负责本服务的运营法律实体是 {{LEGAL_ENTITY}}（"Delivery365"、"我们"或"我们的"）。该法律实体、其注册地址及其设立管辖区正在作为本草案法律审查的一部分加以最终确定，在此之前以占位符形式出现。

Delivery365 是一个面向商业客户（"企业主"）及其终端客户和司机的配送和物流平台。对于我们就自身账户、计费和平台运营收集的个人数据，Delivery365 是数据控制者。对于企业主上传的有关其自身终端客户和司机的个人数据，Delivery365 按照企业主的指示作为数据处理者行事，而企业主是数据控制者（参见第 2 节）。

您可以通过发送电子邮件至 [email protected]，就本政策与我们联系，或行使您的任何隐私权利。发送至此地址的请求也是任何数据保护联系的渠道，包括在需要时的数据保护官或 encarregado 的角色；我们在本草案中不指定具体个人。

您还有权向数据保护监管机构提出投诉。根据您的居住地，这可能是您在欧盟或欧洲经济区当地的监管机构、英国的信息专员办公室（ICO）、巴西的国家数据保护局（Autoridade Nacional de Proteção de Dados，ANPD），或加利福尼亚州的加州隐私保护局（CPPA）或总检察长。我们建议您先通过 [email protected] 与我们联系，以便我们尝试解决您的疑虑。

本政策适用于我们的公共网站、企业主后台、客户门户、司机移动应用程序以及我们的集成 API。它不适用于企业主可能链接或使用的第三方网站或服务；这些受其自身隐私政策的约束。

对于商业客户（"企业主"）上传的有关其自身客户和司机的个人数据，Delivery365 按照企业主的指示作为数据处理者／服务提供商／operador 行事；企业主为数据控制者，并负责合法依据以及告知这些个人。对于企业主自身的账户数据，Delivery365 是数据控制者。

为使本政策更易于阅读，我们在全文中一致地使用以下术语：

• 数据控制者 — 决定为何以及如何处理个人数据的一方。
• 数据处理者 — 代表数据控制者并按其指示处理个人数据的一方（在加利福尼亚州法律下称为"服务提供商"，在巴西法律下称为"operador"）。
• 个人数据 — 与已识别或可识别个人有关的任何信息。
• 终端客户 — 配送的接收人，企业主为安排该配送而上传其详细信息。
• 企业主（或租户）— 使用 Delivery365 运营其自身配送业务的商业客户。
• 司机 — 使用移动应用程序执行配送的驾驶员。
• 次级处理者 — 代表我们处理个人数据以帮助我们提供服务的第三方。
• 合法依据 — 根据适用的数据保护法，允许特定处理目的的法律理由。

我们收集下文列出的个人数据类别。对于每个类别，我们均说明 Delivery365 是数据控制者（我们自己的数据）还是数据处理者（企业主上传的有关其自身客户和司机的数据）。

• 账户和身份数据（数据控制者）— 平台员工、企业主用户、客户门户用户和司机的姓名、电子邮件地址和经过哈希处理的登录凭据，以及登录 IP 地址、语言区域和时区偏好。
• 计费数据（数据控制者）— 用于管理订阅的 Stripe 计费标识符。我们不在自己的系统上存储完整的支付卡号；卡数据由 Stripe 处理（参见第 6 节）。
• 税务和企业标识符（数据控制者和数据处理者）— 诸如 CPF 或 CNPJ 之类的税号以及企业主的相关注册标识符（我们的数据），以及企业主上传的客户和接收人的相关标识符（其数据）。如属巴西政府标识符，我们将其视为敏感数据并以额外的谨慎加以处理；其确切分类正在作为本草案法律审查的一部分加以确认。
• 司机和接收人的联系和地址数据 — 姓名、电话号码和邮政地址，包括企业主为安排配送而上传的配送内容（接收人、地址、发票和订单标识符、配送证明照片和签名以及自由文本备注）（数据处理者），以及司机账户的联系详细信息（数据控制者）。
• 精确位置数据（数据控制者和数据处理者）— 司机的精确 GPS 坐标（最后已知位置和配送期间记录的跟踪轨迹）以及配送点的地理编码坐标。根据加利福尼亚州法律，我们将司机的精确地理位置视为"精确地理位置"敏感个人信息，并根据欧洲和巴西法律视为高风险个人数据（其本身并非特殊类别的数据）。它仅用于提供和验证配送服务（参见第 4 节）。
• 技术、遥测和错误日志数据（数据控制者）— 应用程序和请求日志以及错误报告，可能包括 IP 地址、设备和浏览器信息、请求参数以及我们的错误监控提供商捕获的上下文。我们的请求日志目前仅过滤密码，因此其他请求数据可能出现在这些日志和错误报告中；这是我们正在审查的一项已知局限。
• Cookie 和设备数据（数据控制者）— 运行服务所需的第一方 Cookie 以及少量第三方小部件 Cookie（参见第 5 节）。

