隱私權政策

1. 資料控管者

依據《一般資料保護規則》（GDPR，法文為 RGPD）第 4 條第 7 款的定義，本網站所收集個人資料的資料控管者為 Laura Pouyadou EI（個體經營者 Entreprise Individuelle，微型企業主，SIRET 931 874 952 00019），網站 geteverwear.com 的營運者。其地址載於 法律聲明 頁面。若您對個人資料保護有任何疑問，請透過 contact@geteverwear.com 與我們聯絡。

2. 所收集的資料

我們收集以下資料：

• 身分識別資料：姓氏、名字、電子郵件地址、郵寄地址、電話號碼（於下單或建立帳戶時）。
• 交易資料：訂單紀錄、金額、付款方式（銀行卡資料不會經過我們的伺服器，而是由我們的服務商 Stripe 處理）。
• 瀏覽資料：瀏覽的頁面及其時間戳記、閱讀時間與頁面捲動比例、您來源的網站、網址中存在的活動標記（參見 第 9 ter 節）、大致城市、裝置類型，以及您的瀏覽器在每個頁面主動宣告的瀏覽器與語言。此項測量 不放置任何 Cookie，不讀取您裝置上的任何內容，且 不保存您的 IP 位址：IP 位址僅在請求期間用於計算一個不可逆的技術簽章，隨後即被丟棄。
• 從您的裝置讀取的資料（螢幕解析度與像素密度、時區、已安裝的語言）以及完整 IP 位址： 僅在您同意時，且僅限於第 9 bis 節（紙本傳單）與第 9 ter 節（受眾測量）所述的兩種情況。拒絕不會改變您的瀏覽體驗。

3. 處理目的

您的資料用於：

• 處理及寄送您的訂單
• 管理您的客戶帳戶
• 寄送電子報給您（若您已同意）
• 改善我們的網站與服務
• 履行我們的法定義務（開立發票、會計）
• 衡量我們紙本傳單宣傳活動的成效（參見第 9 bis 節）

4. 法律依據

本頁所述的每項處理均依據以下四種依據之一：

• 履行契約（GDPR 第 6 條第 1 項 b 款）：您的訂單、其寄送、追蹤、退貨及相關的客戶服務。
• 法定義務（第 6 條第 1 項 c 款）：保存發票十年，以及保存您對追蹤器所作選擇的證明，依 GDPR 第 7 條第 1 項我們必須能夠證明此證明。
• 您的同意（第 6 條第 1 項 a 款，以及當需要讀取您裝置上的內容時，依法國《資訊與自由法》（loi Informatique et Libertés）第 82 條）：電子報、非必要 Cookie、第三方受眾測量、掃描傳單時的位置與指紋（第 9 bis 節），以及第 9 ter 節所述受眾測量的擴充層。
• 我們的合法利益（第 6 條第 1 項 f 款）：網站安全與防止詐欺，以及衡量我們自有商店的瀏覽量--了解哪些頁面被閱讀、某人是否再次造訪，以及其透過哪個連結抵達（第 9 ter 節）。此利益已就您的權利進行書面權衡，我們保留此文件供法國資料保護主管機關（CNIL）查閱，並可依您的簡單要求寄送至 contact@geteverwear.com。您可隨時向同一地址提出異議。

5. 保存期限

6. 收件者與受託處理者

我們不會基於商業目的，將您的資料出售、出租或提供給任何人。 此舉被明確排除，不設任何例外，亦不接受任何形式的對價。我們僅將資料用於自身的分析：了解我們的網站如何被瀏覽、改善其搜尋排名、商品頁面、運作方式及我們的銷售。唯一會收到任何資料的第三方，是下列各項技術服務商，各自負責我們無法獨自完成的特定任務（託管網站、處理付款、寄送包裹）。

