1. 引言

以下内容说明在使用

• 我们的网站cinemo.com 及其任何子域名（例如 automotive.cinemo.com、ecosystem.cinemo.com 或 careers.cinemo.com）
• 以及我们在社交媒体上的个人主页时，个人数据的收集情况。

个人数据是指能够关联到特定自然人的任何数据，例如姓名或 IP 地址。

1.1 联系方式

根据《欧盟通用数据保护条例》（GDPR）第 4 条第 7 款，控制者为 Cinemo GmbH，地址：Kaiserstraße 72, 76133 Karlsruhe, Germany，电子邮箱：[email protected]。我们由Richard Lesser（CEO）依法代表。我们的数据保护官可通过 [email protected] 联系。

1.2 数据处理范围、处理目的和法律依据

我们将在下文详细说明数据处理范围、处理目的和法律依据。原则上，以下法律依据适用于数据处理：

• GDPR 第 6 条第 1 款第 1 句 a 项适用于我们取得同意的处理活动；
• GDPR 第 6 条第 1 款第 1 句 b 项适用于履行合同所必需的个人数据处理，例如网站访问者从我们处购买产品或我们向其提供服务，也适用于合同前措施所必需的处理，例如有关我们产品或服务的询问；
• GDPR 第 6 条第 1 款第 1 句 c 项适用于我们因履行法律义务而处理个人数据的情形，例如税法方面；
• GDPR 第 6 条第 1 款第 1 句 f 项适用于我们可以基于合法利益处理个人数据的情形，例如网站技术运行所必需的 Cookie。

1.3 在欧洲经济区以外的数据处理

如果我们将数据传输给位于欧洲经济区以外的服务提供商或其他第三方，在存在欧盟委员会充分性认定的情况下，数据传输的安全性将由该等充分性认定予以保障（例如英国、加拿大和以色列）（GDPR 第 45 条第 3 款）。对于向美国服务提供商传输数据的情形，如果该服务提供商已根据欧盟—美国数据隐私框架完成认证，则数据传输的法律依据为欧盟委员会的充分性认定。在其他情况下（例如不存在充分性认定），除非我们另有说明，数据传输的法律依据通常为标准合同条款。标准合同条款是欧盟委员会通过的一套规则，并构成我们与相应第三方合同的一部分。根据 GDPR 第 46 条第 2 款 b 项，其确保数据传输的安全性。许多提供商还作出了超出标准合同条款的数据保护合同保证，例如有关数据加密的保证，或第三方在执法机关拟访问相关数据时通知数据主体的义务。

1.4 存储期限

除本隐私政策另有明确说明外，我们存储的数据将在其不再为预定目的所必需且不存在法定保存义务阻碍删除时予以删除。如果数据因其他合法且允许的目的仍需保留而未被删除，其处理将受到限制，即相关数据将被封锁且不再用于其他目的。例如，因商业法或税法原因必须保留的数据即属于此类。

1.5 数据主体的权利

数据主体就其个人数据享有以下权利：

• 访问权；
• 更正或删除权；
• 限制处理权；
• 反对处理权；
• 数据可携权；
• 以及随时撤回已作出同意的权利。

数据主体还享有就其个人数据处理向数据保护监管机构投诉的权利。数据保护监管机构的联系方式可通过 www.bfdi.bund.de/EN/Service/Anschriften/Laender/Laender-node.html 查询。

1.6 提供数据的义务

在业务关系或其他关系范围内，客户、潜在客户或第三方需要向我们提供为建立、履行和终止业务关系或其他关系所必需，或我们依法有义务收集的个人数据。若未提供该等数据，我们通常必须拒绝订立合同或提供服务，或将无法继续履行现有合同或其他关系。必填数据将被作相应标识。

1.7 个案中不进行自动化决策

原则上，我们不会使用 GDPR 第 22 条意义上的完全自动化决策程序来建立或履行业务关系或其他关系。如我们在个案中使用该等程序，并且法律要求告知，我们将另行通知。

1.8 联系我们

当您通过电子邮件或电话等方式联系我们时，我们会存储您向我们提供的数据（例如姓名和电子邮件地址），以便答复问题。处理的法律依据是我们的合法利益（GDPR 第 6 条第 1 款第1 句 f 项），即答复向我们提出的询问。我们将在存储不再必要后删除在此过程中产生的数据；如存在法定保存义务，则限制其处理。

