GDPR 合规
快速阅读
本文列出平台在 GDPR 下已经写明的处理依据、数据主体权利、安全措施、处理方和跨境机制。它不替代企业自己的合规评估。
- 处理依据三类：用户同意、履行合同所必需、合法利益。
- 数据主体权利：访问、更正、删除、限制处理、可携、撤回同意。
- 安全措施：传输与静态加密、服务器配置、访问控制、安全审计与渗透测试。
- 现稿点名的处理方：观测云（Guance Analytics）、GitHub、Stripe。
- 传到欧盟以外（主要是美国）时，现稿写明采用标准合同条款（SCC）。
阅读地图
- 处理什么、依据是什么：读「二」。
- 数据主体可以行使哪些权利：读「三」。
- 技术和组织措施、处理方、跨境：读「四」「五」。
- 定期测试项：读「六」。
一、文档说明
本文说明呼叫中心平台与 GDPR 相关的数据处理实践：处理哪些个人数据、依据哪一类法律基础、数据主体有哪些权利、平台侧采取哪些安全措施。
适用：安全与合规负责人、实施顾问、处理欧盟个人数据的企业管理员。
账号、密钥和操作记录的平台控制，见 安全白皮书。话单、录音、日志留多久，见 数据存储生命周期。
二、处理的数据与法律依据
为提供并维护服务，平台会处理的个人数据包括：电子邮箱、姓名、电话号码、邮寄地址、使用统计、位置信息。
| 依据 | 适用情况 |
|---|---|
| 用户同意 | 非必要处理，例如基于位置的服务、营销沟通。同意可以撤回 |
| 合同必要性 | 履行服务所必需的数据，范围以服务条款为准 |
| 合法利益 | 改进功能、增强安全、分析使用情况；以不凌驾于数据主体权利为前提 |
三、数据主体权利
| 权利 | 含义 |
|---|---|
| 访问 | 申请获取个人数据副本 |
| 更正 | 数据不准确或不完整时申请更正 |
| 删除 | 在适用条件下要求删除 |
| 限制处理 | 要求限制处理方式 |
| 数据可携 | 以结构化、通用格式获取并转移 |
| 撤回同意 | 处理基于同意时，可以撤回 |
行使路径：联系数据保护官，或按企业已有的 GDPR 报告流程提交。本文不另列未写明的接口。
四、安全措施
| 措施 | 现稿范围 |
|---|---|
| 加密 | 传输中与静态存储 |
| 服务器配置 | 持续维护基础设施配置 |
| 访问控制 | 仅授权人员访问敏感数据 |
| 定期评估 | 安全审计、渗透测试 |
具体控制项（账号、密钥、审计周期、加密算法）以 安全白皮书 为准，本文不另加指标。
五、处理方与跨境
现稿列出的第三方：
| 类型 | 名称 |
|---|---|
| 分析 | 观测云（Guance Analytics） |
| CI/CD 与开发平台 | GitHub |
| 支付 | Stripe |
处理行为由数据保护协议约束。
个人数据传到欧盟以外时，现稿写明主要涉及美国，并采用标准合同条款（SCC）。
六、测试项
现稿列出的定期测试：
- 渗透测试
- 合规审计
- 基于角色的访问控制测试
- 数据泄露演练
- 用户同意的获取与撤回测试
- 数据恢复与删除测试
七、相关阅读
Updated about 2 months ago
Did this page help you?