数据处理附录

我们是谁。Nummbas 由 Implemit Pty Ltd（ABN 22 690 942 495，ACN 690 942 495）运营，该公司以 Nummbas 的名称经营，地址为 Level 25 Capital Square Tower 3, 1 Spring St, Perth WA 6000, Australia。“我们”、“我方”和“我们的”均指 Implemit Pty Ltd。“您”指 Nummbas 账户上登记的企业。

文件之间如有冲突。在客户个人数据的处理方面，本附录优先于服务条款的其余部分。对于传输条款所涵盖的传输，传输条款优先于本附录。

如何阅读本条。其他已定义的术语（例如“服务”）具有服务条款中给出的含义。

我们的角色。在 GDPR、UK GDPR 或其他采用相同两种角色的法律适用的情况下，您是客户个人数据的控制者，我们是您的处理者。如果您是代另一家企业处理这些数据，您确认该企业已授权您向我们发出的指示。此处的传输条款以您是控制者为前提，因此，如果您需要适用于这些数据的传输条款，请先与我们联系。

法律限制。如果适用于我们的法律要求我们以其他方式处理客户个人数据，我们会事先告知您，除非该法律禁止这样做。如果法院、监管部门或其他主管机关向我们索取客户个人数据，我们会在法律允许的情况下请其转向您提出，并且只披露该请求所要求的最低限度的内容。如果我们认为某项指示违反数据保护法律，我们会立即告知您，并且可以暂停执行该指示，直至您确认或更改该指示。

我们不做的事。我们不出售客户个人数据，不用它训练 AI 模型，也不与使用 Nummbas 的其他企业共享。我们不用它向您的客户投放广告，也不为我们自己的目的联系他们。

一份共用名单。如果发票邮件或采购单邮件被退回或被举报为垃圾邮件，收件人的地址会被列入我们不向其发送邮件的地址名单。所有企业共用同一份名单，任何企业都无法查看该名单。如需将某个地址从名单中移除，请发送电子邮件给我们。

您的数据和声明。您确认您有权向我们提供您连接、上传或输入的客户个人数据。您有责任确保有合法理由收集这些数据并让我们处理这些数据。由您向您的客户、供应商、承包商和员工提供法律要求的隐私声明。这些声明必须说明您使用 Nummbas 等服务商，并且他们的信息可能在其所在国家以外被处理。我们依靠这些声明向这些人说明我们如何处理他们的信息。

仅限所需内容。请勿上传或输入服务不需要的个人数据。

我们的人员。我们确保，经我们授权处理客户个人数据的人员已承诺对其保密，或负有法定的保密义务。

您的一般授权。您授权我们使用子处理者列表中的子处理者，并按本条允许的方式增加或更换子处理者。在子处理者处理客户个人数据之前，我们会与其订立书面合同，要求其按照与我们在本附录下的义务实质相当的标准保护这些数据。对于我们的子处理者如何处理这些数据，我们仍向您负责。

变更通知。在新的子处理者开始工作之前，我们会至少提前30天通知您，方式是更新子处理者列表并向账户所有者发送电子邮件。如果我们必须紧急更换子处理者（例如由于存在安全风险），通知期可能更短。通知始终在新的子处理者开始工作之前发出。

我们会通知您。在我们知悉影响客户个人数据的个人数据泄露（包括发生在子处理者处的泄露）后，我们会通知您，且不会无故拖延。我们会向账户所有者发送电子邮件。我们会根据当时所知，说明发生了什么、何时发生、受影响的个人数据和人员的类别及大致数量、可能造成的后果、我们已采取和计划采取的措施，以及应与谁联系。随着了解到更多情况，我们会继续跟进。

双方各自做什么。我们采取合理措施控制泄露、查明原因并减轻其影响。由您决定是否通知监管部门或受影响的人员，我们会向您提供您合理需要的信息。除非您以书面形式要求我们这样做，或法律要求我们这样做，否则我们不会代您通知您的客户。

您的工具。在产品中，您可以断开某项服务的连接、删除 Nummbas-FO 对话，以及更正或归档 Nummbas Books 联系人。

通过平台提出的请求。当 Shopify 要求我们删除某位购物者的数据，或 eBay 告知我们您订单中的某位买家已删除其账户时，我们将其视为您的指示。我们会从您已同步的订单中清除该人的匹配码、国家和地区。对于 Shopify，当请求包含购物者的电子邮件地址且匹配码是根据该地址生成时，此操作有效。