1.9 客户调查

我们会不时开展客户调查，以更好地了解客户及其需求。在此过程中，我们会收集相应调查所要求的数据。更好地了解客户及其需求属于我们的合法利益，因此相关数据处理的法律依据为GDPR 第 6 条第 1 款第 1 句 f 项。我们将在调查结果完成评估后删除相关数据。

2. 新闻通讯

我们保留不时通过电子邮件或其他方式向已经使用过我们服务或购买过我们商品的客户告知我们优惠信息的权利，前提是其未对此提出反对。该项数据处理的法律依据为 GDPR 第 6 条第1 款第 1 句 f 项。我们的合法利益在于开展直接营销（GDPR 序言第 47 条）。客户可随时反对将其电子邮件地址用于广告目的，且不会因此产生额外费用，例如可通过每封电子邮件末尾的链接或向上述电子邮箱发送邮件提出反对。

感兴趣者可以订阅免费的新闻通讯。我们仅为发送新闻通讯而处理注册时提供的数据。订阅通过在我们网站上选择相应字段、在纸质文件中勾选相应字段或通过其他明确行为完成，由此感兴趣者声明同意处理其数据，因此法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。同意可随时撤回，例如点击新闻通讯中的相应链接，或通知上述电子邮箱。即使撤回同意，在撤回前进行的数据处理仍属合法。基于收件人的同意（GDPR 第 6 条第 1 款第 1 句 a 项），我们还会衡量新闻通讯的打开率和点击率，以了解哪些内容与我们的受众相关。

2.1 将 Brevo 用于新闻通讯和网站表单

Cinemo 使用 Brevo（原 Sendinblue）的服务发送新闻通讯，并处理我们网站上的联系和订阅表单。该服务由 Sendinblue GmbH 运营，地址为 Köpenicker Straße 126, 10179 Berlin, Germany。当您提交表单或订阅我们的新闻通讯时，您提供的信息（例如姓名、电子邮件地址、公司和留言）将被传输给 Brevo，并由其代表我们进行处理，用于管理订阅、发送电子邮件及处理您的请求。Brevo 根据 GDPR 第 28 条作为我们的处理者。该处理的法律依据为您根据 GDPR 第 6 条第 1 款 a 项作出的同意，或在适用情况下，我们根据 GDPR 第 6 条第 1 款 f 项在有效客户沟通和营销方面的合法利益。Brevo 仅在欧盟境内处理个人数据。有关 Brevo 数据处理的更多信息，请参见 Brevo 的隐私政策：https://www.brevo.com/legal/privacypolicy。

3. 我们网站上的数据处理

3.1 针对来自德国的网站访问者的说明

我们的网站会在网站访问者的终端设备中存储信息（例如 Cookie），或访问终端设备中已经存储的信息（例如 IP 地址）。具体涉及哪些信息，请参见以下章节。该等存储和访问基于以下规定：如果该等存储或访问对于向网站访问者提供其明确请求的网站服务绝对必要（例如执行网站访问者使用的聊天机器人，或确保我们网站的信息技术安全），则依据德国《电信数字服务数据保护法》（Telekommunikation-Digitale-Dienste-Datenschutzgesetz，“TDDDG”）第25 条第 2 款第 2 项进行；在其他情况下，该等存储或访问基于网站访问者的同意（TDDDG 第 25 条第 1 款）。后续数据处理按照以下章节并基于 GDPR 的规定进行。

3.2 我们网站的信息性使用

在信息性使用网站期间，即网站访问者未另行向我们传输信息时，我们会收集浏览器传输至我们服务器的个人数据，以确保我们网站的稳定性和安全性。这属于我们的合法利益，因此法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。

该等数据包括：

• IP 地址；
• 请求的日期和时间；
• 与格林尼治标准时间（GMT）的时区差；
• 请求内容（具体页面）；
• 访问状态/HTTP 状态码；
• 每次传输的数据量；
• 请求来源网站；
• 浏览器；
• 操作系统及其界面；
• 浏览器软件的语言和版本。

该等数据也存储于日志文件中，并将在不再需要存储时删除，最迟在 14 天后删除。

3.3 网站托管和网站提供

我们的网站由 Hetzner 托管。提供商为 Hetzner Online GmbH，地址：Industriestr. 25, 91710 Gunzenhausen, Germany。在此过程中，提供商会在欧盟境内处理通过网站传输的个人数据，例如内容数据、使用数据、元数据/通信数据或联系数据。更多信息请参见该提供商的隐私政策：https://www.hetzner.com/legal/privacy-policy/。提供网站属于我们的合法利益，因此上述数据处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。

