隐私政策

**版本：2026年7月18日**

## 1. 数据控制者

就本网站及相关业务活动中个人数据的处理而言，负责的数据控制者为：

**Ceratec Audio Design GmbH**\
注册地址：Straubingerstrasse 5, 28219 Bremen, Germany\
营业场所：Walter-Bertelsmann-Weg 2, 27726 Worpswede, Germany

总经理：Ulrich Ranke\
商业登记：Bremen 地方法院，HRB 19153\
增值税识别号：DE 203341909

电话：+49 (0) 4792 9557080\
电子邮件：[info@cerasonar.de](mailto:info@cerasonar.de)

“Ceratec”、“cerasonar”、“我们”、“本公司”及“我们的”均指 Ceratec Audio Design GmbH。

与数据保护有关的咨询可发送至 [info@cerasonar.de](mailto:info@cerasonar.de)。

## 2. 本隐私政策的适用范围

本隐私政策说明当您进行以下活动时，我们如何处理个人数据：

a. 访问 cerasonar.de；\
b. 创建或使用经销商账户；\
c. 申请访问经销商或媒体资源；\
d. 提交咨询或项目请求；\
e. 下达或管理订单；\
f. 申请成为销售合作伙伴；\
g. 安排会议；\
h. 订阅新闻通讯；或\
i. 以其他方式与我们沟通或开展业务。

我们的产品仅销售给商业客户。尽管如此，员工姓名、工作电子邮件地址、直接电话号码和在线标识符等商务联系信息仍可能构成个人数据。

本隐私政策不适用于您通过外部链接访问的独立第三方网站或服务。

## 3. 适用法律和法律依据

我们依据《通用数据保护条例》（“GDPR”）、德国《联邦数据保护法》（“BDSG”）以及德国《电信数字服务数据保护法》（“TDDDG”）处理个人数据。

根据具体处理活动，我们依据以下一项或多项法律依据：

a. **GDPR 第6(1)(a)条：** 同意；\
b. **GDPR 第6(1)(b)条：** 应数据主体要求在订立合同前采取的措施，或履行与数据主体之间的合同；\
c. **GDPR 第6(1)(c)条：** 履行法律义务；以及\
d. **GDPR 第6(1)(f)条：** 我们或第三方的合法利益，但前提是数据主体的利益或基本权利与自由不优先于该等利益。

如果员工、代表或联系人代表企业客户、分销商、经销商、供应商或其他组织行事，则处理通常依据 GDPR 第6(1)(f)条中我们为建立和管理相应业务关系所具有的合法利益。

如果信息被存储在用户终端设备上或从终端设备中读取，我们还适用 TDDDG 第25条。非必要的存储或访问仅在获得同意的情况下进行，除非适用其他法定例外。

## 4. 个人数据类别

根据您与我们的互动方式，我们可能处理：

a. 姓名、称谓和职位；\
b. 雇主、公司名称和部门；\
c. 公司地址、送货地址和账单地址；\
d. 电子邮件地址和电话号码；\
e. 商业登记、企业注册及增值税相关信息；\
f. 经销商、分销商及账户凭据；\
g. 报价、订单、发票、交付和付款信息；\
h. 项目信息、图纸、房间平面图及技术要求；\
i. 往来通信及客户服务记录；\
j. 新闻通讯及通信偏好；\
k. IP 地址、设备、浏览器及日志信息；\
l. Cookie 标识符和同意记录；以及\
m. 欺诈预防、出口管制筛查和法律合规所需的信息。

我们通常不会要求提供 GDPR 第9条所指的特殊类别个人数据。除非确有必要且我们已明确要求，否则请勿发送此类数据。

## 5. 个人数据来源

我们从以下来源获得个人数据：

a. 直接从您处获得；\
b. 从您所代表的企业或组织获得；\
c. 从授权分销商、经销商和项目合作伙伴获得；\
d. 从公开商业登记和专业信息来源获得；\
e. 从支付、物流和欺诈预防服务提供商获得；以及\
f. 在您使用我们的网站时自动获得。

如果我们从您的雇主、项目合作伙伴或公开专业信息来源获得您的商务联系信息，我们会将其用于建立或管理相关业务关系。

## 6. 网站访问和服务器日志

当您访问我们的网站时，可能会自动处理技术信息，包括：

a. IP 地址；\
b. 访问日期和时间；\
c. 请求的页面或文件；\
d. 来源 URL；\
e. 浏览器类型和版本；\
f. 操作系统及设备信息；\
g. 传输的数据量；以及\
h. 访问状态或错误信息。