除上述税务标识符外，我们不会有意收集生物识别、健康或政府社会保障号码等特殊类别的数据，并且我们不会在知情的情况下收集儿童的数据（参见本政策的儿童数据部分）。

我们仅出于下文列出的目的使用个人数据，并且我们依赖与每项目的相匹配的合法依据。我们不依赖单一的、笼统的同意主张来涵盖我们所做的一切。

• 账户创建和身份验证 — 用于创建和保护您的账户。依据：合同的履行（GDPR Art. 6(1)(b)；LGPD execução de contrato；CCPA 下的商业目的）。
• 计费和订阅 — 用于管理订阅、通过 Stripe 收款，以及保存发票和税务记录。依据：合同的履行和遵守法律义务（GDPR 第 6(1)(b) 和 (c) 条；LGPD execução de contrato 和 obrigação legal）。
• 配送履行和路线规划 — 用于规划、执行和验证配送，包括地理编码和路线计算。依据：合同的履行（GDPR 第 6(1)(b) 条；LGPD execução de contrato）。
• 司机指派和 GPS 跟踪 — 用于指派配送并在配送进行期间提供运营可见性、服务证明和安全保障。依据：合同的履行，并以我们在运营可见性、服务证明以及司机和接收人安全方面的正当利益为支持——而非同意。您有权反对基于正当利益的处理。根据加利福尼亚州法律，精确地理位置被视为敏感个人信息，且仅用于提供服务。
• 客户通知和事务性电子邮件 — 用于发送诸如账户、配送和计费通知之类的运营消息（非营销）。依据：合同的履行（GDPR 第 6(1)(b) 条；LGPD execução de contrato）。
• 错误监控和安全 — 用于保持平台和我们客户的数据安全、可用且免受滥用。依据：我们在安全方面的正当利益（GDPR 第 6(1)(f) 条；LGPD legítimo interesse）。您有权反对。
• 产品分析 — 用于了解和改进服务的使用方式。我们使用不设置跟踪 Cookie 的第一方服务器端分析。依据：我们在改进服务方面的正当利益，可通过联系 [email protected] 退出——而非同意。
• 潜在客户和转化跟踪 — 用于衡量商业账户的获取和转化情况，这涉及将主要管理员的姓名和电子邮件以及部分账户详细信息发送给跟踪提供商。依据：我们在衡量获取情况方面的正当利益，可通过联系 [email protected] 退出——而非同意。
• 法律和税务留存 — 用于遵守发票、税务和其他法律义务。依据：遵守法律义务（GDPR 第 6(1)(c) 条；LGPD obrigação legal）。

对于企业主上传的有关其自身客户和司机的数据，Delivery365 没有独立的合法依据。我们仅按照企业主的指示作为数据处理者处理该数据，而企业主作为数据控制者，选择并记录合法依据并告知受影响的个人。

我们使用少量对运行服务必不可少的第一方 Cookie，以及少量可能由外部脚本设置的第三方小部件 Cookie。我们不加载任何客户端第三方分析或广告跟踪器，也不设置第三方分析 Cookie：我们的产品分析（Ahoy）在服务器端运行且 API 已关闭，因此它不设置任何客户端 Cookie。

公共 Cookie 横幅将您的确认记录在浏览器的 localStorage 中（在键"accept-terms"下），而非记录在 Cookie 中。我们不运营同意管理平台（CMP）；通过同意平台管理 Cookie 偏好超出本服务的范围。

第三方 Cloudflare Turnstile 和 TurboChat 脚本设置的确切 Cookie 由这些供应商控制，无法从我们自己的代码中精确确定；对于这些行，我们将其描述为由供应商控制且正在审查中，您应查阅相关供应商的政策以获取权威清单。

