数据隐私政策

1. 简介与适用范围

本数据隐私政策说明 Car Rental Paphos（运营网站 carpaphos.com，位于塞浦路斯帕福斯）如何收集、处理、存储并保护访客和客户提供的个人数据。本政策适用于所有浏览我们网站、提交预订咨询或通过我们的服务租车的个人。

我们依据《通用数据保护条例》(EU) 2016/679（GDPR）、《塞浦路斯个人数据保护法》（第125(I)/2018号法）以及塞浦路斯个人数据保护专员办公室发布的任何适用指引开展业务。使用我们的网站或服务，即表示您已知悉本政策中所述做法。

2. 数据控制者

负责您个人信息的数据控制者为 Car Rental Paphos，Paphos, Cyprus。有关隐私的任何咨询，您可通过 [email protected] 联系我们。

3. 我们收集的信息

根据您与我们服务的互动方式，我们会收集以下类别的个人数据：

3.1 身份与联系方式

姓名、电子邮箱、电话号码，以及家庭或账单地址。这些信息会在您提交预订请求、联系支持团队或注册促销信息时收集。

3.2 驾照与驾驶信息

驾照号码、签发国家、驾照到期日期和出生日期。我们收集这些信息是为了核实驾驶资格，并遵守塞浦路斯法律下的汽车租赁保险要求。

3.3 预订与交易数据

租车日期、所选车型类别、取车地点（如 Paphos International Airport、Coral Bay 或 Kato Paphos）、还车地点、可选附加服务（儿童座椅、GPS、保险升级）以及预订编号。

3.4 支付信息

我们不会在服务器上存储完整的银行卡信息。支付交易通过符合 PCI-DSS 标准的第三方支付处理机构安全完成。为便于对账和争议处理，我们可能保留部分交易参考信息（后四位、交易 ID）。

3.5 浏览与技术数据

IP 地址、浏览器类型及版本、操作系统、来源网址、访问页面、会话时长和设备标识符。当您访问 carpaphos.com 时，这些数据会通过服务器日志和分析工具自动收集。

3.6 位置数据

基于您的 IP 地址推断出的近似地理位置，可能用于预填取车地点或展示帕福斯地区相关租车优惠。未经您明确同意，我们不会收集精确到 GPS 级别的设备位置。

4. 我们如何使用您的数据

我们会基于 GDPR 第 6 条所规定的合法依据，将您的个人数据用于以下目的：

• 处理预订和租赁协议 - 合同必要性。我们使用您的姓名、联系方式、驾照信息和预订数据，以确认并履行您在帕福斯的租车预订。
• 客户支持与沟通 - 合同必要性和合法利益。我们使用您的联系方式回复咨询、发送预订确认，并在租车期间为您提供协助。
• 服务改进与分析 - 合法利益。汇总并匿名化的浏览数据有助于我们提升网站性能、优化预订流程，并改进车辆车队配置。
• 营销与促销沟通 - 同意。在您明确选择接收的情况下，我们可能向您发送季节性优惠、帕福斯旅行提示以及新车型信息。您可随时通过发送邮件至 [email protected] 撤回同意。
• 法律与监管合规 - 法定义务。为遵守塞浦路斯交通法规、保险义务、税务规定或合法执法请求，我们可能需要共享或保留某些数据。
• 欺诈预防与安全 - 合法利益。我们会分析技术数据，以识别可疑活动、防止未经授权的预订，并保护平台完整性。

5. 与第三方共享数据

我们不会向第三方出售或出租您的个人数据。仅在严格的数据处理协议约束下，我们才可能将数据共享给以下可信合作方：

• 支付处理机构 - 安全处理借记卡和信用卡交易。这些服务商均通过 PCI-DSS 认证，仅为支付授权而处理数据。
• 保险服务提供商 - 我们会与保险合作伙伴共享相关预订和驾驶员数据，以激活塞浦路斯道路交通法要求的碰撞损失豁免和第三方责任险保障。
• 预订平台集成服务商 - 我们的在线预订系统可能由第三方预订引擎提供支持，该引擎会代表我们处理您的姓名、联系方式和租车偏好。
• 分析与性能工具 - 匿名化的使用数据可能会与网站分析服务商共享，以帮助我们了解流量模式并改进服务。
• 法律与监管机构 - 在塞浦路斯法律、法院命令或监管机构要求下，包括塞浦路斯警察或税务机关，我们将披露个人数据。