我们的网站使用 Cloudflare 内容分发网络。提供商为 Cloudflare, Inc.，地址：101 Townsend St., San Francisco, CA 94107, USA。该提供商会在美国处理通过网站传输的个人数据，例如内容数据、使用数据、元数据/通信数据或联系数据。更多信息请参见该提供商的隐私政策：https://www.cloudflare.com/privacypolicy/。我们有合法利益使用充足的存储和交付能力，以确保即使在大型访问高峰期间也能实现最佳数据吞吐量。因此，上述数据处理的法律依据为GDPR 第 6 条第 1 款第 1 句 f 项。向欧洲经济区以外国家传输数据的法律依据为充分性认定。由于欧盟委员会已根据 GDPR 第 45 条第 3 款作出充分性认定，认为该第三国确保了充分的数据保护水平，因此传输至该第三国的数据安全性得到保障。

3.4 联系表单

当您通过我们网站上的联系表单与我们联系时，我们会存储表单中要求填写的数据以及消息内容。处理的法律依据是我们答复向我们提出的询问的合法利益，因此法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们将在存储不再必要后删除在此过程中产生的数据；如存在法定保存义务，则限制其处理。

3.5 空缺职位

我们会在我们的网站、链接至网站的页面或第三方网站上发布空缺职位。作为申请流程的一部分所提供数据的处理，是为了实施申请流程。若该等处理对于我们决定是否建立雇佣关系是必要的，其法律依据为 GDPR 第 88 条并结合德国《联邦数据保护法》（Bundesdatenschutzgesetz）第 26 条第 1 款。我们已相应标明实施申请流程所需的数据，或对其作出说明。如果申请人未提供该等数据，我们将无法处理其申请。其他数据为自愿提供，并非申请所必需。如果申请人提供其他信息，则其同意构成处理依据（GDPR 第 6 条第 1 款第 1 句 a 项）。

我们请申请人在简历和求职信中避免提供政治观点、宗教信仰以及类似敏感数据。该等信息并非申请所必需。如果申请人仍提供此类信息，我们无法阻止其在处理简历或求职信过程中被处理。该等处理亦基于申请人的同意（GDPR 第 9 条第 2 款 a 项）。此外，如果申请人已就将其数据用于进一步申请程序向我们作出同意，我们也会为进一步申请程序处理申请人数据；在此情况下，法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。

我们会将申请人数据传递给人力资源部门的负责员工、招聘领域的数据处理者以及其他参与申请流程的员工。如果我们在申请流程结束后与申请人建立雇佣关系，我们仅在雇佣关系结束后删除相关数据。否则，我们最迟将在拒绝申请人后六个月删除相关数据。如果申请人同意我们也将其数据用于进一步申请程序，我们将在收到申请一年后删除其数据。

3.6 预约安排

网站访问者可以在我们的网站上预约。为此，除访问者输入的数据外，我们还会处理元数据或通信数据。我们在为感兴趣者提供便捷的预约方式方面具有合法利益。因此，数据处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。如我们使用第三方工具进行预约安排，相关信息请参见“第三方”部分。

3.7 第三方

3.7.1 Friendly Captcha

我们使用 Friendly Captcha 管理身份验证。提供商为 Friendly Captcha GmbH，地址：Am Anger 3-5, 82237 Woerthsee, Germany。该提供商在欧盟境内处理使用数据（例如访问的网页、对内容的兴趣、访问时间）以及元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们具有确保网站稳定性和安全性并减少垃圾信息的合法利益。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://friendlycaptcha.com/privacy/。

3.7.2 Hotjar

我们使用 Hotjar 进行分析。提供商为 Hotjar Ltd.，地址：Dragonara Business Centre, 5th Floor, Dragonara Road, Paceville St Julian’s, STJ 3141, Malta。该提供商在欧盟境内处理使用数据（例如访问的网页、对内容的兴趣、访问时间）以及元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。该处理基于同意。数据主体可随时通过联系我们撤回同意，例如使用本隐私政策中提供的联系方式。撤回不影响撤回前处理的合法性。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://www.hotjar.com/legal/policies/privacy/。

