隐私政策

对于网站访客、账户联系人、潜在客户、支持联系人、计费联系人及 Sundae 员工用户，Sundae 通常为决定处理目的的控制者/经营者。

对于组织上传或连接以运营其账户的数据（“Customer Data”），该组织通常决定目的与手段。该组织可为控制者/经营者（包括雇主、场地经营者或服务提供商），Sundae 通常为其处理者/服务提供者。该组织负责通知、合法依据、权限及回应其雇员、申请人、客人及客户的请求。DPA、订单表单或经销商协议可就特定服务另行分配角色。

账户与身份：姓名、用户名、电子邮件、电话、密码凭证、MFA/SSO/WebAuthn 元数据、角色、组织、语言、时区与偏好。

组织与商业：法律实体、营业地址、税号/VAT 标识、地点/门店、计费联系人、订阅/SKU、发票、付款状态、支持权益与经销商关系。支付卡号由支付提供商处理；Sundae 不会有意存储完整卡号。

核心业务数据：POS 订单与商品明细、收入、支付方式、折扣、退款、配送经济数据、库存、采购、供应商、预订、会计/损益、营销活动、评论、客人互动、预测、基准、报表与运营备注。此类数据可能包含由 Customer 提供的姓名、电子邮件、电话、地址或自由文本个人信息。

Crew 劳动力数据：员工/成员档案、法定/偏好姓名、联系方式与紧急联系人、员工编号、职位、部门、经理、门店/站点分配、雇佣状态/类型、入职/离职日期、工作许可、可用性、排班、换班、考勤、休息、更正、请假与余额、绩效/劳动力信号、薪酬/费率、小费、报销、贷款、扣款、扣押、福利、受扶养人、招聘申请、电子签名、合同、政策、证书与员工自助活动。

敏感或特殊类别数据（由 Customer 启用时）：政府身份证/护照/居留与税务标识、银行/支付详情、生物识别或岗亭令牌、与考勤相关的地理位置、人口统计/多元化属性、健康或请假文件、福利/受扶养人信息及其他受本地法律保护的数据。在支持的情形下，这些字段为可选或受权限控制，并且仅应在 Customer 拥有合法依据与必要性时收集。

客人、消费者与活动数据：CRM 档案、忠诚/访问历史、预订、评论、反馈、工单、餐饮配送联系人与营销偏好。

通信与内容：支持工单、聊天消息、Ask Sundae 问答、上传文件、已连接的通话/电子邮件/日历信息、调查答复、反馈与电子签名证据。

AI 与派生信息：提示、查询文本、所选上下文、生成答案、分类、置信/来源、操作批准、提示哈希、模型/路由、代币/积分使用、决策/重放记录与脱敏诊断。我们在设计 AI 路径时将范围限定于租户访问并对个人信息进行脱敏或最小化，但 Customer 不得提交不必要的敏感数据。

集成与安全数据：连接器标识、OAuth/API 元数据、webhook 事件、同步游标、文件名、健康状态、掩码化凭证元数据、IP 地址、设备/浏览器、日志、审计事件、会话数据、近似位置、欺诈/安全信号与事件记录。

Cookie 与类似技术：用于必要会话/认证标识、偏好、分析与（在另行同意时）营销测量标识。

我们从您、您的组织或其管理员、通过 Customer Data 提供的雇员/申请人/客人/客户、已连接的系统与合作方、支付、托管、分析、电子邮件、安全与支持提供商、公开来源以及您的浏览器/设备接收信息。

我们使用信息以提供并保护 Services、认证用户、执行组织范围与权限、同步集成、生成报表/基准/预测、运营 Crew 工作流、生成工资准备与导出、提供工资单与支持文件、提供支持、传达服务通知、处理计费、防止欺诈与滥用、监控可靠性、调查事件、改进产品、创建 Aggregated Data、遵守法律与处理争议。必要时的法律依据包括合同、在权利下衡量的合法利益、同意、法律义务及本地法认可的重要/公共利益理由。Customer 为其 Customer Data 选择法律依据。

我们不会将 Customer Data 用于与 Customer 指示不相容的目的。我们不会有意出售个人信息以获取金钱。任何在本地法律下可用的“共享”或定向广告选择退出均通过适用的偏好机制予以尊重。

AI 请求通过 Sundae 的可控网关传递到经批准的提供商，并受租户范围、路由控制、安全检查、积分计量与审计的约束。我们可能会为提供该功能、防止滥用、解决争议、衡量成本与改进可靠性而保留提示/输出或其哈希，保留期见第 9 节。除非经书面明确同意，我们不会有意将可识别的 Customer Data 发送到通用模型训练计划；聚合或去标识化的数据可用于产品改进与研究。AI 输出具有概率性，不得作为雇佣、薪酬、福利、信贷、安全或类似重大决定的唯一依据。