此类处理对于提供网站、维持稳定性与安全性、防止滥用以及调查技术或安全事件是必要的。

法律依据为 GDPR 第6(1)(f)条。我们的合法利益在于网站的安全、可靠和高效运行以及对我们系统的保护。

当日志数据不再为上述目的所需时，将被删除或匿名化，除非继续保存对于调查安全事件、提出或抗辩法律主张或履行法律义务是必要的。

## 7. Shopify 平台和托管

我们的网站和在线经销商功能通过 Shopify 平台运行。

Shopify 在欧洲的主要服务提供商为：

**Shopify International Limited**\
2nd Floor, Victoria Buildings\
1–2 Haddington Road\
Dublin 4, D04 XN32\
Ireland

Shopify 会处理技术性网站数据、账户信息、订单数据、结账数据、安全信息及提供平台所需的其他数据。

根据所使用的功能，Shopify 可能作为处理者代表我们处理数据，也可能在自身责任范围内处理某些数据，例如与支付、欺诈预防或平台安全服务相关的数据。

提供网站和经销商功能所必需的处理，根据数据主体是否本人为合同一方，依据 GDPR 第6(1)(b)条或第6(1)(f)条进行。

在终端设备上进行必要的信息存储或访问依据 TDDDG 第25(2)条。可选的分析、广告或个性化功能仅在依据 TDDDG 第25(1)条和 GDPR 第6(1)(a)条获得同意后启用。

Shopify 及其分包商可能在欧洲经济区以外处理数据。本隐私政策第20节所述的保障措施适用。

## 8. 经销商账户和受限资源

当您申请或创建经销商账户时，我们会处理注册表中填写的信息，以及验证信息和账户使用信息。

我们使用这些信息用于：

a. 验证商业主体身份；\
b. 决定是否批准经销商访问权限；\
c. 提供价格表、技术文件和受限资源；\
d. 管理账户；\
e. 处理报价和订单；\
f. 防止未经授权的访问和滥用；以及\
g. 管理业务关系。

对于个人独资经营者和其他本人为合同一方的自然人，法律依据为 GDPR 第6(1)(b)条。

对于企业客户的员工和代表，法律依据为 GDPR 第6(1)(f)条。我们的合法利益在于高效管理和保障经销商网络的安全。

账户数据会在有效业务关系存续期间保留。账户关闭后，如合同文件、欺诈预防、法定保存义务或法律主张需要，相关数据可能继续保留。

## 9. 咨询、项目支持和客户服务

如果您通过电子邮件、电话、联系表单或其他通信渠道联系我们，我们会处理您提供的信息，用于：

a. 回复咨询；\
b. 提供技术或项目协助；\
c. 准备报价或系统建议；\
d. 管理现有订单或业务关系；以及\
e. 记录通信内容。

如果咨询涉及与数据主体之间的合同，法律依据为 GDPR 第6(1)(b)条。

在其他商务联系情况下，法律依据为 GDPR 第6(1)(f)条。我们的合法利益在于回复合法的商务咨询并管理商业关系。

如果您提交平面图、图纸、照片或项目文件，您有责任确保自己有权提供其中包含的任何个人数据。

## 10. 报价、订单和合同处理

我们处理客户、联系人、交付、账单、产品、付款和交易信息，用于：

a. 准备报价；\
b. 接受并处理订单；\
c. 安排付款和交付；\
d. 提供产品和项目支持；\
e. 管理退货、投诉和保修事项；\
f. 履行会计和税务义务；以及\
g. 提出、行使或抗辩法律主张。

对于作为合同一方的个人，处理依据 GDPR 第6(1)(b)条。

对于代表企业行事的联系人，处理依据 GDPR 第6(1)(f)条。

因商业、会计、海关、出口管制或税法要求而进行的处理，依据 GDPR 第6(1)(c)条。

## 11. 订单管理服务提供商

我们可能使用专门的订单管理、库存、开票和履约服务提供商，包括 Billbee GmbH，以处理订单并协调履约。

数据可能包括：

a. 客户和联系人信息；\
b. 订单和产品信息；\
c. 送货和账单地址；\
d. 发票和付款状态；以及\
e. 发货信息。

根据具体处理情形，法律依据为 GDPR 第6(1)(b)条、第6(1)(c)条或第6(1)(f)条。

如果服务提供商作为我们的处理者，其依据合同只能按照我们记录在案的指示处理个人数据。

## 12. 发货和物流

我们会将交付所需的信息提供给选定的承运商或物流服务提供商，其中可能包括 UPS 和其他国内或国际承运商。

所披露的信息可能包括：

a. 收件人姓名；\
b. 公司名称；\
c. 送货地址；\
d. 电话号码；\
e. 电子邮件地址；\
f. 订单或货运参考编号；以及\
g. 海关和出口信息。