3.7.3 WP Engine

我们使用 WP Engine 创建网站。提供商为 WP Engine，地址：Irongate House, 22-30 Duke’s Place, London, EC3A 7LP, United Kingdom。该提供商在欧盟境内处理元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们在建立和维护网站并由此对外展示自身方面具有合法利益。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://wpengine.com/legal/privacy/。

3.7.4 Cloudflare

我们使用 Cloudflare 提供应用安全服务。提供商为 Cloudflare, Inc.，地址：101 Townsend Street, San Francisco, CA 94107, USA。该提供商在美国处理内容数据（例如在线表单输入内容）以及元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们在通过防止恶意流量到达服务器来提高应用安全性方面具有合法利益。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。由于欧盟委员会已根据 GDPR 第 45 条第 3 款作出充分性认定，认为该第三国确保了充分的数据保护水平，因此传输至该第三国的数据安全性得到保障。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://www.cloudflare.com/en-gb/privacypolicy/。

3.7.5 Calendly

我们使用 Calendly 安排预约。提供商为 Calendly LLC，地址：BB&T Tower, 271 17th St NW, Atlanta, GA 30363, USA。该提供商在美国处理使用数据（例如访问的网页、对内容的兴趣、访问时间）、联系数据（例如电子邮件地址、电话号码）以及主数据（例如姓名、地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。该处理基于同意。数据主体可随时通过联系我们撤回同意，例如使用本隐私政策中提供的联系方式。撤回不影响撤回前处理的合法性。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。相关数据将在收集目的不再适用时删除。更多信息请参见该提供商的隐私政策：https://calendly.com/pages/privacy。

3.7.6 CookieYes

我们使用 CookieYes 管理同意。提供商为 CookieYes Limited，地址：3 Warren Yard Warren Park, Wolverton Mill, Milton Keynes, MK12 5NW, United Kingdom。该提供商在英国处理元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们在以简便方式管理网站访问者对 Cookie 的同意方面具有合法利益。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://www.cookieyes.com/privacy-policy/。

3.7.7 Google Analytics

我们使用 Google Analytics 进行分析。提供商为 Google LLC，地址：1600 Amphitheatre Parkway, Mountain View, CA 94043, USA。该提供商在美国处理使用数据（例如访问的网页、对内容的兴趣、访问时间）以及元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。该处理基于同意。数据主体可随时通过联系我们撤回同意，例如使用本隐私政策中提供的联系方式。撤回不影响撤回前处理的合法性。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://policies.google.com/privacy?hl=en-us。

3.7.8 Netlify

我们使用 Netlify 提供网站性能和云安全服务。提供商为 Netlify, Inc.，地址：44 Montgomery Street, Suite 300, San Francisco, California 94104, USA。该提供商在美国处理使用数据（例如访问的网页、对内容的兴趣、访问时间）以及元数据/通信数据（例如设备信息、IP 地址）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。我们在保持平台安全并防止攻击方面具有合法利益。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。相关数据将在收集目的不再适用且不存在保存义务时删除。更多信息请参见该提供商的隐私政策：https://www.netlify.com/privacy/。

3.7.9 Google Tag Manager

我们使用 Google Tag Manager 进行分析和广告投放。提供商为 Google Ireland Limited，地址：Gordon House, Barrow Street, Dublin 4, Ireland。该提供商在美国处理使用数据（例如访问的网页、对内容的兴趣、访问时间）。处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 a 项。该处理基于同意。数据主体可随时通过联系我们撤回同意，例如使用本隐私政策中提供的联系方式。撤回不影响撤回前处理的合法性。向欧洲经济区以外国家传输个人数据的法律依据为充分性认定。相关数据将在收集目的不再适用时删除。更多信息请参见该提供商的隐私政策：https://policies.google.com/privacy?hl=en-us。

3.7.10 Sanity

Cinemo 使用 Sanity 的服务管理和交付其网站内容。该服务由 Sanity AS 运营，地址：Skippergata 22, 0154 Oslo, Norway。当用户与我们的网站互动时，所提供的信息（例如文本、图像及其他内容）以及使用和技术数据（例如 IP 地址、登录活动和诊断数据）由 Sanity 在欧洲经济区内处理。Sanity 根据 GDPR 第 28 条作为我们的处理者。该处理的法律依据为我们根据 GDPR 第 6 条第 1 款 f 项在高效管理和交付网站内容方面的合法利益。Sanity 可能基于 GDPR 第 46 条项下的欧盟标准合同条款，将数据传输给位于欧洲经济区以外的分处理者。有关 Sanity 数据处理的更多信息，请参见 Sanity 的隐私政策：https://www.sanity.io/legal/privacy。