我们仅在必要且被允许的范围内与以下各方共享信息：云托管/数据库/备份提供商；认证、电子邮件、短信与支持提供商；安全、日志记录、监控与分析提供商；支付处理商；通过网关的 AI 模型提供商；由 Customer 选择的工资/HRIS、POS、会计、配送、预订、CRM 与其他集成；授权经销商与区域合作方；专业顾问与保险人；在法律、安全或法律主张要求下的主管机关或其他人员；以及在并购、融资或资产转移中的买方或继受者。当前子处理者名单与 DPA 载明提供商名称、目的、地点与保障措施。

Customer 通常为雇主/控制者，负责员工、申请人、受扶养人与工资数据。访问基于角色、组织、法律实体、门店与机密字段进行范围限制。工资与法定记录可能在账户关闭后仍按法定期限保留。银行与政府标识可能被哈希或加密；不会放入普通可观测日志中。生物识别/地理位置、人口统计、健康与受扶养人数据要求 Customer 控制的合法依据、必要性、访问与保留。Sundae 不是雇主、税务机关、工资提供商或法律顾问，且不决定 Customer 的工资、分类或申报义务。

Sundae 总部位于美国，并可能在 Sundae 或其提供商运营的国家处理数据。我们在需要时使用充分性决定、Standard Contractual Clauses、UK IDTA/Addendum 或其他合法机制，并辅以合同、技术与组织性保障措施。Customer 的驻留选择由最具体的经批准组织/合作方设置决定；更改设置不会自动迁移现有数据。请联系 privacy@sundae.io 以获取与您账户相关的保障措施信息。

我们仅在为既定目的、账户关系、法律义务、争议、安全与审计所需的期限内保留信息。运营计划维护在我们的数据治理登记表中，并可能因司法辖区与 Customer 政策而异。当前目标保留期包括：考勤与客人/预订数据通常最多保留 24 个月；AI/聊天/使用记录通常最多保留 18 个月；通知/邀请通常保留 12/3 个月；员工身份与商业签名证据通常保留最多 6 年或适用的法律诉讼期；工资、银行、税务、法定与员工文件按适用的法定最低期限保留；营销抑制记录无限期保留以尊重选择退出；用于法定/SOC 控制目的的仅追加审计证据将被保留。备份在受控周期内淘汰。正确的 Aggregated Data 可无限期保留，因为其不再识别个人或 Customer。

在本地法律允许的范围内，个人可请求访问、更正、删除、限制、可移植性、反对、撤回同意以及营销/Cookie 的选择退出。加州居民可能拥有知情、访问、删除、更正、选择退出出售/共享或定向广告、限制某些敏感信息用途及获得平等对待的权利。EEA/UK、UAE（包括 DIFC/ADGM）及其他司法辖区可能提供额外权利、代表或投诉途径。

请将请求发送至 privacy@sundae.io。我们可能会验证身份、要求相关组织/账户信息，并在该组织为控制者时将 Customer Data 请求提交给该组织。我们将在适用法律要求的时间内回应并说明任何法律例外，包括法定保留、法律主张、安全日志、抑制记录或第三方/公开数据。经授权代理人在本地法律允许的情况下可代表当事人提出请求。

必要 Cookie 支持认证、安全与会话连续性。偏好 Cookie 记住语言/主题/设置。分析 Cookie 帮助衡量可靠性与产品使用情况。营销 Cookie 或像素仅在被允许且在必要时经同意后使用。您可通过 Cookie 偏好工具或浏览器控制撤回同意；禁用必要 Cookie 可能导致无法登录或损害安全功能。

我们在支持的情形下使用传输与静态加密、最小权限与范围访问、MFA/SSO 选项、租户隔离、日志记录、监控、备份、漏洞管理、提供商尽职调查与事件响应程序。没有方法是十全十美的。如我们确认发生个人数据事件，我们将在法律与 DPA 要求下通知受影响的 Customers 与主管机关。我们的安全资料描述准备情况与控制措施，且除非当前安全页面上明确声明，否则不意味着 Sundae 持有 SOC 2 Type II 认证。

Services 为针对组织行为的商业服务，旨在由成年人使用。我们不会在法律禁止的情形下有意通过自有服务收集儿童个人信息。Customer 不得在未具合法依据、必要通知/同意与适当保障措施的情况下上传儿童数据。

我们可能因产品、法律或运营变更修订本政策。我们会发布新版本与更新日期，在需要时对重大更改提供额外通知，并在法律或我们的注册流程要求时取得更新同意。为方便起见会提供翻译，除非本地协议另有约定；受控语言版本将在接受时予以指明。

Sundae Technologies Inc. · 1007 N Orange St, 4th Floor, Suite 1382 · Wilmington, DE 19801, United States

Privacy team: privacy@sundae.io · Legal: legal@sundae.io · Security: security@sundae.io