面时发送的信息得出。如果你之后通过同一购物车下单，我们会将该订单归因于这一来源。法律依据为 GDPR 第6条第1款(f)项；我们的正当利益在于了解哪些广告和哪些内容带来了购买。我们会在下单十四个月后删除这些信息；购物车中的这些信息会在下单后或连续九十日无变更后删除。

如你已同意使用统计类 Cookie，对于通过广告活动或上述标记链接开始的访问，我们还会将其广告活动参数、入口页面和来源在你的浏览器中最多保存九十日。如果你在此期间的后续访问中下单，我们会将该订单归因于这一首次广告活动（“首次触点”归因）。法律依据为你的同意（GDPR 第6条第1款(a)项、§ 25 Abs. 1 TDDDG），你可以随时通过页脚的“Cookie 设置”撤回同意。

如你已同意使用 Google Ads，并且是通过 Google 广告来到我们这里，我们在你下单时还会传送 Google 附加在所访问网址上的点击标识（gclid、gbraid 或 wbraid），并将其与订单一并保存，以便将购买归因于该广告。我们自己不会为此在你的设备上保存点击标识；经你同意，Google 会将其保存在 Cookie _gcl_aw 中（见第6节）。订单中保存的点击标识会在下单九十日后删除。法律依据为你的同意（GDPR 第6条第1款(a)项）。

9. 同意记录（Cookie 同意）

我们会在服务器端记录你在 Cookie 横幅中作出的决定（同意或拒绝），以便能够就此举证（GDPR 第7条第1款）。所保存的内容包括：在你浏览器中生成的假名化同意 ID、你就每一类别作出的决定、同意文本的版本、作出决定的时间、所访问的页面、经截短处理的（不完整的）IP 地址以及浏览器标识（User-Agent）。法律依据为 GDPR 第6条第1款(c)项（举证义务）并结合 GDPR 第6条第1款(f)项。该记录保存十三个月，之后予以删除。

10. 客户账户与注册

你可以在我们这里创建客户账户。为此所收集的数据（例如姓名、电子邮箱地址、账单地址和收货地址），我们依据 GDPR 第6条第1款(b)项予以处理，用于履行合同和管理你的账户。你可以随时联系我们，要求删除你的客户账户。

对于企业客户（B2B），我们还会处理增值税识别号，用以核查纳税义务。客户账户的登录采用无密码方式，通过发送至电子邮箱的一次性验证码完成。

11. 订单处理

为处理你的订单，我们会处理你所提供的订单数据、账单数据和配送数据。法律依据为 GDPR 第6条第1款(b)项（履行合同）。在存在法定保存义务（例如商法和税法上的保存义务）的范围内，我们依据 GDPR 第6条第1款(c)项在该等期限内保存相关数据（通常最长为十年）。

12. 向配送服务商提供数据

为配送你所订购的商品，我们会在配送所必需的范围内，将你的配送数据提供给受托进行投递的运输企业。法律依据为 GDPR 第6条第1款(b)项。视订单的不同，可能为下列企业之一：

• DHL / Deutsche Post AG
• DPD Deutschland GmbH
• United Parcel Service Deutschland S.à r.l. & Co. OHG（UPS）
• General Logistics Systems Germany GmbH & Co. OHG（GLS）
• Hermes Germany GmbH

13. 支付处理

通过 Stripe 进行的银行卡支付

使用信用卡或类似支付方式付款时，支付由 Stripe Payments Europe, Ltd.（1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland）处理。支付所必需的数据会直接传输给 Stripe。法律依据为 GDPR 第6条第1款(b)项。更多信息请见 Stripe 的隐私政策。

通过 PayPal 进行的支付

通过 PayPal 付款时，支付由 PayPal (Europe) S.à r.l. et Cie, S.C.A.（22-24 Boulevard Royal, 2449 Luxemburg）处理。支付数据会直接传输给 PayPal。法律依据为 GDPR 第6条第1款(b)项。此外还适用 PayPal 的数据保护条款。

通过银行转账支付（预付款）

通过银行转账付款时，我们会处理款项核对所必需的数据。此时不会向任何支付服务商提供数据；款项通过你的开户银行支付。

14. 发票开具、会计核算与归档

为履行我们在税法和商法上的义务，我们会在会计和税务系统中（DATEV 格式）处理订单和发票数据，并以符合审计要求、防止篡改的方式对发票进行归档。归档以加密形式保存在由我们运营或受我们委托运营的存储系统（Nextcloud）上。法律依据为 GDPR 第6条第1款(c)项并结合法定保存义务。

15. 订单履行与进销存管理（ERP）

为履行订单、进行仓储和库存管理以及控制发货，我们使用了一套进销存管理系统（LingXing）。为此所必需的订单数据和配送数据会被传输至该系统。法律依据为 GDPR 第6条第1款(b)项和(f)项（履行合同以及高效履行订单）。

16. 电子邮件发送（交易类邮件）

在订单处理过程中，我们会发送与交易相关的电子邮件（例如登录验证码、订单确认和发货确认、发票）。法律依据为 GDPR 第6条第1款(b)项。

17. 邮件订阅（Newsletter）

如你订阅我们的邮件资讯，我们会使用你的电子邮箱地址向你发送产品和优惠信息。订阅采用双重确认（Double Opt-in）程序：在你提交订阅后，我们会向你发送一封含有确认链接的邮件；只有在你点击该链接之后，我们才会将你加入收件人名单。法律依据为你依据 GDPR 第6条第1款(a)项作出的同意。

为证明你已作出同意，我们会记录订阅和确认的时间、其间所使用的 IP 地址以及同意声明的文字内容。你可以随时退订，例如通过每封订阅邮件末尾的退订链接；撤回同意自撤回之时起向将来发生效力。

18. 与我们联系

如你通过电子邮件或联系表单与我们联系，我们会处理你所告知的数据，用以处理你的咨询。法律依据为 GDPR 第6条第1款(b)项（如该咨询涉及合同）或 GDPR 第6条第1款(f)项。在你的咨询最终处理完毕且不存在保存义务与之相抵触时，相关数据将被删除。

19. 网站托管（Hosting）

我们的网站及相关系统托管于一家位于欧盟境内的服务商。我们与该服务商签订了 GDPR 第28条项下的数据处理协议。相关处理用于提供我们的在线服务，依据为 GDPR 第6条第1款(f)项。

20. 你的权利

根据 GDPR，你享有下列权利：

• 访问权（查阅权）：获知我们所存储的与你有关的数据（GDPR 第15条）
• 更正权：更正不正确的数据（GDPR 第16条）
• 删除权：删除你的数据（GDPR 第17条）
• 限制处理权：限制对你数据的处理（GDPR 第18条）
• 数据可携带权（GDPR 第20条）
• 反对权：对处理提出反对（GDPR 第21条）
• 撤回同意的权利：撤回已作出的同意，自撤回之时起向将来发生效力（GDPR 第7条第3款）

如需行使你的权利，只需按上文所列联系方式向我们发出通知即可，无需特定形式。

21. 向监管机构投诉的权利

你有权就我们对你个人数据的处理向数据保护监管机构提出投诉（GDPR 第77条）。对我们负有监管职责的机构为 Bayerisches Landesamt für Datenschutzaufsicht（巴伐利亚州数据保护监管局，BayLDA）。