了义暑假学院隐私政策
数据保护和《GDPR》合规性
我们很高兴您加入我们组织的课程。 我们很高兴您加入我们组织的课程。 数据保护是了义学院管理中特别重要的一项。在不提交任何个人数据的情况下，可以使用了义学院的互联网页面；然而，如果使用我们的网站提供的服务，个人数据的处理可能是必要的。如果个人数据的处理是必要的，且此类处理没有法定依据，我们通常需要取得数据主体的同意。个人数据的处理，如数据提交者的姓名、地址、电子邮件地址或电话号码，应始终符合《通用数据保护条例》（以下简称《GDPR》），幷符合适用于特定国家数据保护条例。通过本数据保护声明，我们学院希望告知公众我们收集、使用和处理的个人数据的性质、范围和目的。 此外，通过本声明，数据主体被告知他们享有的权利。作为数据控制者，了义学院所实施了多项技术和组织措施，以确保通过本网站处理的个人数据得到最全面的保护。 然而，基于互联网的数据传输原则上可能存在安全漏洞，因此可能无法保证绝对保护。因此，每个数据主体都可以自由选择方式（如电话）向我们提供个人数据。
1.定义
了义学院的数据保护声明基于欧盟法律，采用《通用数据保护条例》（《GDPR》）。我们的数据保护声明应清晰易读，便于公众、客户和业务合作伙伴理解。为了确保这一点，我们首先要解释使用的术语。 在本数据保护声明中，除其他外，我们使用以下术语：
a) 个人资料
个人数据是指与已识别或可识别自然人（“数据主体”）有关的任何信息。可识别自然人是指可直接或间接识别的自然人，尤其是通过参考标识符，如姓名、识别号、位置数据、在线标识符或特定于身体、生理、遗传、心理、经济、，自然人的文化或社会身份。
b） 数据主体
数据主体是任何已识别或可识别的自然人，其个人数据由负责处理的控制者处理。
c) 处理
“处理”是指针对个人数据或个人数据集合的任何一个或一系列操作，诸如收集、记录、组织、建构、存储、自适应或修改、检索、咨询、使用、披露、传播或其他的利用，排列、组合、限制、删除或销毁，无论此操作是否采用自动化的手段。
d） 处理限制
限制处理是指对存储的个人数据进行标记，以限制其在未来的处理。
e) 剖析
剖析是指任何形式的个人数据自动处理，包括使用个人数据评估与自然人有关的某些个人方面，尤其是分析或预测与自然人的工作表现、经济状况、健康、个人偏好、兴趣、可靠性有关的方面，行为、位置或动作。
f) 匿名化
匿名化是指在不使用额外信息的情况下，个人数据不能再归属于特定的数据主体，前提是此类附加信息单独保存，幷受技术和组织措施的约束，以确保个人数据不属已识别或可识别的自然人。
g） 控制者或负责处理的控制者
g） 负责处理的控制者或控制人是指单独或与他人共同决定个人数据处理目的和方式的自然人或法人、公共当局、机构或其他机构；如果此类处理的目的和方式由欧盟或成员国法律确定，则欧盟或成员国法律可能会规定控制人或其提名的具体标准。
h） 处理者
处理者是代表控制方处理个人数据的自然人或法人、公共机构、机构或其他机构。
i) 接收者
接收者是向其披露个人数据的自然人或法人、公共机构、机构或其他机构，无论是否为第三方。 但是，根据欧盟或成员国法律，可能在特定调查框架内接收个人数据的公共机构不应被视为接收者；根据处理目的，这些公共机构对这些数据的处理应符合适用的数据保护规则。
j) 第三方
第三方是除数据主体、控制者、处理者以及在控制者或处理者的直接授权下被授权处理个人数据的人以外的自然人或法人、公共机构、机构或团体。
k) 同意
同意是数据主体通过声明或确认行动，以自由给出的、具体的、知情的、明确的表示同意处理与他或她有关的个人数据。
2.控制者的姓名和地址
就《通用数据保护条例》（《GDPR》）、适用于欧盟成员国的其他数据保护法律以及与数据保护相关的其他规定而言，控制者为：
了义学院 Nitartha Institute 地址：3902 Woodland Park Ave N Seattle, WA 98103 USA 电话：720-310-0422 https://nitarthainstitute.org/, http://summer.nitarthainstitute.org/