3.8 支付处理和结账（Stripe）

当您通过我们的网站或合作伙伴门户购买产品时，支付处理由 Stripe Payments Europe, Ltd. 及其关联公司（“Stripe”）执行。根据所选择的支付方式，Stripe 会处理与支付相关的个人数据，例如姓名、账单地址、支付方式详情、交易金额、交易日期和时间以及技术标识符（例如交易 ID）。Cinemo GmbH 不处理或存储完整的支付卡详情。此类数据仅由 Stripe 在其自身责任下处理。该处理的法律依据为 GDPR 第 6 条第 1 款第 1 句 b 项（履行合同），因为该处理对于完成购买交易是必要的。Stripe 作为独立控制者进行支付处理。有关 Stripe 数据处理的更多信息，请参见 Stripe 的隐私政策。

4. 社交媒体平台上的数据处理

我们在社交媒体网络上设有账号，以在这些平台上介绍我们的组织和服务。该等网络的运营者通常会出于广告目的处理其用户的数据。其中包括根据用户的在线行为创建用户画像，用于在网络页面及互联网其他位置展示与用户兴趣相匹配的广告。为此，网络运营者会在用户计算机上的 Cookie 中存储有关用户行为的信息。此外，不能排除运营者将该等信息与其他数据合并的可能性。用户可在下列相应运营者的数据保护声明中获取更多信息以及关于如何反对处理的说明。运营者或其服务器也可能位于非欧盟国家，因此其可能在当地处理数据。这可能给用户带来风险，例如更难行使权利，或政府机关访问数据的风险。如果网络用户通过我们的个人主页联系我们，我们会处理其向我们提供的数据，以便答复询问。这属于我们的合法利益，因此法律依据为 GDPR 第 6 条第 1 款第 1 句 f 项。

4.1 Facebook

我们在 Facebook 上设有个人主页。运营者为 Meta Platforms Ireland Ltd.，地址：4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland。隐私政策见：www.facebook.com/policy.php。可通过广告设置反对数据处理：www.facebook.com/settings?tab=ads。我们与 Facebook 根据 GDPR 第 26 条意义上的协议，就访问我们主页的访客数据处理共同作为控制者。Facebook 在www.facebook.com/legal/terms/information_about_page_insights_data 中详细说明了所处理的数据。数据主体既可向我们也可向 Facebook 行使其权利。然而，根据我们与 Facebook 的协议，我们有义务将请求转交给 Facebook。因此，如果数据主体直接联系 Facebook，将会更快收到回复。

4.2 Instagram

我们在 Instagram 上设有个人主页。运营者为 Meta Platforms Ireland Ltd.，地址：4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Ireland。隐私政策见：https://help.instagram.com/519522125107875。

4.3 TikTok

我们在 TikTok 上设有个人主页。运营者为 TikTok Technology Limited，注册地址为 10 Earlsfort Terrace, Dublin, D02 T380, Ireland。隐私政策见：https://www.tiktok.com/de/privacy-policy。

4.4 YouTube

我们在 YouTube 上设有个人主页。运营者为 Google Ireland Limited，地址：Gordon House, Barrow Street, Dublin 4, Ireland。隐私政策见：https://policies.google.com/privacy?hl=en-us。

4.5 X（原 Twitter）

我们在 X（原 Twitter）上设有个人主页。运营者为 Twitter Inc.，地址：1355 Market Street, Suite 900, San Francisco, CA 94103, USA。隐私政策见：https://twitter.com/de/privacy。可通过广告设置反对数据处理：https://x.com/en/privacy。

4.6 LinkedIn

我们在 LinkedIn 上设有个人主页。运营者为 LinkedIn Ireland Unlimited Company，地址：Wilton Place, Dublin 2, Ireland。隐私政策见：https://www.linkedin.com/legal/privacy/eu?src=li-other&veh=www.linkedin.com。可通过广告设置反对数据处理：https://www.linkedin.com/psettings/guest-controls/retargeting-opt-out。

4.7 Xing

我们在 Xing 上设有个人主页。运营者为 XING AG，地址：Dammtorstraße 29-32, 20354 Hamburg。隐私政策见：https://privacy.xing.com/en/privacy-policy。

