快速概览
这在实际工作中带来什么改变
01
控制者、处理者与你的工作区
Mosaqo 由在乌克兰注册的个体经营者 Andrii Petlovanyi 运营，联系邮箱为 hello@mosaqo.app。乌克兰位于欧洲经济区之外，而 GDPR 之所以在此适用，是因为 Mosaqo 向该区域内的人提供服务。它在 GDPR 下承担哪种角色取决于数据本身，而正是这一区分决定了请求该发给谁。
对于你自己的账户——登录身份、账单联系人、支持消息、安全会话记录——Mosaqo 是控制者，并直接答复请求。
对于工作区放进自己二维码、并通过二维码收集的内容——表单回复、扫码事件、上传的素材——控制者是该工作区，Mosaqo 则是按照书面指示行事的处理者。如果你扫了某家商户的二维码并希望删除自己的数据，决定权在发布该二维码的商户。Mosaqo 会把请求转交给那个工作区，并协助其答复。
02
处理的合法性基础
每一次使用个人数据都需要第 6 条下的合法性基础。Mosaqo 依据其中四项，并且在法律要求同意的场合从不改用正当利益。
- 履行合同——创建你的账户、保存工作区内容、提供跳转，以及生成工作区已启用的分析。
- 正当利益——保障服务安全、防止未认证端点被滥用，以及运行服务所需的运维日志。
- 同意——通讯订阅以及你自行加入的其他项目。可随时撤回，撤回不会使此前的处理变得违法。
- 法定义务——税务、会计或执法规则要求保留的记录。
03
你在 GDPR 下的权利
无论你是否为 Mosaqo 付费，这些权利都属于你，行使它们不收取任何费用。
- 查阅——获取关于你的个人数据副本，以及这些数据的用途。
- 更正——修正不准确或不完整之处。
- 删除——在没有更优先理由保留时清除你的数据。
- 限制——在关于准确性或法律依据的争议解决前暂停处理。
- 可携——以结构化、机器可读的格式获取你的数据，或将其发送给另一家服务商。
- 反对——终止以正当利益为依据的处理。
- 撤回同意——针对你加入过的任何项目，无需说明理由。
04
自动化决策与画像
Mosaqo 不会对你作出产生法律效果或类似重大影响的自动化决策，因此第 22 条的权利根本不会产生。扫码分析只是统计事件，并按时间、大致地区和设备类别归类。它并非为识别个人而建，也不用于对任何人评分、排名或画像。
05
提交请求
写信到 hello@mosaqo.app，主题填「GDPR request」，并说明你行使的是哪项权利。Mosaqo 可能要求你证明对相关账户或邮箱的控制权——这不是为了刁难，而是因为把个人数据交给错误的人本身就是一次泄露。
如第 12 条所要求，你将在一个月内得到答复。异常复杂的请求可能再需要最多两个月，届时会在第一个月内把原因告知你。
06
数据处理协议
在你的工作区是控制者、Mosaqo 是处理者的场合，第 28 条要求双方签订书面协议。Mosaqo 应请求提供：写信到 hello@mosaqo.app，主题填「DPA」，并附上签署方的法律名称。
07
处理者、跨境传输与留存
Mosaqo 只用一小组服务商来运行产品：应用与数据库托管、事务性邮件、用于上传素材的对象存储，以及你选择的登录服务商。每一家都受数据处理协议约束，只为自己承担的那部分服务处理数据。没有任何一家为其自身目的获取个人数据，Mosaqo 也不出售个人数据、不将其用于广告。
其中部分服务商在欧洲经济区之外运营。凡属此类情形，传输依据欧盟委员会的充分性决定或委员会的标准合同条款。
扫码事件在工作区留存期届满时删除，默认为 90 天。账户与工作区数据在账户存续期间保留，并在账户关闭时移除，除非法定义务要求留存副本更长时间。
08
安全、数据泄露与投诉
数据在传输中加密，生产系统的访问权限仅限于运维人员，密钥与应用数据分开存放。
若发生可能危及你权利的泄露，Mosaqo 会在知悉后 72 小时内通知主管监管机构，并在风险较高时直接告知受影响的人。
如果你对某项请求的处理方式不满意，可以向你居住或工作所在国的数据保护机构投诉。你不必先找 Mosaqo，尽管那样通常更快。
下一步