3.Cookies
了义学院网页使用cookies。Cookie是通过Internet浏览器存储在计算机系统中的文本文件。许多互联网网站和服务器使用cookie。许多cookie都包含所谓的cookie ID。 cookie ID是cookie的唯一标识符。它由一个字符串组成，通过该字符串，可以将Internet页面和服务器分配给存储cookie的特定Internet浏览器。这允许访问的Internet站点和服务器将数据主题的单个浏览器与包含其他cookie的其他Internet浏览器区分开来。 使用唯一的cookie ID可以识别和识别特定的Internet浏览器。通过使用cookie，了义学院可以为该网站的用户提供更友好的服务，而没有cookie设置，这是不可能的。 通过cookie，我们网站上的信息和优惠可以根据用户的想法进行优化。正如前面提到的，Cookies允许我们识别我们的网站用户。这种认可的目的是让用户更容易使用我们的网站。 例如，使用cookie的网站用户不必在每次访问网站时输入访问数据，因为这是由网站接管的，因此cookie存储在用户的计算机系统中。另一个例子是网上商店购物车的cookie。 在线商店会记住顾客通过cookie放在虚拟购物车中的物品。数据主体可随时通过使用的互联网浏览器的相应设置阻止通过我们的网站设置cookie，幷因此永久拒绝cookie设置。 此外，可以随时通过互联网浏览器或其他软件程序删除已设置的cookie。这在所有的互联网浏览器中都是可能的。 如果数据主体在使用的互联网浏览器中禁用cookie设置，则幷非我们网站的所有功能都可以完全使用。
4.一般数据和信息的收集
当数据主体或自动系统调用网站时，了义学院的网站收集一系列一般数据和信息。这些常规数据和信息存储在服务器日志文件中。收集的信息可能包括（1）使用的浏览器类型和版本，（2）访问系统使用的操作系统，（3）访问系统访问我们网站的网站（所谓的参考者），（4）子网站，（5）访问互联网网站的日期和时间，（6）互联网协议地址（IP地址），（7）接入系统的互联网服务提供商，以及（8）在信息技术系统遭受攻击时可能使用的任何其他类似数据和信息。在使用这些一般数据和信息时，了义学院不会对数据主体得出任何结论。 相反，这些信息是为了（1）正确交付我们网站的内容，（2）优化我们网站的内容及其广告，（3）确保我们的信息技术系统和网站技术的长期可行性，（4）向执法机构提供网络攻击情况下刑事起诉所需的信息。因此，了义学院对匿名收集的数据和信息进行统计分析，旨在提高我们企业的数据保护和数据安全性，幷确保我们处理的个人数据得到最佳保护。服务器日志文件的匿名数据与数据主体提供的所有个人数据是分开存储的。
5.网站注册
数据主体有可能在控制者的网站上注册个人数据。哪些个人数据被传输到控制器由用于注册的相应输入掩码确定。数据主体输入的个人数据的收集和存储仅供控制者内部使用，幷用于其自身目的。 控制者可请求将个人数据传输至一个或多个处理器（例如包裹服务），该处理器也将个人数据用于可归属于控制人的内部目的。通过在控制器的网站上注册，还存储了由互联网服务提供商（ISP）分配幷由数据主体日期和注册时间使用的IP地址。 这些数据的存储是在这样的背景下进行的，即这是防止滥用我们的服务的唯一方法，幷且在必要时，使调查犯罪行为成为可能。到目前为止，这些数据的存储对于保护控制器是必要的。 除非有法定义务传递数据，或者如果传递数据有助于刑事起诉，否则该数据不会传递给第三方。注册数据主体，幷自愿显示个人数据，旨在使控制者能够提供数据主体内容或服务，这些内容或服务可能只提供给注册用户，因为相关事项的性质。 注册人可随时更改注册期间指定的个人数据，或将其从控制人的数据库中完全删除。数据控制者应在任何时候根据请求向每个数据主体提供关于数据主体的个人数据存储情况的信息。 此外，在没有法定存储义务的情况下，数据控制者应在数据主体的要求或指示下更正或删除个人数据。在需要的时候，控制者需向数据主体提供联络人。
6.订阅通讯简报
