本政策说明您访问 baobabsim.com 或购买 eSIM 时，我们会收集哪些个人数据、如何使用和保护这些数据、使用哪些 Cookie，以及您可以向我们提出哪些要求。我们是一家波兰公司，因此依据欧盟《通用数据保护条例》（GDPR）处理个人数据。第 9 节还说明了您依据摩洛哥、埃及和南非的数据保护法律享有的权利。
1. 我们是谁
baobabsim.com 由 LuKas Holdings sp. z o.o. 运营，地址为 ul. Stefana Batorego 18/108, 02-591 Warsaw, Poland，KRS 0001233010，NIP 7011306806（以下称“BaobabSIM”或“我们”）。我们是本政策所述个人数据的控制者。
如有任何关于个人数据的问题、请求或投诉，请写信至 contact@baobabsim.com。
2. 我们收集哪些数据
当您访问 baobabsim.com 时
- 您的浏览器在每次请求时都会发送技术数据：IP 地址、浏览器和设备类型、所请求的页面以及来源页面。我们的内容分发网络 Cloudflare 使用这些数据来传送页面，并保护网站免受攻击。我们自己的网页服务器不保存访问日志。
当您接受分析 Cookie 时
- 您浏览的页面、来源网站和推广活动参数、您选择的套餐以及您开始结账的时间、您的浏览器和设备类型、根据您的 IP 地址推断出的大致位置，以及保存在 Cookie 中的随机访客 ID。如果您关闭分析功能，我们不会为此目的收集任何数据；您浏览器发出的 Global Privacy Control（全球隐私控制）信号将被视为拒绝。
当您接受营销 Cookie 时
- Meta Pixel 会在您的浏览器中加载，并与我们的服务器（Meta 的 Conversions API）一起，告知 Meta Platforms Ireland Limited 您浏览了哪些页面、选择了哪些套餐以及何时开始结账，同时发送您的 IP 地址、浏览器和设备类型、第 8 节所列的 Meta Cookie，以及您通过 Facebook 或 Instagram 广告访问本站时的广告点击 ID。
- 您购买时，我们的服务器会向 Meta 报告该笔购买：套餐、价格、币种和订单号，其中您的电子邮件地址和账单国家仅以单向哈希值（SHA-256）的形式发送，另附您开始结账时记录的 Meta Cookie、IP 地址和浏览器信息。
- Meta 使用这些数据来衡量和改进我们在 Facebook 和 Instagram 上的广告；如果您拥有 Meta 账户，Meta 可能会将这些数据与该账户关联。如果您关闭营销功能，我们不会向 Meta 发送任何数据；您浏览器发出的 Global Privacy Control（全球隐私控制）信号将被视为拒绝。显示您 eSIM 的订单页面从不加载该像素。
当您购买 eSIM 时
- 您在 Stripe 付款页面输入的信息：电子邮件地址、持卡人姓名、账单国家，以及部分银行卡所需的邮政编码。卡号由 Stripe 处理，绝不会传送给我们。
- 订单数据：套餐、价格、币种、语言、购买时间、您接受的销售条款版本，以及交付给您的 eSIM（其 ICCID 和激活码，我们以加密形式存储）。
- 订单来源：将您带到本站的链接中的推广活动参数（例如 utm_source）、来源网站，以及您购买前浏览过的页面。我们将这些信息与订单一起保存，以了解哪些渠道带来了客户。
- 您的订单页面被打开时，我们会记录时间和 IP 地址的单向哈希值，以防止您的 eSIM 码被滥用。
- 您开始结账时，您的 IP 地址会在内存中用于限制重复尝试，不会被存储。
当您写信给我们时
- 您的电子邮件地址、姓名以及消息内容。
3. 使用目的及法律依据
| 目的 | GDPR 下的法律依据 |
|---|---|
| 销售和交付 eSIM、客户支持及退款 | 履行与您订立的合同（第 6 条第 1 款 (b) 项） |
| 会计和税务记录 | 我们的法定义务（第 6 条第 1 款 (c) 项） |
| 防范欺诈、保障付款和 eSIM 码的安全、保护网站 | 我们在经营安全商店方面的正当利益（第 6 条第 1 款 (f) 项） |
| 回复您的问题和合作咨询 | 我们在回复您方面的正当利益，或应您要求在订立合同前采取的步骤（第 6 条第 1 款 (f) 项或 (b) 项） |
| 衡量网站的使用情况，以及哪些页面和渠道带来访客和客户 | 您在 Cookie 横幅中给予的同意（第 6 条第 1 款 (a) 项）；您可以随时通过每个页面底部的“Cookie 设置”撤回 |
| 衡量和改进我们在 Facebook 和 Instagram 上的广告 | 您在 Cookie 横幅中对营销 Cookie 给予的同意（第 6 条第 1 款 (a) 项）；您可以随时通过每个页面底部的“Cookie 设置”撤回 |
我们仅将个人数据用于上述目的。我们不发送营销信息，也不出售个人数据。
4. 自动化决策
Stripe 通过自动化风险评分筛查付款是否涉及欺诈。被判定为高风险的付款可能会被拦截，或需要进行 3D Secure 等额外验证。如果您认为某笔付款被误拦截，请写信给我们，我们将安排专人进行审查。
5. 数据接收方
- Stripe 依据其在 stripe.com/privacy 公布的隐私政策处理付款并进行欺诈筛查。
- Cloudflare, Inc. 负责传送和保护网站。
- Meta Platforms Ireland Limited（Meta Pixel 和 Conversions API）仅在您接受营销 Cookie 的情况下，接收第 2 节所述的营销数据。我们与 Meta 对收集这些数据并将其传递给 Meta 共同负责；Meta 之后如何处理这些数据，受 Meta 在 facebook.com/privacy/policy 公布的隐私政策约束，您也可以在该页面向 Meta 行使您的权利。
