本数据保护政策规定了 Capital Markets Elite Group (UK) Limited（以下简称 "公司"）如何处理我们的客户、供应商、员工、工人和其他第三方（以下简称 "数据主体"）的个人数据。本公司是所有与数据当事人相关的个人数据以及本公司业务中用于商业目的的个人数据的数据控制者。
本政策适用于公司处理的所有个人数据（可识别数据主体的任何信息，或我们可单独或结合我们拥有或可合理访问的其他识别符识别（直接或间接）与数据主体有关的信息），无论数据存储在何种媒体上，也无论数据是否与过去或现在的员工、工人、客户、客户或供应商联系人、股东、网站用户或任何其他数据主体有关。
本政策适用于所有雇员、工人、承包商、中介工人、顾问、董事、会员和其他人员。
在代表公司处理个人数据时，您必须阅读、理解并遵守本政策，并参加有关其要求的培训。本政策规定了我们对你的要求，以便公司遵守适用法律。您必须遵守本政策。任何违反本政策的行为都可能导致纪律处分。
本政策为内部文件，未经合规经理事先授权，不得与第三方、客户或监管机构共享。
本政策不构成任何雇佣合同或服务合同的一部分，我们可随时对其进行修订，恕不另行通知。
本政策不优先于公司运营所在国家的任何适用国家数据隐私法律法规。
范围
我们认识到，正确、合法地处理个人数据将保持对组织的信心，并为成功的业务运营提供保障。保护个人数据的机密性和完整性是我们始终认真对待的重要责任。如果不遵守 GDPR 的规定，公司可能会被处以罚款。
各级管理层均有责任确保您遵守本政策，并需要实施适当的实践、流程、控制和培训，以确保遵守本政策。
如果您对本政策的操作或《通用数据保护条例》或其他数据保护法律（"GDPR"）有任何疑问，或对本政策未得到遵守或未被遵守有任何疑虑，请联系合规经理。尤其是在以下情况下，您必须随时联系合规经理：
- 如果你不确定处理个人数据所依据的合法依据（包括公司使用的合法利益）（见下文 "合法性和公平性 "部分）；
- 如果您需要征得同意和/或需要获取明确同意；
- 如果您需要起草隐私声明（见下文 "透明度 "部分）；
- 如果发生了个人数据泄露事件（以下为 "报告个人数据泄露事件 "部分）；
- 如果您在处理数据当事人援引的任何权利时需要任何帮助（请参阅
数据当事人的权利和要求部分）； - 无论何时，如果你正在从事一项重要的新处理活动或处理活动发生变化，可能需要进行数据保护影响评估（"DPIA"）（见下文 "设计隐私和 DPIA "部分），或计划将个人数据用于收集目的之外的其他目的；
- 如果您在开展直接营销活动时需要帮助遵守适用法律（参见下文 "直接营销 "部分），请联系我们。
个人数据保护原则
我们遵守 GDPR 中规定的个人数据处理原则，这些原则载于本政策中。我们有责任遵守这些原则，并且必须能够证明我们遵守了这些原则。
个人数据保护原则
必须以合法、公平和透明的方式处理与数据当事人相关的个人数据。
您只能出于特定目的，公平、合法地收集、处理和共享个人数据。GDPR 将我们有关个人数据的行为限制在指定的合法目的范围内。这些限制的目的不是阻止处理，而是确保我们公平地处理个人数据，并且不会对数据当事人造成不利影响。
- GDPR 允许出于特定目的进行处理，其中一些目的如下：
- 数据当事人已表示同意；
- 为履行与数据当事人的合同而必须进行的处理；
- 以履行我们的法律合规义务；
- 保护数据当事人的重要利益；
- 追求我们的合法权益，但不能因为处理损害了数据当事人的利益或基本权利和自由而推翻我们的合法权益。我们出于合法利益处理个人数据的目的需要在适用的隐私声明中列出。
您必须确定并记录每项处理活动所依据的法律依据
同意书
数据控制者只能根据 GDPR 规定的一个或多个合法依据处理个人数据，其中包括同意。
如果数据当事人通过声明或积极行动明确表示同意处理其个人数据，则表示同意。同意需要肯定的行动，因此沉默、预先勾选方框或不作为不太可能是充分的同意。如果同意是在涉及其他事项的文件中作出的，那么同意必须与其他事项分开保存。
数据主体必须能够随时方便地撤销对处理的同意，而且必须立即履行撤销同意。如果您打算出于不同且不相容的目的处理个人数据，而在数据当事人首次同意时并未披露该目的，则可能需要重新获得同意。
