9. 資料當事人的權利
 

a) 確認權
 

每位資料當事人都有歐洲立法者賦予的權利，從控制者處獲取是否正在處理其個人資料的確認。若資料當事人希望行使此確認權，可隨時聯絡控制者的任何員工。
 

b) 查閱權利
 

每位資料當事人都有歐洲立法者賦予的權利，可隨時向控制者免費索取有關其個人儲存資料的資訊，以及該資訊的副本。此外，歐洲指令和法規賦予資料當事人存取以下資訊的權利：

• 處理的目的；

• 相關個人資料的類別；

• 個人資料已披露或將披露的接收者或接收者類別，尤其是第三國家或國際組織的接收者；

• 在可能的情況下，個人資料的預計儲存期限，或在不可能的情況下，用於確定該期限的標準；

• 是否有權要求控制者更正或刪除個人資料，或限制處理資料當事人的個人資料，或反對此類處理；

• 向監督機構提出申訴的權利；

• 若個人資料並非從資料當事人收集，有關資料來源的任何可用資訊；

• 是否存在 GDPR 第 22(1)和(4)條所述的自動化決策，包括側寫，以及至少在這些情況下，有關所涉及邏輯的有意義資訊，以及此類處理對資料當事人的重要性和預期後果。
   

此外，資料當事人應有權獲得個人資料是否被轉移到第三國家或國際組織的資訊。在這種情況下，資料當事人有權獲告知與轉移有關的適當保障措施。
 

如果資料當事人希望利用此存取權，可隨時聯絡控制者的任何員工。
 

c) 更正權
 

每位資料當事人均享有歐洲立法者賦予的權利，可在無不當延誤的情況下向控制者要求更正與其相關的不準確的個人資料。考慮到處理目的，資料當事人有權將不完整的個人資料補充完整，包括提供補充聲明。
 

如果資料當事人希望行使此項更正權利，可隨時聯絡控制方的任何員工。
 

d) 刪除權（被遺忘的權利）
 

每位資料當事人享有歐洲立法者所賦予的權利，可在無不當延誤的情況下，向控制者要求刪除與其相關的個人資料，且控制者有義務在下列理由之一適用的情況下，在無不當延誤的情況下刪除個人資料，只要該處理並非必要：

• 就收集或以其他方式處理個人資料的目的而言，該等個人資料已不再必要。

• 資料當事人根據 GDPR 第 6(1)條(a)項或 GDPR 第 9(2)條(a)項撤銷同意，且沒有其他合法理由進行處理。

• 資料當事人依據 GDPR 第 21(1)條反對處理，且沒有凌駕性的合法理由，或資料當事人依據 GDPR 第 21(2)條反對處理。

• 個人資料被非法處理。

• 個人資料必須刪除，以符合控制者所遵守的聯盟或會員國法律規定的法律義務。

• 個人資料的收集與提供 GDPR 第 8(1)條所述的資訊社會服務有關。
   

如果上述原因之一適用，且資料當事人希望要求刪除由 ecrop GmbH 儲存的個人資料，他或她可以在任何時間聯絡控制器的任何員工。ecrop GmbH 的員工應立即確保刪除要求立即得到滿足。
 

當控制者已公開個人資料，並依據第17(1)條有義務刪除個人資料時，控制者在考慮到可用技術和執行成本的情況下，應採取合理步驟，包括技術措施，通知其他處理個人資料的控制者，資料當事人已要求該等控制者刪除與該等個人資料的任何連結，或該等個人資料的副本或複製本，只要不需要處理該等個人資料。ecrop GmbH 的員工將在個別情況下安排必要的措施。
 

e) 限制處理的權利
 

每個資料當事人都有歐洲立法者賦予的權利，在下列情況下，向控制者要求限制處理：
 

• 資料當事人對個人資料的準確性提出異議，且控制者有權在一段時間內驗證個人資料的準確性。

• 處理不合法，且資料當事人反對刪除個人資料，並要求限制其使用。

• 控制者不再需要個人資料來達到處理目的，但資料當事人為了建立、行使或辯護法律申索而需要這些資料。

• 資料當事人根據 GDPR 第 21(1)條反對處理，以待確認控制者的合法理由是否凌駕於資料當事人的合法理由。

如果符合上述條件之一，且資料當事人希望要求限制處理 ecrop GmbH 儲存的個人資料，他或她可以在任何時間聯絡控制器的任何員工。ecrop GmbH 的員工將安排限制處理。
 

