CCPA权利

Akixa - Inh. Dipl.-Phys. Gerhard H.C. Scheffler Einzelunternehmen Seesener Str. 43 10711 Berlin 德国

电子邮件：support@atumka.com 网站：https://www.atumka.com

以下概述总结了所处理的数据类型及其处理目的。

所处理的数据类型

• 基本数据（如姓名）
• 联系数据（如电子邮件地址）
• 内容数据（如在线表单中的输入）
• 使用数据（如访问的页面、对内容的兴趣、访问时间）
• 元数据和通信数据（如 IP 地址、时间戳、识别号码）
• 出生数据（用于创建星盘的出生日期、时间和地点）
• AI 生成的内容（基于您的出生数据创建的占星报告文本）

数据主体类别

• 客户和潜在客户
• 我们在线服务的用户

处理目的

• 提供合同服务（创建个性化占星报告）
• 身份验证和账户管理
• 联系请求和沟通
• 网络分析和优化我们的服务
• 安全措施
• 遵守法定保留义务

处理您数据的法律依据源于《通用数据保护条例》（GDPR）：

• 合同履行（Art. 6(1)(b) GDPR）——创建和交付您的占星报告、账户管理
• 合法利益（Art. 6(1)(f) GDPR）——网站的安全和运营、欺诈预防
• 同意（Art. 6(1)(a) GDPR）——网络分析、非必要 Cookie
• 法律义务（Art. 6(1)(c) GDPR）——根据德国商法和税法要求保留发票数据

我们根据 Art. 32 GDPR 实施技术和组织安全措施来保护您的数据：

• 传输加密：所有数据传输均采用 SSL/TLS 加密
• 静态加密：所有存储的数据（数据库和文件存储）均采用 AES-256 加密
• 访问控制：基于角色的访问限制、结构化访问日志
• 数据最小化：通过基于时间的过期机制自动删除临时数据（如结账会话在 1 小时后删除、活动数据在 90 天后删除）
• 账户删除：账户删除后有 30 天的宽限期，之后从所有系统中完全且不可逆地移除
• 定期安全更新：持续更新所有系统组件

我们使用 AWS Cognito 作为身份验证服务来进行登录和账户管理。

无密码登录（电子邮件 OTP）

每次登录时，系统会向您的电子邮件地址发送一次性验证码。不会存储或传输任何密码。您的电子邮件地址的处理基于 Art. 6(1)(b) GDPR（合同履行）。

通行密钥（WebAuthn）

您可以选择使用通行密钥进行登录。生物识别数据（指纹、面部识别）仅保留在您的设备上。我们的服务器上仅存储加密公钥，无法从中推断出您的生物识别数据。

存储的数据

• 电子邮件地址（登录身份）
• 已注册通行密钥的公钥
• 登录时间戳（安全日志记录）

我们使用 AWS Bedrock（AI 语言模型）生成占星报告文本。

欧盟人工智能法案透明度

我们的 AI 功能须遵守欧盟第2024/1689号条例（欧盟人工智能法案，Art. 50）规定的透明度义务。AI 生成的内容会被相应标识；每当您与 AI 系统而非人类进行交互时，我们都会告知您。

处理的数据

您的名字和占星计算数据会被传输给 AI 模型：行星位置、宫位系统、相位和行运数据。您的名字用于个性化报告。**其他个人数据（出生日期、出生地点、电子邮件）不会传输给 AI 模型。**您的出生数据到天文位置的转换由我们自己的计算软件预先完成。

语音对话（Mira）

当您使用我们的语音对话功能时（以该功能可用为前提），您的麦克风音频会被实时流式传输至 Google（Gemini Live API），用于语音识别和生成回复。此处理仅在您明确同意后进行（Art. 6(1)(a) GDPR），并且您可以随时结束会话。音频本身不会存储在我们的服务器上，Google 也不会在会话结束后保留音频；对话的文字记录会保存到您的 Mira 对话历史中。音频处理目前在美国进行。

无自动化决策

生成的报告仅用于信息和娱乐目的。不存在 Art. 22 GDPR 意义上的自动化决策——报告不具有法律效力，也不构成影响您的决定。

处理地点

AWS Bedrock 在 US-East-1 区域（美国弗吉尼亚州）处理数据。由于仅传输您的名字而不传输其他可识别身份的数据，第三国传输的风险极低。数据处理基于 AWS GDPR 数据处理附录进行。

法律依据

Art. 6(1)(b) GDPR（合同履行——报告的创建是合同约定的服务）。

Google Analytics 4 (GA4) 和 Google Tag Manager (GTM)

我们使用 Google Ireland Limited（Gordon House, Barrow Street, Dublin 4, Ireland）提供的 Google Analytics 4 和 Google Tag Manager 来分析网站使用情况。

处理的数据：假名化的使用数据（访问的页面、停留时间、设备信息）。已启用 IP 匿名化——不会存储您的完整 IP 地址。

法律依据：Art. 6(1)(a) GDPR（同意）。分析仅在您通过我们的 Cookie 横幅明确同意后进行。

反对和退出：您可以随时通过 Cookie 设置撤回您的同意。此外，您可以使用浏览器插件禁用 Google Analytics：https://tools.google.com/dlpage/gaoptout。