在了义学院的网站上，用户有机会订阅我们学院的通讯简报。用于此目的的输入数据屏蔽确定传输哪些个人数据，以及何时从控制器订阅通讯。 了义学院定期通过通过通讯简报通知学员和商业伙伴课程和服务信息。只有（1）数据主体拥有有效的电子邮件地址，幷且（2）数据主体订阅了通讯简报，数据主体才能收到。 出于法律原因，在双重选择加入程序中，确认电子邮件将被发送到数据主体首次注册的通讯发送电子邮件地址。 此确认电子邮件用于证明作为数据主体的电子邮件地址的所有者是否有权接收通讯。在注册通讯期间，我们还存储了由互联网服务提供商（ISP）分配幷由数据主体在注册时使用的计算机系统的IP地址，以及注册日期和时间。 收集这些数据是必要的，以了解数据主体的电子邮件地址在日后被（可能）滥用，因此有助于实现对控制者的法律保护。作为订阅通讯的一部分收集的个人数据将仅用于发送我们的通讯。 此外，可以通过电子邮件通知通讯的订阅者，只要这对通讯服务的运营或相关注册是必要的，因为在通讯报价发生修改或技术情况发生变化时可能会出现这种情况。 通讯服务不会将收集的个人数据传输给第三方。数据主体可随时终止订阅我们的通讯简报。数据主体为发送时事通讯而同意存储个人数据的，可随时撤销。 为了撤销同意，每个通讯中都有相应的链接。也可以随时直接在控制者的网站上取消订阅时事通讯，或以不同的方式将其传达给控制人。
7.通讯追踪
了义学院的通讯包含所谓的像素跟踪。跟踪像素是嵌入此类电子邮件中的微型图形，以HTML格式发送，以便记录和分析日志文件。这允许我们对在线营销活动的成败进行统计分析。 根据嵌入的跟踪像素，了义学院可以看到数据主体是否以及何时打开了电子邮件，以及数据主体调用了电子邮件中的哪些链接。控制器存储幷分析在新闻稿中包含的跟踪像素中收集的此类个人数据，以便优化新闻稿的发送，以及使未来新闻稿的内容更好地适应数据主体的兴趣。 这些个人数据不会传递给第三方。数据主体有权随时撤销通过双重选择加入程序发布的单独同意声明。 撤销后，控制员将删除这些个人数据。 了义学院将自动收到通讯订阅的取消通知视为撤销。
8.通过网站联系的可能性
了义学院的网站包含的信息能够快速与我们的学院进行线上联络，以及与我们的直接联络，其中还包括所谓的电子邮件（电子邮件地址）。如果数据主体通过电子邮件或联系表格与控制者联系，则数据主体传输的个人数据将自动存储。 由数据主体自愿向数据控制者传输的此类个人数据被存储用于处理或联系数据主体。不得将此个人数据传输给第三方。
9.个人数据的例行删除和屏蔽
数据控制者应仅在达到存储目的所需的时间内，或在欧洲立法者或控制者所受法律或法规中的其他立法者允许的范围内，处理和存储数据主体的个人数据。如果存储目的不适用，或者如果欧洲立法者或其他主管立法者规定的存储期限到期，个人数据将按照法律要求定期被屏蔽或删除。
10.数据主体的权利
a） 许可权
每个数据主体应有权获得欧洲立法者的授权，从控制人处获得有关其个人数据是否正在处理的确认。如果数据主体希望使用这一许可权，他或她可以随时联系控制员。
b） 访问权
各数据主体应有权获得欧洲立法者授予的权利，随时从控制员处获取有关其个人数据的免费信息以及该信息的副本。此外，欧洲指令和法规允许数据主体访问以下信息：
o处理的目的；o有关的个人资料类别；o已向或将向其披露个人数据的接收者或接收者类别，尤其是第三国或国际组织的接收者；o在可能的情况下，个人数据存储的预期期限，或者，如果不可能，用于确定该期限的标准；o有权要求控制人更正或删除个人数据，或限制处理与数据主体有关的个人数据，或反对此类处理；o是否存在向监管机构投诉的权利；o如果个人数据不是从数据主体收集的，则提供有关其来源的任何可用信息；o是否存在《GDPR》第22条第（1）款和第（4）款所述的自动决策，包括分析，以及至少在这些情况下，有关所涉及逻辑的有意义信息，以及此类处理对数据主体的重要性和预期后果。
此外，数据主体应有权获取个人数据是否转移至第三国或国际组织的信息。在这种情况下，数据主体应有权被告知与传输有关的适当保障措施。
如果数据主体希望使用这种访问权，他或她可以随时联系控制员。
c） 纠正权
每个数据主体都有权获得欧洲立法者的授权，从控制人处获得有关其不准确个人数据的更正，不得无故拖延。考虑到处理目的，数据主体有权填写不完整的个人数据，包括通过提供补充声明的方式。