f) 資料攜帶權
 

每個資料當事人都有權利獲得歐洲立法者賦予的權利，以結構化、常用和機器可讀的格式接收提供給控制者的個人資料。只要是根據 GDPR 第 6(1)條(a)項或 GDPR 第 9(2)條(a)項之同意進行處理，當事人有權將這些資料傳輸至另一控制者，而不受提供個人資料之控制者的阻礙、 或依據 GDPR 第 6(1)條第(b)點的契約，且處理是以自動化方式進行，只要該處理並非為執行符合公共利益的任務或為行使賦予控制者的官方權力所必需。
 

此外，在根據 GDPR 第 20(1)條行使其資料可攜性權利時，資料當事人應有權在技術可行且不會對他人權利和自由造成不利影響的情況下，將個人資料直接從一個控制者傳送至另一個控制者。
 

為了維護資料傳輸的權利，資料當事人可隨時聯絡 ecrop GmbH 的任何員工。
 

g) 反對權
 

每位資料當事人都有歐洲立法者賦予的權利，以其特殊情況為由，隨時反對根據 GDPR 第 6(1)條(e)或(f)點對其個人資料的處理。這也適用於基於這些規定的個人資料側寫。
 

在反對的情況下，ecrop GmbH 將不再處理個人資料，除非我們能證明處理資料的強烈合法理由超越資料當事人的利益、權利和自由，或為了建立、行使或辯護法律索賠。
 

如果 ecrop GmbH 處理個人資料用於直接行銷目的，資料當事人有權利隨時反對處理其個人資料用於此類行銷。這適用於與此類直接營銷相關的個人資料蒐集。如果資料當事人向 ecrop GmbH 反對以直接行銷為目的的處理，ecrop GmbH 將不再為此目的處理個人資料。此外，資料當事人有權基於其特殊情況，反對 ecrop GmbH 基於科學或歷史研究目的，或基於 GDPR 第 89(1)條規定的統計目的，對其個人資料進行處理，除非該處理是基於公共利益而執行的必要任務。為了行使反對權，資料當事人可與 ecrop GmbH 的任何員工聯絡。
 

此外，資料當事人在使用資訊社會服務的情況下，儘管有2002/58/EC指令的規定，仍可自由使用技術規範的自動化方式行使其反對權。
 

h) 個人自動化決策，包括個人資料側寫
 

每位資料當事人都應享有歐洲立法者賦予的權利，只要該決策 (1) 不是為了簽訂或履行雙方之間的合同所必需，則不受僅基於自動化處理（包括側寫）的決策所限、 或履行資料當事人與資料控制者之間的合同所必需，或 (2) 未經控制者所遵守的聯盟或成員國法律授權，且該法律還規定了適當的措施以保障資料當事人的權利、自由和合法利益，或 (3) 不是基於資料當事人的明確同意。
 

如果決定 (1) 是為了訂立或履行資料當事人與資料控制者之間的合同，或 (2) 是基於資料當事人的明確同意，ecrop GmbH 應採取適當措施，以保障資料當事人的權利、自由和合法利益，至少有權獲得控制者的人工干預，以表達其觀點和對決定提出異議。
 

如果資料當事人希望行使有關自動化個人決策的權利，他或她可以在任何時間聯絡 ecrop GmbH 的任何員工。
 

i) 撤回資料保護同意的權利
 

每位資料當事人都有歐洲立法者賦予的權利，可隨時撤回對其個人資料處理的同意。
 

如果資料當事人希望行使撤回同意的權利，他或她可以在任何時間，聯繫ecrop GmbH的任何員工。
 

10. 申請和申請程序的資料保護
 

資料控制者應收集和處理申請人的個人資料，以便處理申請程序。該處理也可以通過電子方式進行。尤其是當申請人透過電子郵件或網站上的表格向控制者提交相應的申請文件時。如果資料控制者與申請人簽訂了僱傭合約，提交的資料將被儲存，以便按照法律要求處理僱傭關係。如果控制者未與申請人簽訂雇用合同，則申請文件將在通知拒絕決定兩個月後自動刪除，前提是控制者的其他合法利益不反對刪除。與此相關的其他合法利益包括，例如，根據《一般平等待遇法》（AGG）進行的程序中的舉證責任。
 