所有第三方处理方均受合同约束，仅可按指定目的并依照 GDPR 要求处理您的数据。

6. 数据保留

我们仅在实现收集目的所需的期限内，或法律要求的期限内保留个人数据：

• 预订和租赁记录 - 自租车日期起保留 7 年，以符合塞浦路斯税务和会计义务。
• 驾照副本 - 在租车结束后保留 12 个月，然后安全删除。
• 客户支持往来记录 - 自最后一次联系之日起保留 3 年。
• 营销同意记录 - 在同意撤回前保留，撤回后再保留 12 个月用于审计。
• 技术与浏览日志 - 在滚动服务器日志中保留 90 天，然后自动清除。
• 支付交易参考信息 - 为财务记录保存 7 年。

7. 作为数据主体的权利

根据 GDPR 和塞浦路斯个人数据保护法，您对自己的个人数据享有以下权利：

• 访问权 - 您可随时请求获取我们持有的关于您的个人数据副本。
• 更正权 - 如果您的任何个人数据不准确或不完整，您可以要求我们更正。
• 删除权 - 在不存在继续处理的强制性法律理由、且不受我们法定保留义务约束的情况下，您可请求删除您的个人数据。
• 数据可携权 - 您可要求我们以结构化、机器可读的格式提供您的数据，或在技术可行的情况下直接转移给另一控制者。
• 反对权 - 您可反对基于合法利益或用于直接营销目的的处理。除非我们能够证明具有令人信服的合法理由，否则我们将停止处理。
• 限制处理权 - 在某些情况下，当争议尚未解决时，您可要求我们限制对您数据的使用方式。
• 撤回同意权 - 当处理基于同意（例如营销邮件）时，您可随时撤回同意，且不影响此前处理的合法性。

如需行使上述任何权利，请通过 [email protected] 联系我们。我们将在 30 天内回复。如果您对我们的回复不满意，您有权向塞浦路斯个人数据保护专员办公室提出投诉（www.dataprotection.gov.cy）。

8. 数据安全

我们采取适当的技术和组织措施，保护您的个人数据免遭未经授权的访问、意外丢失、篡改或泄露。这些措施包括：

• 对浏览器与 carpaphos.com 之间传输的所有数据进行 SSL/TLS 加密。
• 仅在“需要知晓”的基础上限制员工访问个人数据，并记录访问日志。
• 定期对我们的预订平台和第三方集成进行安全评估。
• 对已超过保留期限的数据执行安全删除流程。
• 对员工进行 GDPR 和塞浦路斯法律下的数据保护义务培训。

尽管我们已采取一切合理预防措施，但互联网传输方式并非绝对安全。若发生可能危及您权利和自由的个人数据泄露事件，我们将按照 GDPR 第 33-34 条的要求，在 72 小时内通知相关监管机构，并在不无故拖延的情况下通知受影响个人。

9. Cookie 与追踪技术

我们的网站使用 Cookie 和类似追踪技术，以提升功能、衡量性能并支持营销活动。Cookie 是存储在您设备上的小型文本文件。有关我们使用的 Cookie 类型、保留时长以及如何管理偏好的完整说明，请参阅我们的 Cookie 政策。

您可随时通过浏览器设置或本网站上的 Cookie 偏好工具撤回 Cookie 同意。请注意，禁用某些 Cookie 可能会影响预订系统的功能。

10. 国际数据传输

当我们的任何第三方服务提供商在欧洲经济区（EEA）之外处理数据时，我们会确保采取适当保障措施，例如经欧盟委员会批准的标准合同条款或充分性决定。未经适当保障措施，我们不会将个人数据传输至未提供充分数据保护水平的国家。

11. 政策更新

我们可能会不时更新本数据隐私政策，以反映我们的做法、法律义务或适用法规的变化。当我们作出重大变更时，会更新本页面底部的“最后修订”日期，并在适当情况下通过电子邮件或网站显著通知提醒您。建议您定期查看本政策。

在任何变更后继续使用我们的网站或服务，即表示您接受更新后的政策。

12. 隐私咨询联系方式

如您对本数据隐私政策或我们处理您个人数据的方式有任何问题、疑虑或请求，请联系我们：

• [email protected]
• Paphos, Paphos, Cyprus

最后修订：2025 年 6 月