隐私政策

本政策说明 3R SOFT 在云端版 3R PROJECTS（以下简称「本服务」）中处理哪些个人数据、用于什么目的、与谁共享，以及您如何行使权利。本政策依据巴拿马《2019年第81号个人数据保护法》（Ley 81 de 2019）及其实施细则《2021年第285号行政法令》（Decreto Ejecutivo 285 de 2021）制定，是《服务条款》的组成部分。

1. 谁对您的数据负责

本服务由 3R SOFT（以下简称「3R SOFT」或「我们」）提供。本服务中有两类数据，各自的负责人不同：

如果您是某家使用 3R PROJECTS 的公司的客户或员工，想查询或更正您的数据，请先联系该公司。如您联系我们，我们会将请求转交该公司并告知您。

如有任何隐私相关事宜，请通过本服务的技术支持渠道联系我们。

2. 我们作为负责人处理的数据

3. 使用目的及法律依据

• 提供本服务并管理您的账户（创建公司、允许您登录、执行方案上限）：依据您注册时接受的合同。
• 收取服务费用并履行税务和会计义务：依据合同和法定义务。
• 保护本服务（防止未经授权的访问、机器人和滥用，并保存安全日志）：依据合同关系以及我们维护本服务安全的正当利益。
• 防止本服务被违法使用（内容自动审查，第 8 条）：依据合同关系（《服务条款》禁止此类使用）、我们确保本服务不被用于犯罪的正当利益，以及适用时的法定义务。
• 在您提出请求时提供技术支持。
• 发送本服务的邮件：登录、验证码、重设密码、收费通知和变更通知。

注册即表示您接受本政策，我们会记录您所接受的版本。凡以您的同意为依据的处理，您可以随时撤回同意，撤回不具有追溯效力；请注意，缺少某些数据我们将无法提供本服务。

我们不出售个人数据，也不将其用于广告。除内容自动审查（第 8 条）外，我们不作出对您产生法律效果的自动化决策。

4. 贵公司保存的信息（3R SOFT 作为保管人）

公司上传到本服务的内容可能包含第三方的个人数据：其客户、联系人、员工和技术员。也包括在现场采集的内容：照片、客户签名，以及签到、签退、拍照或采集签名那一刻的位置（App 不会持续追踪位置）。对于这些数据，公司是数据处理负责人，3R SOFT 是保管人。因此：

• 我们仅为提供本服务、按公司的指示处理这些数据：即本条款、公司的设置以及其用户在系统中的操作。除内容自动审查（第 8 条）外，我们不将其用于自身目的。
• 有访问权限的员工和服务商均负有保密义务。
• 我们采取第 7 条所述的安全措施。
• 如发生影响这些数据的安全事件，我们会立即告知该公司，以便其按法律要求通知 ANTAI 和受影响的人。
• 我们协助公司处理个人关于其数据的请求。
• 公司授权我们使用第 5 条所列的服务商。如我们更换服务商，会更新本政策并提前通知；公司如不同意，可以取消服务。
• 服务结束时，公司可以索取其信息，之后我们按第 9 条的规定删除。
• 电子发票在公司指示时发送至该公司签约的 PAC。

公司作为负责人，须具备处理这些数据的合法依据，告知相关人员（例如告知其技术员关于位置的记录，告知其客户关于照片和签名的采集），并尊重他们的权利。如保存未成年人的数据，须取得其父母或监护人的授权。

5. 我们与谁共享数据

我们仅与为提供本服务而需要数据的一方共享，且仅共享必要的部分：

• 服务器与数据库：云托管服务商。
• 文件：兼容 S3 的对象存储服务商（文件加密保存）。
• 邮件：邮件发送服务商（SMTP），会收到本服务每封邮件的地址和内容。
• 防机器人验证：Cloudflare Turnstile（如在注册时开启）。
• 付款：支付网关、Yappy 和银行，仅提供每笔付款所需的数据。
• PAC：贵公司选择的电子发票服务商，提供贵公司指示发送的发票数据。
• 主管机关：在法律或主管机关的命令要求时。我们只提供所要求的内容。

您可以向我们索取最新的服务商名单。

6. 向巴拿马境外传输

服务器和部分服务商可能位于巴拿马境外，因此您的数据可能在其他国家存储或处理。我们仅在以下情况下这样做：

• 服务商提供的保护水平等同于或高于巴拿马法律的要求，或通过合同承担保护数据的义务（《2019年第81号法》第 33 条；《2021年第285号行政法令》第 51 至 53 条）；并且
• 以提供您所签约的本服务所必需的范围为限。

接受本政策，即表示您同意这些传输。对于贵公司保存的信息，由贵公司作为负责人授权这些传输，并须告知其所保存数据的相关人员。

7. 安全与加密

• 加密连接（HTTPS）、以无法读取的形式保存的密码、可选的两步验证以及登录记录。
• 每家公司的信息保存在数据库（PostgreSQL）中单独的区域，并使用该公司自己的密钥加密。文件同样加密保存。
• 标准模式（默认）：我们保存一份公司密钥的备份副本，用于恢复访问（例如忘记密码时）和提供技术支持。因此在此模式下，3R SOFT 在技术上能够访问这些信息。我们仅在以下情况使用该副本：应公司要求恢复访问、提供公司请求或授权的技术支持，或执行主管机关的命令。每次使用都会被记录，公司可以查看。
• 私密模式（可选）：只有公司持有密钥。3R SOFT 无法读取或恢复已保存的信息（但第 8 条的内容自动审查仍会在保存时、加密之前进行）。如果密码和恢复密钥都丢失，任何人都无法恢复。
• 技术支持访问：技术支持人员可以通过「进入（技术支持）」选项进入公司提供帮助，该操作需要确认，并记录在公司的事件中。如公司的信息已加密，只有在公司于「设置 → 数据隐私」中开放临时访问期间才能进入。
• 部分技术数据不使用公司的密钥加密，因为本服务运行需要它们：标识符、状态、创建日期、单据编号、登录数据以及本服务的收费数据。技术支持工单及其消息保存在中央系统中，技术支持人员可以查看。内容审查记录（第 8 条）同样保存在中央系统中，3R SOFT 的工作人员可以查看。
• 安全事件：如发生影响我们作为负责人的数据的安全违规事件，我们将在知悉后 72 小时内通知 ANTAI 和受影响的人（《2021年第285号行政法令》第 37 条），用清晰的语言说明情况以及他们可以采取的保护措施。如影响某家公司的信息，我们会立即告知该公司。

