隐私政策

1. 数据控制者

Exam.ify 是本政策所述个人数据的数据控制者。数据保护相关请求的联系方式见下文第 12 节。

2. 我们收集哪些个人数据

• 账户数据： 你的姓名（如已提供）、电子邮箱地址、注册时提供的居住国家（如有），以及经过安全加盐哈希处理的密码。我们绝不以明文形式存储你的密码。
• 订单与付款数据： 你所购买的产品、支付的价格以及使用的任何促销代码。卡片及付款方式的详细信息由我们的付款服务商 Mollie B.V. 直接收集和处理——我们不会收到或存储你的完整卡号、CVC 或网上银行凭证。
• 考试活动数据： 你在每次模拟考试中的作答内容、提交时间戳及分数，这些数据与你的账户关联存储，以便你查看自己的成绩。
• 技术数据： 标准的网络服务器日志（IP 地址、浏览器类型、设备类型、访问页面、时间戳），由我们的托管服务商出于安全、防滥用及可靠性目的自动收集。
• 通信记录： 你直接发送给我们的任何信息，例如通过电子邮件发送的内容，包括你的信息内容及联系方式。

我们不会有意识地收集任何特殊类别的个人数据（GDPR 第 9 条，例如健康、宗教信仰或生物特征数据），并请你不要向我们发送此类数据。

3. 我们处理你数据的原因及法律依据

• 为创建和管理你的账户，并交付你购买的模拟考试——履行与你签订的合同所必需（GDPR 第 6(1)(b) 条）。
• 为通过 Mollie B.V. 处理付款——履行与你签订的合同所必需（GDPR 第 6(1)(b) 条）。
• 为按荷兰税法要求保存财务和管理记录——履行法定义务所必需（GDPR 第 6(1)(c) 条）。
• 为保障我们网站的安全、防止欺诈和滥用，以及维护服务日志——出于我们在运营安全可靠服务方面的合法利益所必需（GDPR 第 6(1)(f) 条），并已权衡你的权利与自由。
• 为回复你发送给我们的信息——出于我们在回应咨询方面的合法利益所必需（GDPR 第 6(1)(f) 条），或应你的要求采取合同签订前的措施（GDPR 第 6(1)(b) 条）。

我们不会将你的个人数据用于对你产生法律效力或类似重大影响的自动化决策或画像分析（GDPR 第 22 条），也不会将你的个人数据出售给第三方。

4. 付款处理——Mollie

付款由 Mollie B.V. 处理，这是一家受荷兰中央银行（De Nederlandsche Bank）监管的持牌荷兰支付机构。当你付款时，Mollie 作为独立的数据控制者，依据其自身的隐私政策处理你的付款信息，并仅向我们共享确认付款所必需的信息（例如交易状态、金额和付款参考编号）。我们建议你查阅 Mollie 的隐私政策，以了解其自身处理数据的详情。

5. 你数据的其他接收方及处理者

我们使用数量有限的第三方服务提供商（"处理者"），他们依据我们的指示，代表我们处理个人数据，并受符合 GDPR 第 28 条的数据处理协议约束，包括：

• 我们的云托管及基础设施提供商，用于运行本网站并存储账户、订单及考试尝试数据；
• Mollie B.V.，用于处理付款，详见第 4 节；以及
• 我们的电子邮件发送服务商（如适用），用于发送与账户或订单相关的信息。

我们不允许任何处理者将你的个人数据用于其自身的营销目的。除非法律要求、为执行我们的法律声明，或经你明确同意，否则我们不会将你的个人数据与第三方共享用于其自身的独立目的。

6. 国际数据传输

如果我们的任何处理者在欧洲经济区以外存储或处理个人数据，我们会在进行此类传输之前，确保已采取充分的保护措施，例如欧盟委员会的标准合同条款（GDPR 第 46 条）或适用的充分性认定决定。

7. 我们保留数据的时长

• 账户及考试活动数据在你的账户处于活跃状态期间予以保留，并在你申请删除账户后的合理期限内删除或匿名化处理，但受下文例外情形的约束。
• 订单及发票数据按荷兰税法要求（《国家税收总法》第 52 条），自相关财政年度结束起保留七（7）年，即使你已删除账户也是如此。
• 技术性服务器日志出于安全及故障排查目的，保留有限期限（通常不超过 12 个月），之后予以删除或匿名化处理。

8. 安全措施

我们依据 GDPR 第 32 条采取适当的技术和组织措施来保护你的个人数据，包括：网站全程采用加密传输（HTTPS/TLS）；密码仅以加盐加密哈希形式存储，绝不以明文形式存储；会话 Cookie 标记为 httpOnly 并限制为同站点使用，以降低被窃取或滥用的风险；以及将账户和订单数据的访问权限限制在运营服务所必需的范围内。任何传输或存储方式都无法做到绝对安全，我们无法保证绝对的安全性，但我们采取了与行业惯例相符的合理措施来保护你的数据。

9. 你依据 GDPR 享有的权利

在符合 GDPR 规定的条件和例外情形下，你有权：

• 要求获取我们持有的关于你的个人数据（第 15 条）；
• 要求更正不准确或不完整的数据（第 16 条）；
• 要求删除你的数据（"被遗忘权"）（第 17 条）；
• 在特定情形下要求限制处理（第 18 条）；
• 以结构化、可携带的格式接收你的数据，或要求将其转移至其他服务商（第 20 条）；
• 反对基于我们合法利益的处理（第 21 条）；以及
• 向监管机构投诉——在荷兰，即荷兰数据保护局（Autoriteit Persoonsgegevens，autoriteitpersoonsgegevens.nl）。

如需行使上述任何权利，请使用第 12 节中的联系方式与我们联系。我们将在 GDPR 要求的期限内（原则上为一个月）予以回复。

10. Cookie 及类似技术

我们对 Cookie 及浏览器本地存储的使用情况，另行在我们的Cookie 政策中说明。

11. 儿童隐私

本网站及我们的产品面向准大学生及在校大学生，并非面向 16 岁以下的儿童。根据 GDPR 第 8 条的要求，我们不会在未经父母或法定监护人同意的情况下有意收集 16 岁以下儿童的个人数据。如果你认为某名儿童在未获得适当同意的情况下向我们提供了个人数据，请与我们联系，以便我们予以删除。

12. 联系方式及数据保护请求

如对本隐私政策有任何疑问，或希望依据第 9 节行使你的权利，请使用我们法律声明页面或结账页面上列出的支持联系方式与我们联系。我们将依据适用的数据保护法律处理你的请求。

13. 本政策的变更

我们可能不时更新本隐私政策，以反映我们做法或适用法律的变化。重大变更将通过更新上方的"最后更新"日期予以体现。我们建议你定期查阅本页面。