RegulatoryBridge Global Ltd. (77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland; 公司编号 Pending - see CRO filing) ("RegulatoryBridge", "我们", "我们", "我们的") 是与本网站（regulatorybridge.com）及我们提供的服务相关的个人数据的控制者。

数据保护官： 您可以通过 dpo@regulatorybridge.com 联系我们的 DPO，或邮寄至上述注册办公地址（请在信件上注明"Attn: Data Protection Officer"）。

欧盟代表（GDPR 第 27 条）： RegulatoryBridge EU Representative (to be appointed), Pending - to be designated under Article 27 GDPR — eu-rep@regulatorybridge.com.
英国代表（UK GDPR 第 27 条）： RegulatoryBridge UK Representative (to be appointed), Pending - to be designated under Article 27 UK GDPR — uk-rep@regulatorybridge.com.

有关完整的实体披露信息，请参阅我们的 版本说明 / 法律声明。

本政策说明了当您 (i) 访问本网站、(ii) 索取信息、演示或销售洽谈、(iii) 注册我们的服务、(iv) 订阅资讯，或 (v) 作为业务合作伙伴、供应商或求职者与我们互动时，我们如何处理个人数据。

当我们向客户提供隐私代表或数据保护官服务时，我方客户是其最终用户个人数据的控制者，而 RegulatoryBridge 依据单独的数据处理协议充当处理者。该等处理受与客户签订的 DPA 约束，而非本政策。

• 身份与联系数据 — 姓名、商务电子邮箱、商务电话、职务、雇主、国家/地区。
• 账户数据 — 用户名、经哈希处理的密码、账户偏好设置、MFA 注册信息。
• 服务数据 — DSAR 请求、违规事件详情、合规评估、ROPA 条目，以及您为运营合规计划而上传的其他数据。
• 账单数据 — 账单联系人、税号、账单地址、发票历史记录。支付卡数据由我们符合 PCI-DSS 标准的支付处理商处理，我方不予存储。
• 使用与设备数据 — IP 地址（在可能的情况下进行截断处理）、浏览器、设备类型、来源 URL、所浏览的页面、时间戳、会话事件。
• 通信记录 — 电子邮件、支持工单，以及销售或入门通话中的记录。
• 营销偏好 — 订阅状态、同意记录、退订时间戳。
• 招聘数据（仅当您申请职位时）— 简历、工作经历、推荐人、工作许可指标。

我们不会有意收集有关潜在客户或网站访问者的特殊类别数据（GDPR 第 9 条）或敏感个人信息（CPRA、DPDPA）。如果您将此类数据上传至我们的服务用于合规用途，则适用我们在 DPA 项下的处理者义务。

• 直接来自您 — 表单、账户注册、支持请求、通话、电子邮件。
• 自动收集 — 通过我们的网站、产品分析和安全日志记录。
• 来自第三方 — 您的雇主（如果您被指定为其联系人）、公开的商业目录、会议赞助商、推荐合作伙伴。

以下合法依据参照 GDPR 第 6 条（并在适用情况下参照 CCPA/CPRA 的业务目的）：

我们仅与具有正当接收需求的各方共享个人数据：

• 云基础设施 — AWS、Vercel、Cloudflare（CDN、边缘计算、DDoS、WAF）。
• 电子邮件与通信 — 事务性及营销电子邮件服务提供商。
• 分析与产品遥测 — 分析服务提供商（仅在获得您的同意后）。
• CRM 与销售自动化 — 用于管理商业关系。
• 支付处理 — 通过 PCI-DSS 认证的处理商。
• 专业顾问 — 受保密义务约束的审计师、会计师、律师、保险公司。
• 监管机构或法院 — 仅在法律要求或获得您同意的情况下。

可应要求向 dpo@regulatorybridge.com 索取最新的次级处理者名单。我们将依据相关 DPA 就次级处理者的重大变更通知客户。

我们可能会将个人数据传输至您居住国以外的地区。若目的地未被欧盟/英国/瑞士的充分性认定所涵盖，我们将依据 GDPR 第 46 条采用适当的保障措施：

• 经欧盟委员会批准的标准合同条款（SCCs），并辅以英国附录或针对英国传输的 IDTA。
• 在已建立的情况下，与集团内接收方签订的具有约束力的公司规则（BCR）。
• 针对存疑目的地，依据 Schrems II 进行传输影响评估。

对于 DPDPA 项下的印度数据主体，跨境传输仅限于未受中央政府限制的司法管辖区。对于巴西（LGPD），传输依据 ANPD 批准的机制（第 19/2024 号决议）。对于日本（APPI），传输需在获得同意或具备同等保护安排的情况下进行。可应要求提供适用于您数据的传输机制副本。