所使用的 Cookie 和类似技术为：

为提供服务，我们依赖下文列出的次级处理者。每一方均作为数据处理者／服务提供商／operador 行事，依据数据处理条款（例如，符合 GDPR 第 28 条、CCPA 服务提供商要求或 LGPD operador 要求的条款）代表我们处理个人数据。我们仅列出服务实际依赖的次级处理者。

我们的第一方服务器端分析（Ahoy）将其数据保存在我们自己的数据库内，不向第三方发送数据，并且我们自托管的作业队列和缓存（Redis / Sidekiq）在我们自己的基础设施上运行；两者均非第三方次级处理者，尽管 Redis 中保存的作业负载在作业待处理期间可能引用个人数据。如某次级处理者的托管区域或传输保障措施尚未确认，其保障措施显示为"SCCs/DPF — to be confirmed"，并正在作为本草案法律审查的一部分加以最终确定（参见第 7 节）。

次级处理者为：

由于 Delivery365 面向全球提供，第 6 节中列出的部分次级处理者位于欧洲经济区（EEA）之外，包括美国。这意味着您的个人数据可能被传输至数据保护法律与您居住地不同的国家／地区并在其中处理。我们不主张我们从不进行个人数据的国际传输；相反，我们针对每次传输依赖一种公认的传输机制，并在第 6 节中按次级处理者逐一命名。

我们按次级处理者类别所依赖的传输机制为：

• Stripe、Google Maps 和 Cloudflare — 欧盟-美国数据隐私框架（DPF），以及在适用情况下的其英国扩展和瑞士-美国 DPF 扩展，并以标准合同条款（SCCs）作为后备支持。
• Mailtrap — 欧盟标准合同条款连同英国国际数据传输附录。
• DigitalOcean Spaces — 标准合同条款结合区域锁定，使存储的数据保留在我们所选的区域内。
• Honeybadger、TurboChat、Risenexa 和 Expo — 这些供应商的托管区域和传输保障措施仍在作为本草案法律审查的一部分加以确认；其保障措施显示为"SCCs/DPF — to be confirmed"，不得被解读为最终的、经核实的主张。

不同的制度对这些传输施加不同的要求，我们按如下方式加以考虑：

• 英国 — 仅凭欧盟标准合同条款不足以满足英国数据保护法所限制的传输。对于英国传输，我们依赖英国国际数据传输协议（IDTA）或欧盟 SCCs 的英国附录（经信息专员办公室 ICO 更新），连同传输风险评估。
• 巴西 — 根据 LGPD 和 ANPD 的国际传输规则，从巴西向外传输依赖 ANPD 批准的标准合同条款（cláusulas-padrão）或第 33 条下的另一合法依据，此外还需为处理本身提供合法依据。我们还在网站上以葡萄牙语发布有关国际传输的信息，并且您可以请求相关传输条款的全文，作为您的 LGPD 知情权的一部分，我们将在 15 天内提供（受商业秘密保护的限制）。
• 瑞士 — 对于瑞士境内的个人，在适用情况下，我们针对持有该框架的美国次级处理者依赖瑞士-美国数据隐私框架扩展。我们不主张已任命瑞士代表。

传输机制不能取代对基础处理的合法依据的需要；两者均适用。如您对特定传输有疑问，请通过 [email protected] 与我们联系。

我们仅在我们具有保留个人数据的目的和合法依据的期间内保留它，下文按类别以及按我们使用的标准描述每个类别的保留时长。我们不依赖背后毫无依据的、单纯的"必要期间"。某些具体的数字期间（例如司机 GPS 保留的确切天数，或应用程序日志的保留时长）仍在作为本草案法律审查的一部分加以确定，在这种情况下我们如实说明，而非编造数字。

对于我们控制的数据：

• 账户和身份数据（数据控制者）— 在账户存续期间保留。当企业主、客户门户用户、司机或员工账户被删除时，相关记录将被移除。我们还在适用税务、会计和商业法律要求的期间内，以及在确立、行使或抗辩法律主张所需的期间内保留数据，此后将其删除。
• 计费和税务记录（数据控制者）— 在适用税务和会计法律要求的期间内保留（GDPR 第 6(1)(c) 条／LGPD obrigação legal 下的法律义务），通常为数年，即使在账户关闭之后亦然。
• 司机 GPS 和位置数据（数据控制者／数据处理者）— 司机 GPS 跟踪点在相关配送记录的存续期间内保留，并与该配送一起删除（在父配送被移除时进行硬删除级联）。GPS 点没有单独的、更短的自动清除，而位置数据的具体独立保留期间正在作为本草案法律审查的一部分加以最终确定；我们在此不陈述编造的数字。
• 应用程序和请求日志、后台作业数据、错误报告和分析（数据控制者）— 这些包括诸如 Rails 应用程序日志、后台作业待处理期间保存的作业队列负载、我们的第一方分析以及我们的错误监控提供商捕获的上下文之类的项目。对于这些类别，我们的配置中尚未定义单一固定的期间：它们在账户存续期间加上适用税务或商业法律所要求的期间以及我们运营和安全需要的期间内保留，而具体的数字期间正在作为本草案法律审查的一部分加以最终确定。其中部分存储由次级处理者保存，并受该次级处理者自身保留期间的约束（参见第 6 节）。