如果数据主体本人为合同一方，法律依据为 GDPR 第6(1)(b)条；如果收件人是代表企业客户行事的联系人，法律依据为 GDPR 第6(1)(f)条。

如果联系信息仅用于提供可选的发货通知，我们会在法律要求时依据同意进行处理。

国际交付可能需要向承运商、海关机关、报关代理及目的地或过境国家的其他接收方披露信息。

## 13. 付款

根据所选择的付款方式，付款和交易数据可能由银行、Shopify 支付服务以及 PayPal、PAYONE 或结账时所选付款方式的独立支付服务商进行处理。

相关服务商可能接收：

a. 姓名和企业信息；\
b. 账单信息；\
c. 交易金额和币种；\
d. 订单参考编号；\
e. 支付账户或支付令牌信息；\
f. 设备及欺诈预防信息；以及\
g. 付款状态。

支付服务商可能依据其自身隐私政策，以独立控制者身份处理某些信息，特别是用于支付执行、欺诈预防、监管合规和信用评估。

我们通常不会收到完整的信用卡信息。此类信息由相应的认证支付服务商处理。

支付处理的法律依据为 GDPR 第6(1)(b)条。欺诈预防和安全处理还可能依据 GDPR 第6(1)(f)条，或依据 GDPR 第6(1)(c)条所规定的法律义务。

## 14. 新闻通讯

您可以订阅我们的电子邮件新闻通讯。

我们通常采用双重确认（double opt-in）程序。注册后，您会收到一封要求确认订阅的电子邮件。

我们处理：

a. 电子邮件地址；\
b. 姓名（如自愿提供）；\
c. 语言和市场信息（如提供）；\
d. 注册和确认的日期与时间；\
e. 注册和确认时使用的 IP 地址；以及\
f. 在您同意进行此类衡量的情况下，新闻通讯互动数据。

基于同意发送新闻通讯的法律依据为 GDPR 第6(1)(a)条。

您可以随时通过新闻通讯中的退订链接或联系 [info@cerasonar.de](mailto:info@cerasonar.de) 撤回同意。撤回不影响撤回前已进行处理的合法性。

我们可能使用 MailerLite 或其他签约的电子邮件发送服务提供商来发送和管理新闻通讯。

如果使用新闻通讯打开率或链接点击衡量功能，则仅在获得必要同意后启用。

退订后，您的地址可能会保留在抑制名单中，以确保不再发送新闻通讯。法律依据为 GDPR 第6(1)(f)条。我们的合法利益是遵守您的撤回请求。

同意证明可在证明合规及抗辩法律主张所需的期间内保留。

## 15. Cookie 和类似技术

我们的网站使用 Cookie 和类似技术。

### 15.1 严格必要技术

严格必要技术可能用于：

a. 提供网站和结账功能；\
b. 维持安全会话；\
c. 记住购物车内容；\
d. 验证经销商账户；\
e. 防止欺诈和滥用；\
f. 保存隐私和同意偏好；以及\
g. 平衡网站流量并确保技术稳定性。

如果仅因为提供用户明确请求的服务而严格有必要在终端设备上存储或读取信息，则适用 TDDDG 第25(2)条。

随后对个人数据进行的任何处理，根据具体功能依据 GDPR 第6(1)(b)条或第6(1)(f)条。

### 15.2 可选技术

分析、广告、个性化和其他非必要技术仅在用户给予所需同意后使用。

法律依据为 TDDDG 第25(1)条和 GDPR 第6(1)(a)条。

您可以通过网站提供的同意管理工具给予、拒绝或撤回同意。撤回仅对未来有效，不影响此前已合法完成的处理。

拒绝可选技术不会妨碍访问网站的核心功能，但部分可选功能可能无法使用。

### 15.3 Cookie 详情

同意管理工具会提供有关以下内容的最新信息：

a. 技术或 Cookie 名称；\
b. 提供商；\
c. 用途；\
d. 存储期限；以及\
e. 适用类别。

由于网站技术可能发生变化，同意管理工具中维护的 Cookie 列表构成当前详细的 Cookie 清单。

## 16. 网站分析

在已启用并取得同意的情况下，我们可能使用网站分析服务，以了解网站的使用方式并改进内容、导航和技术性能。

分析数据可能包括：

a. 浏览的页面；\
b. 互动和事件；\
c. 大致位置；\
d. 浏览器和设备信息；\
e. 来源信息；\
f. 截短或通过其他方式保护的 IP 信息；以及\
g. 假名化标识符。