您的資料嚴格僅限於 GetEverwear 及下列技術受託處理者使用。我們不會將您的資料出售或出租給第三方。

7. 歐盟以外的傳輸

我們的服務商設於歐洲聯盟境內。若資料傳輸至歐盟以外（例如部分分析工具），我們確保該傳輸受歐盟執委會核准的標準契約條款規範。

8. 您的權利（GDPR）

依據 GDPR，您享有以下權利：

• 查閱您資料的權利
• 更正的權利
• 刪除的權利（「被遺忘權」）
• 限制處理的權利
• 資料可攜權
• 反對的權利
• 隨時撤回同意的權利

若要行使這些權利，請附上身分證件影本，寫信至 contact@geteverwear.com。您也可以向 CNIL 提出申訴（www.cnil.fr）。

9. Cookie 與第三方追蹤器

除了我們自己的工作階段 Cookie 外，我們也會載入可能放置其自身 Cookie 的第三方腳本：

• Stripe，用於保障付款安全及偵測詐欺（Cookie __stripe_mid、__stripe_sid）。結帳所必需。
• Cloudflare Turnstile，用於註冊及登入表單的防機器人保護（暫時性驗證權杖，不放置持續性 Cookie）。為網站安全所必需。
• GetEverwear 客服聊天：Cookie chat_session_id（HMAC 簽署，30 天，Strict）。僅用於在您未登入時，於兩次造訪之間找回您的對話。不與任何第三方共享--訊息託管於我們自有的伺服器（netcup，德國）。訊息保存 90 天，之後自動清除。為聊天功能運作所必需（因此在未取得特定同意的情況下放置，依法國《資訊與自由法》第 82 條--目的嚴格限於使用者所要求之服務所必需）。

在您明確同意後，我們會載入 Google Analytics 4（Cookie _ga、_ga_*），以便將瀏覽資料與 Google Search Console 交叉比對，並優化自然搜尋排名。設定：IP 匿名化、不發送廣告訊號（allow_google_signals: false）、不進行 Ads 個人化（allow_ad_personalization_signals: false）。各類別彼此獨立：您可以接受匿名受眾測量而拒絕 GA4，反之亦然。

選擇取件點時，所顯示的地圖會從 OpenStreetMap 基金會的伺服器載入其底圖。此請求會傳送您的 IP 位址，不含 Cookie 或識別碼，且僅在您開啟訂單的此一步驟時才會發生。

僅在您明確同意後，我們會載入 Google Ads 代碼，它會放置 Google 轉換及再行銷 Cookie（_gcl_au、_gcl_aw、_gcl_dc、NID），以衡量透過我們 Google 廣告所產生的銷售。購買時，它會傳送金額、貨幣、訂單編號，以及您的雜湊化電子郵件地址（SHA-256，絕不以明文傳送）。已啟用 Consent Mode v2：只要您尚未同意「廣告」類別，這些 Cookie 均不會被放置，也不會向 Google 發送任何廣告資料。

完整細節請見 Cookie 管理 頁面。

9 bis. 紙本傳單宣傳活動

我們發放印刷傳單，上面印有簡短的網址，例如 geteverwear.com/fr/f1，有時以 QR Code 形式呈現。此網址讓我們得知某張傳單是否發揮了作用。以下說明您開啟它時確切會發生什麼事。

無論如何我們都會記錄的內容

頁面載入時，且未徵求您的同意，我們會記錄：傳單代碼、日期與時間、您的截斷IP 位址（最後一段以零取代，因此已無法識別您）、國家、裝置類型、瀏覽器、作業系統，以及您的瀏覽器所宣告的語言。我們還會在名為 _ge_flyer 的 Cookie 中放置一組隨機識別碼，保存 13 個月，僅用於計算同一裝置掃描我們傳單的次數。

此收集屬於受眾測量，依 CNIL 於 2020 年 9 月 17 日的建議（依據法國《資訊與自由法》第 82 條採納）免除同意：其僅用於衡量我們的宣傳活動，不與任何其他處理進行交叉比對，且不提供給任何人。

僅在您同意時我們才會記錄的內容

頁面會向您提供明確的選擇。若--且僅在--您點選「我接受」，我們還會記錄：

• 您的地理位置，即您的瀏覽器在您額外授權一次後提供給我們的位置（在此階段您仍可拒絕）；
• 您裝置的技術指紋：螢幕尺寸與解析度、已安裝的語言、時區、處理器核心數、記憶體、偵測到的字型、顯示卡、圖形與音訊渲染。這些要素組合後形成一個簽章，即使沒有 Cookie 也能辨識您的裝置；
• 您的完整 IP 位址。