对于企业主上传的有关其自身客户和司机的数据（Delivery365 为数据处理者），保留受企业主-数据控制者的指示及其与我们的协议管辖。我们在企业主使用服务期间保留该数据，并按企业主的指示将其删除——包括通过在父记录被删除时移除客户或配送记录的删除级联。企业主作为数据控制者，负责为该数据设定保留期间。

当保留期间结束时，我们将删除数据，或者在无法立即删除的情况下（例如保存在备份或次级处理者存储中的数据），我们将其与进一步处理隔离，直至其可以被删除。

我们认真对待个人数据的安全，并采用适当的技术和组织措施，旨在保护其免遭未经授权的访问、更改、披露或销毁。此处描述的措施是我们的系统实际实施的控制；我们以一般性术语描述它们，而非披露可能帮助攻击者的配置细节。

我们采用的措施包括：

• 传输中加密 — 您的浏览器或设备与我们的服务之间，以及我们的服务与我们依赖的次级处理者之间的流量，均使用传输层安全（TLS）加以保护，并且我们的服务器到次级处理者的连接会验证对方的证书。
• 密码保护 — 账户密码仅以加盐的单向哈希（bcrypt）形式存储，绝不以明文形式存储。
• API 密钥保护 — 集成 API 密钥仅以单向 SHA-256 摘要形式存储，绝不以原始密钥形式存储。
• 私密文件存储 — 上传的文件（例如配送证明照片）存储在非公开的对象存储中，并且仅通过限时的、按需的链接而非公开 URL 提供。
• 移动应用程序身份验证 — 司机移动应用程序使用可单独撤销的签名令牌（JWT）进行身份验证。
• 多租户隔离 — 每个商业客户的数据在逻辑上分隔，并且访问受到限定，使得一个商业客户无法读取另一个商业客户的数据。
• 滥用和机器人防护 — 公共表单受机器人和滥用防护验证保护，并且我们的集成 API 受速率限制。

没有任何通过互联网传输的方法或电子存储的方法是完全安全的，因此，尽管我们努力保护您的个人数据，但我们无法承诺它将始终完全安全。我们在本草案中不作任何安全认证主张，并且我们不主张静态数据的加密，因为这正在作为法律和基础设施审查的一部分单独确认；本节仅描述我们的代码实际实施的控制。如您认为您的账户或数据已遭破坏，请通过 [email protected] 与我们联系。

根据您的居住地以及适用于您的法律，您对您的个人数据享有权利。对于我们控制的数据，我们尊重这些权利。要行使其中任何权利，或就本政策提出问题，请通过 [email protected] 与我们联系。在对请求采取行动之前，我们将验证您的身份；我们不就行使您的权利收取费用（法律允许的明显无理或过度的请求除外）；并且我们力争在一个月内回复，对于复杂或大量的请求，我们可将其延长最多两个月，并在我们需要额外时间时告知您。

如果欧盟／欧洲经济区或英国 GDPR 适用于您，您有权：访问您的数据；更正不准确的数据（更正权）；删除您的数据；限制我们的处理；数据可携性；反对基于我们正当利益的处理；并且在我们依据同意进行处理的情况下，您可随时撤回该同意，且不影响撤回前的处理。您还有权向数据保护监管机构提出投诉——欧盟／欧洲经济区内您当地的机构，或英国的信息专员办公室（ICO）——尽管我们请您先通过 [email protected] 与我们联系，以便我们尝试解决您的疑虑。