可选分析仅依据 TDDDG 第25(1)条和 GDPR 第6(1)(a)条使用。

### Google Analytics

如果启用 Google Analytics 4，对于欧洲经济区内用户，服务提供商通常为 Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland。

Google 还可能在美国及其他国家处理数据。

在获得所需同意之前，不会启用 Google Analytics。您可以随时通过网站的同意管理工具撤回同意。

我们以数据最小化为目标配置分析设置，并采用在合理范围内满足分析目的的最短保存期限。

任何关于 Google Universal Analytics 的披露均不应被理解为授权使用已停止的 Universal Analytics 服务。本节仅涵盖网站上实际实施的分析技术。

## 17. 通过 Calendly 安排会议

我们的网站可能包含用于安排会议的 Calendly 链接。

如果 Calendly 作为外部网站打开，只有在您点击链接并使用其服务时，数据才会传输给 Calendly。

Calendly 可能处理：

a. 姓名和联系信息；\
b. 所选预约信息；\
c. 时区；\
d. 在预约表单中填写的回答；\
e. 技术和设备数据；以及\
f. 通信和提醒信息。

如果我们从 Calendly 收到预约信息，我们会处理这些信息以安排并进行您请求的会议。

如果会议涉及与数据主体之间潜在或现有的合同，法律依据为 GDPR 第6(1)(b)条。在其他商务情形下，法律依据为 GDPR 第6(1)(f)条。

Calendly 可能在美国处理信息。适用第20节所述的保障措施。

## 18. 通过 Typeform 提交合作伙伴申请

我们可能使用 Typeform 处理分销商、经销商或合作伙伴申请。

如果您使用相关表单，Typeform 和我们会处理表单中要求提供的信息，其中可能包括：

a. 姓名和联系信息；\
b. 公司和市场信息；\
c. 商业经验；\
d. 区域和客户信息；以及\
e. 申请中自愿提供的信息。

其目的是评估拟议的业务关系并作出回应。

对于个人申请人，法律依据为 GDPR 第6(1)(b)条。对于企业申请人的代表，法律依据为 GDPR 第6(1)(f)条。

Typeform 由一家设立于西班牙的服务提供商运营，并可能使用位于其他国家的分包商。

## 19. YouTube 和其他外部内容

我们的网站可能包含指向由 YouTube 或其他第三方托管的视频或其他内容的链接。

如果内容仅以外部链接形式提供，通常只有在您点击该链接时，数据才会传输给第三方。

如果第三方视频或其他外部资源直接嵌入我们的网站，则只有在无需非必要存储、访问或个人数据传输即可运行的情况下，才会在获得同意前加载。否则，在获得所需同意之前将保持阻止状态。

当 YouTube 内容被激活时，Google 可能处理 IP 地址、设备信息、视频互动、账户信息以及 Cookie 或标识符数据。

非必要嵌入内容的法律依据为 TDDDG 第25(1)条和 GDPR 第6(1)(a)条。

## 20. 国际数据传输

部分服务提供商、承运商、分销商、客户或分包商可能位于欧洲经济区以外。

当个人数据被传输至欧洲经济区以外的国家时，我们会在需要时采用适当的传输机制，包括：

a. 欧盟委员会的充分性决定；\
b. 适用于有效参与该框架之接收方的欧盟—美国数据隐私框架；\
c. 欧盟委员会批准的标准合同条款；或\
d. GDPR 第44至49条允许的其他传输机制。

在适当情况下，我们会评估是否需要补充的技术、合同或组织保障措施。

对于全球交付和国际经销商关系，某些传输也可能为合同履行、海关清关或提出、行使或抗辩法律主张所必需。

## 21. 个人数据接收方

根据具体处理活动，个人数据可能披露给：

a. 托管和电子商务服务提供商；\
b. IT、安全和支持服务提供商；\
c. 订单管理和会计服务提供商；\
d. 支付服务商、银行和欺诈预防服务；\
e. 运输公司、货运代理和报关代理；\
f. 分销商、销售合作伙伴和项目合作伙伴；\
g. 新闻通讯和通信服务提供商；\
h. 专业顾问、审计师和保险公司；\
i. 法院、主管机关和监管机构；以及\
j. 与公司交易有关的潜在购买方或继受方，但须采取适当保障措施。