- 我们的服务器托管服务商运营位于新加坡的虚拟服务器，用于托管网站和订单数据库。
- 我们的 eSIM 经销商不会从我们这里收到任何个人数据。我们购买 eSIM 配置文件时不会发送您的信息。
- 我们的会计师和法律顾问，以及法律要求时的政府机关。
6. 向欧洲经济区以外传输数据
网站和订单数据库托管在新加坡，Stripe、Cloudflare 和 Meta 可能在美国及其他国家处理数据。个人数据被传输至欧洲经济区以外时，我们依靠 GDPR 规定的保障措施：欧盟委员会的标准合同条款，或欧盟委员会针对依据欧美数据隐私框架获得认证的公司所作出的充分性认定。我们仅将个人数据传输至新加坡境外、依法律或合同负有义务以与 PDPA 相当的标准保护数据的接收者。您可以向我们索取适用保障措施的副本。您可以向我们索取适用保障措施的副本。
7. 保存期限
我们仅在上述目的所需或法律要求的期限内保存个人数据：
- 订单和付款记录（包括加密的 eSIM 信息）：按会计和税务法律要求的期限保存，通常为自购买当年年底起 5 年。
- 订单页面访问记录（经哈希处理的 IP 地址）：12 个月。
- 电子邮件往来：处理该事项及相关索赔所需的期限，且不超过事项结案后 3 年。
- 分析数据：不超过 14 个月。
- 与订单一起保存的分析标识符和 Meta 标识符（访客 ID，以及结账时记录的 Meta Cookie、IP 地址和浏览器信息）：90 天。
- Meta 接收的数据：按 Meta 隐私政策的规定。
8. Cookie
baobabsim.com 在设置任何分析或营销 Cookie 之前都会征求您的同意。营销 Cookie 由 Meta Pixel 设置在我们的域名下，使 Meta 能够在其他使用 Meta 工具的网站上识别您的浏览器。
| Cookie | 用途 | 保存期限 |
|---|---|---|
| bsim_consent | 记住您是否允许分析 Cookie | 180 天 |
| bsim_ads | 记住您是否允许营销 Cookie | 180 天 |
| _bsim_id | 随机访客 ID，仅在您允许分析后设置，用于统计访问量并将购买与该次访问关联 | 400 天 |
| _bsim_sid | 本次访问，仅在您允许分析后设置 | 无操作 30 分钟后失效 |
| _fbp | Meta Pixel 浏览器 ID，仅在您允许营销后设置 | 90 天 |
| _fbc | 将您带到本站的 Facebook 或 Instagram 广告的点击 ID，仅在您允许营销后设置 | 90 天 |
您可以随时通过每个页面底部的“Cookie 设置”更改您的选择；关闭某一类别会删除该类别的 Cookie。
在浏览器标签页打开期间，我们会在该标签页的会话存储（session storage）中保存本次访问的推广活动参数和来源网站，以便订单记录是哪个渠道带来了买家；关闭标签页即会清除。这些信息不会共享，也不会用于跟踪您。您选择的浅色或深色主题以及语言提示设置保存在您浏览器的本地存储（local storage）中，绝不会离开您的浏览器。
- Cloudflare 可能会设置绝对必要的安全 Cookie，用于区分真人与自动化流量。
- Stripe 付款页面由 Stripe 提供，会使用其自身的 Cookie 进行付款处理和欺诈防范；请参阅 stripe.com/legal/cookies-policy。
如果我们添加其他 Cookie，我们会更新本节，并在必要时征求您的同意。您可以在浏览器设置中删除或阻止 Cookie；阻止 Stripe 的 Cookie 可能导致无法付款。
9. 您的权利
根据 GDPR，您可以要求我们：
- 查阅我们持有的您的个人数据，并获取其副本；
- 更正错误或不完整的数据；
- 删除我们不再需要或没有依据保留的数据；
- 在有关数据的问题得到解决之前，限制我们使用您的数据；
- 以可携带的格式提供您向我们提供的数据；
- 停止使用我们基于正当利益处理的数据（您可以提出反对）；
- 此外，您可以随时撤回同意，这不影响撤回前已进行的处理。
请写信至 contact@baobabsim.com。我们会在一个月内回复，或在该期限内告知您为何需要更长时间。
您可以向波兰个人数据保护局局长（UODO，uodo.gov.pl）投诉，也可以向您居住或工作所在的欧盟国家的数据保护机构投诉。
如果您在摩洛哥，您还享有《关于在个人数据处理方面保护自然人的第 09-08 号法律》赋予您的权利，并可以联系摩洛哥个人数据保护国家监管委员会（CNDP，cndp.ma）。
如果您在埃及，您还享有2020年第 151 号《个人数据保护法》赋予您的权利，并可以联系个人数据保护中心（pdpc.gov.eg）。
如果您在南非，您还享有2013年第 4 号《个人信息保护法》（POPIA）赋予您的权利，并可以向信息监管机构（Information Regulator，inforegulator.org.za）投诉。
您可以通过写信给我们，以同样的方式行使上述所有权利。
10. 安全
银行卡数据保存在 Stripe。eSIM 激活码在存储时以 AES-256-GCM 加密。订单系统的访问受到限制，每次向管理员显示 eSIM 码都会被记录。本网站仅通过 HTTPS 提供服务。如果数据泄露可能对您的权利造成风险，我们会在 72 小时内通知监管机构；如果风险较高，我们也会按照 GDPR 的要求通知您。
11. 儿童
baobabsim.com 并非面向 16 岁以下的儿童，我们也不会在知情的情况下收集他们的数据。
12. 变更
当我们的数据处理方式发生变化时，我们会更新本政策以及本页顶部的日期。