除非我们可以依据其他法律依据进行处理，否则在处理敏感个人数据、自动决策和跨境数据传输时，通常需要征得明确同意。
通常我们会依据其他法律依据（而不需要征得明确同意）来处理大多数类型的敏感数据。在需要明确同意（书面）的情况下，您必须向数据当事人发出同意通知，以获取明确同意。
您需要证明所获得的同意，并保留所有同意的记录，以便公司证明遵守了同意要求。
透明度（通知数据主体）
GDPR 要求数据控制者向数据主体提供详细、具体的信息，具体取决于信息是直接从数据主体还是从其他地方收集的。此类信息必须通过适当的隐私声明提供，隐私声明必须简洁、透明、易懂、易于获取，并使用清晰、通俗的语言，以便数据主体能够轻松理解。
每当我们直接从数据当事人处收集个人数据时，包括出于人力资源或就业目的，我们必须向数据当事人提供 GDPR 所要求的所有信息，包括数据控制者的身份，我们将如何以及为何使用、处理、披露、保护和保留该个人数据，这些信息必须在数据当事人首次提供个人数据时通过隐私声明提供。
在间接收集个人数据时（例如，从第三方或公开来源收集），您必须在收集/接收数据后尽快向数据当事人提供 GDPR 所要求的所有信息。您还必须检查第三方收集的个人数据是否符合 GDPR 的规定，以及是否基于我们对该个人数据的拟议处理。
目的限制
个人数据的收集只能用于特定、明确和合法的目的。不得以任何与这些目的不符的方式对其进行进一步处理。
您不能将个人数据用于新的、不同的或与最初获得数据时披露的目的不符的目的，除非您已将新的目的告知数据当事人，且他们已在必要时表示同意。
数据最小化
个人数据必须充分、相关并仅限于与处理目的相关的必要内容。
您只能在履行工作职责需要时处理个人数据。不得出于任何与工作职责无关的原因处理个人数据。
你只能收集工作职责所需的个人数据：不要收集过多的数据。确保所收集的个人数据充分且与预期目的相关。
你必须确保在不再需要个人数据用于指定用途时，按照公司的数据保留准则删除或匿名化个人数据。
准确性
个人资料必须准确无误，并在必要时及时更新。如果不准确，必须立即更正或删除。
您应确保我们使用和持有的个人数据准确、完整、及时更新，并与我们收集数据的目的相关。您必须在收集时和之后定期检查任何个人数据的准确性。您必须采取一切合理措施，销毁或修改不准确或过时的个人数据。
存储限制
个人数据以可识别形式保存的时间不得超过处理数据的目的所需的时间。
您保存个人数据的形式不得使数据当事人的身份识别时间超过我们最初收集数据的合法商业目的（包括满足任何法律、会计或报告要求）所需的时间。
公司将维持保留政策和程序，以确保个人数据在合理的保留时间后被删除，除非法律要求此类数据保留最短的时间。
您应采取一切合理措施，根据公司所有适用的记录保留时间表和政策，销毁或从我们的系统中删除我们不再需要的所有个人数据。这包括在适用情况下要求第三方删除此类数据。
您将确保在任何适用的隐私声明中告知数据当事人数据的存储期限以及如何确定该期限。
安全性、完整性和保密性
保护个人数据
必须采取适当的技术和组织措施保护个人数据，防止未经授权或非法处理，以及意外丢失、毁坏或损坏。
我们将制定、实施并维护与我们的规模、范围和业务、可用资源、我们拥有或代表他人维护的个人数据量以及已识别风险（包括在适用情况下使用加密和假名化）相适应的保障措施。我们将定期评估和测试这些保障措施的有效性，以确保我们处理个人数据的安全性。您有责任保护我们所持有的个人数据。您必须采取合理适当的安全措施，防止非法或未经授权的个人数据处理，以及个人数据的意外丢失或损坏。您必须
特别注意保护敏感的个人数据，防止丢失和未经授权的访问、使用或披露。
您必须遵守我们制定的所有程序和技术，以维护所有个人数据从收集到销毁的整个过程的安全。您只能将个人数据传输给同意遵守规定的政策和程序并同意按照要求采取适当措施的第三方服务提供商。
您必须通过保护个人数据的机密性、完整性和可用性来维护数据安全，具体定义如下：
- 保密性是指只有需要知道并经授权使用个人数据的人才能访问这些数据。
- 完整性是指个人数据准确无误，适合处理数据的目的。