如果数据主体希望行使纠正权，他或她可以随时联系控制员。
d) ） 删除权（被遗忘权）
每个数据主体应有权获得欧洲立法者的授权，在不存在不当延迟的情况下，从控制人处获得有关其个人数据的删除，幷且控制人有义务在不存在不当延迟的情况下删除个人数据，前提是以下任何一种理由适用：只要处理不是必须的：
o数据主体根据《GDPR》第6（1）条第（a）点或《GDPR》第9（2）条第（a）点撤回处理所依据的同意，且处理无其他法律依据。 o数据主体根据《GDPR》第21（1）条反对处理，且无压倒一切的合法理由进行处理，或数据主体根据《GDPR》第21（2）条反对处理。 o个人数据已被非法处理。o必须删除个人数据，以遵守联盟或成员国法律中的法律义务，控制者受其约束。o已收集与《GDPR》第8（1）条所述信息社会服务相关的个人数据。
如果上述原因之一适用，幷且数据主体希望要求删除了义学院存储的个人数据，他或她可以随时联系控制员。
了义学院应立即确保立即遵守删除请求。 如果控制者已公开个人数据，幷根据第17（1）条有义务删除个人数据，控制者应考虑到可用技术和实施成本，采取合理措施，包括技术措施，通知处理个人数据的其他控制者，只要不需要处理，数据主体已要求此类控制者删除这些个人数据的任何链接、副本或复制。了义学院将根据具体情况安排必要的措施。
e） 限制处理权
在下列情况之一适用的情况下，每个数据主体应有权获得欧洲立法者授予的从控制者处获得处理限制：
数据主体对个人数据的准确性提出质疑，在一段时间内，控制者可以验证个人数据的准确性。o处理是非法的，数据主体反对删除个人数据，幷要求限制其使用。 o控制者不再需要用于处理目的的个人数据，但数据主体需要这些数据来建立、行使或辩护法律主张。o在核实控制人的合法理由是否凌驾于数据主体的合法理由之前，数据主体已根据《GDPR》第21（1）条反对处理。
如果满足上述条件之一，幷且数据主体希望请求限制了义学院所存储的个人数据的处理，他或她可以随时联系控制员。了义学院将安排对加工的限制。
f） 数据可携权
每个数据主体应有权获得欧洲立法者的授权，以结构化、常用和机器可读的格式接收提供给控制者的有关其个人数据。 他或她有权将这些数据传输给另一个控制者，而不受向其提供个人数据的控制者的阻碍，只要处理是基于《GDPR》第6（1）条第（a）点或《GDPR》第9（2）条第（a）点的同意，或根据《GDPR》第6（1）条第（b）点的规定签订合同，且处理通过自动化方式进行，只要处理不是为了公共利益或行使授予控制人的官方权力而执行任务所必需的。
此外，在根据《GDPR》第20（1）条行使其数据可携权时，数据主体应有权在技术上可行且不会对他人的权利和自由产生不利影响的情况下，将个人数据从一个控制者直接传输到另一个控制者。为了维护数据可携权，数据主体可随时联系了义学院。
g） 反对权
每个数据主体应有权由欧洲立法者授予，以其特定情况为理由，随时反对处理基于（e）点或 或第（f）点，每个数据主体都有权在任何时候以其特定情况为理由，反对处理其个人数据。这也适用于基于这些规定的分析。
如果数据主体有异议，了义学院将不再处理数据主体的个人数据，除非我们能够证明处理个人数据的正当理由，该理由凌驾于数据主体的利益、权利和自由之上，或者证明、行使或辩护法律主张。
如果了义学院出于直接营销目的处理个人数据，数据主体有权在任何时候反对为此类营销处理与其相关的个人数据。这适用于与此类直接营销相关的评测。 如果数据主体反对了义学院出于直接营销目的进行处理，了义学院将不再出于这些目的处理个人数据。
此外，数据主体有权基于其特定情况，反对了义学院出于科学或历史研究目的，或出于《GDPR》第89（1）条规定的统计目的，对其个人数据进行处理，除非处理是为了执行出于公共利益而执行的任务所必需的。
为了行使反对权，数据主体可以联系了义学院。此外，在使用信息社会服务的情况下，尽管有2002/58/EC号指令的规定，数据主体可以自由使用其使用技术规范通过自动方式提出异议的权利。
h） 自动化的个人决策与处理