法律依據：您的同意（GDPR 第 6 條第 1 項 a 款，以及法國《資訊與自由法》第 82 條）。 目的：了解我們的傳單在何處及何時被掃描，以決定下一次要在哪裡發放。收件者：無。這些資料保存於我們的伺服器（netcup，德國），不會被出售、出租，亦不會傳送至廣告網路。我們的第三方測量工具（Google Analytics 4）僅接收傳單代碼及掃描序號：其不會收到您的位置、您的指紋或您的完整 IP 位址。

若您拒絕，您以完全相同的方式進入商店。此時我們僅保留前段所述的計數，以及您拒絕的紀錄--正是這份紀錄讓我們不再重複詢問您，並能證明我們已予尊重。

期限：13 個月。期滿後，自動處理程序會每晚刪除位置、指紋、IP 位址及測量識別碼。僅留存一筆匿名計數紀錄，該紀錄本身於 25 個月時刪除。

如何撤回您的選擇：請在瀏覽器設定中刪除 _ge_flyer Cookie，並撤銷授予我們網站的地理位置權限（網站設定，「位置」一節）。若要請求刪除已記錄的掃描，請寫信至第 13 節所列地址，並提供此 Cookie 的值：這是唯一能讓我們找到您紀錄的資訊，因為在此處理中我們並不持有您的姓名或電子郵件地址。

9 ter. 訪客辨識

為了解某人是否再次造訪網站，以及其經過哪些頁面，我們根據三個要素計算技術指紋：您的 IP 位址（僅保留其網路部分，末尾數字被移除）、您的瀏覽器及作業系統的系列（不含版本），以及您的語言。這些要素會與只有我們知道的密鑰混合，再轉換為一個無法追溯至原始位址的簽章。

此簽章會以可重現的方式隨機取得一個暱稱--「Only Turquoise Flyingfish」--讓我們在談論某次造訪時，無需處理任何識別碼。我們保存造訪次數、最後一次造訪的日期、瀏覽的頁面及其時間戳記、在每個頁面停留的時間與頁面捲動比例、城市、裝置類型，以及您的瀏覽器在每次請求時主動宣告的瀏覽器與語言--我們按原樣保存，不作截斷。

進入網址還能告訴我們什麼。當您透過廣告連結或宣傳活動抵達時，該網址包含我們所保存的標記：參數 utm_source、utm_medium、utm_campaign、utm_content、utm_term、ref，以及點擊識別碼 fbclid（Meta）、gclid（Google Ads）、ttclid（TikTok）與 msclkid（Microsoft Ads）。它們告訴我們是哪一則貼文或哪一則廣告把您帶來，這是單憑來源網站名稱永遠無法得知的。上述清單為封閉式：網址中存在的任何其他參數都會在未被讀取的情況下被丟棄。這些標記遵循瀏覽歷程的保存期限，即 5 年。

這不是什麼：客戶檔案。訪問紀錄不包含任何姓名、電子郵件地址或訂單編號，我們也絕不利用它來辨識客戶。有一項保留，因為它可以被查證：當您在已登入的狀態下回應 Cookie 橫幅時，該選擇的證明會並排記錄您的技術簽章與電子郵件地址（參見第 5 節）。因此在該處兩者的關聯在技術上是可能的。它僅用於證明您的選擇，絕不用於分析您的瀏覽。 法律依據：我們為衡量自有商店瀏覽量而具有的合法利益（GDPR 第 6 條第 1 項 f 款），適用於迄今所述的層級。 收件者：無。這些資料保存於我們的伺服器，不會被出售，亦不會傳送至廣告網路。

城市與國家是根據您的 IP 位址，利用安裝於我們自有伺服器上的資料庫推算而得，即 DB-IP Lite （CC BY 4.0 授權）。 不會向任何人發送請求：您的位址不會離開我們的伺服器。 我們已不再使用任何外部地理定位服務。在某台伺服器上尚未安裝此資料庫之前，我們僅無法判定您的城市；國家資訊仍為已知，因為我們的安全服務商會隨請求一併傳送。