如果巴西 LGPD 适用于您，您享有第 18 条规定的权利，包括：确认我们处理您的数据并访问该数据；更正；对不必要或过度的数据或以不合规方式处理的数据进行匿名化、封锁或删除；可携性；删除经同意处理的数据；获取我们与之共享您数据的公共和私人实体的信息；获取有关拒绝同意的可能性及其后果的信息；以及撤销同意。您还享有关于我们国际传输的知情权：您可以请求相关传输条款的全文，我们将在 15 天内提供（受商业秘密保护的限制）。您可以向巴西数据保护机构（ANPD）请愿。我们的数据保护联系（Encarregado 渠道）是 [email protected]；我们在本草案中不指定具体个人。

如果加利福尼亚州 CCPA/CPRA 适用于您，您有权：了解我们收集哪些个人信息以及我们如何使用和披露它；访问并获取其副本；更正不准确的信息；将其删除；选择退出个人信息的出售或共享；限制对您敏感个人信息的使用和披露（就我们的服务而言，包括精确的司机地理位置）；以及不因行使您的权利而受到歧视。我们不会按照 CCPA 的定义出售或共享您的个人信息。在需要时，可通过联系 [email protected] 提供"请勿出售或共享我的个人信息"和"限制使用我的敏感个人信息"选项。根据您的居住州或国家／地区，您可能享有额外的权利；请联系 [email protected]，我们将提供帮助。

有关商业客户（企业主）上传的有关其自身客户、接收人或司机的数据的请求，必须直接发送至该企业主，因为对于该数据，企业主是数据控制者，而 Delivery365 仅作为其数据处理者行事。如您不确定谁控制您的数据，请通过 [email protected] 与我们联系，我们将把您的请求转交给正确的企业主-数据控制者，并协助他们做出回应。

Delivery365 是一款面向企业及其员工、司机和客户使用的企业对企业物流工具，并非面向儿童。我们不打算让服务被 16 岁以下（或您当地法律规定的更高数字同意年龄；某些法律使用更低的年龄，例如美国的 13 岁或巴西儿童数据框架下的 13 岁）的个人使用，并且我们不会在知情的情况下收集其个人数据。

我们不运营任何年龄门控或父母同意流程，并且我们不承诺这样做——服务中并不存在此类流程。如果我们意识到我们在没有适当法律依据的情况下收集了儿童的个人数据，我们将删除该数据。如您认为某儿童向我们提供了个人数据，请通过 [email protected] 与我们联系，我们将采取适当步骤将其移除。

我们使用算法来帮助运行配送服务——例如优化和计算配送路线、将地址地理编码为地图坐标，以及估算配送时间和服务水平合规情况。这些是支持运行配送的人员的运营辅助工具；它们本身不会做出对您产生法律效果或对您产生类似重大影响的决定。

由于调度员和企业主审查并据此采取行动这些输出，因此存在有意义的人为参与，并且此项处理并非 GDPR 第 22 条（或巴西 LGPD 第 20 条的类似规定）所涉及的那种"完全自动化的决策"。因此，我们不会就您做出具有法律效果或类似重大效果的自动化决定。

我们不会将您的个人数据发送给任何第三方人工智能或大语言模型服务进行运行时处理。在使用人工智能帮助我们准备诸如本网站翻译之类的材料时，这发生在我们的开发过程中，并不涉及处理您的个人数据。

我们可能会不时更新本隐私政策，以反映我们处理个人数据的方式、服务或适用法律的变化。当我们做出重大变更时，我们将采取合理步骤在其生效前提请您注意——例如通过应用内通知或向相关账户持有人发送电子邮件。对于非重大更新，我们将发布修订后的政策并附上更新的生效日期，并且我们鼓励您定期查阅本页面。

我们不承诺就每一项细微变更通知您，并且本节不构成就我们使用的次级处理者的变更单独通知您的承诺；当前的次级处理者清单在第 6 节中。

LEGAL_REVIEW_REQUIRED — 本隐私政策是一份具有抗辩力、以证据为基础的草案，而非法律意见。它根据我们的代码库和配置描述了 Delivery365 实际如何处理个人数据，并且在被作为最终的、具有约束力的文件加以依赖之前，必须经过合格法律顾问的审查。

版本：v2.0。

生效日期：{{EFFECTIVE_DATE}}。生效日期以占位符形式显示，并将在本草案完成法律审查后设定。在此之前，本文件应被视为有待法律审查的草案，而非最终法律意见。

负责本服务的运营法律实体（{{LEGAL_ENTITY}}）和某些其他详细信息同样以占位符形式显示，有待该审查（参见第 1 节）。有关本政策的问题可发送至 [email protected]。