- 可用性是指经授权的用户能够在需要时出于授权目的访问个人数据。
您必须遵守且不得试图规避我们根据 GDPR 和相关标准实施和维护的行政、物理和技术保障措施，以保护个人数据。
报告个人数据泄露
GDPR 要求数据控制者将任何个人数据泄露事件通知适用的监管机构，在某些情况下，也要通知数据当事人。
个人数据泄露 "是指损害个人数据的安全性、保密性、完整性或可用性，或损害我们或我们的第三方服务提供商为保护个人数据而采取的物理、技术、行政或组织保障措施的任何行为或不行为。个人数据的丢失或未经授权的访问、披露或获取即为个人数据泄露。
我们已制定了处理任何可疑个人数据泄露的程序，并将在法律要求的情况下通知数据当事人或任何适用的监管机构。
如果您知道或怀疑发生了个人数据泄露事件，请勿试图自行调查。如果发生个人数据泄露，请立即联系合规经理。您应保存与潜在个人数据泄露相关的所有证据。
转让限制
GDPR 限制向欧洲经济区 (EEA) 以外的国家/地区传输数据，以确保不会破坏 GDPR 为个人提供的数据保护水平。当您在一个国家或向另一个国家传输、发送、查看或访问源于该国的个人数据时，您会跨境传输该数据。
只有在符合以下条件之一的情况下，您才能将个人数据传输到欧洲经济区之外：
- 欧盟委员会已发布决定，确认我们将个人数据传输到的国家确保对数据当事人的权利和自由提供足够的保护；
- 制定适当的保障措施，如具有约束力的公司规则 (BCR)、欧盟委员会批准的标准合同条款、经批准的行为准则或认证机制（可向合规经理索取副本）；
- 資料當事人在獲告知任何潛在風險後，已明確同意擬進行的轉移；或
- 出于 GDPR 规定的其他原因之一，包括履行我们与数据当事人之间的合同、公共利益原因、确立、行使或捍卫法律主张或保护数据当事人的重要利益（数据当事人在身体上或法律上无能力给予同意），以及在某些有限的情况下，出于我们的合法利益，有必要进行传输。
资料当事人的权利和要求
数据当事人有权了解我们如何处理他们的个人数据。这些权利包括
- 随时撤销对处理的同意；
- 接收有关数据控制者处理活动的某些信息；
- 要求查阅我们持有的其个人资料；
- 阻止我们将其个人数据用于直接营销目的；
- 如果收集或处理个人数据的目的不再需要这些数据，要求我们删除这些数据，或纠正不准确的数据或补充不完整的数据；
- 在特定情况下限制处理；
- 对基于我们的合法利益或公共利益而进行的处理提出质疑；
- 要求提供将个人数据传输到欧洲经济区以外的协议副本；
- 反对完全基于自动处理（包括特征分析）的决定；
- 防止可能对数据当事人或其他任何人造成损害或困扰的处理；
- 如果个人资料外泄可能对其权利和自由造成高风险，则应通知他们；
- 向监管机构投诉；以及
- 在有限的情况下，接收或要求将其个人数据以结构化、常用和机器可读的格式传输给第三方。
您必须核实根据上述任何权利要求提供数据的个人的身份（不要让第三方说服您在没有适当授权的情况下披露个人数据）。
您必须立即将收到的任何数据当事人请求转交给合规经理。
问责制
数据控制者必须以有效的方式实施适当的技术和组织措施，以确保遵守数据保护原则。数据控制者对遵守数据保护原则负责，并必须能够证明遵守了数据保护原则。
公司必须有充足的资源和控制措施，以确保遵守 GDPR 并将其记录在案，包括：
- 任命一名负责数据隐私的行政人员；
- 在处理个人数据时实施隐私设计，并在数据处理对数据主体的权利和自由构成高风险时完成数据保护影响评估（DPIA）；
- 将数据保护纳入内部文件，包括本政策、任何相关文件或隐私声明；
- 定期就 GDPR、内部政策和程序以及数据保护事宜（包括数据当事人的权利、同意、法律依据、DPIA 和个人数据泄露等）对您进行培训。公司必须保存其雇用和聘用的每个人参加培训的记录；以及
- 定期测试已实施的隐私措施，并进行定期审查和审计，以评估合规情况，包括使用测试结果来证明合规改进工作。
记录保存
GDPR 要求我们对所有数据处理活动保存完整、准确的记录。
您必须保存和维护准确的公司记录，以反映我们的处理情况，包括数据当事人同意的记录和获得同意的程序。