已与 Google Ireland Ltd. 签订数据处理协议。

Meta Pixel 和 Conversions API（CAPI）

我们使用 Meta Platforms Ireland Limited（Merrion Road, Dublin 4, D04 X2K5, Ireland）提供的 Meta Pixel 和 Meta Conversions API（CAPI），以衡量我们广告活动的效果并为广告创建受众群体。

客户端跟踪（Meta Pixel）：在用户授予营销同意后，Meta Pixel 将被加载。它收集假名化的使用数据（页面浏览、产品浏览、购买行为），并设置 Cookie _fbp（浏览器识别，90 天）和 _fbc（点击识别，90 天）。

服务器端跟踪（Conversions API）：在购买完成后，我们还会通过服务器端接口将以下数据传输至 Meta：经哈希处理的电子邮件地址（SHA-256）、经哈希处理的名字（SHA-256）、经哈希处理的国家信息（SHA-256）、购买金额及货币，以及产品标识符。哈希处理在传输前完成——Meta 不会收到任何明文数据。

法律依据：Art. 6(1)(a) GDPR（同意）。跟踪仅在您通过我们的 Cookie 横幅明确同意后进行（类别"营销"）。

反对和退出：您可以随时通过 Cookie 设置撤回您的同意。此外，您可以在 Facebook 设置的"广告偏好"中限制您的数据用于广告目的。

Meta 的隐私政策请访问：https://www.facebook.com/privacy/policy/。

您的个人数据仅在以下所述情况下传输给第三方：

支付处理——Dodo Payments

Dodo Payments 作为记录商户（法律意义上的商户）负责支付处理。根据 Art. 4(7) GDPR，Dodo Payments 是您支付数据（信用卡数据、账单地址）处理的独立控制者。您可以在其网站上找到 Dodo Payments 的隐私政策。我们不存储任何支付数据。

托管——Vercel Inc.

我们的网站由 Vercel Inc. 托管。服务器位于欧盟。已根据 Art. 28 GDPR 签订数据处理协议。法律依据：Art. 6(1)(f) GDPR（可靠网站运营的合法利益）。

云基础设施——Amazon Web Services (AWS)

我们在欧盟区域 eu-central-1（法兰克福）使用 AWS 服务（Cognito、DynamoDB、S3）进行身份验证、数据存储和应用逻辑。已通过 AWS GDPR 数据处理附录签订数据处理协议。法律依据：Art. 6(1)(b) 和 (f) GDPR。

广告效果衡量——Meta Platforms Ireland Limited

为衡量广告效果，我们在购买完成时通过 Conversions API 将经哈希处理的数据（电子邮件地址、名字、国家信息）传输至 Meta Platforms Ireland Limited（参见第 7 节——Meta Pixel 和 Conversions API）。Meta Pixel 还会在我们的网站上收集假名化的使用数据。法律依据：Art. 6(1)(a) GDPR（通过 Cookie 横幅同意）。

我们的网站使用 Cookie。Cookie 是存储在您设备上的小型文本文件。

必要 Cookie

这些 Cookie 是网站运行所必需的（如登录区域的会话 Cookie、语言设置）。它们不能被禁用。法律依据：Art. 6(1)(f) GDPR。

分析 Cookie

在您明确同意的情况下，我们使用 Cookie 分析网站使用情况（参见第 7 节——网络分析）。法律依据：Art. 6(1)(a) GDPR。

您可以随时在浏览器设置中删除 Cookie 或阻止其存储。您也可以通过我们的 Cookie 横幅调整 Cookie 偏好设置。

我们仅在相应目的所需的期限内或法定保留义务要求的期限内存储您的数据：

• 发票和商业记录：10 年（§ 257 HGB、§ 147 AO——商法和税法保留要求）
• 合同数据：合同结束后 3 年（§ 195 BGB——标准诉讼时效）
• 占星报告和出生数据：直至用户通过账户设置删除
• 活动数据：90 天（自动删除）
• 结账会话：1 小时（自动删除）
• 身份验证数据：一次性验证码 5 分钟，登录数据在账户存续期间保留
• Cookie：根据类型，1 天至 12 个月（参见第 9 节）

在相应期限届满后，您的数据将被自动且不可逆地删除。

您对您的个人数据享有以下权利：

• 访问您存储的数据（Art. 15 GDPR）
• 更正不正确的数据（Art. 16 GDPR）
• 删除您的数据（Art. 17 GDPR）
• 限制处理（Art. 18 GDPR）
• 数据可携带性（Art. 20 GDPR）
• 反对处理（Art. 21 GDPR）
• 撤回同意并在未来生效（Art. 7(3) GDPR）

行使您的权利

如需数据导出（Art. 15 和 20），您可以在账户设置中使用导出功能。账户删除（Art. 17）也可以在账户设置中发起——在 30 天的宽限期后，您的所有数据将从所有系统中不可逆地删除。如有其他请求，请通过 support@atumka.com 联系我们。我们将在 30 天内处理您的请求。

不存在 Art. 22 GDPR 意义上的自动化决策（包括画像分析）。AI 生成的占星报告是用于信息和娱乐目的的内容。它们不构成对您产生法律效力或以类似方式对您产生重大影响的决定。

您有权向数据保护监管机构提出投诉。主管机构为：

Berliner Beauftragte für Datenschutz und Informationsfreiheit Friedrichstr. 219 10969 Berlin Email: mailbox@datenschutz-berlin.de

如有数据保护方面的问题，请通过以下方式联系我们： 电子邮件：support@atumka.com