11. 處理的法律依據
 

Art. 6(1) lit. a GDPR 是我們為特定處理目的取得同意的處理作業的法律依據。如果個人資料的處理是為了履行資料當事人為一方的合約所必需，例如，當處理作業是為了供應商品或提供任何其他服務所必需時，則處理的法律依據為 GDPR 第 6(1) b 條。同樣的情況也適用於為執行合約前措施所必要的處理作業，例如有關我們產品或服務的詢問。如果我們公司有法律義務需要處理個人資料，例如為了履行稅務義務，則處理是基於 Art. 6(1) lit. c GDPR。在極少數情況下，個人資料的處理可能是為了保護資料當事人或其他自然人的重要利益。例如，如果一位訪客在我們公司受傷，而他的姓名、年齡、健康保險資料或其他重要資訊必須傳送給醫生、醫院或其他第三方。此時的處理將根據 Art. 6(1) lit. d GDPR。最後，處理作業可基於 GDPR 第 6(1) f 條。此法律依據適用於上述任何法律依據未涵蓋的處理作業，如果處理作業對於本公司或第三方追求的合法利益而言是必要的，除非此等利益被資料當事人的利益或基本權利和自由所凌駕，而資料當事人的利益或基本權利和自由要求保護個人資料。此類處理作業特別允許，因為歐洲立法者已特別提及。他認為，若資料當事人是控制者的客戶，則可假定有合法利益 (Recital 47 Sentence 2 GDPR)。
 

12. 控制者或第三方追求的合法利益
 

如果個人資料的處理是基於 GDPR 第 6(1) f 條，我們的合法利益是為了所有員工和股東的福祉而開展我們的業務。
 

13. 個人資料的儲存期限
 

決定個人資料儲存期限的標準是相關的法定保留期限。期限屆滿後，只要不再需要履行合約或開始履行合約，就會例行刪除相應資料。
 

14. 作為法定或合約要求提供個人資料；簽訂合約的必要要求；資料當事人提供個人資料的義務； 未提供此類資料的可能後果
 

我們闡明，提供個人資料部分是法律規定（如稅務法規），或也可能是合約規定的結果（如合約夥伴的資訊）。有時為了簽訂合約，資料當事人可能必須向我們提供個人資料，而我們隨後必須處理這些資料。例如，當我們公司與資料當事人簽訂合約時，資料當事人有義務向我們提供個人資料。不提供個人資料的後果是無法與資料當事人簽訂合約。在資料當事人提供個人資料之前，資料當事人必須聯絡任何一位員工。該員工會向資料當事人闡明提供個人資料是否為法律或合約所要求，或是否為簽訂合約所必需，是否有義務提供個人資料，以及不提供個人資料的後果。
 

15. 自動決策的存在
 

作為一家負責任的公司，我們不使用自動決策或側寫。
 

16. 資料保護的一般條款與條件
 

我們的資料保護條款與條件（其中包括所有五個版本的歐盟標準合約條款、英國國際資料傳輸協議、歐盟標準合約條款的英國附錄、受英國法律管轄的資料處理協議，以及供應商資料保護與保密協議）將自動成為與我們簽訂的所有協議的一部分。與我們簽訂任何其他協議，即表示您自動同意相關條款。詳細說明
 

1. 控制器與處理者之間的歐盟標準合約條款 2021/915：
 

如果您是我們位於歐盟/歐洲經濟區的廠商，代表我們處理個人資料，您為我們或與我們開展業務，即自動同意我們已公佈的標準合約條款 2021/915 的適用性。如果我們是您的處理者，我們所公佈的標準合約條款 2021/915 也將自動適用於您與我們之間。
 