5. 本隐私政策的变更

我们保留在未来对本隐私政策进行变更的权利。当前版本始终可在此处获取。

6. 问题和意见

如您对本隐私政策有任何问题或意见，欢迎使用上述联系方式与我们联系。

 

附录：中国大陆访问者个人信息保护补充条

本补充条款适用于位于中华人民共和国大陆地区（为本补充条款之目的，不包括香港特别行政区、澳门特别行政区及台湾地区，以下简称“中国大陆”）并因访问本网站、提交联系表单、订阅新闻通讯、预约会议、申请职位、进行业务沟通或使用合作伙伴门户等方式，与 Cinemo GmbH 发生联系的自然人。Cinemo 主要面向企业及其他机构客户提供产品和服务；本网站并非以向中国大陆自然人提供产品或服务为目的，亦非为分析、评估中国大陆访问者的行为而设置或运营。本补充条款旨在就中国大陆访问者可能因访问或使用本网站而产生的个人信息处理活动，对本隐私政策作出补充说明。如本补充条款与本隐私政策其他部分存在不一致，就中国大陆访问者相关个人信息处理活动而言，以本补充条款为准。

鉴于本网站、后台系统及本隐私政策所列受托处理的第三方服务提供商均位于中国大陆境外，中国大陆访问者通过本网站产生或主动提交的个人信息，通常将在收集时即被直接传输至中国大陆境外，并由位于中国大陆境外的服务器、系统或服务提供商存储、访问、使用或处理。本补充条款所称“个人信息跨境提供”，包括上述直接出境、境外访问、境外存储、境外使用、境外委托处理以及由境外第三方提供相关技术或业务服务等情形。

1. 个人信息处理者及联系方式

就本补充条款项下的个人信息处理活动，个人信息处理者为 Cinemo GmbH，地址：Kaiserstraße 72, 76133 Karlsruhe, Germany，联系邮箱：[email protected]。您也可以通过 [email protected] 联系我们的数据保护联系人。我们将通过上述联系方式接收并处理中国大陆个人信息主体提出的查阅、复制、更正、补充、删除、撤回同意、限制或拒绝处理、解释说明以及投诉等请求。

2. 我们处理的个人信息类型、目的、方式及法律依据

处理场景	个人信息类型	处理目的及方式	中国法下的处理依据	保存期限
浏览网站	IP 地址、浏览器信息、操作系统、访问时间、访问页面、HTTP 状态码、日志信息及设备相关信息。	通过自动收集、存储、分析和安全监测方式，保障网站正常运行、稳定性、网络安全及故障排查。	鉴于网站及相关服务系统位于中国大陆境外，该等数据通常将在访问过程中直接出境。相关处理主要基于提供网站基础功能、保障网络安全及维持系统稳定运行之必要；涉及非必要 Cookie、分析或营销工具的，则将在适用法律要求时基于您的同意进行。	网站日志原则上不超过 14 天，法律法规另有要求或安全事件调查所必需的除外。
联系表单、电子邮件或电话联系	姓名、电子邮件地址、电话号码、公司名称、职位、询问内容及通信记录。	用于接收、处理和回复您的询问、业务沟通、客户支持或后续联系。	为订立或履行合同所必需，或基于您的同意。	保存至沟通目的实现后删除；如涉及合同、争议、税务或合规留存，则按必要期限保存。
新闻通讯及营销	电子邮件地址、姓名、公司、订阅状态、打开率、点击率及偏好信息。	用于发送新闻通讯、产品或服务信息，并分析营销内容的有效性。	原则上基于您的同意；涉及个性化推荐或营销分析的，应提供拒绝或退出方式。	保存至您取消订阅或撤回同意后删除或匿名化处理。
预约安排	姓名、公司、职位、电子邮件地址、电话号码、预约时间、会议主题及通信元数据。	用于安排、管理、确认或变更预约及会议。	为订立或履行合同所必需，或基于您的同意。	保存至预约目的实现后删除；如形成业务关系，则按业务关系所需期限保存。
招聘及职位申请	姓名、联系方式、简历、求职信、教育经历、工作经历、技能、资质、面试记录及申请材料中自愿提供的信息。	用于评估申请资格、安排面试、作出录用决定及人才库管理。	为订立劳动合同或开展招聘所必需；用于未来职位匹配或人才库保留的，应基于您的同意。	未录用申请人原则上不超过 6 个月；经同意进入人才库的，可保存至同意期限届满或同意撤回。
支付和订单处理	姓名、账单地址、交易金额、交易时间、支付方式相关信息及交易标识符。	用于完成购买、付款、退款、账务处理及交易安全。	为订立或履行合同所必需，或为履行法定义务所必需。	根据商业、税务、会计及争议处理所需的最短必要期限保存。

