DPDP 合规声明
FactWise Technologies Private Limited — 2023 年数字个人数据保护法
1. 概述
印度《2023 年数字个人数据保护法》（“DPDP Act”）于 2023 年 8 月 11 日生效，是印度首部综合性个人数据保护法律，建立了数字个人数据处理、数据主体权利以及数据受托方和处理方义务框架。
FactWise Technologies Private Limited（“FactWise”“我们”）为印度制造业和企业客户运营寻源到付款采购平台。对于我们控制的数据，我们作为 Data Fiduciary 遵守 DPDP Act；对于代表客户处理的数据，我们作为 Data Processor 遵守 DPDP Act。
本声明应与我们的隐私政策、服务条款和 Cookie 政策一起阅读。
2. DPDP Act 下的角色
2.1 FactWise 作为 Data Fiduciary
FactWise 对员工数据、账户持有人、账单联系人、管理员用户、网站访问者以及营销、欺诈防范和平台改进等自身业务目的处理的数据担任 Data Fiduciary。
2.2 FactWise 作为 Data Processor
对于客户控制的个人数据，包括供应商记录、客户员工输入的采购数据以及由客户决定处理目的和方式的数据，FactWise 担任 Data Processor。我们仅根据客户指示和适用的数据处理协议处理这些数据。
2.3 重要数据受托方准备
FactWise 持续关注 SDF 指定进展，并为可能的额外义务做好准备，包括任命数据保护官、数据保护影响评估、算法审计和数据本地化限制。
3. 处理的合法依据
FactWise 依据 DPDP Act 要求的合法基础处理个人数据。
| 处理活动 | 数据主体 | 合法依据 |
|---|---|---|
| 账户创建和管理 | 账户持有人 | 合同：提供平台所必需 |
| 计费和开票 | 账单联系人 | 合同；税法法律义务 |
| 为客户处理供应商数据 | 卖方和供应商 | 根据客户数据受托方指示的合法使用 |
| 匿名采购分析 | 所有用户 | 合法使用 |
| 安全和欺诈防范 | 所有用户 | 合法使用 |
| 面向潜在客户的营销 | 线索和潜在客户 | 同意 |
| 支持请求回复 | 用户 | 合同或合法使用 |
| 法律合规和监管报告 | 视情况适用 | 法律义务 |
3.1 同意管理和通知
当同意是合法依据时，FactWise 确保同意是自由、具体、知情且明确的，并保留时间戳、目的和通知版本等记录。
在收集前或收集时，FactWise 会以清晰通知说明收集的数据、处理目的、数据主体如何行使权利以及如何提出申诉。
4. 数据主体权利
数据主体可联系 privacy@factwise.io 行使权利。FactWise 会在 30 天内回复。
4.1 知情权
数据主体可了解其个人数据是否被处理、所持数据摘要以及处理方和接收方身份。
如何行使： 发送邮件至 privacy@factwise.io。对于客户组织管理的供应商数据，请联系该客户；FactWise 将协助转交请求。
4.2 更正和删除权
数据主体可更正不准确或不完整数据，并在数据不再需要时请求删除。
如何行使： 账户持有人可在设置中更新。其他人可发送邮件至 privacy@factwise.io。若因法定保留义务拒绝删除，FactWise 将提供书面理由。
4.4 申诉救济权
数据主体可就 FactWise 的数据处理提出正式申诉。我们在 72 小时内确认，并在 30 天内实质解决。
如何行使： 发送邮件至 privacy@factwise.io。如未满意解决，可在印度数据保护委员会运作后向其申诉。
5. Data Fiduciary 义务
个人数据仅按收集时的目的处理。
FactWise 仅处理既定采购工作流所需的数据。
用户可更正自身数据；客户输入的供应商数据准确性由客户负责。
个人数据仅在必要期间保留，并在保留期后删除。
控制措施包括加密、TLS、基于角色的访问、渗透测试和不可变审计日志。
FactWise 维护处理目的、同意、权利请求、事件和处理方记录。
6. 跨境数据传输
随着 DPDP Act 下跨境传输规则发布，FactWise 将更新本节。
- 默认：印度数据主体的个人数据在印度处理和存储，使用 AWS ap-south-1 孟买区域。
- 印度以外的子处理方仅接收最低必要技术数据，并须通过数据处理协议提供同等保护。
7. 儿童数据处理
DPDP Act 对处理儿童个人数据提出严格义务。FactWise 不会有意收集或处理儿童数据，不面向儿童，平台专为企业采购用户设计，并会在发现儿童数据后删除。
8. Data Processor 义务
- 仅按客户书面指示处理个人数据
- 要求可访问客户数据的 FactWise 人员承担保密义务
- 实施适当技术和组织安全措施
- 未经客户同意不聘用子处理方
- 协助客户处理数据主体权利请求
- 客户关系终止后 90 天内删除或返还个人数据
- 在 72 小时内通知客户安全事件
9. 申诉救济
FactWise 指定 privacy@factwise.io 作为 DPDP Act 第 13 条下的数据保护申诉联系人。
- 通过邮件向 privacy@factwise.io 提交申诉
- 包含姓名、联系方式、申诉说明和希望的解决方式
- FactWise 在 72 小时内确认
- FactWise 在 30 天内提供实质回复
- 如未解决，FactWise 内部升级并在额外 14 天内回复
- 仍未解决时，可在印度数据保护委员会运作后向其申诉
10. 本声明更新
当 DPDP 规则发布、印度数据保护委员会发布指导或 FactWise 实践发生变化时，本声明将更新。重大更新会通过电子邮件通知账户管理员。
11. 相关文件
FactWise Technologies Private Limited 致力于遵守印度《2023 年数字个人数据保护法》的文字和精神。本声明反映截至 2026 年 1 月 1 日的实践，并将随监管框架发展而更新。
所有 DPDP 相关咨询：privacy@factwise.io