8. 内容自动审查

为防止本服务被用于违法目的，系统会自动审查保存的内容。暂停和申诉的规定见《服务条款》第 5 条。

• 审查范围：用户通过网页、App 或 API 保存的文字、上传文件的文件名以及文档中的文字（txt、csv、docx、xlsx 和 pdf）。不分析图片和照片。
• 方式：将文字与一份依据巴拿马法律列出的违法活动迹象清单进行比对，例如毒品贩运、武器或爆炸物、儿童性虐待材料、人口贩卖、洗钱、伪造证件或货币以及恐怖主义。
• 时间：在服务器上、保存的那一刻、加密之前进行。因此私密模式下同样适用：私密模式使 3R SOFT 无法读取已保存的信息，但不能阻止这项审查。
• 匹配时记录的内容：类别、命中的规则、简短摘录（命中位置前后最多约 200 个字符）、用户、日期和时间、IP 地址以及页面或字段。这些记录保存在中央系统中，不使用公司的密钥加密，3R SOFT 的工作人员可以查看。3R SOFT 是这些记录的负责人。
• 后续处理：如为明确迹象，内容不会被保存，公司账户立即被暂停且完全无法访问，并通过邮件通知公司的主要联系人，附上申诉链接。如为不够明确的迹象，由 3R SOFT 的工作人员审查，并可能以同样方式暂停账户。
• 人工审查：《2019年第81号法》第 19 条规定，数据主体有权不受仅基于自动化处理、产生不利法律效果的决定的约束。为此，每次暂停均可申诉一次，申诉由人工而非自动系统审查，通常在 5 个工作日内完成。申诉时需说明公司的实际经营活动、描述业务并解释相关内容；可以附上 RUC 或营业通知（aviso de operación）以及联系电话。
• 保存期限：这些记录和申诉保存至结案后最多 5 年。
• 主管机关：当巴拿马法律或主管机关要求时，我们可以保留并提供这些信息。

9. 数据保存期限

• 公司信息：在公司账户有效期间保存。取消后，公司有 30 天时间向我们索取副本；之后我们从在用系统中删除，备份副本随轮换删除，最长不超过 90 天。
• 用户账户：在其至少属于一家公司期间保存。如不再属于任何公司，您可以要求我们删除。
• 本服务的收费记录：按税务和商业法律要求的期限保存。
• 内容审查记录和申诉：保存至结案后最多 5 年；主管机关要求时可更长。
• 安全日志和技术支持工单：保存至本服务安全和处理索赔所需的期限；已取消公司的相关记录与其信息适用相同期限。

10. 您的权利

您有权访问您的数据、更正数据、要求注销（删除）、反对处理，以及以结构化、通用的格式获取数据以转移到其他服务（可携带权）（《2019年第81号法》第 15 条）。这些权利不可放弃，行使权利免费。

• 您账户中的许多数据可以在「我的账户」中自行修改。
• 其他事项，请通过本服务的技术支持渠道联系我们，请使用您账户的邮箱或提供核实身份所需的信息，并说明您的请求。
• 访问请求我们最迟在 10 个工作日内答复，更正或注销请求最迟在 5 个工作日内答复（《2019年第81号法》第 16 条和第 17 条）。其他请求最迟在 10 个工作日内答复。
• 法律要求我们保存的数据（例如收费记录）可能无法删除；如属此情况，我们会向您说明。
• 如您的数据属于某家公司的信息（第 4 条），请求由该公司处理；我们会协助。

如您对我们的答复不满意，或未按时收到答复，可以向巴拿马国家透明度与信息获取管理局（ANTAI）个人数据保护司投诉：www.antai.gob.pa，邮箱 [email protected]。

11. Cookie

我们只使用本服务运行所必需的 Cookie：会话 Cookie（保持登录并保护表单）和语言 Cookie。我们不使用广告 Cookie，也不使用第三方分析工具。如注册时使用 Cloudflare Turnstile，Cloudflare 可能仅为验证目的处理浏览器的技术数据。

12. 手机和平板 App

• App 会登记设备（标识符、平台和型号），以便您登录并执行账户的设备数量限制。
• App 会向手机系统申请使用相机（拍照）和位置（签到、签退、拍照或采集签名时）的权限。您可以拒绝，但部分功能将无法使用。
• App 会在设备上保存一份工作副本以便离线使用，并在联网时与本服务同步。

13. 未成年人

本服务面向企业，其用户须为成年人。我们不会在知情的情况下作为负责人收集未成年人的数据。如公司在其信息中保存未成年人的数据，须取得其父母或监护人的授权。

14. 本政策的变更

如有重要变更，我们将在生效前至少 30 天通过各公司的联系邮箱和本服务内通知。最后更新日期显示在页面顶部。

15. 联系方式

3R SOFT