3. 关于“合法利益”表述的中国法说明

本隐私政策中提及的 GDPR 项下“合法利益”，并不当然构成中国大陆个人信息保护法律项下的独立处理依据。鉴于Cinemo 主要面向企业及其他机构客户提供产品和服务，且本网站并非以向中国大陆自然人提供产品或服务为目的，也并非为分析、评估中国大陆访问者行为而设置或运营，对于中国大陆访问者相关个人信息处理活动，应首先结合具体场景判断《中华人民共和国个人信息保护法》是否适用及其适用范围。如中国大陆访问者因主动联系、订阅新闻通讯、预约会议、申请职位、使用合作伙伴门户或其他互动而产生个人信息处理活动，我们将根据具体场景适用取得个人同意、为订立或履行个人作为一方当事人的合同所必需、为履行法定义务所必需，或法律、行政法规规定的其他处理依据。对于无法适用上述法定依据的处理活动，我们将依法取得您的同意；对于法律要求取得单独同意的事项，包括个人信息跨境提供、向其他个人信息处理者提供个人信息、处理敏感个人信息等，我们将依法另行取得您的单独同意。

4. 第三方处理、委托处理及个人信息提供

我们可能会委托位于中国大陆境外的第三方服务提供商处理个人信息，或在必要时向位于中国大陆境外的其他个人信息处理者提供个人信息。相关第三方服务提供商可能包括网站托管、内容分发、安全防护、表单处理、新闻通讯、预约安排、分析工具、支付处理及社交媒体平台服务提供商，例如 Hetzner、Cloudflare、Brevo、Friendly Captcha、Hotjar、WP Engine、Calendly、CookieYes、Google Analytics、Netlify、Google Tag Manager、Sanity、Stripe、Meta、Google、TikTok、X、LinkedIn 和 Xing。由于上述服务提供商及相关系统均位于中国大陆境外，中国大陆访问者相关个人信息一经通过本网站提交或因访问本网站而自动产生，即可能由境外系统或境外服务提供商直接接收、访问、存储、使用或处理。对于受托处理者，我们将与其约定委托处理目的、期限、方式、个人信息种类、保护措施以及双方权利义务，并对其处理活动进行监督。对于向其他个人信息处理者提供个人信息的情形，我们将在提供前依法告知接收方名称或姓名、联系方式、处理目的、处理方式和个人信息种类，并在适用时取得您的单独同意。

5. 个人信息跨境提供

由于 Cinemo GmbH、本网站服务器、后台系统以及本隐私政策所列受托处理的第三方服务提供商均位于中国大陆境外，中国大陆访问者通过本网站产生或主动提交的个人信息均默认直接传输至中国大陆境外，或由中国大陆境外的机构、组织或个人访问、查询、调取、下载、存储、使用或处理。该等个人信息跨境提供可能涉及德国、欧洲经济区其他成员国、英国、美国、挪威、爱尔兰以及相关第三方服务提供商所在的其他国家或地区。在发生或持续发生该等个人信息跨境提供时，如适用中国大陆个人信息保护法律，我们将依法向您告知境外接收方的名称或姓名、联系方式、处理目的、处理方式、个人信息种类，以及您向境外接收方行使个人信息权利的方式和程序，并在法律要求时取得您的单独同意。

我们将根据适用法律法规评估个人信息跨境提供的合规路径。鉴于 Cinemo 主要面向企业及其他机构客户提供产品和服务，且本网站并非以向中国大陆自然人提供产品或服务为目的，亦非为分析、评估中国大陆访问者行为而运营，如相关个人信息处理活动不属于《中华人民共和国个人信息保护法》第三条规定的适用情形，则中国大陆个人信息出境相关前置程序可能不适用。若具体互动场景导致《中华人民共和国个人信息保护法》适用，且相关个人信息出境活动不适用法定豁免情形，我们将根据适用法律选择通过国家网信部门组织的安全评估、取得个人信息保护认证、与境外接收方订立个人信息出境标准合同并履行备案手续，或适用法律法规规定的其他合规路径或豁免情形。无论是否需要履行安全评估、标准合同或认证等前置程序，对于适用中国大陆个人信息保护法律的个人信息出境活动，我们均将依法履行告知、在必要时取得单独同意、开展个人信息保护影响评估，并采取必要的安全保护措施。