僅在您接受時才啟用的額外層級

以上所有內容都在不需要您的裝置配合的情況下進行。若您勾選我們橫幅中的「受眾測量」選項，我們將在每個頁面額外記錄：

• 您的完整 IP 位址，原樣保存--而在未經您同意的情況下，僅從中推導出一個不可逆的簽章；
• 從您裝置讀取的特徵：螢幕解析度、像素密度、視窗大小、時區、已安裝的語言、處理器核心數及可用記憶體；
• 裝置指紋，根據這些要素計算，即使您更換網路，也能辨識您的裝置。

為何需要。這些要素回答了預設層級所留下的疑問：是否同一個人先用手機、再用電腦回到網站；我們的商品頁面在實際使用的螢幕上是否顯示正確；訪客是在當地的什麼時間瀏覽網站。我們不會據此對您做出任何決定：不會有不同的價格、不會有個人化內容，也不會有追蹤提醒。

為何是五年，以及為何需要您的位址。我們是一家小型二手商店，我們的業務隨季節起伏。將八月與前一年的八月相比並不足夠：單一比較無法告訴我們是在進步，還是只是運氣好。五年可提供四個冬季與四個夏季供比較--這是能夠判斷網站是否在改善、或某項決策是否失誤的第一個尺度。至於您的位址，它能告訴我們您的大致城市：讓我們知道哪些地區對我們的商品感興趣，因而也知道我們應為她們尋找什麼。這有助於維持商店的營運--我們寧願告訴您，也不願對此隱瞞。

法律依據：您的同意（GDPR 第 6 條第 1 項 a 款，以及法國《資訊與自由法》第 82 條--在您的裝置上讀取任何內容都需要同意，即使是為受眾測量，也沒有任何可能的例外）。 期限：5 年，與瀏覽歷程的其餘部分相同，之後自動刪除。 收件者：無。這些資料均不會離開我們的伺服器，不會被出售，也不會傳送至廣告網路。

若您拒絕，或您未回應橫幅，則此清單中的任何內容都不會被讀取或保存--我們不僅是不記錄，也根本不去查詢。 網站的運作方式完全相同：沒有任何頁面、商品或功能是保留給接受者的，我們也不會在每次造訪時再次詢問您。您可以隨時透過頁尾的「Cookie 管理」連結變更您的選擇；從那一刻起，便不再讀取任何內容。

若要反對整個第 9 ter 節（包括預設層級），請寫信至 contact@geteverwear.com：我們將刪除相應的簽章及關聯的瀏覽歷程。您也可以使用無痕視窗瀏覽，或更換網路，這將產生不同的簽章。

10. 安全措施

我們實施以下技術及組織性措施：

• 全站採用 TLS 1.3 加密（Let's Encrypt 憑證自動更新）
• 密碼以雜湊方式儲存（bcrypt / argon2），絕不以明文保存
• 銀行資料不經過我們的伺服器（Stripe 權杖化）
• 歐洲境內每日加密備份，輪替週期為 30 天
• 管理後台的存取受限、有紀錄，並以 MFA 保護
• 嚴重漏洞的安全更新於 7 天內套用

11. 資料外洩通知

若發生可能對您的權利與自由造成風險的個人資料外洩，GetEverwear 將依 GDPR 第 33 條於 72 小時內通知 CNIL，並且若外洩可能對您的權利造成高度風險，我們將儘速通知您。

12. 未成年人的資料

本網站並非為未滿 16 歲的人士所設。若您未滿 16 歲，請由父母或監護人代您下單。若我們得知在未取得父母同意的情況下收集了未滿 16 歲未成年人的資料，我們將立即予以刪除。

13. 聯絡方式／資料保護長（DPO）

未指定任何資料保護長，這並非疏忽。依 GDPR 第 37 條，此項指定僅對公務機關、其核心活動在於大規模監控個人的組織，以及處理敏感資料的組織為強制性。GetEverwear 不屬於上述任何情形。因此，您的請求將由資料控管者直接處理：

• 一般電子郵件： contact@geteverwear.com
• 郵寄：請寄交資料保護長，地址見我們的 法律聲明

您也有權向 CNIL 提出申訴： www.cnil.fr。

14. 政策的變更

本政策可能會因應法規或技術變化而更新。最後更新日期載於頁面頂部。若有重大變更，且您已訂閱我們的電子報，我們將以電子郵件通知您。

本政策僅供參考。為達到完整合規，請由 DPO 或法律專業人士審閱。