• 账户数据 — 合同有效期加 90 天用于数据导出。
• 账单记录 — 法定最低保存期限（在大多数司法管辖区，税务/会计通常为 6–10 年）。
• 支持工单 — 解决后保存 3 年。
• 营销名单数据 — 直至您撤回同意为止，之后再保留 30 天用于系统同步。
• 安全与审计日志 — 默认 12 个月（法律要求时更长）。
• 招聘数据 — 职位填补后 12 个月（经您同意可更长）。

我们采取与风险相称的技术和组织措施，包括：

• 传输中加密（TLS 1.2+）及静态加密（AES-256 或同等标准）。
• 基于角色的最小权限访问控制、管理访问的 MFA、生产环境访问的硬件密钥要求。
• 持续日志记录、异常检测以及 7×24 小时事件响应。
• 年度渗透测试及季度漏洞扫描。
• SOC 2 Type II 与 ISO 27001 控制映射（在适用情况下认证正在进行中）。
• 在委托任何次级处理者之前进行供应商风险评估。

尽管采取了所有控制措施，但没有任何系统是绝对安全的。如发生影响您个人数据的违规事件，我们将依据适用法律通知您和/或主管监督机构。

• 访问权 — 确认处理情况并获取您数据的副本。
• 更正权 — 更正不准确或不完整的数据。
• 删除权 — 在特定情形下删除数据。
• 限制权 — 在争议解决期间暂停处理。
• 可携权 — 以结构化、通用的格式接收您的数据。
• 反对权 — 反对基于正当利益的处理或直接营销。
• 撤回同意 — 随时撤回，方式与您给予同意时同样便捷。
• 不受约束权 — 不受仅基于自动化决策且产生法律或类似重大影响的决定约束。

如需行使上述任何权利，请联系 dpo@regulatorybridge.com。我们将在一个月内回复（对于复杂请求可延长两个月）。如我们无法核实您的身份，我们将要求提供额外信息。

加利福尼亚州（CCPA / CPRA）。加州消费者还享有知情、删除、更正、选择退出个人信息出售或共享、限制使用敏感个人信息，以及因行使权利而不受歧视的权利。我们尊重全球隐私控制（Global Privacy Control）信号。在过去 12 个月内，我们未曾出售个人信息。如需行使 CCPA 权利，请发送电子邮件至 privacy@regulatorybridge.com。

印度（DPDPA）。数据主体享有访问、更正/补全/更新、删除、申诉处理及提名的权利，并可随时撤回同意。联系方式：dpo-india@regulatorybridge.com。

英国（UK GDPR）。您可向信息专员办公室（ico.org.uk）提出投诉。

巴西（LGPD）。您可通过致信我们的负责人（Encarregado）encarregado@regulatorybridge.com 行使 LGPD 第 18 条规定的权利；您也可向 ANPD 进一步申诉。

新加坡（PDPA）。我们的 DPO 是 PDPA 项下访问、更正及撤回同意的联系人。

日本（APPI）。您可通过联系我们的个人信息管理员 appi@regulatorybridge.com，依据 APPI 第 28–35 条请求披露、更正、停止使用或删除。

瑞士（revFADP）。适用同等权利；可向 FDPIC 提出投诉。

我们的服务并非面向 16 岁以下的儿童，我们也不会有意收集我们认为是 16 岁以下任何人的个人数据。如果您认为有儿童向我们提供了个人数据，请联系 dpo@regulatorybridge.com，我们将及时删除。当客户使用我们的服务处理儿童数据时，客户负责获取所需的父母同意。

我们不会使用产生法律效果或对您产生类似重大影响的纯自动化决策。某些运营系统（例如垃圾邮件过滤、异常检测）会在人工监督下应用自动化逻辑。如有变化，我们将更新本政策，并酌情获取同意或采用其他合法依据。

我们使用 Cookie 用于：(i) 必要功能，如路由、安全和会话连续性；(ii) 可选分析 — 仅在获得您的同意后；(iii) 可选营销 — 仅在获得您的同意后。您可通过首次访问时显示的 Cookie 横幅管理您的选择，也可随时通过我们页脚的"Cookie 设置"进行管理（链接即将推出）。有关特定 Cookie、持续时间及提供商的详情，请参阅我们即将发布的 Cookie 通知。

我们希望有机会先行解决您的疑虑 — 请致信 dpo@regulatorybridge.com。您也有权向您当地的监督机构提出投诉。我们主要营业地的数据保护机构为 Data Protection Commission (Ireland)。

我们可能会不时更新本政策。重大变更将在本页面公布，并在适当情况下于生效前至少 14 天通过电子邮件或产品内通知告知。本页面顶部的版本和日期表明当前的修订版本。

电子邮件： privacy@regulatorybridge.com
数据保护官： dpo@regulatorybridge.com
邮寄地址： RegulatoryBridge Global Ltd., Attn: Data Protection Officer, 77 Lower Camden Street, Saint Kevin's, D02 XE80 Dublin 2, Ireland.