6. 敏感个人信息

在通常的网站浏览和业务沟通场景下，我们原则上不会主动要求您提供敏感个人信息。但在招聘、支付、身份核验、账户安全、投诉处理，或您主动提交相关材料的场景中，可能涉及身份证件信息、金融账户相关信息、交易信息、行踪轨迹、健康信息、照片、特定身份信息或不满十四周岁未成年人的个人信息等敏感个人信息。我们仅将在具有特定目的和充分必要性的情况下处理敏感个人信息，并将采取加密、访问控制、权限管理、日志审计、最小化处理等保护措施。法律要求取得单独同意或书面同意的，我们将在处理前取得您的单独同意或书面同意，并告知处理敏感个人信息的必要性以及对您个人权益的影响。

7. Cookie、同类技术、分析与营销工具

我们可能使用 Cookie、像素标签、脚本、SDK 或其他同类技术，以实现网站基础功能、安全防护、负载均衡、统计分析、内容优化和营销推广。鉴于 Cinemo 主要面向企业及其他机构客户提供产品和服务，本网站并非以分析、评估中国大陆访问者行为为目的而设置或运营。对于实现网站基本功能和安全运行所必需的 Cookie，我们将在最小必要范围内使用；对于统计分析、广告营销、跨站跟踪或个性化推荐等非必要 Cookie 或同类技术，如其适用于中国大陆访问者并构成中国大陆法律项下需要同意的处理活动，我们将在法律要求时取得您的同意，并提供拒绝、关闭或撤回同意的便捷方式。您可以通过 Cookie 管理工具、浏览器设置或本隐私政策列明的联系方式管理相关偏好。

8. 自动化决策和个性化推荐

我们不会以分析、评估中国大陆访问者行为为目的，对中国大陆访问者进行用户画像、自动化决策或个性化推荐。如未来我们利用中国大陆访问者个人信息进行自动化决策、用户画像、个性化推荐或商业营销，且该等活动适用中国大陆个人信息保护法律，我们将依法确保相关处理透明、公平、公正，不会在交易价格等交易条件上对您实施不合理差别待遇。通过自动化决策方式向您进行信息推送或商业营销的，我们将同时提供不针对您个人特征的选项，或向您提供便捷的拒绝方式。对于通过自动化决策作出的对您个人权益有重大影响的决定，您有权要求我们作出说明，并有权拒绝我们仅通过自动化决策方式作出决定。

9. 您在中国大陆法律项下的个人信息权利

在适用法律规定的范围内，您对您的个人信息享有知情权、决定权、查阅权、复制权、更正权、补充权、删除权、撤回同意权、限制或拒绝处理权、解释说明权，以及在符合法定条件时请求转移个人信息的权利。您可以通过[email protected] 或 [email protected] 向我们提出相关请求。为保护您的个人信息安全，我们可能需要对您的身份进行核验。我们将在法律规定的期限内处理您的请求；如我们拒绝您的请求，将向您说明理由。您还可以依法向履行个人信息保护职责的部门投诉或举报。

10. 未成年人个人信息

我们的网站、产品和服务原则上并非面向不满十四周岁的未成年人。如果我们知悉正在处理不满十四周岁未成年人的个人信息，我们将按照中国大陆适用法律要求取得其父母或其他监护人的同意，并制定专门的个人信息处理规则。若监护人认为未成年人向我们提供了个人信息，可通过本补充条款列明的联系方式与我们联系；我们将在完成必要核验后依法处理。

11. 个人信息安全事件

如发生或可能发生个人信息泄露、篡改、丢失等安全事件，我们将立即采取补救措施，并按照适用法律法规要求及时向履行个人信息保护职责的部门报告，并向受影响个人告知事件类型、原因、可能造成的危害、我们已采取或将采取的补救措施、个人可采取的防范措施以及联系方式。若我们采取措施能够有效避免信息泄露、篡改、丢失造成危害的，在适用法律允许的范围内，我们可以不逐一通知个人；但监管部门认为应当通知的除外。