这些记录至少应包括数据控制者的姓名和详细联系信息、个人数据类型的清晰描述、数据主体类型、处理活动、处理目的、个人数据的第三方接收者、个人数据存储位置、个人数据传输、个人数据保留期限以及对现有安全措施的描述。为创建此类记录，应创建数据地图，其中应包括上述细节和适当的数据流。
培训和审计
我们必须确保您接受了充分的培训，使他们能够遵守数据隐私法律。我们还必须定期测试我们的系统和流程，以评估合规性。
您必须接受所有与数据隐私相关的强制性培训，并确保您的团队接受类似的强制性培训。
您必须定期审查您控制下的所有系统和流程，确保它们符合本政策，并检查是否有足够的管理控制和资源，以确保个人数据的正确使用和保护。
设计隐私和 dpias
在处理个人数据时，我们必须通过有效实施适当的技术和组织措施（如假名化）来实施隐私设计措施，以确保遵守数据隐私原则。
您必须考虑以下因素，评估在处理个人数据的所有程序/系统/流程中可以实施哪些隐私设计措施：
- 的现状；
- 实施成本；
- 处理的性质、范围、背景和目的；以及
- 处理对资料当事人的权利和自由造成的不同可能性和严重程度的风险
数据控制者还必须对高风险处理进行 DPIA。
在实施涉及个人数据处理的重大系统或业务变更计划时，您应进行 DPIA（并与合规经理讨论您的发现），包括
- 使用新技术（程序、系统或流程），或改变技术（程序、系统或流程）；
- 自动处理，包括特征分析和自动匹配决策；
- 大规模处理敏感数据；以及
- 对公众可进入的区域进行大规模、系统的监测。
DPIA 必须包括
- 对处理、处理目的和数据控制者合法权益（如适用）的描述；
- 根据处理目的评估处理的必要性和相称性；
- 对个人风险的评估；以及
- 已采取的风险缓解措施和合规证明。
自动处理（包括特征分析）和自动决策 (adm)
一般来说，当一项决定对个人产生法律或类似的重大影响时，禁止 ADM，除非
- 资料当事人明确表示同意；
- 法律授权的处理；或
- 处理是履行或签订合同所必需的。
如果处理的是某些类型的敏感数据，则不允许使用(b)或(c)项理由，但如果出于重大公共利益（如防止欺诈）的需要（除非可以使用侵扰性较低的手段），则可以处理这些敏感数据。
如果决定完全基于自动化处理（包括特征分析），则必须在首次与数据当事人沟通时告知他们有反对的权利。必须明确提请他们注意这项权利，并与其他信息分开清楚地介绍。此外，还必须采取适当措施，保障数据当事人的权利和自由以及合法权益。
我们还必须告知数据当事人决策或特征分析所涉及的逻辑、意义和预期后果，并给予数据当事人要求人工干预、表达观点或质疑决策的权利。
在进行任何自动处理（包括特征分析）或 ADM 活动之前，必须进行 DPIA。
直接营销
在向客户营销时，我们必须遵守某些规则和隐私法。
例如，电子直接营销（如通过电子邮件、短信或自动呼叫）必须事先征得数据当事人的同意。被称为 "软接受 "的现有客户的有限例外情况允许组织发送营销短信或电子邮件，条件是他们在向该人销售过程中获得了联系方式，他们正在营销类似的产品或服务，并且他们在首次收集该人的详细信息时以及在随后的每条信息中都给了该人选择退出营销的机会。
反对直接营销的权利必须以可理解的方式明确提供给数据当事人，以便与其他信息清楚地区分开来。
数据当事人对直接营销的反对意见必须立即兑现。如果客户在任何时候选择退出，则应尽快删除其详细信息。抑制包括只保留足够的信息，以确保将来营销偏好得到尊重。
共享个人数据
一般情况下，我们不得与第三方共享个人数据，除非已经采取了某些保障措施和合同安排。
您只能在接收方因工作需要需要了解信息，且信息转移符合任何适用的跨境转移限制的情况下，与我们集团（包括我们的子公司和我们的最终控股公司及其子公司）的其他员工、代理或代表共享我们持有的个人数据。
只有在以下情况下，您才可以与第三方（如我们的服务提供商）共享我们所掌握的个人数据：
- 为了提供合同规定的服务，他们有必要了解这些信息；
- 共享个人数据符合提供给数据当事人的《隐私通知》，如有需要，已征得数据当事人的同意；
- 第三方同意遵守规定的数据安全标准、政策和程序，并采取适当的安全措施；
- 转让符合任何适用的跨境转让限制；以及
已获得包含 GDPR 批准的第三方条款的完整书面合同。