每个数据主体应有权不受仅基于自动处理（包括概述）的决定的约束，该决定会对其产生法律效力，或对其产生类似的重大影响，只要该决定（1）不是签订协议所必需的，或履行数据主体与数据控制者之间的合同，或（2）未经控制者所受的欧盟或成员国法律授权，且该法律还规定了保护数据主体权利、自由和合法权益的适当措施，或（3）幷非基于数据主体的明确同意。
如果决定（1）是数据主体和数据控制者之间签订或履行合同所必需的，或（2）是基于数据主体的明确同意，了义学院应采取适当措施，以保障数据主体的权利、自由和合法权益，至少控制者有权获得人为干预，表达自己的观点，幷对决定提出质疑。
如果数据主体希望行使有关自动个人决策的权利，他或她可以随时联系了义学院。
i） 撤回数据保护同意的权利
每个数据主体都有权在欧洲立法者授权的情况下，随时撤回其对其个人数据处理的同意。
如果数据主体希望行使撤销同意的权利，他或她可以随时联系了义学院。
11.申请数据保护和申请程序
数据控制员应收集和处理申请人的个人数据，以便处理申请程序。处理也可以通过电子方式进行。尤其是，如果申请人通过电子邮件或网站上的网络表单向控制员提交相应的申请文件，情况就是如此。 如果数据控制员与申请人签订了雇佣合同，则提交的数据将被存储，以便按照法律要求处理雇佣关系。如果控制人未与申请人签订雇佣合同，申请文件应在收到拒绝决定通知两个月后自动删除，前提是控制人的其他合法权益不反对删除。这一关系中的其他合法利益是，例如，根据《一般平等待遇法》（AGG）规定的程序中的举证责任。
12.处理的法律依据
第6（1）条阐明。《GDPR》是我们为特定加工目的获得同意的加工操作的法律依据。如果个人数据的处理是履行数据主体为当事方的合同所必需的，例如，当为供应货物或提供任何其他服务而需要进行处理操作时，处理基于第6（1）条b 《GDPR》。 这一点同样适用于执行合同前措施所需的此类加工操作，例如关于我们产品或服务的查询。我们学院是否有法律义务要求处理个人数据，例如为了履行税务义务，处理基于第6条（1）阐明c 《GDPR》。在极少数情况下，为了保护数据主体或其他自然人的重大利益，可能需要对个人数据进行处理。例如，如果一名访客在我们学院，他的姓名、年龄、医疗保险数据或其他重要信息必须传递给医生、医院或其他第三方。然后处理将基于第6（1）条d 《GDPR》。 最后，处理操作可以基于第6（1）条f 《GDPR》。本法律依据用于处理上述任何法律依据未涵盖的操作，如果为了我院或第三方追求的合法利益需要进行处理，除非该等利益被需要保护个人数据的数据主体的利益或基本权利和自由所凌驾。这种处理操作是特别允许的，因为欧洲立法者已经特别提到了它们。他认为，如果数据主体是控制人的客户，则可以假定存在合法权益（引言47第2句《GDPR》）。
13.控制人或第三方追求的合法利益
个人数据的处理基于第6（1）条。对于《GDPR》，我们的合法利益是为了所有员工和股东的福祉开展业务。
14.储存个人资料的期限
用于确定个人数据存储期限的标准是各自的法定保留期。在该期限到期后，只要履行合同或启动合同不再需要，相应的数据就会被定期删除。
15.根据法律或合同要求提供个人数据；
签订合同所必需的条件；数据主体提供个人数据的义务；未能提供此类数据的可能后果我们澄清，提供个人数据部分是法律（如税务法规）要求的，也可能是合同条款（如合同伙伴的信息）导致的。 有时可能有必要签订合同，要求数据主体向我们提供个人数据，这些数据随后必须由我们处理。例如，当我们学院与数据主体签订合同时，数据主体有义务向我们提供个人数据。不提供个人数据将导致无法与数据主体签订合同。 在数据主体提供个人数据之前，数据主体必须联系学院。学院向数据主体澄清提供个人数据是法律或合同要求的，还是签订合同所必需的，是否有义务提供个人数据以及不提供个人数据的后果。
16.自动决策的存在
作为一家负责任的组织，我们不使用自动决策或分析。本隐私政策由德国数据保护协会（German Association for Data Protection）的隐私政策制定机构制定，该机构与德国科隆WILDE BEUGER SOLMECKE律师事务所合作制定。