隐私政策

i-ESG Inc.是负责您个人数据的数据控制者。 联系信息： i-ESG Inc. 地址：韩国首尔市龙山区汉江大路366号，双子城南山2办公楼8层823室 电话：+82-2-3211-4374 电子邮件：info@i-esg.io 如果您位于欧洲经济区(EEA)，如果您认为我们未遵守适用的数据保护法律，您有权向当地数据保护机构提出投诉。

我们通过多种方式收集信息： 账户信息 • 姓名和电子邮箱地址 • 公司名称和行业 • 密码（已加密） • 个人资料偏好和设置 报告数据 • ESG问卷回答 • 公司环境、社会和治理指标 • 上传的文档和图像 • 报告内容和自定义设置 使用信息 • 使用的功能和采取的操作 • 报告创建和编辑历史 • 会话持续时间和频率 • 浏览器类型和设备信息 付款信息 • 账单地址 • 付款方式（由Stripe处理；我们不存储完整的卡号） • 交易历史 技术信息 • IP地址 • 浏览器类型和版本 • 操作系统 • 来源URL • 访问的页面和停留时间

根据GDPR，我们基于以下法律依据处理您的个人数据： 合同必要性 • 处理您的账户信息以提供服务 • 生成和存储您的ESG报告 • 处理订阅付款 合法利益 • 改进和开发服务 • 分析使用模式以提升用户体验 • 防止欺诈并确保安全 • 发送与服务相关的通信 同意 • 营销通信（您可以随时选择退出） • Cookie和跟踪技术（在需要的地方） • 处理敏感数据类别 法律义务 • 遵守税务和会计要求 • 响应来自当局的合法请求 • 按照法律要求保存记录

我们将收集的信息用于： 服务交付 • 创建和管理您的账户 • 提供AI驱动的报告生成 • 启用报告编辑和自定义 • 生成PDF导出 • 创建可分享的报告链接 客户支持 • 响应咨询和请求 • 提供技术协助 • 发送服务更新和通知 服务改进 • 分析使用模式和趋势 • 开发新功能 • 修复错误并提升性能 • 训练和改进AI模型（仅使用匿名数据） AI模型训练退出选项 我们可能使用匿名化和聚合数据来改进我们的AI模型。如果您不希望您的数据用于AI模型训练，您可以通过info@i-esg.io联系我们，主题行注明"AI训练退出"。请注意，退出不会影响我们使用您的数据提供服务或本隐私政策中描述的其他目的。 安全与合规 • 防止未授权访问 • 检测和防止欺诈 • 遵守法律义务

我们与协助运营服务的可信第三方服务提供商共享数据： 身份验证 • Supabase Auth：管理用户身份验证和会话令牌 • 处理的数据：电子邮件、密码哈希、身份验证令牌 数据库和存储 • Amazon Web Services (AWS) RDS：在PostgreSQL数据库中存储应用程序数据 • Supabase Storage / AWS S3：存储上传的文件和生成的PDF • 处理的数据：所有账户和报告数据 付款处理 • Stripe：处理所有付款交易 • 处理的数据：付款方式、账单地址、交易详情 • Stripe隐私政策：https://stripe.com/privacy AI处理 • Dify AI：驱动报告生成和内容建议 • 处理的数据：问卷回答（用于报告生成处理） • Dify在处理后不保留数据 所有第三方提供商均受数据处理协议约束，并按照适用法律保护您的数据。

您的数据可能会被传输到您居住国以外的国家进行处理，包括可能没有同等数据保护法律的国家。 数据存储位置 • 主数据库：AWS数据中心（特定区域） • 身份验证：Supabase基础设施 • 文件存储：区域存储与CDN分发 传输保障措施 在进行国际数据传输时，我们实施适当的保障措施： • 欧盟委员会批准的标准合同条款(SCC) • 与所有服务提供商签订数据处理协议 • 技术措施，包括传输中和静态加密 • 对第三方提供商进行定期安全评估 对于从EEA到美国的传输，我们依赖标准合同条款，并确保我们的美国供应商保持适当的数据保护标准。

我们按以下期限保留您的数据： 账户数据 • 活跃账户：在账户活跃期间保留 • 账户关闭后：出于业务和法律目的保留3年 • 匿名数据可无限期保留用于分析 报告数据 • 活跃报告：在关联账户活跃期间保留 • 草稿报告：90天不活动后自动删除 • 导出的报告：在存储缓存中保留30天 付款记录 • 交易记录：出于税务和会计合规目的保留7年 • 付款方式详情：由Stripe存储，我们不保留 使用日志 • 服务器日志：90天 • 分析数据：26个月（已匿名化） 终止后 • 您可以在账户关闭后30天内导出数据 • 数据将在账户关闭后90天内永久删除 • 备份将在180天内清除

GDPR权利（EEA居民） • 访问权：请求您个人数据的副本 • 更正权：更正不准确或不完整的数据 • 删除权：请求删除您的个人数据（"被遗忘权"） • 限制权：限制我们处理您数据的方式 • 数据可携带权：以结构化、机器可读的格式接收您的数据 • 反对权：反对基于合法利益的处理 • 自动决策相关权利：不受完全基于自动处理的决定的约束 CCPA权利（加州居民） • 知情权：了解我们收集哪些个人信息以及如何使用 • 删除权：请求删除您的个人信息 • 选择退出权：选择退出个人信息的"出售"（我们不出售个人信息） • 非歧视权：行使权利时不受歧视 行使您的权利 要行使这些权利，请通过privacy@i-esg.io联系我们。我们将在30天（GDPR）或45天（CCPA）内回复您的请求。在处理您的请求之前，我们可能需要验证您的身份。

