隱私權政策

1. 資料控制者身分與隱私長聯絡管道

CAISG 作為透過我們網站、學習管理系統 (LMS) 及認證服務所收集個人資料之「資料控制者 (Data Controller)」。我們建立了嚴謹的資料治理規範，以保障學員與企業機構之資訊安全。

有關資料保護、法定存取請求或隱私實務之任何疑問，請聯繫我們的資料保護長：[email protected]。我們承諾於三十 (30) 個日曆天內回覆經核實之法定隱私查詢。

2. 收集之個人資料類別與處理方式

我們僅收集與處理提供教育服務、執行付款、管理帳號及驗證專業證書所必需的最低限度個人資料：

• 帳號註冊資料：法定全名、公務電子郵件地址、所屬公司或機構名稱，以及職稱。
• 帳務與財務詮釋資料：帳單地址、交易參考編號、交易幣別 ($ USD) 及付款授權狀態。付款處理全權由 Stripe, Inc. 安全執行；CAISG 絕不會儲存或處理原始信用卡號碼 (PAN) 或卡片驗證碼 (CVV)。
• 教育與學習歷程數據：模組進度、互動簡報閱讀時間戳記、隨堂測驗成績、期末大考提交數據、監考防作弊事件及官方結業證書查驗紀錄。
• 技術與營運日誌：網際網路協定位址 (IP)、瀏覽器 User-Agent 字串、裝置作業系統、參照連結 (Referrer) 及操作 Session 時間戳記。

3. GDPR（第 6 條）之合法處理依據

合約履行之必要性 (第 6(1)(b) 條)：處理資料乃為履行與您簽訂之服務合約所必需——包含開通 LMS 系統存取權限、處理報名付款及頒發所取得之結業證書。

正當利益 (第 6(1)(f) 條)：處理資料乃為維護平台資訊安全、防止未經授權之憑證共用、偵測欺詐性交易及保護我們的系統基礎架構所必需。

法律義務 (第 6(1)(c) 條)：處理資料乃為遵循商業會計、企業稅務申報及法定監管要求所必需。

明確同意 (第 6(1)(a) 條)：當您為直接客服諮詢或自願提供回饋而提供明確肯定同意時。

4. 第三方支付處理與 Stripe PCI-DSS 標準

付款處理服務直接由我們的第三方支付基礎架構合作夥伴 Stripe, Inc. 執行。Stripe 獲得 PCI-DSS Level 1 服務供應商認證——此為支付產業最高安全等級標準。

所有信用卡資料均於傳輸過程中採用傳輸層安全協議 (TLS 1.3) 加密，並直接傳送至 Stripe 的安全權杖保存庫。CAISG 伺服器絕不會擷取、儲存或傳輸原始信用卡資料。

5. Cookies、本機儲存與營運 Session 遙測

我們僅使用絕對必要的原創 (First-Party) Session Cookies 及瀏覽器本機儲存 Token，以維護經身分驗證的使用者 Session 及保存課程進度。

6. 子處理者、服務供應商與國際資料傳輸

我們絕不出售、出租、變現或交易您的個人資料。我們僅向協助營運基礎架構之經審查技術子處理者（處理付款之 Stripe、加密資料庫託管之 MongoDB Atlas、資安與 CDN 之 Cloudflare）披露必要資訊。

國際資料傳輸：跨境傳輸之個人資料均受到歐盟委員會標準契約條款 (SCCs) 及嚴格技術加密措施之完備保護。

7. 資料保存期限與帳號終止處置

只要您的帳號保持啟用狀態，或為提供學習存取權及維護您官方結業證書之永久查驗紀錄所需，我們將持續保存個人資料。

交易與財務紀錄依國際企業稅務、財務審計及反洗錢法規之法定要求保存七 (7) 年。

在收到經核實之帳號刪除請求後，個人學習紀錄將於三十 (30) 天內被永久清除或不可逆去識別化，惟受強制性法定法律保留要求者除外。

8. 歐盟與英國法定隱私權益 (GDPR)

若您位於歐盟或英國境內，您依據 GDPR 第 15 條至第 22 條享有下列法定權利：

• 存取權 (第 15 條)：確認資料處理狀態並獲取您的個人資料副本。
• 更正權 (第 16 條)：要求立即更正不準確或不完整的個人紀錄。
• 刪除權 / 被遺忘權 (第 17 條)：要求永久刪除個人資料，惟受法定保存義務約束者除外。
• 限制處理權 (第 18 條)：在特定法定條件下要求限制資料處理。
• 資料可攜權 (第 20 條)：以結構化、通用且機器可讀之格式獲取您的個人資料。
• 反對權 (第 21 條)：基於正當利益反對進行特定資料處理。

向監管機關申訴：若您認為我們的資料處理違反適用法律，您有權向您所在國家的資料保護監管機關提出正式申訴。

9. 加州消費者隱私權 (CCPA / CPRA 聲明)

加州居民依據加州消費者隱私法 (CCPA) 及加州隱私權法 (CPRA) 享有特定權益：

• 知情權：要求披露過去 12 個月內所收集之個人資訊類別與具體項目。
• 刪除權：要求刪除所收集之個人資訊，惟受法定商業例外情況約束者除外。
• 不出售或共享：CAISG 絕不出售個人資訊，亦不為跨情境行為廣告共享個人資訊。
• 不受歧視權：我們絕不會因您行使法定隱私權而拒絕提供服務、收取不同價格或降低服務品質。

加州 Shine the Light 法律：CAISG 絕不向第三方披露個人資料以供其直接行銷目的使用。

10. 資訊安全防護、未成年人保護與政策修訂

技術資安措施：CAISG 實施最先進的安全防護機制，包括傳輸層 TLS 1.3 加密、靜態儲存 AES-256 加密、管理權限多因素驗證及自動化漏洞掃描。

未成年人保護 (COPPA)：我們的服務對象嚴格限於企業專業人士與成年學員 (18+)。我們不會蓄意收集 18 歲以下個人的資料。

政策修訂：我們可能會定期更新本隱私權政策，以反映技術或法規變化。更新之政策一經發布並載明最新「最後更新日期」即刻生效。