直接向我们提出的请求。如果有人就我们代您持有的客户个人数据向我们提出询问，我们会将该请求转交给您，且不会无故拖延。除非法律要求我们答复，否则我们不会自行答复。如果澳大利亚法律有此要求，我们会在30天内答复。

当您断开某项服务的连接时。当您断开某项服务的连接，或从您的 Shopify 店铺卸载 Nummbas 时，我们会立即删除从该服务同步的数据。配送标签记录和连接记录会在约30天后删除。已写入每日简报、洞察、Nummbas-FO 回答或报告中的数字会保留。Nummbas Books 为其已复制到您账簿中的每条记录所保留的副本（作为会计记录）也会保留。

当您关闭账户时。取消订阅不会关闭账户，也不会删除账户中的数据。当您关闭账户时，您和您团队的登录权限会立即终止。您的分享链接也会同时失效。在90天内，您可以要求我们恢复账户。

删除后我们保留的内容。我们将安全日志保留12个月，将备份保留7天，并保留我们不向其发送邮件的电子邮件地址名单。我们还会保留适用于我们的法律所要求保留的任何内容，依照本附录对其加以保护，且不将其用于任何其他用途。我们的子处理者所持有的副本，按照其自身条款中的时间安排删除，或者在其提供此选项的情况下应我们的要求删除。

取回您的数据。在您的套餐有效期间，您可以下载您的 Nummbas Books 记录以及套餐包含的报告。如需其他任何数据，您可以在账户开放期间以及关闭账户后的90天内向我们索取。服务终止时，我们会按您的要求返还或删除客户个人数据。如果您没有给出指示，我们会按本条所述处理。

信息与审计。经您请求，我们会向您提供您合理需要的信息，以便您核实我们是否遵守本附录。如果这些信息不够、监管部门有此要求，或者发生了影响您数据的个人数据泄露，您或一名受保密义务约束且不是我们竞争对手的独立审计师可以审计我们对您的客户个人数据的处理。请至少提前30天书面通知我们（监管部门要求更短期限的，按该期限通知），并与我们商定审计的范围和时间。审计在工作时间内进行，不干扰服务的运行，每12个月最多一次，除非监管部门有此要求或审计是在发生泄露之后进行。审计不涵盖其他企业的数据、会危及安全的信息，以及我们托管服务商的数据中心。我们双方各自承担自己的费用。您以保密方式与我们分享审计报告，我们会在合理时间内纠正报告指出的任何不符合要求之处。

我们在哪里处理客户个人数据。我们的服务器和数据库位于新加坡，由 Render 托管。我们设在澳大利亚珀斯。我们的子处理者在子处理者列表所示的地点开展工作，其中包括美国和欧盟。您指示我们在这些地点处理客户个人数据。

我们的后续传输。如果法律要求我们向子处理者传输数据时须有保障措施，我们依靠我们与该服务商所签合同中的数据保护条款。如需了解适用于某一特定服务商的保障措施详情，请联系我们。

签署。接受服务条款，与在您接受之日签署传输条款具有同等效力。对于在本页顶部所示生效日期之前开立的账户，我们自该日期起受本附录和传输条款约束。

澳大利亚法律如何对待这些数据。澳大利亚隐私法不把组织划分为控制者和处理者。根据该法，对于我们持有的来自任何国家的客户个人数据，我们除了代您行事之外，自身也独立承担责任。我们按照 Privacy Act 1988 (Cth) 和 Australian Privacy Principles 处理这些数据。该法还要求我们对我们的境外子处理者如何处理这些数据负责。对于 Notifiable Data Breaches 制度要求的任何通知，我们会与您配合处理。

期限与责任。只要我们为您持有客户个人数据，本附录就一直适用。服务条款中的责任限制和责任排除适用于您与我们之间在本附录项下的索赔。它们不适用于传输条款项下的责任，不适用于我们任何一方根据数据保护法律对个人所负的责任，也不适用于法律不允许排除的任何权利。

如何阅读本附表。Nummbas Books、PayPal 和市场平台连接，在您的账户可以使用时才涵盖在内。

如何阅读本附表。以下是我们在本附录生效日期所采用的措施。