2. 歐盟標準合約條款 2021/914 模組一： 控制方對控制方之間的轉移：
 

如果貴方是我方位於第三國的供應商，並從作為控制方的我方接收個人資料（受 GDPR、成員國法律或歐洲經濟區法律保護），且作為控制方行事，在為我方或與我方開展業務時，貴方自動同意已公佈的標準合同條款 2021/914 模組一的適用性。如果您作為控制者並將個人資料轉移給我們作為控制者，則同樣適用。
 

3. 歐盟標準合約條款 2021/914 模組二： 將控制者轉移至處理者：
 

如果您是我們位於第三國家的供應商，從我們接收個人資料 (受 GDPR、成員國法律或歐洲經濟區法律保護)，並以控制者 (Controller) 身分擔任處理者 (Processor)，您為我們或與我們進行業務往來，即自動同意適用已公佈的標準合約條款 2021/914 模組二。如果您作為控制者並將個人資料轉移給我們作為處理者，則同樣適用。
 

4. 歐盟標準合約條款 2021/914 模組三：處理者轉移至處理者：
 

如果您是我們的供應商，而我們擔任處理者 (例如，為子公司或第三方)，您位於第三國家，並接受個人資料的國際資料傳輸 (受 GDPR、成員國法律或歐洲經濟區法律保護)，因此您是 (次) 處理者，您為我們或與我們開展業務，即自動同意適用已公佈的標準合約條款 2021/914 模組三。如果您作為處理者，並將個人資料傳輸給作為 (Sub) 處理者的我們，則同樣適用。
 

5. 歐盟標準合約條款 2021/914 模組四：處理者轉移至控制者：
 

如果您是我們的供應商，而我們擔任處理者 (例如，為子公司或第三方)，您位於第三國家，並接受個人資料的國際資料傳輸 (受 GDPR、成員國法律或歐洲經濟區法律保護)，且您是控制者，您為我們或與我們開展業務，即自動同意已公佈的標準合約條款 2021/914 模組四的適用性。如果您作為處理者，並將個人資料傳輸給作為控制者的我們，則同樣適用。
 

6. 供應商保密和資料保護協議：
 

如果您是我們非處理器的供應商，或您從我們接收其他和非個人資料，透過為我們或與我們開展業務，您自動同意已公佈的供應商保密和資料保護協議的適用性。
 

7. 客戶保密和資料保護協議：
 

如果您是我們的客戶，且我們之間有資料交換，我們可能會以同意聲明的方式另行同意已公佈的《客戶保密和資料保護協議》。本保密協議僅在雙方另行聲明意向後生效。
 

8. 國際資料傳輸協議 (英國)
 

如果您是我們協議的一方，且我們轉移給您的個人資料屬於來自英國的個人，或我們的總部設在英國，而您本身的總部設在英國境外，並從我們接收個人資料（受英國 GDPR 或英國法律保護），則您為我們或與我們進行業務或交易，即自動同意已公佈的「國際資料轉移協議」的適用性。
 

9. 歐盟委員會「國際資料傳輸標準合約條款」之「國際資料傳輸附錄」（英國）
 

若閣下是我們的協議一方，而我們轉移給閣下的個人資料屬於以英國為基地的個人，或我們以英國為基地，而閣下本身以英國以外為基地，並從我們接收個人資料 (受英國 GDPR 或英國法律保護)，閣下為我們或與我們進行業務或交易，即自動同意已公佈的「歐盟委員會國際資料轉移標準合約條款的國際資料轉移附錄」的適用性。
 

10. 英國資料處理協議 如果貴方是與我方簽訂協議的一方，且我方和貴方的註冊辦事處均位於英國，且貴方代表我方處理個人資料（受英國 GDPR 或英國法律保護），則貴方為我方或與我方執行或開展業務時，即自動同意已公佈的「英國資料處理協議」的適用性。如果您作為控制者，並將個人資料轉移給我們作為處理者，則同樣適用。
 

我們的次處理者清單必須向我們另行索取。