我们使用Cookie和类似技术来增强您的体验： 必要Cookie • 身份验证和会话管理 • 安全功能 • 负载均衡 这些Cookie是服务运行所必需的，无法禁用。 功能Cookie • 语言和地区偏好 • 用户界面自定义 • 记住登录状态 这些Cookie增强功能，但并非严格必要。 分析Cookie • 使用模式和功能采用 • 性能监控 • 错误跟踪 这些帮助我们改进服务。 管理Cookie 您可以通过以下方式控制Cookie： • 浏览器设置（阻止或删除Cookie） • 我们的Cookie同意横幅（如适用） • 选择退出分析（联系我们） 请注意，禁用某些Cookie可能会影响服务功能。

我们实施全面的安全措施来保护您的数据： 加密 • 使用TLS 1.3进行传输中数据加密 • 使用AES-256进行静态数据加密 • 使用行业标准算法进行密码哈希 访问控制 • 员工基于角色的访问 • 管理访问的多因素身份验证 • 定期访问审查和审计 基础设施安全 • 防火墙和入侵检测系统 • 定期安全评估和渗透测试 • DDoS保护 • 安全开发实践（OWASP指南） 监控 • 24/7系统监控 • 自动威胁检测 • 事件响应程序 • 员工定期安全培训 虽然我们实施了强大的安全措施，但没有系统是完全安全的。如果您发现安全漏洞，请报告至security@i-esg.io。

本服务不面向18岁以下的个人。我们不会故意收集18岁以下儿童的个人信息。 如果您是父母或监护人，并认为您的孩子向我们提供了个人信息，请通过privacy@i-esg.io联系我们。如果我们发现收集了18岁以下儿童的个人信息，我们将立即删除。 如果您未满18岁，请不要使用本服务或提供任何个人信息。

我们可能会定期更新本隐私政策，以反映我们的做法、技术、法律要求或其他因素的变化。 变更通知 我们将通过以下方式通知您重大变更： • 发送电子邮件通知至您的注册邮箱地址 • 在我们网站上发布醒目通知 • 在您下次登录时发送应用内通知 生效日期 变更在通知后30天生效，除非： • 法律立即要求 • 变更对您有利（立即生效） 您的选择 如果您不同意本隐私政策的变更，您可以在变更生效前关闭账户。在生效日期后继续使用本服务即表示接受更新后的隐私政策。 我们鼓励您定期审查本隐私政策。顶部的"最后更新"日期表示本政策最近一次修订的时间。

如果您对本隐私政策或我们的数据处理方式有疑问或顾虑，请联系我们： i-ESG Inc. 地址：韩国首尔市龙山区汉江大路366号，双子城南山2办公楼8层823室 电话：+82-2-3211-4374 电子邮件：info@i-esg.io 如需数据保护咨询、安全问题或数据访问请求，请通过上述电子邮件地址联系我们并注明相应的主题行。 我们的目标是在5个工作日内回复所有隐私咨询，并在适用法律要求的时间内处理数据访问请求（GDPR为30天，CCPA为45天，以及区域法律适用的期限）。

如发生可能对您的权利和自由造成风险的个人数据泄露，我们将： 通知监管机构 • 根据GDPR第33条的要求，在发现泄露后72小时内通知相关监管机构 • 提供有关泄露性质、受影响数据类别和所采取措施的详细信息 通知受影响个人 • 如果泄露可能对您的权利和自由造成高风险，我们将毫不延迟地通知您 • 通知将包括泄露描述、潜在后果以及您可以采取的自我保护措施 泄露响应措施 • 立即遏制和评估泄露 • 调查以确定原因和范围 • 实施预防未来发生的措施 • 为合规目的记录所采取的所有行动 您的角色 如果您怀疑您的账户被未经授权访问或认为您的数据已被泄露，请立即通过info@i-esg.io联系我们。

除GDPR和CCPA外，我们还遵守以下区域隐私法律： 韩国 - 个人信息保护法（PIPA） 如果您是大韩民国居民，您享有以下权利： • 知悉个人信息收集和使用情况的权利 • 同意或拒绝同意处理个人信息的权利 • 请求访问个人信息的权利 • 请求更正不准确个人信息的权利 • 请求暂停处理的权利 • 请求删除个人信息的权利 • 随时撤回同意的权利 日本 - 个人信息保护法（APPI） 如果您是日本居民，您享有以下权利： • 请求披露个人信息的权利 • 请求更正、添加或删除不准确信息的权利 • 请求停止使用或提供个人信息的权利 • 请求删除不当获取的个人信息的权利 中国 - 个人信息保护法（PIPL） 如果您是中华人民共和国居民，您享有以下权利： • 知悉和决定个人信息处理的权利 • 限制或拒绝处理个人信息的权利 • 请求访问和复制个人信息的权利 • 请求更正或补充个人信息的权利 • 请求删除个人信息的权利 • 请求解释个人信息处理规则的权利 • 撤回同意的权利 如需行使这些权利，请通过info@i-esg.io联系我们，主题行注明"区域隐私权利请求"并说明您的居住国家。