作为处理者的服务提供商依据 GDPR 第28条受到合同约束。

## 22. 保存期限

我们仅在相关目的所需或法律要求的期间内保存个人数据。

具体而言：

a. 账户数据通常在账户存续期间以及此后为合同、安全或法律目的所需的期间内保存；\
b. 报价、订单和合同数据在业务关系存续期间以及适用的诉讼时效和保存期限内保存；\
c. 会计凭证和发票可保存八年；\
d. 账簿、财务报表及某些税务记录可保存十年；\
e. 商业及业务往来文件可保存六年；\
f. 咨询和项目往来可在相关事项结束所在日历年度结束后最多保存三年，除非需要更长期限；\
g. 新闻通讯数据保存至撤回同意或新闻通讯服务终止为止，而同意证明可在证明合规所需的额外期间内保留；以及\
h. 同意和反对记录可在证明合规所需的期间内保留。

如果数据因未决诉讼、法律主张、审计、产品安全义务、保修事项或强制性监管要求而仍有必要，则可能适用更长的保存期限。

当数据不再需要时，将予以删除或匿名化，除非法律要求继续保存。

## 23. 数据安全

我们采用适当的技术和组织措施，旨在保护个人数据免遭意外或非法销毁、丢失、更改、未经授权的披露或访问。

这些措施在适当情况下包括：

a. 加密传输；\
b. 访问控制和身份验证；\
c. 基于角色的权限；\
d. 备份和恢复措施；\
e. 安全监控；\
f. 对处理者进行尽职调查；以及\
g. 内部保密和数据保护要求。

任何互联网传输或存储系统都无法保证绝对安全。

## 24. 提供数据的义务

为以下目的，某些信息是必需的：

a. 创建并保护经销商账户；\
b. 验证商业主体身份；\
c. 准备报价；\
d. 订立并履行合同；\
e. 安排付款和交付；或\
f. 遵守法律要求。

如果没有所需信息，我们可能无法提供账户访问权限、处理订单、完成交付或建立所请求的业务关系。

新闻通讯注册和可选营销信息均为自愿提供。

## 25. 自动化决策

我们通常不会仅基于 GDPR 第22条所指的自动化处理作出产生法律效力或类似重大影响的决定。

支付、欺诈预防或安全服务提供商可能在其自身责任下使用自动化风险指标。在需要的情况下，相应服务提供商将提供更多信息。

## 26. 数据主体的权利

在适用法定条件的约束下，您有权：

a. 根据 GDPR 第15条访问您的个人数据；\
b. 根据 GDPR 第16条要求更正不准确的数据；\
c. 根据 GDPR 第17条要求删除数据；\
d. 根据 GDPR 第18条要求限制处理；\
e. 根据 GDPR 第19条获得有关接收方的信息；\
f. 根据 GDPR 第20条以可携带格式接收数据；\
g. 根据 GDPR 第21条反对处理；\
h. 根据 GDPR 第7(3)条撤回同意；以及\
i. 根据 GDPR 第77条向数据保护监管机构提出投诉。

这些权利可能受到法定例外的限制，包括法定保存义务以及为提出、行使或抗辩法律主张所需的要求。

相关请求可发送至 [info@cerasonar.de](mailto:info@cerasonar.de)。

我们可能要求提供合理必要的信息，以核实提出请求之人的身份。

## 27. 反对权

**如果我们依据 GDPR 第6(1)(f)条处理个人数据，您有权基于与您的具体情况相关的理由，随时反对该处理。**

如果您提出反对，我们将不再处理相关个人数据，除非我们能够证明存在优先于您的利益、权利和自由的强制性合法理由，或者该处理对于提出、行使或抗辩法律主张是必要的。

**您可以随时反对为直接营销目的处理个人数据。在提出此类反对后，相关个人数据将不再用于直接营销。**

## 28. 撤回同意

如果处理基于同意，您可以随时撤回该同意，撤回对未来生效。

撤回不影响撤回前已进行处理的合法性。

Cookie 和分析相关同意可通过网站的同意管理工具进行更改。新闻通讯同意可通过退订链接或联系我们撤回。

## 29. 投诉

您有权向有管辖权的数据保护监管机构提出投诉。

您可以联系对您的通常居住地、工作地点、涉嫌侵权发生地或我们营业场所有管辖权的监管机构。

我们建议您首先联系我们，以便我们有机会处理您的问题。

## 30. 本隐私政策的变更

如果我们的处理活动、服务提供商、网站功能或法律要求发生变化，我们可能会更新本隐私政策。

政策开头显示的版本和更新日期用于标识当前有效版本。

在法律要求的情况下，重大变更将通过网站或其他适当渠道予以通知。